La Médiathèque

En matière de données à caractère personnel, les conceptions européenne et anglo-saxonne (au premier rang desquelles se trouve la conception américaine) divergent sur de nombreux points. Ainsi, l’une des plus grandes différences entre les approche européenne et américaine concerne le caractère commercial ou non des données personnelles. 

« Aux États-Unis, certaines données – par exemple des données collectées par les hôpitaux ou par les banques – bénéficient d’une protection élevée. Mais en dehors de ces zones protégées, les entreprises sont libres d’exploiter des données pour autant que les entreprises ne commettent pas de ‘pratique déloyale’. En Europe, les données à caractère personnel sont rattachées à un droit fondamental. Toute exploitation de données constitue une violation potentielle d’un droit fondamental, et devra être justifiée par un intérêt légitime, un consentement, l’exécution d’un contrat, etc. », explique Winston J. Maxwell, actuellement Directeur d’Études Droit et Numérique à Télécom Paris, dans une note publiée alors qu’il était Partner au sein du cabinet d’avocats Hogan Lovells.

Aux USA, la « common law » de chaque État reconnaît un droit à la protection de la vie privée à l’égard d’acteurs privés. Outre ces règles spécifiques à chaque État, les États-Unis disposent de lois fédérales visant la protection des données à caractère personnel dans certains secteurs. « La première grande loi sur la protection des données à caractère personnel concernait les traitements de données effectués par le gouvernement fédéral. Le Privacy Act de 1974 établit des règles sur le traitement des données à caractère personnel collectées par les différentes branches du gouvernement », rappelle Winston J. Maxwell. 

Après le Privacy Act de 1974, le législateur fédéral a développé une série de lois visant la protection des données à caractère personnel dans le secteur privé : HIPAA (Health Insurance Portability and Accountability Act) pour la protection des données de santé, GLBA (Gramm-Leach-Bliley Act) pour les données financières, COPPA (Children’s Online Privacy Protection Act) pour la protection des données concernant les enfants, FCRA (Fair Credit Reporting Act) visant à réguler les profils de solvabilité des individus, ECPA (Electronic Communications Privacy Act) pour les données de télécommunications, « Can-SPAM » Act pour l’interdiction des messages publicitaires... 

« Certaines de ces lois sont aussi protectrices que les lois européennes, même si leur champ d’application est plus restreint. En plus de ces lois fédérales, chacun des États américains a adopté des lois visant la protection de certains aspects de la vie privée de leurs citoyens. L’État de Californie a notamment adopté une loi protégeant les données à caractère personnel dans le cadre de sites Internet, ainsi qu’une loi accordant un droit à l’effacement à des utilisateurs mineurs de réseaux sociaux », note Winston J. Maxwell. 

« Plus récemment, l’adoption du RGPD, qui a comme finalité d’assurer aux résidents européens une protection des données personnelles globale et universelle, renforce cette approche. Le RGPD transcende les secteurs d’activité et les domaines d’utilisation des données personnelles et couvre tout traitement de données personnelles, par quelque moyen que ce soit. (...) Cette approche globale est censée accorder une protection complète et solide aux libertés et droits fondamentaux des citoyens et résidents de l’UE », poursuit Stephan Grynwajc.

Cette approche globale mise en œuvre par les Européens a d’ailleurs poussé le Département du commerce américain à conclure successivement le Safe Harbor en 2000 et le Privacy Shield en 2016 avec la Commission européenne pour encadrer le transfert des données personnelles de l’Union européenne vers les États-Unis. 

Dans la foulée de cet accord, la Commission européenne a lancé fin 2022 un processus d’adoption de la décision d’adéquation concernant le cadre de protection des données entre l’Europe et les États-Unis. Une décision d’adéquation est un processus prévu par l’article 45 du RGPD. Elle autorise le transfert de données à caractère personnel depuis l’UE vers un pays tiers, à niveau de protection identique. 

Dans le cadre d’une stratégie de conformité globale, il appartient aux organismes de mettre à disposition du DPO les moyens nécessaires  pour combiner les obligations de conformité et les impératifs de protection du savoir-faire et de confidentialité. En 2023, il sera d’autant plus nécessaire de veiller à la conformité les processus internes de traitement des demandes d’exercice de droits que le CEPD12 a enjoint les autorités nationales à mettre l’accent sur les fonctions des DPO.

→ Exemple de question : Avec le travail hybride, la direction ne s’y retrouve plus : doit-on conserver les bureaux ? Pour avoir une idée du nombre de collaborateurs qui viennent au bureau, on décide d’installer des caméras de surveillance dans les bureaux. Est-ce possible ?

 

Au cœur de la conformité RGPD se trouve l’individu. Toute la démarche consiste à le protéger à l’égard du traitement de ses données. Cette protection passe notamment par le respect des principes suivants : la minimisation des données, la transparence des traitements, la protection des supports de traitements et de stockage, la limitation de la durée de conservation des données, la protection des données dès la conception. Ces principes font écho aux axes stratégiques du NR qui convergent vers la protection de l’individu et de l’écologie. Par exemple, lorsque le RGPD impose de collecter uniquement les données nécessaires et de les conserver de manière limitée, cela contribue également à limiter les supports et volumes de stockage et donc émettre moins de gaz à effet de serre. Aussi, le principe Privacy by design et l’écoconception doivent désormais se conjuguer en matière de développement d’application technologique. De même, l’application des bonnes pratiques NR comme le reconditionnement des matériels, le télétravail, le BYOD implique nécessairement de tenir compte du RGPD. Ainsi, les deux matières s’inscrivent dans le champ de l’éthique et de la protection. Il est dès lors envisageable, et même préférable, de les aborder de manière simultanée et intégrée. Le RGPD et le NR sont donc des approches complémentaires qui visent à garantir une utilisation responsable et éthique du numérique. En respectant les obligations du RGPD et en adoptant une approche NR, les entreprises peuvent assurer une utilisation responsable et durable du numérique, tout en protégeant les droits fondamentaux des individus et en contribuant à la lutte contre les enjeux sociaux et écologiques.