Règlement général sur la protection des données

Justice et affaires intérieures

Protection des données personnelles

Communication de M. Simon Sutour
et proposition de résolution portant avis motivé

(Réunion du 23 février 2012)

M. Simon Sutour, président. - Au cours de sa réunion de jeudi dernier, le groupe subsidiarité a considéré que la proposition de règlement relatif à la protection des données personnelles présentait un risque de non-conformité au principe de subsidiarité. J'ai présenté hier en commission des lois une proposition de résolution européenne, au titre de l'article 88-4 de la Constitution, qu'elle examinera la semaine prochaine et qui sera débattue en séance publique le 6 mars. Une telle procédure est exceptionnelle. Ce texte le mérite, car sa portée est considérable.

Nous nous penchons ce matin sur la seule question de la subsidiarité, selon le cadre fixé par l'article 88-6 de la Constitution. Nous examinons uniquement la proposition de règlement relatif à la protection des données à caractère personnel présentée par la Commission européenne le 25 janvier 2012, que nous a exposée Mme Reding lors de sa récente audition, et non pas la proposition de directive qu'elle présente également.

Ce règlement, qui remplacerait la directive du 24 octobre 1995, a pour objectif d'instaurer un climat de confiance dans l'environnement en ligne, essentiel selon la Commission, au développement économique. Ce texte suscite des interrogations au regard du principe de subsidiarité sur trois points.

Tout d'abord, la Commission européenne a fait le choix de proposer un règlement pour remplacer la directive de 1995, afin d'assurer une plus grande homogénéité au sein de l'Union. Or notre pays a adopté de longue date des dispositions pour protéger les données personnelles : la grande loi Informatique et libertés remonte à 1978 - notre législation a très largement inspiré la directive de 1995. Précisément, la proposition de règlement se montre moins exigeante que notre droit national pour les responsables de traitement. Puisqu'il s'agit d'un règlement, nous ne pourrons maintenir nos dispositions lorsqu'elles sont plus protectrices. S'agissant des droits des citoyens, il serait plus conforme au principe de subsidiarité de pouvoir garder nos dispositions plus protectrices, aussi longtemps que la législation européenne ne donnera pas toutes les garanties dont nous bénéficions aujourd'hui - nous retrouvons le débat qu'a illustré le rapport d'Alain Richard.

Ensuite, il faut préserver le rôle des autorités de contrôle. Les textes nécessaires n'étant pas aboutis, de nombreux points ne sont pas traités. La proposition de règlement renvoie à cinquante reprises à des actes délégués ou à des actes d'exécution que la Commission européenne prendrait seule. Des questions essentielles sont concernées, comme le droit à l'oubli numérique. On peut y voir une concentration excessive du pouvoir de décision entre les mains de la Commission européenne. Non seulement certaines questions devraient plutôt être réglées directement par le législateur européen - Parlement et Conseil -, mais elles pourraient l'être, dans certains cas, ce qui met en cause la subsidiarité, par les autorités de contrôle des États membres, éventuellement regroupées au niveau européen. La rapidité des évolutions technologiques requiert une capacité d'adaptation permanente. Nos autorités de contrôle nationales sont réactives. Elles ont su coordonner leur action au sein du G29. Elles paraissent mieux placées que la Commission européenne pour appréhender les défis technologiques.

Enfin, la proposition de règlement retient la compétence d'une seule autorité de contrôle, celle du principal établissement du responsable de traitement. Ce guichet unique éloigne la décision du citoyen.

Quand un citoyen soulèvera un problème le concernant, la décision pourra être renvoyée à l'autorité de contrôle d'un autre pays. Ainsi, pour un Français en litige avec Facebook, c'est l'autorité de contrôle irlandaise qui tranchera. Les moyens de l'autorité compétente pour un pays de 4,6 millions d'habitants ne sont peut-être pas adaptés au traitement des saisines potentielles de centaines de millions de citoyens européens ! Une gestion de proximité serait plus pertinente et mieux à même d'enraciner la construction européenne dans l'opinion publique. Il serait préférable de poser la compétence de l'autorité de contrôle de l'État membre où réside le plaignant, comme c'est le cas en droit de la consommation. Dessaisir l'autorité de contrôle nationale, c'est éloigner la décision du citoyen, à rebours du principe de subsidiarité, le seul qui nous importe ce matin, puisque nous examinerons le fond jeudi prochain, qui a fait hier l'objet d'un débat très intéressant et d'un vote quasi unanime de la commission des lois.

M. Alain Richard. - Il pourrait être plus convaincant, au titre de la subsidiarité, de donner aux personnes le choix entre leur autorité nationale et l'autorité découlant du nouveau règlement.

M. Simon Sutour, président. - C'est une proposition judicieuse, mais qui, à ce stade, n'aurait sans doute pas l'aval de la commission des lois.

