L'entrée en vigueur le 25 mai dernier du nouveau règlement européen sur la protection des données (RGPD) a donné un coup de fouet aux plaintes déposées devant la Cnil (+ 34% depuis le début de l'année). Dans un entretien accordé à l'AFP ce mardi, Isabelle Falque-Pierrotin, la présidente de la commission, a fait part de son satisfecit, observant que le RGPD répond bien à une "demande sociale".
Les six premiers mois d'application du Règlement européen sur la protection des données (RGPD) ont démontré que le texte répondait bien à une "demande sociale", a estimé dans un entretien ce mardi 27 novembre à l'AFP Isabelle Falque-Pierrotin, la présidente de la Commission nationale de l'informatique et des libertés (Cnil). Et pour cause : elle a reçu 9.700 plaintes depuis le début de l'année, soit 34% de plus que l'an dernier à la même époque. Et 6.000 de ces plaintes ont été déposées après l'entrée en vigueur du RGPD.
"C'est le résultat d'une demande sociale" d'un meilleur respect des données personnelles "qui était sous-jacente avant l'entrée en vigueur du RGPD", et qui trouve désormais "matière à s'exprimer", estime-t-elle.
Sept signalements de violations des données par jour
Le nouveau texte européen conforte les droits des internautes européens sur la protection de leurs données personnelles. Il impose de nouvelles obligations aux entreprises en matière de traitement des données, sous peine de sanctions pouvant aller jusqu'à 20 millions d'euros et 4% du chiffre d'affaires.
Depuis son entrée en vigueur, la Cnil a également vu "augmenter significativement" les signalements de fuites de données par les entreprises, signalements rendus obligatoires par le RGPD. La Cnil a reçu 1.000 notifications de violations de données en 2018, "soit environ sept par jour depuis le 25 mai", a-t-elle souligné.
La Cnil a par ailleurs reçu plusieurs plaintes collectives
"Il y a beaucoup de monde" derrière les plaintes déposées en nom collectif par plusieurs ONG de défense des droits des internautes, observe t-elle également.
Prévues par le RGPD, ces plaintes permettent à une association de fédérer des internautes autour d'un recours commun. L'association la Quadrature du Net a ainsi déposé des plaintes contre chacun des Gafam (Google, Apple, Facebook, Amazon, Microsoft). Et l'association NOYB (None of your business), fondée par l'activiste autrichien Max Schrems, a pour sa part déposé plainte contre Google et son système d'exploitation pour smartphone Android. Enfin, l'association britannique Privacy international a attaqué sept acteurs du marché publicitaire procédant à la collecte à grande échelle de données, dont Criteo, la star française du secteur.
La Cnil précise qu'elle est concernée par 187 cas de plaintes transfrontalières (visant des plateformes internet présentes dans plusieurs pays).
L'organisation française est chef de file dans 15 de ces enquêtes qui, pour la plupart, touchent à la manière dont les plateformes recueillent le consentement des internautes avant la collecte de leurs données.
Newsletter
Tech & IA
Chaque jour à 13h, l’essentiel de l’actualité tech.
Mais la Cnil n'a pas encore infligé de sanction financière au titre du RGPD. La première grosse sanction de ce type en Europe a été infligée en octobre par l'homologue portugaise de la Cnil à un établissement hospitalier de la banlieue de Lisbonne. L'hôpital Barreiro-Montijo, qui a fait appel, a écopé d'une amende de 400.000 euros pour avoir laissé un trop grand nombre de personnes, dont du personnel administratif, accéder à des données médicales de patients.
Les entreprises "de plus en plus compétentes"
Côté entreprises, la présidente de la Cnil estime qu'elles sont en train de prendre la mesure des nouvelles obligations qui pèsent sur elles.
"Nous recevons des demandes de plus en plus sophistiquées des entreprises. On sent qu'elles piochent le texte, qu'elles sont de plus en plus compétentes", se félicite la présidente de la Cnil.
L'un des secteurs les plus sensibles est le secteur du ciblage publicitaire, qui voit des intermédiaires accumuler des masses de données très précises sur les internautes et leur comportement. Depuis l'entrée en vigueur du RGPD, la Cnil a fait quatre mises en demeure auprès de start-up, Teemo, Fidzup, Singlespot et Vectaury. Celles-ci sont capables de localiser géographiquement les internautes pour les inciter à se rendre vers des magasins qui se trouvent près d'eux, en leur envoyant des publicités adaptées sur leur smartphone.
Mais globalement, "il faudra une année pour prendre la pleine mesure" du succès ou du non-succès du RGPD, estime-t-elle. "C'est un texte qui doit être apprécié sur la durée, il ne faut pas tirer de conclusions trop hâtives", conclut-t-elle.
