3

Un règlement sui generis, laissant d’importantes marges de manœuvre aux États membres

< Rapport d'information >

La Commission européenne a fait le choix de proposer un règlement, d’application directe, pour remplacer la directive de 95/46, qui avait dû faire l’objet de mesures de transposition nationales. Elle a ainsi souhaité renforcer la cohérence de la protection des personnes, la sécurité juridique ainsi que la libre circulation des données à caractère personnel au sein du marché intérieur, en évitant les divergences de transposition.

Cependant, certains États membres auraient souhaité maintenir une directive, instrument plus souple, et le règlement final est le résultat d’un compromis, mêlant des dispositions harmonisées à de multiples renvois au droit national. Au total, le SGAE a ainsi comptabilisé plus de cinquante dispositions, de portée inégale, renvoyant au droit des États membres. La liste de ces dispositions, communiquée à vos rapporteurs, est publiée en annexe du présent rapport (38).

La portée de l’harmonisation se trouve ainsi limitée par les nombreuses « clauses d’ouverture » figurant dans le texte final, qui diffère à cet égard d’un règlement classique.

Les renvois au droit national peuvent être obligatoires :

– l’article 51 prévoit ainsi que chaque État membre définit le statut de l’autorité de contrôle chargée de veiller à l’application du règlement ;

– l’article 84 dispose que les États membres déterminent le régime des sanctions que le règlement n’a pas harmonisées.

Ces renvois constituent cependant la plupart du temps une faculté laissée aux États membres, par exemple :

– pour adapter l’application du règlement s’agissant des traitements nécessaires à l’exécution d’une mission d’intérêt public (article 6, paragraphes 2 et 3) ;

– pour fixer l’âge en dessous duquel le consentement du titulaire de l’autorité parentale est requis s’agissant du traitement de données concernant un mineur, cet âge devant se situer entre 13 et 16 ans (article 8) ;

– pour prévoir des exemptions, dérogations ou conditions spécifiques pour certaines catégories de traitement : traitements journalistiques, accès aux documents officiels, numéro d’identification national, données des salariés, traitement à des fins archivistiques, statistiques, de recherche scientifique (articles 85 à 89).

Ainsi que l’ont souligné la plupart des personnes auditionnées par la mission, ces nombreux renvois aux droits nationaux font peser le risque d’une nouvelle fragmentation du régime de la protection des données personnelles dans l’Union européenne. Une telle situation aurait des effets négatifs sur l’effectivité de cette protection ainsi que sur la lisibilité de leurs obligations par les responsables de traitement et les sous-traitants. Elle créerait en outre un risque de mise en concurrence des systèmes juridiques par une recherche des tribunaux les plus favorables (« forum shopping » (39)) que le règlement visait justement à éviter.

< Rapport d'information >