Les entreprises Françaises bientôt condamnées à modifier leur système de traitement des données personnelles ?

Le 6 octobre 2015, la Cour de justice européenne a en effet rendu une décision invalidant le « Safe Harbor », ce traité transatlantique sur le transfert des données personnelles. Premiers touchés, les géants américains du numérique, comme Facebook, Google ou Microsoft, qui exploitent massivement les donnes personnelles.

Qu’en est-il des entreprises françaises qui, sans toujours le savoir, communiquent les données personnelles de leurs clients. De leurs salariés, de leurs contacts… sur des serveurs aux États Unis ? (Gmail, DropBox, Google Drive…)

A partir de la fin du mois de janvier, les entreprises américaines et européennes, et donc françaises, ne pourront plus faire circuler de données de part et d’autre de l’Atlantique.

Vous avez des doutes, vous souhaitez être accompagné ?

contactez-nous

Réagissez à cet article

Est-ce que la #réutilisation de données personnelles sera possible dans le #nouveau Règlement vie privée ?

La problématique

On ne peut pas savoir au moment de la collecte des données personnelles à quoi elles pourront servir dans quelques mois ou années. Surtout dans un contexte d’évolution technologique permanente et de plus en plus rapide.

Le gestionnaire des données est donc un jour ou l’autre tenté d’utiliser les données en sa possession, pour une finalité autre que celle annoncée initialement. Du reste, on rappelle que s’il n’utilise plus les données, le gestionnaire doit les effacer après une période qui dépend de la finalité de départ. Choix cornélien donc : soit j’efface les données si je reste dans la finalité de départ et que celle-ci a été exécutée, soit je les réutilise pour une nouvelle finalité si je souhaite conserver les données.

Les processus de Big data offrent un parfait exemple de la problématique. Les outils de profilage demandent par définition de se nourrir de très nombreuses observations issues de traitements de données divers et variés. La plupart du temps, ces traitements n’ont pas été mis en œuvre pour permettre un processus de profilage. Cette finalité n’était pas prévue initialement (par exemple, l’inscription et la gestion d’un jeu en ligne sur internet ; l’inscription et l’utilisation un site d’échanges en vue de vendre certains biens etc.). La nouvelle finalité est souvent incompatible avec la première et, selon les lois sur la protection des données personnelles, elle est a priori interdite.

Deux interprétations semblaient s’affronter :

• Soit on considérait que la nouvelle finalité incompatible ne pouvait être poursuivie qu’à la condition de recueillir le consentement de la personne concernant la nouvelle finalité d’utilisation des données. Dans notre exemple, le responsable qui veut se relancer dans son projet Big data, doit réinterroger chaque personne afin d’obtenir son consentement explicite sur la nouvelle finalité d’utilisation.
• Soit on admet y voir un nouveau traitement pouvant être poursuivi comme tel, c’est-à-dire en le soumettant à l’intégralité de la protection légale (information des personnes concernant la nouvelle finalité, nouvelles mesures de sécurité ou de sauvegarde si nécessaires, détermination d’une nouvelle base de licéité qui n’est pas forcément le consentement de la personne mais par exemple un équilibre d’intérêts avec droit d’opposition, nouvelle déclaration auprès de l’autorité de protection des données etc.). Cette deuxième opinion, plus souple, permet d’admettre une évolution inévitable des finalités d’utilisation, tout en garantissant les droits et libertés de la personnes.

Le système sévère du futur Règlement

La disposition finale du projet de Règlement ne comprend plus aucune disposition concernant le problème du changement de finalité et les conditions dans lesquelles il aurait pu intervenir.

L’évolution du texte témoigne d’un véritable débat sur ce point.

Le texte initial ne contenait aucune règle spécifique.

La seconde version a introduit un nouveau paragraphe ayant cet objet (article 6§4). Si les données étaient collectées par le même responsable du traitement, la poursuite d’une finalité ultérieure aurait été permise malgré l’incompatibilité des finalités, pour autant que l’on ait pu justifier celui-ci par une des hypothèses générales de licéité prévue au §1er(consentement, exécution d’un contrat, intérêt vital de la personne etc.).

En d’autres termes, selon la deuxième version du texte, le responsable aurait toujours pu remédier à une incompatibilité entre la finalité initiale et les finalités ultérieures du traitement, en identifiant une nouvelle base de licéité du traitement. En fin de compte, le responsable pouvait toujours prendre le risque de fonder la licéité du nouveau traitement sur la fameuse balance des intérêts, et gérer les soucis a posteriori.