*

La proposition suivante de résolution portant avis motivé est adoptée à l'unanimité :

Justice et affaires intérieures

Texte E 7055

Rapport pour avis de M. Simon Sutour sur la proposition de résolution relative à la protection des données personnelles

COM (2012) 11 final

(Réunion du jeudi 1^er mars 2012)

M. Simon Sutour, président. - Le premier thème à notre ordre du jour concerne une résolution sur la proposition de règlement européen relatif à la protection des données personnelles. Nous examinerons ce sujet en appliquant pour la première fois la disposition de notre Règlement qui nous permet, en cas d'examen d'une proposition de résolution en séance publique, de nous saisir pour avis. La commission des lois et la nôtre ont en effet demandé conjointement qu'un débat en séance publique confère une plus grande solennité à cette résolution européenne, dont je serai rapporteur au titre de la commission des lois et rapporteur pour avis au titre de la commission des affaires européennes.

La commission des lois a adopté hier une proposition de résolution européenne portant sur le projet de règlement relatif à la protection des données personnelles.

Nous avons entendu Mme Viviane Reding le 21 février ; le débat en séance publique au Sénat se déroulera le 6 mars. Je rappelle que nous avons formulé le 23 février un avis motivé sur la subsidiarité.

À propos de la protection des données personnelles, la commission des lois a fait jouer la priorité dont disposent les commissions permanentes, mais nous nous sommes saisis pour avis et vous m'avez désigné pour exprimer le point de vue de notre commission.

La Commission de Bruxelles a présenté deux textes : une proposition de règlement portant sur les fichiers privés commerciaux et une proposition de directive sur les fichiers de souveraineté. Dans les deux cas, la procédure ordinaire de codécision associant le Conseil et le Parlement européen sera mise en oeuvre.

La proposition de résolution que nous examinons aujourd'hui porte exclusivement sur le règlement sur les fichiers privés commerciaux : nous examinerons ultérieurement la directive sur les fichiers de souveraineté.

Actuellement en vigueur, la directive du 24 octobre 1995 a fixé des principes importants pour la protection des données personnelles, largement inspirés par la loi « informatique et liberté » du 6 janvier 1978.

Le G 29, ou « groupe de l'article 29 » créé en application de l'article 29 de cette directive, regroupe les CNIL des États membres.

Il reste que cette directive a été adoptée avant l'essor d'Internet. Ses objectifs demeurent valables, mais ses dispositions ne sont adaptées ni à la rapidité de l'évolution technique, ni à la mondialisation. Internet, notamment les réseaux sociaux, jouent aujourd'hui un rôle prépondérant dans la collecte de données individuelles.

Je tiens à souligner que nos collègues Mme Escoffier et M. Détraigne avait clairement analysé ces nouveaux défis dans le rapport présenté le 27 mai 2009 au nom de la commission des lois, intitulé « La vie privée à l'heure des mémoires numériques. Pour une confiance renforcée entre citoyens et société de l'information ».

Le nouveau projet de règlement tend à réduire la fragmentation juridique par la création d'un corps harmonisé des règles de base, puisqu'un règlement est d'application directe dans les États membres. La commission des lois s'en est saisie au fond à juste titre, puisque, par nature, le règlement ne donne lieu à aucune transposition. Au demeurant, les directives sont de plus en plus souvent transposées hors du champ parlementaire, ce que nous pouvons tous déplorer...

Sur le fond, la proposition de règlement améliore considérablement la protection des personnes. Je citerai notamment l'accord exprès de l'intéressé pour le recueil des informations personnelles, le droit d'opposition reconnu à chacun au traitement des données le concernant, l'interdiction du profilage informatique et la consécration d'un droit à l'oubli numérique. Ce texte comporte aussi des dispositions spécifiques à la gestion des fichiers, qui devront faire l'objet d'une étude d'impact et dont le transfert hors Union européenne sera réglementé. J'ajoute que les entreprises employant plus de 250 salariés devront respecter de nouvelles obligations. Dans le même esprit, je relève la création d'un comité européen pour la protection des données.

Ces propositions sont positives. Certaines sont déjà en vigueur dans notre droit national ; d'autres correspondent à des évolutions attendues, comme celles inscrites dans la proposition de loi présentée par M. Détraigne après son rapport et votée à l'unanimité par le Sénat, mais jamais discutée à l'Assemblée nationale.

Cependant, la proposition de résolution demande que l'on aille plus loin sur certains points, comme le droit à l'oubli numérique ou le régime des moteurs de recherche.

Surtout, la proposition de règlement comporte trois difficultés. La première concerne la marge laissée aux États membres dont les dispositions actuelles sont plus protectrices. Sur ce point, Mme Reding a été explicitement négative. Mais pouvons-nous accepter qu'en élevant la protection moyenne apportée aux citoyens européens, le règlement porte atteinte au régime dont bénéficient les citoyens actuellement les plus protégés ? L'interrogation est particulièrement sensible en France, pays pionnier pour la protection des données. Pour cette raison, la proposition de résolution demande que le règlement soit appliqué sans préjudice pour les États membres de la faculté de conserver des dispositions plus protectrices. En effet, le règlement peut disposer dès sa publication que les standards accrus sont maintenus. Par la suite, il sera trop tard. Concrètement, la première solution envisageable consisterait à instituer une harmonisation « par le haut », mais cela imposerait à certains pays une évolution particulièrement rapide. L'autre moyen juridique consiste à introduire dans le règlement une clause spécifique autorisant les États membres à conserver les dispositions plus protectrices de leur législation.

