©
Spoiler
Pourquoi l’Europe s’est tirée une belle balle dans le pied avec ses nouvelles règles sur les données personnelles
Le nouveau Règlement général sur la protection des données qui a été promulgué et qui devrait rentrer en application dans un mois restreint les conditions d'utilisation des données personnelles des entreprises de cloud. Mais les géants de la Tech seront beaucoup moins affectés que les entreprises européennes.
Jean-Paul Pinte
Jean-Paul Pinte est docteur en information scientifique et technique. Maître de conférences à l'Université Catholique de Lille et expert en cybercriminalité, il intervient en tant qu'expert au Collège Européen de la Police (CEPOL) et dans de nombreux colloques en France et à l'International.
Titulaire d'un DEA en Veille et Intelligence Compétitive, il enseigne la veille stratégique dans plusieurs Masters depuis 2003 et est spécialiste de l'Intelligence économique.
Certifié par l'Edhec et l'Inhesj en management des risques criminels et terroristes des entreprises en 2010, il a écrit de nombreux articles et ouvrages dans ces domaines.
Il est enfin l'auteur du blog Cybercriminalite.blog créé en 2005, Lieutenant colonel de la réserve citoyenne de la Gendarmerie Nationale et réserviste citoyen de l'Education Nationale.
Atlantico : Le nouveau Règlement général sur la protection des données qui a été promulgué et qui devrait rentrer en application dans un mois restreint les conditions d'utilisation des données personnelles des entreprises de cloud. Cependant, si cette législation semble inquiéter certaines entreprises européennes du fait du nombre de contraintes et de normes qu'elle promulgue, ce ne serait pas du tout le cas du côté de la Silicon Valley. Le RGPD pourrait-il bénéficier à Google et Facebook ?
Jean-Paul Pinte : Le RGPD pourrait surtout servir les grands acteurs mondiaux qui fournissent des services gratuits aux consommateurs, les GAFA en tête. Aujourd’hui rares sont ceux d’entre nous qui sont prêts à se passer de Facebook, d’Instagram, de Google, de Gmail, de Google Map, de WhatsApp, de Netflix, d’Amazon…Ces derniers sont implantés depuis bien longtemps dans nos vies devenues numériques et ont déjà bien moins de mal à obtenir des consentements, clés de voûte de ces Business Models que des grands groupes ou entreprises ayant des produits à vendre (FNAC, RENAULT, par exemple, et tout autre site de e-commerce par exemple). Les habitudes sont donc ancrées et plus faciles à faire passer que dans des sites de vente en ligne où l’on ne peut imaginer un processus d’achat interrompu voire ralenti avec une multitude de consentements. Il en va de même pour tous ceux qui ne demandent rien à la consultation tel un logging et la tâche s’avère plus donc plus rude pour ces derniers.
Sur Google et Facebook nous n’avons pas l’impression d’être des clients et c’est là-dessus qu’il convient d’insister.
Le RGPD devrait atténuer ce flou qui existe de manière presque naturelle et devrait rendre de toute façon les internautes plus impliqués, plus responsables de leur navigation et on peut imaginer aussi qu’ils pourraient demander demain de ces grands du Web une contrepartie ou une compensation gratuite. Google ou Facebook vivent de nos données personnelles. Que ces entreprises soient américaines ne les dispenseront pas en effet pas de respecter les règles fixées par le RGPD. Les amendes pourront aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial. le projet de taxation de 3% du chiffre d’affaires (et non des bénéfices !) tirés des activités numériques. Une taxe qui vise très clairement les GAFA puisque ne seront concernées que les entreprises dont le chiffre d’affaires annuel mondial est supérieur à 750 millions d’euros, et dont les revenus dans l’UE dépassent les 50 millions d’euros. D’autres taxes sont à l’étude et en dehors de ces dernières nouvelles règles européennes concernant les impôts sur les sociétés devraient voir le jour. Ces règles devraient permettre aux Etats de taxer les entreprises du numérique réalisant des profits sur leur territoire mais sans y être physiquement présentes comme Google.
Facebook a déjà commencé à prévenir sa communauté de ses nouvelles politiques, et ce même si le règlement prévoit une durée de mise aux normes de deux ans. Concrètement qu'est-ce que le RGPD va changer pour une entreprise telle que Facebook ? Et pour une entreprise classique française ?
Facebook vient de changer d'avis sur la protection des données personnelles de ses utilisateurs. Comme le rapporte l'agence Reuters, le réseau social a changé ses conditions générales d'utilisation pour que 1,5 milliard de ses utilisateurs ne tombent pas sous le coup du prochain Règlement Général pour la Protection des Données (RGPD). C'est-à-dire 70 % des utilisateurs de Facebook...
