Un aperçu à mi-année des tendances en matière de protection des données dans l'UE et au Royaume-Uni
Une nouvelle revue de mi-année du cabinet d'avocats international Finnegan, Henderson, Farabow, Garrett & Dunner a rassemblé une série de décisions importantes rendues cette année dans l'UE et au Royaume-Uni, offrant de nouvelles orientations sur la manière dont les régulateurs et les tribunaux interprètent les principes fondamentaux de la protection des données. Le rapport se concentre sur trois thèmes récurrents : comment les organisations obtiennent et documentent le consentement, comment les personnes concernées peuvent exercer leurs droits, et les règles régissant les cas où des données personnelles peuvent être publiées.
Bien que la revue soit principalement rédigée pour les entreprises et les praticiens du droit, elle offre également un signal utile pour les internautes de tous les jours. Le droit de la protection des données de l'UE et du Royaume-Uni change rarement par le biais d'une réforme spectaculaire unique. Il évolue plutôt par une accumulation constante de décisions judiciaires, d'orientations réglementaires et de mesures d'application qui remodèlent progressivement ce que les entreprises sont autorisées à faire avec les informations personnelles. Cette mise à jour de mi-année est essentiellement un point de contrôle sur cette évolution continue.
Le consentement, les droits des personnes concernées et les règles de publication au centre de l'attention
Selon la revue, le consentement reste l'un des domaines les plus contestés de la conformité en matière de protection des données. Les régulateurs et les tribunaux continuent d'examiner si les mécanismes de consentement sont véritablement informés, librement donnés et suffisamment spécifiques pour répondre aux normes du RGPD et du RGPD britannique. C'est un thème qui s'est répété à maintes reprises dans les mesures d'application à travers l'Europe, où les autorités ont résisté aux parcours de consentement qui enterrent les informations clés dans des conditions denses ou qui font adhérer par défaut les utilisateurs à des partages de données auxquels ils n'ont jamais activement consenti.
Les droits des personnes concernées, notamment la possibilité d'accéder à leurs informations personnelles, de les corriger ou d'en demander la suppression, figurent également en bonne place dans la mise à jour. Ces droits constituent le mécanisme pratique par lequel les individus peuvent savoir quelles données les entreprises détiennent sur eux et contester lorsque ces données sont inexactes ou excessives. L'attention portée par la revue à ce domaine suggère que les tribunaux continuent d'affiner exactement la portée de ces droits et la rapidité avec laquelle les organisations doivent répondre.
Le troisième thème, la publication de données personnelles, aborde un domaine d'incertitude juridique croissante : quand est-il licite pour une organisation, un organisme public, ou même un individu, de rendre publiques les informations personnelles de quelqu'un ? Cette question est devenue de plus en plus pertinente à mesure que la reconnaissance faciale, le suivi biométrique et la collecte de données de localisation s'étendent aux espaces publics et semi-publics.
Les mesures d'application concrètes reflètent déjà ces tendances
Les thèmes mis en évidence dans cette mise à jour de mi-année ne sont pas abstraits. Ils se manifestent déjà dans des mesures d'application concrètes à travers l'Europe et le Royaume-Uni. En Italie, le Garante a infligé des amendes aux fournisseurs d'applications bancaires après avoir constaté des outils invasifs de surveillance des appareils intégrés dans leurs applications, une affaire qui reposait en grande partie sur des questions de consentement et sur la question de savoir si les utilisateurs comprenaient réellement quelles données étaient collectées. Parallèlement, l'approche de l'Italie concernant le stockage des données biométriques faciales provenant de caméras publiques a relancé le débat sur la durée de conservation des données personnelles sensibles et sur la base juridique applicable.
Au Royaume-Uni, une tension similaire a émergé autour de l'utilisation de fourgonnettes de reconnaissance faciale dans les espaces publics, où les questions de transparence et d'information du public font écho aux problèmes de publication et de droits des personnes concernées signalés dans la revue Finnegan. Les régulateurs examinent également la manière dont les plateformes vérifient l'identité et l'âge des utilisateurs, comme en témoigne l'enquête de l'Ofcom sur le système d'inférence d'âge de TikTok, qui touche directement au consentement et au traitement approprié des données biométriques utilisées pour prendre des décisions automatisées concernant les utilisateurs.
Ce que cela signifie pour vous
Si vous utilisez des applications, naviguez sur le web ou interagissez avec des technologies destinées au public comme les caméras de reconnaissance faciale dans l'UE ou au Royaume-Uni, ces évolutions comptent plus que ne le laisse suggérer le langage juridique. Une interprétation plus stricte des règles de consentement signifie que les entreprises sont de plus en plus contraintes de rendre les choix de collecte de données plus clairs et plus faciles à refuser. L'élargissement des droits des personnes concernées signifie que vous disposez d'outils réels et exécutoires pour demander à une entreprise ce qu'elle sait de vous et exiger des corrections ou des suppressions. Et l'évolution des règles de publication signifie que les régulateurs travaillent activement à définir les limites autour des données biométriques et de localisation collectées dans les espaces publics, une question qui concerne toute personne passant devant une rue équipée de caméras ou utilisant une application qui demande des autorisations d'accès à l'appareil.
Rien de tout cela ne nécessite de paniquer. Cela reflète un système juridique qui travaille activement, cas par cas, pour suivre le rythme des nouvelles technologies.
Points à retenir concrets
Restez informé de l'évolution du droit de la protection des données dans l'UE et au Royaume-Uni en surveillant les orientations réglementaires et les décisions d'application dans votre pays. Lisez attentivement les demandes d'autorisation des applications et les invites de consentement plutôt que de les accepter par défaut. Si vous pensez qu'une organisation détient des données inexactes ou excessives vous concernant, rappelez-vous que les demandes d'accès aux données sont un droit légal, pas une faveur. Et surveillez la manière dont la reconnaissance faciale publique et les systèmes biométriques sont réglementés dans votre région, car cela reste l'un des domaines les plus actifs et les plus instables du droit de la protection des données de l'UE et du Royaume-Uni.
