Interview de Jean Lessi, secrétaire général de la Cnil

Quelles seront les répercussions concrètes du nouveau règlement sur le quotidien des consommateurs ?

Le nouveau règlement européen renforce la maîtrise des consommateurs sur leurs données. Ils devront systématiquement donner leur consentement explicite, éclairé et spécifique à toute exploitation des informations qui les concernent (par exemple en cochant une case pour accepter de recevoir des e-mails publicitaires et une autre pour la prospection par SMS). Ils bénéficieront d’une information plus claire et accessible. La protection des enfants est par ailleurs renforcée avec un recueil du consentement auprès des parents. Le texte créé également un nouveau droit à la portabilité qui obligera les entreprises à rendre aux consommateurs la totalité de leurs données sous la forme d’un fichier téléchargeable qui devra être lisible par tous. Autrement dit, si vous changez de prestataire, vous partirez avec une « valise » comportant vos données. Enfin, en cas de violation de données personnelles, les sites devront informer la Cnil dans les 72 h, comme c’est déjà le cas pour les fournisseurs d’accès à Internet. En cas de risque élevé pour les personnes concernées, l’organisme doit également informer, en des termes clairs et simples, les utilisateurs touchés par l’indicent.

Les entreprises, quelle que soit leur taille, doivent s’adapter. Cela représente un investissement financier et humain. Que risquent-elles si elles traitent les données des consommateurs sans respecter la loi ?

Le règlement renforce le pouvoir de sanction de la Cnil. Les amendes pourront atteindre 20 millions d’euros ou 4 % du chiffre d’affaires, ce qui est assez dissuasif. Mais le plus grand risque pour les entreprises est de nature commerciale, car elles jouent leur image de marque et la confiance vis-à-vis des consommateurs. Des labels de conformité au RGPD pourront être délivrés, qui favoriseront forcément les entreprises certifiées par rapport à leurs concurrents qui n’apporteraient pas le même niveau de garantie. Le règlement constitue une opportunité de rassurer le consommateur sur l’usage qui est fait de ses données. Aujourd’hui, c’est l’une de ses préoccupations majeures.

Le RGPD concerne les entreprises de l’Union européenne, mais aussi les entreprises étrangères dès lors qu’elles traitent des données de consommateurs européens. Google et Facebook devront s’y plier. Les condamnations récentes prouvent pourtant que le respect du droit européen ne figure pas tout à fait dans leurs priorités…

Les sanctions prononcées récemment contre Facebook et Google montrent que les rapports de force se rééquilibrent. Les clôtures de mises en demeure avec des entreprises comme Microsoft également. Avec le nouveau règlement, les régulateurs européens parleront d’une seule et même voix. Nous serons donc plus audibles et pourrons affirmer notre souveraineté collectivement, et non plus au niveau d’un seul État comme aujourd’hui. Par ailleurs, les grands acteurs ne pourront pas échapper à la pression de leurs utilisateurs qui, progressivement, se saisissent de leurs droits à maîtriser leurs données personnelles. Les nombreuses demandes de déréférencement le prouvent chaque jour (1).