Edouard Geffray - MyData2016 - Challenges for the data-driven society - Plenary

vous remercie infiniment. Je suis ravi d' être ici car, chez Neal, nous entretenons depuis de nombreuses années des liens étroits avec le mouvement d'auto-déclaration des données, notamment à travers le projet « Miss Our Foe » avec Danielle Kepler. Nous sommes convaincus de la nécessité de renforcer les liens entre les autorités de protection des données (APD) et le mouvement d'auto-déclaration des données, que j'appellerais la communauté « Save Data ». Ensemble, nous œuvrons à la construction d'une société numérique plus juste, où la symétrie entre les individus et les grandes entreprises ou les États doit être réduite.

L' économie numérique ne peut croître que si elle est digne de confiance, et elle le sera si elle repose sur l' autonomisation des individus et si les entreprises traitent les données sans compromettre leur vie privée. Dans cette perspective, j'aimerais conclure sur deux points. Le premier concerne le RGPD, le fameux règlement européen applicable depuis mai 2018. Le RGPD marque un tournant dans notre système réglementaire et, de ce fait, dans notre protection, en particulier concernant ce fameux équilibre entre les individus et les grandes entreprises. Vous savez que ces dernières années, et notamment lors de plusieurs interventions dans cette salle, l'ont très bien expliqué…

La symétrie entre les individus et la mesure des joueurs s'est parfois accentuée de façon spectaculaire. Cette symétrie est celle du baseball, et bien sûr, la différence de richesse entre une personne isolée et les grands joueurs est frappante. Mais elle repose sur les acheteurs territoriaux, un concept utilisé par certaines grandes entreprises. Le mot clé est parfois « mondial » lorsqu'on parle de services, et parfois « acheteurs territoriaux » lorsqu'il s'agit d' échapper à la réglementation nationale. C'est pourquoi le RGPD est si important et vise à remédier, au moins en partie, à cette situation et à rééquilibrer les relations entre les individus et les entreprises.

Un des points clés du RGPD est qu'il prévoit de préserver les droits existants afin de les rendre pleinement effectifs à l' ère numérique. L' innovation la plus importante est bien sûr le fameux droit à la portabilité des données. Qu'est-ce que le droit à la portabilité des données ? C'est le droit pour un individu de récupérer les données personnelles qu'il a fournies à une entreprise afin de les partager ou de les réutiliser avec d'autres entreprises sans aucune restriction. Cela signifie que vous pourrez récupérer vos données sous forme électronique, sans aucune restriction.

Toute clause contractuelle vous permettra de devenir un acteur de la concurrence entre acteurs, par exemple entre réseaux sociaux. Vous pourrez, par exemple, transférer votre profil sur un autre réseau social. Ainsi, l'individu bénéficiera d'une plus grande portabilité, un atout majeur de l'initiative « Mes données ». Plusieurs points sont essentiels pour les individus. Le deuxième point, après ce droit de soutien, est que le champ d'application du RGPD est différent de celui de la législation actuelle.

Comme vous le savez, la législation actuelle s'applique à la création d' entreprises : si vous êtes établi en Europe, le droit européen s'applique ; si vous n'êtes pas établi en Europe, le droit européen ne s'applique pas. Avec le nouveau règlement, tout changera : le règlement s'appliquera non seulement aux entreprises établies en Europe, mais aussi aux citoyens européens. Cela signifie que le RGPD aura une portée pénale pour les entreprises européennes et les entreprises internationales non basées en Europe. Vous voyez, c'est très important pour réduire cette asymétrie bien connue entre les grands acteurs et les individus, en particulier les citoyens européens.

Bien sûr, vous bénéficiez de plusieurs autres droits. Par exemple, le droit au consentement, qui sera renforcé, la protection des enfants et le droit à l' oubli, qui existe déjà mais qui, comme vous le savez, est voué à disparaître avec la réglementation, notamment le droit d'être référencé dans les moteurs de recherche. Je dirais donc, et je pense que la communauté des défenseurs des données personnelles s'en réjouirait, que juridiquement parlant, nous entrons dans l'ère de l' individu autonome si nous mettons en œuvre le fameux RGPD.

Cela signifie que pour entrer dans cette ère, nous devons changer la façon dont les entreprises traitent les données, dans le sens d'une responsabilité accrue. À cet égard, le RGPD introduit plusieurs révolutions. La première est bien sûr cette fameuse icône de transparence, qui signifie que les entreprises devront prouver qu'elles traitent les données sans compromettre la vie privée. La deuxième est que les responsables du traitement seront soumis à une plus grande transparence et, en particulier, ils devront notifier les violations de données aux personnes concernées.

