Vie privée : le RGPD, une première bougie et des millions d'amendes au tableau de chasse

Pour Vĕra Jourová, ce n'est qu'un début, presque une période de transition. Et pourtant, après une année seulement, la Commissaire Européenne responsable de la justice et de la consommation peut sourire : le Règlement Général sur la Protection des Données (RGPD) affiche déjà ce qui ressemble à un tableau de chasse fourni. 

Dans le bilan chiffré compilé par la Commission européenne, on apprend ainsi que près de 150.000 requêtes ont été envoyées aux régulateurs des pays de l'UE, aussi bien des demandes d'informations que des plaintes concernant principalement le spam, le marketing téléphonique ou la vidéo-surveillance. Autant de services qui doivent désormais demander l'autorisation de l'utilisateur avant de traiter ses données personnelles et faire oeuvre de transparence sur l'utilisation qui sera faite de ces données.

La Commission se félicite également de voir les entreprises prendre le RGPD au sérieux. Par exemple quand il les oblige à rapporter tout piratage ou toute fuite touchant les données personnelles présentes dans leurs systèmes -cette obligation de transparence a donné lieu à près de 90.000 déclarations. Surtout, en cas d'abus, les premières sanctions sont tombées, près de 55 millions d'euros d'amendes au total, dont les 50 millions infligés à Google en France par la CNIL. 

Pour Étienne Drouard, avocat associé du cabinet K&L Gates, et ancien membre de la CNIL, nous n'avons cependant encore rien vu. "Ce n'est encore qu'un début", explique-t-il à LCI. "Il y a encore des dizaines de cas qui datent d'avant le RGPD et qu'il faudra régler. Mais on voit clairement émerger des échelles de sanctions bien plus importantes qu'auparavant", se félicite-t-il.

La force du RGPD, c'est qu'il s'applique au-delà de nos frontières. Peu importe qu'une entreprise soit implantée en Europe ou non, il suffit qu'elle ait des clients ou des utilisateurs européens pour être soumise au règlement. Une première, qui a inspiré d'autres pays : à ce jour, 43 législations comparables ont suivi le mouvement, de la Russie au Maroc, et du Togo à la Californie, mais pas toutes pour les mêmes raisons. 

"Beaucoup nous ont utilisés comme le phare d'Alexandrie en reprenant les principes du RGPD. D'autres ont fait adopter des lois de protection des données pour justement faire rempart au RGPD par une loi locale moins exigeante", sourit Étienne Drouard. "En Californie, par exemple, ils ont repris certaines idées. Mais chez eux, le consentement de l'utilisateur est implicite alors que chez nous, c'est la pierre angulaire du règlement."

Reste que le RGPD n'a pas encore tout réglé. La suite arrive donc bientôt, avec la directive e-Privacy, votée fin 2017. Là où le RGPD concerne surtout les données personnelles, e-Privacy se concentre sur les cookies et les échanges de données, jusqu'à celles des objets connectés. "Cela concerne toute l'industrie," détaille Étienne Drouard, "les transports, tous les capteurs qui suivent par exemple l'activité d'un paquebot, tous ceux liés à la production ou à la consommation énergétique. Tous ces capteurs délivrent une information sur leurs utilisateurs et permettent de mesurer la productivité des employés. Bref, tout capteur produit de la donnée et les règlements la considèrent comme une donnée personnelle".

Une protection totale et une bonne intention louable, dont on ne sait cependant pas encore mesurer les conséquences. "S'il faut un consentement explicite à chaque utilisation possible de chaque donnée, cela peut poser des problèmes de compétitivité. Sans données, pas d'intelligence artificielle, de villes intelligentes ou de voitures autonomes", prévient Etienne Drouard.

En attendant de voir où se situera le curseur de notre consentement, les affaires continuent : 17 plaintes touchant Facebook, Google, Apple, Microsoft et d'autres seraient aujourd'hui à l'instruction. Cette semaine, le régulateur Irlandais a encore annoncé avoir lancé une enquête pour comprendre si la publicité délivrée par Google contrevient ou non aux dispositions du RGPD. 

En ligne de mire, un signal envoyé à tout le marché de la publicité ciblée et une amende potentielle de plus de cinq milliards d'euros. RGPD sort les crocs.