Communiqué : « Libre circulation des données dans la confiance »

Table ronde des autorités de protection des données et de la vie privée du G7

7 et 8 septembre 2021

Ce document est une traduction non officielle du communiqué rédigé par les autorités de protection des données des pays membres du G7. En cas d’incohérence, seule la version originale en anglais fait foi.

Nous, les autorités de protection des données personnelles et de la vie privée des pays membres du G7, nous sommes réunis les 7 et 8 septembre 2021 sous la présidence de la commissaire à l’information du Royaume-Uni, Elizabeth Denham (CBE), pour discuter de possibilités de collaboration plus étroite.

La réunion s’est déroulée dans le contexte de la Feuille de route pour la coopération à l’égard de la libre circulation des données dans la confiance, annoncée par les ministres du numérique et des technologies du G7 le 28 avril 2021, et a donné lieu à une discussion à point nommé dans le cadre de l’économie mondiale de plus en plus axée sur les données et des changements découlant de la pandémie actuelle.

- - -

Des données sont générées, recueillies et utilisées aujourd’hui plus que jamais, et le volume mondial de données devrait doubler de 2018 à 2022, puis doubler de nouveau de 2022 à 2025. Les progrès technologiques sont au cœur de cette croissance rapide, et les percées dans divers domaines, de l’intelligence artificielle à l’Internet des objets (IDO), ouvrent la voie à une panoplie d’innovations fondées sur les données.

Pour protéger les droits de l’information à l’ère numérique, les autorités de protection des données personnelles et de la vie privée doivent se montrer de plus en plus vigilantes afin d’anticiper, d’interpréter et d’influencer ces avancées dans le domaine de l’utilisation des données. Pour concrétiser cette ambition dans un contexte où les données circulent de manière fluide au-delà des frontières et où des entreprises numériques atteignent des clients partout dans le monde, tout en renforçant la confiance grâce à des normes élevées en matière de protection des données, une coopération approfondie et plus agile en matière de réglementation s’impose à l’échelle internationale.

En tant qu’autorités de régulation de la protection des données personnelles et de la vie privée dans les économies numériques les plus avancées au monde, nous reconnaissons que nous pouvons jouer un rôle de premier plan dans les discussions sur ces questions et contribuer à influencer l’adoption de normes élevées en matière de protection des données personnelles à l’échelle mondiale. Nous pouvons identifier les domaines communs de préoccupation et les occasions à saisir, puis réagir avec souplesse aux évolutions en cours en favorisant des approches réglementaires axées sur la collaboration qui visent à assurer la cohérence et la sécurité juridique lorsque cela est possible.

Conscients du défi qui se présente, nous avons discuté d’un certain nombre d’enjeux spécifiques et importants afin de partager notre expertise et notre expérience et d’examiner la possibilité d’une collaboration plus étroite entre les autorités de protection des données personnelles et de la vie privée du G7. Voici, dans l’ordre où nous en avons discuté, les sujets qui figuraient à notre ordre du jour :

• Intersection entre la protection des données personnelles et la concurrence – interrégulation à l’appui d’une économie numérique mondiale robuste
• Façonner l’avenir du suivi en ligne
• Concevoir l’intelligence artificielle dans le respect de la protection des données personnelles
• Repenser les recours à l’ère numérique
• Innovation technologique dans un contexte pandémique : un test pour les droits à la protection des données personnelles
• Accès par les gouvernements et circulation des données à l’échelle internationale : quel rôle pour la coopération réglementaire pour garantir une confiance réelle?
• Élaboration d’un cadre pour le transfert transfrontalier de données personnelles et la coopération entre les autorités de protection des données personnelles du G7

Un aperçu de chaque sujet et des points saillants des discussions figure en annexe du présent communiqué.

Résultats convenus

À la suite de ces discussions, nous avons convenu de ce qui suit :

Intersection entre la protection des données personnelles et la concurrence – Collaboration interréglementaire à l’appui d’une économie numérique mondiale robuste

• Renforcer la collaboration entre les autorités de protection des données personnelles et de la vie privée du G7 et leurs homologues de la concurrence à l’échelle nationale en matière de régulation des marchés numériques.
• Partager l’expérience et les informations entre les autorités de protection des données personnelles et de la vie privée du G7, dans le but de favoriser le consensus, d’établir des normes et de faciliter des mesures concrètes visant à soutenir simultanément les objectifs de protection des droits individuels et de maintien de marchés numériques concurrentiels.
• Promouvoir une plus grande collaboration entre les autorités de protection des données personnelles et de la vie privée et les régulateurs de la concurrence dans les fora et les réseaux mondiaux de protection de la vie privée et de la concurrence, notamment grâce à un dialogue plus étroit entre l’Assemblée mondiale pour la protection de la vie privée (Global Privacy Assembly [GPA]) et le Réseau international de la concurrence.

