LA POSTE

Février 2024 1/6 Le 25 mai 2018, le Règlement Général sur la Protection des Données (RGPD) entrait en vigueur avec des objectifs ambitieux : accroître le contrôle des citoyens sur leurs données personnelles, responsabiliser les acteurs, harmoniser l’application de la réglementation sur l’ensemble du territoire européen et renforcer la coopération entre les autorités de contrôle afin de crédibiliser la régulation dans ce domaine. Si le RGPD pouvait apparaître comme une réelle contrainte pour les entreprises, il est progressivement devenu un véritable atout. En effet, grâce aux mesures de sécurité mises en place, le RGPD apparaît, à présent, comme un gage de confiance. En informant précisément sur le traitement des données personnelles et les droits dont disposent les clients, les entreprises améliorent sensiblement leur image.

…des données personnelles et les droits dont disposent les clients, les entreprises améliorent sensiblement leur image. Ce texte permet ainsi de renforcer la confiance des clients et peut constituer un avantage concurrentiel. Cette consultation publique relative au rapport sur le RGPD est l’occasion de réaliser le bilan des 6 années de mise en œuvre du texte à travers la mise en perspective des différents impacts de l’entrée en vigueur du RGPD, des enjeux et opportunités communs et des risques persistants en matière de protection des données. Le RGPD semble avoir atteint la plupart de ses objectifs, notamment en conférant aux citoyens un ensemble solide de droits opposables et en créant un nouveau système européen de gouvernance et de contrôle de l'application. La Poste Groupe place la protection des données à caractère personnel au cœur de ses missions et des services proposés.

La Poste Groupe place la protection des données à caractère personnel au cœur de ses missions et des services proposés. En effet, le Groupe a choisi d’intégrer de plus en plus des valeurs éthiques, tout en reconnaissant que l’essor du numérique et des technologies constitue un enjeu majeur. Or, le traitement de la donnée reste au cœur de ces mutations. Il est donc nécessaire de trouver un juste équilibre entre la protection de l’individu et les enjeux économiques et industriels pour rester compétitif et innovant. Toutefois, force est de constater que la protection des données personnelles peut parfois constituer un frein à l’innovation. Position de La Poste Groupe - Rapport sur le Règlement Général sur la Protection des Données Ref.

…frein à l’innovation. Position de La Poste Groupe - Rapport sur le Règlement Général sur la Protection des Données Ref. Ares(2024)917648 - 07/02/2024 Février 2024 2/6 Un besoin de cohérence évident Il existe un réel besoin de cohérence notamment au regard des décisions des autorités de contrôle menant souvent à une interprétation restrictive du RGPD mais également de l’articulation entre le RGPD et les nouvelles obligations issues de la stratégie numérique européenne. ▪ Une interprétation du RGPD souvent restrictive Le RGPD marque la volonté d’une harmonisation au niveau européen. Il vise à renforcer les droits des citoyens européens mais aussi à responsabiliser les entreprises et organismes traitant des données à caractère personnel. Cependant, il renvoie aux droits nationaux, ce qui conduit inexorablement à des différences d’interprétation entre les Etats membres.

…renvoie aux droits nationaux, ce qui conduit inexorablement à des différences d’interprétation entre les Etats membres. Les lignes directrices du Comité européen de protection des données (CEPD) (par exemple sur le consentement), et des autorités de contrôle comme la Commission nationale de l’informatique et des libertés (CNIL) (à l’instar de ses lignes directrices sur les cookies), viennent parfois excessivement restreindre les marges de manœuvres laissées par le RGPD. En conséquence, de nombreuses entreprises appliquent un principe de précaution et n’osent pas se lancer sur des projets dont la mise en place leur paraît trop complexe ou trop coûteuse au regard des nombreuses contraintes liées au RGPD. ➢ Les autorités de contrôle devraient prendre en compte les réalités économiques lorsqu’elles interprètent le RGPD.

➢ Les autorités de contrôle devraient prendre en compte les réalités économiques lorsqu’elles interprètent le RGPD. Il est important que le CEPD et les autorités de contrôle comprennent les enjeux économiques et les difficultés opérationnelles auxquels les entreprises peuvent être confrontées lorsqu’elles appliquent le RGPD. Ces interprétations ne doivent pas créer de nouvelles distorsions de concurrence pour les entreprises situées en dehors de l’Union européenne. ➢ La concertation avec les acteurs économiques est primordiale et elle devrait, à ce titre, être systématiquement préférée à la consultation publique qui ne favorise pas véritablement les échanges constructifs entre les acteurs et les autorités de contrôle. En effet, la relation peut parfois être difficile avec ces autorités.

