Le projet de loi a été adopté mardi à l'Assemblée nationale. Il vise à se mettre en conformité avec le "paquet européen de protection des données", en vigueur à partir du 25 mai. L'esprit du texte : fournir davantage de transparence et de contrôle pour les internautes européens sur l'utilisation de leurs données personnelles.
Carton (presque) plein. Le projet de loi sur la protection des données personnelles a été adopté mardi en première lecture à l'Assemblée nationale avec 505 voix pour, 18 contre et 24 abstentions. Cependant, le texte doit encore être approuvé par le Sénat, qui l'examinera à partir du 20 mars.
■ De quoi parle-t-on ?
Ce projet révise la Loi Informatique et Libertés de 1978. Le but : se préparer à l'entrée en vigueur du "paquet européen de protection des données" le 25 mai. Ce dernier comprend notamment le Règlement général sur la protection des données personnelles (RGPD) et une directive applicable aux fichiers pénaux.
Cette nouvelle législation instaure davantage de transparence pour les internautes européens sur l'utilisation de leurs données personnelles : nom, prénom, âge, genre...
Les citoyens auront également des nouveaux droits, comme l'effacement des données (droit à l'oubli) et la portabilité des données (récupération de ses données). Selon une étude de l'institut CSA de septembre 2017, 85% des Français se disent préoccupés par la protection de leurs données personnelles en général, et 90% de leurs données en ligne.
"La protection des données à caractère personnel revêt une dimension particulière depuis l'avènement de l'ère du numérique" plaidait dans ce sens Nicole Belloubet, ministre de la Justice, lors de la présentation du projet de loi à la mi-décembre.
■ Quels sont les apports du projet de loi ?
Majorité numérique, action collective... Tour d'horizon des mesures phares :
La majorité numérique à 15 ans
Le projet de loi prévoit qu'un "mineur peut consentir seul à un traitement de données à caractère personnel" à partir de 15 ans. En clair, c'est l'âge à partir duquel un adolescent pourra officiellement s'inscrire sur un réseau social, ou sur toute autre plateformes collectant des données personnelles. Entre 13 ans et 15 ans, le consentement de l'enfant et celui de ses parents seront nécessaires. Au-dessous de 13 ans, toute collecte de données est interdite.
Le règlement européen, lui, fixe la majorité numérique à 16 ans, mais autorise les États-membres à l'abaisser jusqu'à 13 ans.
Quinze ans, "c'est l'âge où le mineur entre généralement au lycée et où sa maturité lui permet en principe de maîtriser les usages sur Internet", a justifié la rapporteure du texte, Paula Forteza (LaRem).
Actuellement, l'âge nécessaire pour se créer un compte sur les réseaux sociaux est déterminé par les plateformes elles-mêmes. À titre d'exemple, il est possible de s'inscrire sur Facebook sans autorisation parentale à partir de 13 ans.
Newsletter
Tech & IA
Chaque jour à 13h, l’essentiel de l’actualité tech.
Cette nouvelle disposition ouvre un débat sensible : comment appliquer cette majorité numérique dans les faits ? "Plus que 63,71% des 11-14 ans sont inscrits à un réseau social" et "ils sont plus de 4 sur 10 à mentir sur leur âge", selon une étude de la Cnil (Commission nationale de l'informatique et des libertés), publiée en juin 2017.
Action de groupe... pour une indemnisation financière
Le projet de loi ouvre la possibilité à des actions de groupe pour demander réparation en cas d'utilisation abusive des données personnelles. Le préjudice, "d'ordre matériel ou moral", peut ouvrir à une indemnisation financière. Des poursuites peuvent être engagées à l'encontre d'un responsable de traitement de données, mais aussi, d'un sous-traitant.
Les actions de groupe en la matière étaient déjà prévues par l'article 91 de la loi du 18 novembre 2016. En revanche, elles permettaient uniquement la cessation de l'infraction.
Un contrôle a posteriori pour les entreprises
Moins de formalités. Le texte remplace le système de contrôle a priori - avec des déclarations et des autorisations préalables - par un contrôle a posteriori. Une exception : les données dites sensibles, comme les données biométriques, n'échapperont pas à un contrôle a priori.
Les sociétés détentrices de données seront responsables des informations privées collectées. Elles devront en envisager la protection et seront obligées de prévenir rapidement l'autorité compétente - en France, la Cnil - en cas de perte, de vol ou de divulgation. Le cas échéant, le montant de l'amende peut grimper jusqu'à 4% du chiffre d'affaires mondial ou 20 millions d'euros.