La dernière version du Règlement, ayant fait l’objet du dernier vote en commission, a purement et simplement retiré ce paragraphe.

Le Groupe Article 29 a donc obtenu satisfaction, lui qui avait fortement critiqué cette disposition qui, à ses yeux, mettait à mal et vidait de sa substance le principe de finalité (cfr. Article 29, Opinion 03/2013 on purpose limitation, 2 avril 2013, p. 36 et 37).

Le principe de base est dès lors celui de l’exigence de la compatibilité des finalités nouvelles avec les finalités initiales, sauf consentement de la personne concernée ou un texte légal spécifique le permettant pour des finalités spécifiques (sécurité nationale, défense, sécurité publique etc.) En cas d’incompatibilité, la poursuite de la finalité incompatible est donc prescrite et le changement de finalité rendu illicite.

Des conséquences pratiques importantes

Le Règlement choisit donc la sévérité concernant le régime de changement des finalités.

L’interdiction de traitement en cas d’incompatibilité des finalités s’oppose à l’évolution d’un traitement de données qui est en quelque sorte « figé » par sa finalité réelle de départ. Si des données ont été traitées pour les besoins d’exécution d’un contrat, elles ne pourront la plupart du temps pas être traitées pour une communication à un tiers en vie d’alimenter un processus de profilage big data car ce sera considéré comme finalité incompatible, sauf à obtenir a posteriori le consentement de chacune des personnes concernées.

Sans aller jusqu’à autoriser le changement de finalité sans garantie particulière, un moyen terme était possible si on était parti du principe que la seconde finalité générait un « nouveau » traitement qui devait être soumis au respect de l’intégralité des dispositions de la loi (nouvelle information des personnes, identification d’un nouveau critère de licéité, identification des mesures de sécurité spécifiques, le cas échéant, etc.) et pas seulement à la seule exigence de la licéité.

La solution du Règlement est autre : on ne peut pas modifier une finalité annoncée sans le consentement préalable de la personne.

Ce qui pose non seulement problème pour le traitements futurs mais aussi question pour les traitements antérieurs ou qui seront en cours au moment de l’entrée en vigueur du futur Règlement. Le Règlement ne prévoit en effet pas de régime transitoire.

Réagissez à cet article

Vol et fuite de données, comment les éviter ?

Et si vous possédiez déjà l’argile des futurs développements de votre entreprise ? En effet, en travaillant les données récoltées par les différents services de votre société, vous pouvez déjà optimiser vos produits et services actuellement commercialisés notamment via l’analyse des données liées à la satisfaction des clients. Mais, plus encore, vous pouvez également faire évoluer vos produits et services voire en créer de nouveaux. L’étude des data permet de comprendre les usages et de modifier les produits et services en fonction de ces usages.

Citons les statistiques sur les données révélant les besoins des usagers des transports publics. Citons plus précisément la compréhension des verbatims-clients grâce au logiciel d’analyse sémantique de Dictanova. Citons encore les données issues de l’analyse des cultures agricoles récoltées par les sondes de Weenat.

Déclaration à la CNIL obligatoire

Pour réussir parfaitement cette utilisation, certaines précautions doivent être prises et en tout premier lieu, lorsque votre base de données contient des données personnelles, il est absolument nécessaire de procéder au préalable aux déclarations CNIL (simplifiées, normales voire demande d’autorisation). Outre les potentielles sanctions administratives et pénales, un fichier non déclaré est considéré comme illicite et ne peut donc être ni vendu ni loué. Les juges ont clairement déclaré qu’un tel fichier non déclaré constituait un objet illicite, hors commerce, insusceptible d’être vendu (Com. 25 juin 2013). Rappelons également que l’introduction dans un fichier d’une donnée personnelle nécessite le consentement éclairé et préalable de la personne concernée.

Mais, la Data, c’est également une multitude d’informations qui n’ont aucun rapport avec les données personnelles. On peut les appeler « données objectives » ou « données brutes ». Or, au cœur de votre entreprise, il y a aussi de telles informations qui sont certes, plus ou moins organisées. Sachez qu’une fois optimisée en base de données, la data est une véritable mine d’or.

Droit d’auteur ou droit du producteur ?