…entre les acteurs et les autorités de contrôle. En effet, la relation peut parfois être difficile avec ces autorités. Elles manquent souvent d'une approche équilibrée entre la protection des données et l'utilisation à des fins commerciales. ➢ Ces autorités devraient fournir des lignes directrices plus courtes, pragmatiques et faciles à comprendre, qui apportent des réponses claires et sans ambiguïté aux questions relatives à l’application du RGPD. Par exemple, la CNIL a lancé fin 2023 des travaux avec les associations professionnelles en vue de connaître les pratiques et les finalités du recours aux pixels de suivi dans les emails ainsi que sur les modalités de recueil du consentement. L’objectif était d’identifier les cas d’usage qui pourraient être soumis ou exemptés du consentement.

…du consentement. L’objectif était d’identifier les cas d’usage qui pourraient être soumis ou exemptés du consentement. Si la CNIL - comme le CEPD - pose le principe que les pixels sont soumis au consentement, il est à noter qu’aucune de ces autorités ne soumet d’éléments pratiques pour savoir comment il sera possible de collecter ce consentement avant l’ouverture de l’email. Une autre illustration concerne l’intérêt légitime. En effet, il semble qu’un éclaircissement sur l’utilisation de la base de l’intérêt légitime dans le cadre des opérations de traitement marketing soit bénéfique. Cela d’autant plus que plusieurs autorités de contrôle ou juridictions européennes ont affiché, au niveau européen, des positions divergentes qui mettent réellement en danger l’utilisation de cette base légale pour ces opérations au profit du consentement.

…qui mettent réellement en danger l’utilisation de cette base légale pour ces opérations au profit du consentement. D’ailleurs, s’agissant du consentement, une difficulté persiste. Il reste ardu de prévoir un système permettant de tracer et d’horodater le consentement. En cas de contestation du prospect, il faut être en mesure d’apporter la preuve. Cette situation demeure très lourde et implique des coûts importants de mise en œuvre. ➢ Il est également surprenant que la chambre contentieuse d’une autorité de contrôle (l’Autorité de protection belge des données) dispose, contrairement à celles des autres Février 2024 3/6 pays, d’un pouvoir transactionnel.

…belge des données) dispose, contrairement à celles des autres Février 2024 3/6 pays, d’un pouvoir transactionnel. En effet, au-delà d’une divergence quant à la nature ou l’importance d’une sanction qui peut légitimement exister entre autorités de contrôle (ce qui a d’ailleurs justifié la mise en place de mécanismes d’harmonisation), il est ici question d’une procédure non prévue par le RGPD. Si le propos n’est pas ici de remettre en cause la pertinence de ce dispositif, il s’agit en revanche de mettre en lumière une différence de traitement majeure des acteurs selon leur autorité de contrôle compétente sur le sujet sensible que représente les sanctions éventuelles. Un tel manque d’homogénéité est là encore regrettable.

…sur le sujet sensible que représente les sanctions éventuelles. Un tel manque d’homogénéité est là encore regrettable. ➢ Plutôt qu’une application fondée sur des sanctions, les autorités de contrôle devraient privilégier des solutions constructives qui concilient la protection des données personnelles avec l'activité des acteurs concernés dans un secteur donné et un équilibre raisonnable des avantages et des risques liés à l'utilisation des données conformément au principe de proportionnalité. Par exemple, la CNIL dispose d’un service d’accompagnement des délégués à la protection des données (DPD) mais il serait certainement plus constructif de bénéficier de réponses aux questions plus opérationnelles dans un objectif « gagnant-gagnant ».

…plus constructif de bénéficier de réponses aux questions plus opérationnelles dans un objectif « gagnant-gagnant ». Ce service devrait être développé et entretenir des liens privilégiés avec les entreprises qui veulent respecter le RGPD mais qui parfois restent bloquées en pratique par certaines dispositions du texte. Le passage induit par le RGPD d’une logique de déclaration des traitements auprès de la CNIL à celle de responsabilisation des acteurs a en effet conduit à un changement de posture de la part de l’autorité qui est désormais davantage perçue comme une autorité de contrôle sanctionnatrice, au détriment de son rôle d’accompagnement des acteurs.

