Circulation des données à caractère non personnel dans l'UE

Document "pastillé" au format PDF (27 Koctets)

La proposition de règlement COM (2017) 495 final prévoit l'établissement d'un cadre juridique unique pour la libre circulation des données non personnelles dans l'Union européenne ;

Cette proposition vise toutes les données autres que les données personnelles telles que définies dans le règlement général pour la protection des données personnelles du 27 avril 2016 ;

Le texte établit le principe de la libre circulation des données non personnelles dans l'Union européenne, selon lequel la localisation des données à des fins de stockage ou de traitement ne pourrait être limitée au territoire d'un seul État membre, sauf pour des raisons de sécurité publique ;

Tout projet d'acte d'un État qui introduirait une nouvelle exigence de localisation devrait être notifié à la Commission européenne et justifié. De la même manière, toute limite existante à la circulation des données devrait faire l'objet d'une justification pour être maintenue ;

Les autorités administratives et judiciaires compétentes continueraient à disposer du droit de demander et d'obtenir l'accès à des données qui ne sont pas stockées sur le territoire de l'État membre auquel elles appartiennent. En cas de difficulté, elles pourraient bénéficier de l'assistance de l'État membre où sont stockées les données ;

Dans chaque État membre, un point de contact serait institué pour assurer la liaison avec les autres États membres et avec les institutions européennes ;

Des codes de conduite et des lignes directrices fixeraient, au plus tard un an après l'entrée en vigueur du règlement, les conditions de portage des données, c'est-à-dire du changement d'un fournisseur de services de stockage ou de traitement à un autre ;

Vu l'article 88-6 de la Constitution,

Le Sénat fait les observations suivantes :

- le Sénat rappelle son attachement à une libre circulation des données dans l'Union européenne, nécessaire pour le développement de l'économie de la donnée, tout en veillant à assurer la protection des données à caractère personnel ;

- tandis que plusieurs freins principaux à la libre circulation des données ont été identifiés (les restrictions liées à la localisation géographique des données, l'incertitude juridique autour de ce sujet nouveau, les stratégies de rétention des données entre acteurs économiques et le manque de confiance des utilisateurs dans les solutions d'informatique en nuage), il regrette que la Commission européenne n'ait choisi que de restreindre les obligations de localisation des données édictées par les États membres ;

Concernant l'étude d'impact :

- le Sénat dénonce la faiblesse de l'étude d'impact qui ne justifie pas l'initiative proposée. Il relève que cette étude d'impact n'identifie qu'un faible nombre d'obligations nationales de localisation et, de fait, qu'un petit nombre de données concernées. Il rappelle en outre que la fragmentation géographique n'est pas uniquement due aux législations nationales ;

- il constate que le gain espéré pour l'économie européenne de la levée des obligations nationales de localisation est faible proportionnellement à la mesure proposée, de l'ordre de 0,06 % de PIB ;

- il remarque que la consultation publique lancée au titre de la communication « Créer une économie européenne fondée sur les données » n'a suscité que 289 réponses, parmi lesquelles seules 61,9 % ont estimé que les restrictions liées à la localisation devaient être levées ;

- il relève qu'une faible majorité de ces participants, 55,3 %, a jugé qu'une mesure législative était le meilleur moyen pour lever les restrictions liées à la localisation des données et que seuls 12 participants - dont uniquement deux États - ont appelé à un règlement ;

- pour ces raisons, le Sénat estime que le sujet ne faisant pas consensus en Europe, une initiative européenne ne se justifie pas à ce stade ;

Concernant les obligations de localisation des données édictées par les États membres :

- le Sénat rappelle que la régulation des données relève d'une compétence partagée entre l'Union et les États membres ;

- il souligne que l'économie de la donnée n'en est qu'à ses débuts et est en constante et rapide évolution. En conséquence, il convient de rester prudent dans son encadrement, et notamment de ne pas démunir les États membres de leur pouvoir souverain de régulation en la matière ;

- il déplore qu'aucune étude d'impact n'ait été menée afin d'évaluer les risques que ferait courir la levée des obligations de localisation pour les États eux-mêmes et sur la sécurité des données ;

- il regrette que le texte n'apporte pas de définition des données non personnelles et que la Commission se contente d'une définition par défaut. Il rappelle, en outre, que des données classées sécurité-défense sont par nature exclues d'un règlement européen ;

- il souligne également que la sécurité publique n'est pas le seul motif permettant aux États membres de restreindre la libre circulation des personnes, des biens, des capitaux et des services dans l'Union. Il en résulte que les États sont légitimes à invoquer, a minima , la sécurité publique, l'ordre public et la santé publique pour imposer une obligation de localisation des données sur leur territoire ;

Pour l'ensemble de ces raisons, le Sénat estime que la proposition de règlement COM (2017) 495 final ne respecte pas le principe de subsidiarité.

Devenue résolution du Sénat le 5 décembre 2017.

Le Président,

Signé : Gérard LARCHER