En organisant vos données, vous valorisez à la fois le contenu (la data) et le contenant (la ou les bases de données). La base de données peut être protégée par le droit d’auteur si le choix ou la disposition des matières constitue une création intellectuelle originale c’est-à-dire lorsque son auteur ou son concepteur fournit un effort personnalisé, éloigné de toute logique automatique et contraignante (cf. article L112-3 du Code de la propriété intellectuelle).

La base de données peut également être protégée via la reconnaissance de la qualité de producteur de bases de données. Ici, il s’agit de démontrer en particulier le risque des investissements sur la base de données lors de sa constitution, sa vérification ou sa présentation : investissement financier, matériel ou humain substantiel relevant des moyens consacrés à la recherche de données existantes, à leur rassemblement et le suivi de la base (cf. article L341-1 du Code précité).

Par conséquent, droit d’auteur ou droit du producteur de base de données, vous pouvez être titulaire d’un véritable droit de propriété sur vos données via l’existence de véritables bases de données.

A ce titre, vous pouvez vous en réserver l’exclusivité et délivrer à vos clients des prestations de service ou des licences d’utilisation, issues de l’exploitation des données. La seule réserve dégagée par les juges est l’abus de position dominante de telle manière qu’un monopole sur certaines données ne doit pas être préjudiciable aux autres acteurs économiques (Com. 4 décembre 2001 – France Télécom et son fichier d’abonnés).

Sans l’organisation de la data au sein de bases de données, votre data est de libre parcours. Elle relève du bien commun. Titulaire d’un droit de propriété intellectuelle, vous pouvez interdire certaines formes d’extraction et d’utilisation du contenu de votre base et donc de votre data. Dans ces conditions, invoquer un acte de contrefaçon est plus aisé que de démontrer un acte de  concurrence déloyale ou de parasitisme.

Parce qu’une fois organisées, les données de votre entreprise ont de la valeur, il faut cultiver votre data,  sans trop dénaturer la maxime de Voltaire « Il faut cultiver notre jardin » !

Réagissez à cet article

La CNIL sanctionne une société marketing

Profils Seniors est une petite société basée dans l’Essonne et « a pour activité la constitution d’une base de données de seniors qu’elle loue à des tiers effectuant de la prospection commerciale électronique », rappelle la CNIL dans son communiqué.

Or, les personnes interrogées par téléphone ne sont pas informées clairement de cette finalité, ce qui amène « à considérer cette collecte comme déloyale », estime l’organisme, chargé de veiller au respect des données personnelles faisant l’objet d’un traitement informatique.

Ainsi, selon les contrôles réalisés sur place par la CNIL en 2015, « les personnes appelées pensent participer à une enquête sur la consommation des ménages français, alors que l’appel vise également à constituer une base de données de seniors qui feront l’objet de prospection commerciale électronique par des tiers ».

Du non-consentement préalable à la non-protection des données personnelles

Par ailleurs, « la société ne recueillait pas le consentement préalable des personnes à recevoir de la prospection commerciale par voie électronique, tel qu’exigé par les textes » et « n’assurait pas la sécurité et la confidentialité des données personnelles qu’elle traitait », ajoute la CNIL.

De plus, Profils Seniors n’assurait pas « la sécurité et la confidentialité des données personnelles qu’elle traitait et qu’il n’existait pas de contrat ou de clauses spécifiques avec ses sous-traitants permettant de leur imposer des conditions de sécurité et de confidentialité des données » et n’avait pas « déposé une demande d’autorisation pour le transfert des données vers des sous-traitants situés dans des pays en dehors de l’Union européenne », souligne la commission.

Les sanctions que peut prononcer la CNIL vont de l’avertissement au retrait d’autorisation, en passant par la sanction pécuniaire (150.000 euros maximum) et l’injonction de cesser le traitement de données concernées.

L’organisme, qui plaide lui-même régulièrement pour un renforcement de ses pouvoirs, souligne par ailleurs que l’adoption du règlement européen sur les données personnelles lui permettrait, à partir de 2018, d’infliger des sanctions allant jusqu’à 4% du chiffre d’affaires de la société incriminée.

Réagissez à cet article

Des règles désormais plus strictes pour la protection des données privées

Après 3 ans, Parlement, Commission et Conseil Européen, le « trilogue » bruxellois, sont d’accord sur la réforme de la protection de la vie privée. La directive de 1995 et ses mises à jour étaient obsolètes et furent transposés sans harmonie dans les Etats, d’où l’idée d’un règlement qui s’appliquera tout de suite.