32 → 12

originalus šaltinis (PDF) ↗

Août 2023 1/4 L’entrée en application du Règlement Général sur la Protection des Données (RGPD), le 25 mai 2018, a entraîné une responsabilisation accrue des entreprises sur la protection des données à caractère personnel, dans ce cadre, La Poste Groupe a notamment renforcé sa politique en la matière. Ce texte a également entraîné un renforcement des droits des personnes mais aussi du rôle des autorités de protection des données. En effet, au niveau européen, une meilleure coopération entre les autorités de protection des données (« APD ») était nécessaire afin de faire face de manière efficace aux problèmes ayant un impact dans plusieurs Etats membres.

») était nécessaire afin de faire face de manière efficace aux problèmes ayant un impact dans plusieurs Etats membres. La proposition du règlement établissant des règles de procédure supplémentaires relatives à l’application du RGPD proposée par la Commission européenne le 4 juillet 2023 a, dès lors, pour objectif de rationaliser la coopération entre les autorités chargées de la protection des données dans le cadre de l’application du RGPD dans des situations transfrontalières. Elle établit des règles de procédure pour le traitement des réclamations et la conduite des enquêtes, tant sur les cas fondés sur des réclamations que sur les cas examinés d’office, menées par les autorités de contrôle dans le cadre de l’application transfrontalière du RGPD.

…cas examinés d’office, menées par les autorités de contrôle dans le cadre de l’application transfrontalière du RGPD. La Poste Groupe accueille de manière positive cette proposition de la Commission européenne, car les différences de procédures actuelles, dues au manque d'harmonisation entre les États membres de l'Union européenne (UE), peuvent avoir un impact considérable sur les parties impliquées dans les enquêtes concernées - y compris les entreprises. La Poste Groupe se réjouit de pouvoir partager sa position à l’occasion de la consultation publique de la Commission européenne sur cette proposition de règlement tant sur la rationalisation de la Position de La Poste Groupe Règles de procédure supplémentaires relatives à l’application du RGPD Ref.

…de la Position de La Poste Groupe Règles de procédure supplémentaires relatives à l’application du RGPD Ref. Ares(2023)5860515 - 29/08/2023 Août 2023 2/4 coopération entre APD que sur l’amélioration générale du mécanisme de guichet unique en vertu du RGPD. Rationaliser la coopération entre APD : un objectif nécessaire Cette proposition de règlement a pour objectif de rationaliser la coopération entre les APD lors de l'application du RGPD dans les cas transfrontaliers. Pour atteindre cet objectif, la proposition propose d'harmoniser certains aspects des procédures administratives appliquées par les APD dans de tels cas. En effet, dans le cadre de la proposition, ces autorités pourront donner leur avis en amont des enquêtes et utiliser tous les outils de coopération prévus par le RGPD, tels que les enquêtes conjointes et l'assistance mutuelle.

…utiliser tous les outils de coopération prévus par le RGPD, tels que les enquêtes conjointes et l'assistance mutuelle. Il est indéniable que ces dispositions renforceront l'influence des autorités de protection des données sur les affaires transfrontalières, faciliteront l'établissement d'un consensus précoce dans l'enquête et réduiront les désaccords ultérieurs. ▪ Importance de fixer des délais concrets Toutefois, dans la proposition de règlement, le manque d’indications précises sur les délais de procédure pourrait nuire à la mise en place d’une coopération efficace entre les APD dans les affaires transfrontières. ➢ Ainsi, par exemple, ce manque de précisions sur les délais a été relevé concernant la notification des conclusions préliminaires aux autres APD.

…de précisions sur les délais a été relevé concernant la notification des conclusions préliminaires aux autres APD. En effet, lorsque l’autorité chef de file a l’intention de soumettre aux autres APD un projet de décision, elle rédige des conclusions préliminaires qu’elle notifie à l’ensemble des autres APD et fixe un délai dans lequel ces dernières peuvent faire connaître leur point de vue par écrit. Il est ainsi précisé que l’autorité de contrôle chef de file n’est pas tenue de tenir compte des avis écrits reçus après l’expiration de ce délai (article 14 §4). Dans un souci d’harmonisation, il est vivement recommandé que le règlement fixe un délai qui ne saurait être inférieur à un mois.