Après plusieurs de tourments liés à l'exploitation des données personnelles de ses utilisateurs par Cambridge Analytica, Facebook annonce s'appuyer sur le RGPD pour offrir « de nouvelles expériences de protection de la vie privée à tous ses utilisateurs ».
Et pourtant Mark Zuckerberg déclarait début avril que le réseau social Facebook n’avait pas prévu d’appliquer de façon mondiale et uniforme le RGPD. Il avait aussi reçu l’instruction de ne pas dire que Facebook était conforme au RGPD. La présidente de la Cnil a profité de la présentation du rapport annuel d'activité du gendarme de la protection des données, pour mettre en garde les Gafa sur l'utilisation des données personnelles après l'affaire Facebook-Cambridge Analytica.
Aujourd’hui le RGPD contraint Facebook à obliger ses utilisateurs, partout dans le monde, à valider leurs paramètres de confidentialité en regard du droit européen. Facebook a aussi publier ses principes de confidentialité pour la première fois et envisage encore de déployer des vidéos éducatives pour aider les utilisateurs à contrôler les accès à leurs informations. C'est ce qu'a annoncé Erin Egan, Chief Privacy Officer du numéro un des réseaux sociaux.
Comme l’indique cet article du Monde Informatique, Facebook va aussi demander à tous ses utilisateurs de spécifier le niveau de personnalisation des publicités ciblées relayées par la plateforme. Ils devront dire aussi s’ils veulent continuer à partager leurs informations de profils, notamment celles relatives à l’appartenance religieuse, à leurs relations ou à leurs préférences politiques. Ce même article stipule aussi que les demandes de modifications concerneront d'abord l’Europe, afin de mettre la plateforme en conformité avec le Règlement général sur la protection des données de l'Union européenne, dont l’entrée en vigueur est fixée au 25 mai prochain. Les utilisateurs devront également autoriser l’utilisation de la reconnaissance faciale, que l'entreprise utilise en dehors de l'UE pour identifier les « amis » sur les photos et les vidéos téléchargées par eux-mêmes ou non, sur le réseau social.
Pour une entreprise traditionnelle Le RGPD demande aux organisations d’inscrire la protection des données personnelles dans leur mode de fonctionnement et de conception - d’où la notion de « Privacy by default » ou de « Privacy by design ». Autre impératif, être en mesure de rendre compte (notion « d’Accountability ») des mesures prises et des actions menées au quotidien.
Le RGPD vient harmoniser les pratiques en terme de protection des données à l’échelle européenne par application directe du règlement à l’ensemble des états. Il vient aussi renforcer les règles existantes en matière de collecte et de traitement des données à caractère personnel pour garantir les droits des citoyens, notamment face à l’émergence de nouvelles technologies. Les sanctions prévues ont été alourdies afin de sensibiliser les acteurs à la protection des données.
On retrouve ici ligne par ligne toutes les étapes indispensables de ce règlement qui n’est pas une directive. Quelques fiches pratiques peuvent également aider l’entreprise à tester son adéquation à l’échéance prochaine du 25 mai 2018.
Concrètement, le GDPR sera-t-il donc une réglementation suffisante pour contrer les excès et abus des GAFA, sous le feu des critiques pour leurs pratiques jugées peu éthiques depuis le début de l'année ?
Les amendes et sanctions infligées en cas de non-respect des règles fixées sont certes plus importantes et peuvent inciter les GAFA à entrer dans le cadre fixé par le RGPD. Elles seront décuplées avec des amendes avec un quantum maximal de 4% du chiffre d'affaires mondial de l'entreprise.
La Présidente de la CNIL signale que les différentes autorités nationales pourront "prendre une décision collective" sur d'éventuels manquements de Gafa. "Cela nous donnera collectivement une force beaucoup plus importante que précédemment" a ajouté la présidente de la Cnil. "Cela va permettre à empêcher que ces acteurs jouent la France contre l'Irlande, contre le Luxembourg ou contre les Pays-Bas".
Au vu de la montée en puissance des mastodontes de la toile, la France aurait intérêt à créer une véritable ambassade du numérique auprès des GAFA, à l’image du Danemark, afin d’influencer la politique des données personnelles et la gouvernance d’internet.
En raison de débordements, nous avons fait le choix de suspendre les commentaires des articles d'Atlantico.fr.
Mais n'hésitez pas à partager cet article avec vos proches par mail, messagerie, SMS ou sur les réseaux sociaux afin de continuer le débat !