La Commission européenne a publié le 25 juillet 2024 son deuxième rapport sur l’application du Règlement général sur la protection des données (RGPD), conformément à l’article 97 du règlement. Ce document, successeur du premier rapport adopté le 24 juin 2020, dresse un bilan des avancées réalisées depuis sa mise en œuvre et souligne les axes d’amélioration nécessaires pour renforcer la protection des données personnelles au sein de l’Union européenne.
Le RGPD demeure l’un des fondements essentiels de la stratégie numérique de l’Union européenne. En garantissant un traitement équitable, sécurisé et transparent des données personnelles, il assure aux citoyens le contrôle de leurs informations. Ces principes sous-tendent toutes les politiques de l’UE impliquant le traitement des données, qu’il s’agisse de services financiers, de santé, d’emploi, de mobilité ou de sécurité publique.
Depuis le premier rapport de 2020, l’UE a lancé une série d’initiatives visant à placer les individus au centre de la transition numérique. Ces actions visent à créer un environnement en ligne plus sûr, à rendre l’économie numérique plus équitable et compétitive, à favoriser l’innovation, à développer une intelligence artificielle fiable et à instaurer un véritable marché unique des données. Chaque initiative liée aux données personnelles s’appuie sur le cadre du RGPD, assurant ainsi une cohérence et une harmonisation des politiques à travers les États membres.
Le rapport souligne un large consensus parmi les parties prenantes, les autorités de protection des données et les États membres sur l’impact positif du RGPD. Malgré quelques difficultés, le règlement a réussi à offrir une protection solide aux individus tout en imposant des obligations proportionnées aux entreprises et aux sous-traitants. L’approche axée sur les risques et technologiquement neutre du RGPD a permis une adaptation flexible aux évolutions rapides du paysage numérique.
Cependant, le rapport met en lumière la nécessité de progresser davantage. Il recommande notamment de soutenir davantage les efforts de mise en conformité, en particulier pour les petites et moyennes entreprises (PME), les chercheurs et les organismes de recherche. De plus, il appelle à des orientations plus claires de la part des autorités de protection des données et à une application plus cohérente du règlement à travers l’ensemble de l’UE.
Le système de guichet unique instauré par le RGPD vise à garantir une interprétation et une application harmonisées du règlement par les autorités indépendantes de protection des données. En cas de traitement transfrontalier, ce système favorise la coopération entre les autorités des différents États membres pour résoudre les litiges via le comité de contrôle de la cohérence.
Depuis le rapport de 2020, la Commission a adopté en juillet 2023 une proposition de règlement sur les règles de procédure, visant à harmoniser le traitement des affaires transfrontalières. Cette initiative répond aux disparités entre les procédures nationales et vise à accélérer les enquêtes et les recours pour les citoyens. Actuellement en négociation entre le Parlement européen et le Conseil, cette proposition devrait renforcer l’efficacité du système de guichet unique.
Le rapport révèle une augmentation significative des affaires transfrontalières, avec près de 2 400 dossiers enregistrés dans le système d’échange d’informations du comité. Les autorités de protection des données ont intensifié l’utilisation des outils de coopération, notamment l’assistance mutuelle et les demandes informelles d’aide. Toutefois, l’utilisation des opérations conjointes reste limitée en raison des différences procédurales nationales et d’un manque de clarté dans les procédures.
Le mécanisme de contrôle de la cohérence, composé des avis du comité, du règlement des litiges et de la procédure d’urgence, est de plus en plus sollicité. En 2023, le comité a adopté 190 avis relatifs à la cohérence et neuf décisions contraignantes, souvent contestées devant les juridictions nationales. Ces décisions ont abordé des questions cruciales telles que la base juridique du traitement des données et la protection des données des enfants en ligne.
Le rapport souligne également un renforcement des actions coercitives par les autorités de protection des données, avec plus de 6 680 amendes infligées, totalisant environ 4,2 milliards d’euros. Les plus fortes amendes ont été imposées par l’Irlande, suivie du Luxembourg, de l’Italie et de la France. Ces sanctions visent principalement les grandes entreprises technologiques multinationales, les incitant à respecter rigoureusement les dispositions du RGPD.
En parallèle, les autorités ont multiplié les enquêtes et les réclamations, traitant plus de 100 000 plaintes annuelles et résolvant plus de 20 000 dossiers à l’amiable. Les mesures correctrices, telles que les avertissements et les injonctions de conformité, sont devenues courantes, bien que leur application varie selon les États membres.
Malgré les succès du RGPD, qui six ans après son adoption, a permis aux citoyens européens de mieux contrôler leurs données personnelles et a favorisé une concurrence plus équitable entre entreprises, tout en soutenant la transition numérique, toutefois le rapport de la Commission identifie plusieurs défis à relever pour atteindre pleinement ses objectifs de protection des individus et de libre circulation des données.
Les différences dans les procédures nationales, le manque de ressources et les lacunes en expertise technique et juridique sont autant de sujets qui limitent en effet l’efficacité des autorités de protection des données.
Pour pallier ces insuffisances, le rapport recommande un soutien accru et des outils supplémentaires au niveau national, garantissant ainsi une application plus homogène et efficace du RGPD à travers l’Union européenne.
L’accent est donc mis sur une application stricte du RGPD, avec une adoption rapide des règles de procédure, un soutien renforcé aux PME, et une coopération accrue entre les autorités de protection des données à travers l’UE. Il est également crucial d’assurer une interprétation cohérente du règlement et d’encourager le dialogue entre les différentes autorités réglementaires.
La Commission européenne s’engage à surveiller et soutenir ces efforts, notamment en veillant à l’indépendance des autorités nationales et en renforçant les synergies entre le RGPD et les autres législations numériques. Elle appelle également à une meilleure coopération internationale pour garantir des transferts de données sûrs et une protection renforcée, tout en promouvant des normes élevées en matière de protection des données à l’échelle mondiale. Un rapport sur les progrès réalisés est attendu en 2028.
En conclusion, le second rapport de la Commission européenne sur le RGPD reconnaît les progrès réalisés depuis 2020 tout en soulignant les domaines nécessitant une attention continue.
Par Cynthia Picart
06/08/24