Façonner l’avenir du suivi en ligne

• Amorcer un dialogue stratégique entre les autorités de protection des données personnelles et de la vie privée du G7 et les entreprises technologiques, les organismes de normalisation, les designers, les développeurs Web, les utilisateurs et la société civile pour examiner le rôle que les avancées technologiques peuvent jouer dans la création d’un Internet davantage axé sur la protection de la vie privée, affirmant et préservant le principe d’un consentement préalable éclairé et valable en ligne.
• Poursuivre la collaboration entre les autorités de protection des données personnelles et de la vie privée du G7 sur les efforts plus larges visant à améliorer l’application des normes de protection des données personnelles par les sites Web, notamment en partageant l’expérience et les bonnes pratiques.

Concevoir l’intelligence artificielle dans le respect de la protection des données personnelles

• Défendre le rôle central que les autorités de protection des données personnelles et de la vie privée devraient jouer dans la gouvernance future de l’intelligence artificielle.
• Établir un dialogue entre les autorités de protection des données personnelles et de la vie privée du G7 sur les principes qui devraient régir le développement responsable de l’intelligence artificielle.
• Échanger de l’information et de l’expertise sur les nouvelles utilisations de l’intelligence artificielle et sur les répercussions de celles-ci sur la vie privée.

Repenser les recours à l’ère numérique

• Partager l’information et l’expérience sur les recours réglementaires qui fonctionnent le mieux dans des situations particulières.
• Plaider auprès des législateurs afin qu’ils veillent à ce que les recours réglementaires suivent le rythme des évolutions technologiques et maintiennent une parité suffisante entre les juridictions.

Innovation technologique dans un contexte pandémique : un test pour les droits à la protection des données personnelles

• Démontrer de façon proactive notre engagement et notre capacité à agir rapidement lorsque nécessaire, tout en continuant d’assurer des normes élevées de protection des données personnelles et de la vie privée de nos citoyens.
• Promouvoir une innovation qui répond efficacement aux besoins des personnes et protège la vie privée des citoyens, en suivant le rythme du développement de nouvelles technologies, de nouveaux produits et de nouveaux modèles économiques et en maintenant la pertinence de nos missions face à ces nouveaux enjeux.
• S’assurer que la prolifération des nouvelles technologies alimentée par la pandémie est à la fois exploitée à des fins appropriées et respecte les droits individuels en matière de protection de la vie privée et des données personnelles.

Accès par les gouvernements et circulation des données personnelles à l’échelle internationale : Quel rôle pour la coopération réglementaire pour garantir une confiance réelle^{Note de bas de page 1}?

• Mobiliser nos gouvernements respectifs en soutien aux initiatives en cours au niveau international, y compris les travaux de la Global Privacy Assembly, du Conseil de l’Europe, du G20 et en particulier de l’OCDE sur l’accès par les gouvernements aux données personnelles détenues par le secteur privé, qui représente une opportunité clé dans le développement d’un consensus sur les principes régissant cette importante question.
• Partager les avancées pertinentes dans les lois et la pratique entre autorités de protection des données personnelles et de la vie privée du G7 et coordonner nos efforts nationaux de sensibilisation et d’élaboration de politiques pour promouvoir des principes ambitieux applicables à l’accès par les gouvernements aux données personnelles.
• Établir des relations constructives et opportunes avec d’autres organismes nationaux de supervision pertinents dans nos pays respectifs afin d’assurer une approche cohérente en matière de protection de la vie privée et des données à caractère personnel dans le contexte de l’accès gouvernemental.

Élaboration d’un cadre pour le transfert transfrontalier de données personnelles et la coopération entre les autorités de protection des données personnelles du G7

• Promouvoir un dialogue plus ouvert et plus fréquent entre les autorités de protection des données personnelles et de la vie privée du G7, fondé sur des réseaux partagés, des réunions régulières et des discussions continues dans l’ensemble de nos administrations.
• Mettre en commun des expériences et des pratiques en matière de gouvernance des technologies et innovations émergentes dans le but de favoriser des approches réglementaires interopérables entre les autorités de protection des données personnelles et de la vie privée du G7.
• Identifier les possibilités d’une plus grande coopération en matière d’application de la loi entre les autorités de protection des données personnelles et de la vie privée du G7, en commençant par acquérir une compréhension commune des cadres juridiques et des pratiques d’application de la loi entre les juridictions, y compris en ce qui concerne la portée de leur application extraterritoriale.

