00:10Face à l'empilement des textes sur le numérique, la Commission européenne a décidé de simplifier et clarifier le cadre
00:18juridique avec l'omnibus numérique.
00:21Pour comprendre les enjeux de ce texte, j'ai le plaisir de recevoir Jeanne Bossy Malafoss, avocate associée au sein
00:27du cabinet Delsol.
00:29Jeanne Bossy Malafoss, bonjour.
00:30Bonjour.
00:31Alors un peu de contexte pour comprendre ce cadre qui est donné par la Commission européenne, l'omnibus numérique.
00:41Il y a des dispositions qui concernent l'ouverture des données et l'innovation.
00:47Pourquoi ce texte favorise-t-il l'ouverture des données et l'innovation ?
00:52Alors d'abord c'est un projet de règlement qui n'est pas encore adopté.
00:55S'il est adopté, il comporte effectivement certaines dispositions qui permettent l'ouverture des données.
01:01D'abord à travers la proposition d'une nouvelle définition de la donnée à caractère personnel, qui est absolument majeure
01:08dans le domaine de la protection des données.
01:10Puisque s'il est adopté, une donnée à caractère personnel ne revêtirait pas le même cadre pour tous les acteurs
01:17d'un même traitement.
01:18C'est-à-dire qu'une organisation pourrait traiter une donnée à caractère personnel et cette même donnée pourrait devenir
01:25anonyme pour un des destinataires de cette donnée.
01:28Et ça c'est une évolution majeure qui permettrait de considérer dans certains cas qu'on n'est plus soumis
01:34aux exigences du RGPD.
01:35Donc ça ce serait un premier moyen d'ouvrir l'utilisation des données.
01:40Le deuxième moyen c'est la recherche.
01:44Permettre de considérer qu'une donnée lorsqu'elle est collectée, elle pourrait être réutilisée à des fins de recherche dès
01:51lors qu'elle est compatible avec la finalité initiale.
01:53Et on serait dorénavant dans un domaine de présomption de compatibilité, ce qui n'est pas le cas aujourd'hui.
01:59où il faut essayer de démontrer que la réutilisation des données est compatible avec la collecte initiale.
02:05Ça change quoi concrètement ?
02:07Ça change le fait par exemple en matière de recherche médicale, on pourrait plus facilement réutiliser des données pour faire
02:13de la recherche,
02:14sans avoir à faire un test de compatibilité ou même dans tout autre domaine,
02:19de réutiliser des données par exemple qui ont été collectées pour une finalité initiale donnée,
02:24sans avoir à respecter l'actuel article 6.4 du RGPD qui oblige à faire un test de compatibilité,
02:30c'est-à-dire à démontrer que la réutilisation qu'on veut faire des données n'est pas antinomique par
02:36rapport à la finalité de la collecte initiale.
02:39Alors il y a des dispositions sur la recherche mais aussi sur l'intelligence artificielle, quelles sont-elles ?
02:44Alors sur l'intelligence artificielle, c'est important, vous savez qu'en matière de protection des données,
02:50il faut une base légale pour traiter des données à caractère personnel.
02:54Et avec ce texte, s'il est adopté, on pourrait collecter et entraîner des modèles d'intelligence artificielle
03:01sur la base de l'intérêt légitime de l'organisation et non plus sur la base du consentement de la
03:07personne concernée.
03:08Ce qui est majeur parce que ça veut dire que quand on va réentraîner des données à caractère personnel sur
03:13une personne,
03:13aujourd'hui il faut avoir son consentement, ce qui pratiquement peut être extrêmement compliqué
03:18parce qu'il s'agit de masses de données très importantes, le texte pourrait prévoir que dès lors que l
03:24'organisation démontre que c'est son intérêt légitime,
03:27il pourrait adopter cette base légale.
03:29C'est assez technique.
03:30C'est quoi un intérêt légitime ? Ça pourrait être quoi ?
03:32Ça pourrait être par exemple le fait qu'une start-up qui développe un outil d'intelligence artificielle,
03:38qui veut mettre sur le marché un système d'intelligence artificielle,
03:40par exemple pour gérer le recrutement, aider une entreprise à bien recruter ou à bien gérer ses ressources humaines,
03:47pourrait utiliser ces données pour réentraîner son modèle et l'améliorer,
03:51sans avoir à revenir vers les personnes concernées et leur demander leur consentement.
03:55Son intérêt légitime, c'est la poursuite de sa mission d'entreprise et de bonne gestion des RH.
04:02Donc ça c'est très important.
04:04Et la seconde disposition qui pourrait permettre d'améliorer, de faciliter, si je puis dire,
04:13le recours à l'intelligence artificielle, c'est la possibilité d'utiliser des données sensibles.
04:18Vous savez que dans le RGPD, il y a un article 9 qui énumère un certain nombre de données sensibles
04:23qui sont considérées comme des données particulières avec un cadre juridique assez rigide.
04:28Et bien avec cette exception, on pourrait utiliser ces données sensibles
04:33si on ne peut pas faire autrement, dit le texte, grosso modo.
04:37Et donc il y a une nouvelle exception à la collecte des données sensibles pour l'intelligence artificielle.
04:41Peut-être rappeler ce que sont ces données sensibles ?
