Le gouvernement britannique vient de relancer un plan ambitieux visant à réformer les règles de protection des données, avec pour objectif de stimuler l’économie du pays à hauteur de 10 milliards de livres sterling. Ce nouveau projet de loi sur l’utilisation et l’accès aux données, porté par le Département des Sciences, de l’Innovation et de la Technologie (DSIT), entend rationaliser le partage d’informations dans des domaines clés tels que la santé et l’application de la loi, tout en revenant sur certaines réformes post-Brexit controversées proposées par les ministres conservateurs.
Déverrouiller des économies majeures dans le secteur public
Selon le gouvernement, ce projet de loi pourrait générer des économies substantielles en termes d’efficacité dans le secteur public, notamment grâce à :
- La simplification des règles de partage des données dans le domaine de la santé et de l’application de la loi
- Le développement de l’identité et de la vérification numériques
- L’expansion des « régimes de données intelligentes » (similaires à l’open banking)
- La cartographie des infrastructures souterraines
- La numérisation du registre des naissances et des décès
- L’accès aux données détenues par les plateformes en ligne
Avec des lois qui nous aident à utiliser les données de manière sécurisée et efficace, ce projet de loi contribuera à stimuler l’économie du Royaume-Uni, à libérer du temps précieux pour nos travailleurs de première ligne et à soulager les gens des tâches administratives inutiles afin qu’ils puissent se concentrer sur leur vie.
– Peter Kyle, Secrétaire d’État à la Technologie
Accès aux données relatives aux risques en ligne
Une nouveauté notable dans ce projet de loi est l’obligation pour les fournisseurs de services en ligne de conserver les informations relatives aux décès de mineurs utilisant leurs services. Cette mesure fait écho à des cas de parents confrontés à de longues batailles pour accéder aux comptes de réseaux sociaux de leurs enfants suite à des suicides.
Le texte prévoit également de légiférer pour permettre aux chercheurs en sécurité en ligne d’accéder aux données, s’alignant ainsi sur le Digital Services Act de l’Union Européenne qui impose aux grandes plateformes de faciliter l’accès des chercheurs à leurs données.
Revenir sur certaines réformes controversées
Par ailleurs, le nouveau projet de loi revient sur certains changements controversés que le gouvernement précédent avait proposés pour modifier le Règlement général sur la protection des données (RGPD) du pays. Les ministres souhaitent sans doute éviter d’échouer lors du prochain examen de la décision d’adéquation accordée par l’UE en 2021, qui avait permis la poursuite des flux de données des utilisateurs européens vers le Royaume-Uni pour traitement.
La Commission européenne sera soulagée de constater que le projet de loi ne reprend pas les propositions des conservateurs visant à limiter l’application des ROPA, des AIPD et des DPO, ou à saper l’indépendance de l’ICO.
– Edward Machin, avocat principal chez Ropes & Gray
Des inquiétudes subsistent sur les décisions automatisées et l’indépendance de l’ICO
Cependant, des organisations de défense des droits numériques comme l’Open Rights Group (ORG) mettent en garde contre certains aspects du projet de loi, estimant qu’il ne protégera pas suffisamment le public contre les méfaits de l’IA en limitant les droits des personnes sur les décisions automatisées n’ayant un effet juridique ou significatif que pour les données de catégorie spéciale.
L’ORG souligne également que le texte donne au secrétaire d’État le droit d’exempter purement et simplement les systèmes de prise de décision automatisée des garanties de protection des données, indépendamment du risque qu’ils représentent pour le public. De plus, il introduirait de nouvelles échappatoires permettant aux entreprises de retarder les réponses aux demandes de données en demandant plus d’informations aux individus.
Enfin, bien que le projet de loi semble revenir sur certains éléments controversés, l’ORG souligne qu’il confère toujours au gouvernement des pouvoirs susceptibles de compromettre l’indépendance de l’ICO, l’autorité britannique de protection des données.
Notification de confidentialité et cookies : des changements à prévoir
Le projet de loi propose également des modifications aux réglementations sur la protection de la vie privée et les communications électroniques (PECR) qui régissent les communications marketing et des questions comme le consentement aux cookies. Il est prévu d’aligner le tracking des pixels et l’empreinte des appareils sur les règles des cookies, restreignant ainsi une échappatoire largement utilisée par les marketeurs en ligne pour contourner ces règles.