Regard vers l’avenir

Cette table ronde a mis en lumière les avantages de poursuivre une discussion dans ce format alors que nous devons tous composer avec les défis réglementaires toujours plus grands au sein de nos juridictions pour encadrer une économie des données qui transcende les frontières. Nous avons donc convenu que le commissaire fédéral à la protection des données et au droit à l’information de l’Allemagne (BfDI) tiendra une autre table ronde lorsque l’Allemagne assumera la présidence du G7 l’an prochain.

Dans l’intervalle, nous continuerons de nous mobiliser au niveau opérationnel pour appuyer les résultats convenus de cette table ronde et pour aider à bâtir un réseau étroit d’experts dans les diverses autorités du G7.

Grâce à ce nouveau forum, les commissaires du G7 ont créé un environnement souple dans lequel ils peuvent discuter de questions d’intérêt mutuel et chercher à établir une tribune pour des relations, des discussions et une influence à plus long terme réunissant des organisations internationales et d’autres intervenants internationaux clés afin de promouvoir nos valeurs et nos objectifs communs en tant qu’organismes de réglementation de la protection des données personnelles et de la vie privée dans les sept économies numériques les plus avancées.

Annexe – Résumé des sujets abordés

Intersection entre la protection des données personnelles et la concurrence – Collaboration inter-réglementaire à l’appui d’une économie numérique mondiale robuste

Les marchés numériques transforment notre économie et notre société, et les entreprises qui n’étaient auparavant que des jeunes pousses se développent rapidement pour apporter des changements à l’échelle mondiale. À bien des égards, ces changements profitent aux consommateurs, à l’innovation et à la croissance économique – mais ils sont aussi porteurs de grands défis.

Il existe des incitations claires à la collecte et à l’exploitation des données personnelles qui se font au détriment de la vie privée des personnes et créent de graves préoccupations en matière de concurrence. Face à un tel bouleversement du paysage, les régulateurs de la concurrence et les autorités de protection des données personnelles et de la vie privée doivent travailler à l’unisson pour promouvoir une économie numérique robuste, susciter la confiance des citoyens du monde et promouvoir leurs droits et leurs intérêts en tant que consommateurs de manière globale.

Étant donné que l’étude de cette intersection n’en est qu’à ses débuts, une collaboration étroite s’impose entre les autorités sur des questions telles que : l’élaboration d’un vocabulaire et d’une approche communs pour interpréter les contextes factuels; la détermination et l’atténuation des compromis possibles entre la protection de la vie privée et la promotion de la concurrence; l’évaluation de la mesure dans laquelle des défaillances du marché peuvent avoir des répercussions négatives sur la vie privée des citoyens ou amener les autorités de la concurrence à négliger la vie privée comme facteur concurrentiel; et l’élaboration de mesures d’application de la loi qui produisent des résultats positifs à la fois sur le plan de la concurrence et de la vie privée.

Façonner l’avenir du suivi en ligne

Les cookies et d’autres technologies similaires peuvent être utilisés pour recueillir des données à diverses fins. Bien que certains cookies soient essentiels au bon fonctionnement d’un site Web, d’autres recueillent des données à des fins qui ne sont pas techniquement nécessaires à la prestation du service, par exemple à l’appui de la publicité ciblée. La portée de ces technologies de suivi devrait être réduite, et les utilisateurs devraient avoir le choix de ne pas être suivis du tout.

Le système actuel de mécanismes répétés et fréquents de consentement aux cookies (p. ex. fenêtres contextuelles, bannières) au point de collecte des données par les sites Web mène à une situation dans laquelle la plupart des gens sélectionnent automatiquement « J’accepte » en dépit de préoccupations légitimes concernant l’utilisation de leurs données. En outre, les utilisateurs signalent qu’ils n’ont pas le temps d’utiliser des mécanismes de consentement aux cookies complexes ou trompeurs et, bien qu’ils veuillent exercer un plus grand contrôle sur le traitement de leurs données, ils se sentent impuissants lorsqu’il est question d’arrêter la collecte de leurs données. Des pratiques comme les « murs de traceurs » − ou « cookie walls » en anglais − (lorsque les utilisateurs qui n’acceptent pas que leur activité soit suivie se voient refuser l’accès au site Web) et les « pièges à utilisateurs » (lorsque l’architecture des avis de confidentialité est conçue de façon à piéger les utilisateurs pour qu’ils donnent leur consentement) inculquent aux utilisateurs le sentiment qu’ils ne peuvent pas contrôler leurs données.

