La mise en œuvre du règlement général sur la protection des données (RGPD) connaît certaines limites qui alimentent les débats sur les deux projets de régulation européens encadrant les géants du numérique : le DSA et le DMA.
C’était un miracle européen, un tour de force de consensus. Après des mois d’âpres débats, l’Union européenne (UE) a adopté, en 2016, le règlement général sur la protection des données (RGPD), un texte majeur pour la protection des internautes, analyse Le Monde dans son édition parue le 21 septembre 2021. Cinq ans après, cette régulation fait, sur le fond, presque l’unanimité. Les patrons d’Apple, Facebook ou Microsoft l’ont jugé équilibrée ; la Californie s’en est inspirée pour voter sa propre loi sur les données personnelles ; et les défenseurs de la vie privée, qui regrettent parfois son manque d’ambition, l’ont utilisée pour lancer des dizaines de procédures, engendrant quelques amendes de centaines de millions d’euros, à l’encontre de WhatsApp (filiale de Facebook) ou d’Amazon.
Mais derrière ces louanges, c’est dans son application que le règlement européen trouve ses limites. Comme le montre une étude de l’Irish Council for Civil Liberties, une ONG irlandaise de défense des droits humains, les régulateurs chargés d’appliquer le RGPD font face à d’importantes difficultés. Souvent sous-financés, ils se trouvent par ailleurs en butte à un effet de concentration, car les dossiers échouent entre les mains du régulateur du « pays d’origine », celui qui abrite le siège européen de l’entreprise concernée. L’Irlande concentre ainsi les dossiers concernant Facebook, Twitter ou Google. Et constitue un goulet d’étranglement : moins de 2 % des cas y ont fait l’objet d’une décision.
Ces blocages ne sont pas uniquement une question de moyens. Le sujet est aussi politique, notamment en Irlande, où une fiscalité peu contraignante et une main-d’œuvre anglophone bien formée ont attiré tous les géants du numérique. Le gouvernement y est soucieux de ne pas fâcher ces pourvoyeurs de milliers d’emplois.
Concevoir de bonnes règles ne suffit donc pas. Il faut aussi créer un mécanisme garantissant leur mise en pratique. Ce défi est au cœur des discussions européennes en cours sur les deux futurs textes majeurs encadrant les grandes entreprises numériques, le Digital Services Act (DSA) et le Digital Markets Act (DMA). « Tout le monde a en tête le RGPD », avait d’ailleurs confié fin mai le secrétaire d’Etat au numérique français, Cédric O, lors d’un Conseil européen.
Pour le DSA, la règle du pays d’origine s’applique également. Il reviendra donc à l’équivalent irlandais du Conseil supérieur de l’audiovisuel de faire respecter par Facebook et YouTube (filiale de Google) les obligations de moyens et de transparence sur la modération de contenus que fixe le règlement. Conscient des limites du RGPD, Bruxelles a prévu qu’une autorité d’un pays de destination puisse demander une enquête à son homologue irlandaise puis, si elle est insatisfaite, solliciter la Commission européenne, qui pourra réclamer à l’Irlande d’agir. Le tout est assorti de délais.
