Comment le RGPD interagit avec l’actuelle directive ePrivacy ?

Alors que le Conseil de l’UE planche toujours sur le projet de règlement ePrivacy, l’European Data Protection Board (EDPB), instance instituée par le RGPD et ayant vocation à prendre la suite du G29, a publié mardi 12 mars un avis sur les interactions possibles entre le RGPD et la directive ePrivacy actuellement en vigueur. Pour rappel, cette dernière protège les données de communication électronique et les équipements terminaux des personnes physiques mais aussi morales. L’EDPB y livre des éclaircissements sur l’articulation de ces deux textes aux champs d’application et régimes juridiques distincts.

RGPD ou ePrivacy ? 

Que faut-il en retenir ? “L’EDPB rappelle que la directive ePrivacy peut, dans certains cas, au nom du principe que la règle spéciale prime sur la règle générale, se substituer à certaines dispositions du RGPD. Par exemple, la directive ePrivacy exige, sauf exceptions, le consentement de la personne concernée pour déposer des cookies sur son terminal. En revanche, les textes peuvent également se compléter : pour ce qui est du traitement ultérieur des données personnelles collectées grâce aux cookies, c’est aux dispositions du RGPD qu’il faut se référer”, explique Nina Gosse, avocate chez De Gaulle Fleurance & Associés. Autrement dit, dans le cas cité, le recueil du consentement relève d’ePrivacy, tandis que le traitement des données est évalué au regard du RGPD.

La distinction entre RGPD et directive ePrivacy impacte également les autorités compétentes en la matière – en France, l’ARCEP pour la protection des communications électroniques et la CNIL pour la protection des données personnelles – et le montant des sanctions financières qui en résultent, bien que le projet de règlement ePrivacy prévoit d’aligner ces dernières.