Bien souvent, un consentement valable n’est pas obtenu. Des mesures doivent être prises pour faire en sorte que les utilisateurs du Web soient en mesure de contrôler de façon valable le traitement de leurs données personnelles lorsqu’ils naviguent sur Internet. Cela doit se faire de concert avec la promotion de normes élevées de protection des données personnelles sur les sites Web et la prise de mesures pour s’attaquer aux pratiques préjudiciables. Les navigateurs Web, les applications logicielles et les paramètres des appareils ont tous un rôle à jouer pour permettre aux utilisateurs de définir et de mettre à jour leurs préférences durables en matière de protection de la vie privée et de veiller à ce que les sites Web les respectent.

Concevoir l’intelligence artificielle dans le respect de la protection des données personnelles

L’intelligence artificielle (IA) promet de nous aider à surmonter certains des plus grands défis auxquels nous sommes confrontés dans le monde d’aujourd’hui. Elle peut par exemple permettre aux médecins de poser de meilleurs diagnostics et de suivre de nouveaux parcours thérapeutiques. En saisissant ces occasions, il faut s’assurer que les droits de la personne à la vie privée, à l’autodétermination informationnelle et d’autres droits fondamentaux ne sont pas violés par l’utilisation de l’IA.

Les autorités de protection des données personnelles et de la vie privée doivent jouer un rôle de premier plan dans la gouvernance de l’IA, laquelle repose sur les données. Elles devraient influencer de manière constructive les développements des systèmes d’IA et créer un cadre qui protège les droits de la personne, la démocratie, le bien commun et les libertés individuelles tout en laissant place à l’innovation et au progrès. Des « lignes rouges » doivent être tracées pour les systèmes d’IA qui ne sont pas compatibles avec nos valeurs et nos droits fondamentaux. Pour accomplir cette tâche, les autorités de protection des données et de la vie privée ont besoin de ressources humaines et matérielles suffisantes.

La complexité des chaînes d’approvisionnement mondiales signifie que des principes communs sont nécessaires à la gouvernance de l’IA. La dignité humaine doit être au cœur de la conception de l’IA; l’IA doit être transparente, compréhensible et explicable; et les principes de protection des données, dont la limitation de la finalité et la limitation des données au minimum nécessaire, doivent s’appliquer à l’IA. D’autres travaux sont nécessaires pour favoriser l’élaboration d’approches interopérables en matière de réglementation de l’IA entre les administrations, dans l’intérêt des particuliers et des entreprises.

Repenser les recours à l’ère numérique

L’évolution rapide de l’économie numérique fait en sorte que les autorités de protection des données et de la vie privée doivent continuellement réfléchir à la question de savoir si leurs outils d’application de la loi se prêtent à l’objectif visé et si leurs interventions en font suffisamment pour empêcher les entreprises de profiter de leurs actions illégales et pour dissuader d’autres d’agir en marge de la loi.

Il est primordial que les personnes victimes de ces entreprises demeurent au cœur des préoccupations des autorités de protection des données et de la vie privée qui interviennent par des mesures réglementaires. Les mécanismes de recours devraient prévoir des mesures de réparation pour les consommateurs et les citoyens touchés, la responsabilisation des organisations, des règles du jeu équitables pour les entreprises et la dissuasion de l’inobservation future.

Les solutions doivent suivre le rythme des changements technologiques et du développement de nouveaux modèles d’affaires. Étant donné la nature mondiale de l’économie numérique, il est important que les recours mis à la disposition des autorités de protection des données et de la vie privée maintiennent une parité suffisante entre les administrations.

Innovation technologique dans un contexte pandémique : un test pour les droits à la protection des données personnelles

Depuis 18 mois, nos vies sont rythmées par la pandémie de Covid-19. Les mesures prises par les gouvernements pour lutter contre la pandémie, conjuguées à la prolifération du traitement des données résultant d’une adoption rapide des services numériques, ont mis en péril bon nombre des libertés et des droits fondamentaux qui sont la pierre angulaire des démocraties modernes, y compris le droit au respect de la vie privée.