Cela signifie que chaque fois qu'une entreprise subira une attaque, par exemple une cyberattaque, elle devra en informer ses clients. Le troisième point, qui est parfaitement important, est que le RGPD crée une responsabilité juridique non seulement pour les responsables du traitement, mais aussi pour les tiers. Le traitement des données est un point clé, car aujourd'hui, il existe une symétrie entre les individus au sein des entreprises et entre les responsables du traitement et les sous-traitants. Par exemple, si vous êtes une petite entreprise ou une startup utilisant des services cloud fournis par un acteur majeur, vous êtes responsable du traitement des données personnelles.

Pourquoi votre sous-traitant n'est-il pas légalement responsable ? Les autorités de protection des données peuvent infliger des amendes aux responsables du traitement, mais pas aux sous-traitants. Demain, avec le RGPD, nos sous-traitants et responsables du traitement seront responsables et soumis aux mêmes obligations en matière de responsabilité. Points importants : le RGPD repose sur deux principes. Le premier est la protection des données dès la conception, ce qui signifie que les mesures de protection des données doivent être intégrées dès le premier jour dans les produits ou services.

Le second principe est la protection par défaut, ce qui signifie que les paramètres de confidentialité deviendront la norme. L'enjeu est donc de concilier les intérêts personnels ( protection des données personnelles et respect de la vie privée) et les intérêts commerciaux. Les entreprises doivent comprendre que la protection des données personnelles devient un argument concurrentiel, comme en témoignent les conséquences des révélations de Snowden dans l'industrie américaine. D'après certaines études, l'industrie américaine aurait perdu environ 22 milliards de dollars suite à cette révélation, car les entreprises européennes et asiatiques vérifient leurs informations.

La protection des données personnelles est devenue un argument concurrentiel. Comment pouvons-nous vous aider ? Comment pouvez-vous vous impliquer dans le mouvement de l'auto-déclaration des données ? Vos initiatives, en tant que DP, sont-elles pleinement conformes à la philosophie du RGPD ? Nous partageons la même approche centrée sur l'humain, une approche où l'individu, le citoyen, est au cœur du système. Dans la version anglaise du RGPD, lorsque vous parlez d' individu, il s'agit toujours de la personne concernée. C'est très intéressant, mais vous transformez ces sujets en acteurs des données.

C'est précisément ce que nous devons faire pour créer ce fameux climat de transformation nécessaire à la construction d'une économie et d'une société numériques durables. Vous voyez, nous sommes parfaitement d'accord avec vous sur ce sujet. Que pouvons-nous faire maintenant pour soutenir le développement des initiatives d'auto-déclaration des données ? La première chose à faire pour les entreprises est… Notre premier devoir en tant que DPS est d'expliquer et de donner leur pleine mise en œuvre au RGPD, à nos principes, et d'offrir aux entreprises et aux citoyens une interprétation unique du RGPD.

En Europe, nous œuvrons pour une nouvelle gouvernance plus intégrée, dans laquelle tous les DPS approuveront ou adopteront les décisions de manière concertée afin de garantir une interprétation unique de la réglementation. Autrement dit, nous construisons une sécurité juridique pour tous les acteurs de la chaîne : citoyens, entreprises, grands acteurs, start-ups, etc. Deuxièmement, nous considérons qu'il est essentiel d' accompagner ce type d' initiatives.

C'est pourquoi, par exemple, nous avons créé, dès le départ, la société Messerfoe en France, qui fournit notamment des conseils d'expertise pour tenter d'adapter la réglementation de la législation nationale afin qu'elle soit en adéquation avec le projet, etc. En retour, nous bénéficions bien sûr des opportunités offertes par le programme et de ses innovations. C'est un symbole, selon nous, de ce qui est nécessaire et de ce qui devrait être développé entre les DPS : un mouvement où chacun d'entre nous, dans ce domaine, coopère avec Chavez afin de trouver de nouvelles façons de vous apporter des solutions.

L'exercice plus efficace des droits individuels et l'autonomisation des individus sont essentiels. En conclusion, vous êtes, à vos yeux, un élément clé d' une économie numérique fiable et durable. Soyez assurés que les autorités compétentes et les autorités de protection de l'environnement vous considèrent comme un acteur important. Nous vous accompagnerons chaque fois que cela sera possible afin de créer, par conception et par défaut, une base solide pour l'autonomisation des individus dans le domaine numérique. Merci.