La Commission européenne prévoit de présenter le Digital Omnibus le 19 novembre, un ensemble d’amendements qui, sous le prétexte de ‘simplification’ et de ‘réduction de la bureaucratie’, ouvre presque l’ensemble du cadre juridique numérique européen. En théorie, l’objectif est de faciliter la vie des entreprises et d’accélérer le développement de l’intelligence artificielle, mais en pratique, selon des projets et des analyses, cela représente la plus profonde intrusion dans RGPD, ePrivacy, et AI Act depuis l’existence de ces réglementations, avec des conséquences qui vont far beyond ‘ajustements techniques’.
Selon le nouvel omnibus, les grandes entreprises technologiques auraient pour la première fois une base pour utiliser les données personnelles des Européens afin de former et d’exploiter des modèles d’IA, sous le prétexte de ‘l’intérêt légitime’, accompagnée d’un affaiblissement de la protection des données sensibles et de la possibilité d’une surveillance extensive des appareils des utilisateurs.
Le digital omnibus fait partie d’un agenda plus large de la Commission pour la simplification, et l’idée est de combiner et de ‘moderniser’ un éventail de réglementations numériques, du RGPD et de la directive ePrivacy à la Data Act et à AI Act. L’explication officielle de l’UE indique qu’il y aura moins de chevauchements, moins de rapports, des règles plus claires et plus d’innovation.
Cependant, les documents et les analyses juridiques racontent une histoire différente. L’omnibus n’est pas un ensemble de changements cosmétiques, mais une intervention dans l’essence même du RGPD, dans ce qui est même considéré comme des données personnelles, dans les droits des personnes concernées, dans le régime des données sensibles, et dans les règles d’accès aux données sur les appareils finaux (ordinateurs et téléphones mobiles). L’organisation autrichienne NOYB (None Of Your Business), spécialisée dans la protection des droits numériques et l’application stricte du RGPD, notamment contre les grandes entreprises technologiques, a décrit cette approche de l’Omnibus dans une ‘lettre ouverte’ comme la ‘mort du RGPD’.
Réduction de la définition des ‘données personnelles’
Le changement le plus controversé concerne la définition même des données personnelles. Selon l’analyse de NOYB du projet, la Commission souhaite introduire un critère subjectif, de sorte que si un certain responsable du traitement ‘ne peut raisonnablement identifier une personne’, les données ne seraient plus considérées comme personnelles, et le RGPD ne s’appliquerait pas du tout.
Bien que cela puisse sembler déroutant, en pratique, cela signifie que divers pseudo-identifiants, identifiants publicitaires et identifiants de cookies pourraient être traités comme des données ‘non personnelles’. L’ensemble de l’écosystème de la publicité en ligne, qui aujourd’hui tombe formellement sous le RGPD, pourrait partiellement sortir de la protection. En même temps, la jurisprudence de l’UE a jusqu’à présent fonctionné sur le principe complètement opposé, à savoir que même les données qui ne révèlent pas un nom mais permettent de profiler ou ‘d’identifier’ une personne sont considérées comme personnelles.
Encore plus contestable est la manière dont les données sensibles, telles que les informations de santé, les croyances politiques ou l’orientation sexuelle, sont prévues d’être traitées. Selon les propositions, une protection spéciale ne s’appliquerait que si ces données sont ‘directement divulguées’. Cela signifie que si vous écrivez que vous êtes membre d’un certain parti, le RGPD vous protège. Mais si un algorithme vous classe dans ce parti en fonction, par exemple, des ‘j’aime’, de la localisation ou des listes de contacts, la protection est beaucoup plus faible.
Le paradoxe est évident car les personnes qui divulguent ouvertement des données intimes comprennent généralement mieux les risques, tandis que celles qui sont ‘lues’ par le système à partir de leur comportement, sans leur connaissance, sont plus vulnérables. Pour cette raison, les activistes avertissent qu’une telle réduction de la protection contredirait la pratique antérieure de la Cour de l’UE. Le nouveau paquet empiète particulièrement sur les données des appareils finaux tels que les ordinateurs portables et les smartphones. L’idée est de combiner l’ePrivacy avec le RGPD et d’élargir considérablement les raisons pour lesquelles l’accès aux données sur l’appareil est autorisé, y compris ‘l’intérêt légitime’ et un éventail de nouvelles bases juridiques. Cela permettrait la récupération de données ou le placement de traceurs sans le consentement clair classique.
Bataille politique
La discussion ne fait que commencer car il s’agit encore d’un projet qui doit passer par les États membres et le Parlement européen. La plupart des gouvernements ne sont pas ravis de la ‘mutilation’ significative du RGPD, tandis que l’Allemagne et la Finlande poussent pour un assouplissement plus fort des règles au nom de la ‘compétitivité’. NOYB affirme que l’Allemagne a poussé pour les changements les plus radicaux, bien que d’autres pays n’aient cherché que des ajustements mineurs. Certains analystes lient cela au lobbying des entreprises technologiques américaines et au rapport de Draghi, qui déclare ouvertement que le RGPD entrave l’innovation en matière d’IA.
Les opposants se sont déjà exprimés au Parlement, y compris la députée européenne Markéta Gregorová, qui avertit qu’une définition plus lâche des données personnelles et une plus grande ‘flexibilité’ pour l’IA signifieraient un traitement de masse des données personnelles et sensibles sans réelles protections, et que les droits fondamentaux seraient relégués derrière les intérêts commerciaux, c’est-à-dire l’argent.
Commission : Nous ne diminuons pas le RGPD
La Commission, bien sûr, affirme qu’elle veut seulement faciliter les affaires et renforcer la ‘souveraineté technologique’ tout en maintenant une forte protection pour les citoyens. Le problème, cependant, est qu’il ne s’agit pas d’un ajustement mineur, mais d’un changement dans la définition des données personnelles, d’un affaiblissement de la protection des données sensibles, d’une relativisation des droits des personnes concernées, et de l’introduction de nouvelles exceptions pour la formation de l’IA basée sur ‘l’intérêt légitime’. Encore plus problématique est que la Commission, selon les informations disponibles, ne prévoit pas d’évaluation complète de l’impact, même si ce sont des changements qui affectent le cœur même de la réglementation européenne.