L’application des lois sur la protection des données et la protection de la vie privée doit être souple et contextualisée en cas d’urgence ou de situations sans précédent, comme la pandémie. Toutefois, c’est précisément dans de telles situations d’urgence, où des solutions extraordinaires sont déployées, que les autorités de protection des données et de la vie privée doivent s’assurer qu’elles agissent à la fois comme protecteurs et comme facilitateurs, en veillant à ce que les droits des citoyens en matière de données soient respectés tout en déployant des interventions appropriées à l’urgence de santé publique.

L’élaboration d’approches cohérentes pour résoudre les problèmes qui se présentent nous permettra de continuer à agir avec vigueur en tant que gardiens des valeurs qui définissent nos sociétés, y compris pour protéger les données personnelles.

Accès par les gouvernements et circulation des données à l’échelle internationale : Quel rôle pour la coopération réglementaire pour garantir une confiance réelle?^{Note de bas de page 2}

Les gouvernements et les services de renseignement ont des besoins légitimes en matière d’accès aux données personnelles. Toutefois, le droit au respect de la vie privée et les autres droits de la personne doivent être respectés, et l’accès des gouvernements aux données personnelles doit faire l’objet de mesures de protection et de supervision appropriées.

Les différences entre les règles de divers pays et l’incertitude entourant les pratiques des autorités publiques peuvent également entraver la circulation transfrontalière des données en toute confiance. À l’inverse, une compréhension commune de la base sur laquelle les autorités publiques peuvent avoir accès aux données et les mesures de protection qui devraient être mises en place pour protéger les individus peuvent aider à construire la confiance qui sous-tend la circulation transfrontalière des données, et ainsi atténuer les restrictions potentielles à la circulation de celles-ci.

Alors que des principes sous-jacents communs sur la façon de réglementer cet accès font l’objet de discussion dans d’autres forums internationaux, la coopération entre les autorités de protection des données personnelles et de la vie privée du G7 à ce sujet devient importante pour aider à formuler et à promouvoir des solutions. Cette démarche vise à s’assurer que les mécanismes de protection et les recours pour les individus sont cohérents lorsque leurs données personnelles sont transférées entre les pays et à soutenir la libre circulation des données personnelles en surmontant les défis et les obstacles actuels, en se dotant de normes juridiques de haut niveau qui offrent une véritable protection des droits à la vie privée des citoyens du monde entier.

Élaboration d’un cadre pour le transfert transfrontalier de données personnelles et la coopération entre les autorités de protection des données personnelles du G7

Le rythme de l’innovation et des changements technologiques a donné naissance à une économie numérique mondiale caractérisée par des transferts massifs de données, y compris des données personnelles, par-delà les frontières et les systèmes politiques. Cela pose un défi aux autorités de protection des données et de la vie privée. Il est essentiel que les organismes de régulation de différents pays coopèrent pour éviter l’arbitrage réglementaire et une asymétrie de la rapidité et des niveaux de protection des droits.

Les autorités de protection des données et de la vie privée doivent mettre en commun leur expertise et leurs bonnes pratiques et collaborer aux enquêtes pertinentes entre juridictions, en particulier dans le contexte de l’émergence de technologies novatrices et de nouveaux produits et services. L’élaboration d’un cadre de politiques et de pratiques d’application de la loi axé sur la collaboration, l’uniformité et la réactivité doit conduire à plus de sécurité juridique pour les entités réglementées et permettre la prise d’éventuelles mesures réglementaires collectives au profit des communautés mondiales.

- - -

Nous avons également salué les interventions de l’OCDE et du Forum économique mondial sur les enjeux qui, selon eux, bénéficieraient d’une coopération entre les autorités du G7 en matière de protection des données personnelles et de la vie privée. Ces interventions nous ont permis d’obtenir le point de vue précieux de collègues en dehors de la communauté de la protection des données personnelles et de la vie privée. Nous avons échangé des points de vue sur de multiples questions complexes concernant la circulation transfrontalière de données.

L’OCDE a présenté un exposé sur l’importance d’une bonne gouvernance des données et de la coopération entre les pays pour la circulation transfrontalière des données, ainsi que sur les avantages économiques pour les citoyens, en rappelant les travaux de l’OCDE pour appuyer cette démarche.

Le Forum économique mondial a présenté des exposés sur le caractère essentiel de la circulation transfrontalière des données pour l’économie mondiale moderne, sur la mesure dans laquelle des politiques bien intentionnées en la matière peuvent néanmoins, à son avis, donner lieu à des conséquences imprévues et sur le rôle que pourraient jouer les autorités du G7 en matière de protection des données personnelles et de la vie privée pour façonner l’économie mondiale.