Une autre proposition notable est de permettre l’utilisation de cookies et technologies de suivi propriétaires à des fins d’analyse de site web sans requérir le consentement des utilisateurs, revenant sur l’obligation actuelle. Le plafond des amendes pour infraction au PECR serait également aligné sur celui prévu par le RGPD britannique, soit 17,5 millions de livres pour les infractions les plus graves.
En définitive, ce nouveau projet de loi sur l’utilisation et l’accès aux données au Royaume-Uni suscite autant d’espoirs en termes de stimulation de l’économie numérique que d’inquiétudes quant à la protection des droits des individus. Son parcours parlementaire s’annonce déjà riche en débats. Les entreprises et organisations manipulant des données personnelles outre-Manche devront suivre de près son évolution pour adapter leurs pratiques en conséquence.
Le texte prévoit également de légiférer pour permettre aux chercheurs en sécurité en ligne d’accéder aux données, s’alignant ainsi sur le Digital Services Act de l’Union Européenne qui impose aux grandes plateformes de faciliter l’accès des chercheurs à leurs données.
Revenir sur certaines réformes controversées
Par ailleurs, le nouveau projet de loi revient sur certains changements controversés que le gouvernement précédent avait proposés pour modifier le Règlement général sur la protection des données (RGPD) du pays. Les ministres souhaitent sans doute éviter d’échouer lors du prochain examen de la décision d’adéquation accordée par l’UE en 2021, qui avait permis la poursuite des flux de données des utilisateurs européens vers le Royaume-Uni pour traitement.
La Commission européenne sera soulagée de constater que le projet de loi ne reprend pas les propositions des conservateurs visant à limiter l’application des ROPA, des AIPD et des DPO, ou à saper l’indépendance de l’ICO.
– Edward Machin, avocat principal chez Ropes & Gray
Des inquiétudes subsistent sur les décisions automatisées et l’indépendance de l’ICO
Cependant, des organisations de défense des droits numériques comme l’Open Rights Group (ORG) mettent en garde contre certains aspects du projet de loi, estimant qu’il ne protégera pas suffisamment le public contre les méfaits de l’IA en limitant les droits des personnes sur les décisions automatisées n’ayant un effet juridique ou significatif que pour les données de catégorie spéciale.
L’ORG souligne également que le texte donne au secrétaire d’État le droit d’exempter purement et simplement les systèmes de prise de décision automatisée des garanties de protection des données, indépendamment du risque qu’ils représentent pour le public. De plus, il introduirait de nouvelles échappatoires permettant aux entreprises de retarder les réponses aux demandes de données en demandant plus d’informations aux individus.
Enfin, bien que le projet de loi semble revenir sur certains éléments controversés, l’ORG souligne qu’il confère toujours au gouvernement des pouvoirs susceptibles de compromettre l’indépendance de l’ICO, l’autorité britannique de protection des données.
Notification de confidentialité et cookies : des changements à prévoir
Le projet de loi propose également des modifications aux réglementations sur la protection de la vie privée et les communications électroniques (PECR) qui régissent les communications marketing et des questions comme le consentement aux cookies. Il est prévu d’aligner le tracking des pixels et l’empreinte des appareils sur les règles des cookies, restreignant ainsi une échappatoire largement utilisée par les marketeurs en ligne pour contourner ces règles.
Une autre proposition notable est de permettre l’utilisation de cookies et technologies de suivi propriétaires à des fins d’analyse de site web sans requérir le consentement des utilisateurs, revenant sur l’obligation actuelle. Le plafond des amendes pour infraction au PECR serait également aligné sur celui prévu par le RGPD britannique, soit 17,5 millions de livres pour les infractions les plus graves.
En définitive, ce nouveau projet de loi sur l’utilisation et l’accès aux données au Royaume-Uni suscite autant d’espoirs en termes de stimulation de l’économie numérique que d’inquiétudes quant à la protection des droits des individus. Son parcours parlementaire s’annonce déjà riche en débats. Les entreprises et organisations manipulant des données personnelles outre-Manche devront suivre de près son évolution pour adapter leurs pratiques en conséquence.
