Les impacts du projet de règlement européen sur la biométrie

Transcription

1 Les impacts du projet de règlement européen sur la biométrie Journée d études du 28 octobre 2014 Marcel MORITZ Maître de conférences Avocat au barreau de Paris

2 Plan 1. Le contexte règlementaire actuel 2. Un règlement ; pourquoi et comment? 3. Décryptage du projet 4. Un projet viable?

3 1. Le contexte règlementaire actuel La directive n 95/46 du 24 octobre 1995 : o Ses principaux apports o Sa (lente) transposition en droit interne : loi n du 6 août 2004 (6 ans de retard) o Et la biométrie? (article 20 de la directive permeuant de prévoir dans certains cas un contrôle a priori des traitements de données)

4 Face à ce (relatif) silence les Etats prennent des initiatives (exemple de la proposition de loi «Gorce» visant à limiter l'ʹusage des techniques biométriques Et ce qui n est pas forcément du goût de l UE! D où la pertinence d un règlement

5 2. Un règlement ; pourquoi? (1) Article 288 TFUE : «Pour exercer les compétences de l'ʹunion, les institutions adoptent des règlements, des directives, des décisions, des recommandations et des avis. Le règlement a une portée générale. Il est obligatoire dans tous ses éléments et il est directement applicable dans tout Etat membre. La directive lie tout Etat membre destinataire quant au résultat à aaeindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens ( )» C est donc un excellent outil d harmonisation

6 2. Un règlement ; comment? (2) Une procédure complexe et potentiellement longue Source : hup://

7 3. Décryptage du projet La résolution législative du Parlement européen du 12 mars 2014 et ses 207 amendements. Les amendements portant sur la biométrie

8 La définition de la biométrie : Article 4 modifié : «données biométriques» : «toutes les données à caractère personnel relatives aux caractéristiques physiques, physiologiques ou comportementales d'ʹune personne physique qui permeuent son identification unique, telles que des images faciales ou des données dactyloscopique».

9 L interdiction de certains traitements Principe d interdiction (article 9 point 1) Sauf exception(s) du point 2 Elles sont très nombreuses (12) et parfois floues, exemple du 2 a) bis : «Le traitement est nécessaire aux prestations ou à l'ʹexécution d'ʹun contrat auquel la personne concernée est partie ou à l'ʹexécution de mesures précontractuelles prises à la demande de celle- ci»

10 La nécessité d une prise en compte du risque (spécifique) Article 32 bis modifié : «Le responsable du traitement ou, le cas échéant, le sous- traitant, réalise une analyse du risque en ce qui concerne les répercussions potentielles du traitement de données prévu sur les droits et les libertés des personnes concernées, tout en évaluant si les traitements sont susceptibles de présenter des risques spécifiques». Or, biométrie = risque spécifique (par renvoi via l article 9 paragraphe 1) Qu est- ce qu une «analyse du risque» (spécifique)?

11 La nécessité d une analyse d impact Article 33 modifié : Analyse d impact pour certains traitements : chassez la biométrie par la porte elle revient par un complexe jeu de renvois (art. 32 bis 2 points a à h) Qu est- ce qu une «analyse d impact»? Art : «L'ʹanalyse porte sur la gestion de la totalité du cycle de vie des données à caractère personnel, de la collecte à la suppression, en passant par le traitement. Elle contient au moins ( )» Elle doit être mise à jour (3 ter), mais «une seule analyse suffit à examiner un ensemble de traitements similaires qui présentent des risques similaires» (1).

12 La nécessité d un examen de la conformité de la protection des données Article 33 bis : «Deux ans au plus tard après avoir effectué une analyse d'ʹimpact» il faut «démontrer que le traitement des données à caractère personnel est effectué conformément à l'ʹanalyse d'ʹimpact relative à la protection des données» Puis l'ʹexamen de conformité est réalisé périodiquement, au moins tous les deux ans L'ʹexamen de conformité et ses recommandations doivent être «documentés». Cela reste relativement imprécis

13 4. Un projet viable? Difficultés en l état du projet : Sur la forme : o Etat d esprit du texte (interdiction sauf ) o Lisibilité et complétude du texte Sur le fond : o Quid du consentement (exemple : «9-2 - a - bis) «le traitement est nécessaire aux prestations ou à l'ʹexécution d'ʹun contrat auquel la personne concernée est partie ou à l'ʹexécution de mesures précontractuelles prises à la demande de celle- ci» o Certaines notions restent très floues (exemple de la «prise en compte du risque»). o Inadaptation à certaines technologies (les plus «simples»). Quid des «autorisations uniques»?

14 Merci de votre auention! marcelmoris