L'avenir de la protection de la vie privée - WP 168 - Europa

69. Le nouveau cadre juridique devrait prévoir cette obligation de consentement, compte
tenu des observations ci-dessus.
Harmonisation
70. À l'heure actuelle, l'habilitation des personnes concernées est limitée par l'absence
d'harmonisation entre les législations nationales transposant la directive 95/46/CE.
Plusieurs éléments de la directive qui sont essentiels pour la place des personnes
concernées, tels que la disposition sur la responsabilité et la possibilité d’introduire
une demande en indemnité pour préjudice immatériel 21 , n’ont pas été transposés par
l’ensemble des États membres. Outre ces différences de transposition de la
directive 95/46CE, son interprétation dans les États membres n’est pas toujours
homogène. À l’heure où la mondialisation s’intensifie, ces différences affaiblissent
de plus en plus le rôle de la personne concernée. Par conséquent, il est essentiel
d’améliorer l’harmonisation (voir également le chapitre 7b), en précisant si
nécessaire les dispositions législatives.
Le rôle des personnes concernées sur l'internet
71. Les personnes téléchargent de plus en plus leurs propres données à caractère
personnel sur l'internet (dans le cadre de réseaux sociaux, de services informatiques
dématérialisés, etc.). Néanmoins, la directive 95/46/CE ne s’applique pas à la
personne qui télécharge les données «pour l’exercice d’activités exclusivement
personnelles ou domestiques» 22 . On peut estimer qu’elle ne s’applique pas non plus
à l’entité qui fournit le service, c’est-à-dire qui héberge et met à disposition les
informations téléchargées par la personne physique (à moins que l’entité ne traite les
données à ses propres fins) dans la mesure où le prestataire de services peut ne pas
être considéré comme un responsable du traitement 23 . Il en résulte une absence de
garanties à laquelle il faudra peut-être remédier, notamment du fait que ces situations
sont de plus en plus fréquentes. Dans ces circonstances, quiconque propose des
services à une personne privée devrait être tenu de fournir certaines garanties en
matière de sécurité et, si nécessaire, de confidentialité des informations téléchargées
par les utilisateurs, que son client soit ou non un responsable du traitement des
données. En outre, il conviendrait de s’intéresser à la question de savoir si les
personnes concernées devraient se voir accorder davantage de moyens pour faire
valoir leurs droits sur l'internet, y compris la protection des droits de tiers dont les
données à caractère personnel peuvent faire l’objet d’un traitement (par exemple sur
les réseaux sociaux). De nombreuses autres questions restant encore sans réponse 24 ,
le rôle de la personne concernée sur l'internet devrait être davantage précisé, dans la
perspective d’un nouveau cadre juridique.
21
Dans la plupart des cas où la personne concernée a subi un dommage, il s’agit de préjudice immatériel
tel que le sentiment de ne plus pouvoir évoluer librement dans les secteurs public et privé sans être
observé. Ce problème est encore plus vif dans l’actuelle «société de la surveillance».
22
Pour mieux comprendre si une activité est couverte ou non par cette «exemption domestique», voir
l’Avis 5/2009, sur les réseaux sociaux en ligne (WP 163).
23
Le problème ne se pose pas dans les organisations (du secteur public ou privé) utilisant des applications
informatiques dématérialisées, car la directive s’applique à ces dernières, ainsi qu’à leurs opérations de
traitement lorsqu’elles «[sont effectuées] dans le cadre des activités d’un établissement du responsable
du traitement» dans l'UE [voir l’article 4, paragraphe 1, point a)]. Le chapitre 5 s’applique donc à ces
organisations, que le prestataire de services soit ou non établi dans l’UE.
24 Cela concerne, par exemple, le consentement des enfants et/ou de leurs parents, les demandes d’accès
des autorités policières et judiciaires, les droits d’accès aux comptes internet de personnes décédées par
leurs héritiers, et les demandes de tiers.
-20-