La Présidence irlandaise du Conseil de l'UE affine ses propositions dans un nouveau compromis datant de lundi 21 septembre sur le paquet ‘Digital Omnibus’, en vue de la réunion du groupe Antici du Conseil, le 25 septembre (EUROPE 13910/11). Sur le volet des cookies, elle précise les conditions d’utilisation des données collectées sans consentement de l’utilisateur pour la mesure d’audience et de performance publicitaire.
Le texte de la Présidence précise que les données collectées sans consentement pour produire des statistiques d’audience anonymes et agrégées ne pourront être utilisées à d'autres fins. Cette restriction s’ajoute à l’interdiction, déjà prévue, de les partager avec des tiers ou de les combiner avec des données provenant de tiers.
Autre modification, le texte assouplit l’exigence de délai pour la pseudonymisation de ces données utilisées dans la mesure d’audience des médias. Ce processus doit intervenir « après la collecte », et non plus « immédiatement après la collecte », comme le prévoyait le compromis de début septembre.
Toujours sur le volet des données, un autre point modifié dans cette nouvelle version concerne le refus de les partager au titre de la protection des secrets d’affaires. Face notamment aux risques de divulgation dans des pays tiers, préserver ces données est, selon le texte, vital pour les entreprises européennes afin de leur permettre de « maintenir leur position sur le marché et leur avantage concurrentiel ».
Le détenteur des données devra toujours justifier son refus auprès de l’utilisateur ou du tiers demandeur. Le nouveau compromis de la Présidence prévoit néanmoins qu’il notifie l’ensemble de ses refus tous les trois mois à l’autorité compétente alors que la précédente version ne précisait pas de délai particulier.
Sur la pseudonymisation, le compromis conserve le principe (EUROPE 13933/12) selon lequel des données pourraient ne pas être considérées comme personnelles pour un tiers « si ce tiers n’est pas en mesure d’identifier la personne physique à laquelle les données se rapportent ». La version du 21 septembre ajoute que la pseudonymisation doit être assortie de « mesures techniques et organisationnelles appropriées pour empêcher d’autres personnes d’identifier la personne concernée ». (Louis Dubar)