Le 25 mai, le règlement européen sur la protection des données personnelles est entré en vigueur. Un bouleversement pour les entreprises et les institutions, qui doivent repenser leur gouvernance. Mais également un moyen politique pour l’Union européenne de prendre le leadership international sur la question.
Le règlement européen sur la protection des données personnelles (RGPD) peut-il s’appliquer aux États-Unis ? C’est l’une des questions posées à Mark Zuckerberg, le PDG de Facebook, lors de son audition devant le Congrès américain les 10 et 11 avril 2018. Empêtré dans le scandale Cambridge Analytica, il devait répondre de la fuite de données personnelles de 87 millions d’utilisateurs du réseau social. Un scandale qui a mis sur le devant de la scène les vertus du règlement européen.
À l’origine qualifié de protectionnisme européen, le RGPD est en effet pris en exemple. Tom Wheeler, l’ancien président de la Commission fédérale des communications (FCC), a d’ailleurs fait son éloge dans une tribune du New York Times le 1er avril dernier : « Pourquoi les Américains ne devraient-il pas être dotés d’outils significatifs pour protéger leur vie privée ? […] Le Nouveau Monde doit apprendre du Vieux. L’économie d’Internet a fait de nos données personnelles une marchandise. Le gouvernement des États-Unis doit rendre le contrôle de cette information à ses propriétaires. »
Voté en avril 2016, le RGPD accorde de nouveaux droits aux citoyens de l’Union européenne concernant leurs données personnelles et renforce les obligations et la responsabilité des acteurs. Et pas uniquement les droits des Européens : le RGPD ne se limite pas aux frontières de l’Union européenne, tous ceux qui traitent des données de ses citoyens doivent s’y conformer.
« C’est vraiment un important changement d’échelle, une très grande révolution en matière de gestion des données », estime Ariane Mole, avocate associée chez Bird & Bird et co-head de la pratique internationale en protection des données personnelles. Preuve de l’ampleur de l’enjeu pour l’Europe, le montant des sanctions : « Elles peuvent atteindre jusqu’à 4 % du chiffre d’affaires mondial annuel de l’entreprise. Ce qui fait passer la protection des données personnelles en deuxième position des risques les plus importants pour les entreprises, juste derrière ceux liés au droit à la concurrence », souligne Ariane Mole.
Le RGPD semble en effet être le fer de lance d’une croisade de l’Union européenne, au nom de la protection des données personnelles… Et une arme de plus face aux géants du numérique, aux pratiques dominatrices et fiscales décriées. Une stratégie globale semble d’ailleurs se dessiner. En avril, la Commission a édicté de nouvelles normes de transparence et d’équité pour les plateformes en ligne avec pour objectif de protéger les utilisateurs professionnels européens et notamment les petites entreprises. Même si elle n’a pas rassemblé l’unanimité nécessaire, son projet de « taxe numérique » de 3 % sur le chiffre d’affaires a fait trembler les Gafa (Google, Apple, Facebook, Amazon).
La question de l’éthique
Si le RGPD apporte plus de droits et de pouvoir aux citoyens européens, Jérôme Béranger, chercheur associé à l’Inserm et auteur du Code éthique algorithmique. L’éthique au chevet de la révolution numérique (ISTE Éditions), interroge sur sa portée et son efficacité