Après trois années de discussions, les instances européennes s’accordent sur un nouveau cadre européen de protection des données, en remplacement de la directive sur la protection des données de 1995.

La réforme porte sur à la fois sur la régulation générale sur la protection des données, et sur la directive de protection des données pour les autorités de police et de justice criminelle.

Ce nouveau cadre a aussi pour but d’encourager le marché commun du numérique en Europe.

Les textes doivent encore être votés par le Parlement européen, et acceptés par le Conseil européen début 2016. Ils entreront en vigueur deux ans plus tard.

Entreprises

Pour les entreprises, le nouveau cadre simplifie les procédures en unifiant les règles concernant la protection des données à tous les pays membres et avec une autorité de contrôle comme interlocuteur unique. Les entreprises étrangères qui offrent des services en Europe seront tenues par les mêmes obligations que les entreprises européennes.

Les petites et moyennes entreprises pourront facturer des demandes d’accès aux données jugées infondées ou excessives, ne seront tenues de procéder à une évaluation d’impact que quand ‘il y a un risque élevé’, ni de désigner un responsable pour la protection des données, sauf si le traitement des données est au cœur de leur activité.

En revanche, les pénalités pour les entreprises ne respectant pas les directives pourront atteindre 4 % du chiffre d’affaires. Les entreprises seront aussi tenues d’informer les autorités nationales en cas de piratage et d’accès non autorisé aux données.

 

Citoyens

Le citoyen européen bénéficie d’une extension de son droit à la protection des données personnelles. Il sera plus facile d’obtenir des précisions sur la façon dont ses données sont traitées, plus facile de transférer les données personnelles entre prestataires de services. Le citoyen européen a le droit d’être informé quand ses données personnelles ont été piratées.

Il bénéficie d’un « droit à l’oubli » (à ne pas confondre avec le droit au déréférencement): s’il n’existe aucune raison légitime pour les conserver, et s’il souhaite que ses données personnelles ne soient plus traitées, il peut demander leur effacement. Un droit d’autant plus important que de nombreux prestataires, notamment européens, oublient souvent d’effacer les données d’un compte annulé.

Les mineurs sont mieux protégés, puisque les parents devront autoriser l’utilisation des réseaux sociaux des enfants de moins de 16 ans.