La deuxième difficulté tient au renvoi extrêmement fréquent à des actes de la Commission de Bruxelles, qui serait donc investie d'un vaste pouvoir de législation déléguée. Vis-à-vis des actes délégués, le Conseil ne dispose que d'un droit d'opposition à la majorité qualifiée, le Parlement européen pouvant de son côté s'opposer à la majorité absolue de ses membres. Ainsi, quoi qu'en disent Mme Reding, la Commission européenne disposerait en pratique d'un pouvoir considérable.

La troisième difficulté est celle qui a le plus focalisé l'attention de la Cnil, qui a fourni un grand travail pour informer les parlementaires : c'est le guichet unique, confiant le traitement de toutes les réclamations au pays où se trouve le principal établissement de l'entreprise visée par une plainte. L'exemple le plus extrême est celui de Facebook, installé en Irlande : ce pays ne compte que 4,6 millions d'habitants, mais sa Cnil devrait traiter un contentieux qui pourrait potentiellement concerner des centaines de millions d'habitants ! Notre Cnil serait réduite au statut de boîtes aux lettres. L'objectif avoué de ce dispositif est de faciliter les démarches des entreprises. Cet objectif ne me gêne pas, mais je veux faciliter surtout la vie de nos concitoyens, qu'il serait paradoxal de traiter moins bien que les entreprises. Avec ce règlement, les citoyens seraient privés du droit de voir leurs requêtes traitées par l'autorité la plus proche, celle-ci ne pouvant appliquer le droit le plus protecteur.

Nous ne faisons que réclamer l'application des règles de compétence qui ont été retenues pour le droit de la consommation. Je propose que notre commission approuve ce texte élaboré par la commission des lois, à l'unanimité moins une abstention. Notre résolution sur la subsidiarité a d'ailleurs été elle aussi adoptée à l'unanimité moins une voix par la commission des lois.

M. Alain Richard. - J'approuve le projet de résolution. Il faut explicitement autoriser dans le règlement les États membres à conserver des protections supplémentaires. À défaut, la charge différenciée induite par la spécificité du droit national pourrait motiver des actions fondées en discrimination. J'observe par ailleurs que le critère des 250 salariés n'est pas pertinent pour imposer la création d'un délégué à la protection des données, car une entreprise peut être très active dans ce domaine du traitement des données avec une dizaine de salariés, dès lors qu'elle intervient comme sous-traitant. Il vaudrait donc mieux se fonder sur le chiffre d'affaires procuré par la commercialisation des données.

M. Éric Bocquet. - Le rôle des Cnil nationales est marqué par une très grande hétérogénéité. L'Union européenne a-t-elle formulé des recommandations minimum ?

M. Simon Sutour, président. - Ce sujet est abordé par la proposition de règlement, qui organise un regroupement des autorités de contrôle déjà d'ailleurs largement réalisé en pratique. Elle sera ensuite débattue par le Parlement européen, la version finale résultant d'une codécision avec le Conseil de l'Union européenne. Selon le secrétariat général aux affaires européennes, le processus pourrait prendre deux ou trois ans, alors que Mme Reding pense à quelques mois ou un an. Une chose est certaine : le débat ne sera pas conclu demain. Ce n'est donc sans doute pas la dernière fois que nous abordons cette question. En tout état de cause, nous devrons encore nous prononcer sur la proposition de directive concernant les fichiers de souveraineté. Au demeurant, le texte du règlement va évoluer au cours du débat au Parlement européen. Malheureusement, la France est isolée, car ses dispositions actuelles sont en pointe. L'harmonisation européenne est une bonne chose en son principe, mais elle peut aussi tirer vers le bas... Enfin, je rappelle que le but de notre proposition n'est pas de réécrire le projet de règlement. Il va évoluer beaucoup dans les négociations. Nous devons affirmer des principes.

M. Alain Richard. - Certes, mais le pouvoir de recommandation reconnu aux parlements nationaux les autorise à mettre en avant certains sujets.

M. Simon Sutour, président. - S'agissant de votre suggestion relative aux entreprises concernées, le point 18 de la résolution vous donne en partie satisfaction.

M. Alain Richard. - Il serait plus cohérent de s'en tenir au volume des données traitées.

M. Éric Bocquet. - Les entreprises concernées ont-elles demandé le guichet unique ?

M. Simon Sutour, président. - Le directeur des affaires juridiques de Microsoft m'a dit qu'il lui serait plus simple d'avoir, à l'avenir, un seul interlocuteur au lieu des 27 Cnil actuelles.

Mlle Sophie Joissains. - D'autant que la Cnil irlandaise n'est probablement pas équipée pour ce faire !

M. Alain Richard. - Ce projet de règlement lui imposerait une charge disproportionnée.

*

La commission émet un avis favorable à la proposition de résolution européenne suivante, issue des travaux de la commission des lois (rapport n° 446).