Ce règlement s’applique aux données privées traitées, pas celle qui sont stockées en vrac. Ce sont les résultats qu’on tire de l’exploitation de ces données qui sont dangereuses. Le règlement ne s’appliquera pas aux traitements des données dans un cadre privé (ouf !). Les autorités judiciaires ne seront pas soumises au contrôle des commissions de vie privée

Celui qui gère et traite vos données (le data controller) devra bien être identifié et réel. Celui qui héberge ses données (data processor) tombe aussi sous le règlement : s’il n’est pas établi dans l’Union, le règlement s’applique à lui quand même , surtout s’il s’agit de profiler le comportement en ligne des citoyens européens. Le pays superviseur sera celui du pays du siège principal du data controller et non pas là où les data centers ont été (dé)localisés. C’est à ce prix qu’un Amazon ou Google n’aura plus à dépendre de 28 commissions de vie privée différentes. Si l’entité n’est pas présente dans l’Union, elle doit mandater un représentant. Le règlement évoque la pseudonymisation, une contraction d’anonymisation et pseudonyme : l’usage de pseudonymes n’exempte pas les sites d’appliquer le règlement, car on peut souvent remonter à qui est derrière. Par contre, le règlement ne s’applique plus après un décès !

Consentement

Le consentement de l’individu au traitement de ses données, qui existe depuis 1995, sera explicite et non tacite). Le data controller doit en garder la preuve: elle sera non valable si l’utilisateur final a subi un petit chantage (par ex. un service dégradé sans ces données privées). Pour la recherche scientifique, on admet qu’il n’est pas facile de demander à l’avance ce consentement, car on ne sait pas toujours ce qui va en sortir.

Si le data controller détecte des crimes ou des menaces à l’ordre public, il doit les communiquer aux autorités. Idem en cas de cybermenace.

Si le traitement des données vise un but humanitaire, de santé publique (épidémies), ou un cas d’urgence pour l’utilisateur final, leur traitement va de soi, consentement ou pas!

Les données sur l’emploi, la protection sociale et les revenus devraient aussi pouvoir être exploitées si le but est, pour l’État, d’augmenter le bien-être public et une politique ad hoc.

Le traitement de données personnelles doit être proportionnel : si on peut l’éviter à service équivalent, c’est mieux. De même, si la société qui a des données de vous ne sait pas vous identifier, elle ne doit pas chercher à le savoir pour… avoir votre consentement.

Les données sensibles : race, religion, opinion politique

Les données liées à l’exercice de droits et de choix fondamentaux, comme la religion, l’appartenance politique ou la race bénéficient d’une protection renforcée. Leur traitement devrait être une exception et soumis, avant leur exécution, à une analyse d’impact du risque encouru d’un tel profilage. Par contre, les photographies ne seront pas protégées saut à contenir des données biométriques.

Accès et rectification de données chez les tiers

Le droit à la rectification doit être aisé à exercer, en ligne par exemple si les données ont été collectées ainsi. Une réponse, oui ou non, sera fournie dans le mois. À charge pour le data controller de vérifier que celui qui adresse sa demande d’accès est la bonne personne. Le droit à l’oubli à la «Google» devient… un droit à l’effacement si les données collectées ne sont plus nécessaires ou ne sont plus traitées. Ce droit à l’effacement s’opérera en cascade : les entités qui auraient rendu les données publiques seront obligées d’informer les autres qui les exploiteraient ou les auraient copiés.

À une demande d’une copie de ses données personnelles (droit d’accès), c’est un format lisible par un humain qui est exigé, pas du binaire ! D’ailleurs, dit le règlement, ne faudrait-il pas un format de donnes interopérables pour permettre, enfin, la portabilité des données entre sociétés. Il n’est pas précisé si c’est applicable au cloud (car c’est du stockage, pas du traitement). Le règlement évoque les algorithmes qui prennent des décisions sur base des données personnelles ainsi que le profilage.

Fuites et vol des données

Les fuites de données devront être notifiées aux autorités et aux personnes impactées dans les 72 heures à moins que leur chiffrage ne les rendent inviolables. À noter tout de même un relâchement de l’obligation de notifier à la commission de vie privée tous les traitements des données personnelles, uniquement les cas risqués d’atteintes aux droits et libertés fondamentales.