…il est vivement recommandé que le règlement fixe un délai qui ne saurait être inférieur à un mois. ➢ De même, l’absence d’indication de délai donné aux plaignants pour leur permettre de communiquer leurs observations avant la présentation du projet de décision révisé par l’autorité chef de file (article 17) rend difficilement perceptible la position des plaignants dans les étapes de la procédure, notamment en ce qui concerne la possibilité pour ceux-ci de faire connaître leur point de vue. ▪ Nécessité de prévoir un régime harmonisé de sanctions applicables par les APD En outre, pour maintenir cette harmonisation des principaux aspects des règles de procédure et éviter que des sanctions différentes soient appliquées par les APD, il est vivement recommandé que le règlement prévoie clairement le type de sanction applicable en cas de non-respect de celles-ci.

…recommandé que le règlement prévoie clairement le type de sanction applicable en cas de non-respect de celles-ci. ➢ Ainsi par exemple, avant de recevoir une version non confidentielle des conclusions préliminaires et tout autre document du dossier administratif identifié comme pertinent par l’autorité de contrôle chef de file pour faire connaître son point de vue sur ces conclusions, l’auteur de la réclamation doit envoyer une déclaration de confidentialité à l’autorité dans laquelle il s’engage à ne divulguer aucune information. Aucune sanction n’est prévue par le règlement en cas de non-respect de cet accord de confidentialité par l’auteur de la réclamation. Cette absence de précision pourrait avoir comme conséquence que chaque APD prévoit une sanction différente (voire une absence de sanction), ce qui serait contraire à l’objectif d’harmonisation du règlement.

…sanction différente (voire une absence de sanction), ce qui serait contraire à l’objectif d’harmonisation du règlement. Août 2023 3/4 ▪ Reformulation nécessaire des dispositions relatives au droit d’accès aux documents administratifs (article 21 §2) Par ailleurs, la proposition de règlement, telle qu’actuellement rédigée, pourrait conduire à un détournement du droit d’accès aux documents administratifs, ce qui ne correspond pas à l’objectif de la proposition. Il est en effet possible de déduire par une interprétation a contrario du deuxième paragraphe de l’article 21 que n’importe qui pourrait solliciter au titre du droit d’accès aux documents administratifs communication de l’entier dossier administratif de l’autorité de contrôle, sous réserve des occultations habituelles en la matière, une fois la procédure terminée.

…de l’autorité de contrôle, sous réserve des occultations habituelles en la matière, une fois la procédure terminée. ➢ Or, la circonstance que des documents aient été transmis à une autorité de contrôle afin de permettre à celle-ci d’exercer un contrôle sur un traitement mis en œuvre par la partie faisant l’objet de l’enquête devrait être sans incidence, par elle-même, sur les conditions dans lesquelles des tiers peuvent se les voir communiquer (voir en ce sens l’arrêt Anticor du Conseil d’Etat du 7 octobre 2022 n° 443826). ➢ Une modification de la proposition de règlement sur ce point paraît dès lors nécessaire.

…7 octobre 2022 n° 443826). ➢ Une modification de la proposition de règlement sur ce point paraît dès lors nécessaire. Importance d’améliorer le mécanisme de guichet unique en vertu du RGPD La Poste Groupe encourage toutefois la Commission européenne à veiller à ce que le mécanisme de guichet unique, introduit en vertu de l'article 56 du RGPD, soit maintenu et renforcé afin de garantir des conditions de concurrence équitables et la sécurité juridique pour les entreprises opérant dans différents États membres de l'UE. Les droits des parties impliquées dans la procédure d'enquête, y compris en particulier le droit d'être entendu, également devant le Comité Européen de la Protection des Données (CEPD), doivent être garantis.

…droit d'être entendu, également devant le Comité Européen de la Protection des Données (CEPD), doivent être garantis. Par ailleurs, le droit à une procédure judiciaire régulière ne doit pas être limité par des délais de procédure fixes et arbitraires qui ne tiennent pas compte de la spécificité et de la complexité de l'objet en question. L'une des conditions préalables à l'application harmonisée du RGPD dans les affaires transfrontalières est que les autorités de protection des données nationales aient une compréhension et une interprétation communes du RGPD. Actuellement, cette interprétation harmonisée fait défaut.

18 → 12

originalus šaltinis (PDF) ↗