04:44Et bien c'est des données qui sont susceptibles de révéler vos opinions politiques, philosophiques, religieuses,
04:49les données de santé, les données génétiques, l'orientation sexuelle, la vie sexuelle.
04:54Donc ça veut dire qu'on ouvre plus largement les possibilités, c'est ça ?
04:58Exactement.
04:59On pourrait utiliser ces données si on ne peut pas faire autrement
05:02à des fins d'entraînement d'outils d'intelligence artificielle.
05:06Alors l'un des buts de ce texte, c'est d'assouplir un certain nombre de formalités pour les entreprises.
05:14Quels sont ces assouplissements qui sont prévus par ce texte ?
05:17Alors en fait, ce n'est pas tellement des assouplissements, c'est plus des simplifications.
05:22Pour prendre deux exemples, par exemple, pour les traitements de données à caractère personnel
05:27qui sont les plus risqués pour les droits et libertés individuelles,
05:30le texte impose aujourd'hui de procéder à une étude d'impact,
05:33c'est-à-dire à une étude de risque assez poussée,
05:35pour essayer d'évaluer les menaces possibles, la vraisemblance de risque.
05:40Et le texte prévoit que de dédier plutôt ces études d'impact
05:47aux traitements qui sont vraiment risqués pour les droits et libertés individuelles
05:50et de donner aux autorités européennes le soin et la responsabilité
05:55de définir les finalités de traitement pour lesquelles cette étude d'impact serait nécessaire.
06:00Donc on va essayer de dédier ces études d'impact vraiment aux traitements les plus risqués.
06:06Et la deuxième simplification, c'est en cas de violation de données,
06:10et on sait qu'en ce moment il y a beaucoup de cyberattaques,
06:12beaucoup de tentatives réussies, dans certains cas d'ailleurs,
06:15de violation de données à caractère personnel,
06:17on doit notifier cette violation dans un délai de 72 heures en principe,
06:22à compter de la connaissance de ce fait,
06:25à l'autorité de protection des données, en France, à la CNIL.
06:28Eh bien le texte prévoit déjà d'allonger ce délai de 72 à 96 heures,
06:33ça ne change pas grand-chose je pense sur le plan pratique,
06:35mais surtout de dédier aussi ces notifications aux violations les plus importantes,
06:40parce que la CNIL, comme les autres autorités de protection des données,
06:43ont pu remarquer qu'elles étaient saisies d'innombrables notifications
06:47qui n'étaient pas toutes vraiment révélatrices d'une vraie violation de données
06:51à caractère personnel.
06:53Donc on rappelle la définition de ce que c'est qu'une violation,
06:55et on rappelle qu'on ne doit vraiment notifier aux autorités de protection des données
07:01que les violations les plus attentatoires aux droits et libertés individuelles,
07:06et à cet effet aussi l'Europe va essayer d'harmoniser le droit entre tous les pays européens
07:12et d'avoir un modèle de notification qui soit commun à tous les pays.
07:16Alors vous parlez des droits et libertés fondamentales,
07:19quels sont les impacts sur le droit des personnes ?
07:22Alors, les droits des personnes, au titre de la protection des données,
07:26ils s'exercent dès lors qu'ils ont été précédés d'une information de la personne concernée.
07:32Vous devez être informé quand on collecte vos données,
07:35vous devez être informé de la finalité pour laquelle on les collecte,
07:38des destinataires de ces données notamment.
07:40Le texte va essayer de simplifier cette obligation d'information,
07:45parce que dans certains cas, c'est très compliqué d'informer préalablement, individuellement,
07:50chaque personne dont vous allez collecter et traiter les données.
07:53Donc le texte prévoit que si on est dans le cadre d'une relation qui est bien établie,
07:59si la personne est déjà informée de l'existence du traitement,
08:04que les données ne sont pas forcément...
08:08qu'il n'y a pas une activité intensive en données,
08:10eh bien, on peut assouplir cette information.
08:13Et dans le même temps, s'agissant des droits,
08:16on a tous noté, en tout cas côté avocat ou côté organisation,
08:21qu'il y avait de temps en temps des exercices de droits abusifs,
08:25c'est-à-dire qu'une personne se servait de son droit d'accès aux données à caractère personnel,
08:31non pas pour, dans un but de meilleure application des principes de protection des données,
08:36mais plus pour embêter son employeur,
08:38par exemple quelqu'un qui a quitté une entreprise
08:40et qui demande l'accès à toutes ses données depuis 15 ans,
08:43ce n'est pas forcément pour améliorer sa situation
08:48à l'égard des principes de protection des données,
08:50mais c'est surtout pour générer des ennuis à son ex-employeur.
08:54Donc le texte introduit l'idée d'un abus d'exercice de ce droit,
08:58alors on verra comment sera défini cet abus,
09:01c'est toute la question pour demain si ce texte est adopté.
09:03On va conclure là-dessus, merci Jeanne Bossy-Malafoche,
09:06je rappelle que vous êtes associée au sein du cabinet Delsol.
09:09Tout de suite on va continuer sur la simplification,
09:12mais on va changer de domaine,
09:13on va parler simplification dans le domaine des énergies renouvelables.
09:16Sous-titrage Société Radio-Canada