Échanges internationaux

Les données peuvent être échangées avec des pays tiers en dehors de l’Union : c’est à la Commission de statuer si le pays répond ou non aux exigences minimales de sécurité. La Commission peut aussi retirer son agrément.

Le data controller peut toutefois continuer à opérer avec un pays « peu sûr » s’il compense avec des mesures de sécurité supplémentaires. Les sociétés peuvent mettre en place entre leurs filiales des règles internes pour atteindre un même niveau de sécurité que le règlement. Attention aux échanges avec des pays tiers (ex : les USA à la demande d’une cour) et donc à l’application extraterritoriale de ses lois à des citoyens européens : ils sont autorisés s’ils sont couverts par un traité d’assistance mutuel.

Le texte s’étendra aux pays associés à l’Union : Liechtenstein, Norvège et Islande. La Suisse s’en s’inspirera-t-elle ?

Réagissez à cet article

Infractions aux données personnelles : les associations pourraient se porter partie civile – Politique – Numerama 

Le gouvernement estimant urgent d’attendre l’adoption du règlement européen sur les données personnelles, qui ne laissera selon Axelle Lemaire « aucune marge de manœuvre » aux États, les députés ont rejeté jeudi un amendement qui aurait permis de muscler très sensiblement les sanctions que peut prononcer la CNIL lors d’infractions à la législation sur la protection des données personnelles. Il aurait mis fin à ces situations ridicules qui font que Google, pris la main dans une confiture très grasse, ne se voit infliger qu’une amende équivalente à 2 minutes de chiffre d’affaires.

Mais en attendant, les députés ont tout de même fait ajouter au projet de loi d’Axelle Lemaire une disposition qui autoriserait les associations à se porter civile, et donc à réclamer des dommages et intérêts, lorsque des individus ou des entreprises commettent des infractions pénales liées aux données personnelles.

Des dommages et intérêts

Le texte dispose en effet que « toute association régulièrement déclarée depuis au moins deux ans à la date des faits, se proposant, par ses statuts, de protéger les données personnelles ou la vie privée peut exercer les droits reconnus à la partie civile en ce qui concerne les infractions prévues aux articles 226-16 à 226-24 du code pénal », réunies sous le titre des « atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques ».

Parmi ces dernières figure notamment l’irrespect des préconisations légales imposées par la loi CNIL, le défaut de sécurisation dans les traitements de données personnelles, la conservation hors délai des données, la constitution sans autorisation de certains fichiers de données sensibles, ou encore l’obtention de données par fraude.

L’amendement adopté précise que « quand l’infraction aura été commise envers des personnes considérées individuellement, l’association ne sera recevable dans son action que si elle justifie avoir reçu l’accord de ces personnes »… Lire la suite

Réagissez à cet article

Propriété des données personnelles dans la loi Lemaire

Réagissez à cet article

Retard pour la plateforme nationale des interceptions judiciaires

Réagissez à cet article

Les principales mesures du nouveau règlement européen sur la protection des données

La Commission européenne, le Parlement européen et le Conseil européen, qui travaillent depuis cet été à la constitution d’un compromis, se sont entendus le 15 décembre au soir sur un règlement européen sur la protection des données, qui harmonise des législations nationales très variées (voire inexistantes) pour donner aux citoyens un meilleur contrôle sur la façon dont leurs données sont collectées et utilisées. Comme tout règlement, celui-ci n’aura pas besoin d’être transposé en droit national et s’appliquera directement à partir du début 2017.

 
Parmi les principales mesures approuvées, on trouve :
Un important pouvoir de sanction accordé aux différentes « Cnil » nationales, qui pourront infliger des amendes allant jusqu’à 4% du chiffre d’affaires mondial (jusqu’à un certain plafond) des entreprises qui utilisent à mauvais escient les données numériques des gens, notamment en y accédant sans leur consentement. Autrement dit, des amendes pouvant atteindre plusieurs millions d’euros qui devraient a minima constituer une bonne dissuasion. Toutefois, pour ne pas empêcher les entreprises de tirer profit du big data, elles pourront traiter librement les données une fois effacée l’identité précise des utilisateurs.

L’obligation, pour les entreprises victimes de fuite de données, de signaler leur cas aux régulateurs nationaux sous trois jours, sous peine là encore de fortes amendes.

Le droit à l’oubli, entériné par le règlement, qui permet aux citoyens européens de demander à supprimer des informations en ligne qui les concernent mais ne sont plus pertinentes.

