Deuxième avis du CEPD sur la révision de la directive sur la protection de la vie privée et les notifications de la violation de la sécurité : les garanties pour la vie privée doivent être renforcées
Le 9 janvier, le Contrôleur européen de la protection des données (CEPD) a adopté un avis sur la révision de la directive sur la protection de la vie privée et les communications électroniques. Cet avis fait suite à un premier avis du CEPD et à des Observations, dans lesquels des recommandations ont été émises pour contribuer à s'assurer que les modifications proposées garantissent la meilleure protection des données personnelles possible.
Ce deuxième avis vient en réaction à la position commune du Conseil qui, sur un nombre de points importants, ne prend pas en compte les garanties en matière de protection des données proposées par le Parlement européen et la Commission européenne, ou déjà recommandées par le CEPD. Les recommandations proposées dans cet avis visent à rationaliser certaines dispositions de la directive, tout en assurant un niveau adéquat de protection des données et de la vie privée.
L'avis se concentre en particulier sur les dispositions établissant un système obligatoire de notification des violations de sécurité au sujet duquel le Contrôleur suggère des améliorations.
Peter Hustinx, le CEPD, dit : "Les avantages d'un système de notification des violations de sécurité seront mieux atteints si le cadre juridique est clairement établi dès le départ. A cette fin, le Parlement et le Conseil devront répondre au défi consistant à arrêter une norme établissant les conditions de notification et à assurer que des procédures appropriées soient mise en place. Les citoyens s'attendent à ce qu'un tel système ne s'applique pas seulement à leur fournisseur d'accès Internet mais aussi à leur banque en ligne, ou à leur pharmacie en ligne, par exemple."
L'avis comprend un certain nombre de recommandations qui couvrent les points suivants :
- champ d'application: le CEPD soutient l'approche du Parlement visant à élargir le champ d'application de la directive pour y inclure les réseaux privés accessibles au public dans la Communauté. Il recommande de mieux clarifier les types de services qui seraient couverts par ce champ d'application étendu;
- traitement des données de trafic à des fins de sécurité: le CEPD considère que le nouvel article introduit par le Parlement - et maintenu par la position commune du Conseil et par la proposition modifiée de la Commission - qui permet la collecte des données de trafic à des fins de sécurité n'est pas nécessaire. Selon le CEPD, une telle disposition pourrait donner lieu à des abus, en particulier si elle est adoptée en l'absence des garanties nécessaires à la protection des données;
- droit d'action contre les infractions à la directive: le CEPD demande à la Commission et au Conseil d'adopter la disposition introduite par le Parlement qui fournit la possibilité à des entités juridiques, telles que des associations de consommateurs, d'engager des poursuites contre les infractions aux dispositions de la directive.
Le CEPD espère que la suite de la procédure législative permettra l'adoption de nouveaux amendements qui prendront en compte les recommandations du CEPD, ceci afin de rétablir les garanties nécessaires pour la protection des données.