La portabilité des données, qui permet aux utilisateurs de demander le transfert de leurs données d’une plateforme vers une autre.

L’obligation, pour les moins de 16 ans, de demander une autorisation parentale avant de pouvoir utiliser des services tels que Facebook, Snapchat ou Instagram. Bruxelles proposait 13 ans comme aux Etats-Unis, mais certains pays dont la France ont poussé pour relever cette majorité numérique. Chaque Etat membre est toutefois libre d’y déroger.

L’extension de ces nouvelles règles à toutes les sociétés qui comptent des utilisateurs dans l’Union européenne, même si elles sont basées hors de l’UE. Dans la Silicon Valley par exemple.

Autrement dit, le règlement se fait beaucoup plus protecteur des citoyens européens que la législation équivalente aux Etats-Unis, mais également bien plus sévère à l’égard des sociétés qui y contreviendraient.

Naturellement, les géants américains ont protesté en accusant l’Union de les cibler injustement, au détriment de leurs petits rivaux européens. Ils estiment en particulier que lier les sanctions au chiffre d’affaires mondial n’a pas de sens. Mais l’UE, qui a toujours rejeté ces accusations, est restée ferme. Les grandes plateformes US ont donc sans doute du souci à se faire, à l’instar d’un Facebook qui a déjà eu maille à partir avec les régulateurs nationaux en France, en Espagne, en Allemagne, aux Pays-Bas et encore récemment en Belgique.

Réagissez à cet article

L’UE parvient à un accord de principe sur la protection des données personnelles  

 
Après quatre ans d’âpres discussions, un accord de principe a finalement été trouvé mardi 15 décembre à Bruxelles, afin d’adapter la législation européenne sur la question de la protection des données personnelles à l’heure d’internet. Le texte a été validé à l’occasion d’une réunion associant le Parlement européen, la Commission et le Conseil, qui représente les Etats.

« L’UE aura désormais la législation la plus étendue de protection des données personnelles dans le monde », s’est réjouie l’eurodéputée Sophie in ‘t Veld (libérale). L’accord prend en compte la décision récente de la justice européenne qui a déclaré « invalide » le cadre juridique qui couvre le transfert par Facebook de données personnelles de l’UE vers les Etats-Unis, a-t-elle souligné.
Des entreprises inquiètes des sanctions

L’accord tente de faire la synthèse entre l’exigence de donner plus de moyens de contrôle aux citoyens quant à leurs informations personnelles et la nécessité d’harmoniser les législations des États membres afin de faciliter le travail des entreprises.

Parmi les autres points de discussion, figurait notamment le montant des amendes que devront payer les entreprises qui violent les règles européennes sur la protection des données. Au terme de l’accord, les géants d’internet pourraient se voir sanctionner à hauteur de 4% de leur chiffre d’affaires annuel mondial.

Quel âge minimum sur les réseaux sociaux?
Selon cet accord, les États membres pourront fixer librement « entre 13 et 16 ans » l’âge auquel un mineur peut s’inscrire sur des réseaux sociaux comme Facebook ou Snapchat, sans l’accord d’un parent, a indiqué l’Allemand Jan-Philipp Albrecht (Verts), rapporteur du Parlement européen sur la réglementation de la protection des données.

« Malheureusement, les États membres n’ont pas pu se mettre d’accord pour fixer une limite d’âge à 13 ans pour le consentement parental à l’utilisation de réseaux sociaux comme Facebook ou Instagram », a expliqué Jan-Philipp Albrecht, à l’issue d’une réunion associant le Parlement européen, la Commission et le Conseil, qui représente les Etats.
Le Parlement européen voulait fixer cette limite à 13 ans, soit l’âge minimum requis indiqué par Facebook, mais certains Etats membres s’y sont opposés.

Un accord contraignant

L’accord devra encore être confirmé par le Conseil européen et voté par le Parlement au début de l’année 2016. Il restera ensuite deux ans aux États membres pour le faire entrer en vigueur. L’accord, qui comprend un règlement et une directive, a vocation à s’imposer à tous les États membres.

En juin, les ministres européens de la Justice avaient déjà trouvé un accord sur la création d’un « guichet unique » compétent pour veiller à l’application des règles pour les transferts transfrontaliers de données personnelles collectées dans plusieurs pays de l’UE par des entreprises ou des plateformes internet comme Amazon, Google et Facebook.

Réagissez à cet article