Le contexte
Le 19 novembre, la Commission européenne a présenté sa proposition de réglementation Digital Omnibus, ayant pour but la simplification de la législation européenne dans le numérique. Il s’agit d’un texte phare du Parlement européen élu en juin 2024, qui défend une simplification réglementaire au bénéfice des entreprises et de leur développement économique. Par ailleurs, la Commission prévoit jusqu’à 5 milliards d’euros d’économies en coûts administratifs d’ici 2029 grâce à ce projet, porté notamment par Henna Virkkunen, commissaire européenne chargée de la politique numérique (DG Connect), et par Michael McGrath, commissaire européen chargé de la démocratie, de la justice, de l’État de droit et de la protection des consommateurs (DG Just).
Le Digital Omnibus pourrait avoir un impact significatif sur la filière de la publicité en ligne, tant pour les adtechs que pour les éditeurs, et ce sur plusieurs aspects.
Plus précisément, le texte prévoit une simplification de “la législation sur les données, y compris les règles relatives aux cookies et autres technologies de suivi” pour les entreprises européennes, avec des modifications ciblées du RGPD.
Le projet entend aussi moderniser les règles relatives aux cookies et technologies similaires, avec une réduction dans “la fréquence d’apparition des bannières de cookies”, et vise à “permettre aux utilisateurs de donner leur consentement en un clic et de sauvegarder leurs préférences via des paramètres centralisés dans les navigateurs et systèmes d’exploitation”. Le texte rappelle qu’une “solution réglementaire à la fatigue du consentement et à la prolifération des bannières de cookies est attendue depuis longtemps”, alors que la dernière révision de la directive ePrivacy remonte à 2009.
Comme l’indique l’introduction du projet, cette proposition “constitue une première étape pour optimiser l’application du cadre réglementaire numérique” et vise à “apporter un soulagement immédiat aux entreprises, aux administrations publiques et aux citoyens, afin de stimuler la compétitivité”. Cette dynamique s’inscrit dans le prolongement du rapport de Mario Draghi, conseiller spécial d’Ursula von der Leyen et ancien président de la Banque centrale européenne, sur la compétitivité européenne, présenté en septembre 2024.
Bien qu’encore en phase de débat, nombreux sont les acteurs du secteur des médias et de la publicité en ligne qui se disent déçus d’un texte qu’ils jugent inabouti et insuffisamment simplificateur. Julie Carel, avocate et partner chez Momentum Avocats, observe que “de nombreux éléments de ce texte vont avoir un impact significatif, mais apportent également des complexités réglementaires supplémentaires”. “C’est le cas des deux régimes de l’ePrivacy et du RGPD en matière de cookies, qui vont se cumuler, le premier pour les données non personnelles et le second pour les données personnelles, sans pour autant avoir de régime harmonisé. Le texte du RGPD prévoit de nouvelles exception à la base légale du consentement, mais qui sont très strictes”, constate-elle.
Les enjeux
1. Des modifications ciblées du RGPD
Des modifications ciblées du RGPD permettront, en particulier, de clarifier la notion de données à caractère personnel, d’harmoniser au niveau de l’UE les cas où des analyses d’impact relatives à la protection des données doivent être réalisées, de simplifier les notifications de violation de données aux autorités de contrôle, de rationaliser les notifications de violation via un point d’entrée unique au niveau de l’UE, et de simplifier les obligations d’information lorsqu’il existe des motifs raisonnables de penser que les personnes disposent déjà de l’information et que le risque pour la personne concernée est faible.
- Modification de la notion de données personnelles
Le Digital Omnibus prévoit une mise à jour de la définition des données personnelles, dans un objectif de consolidation de la jurisprudence liée à l’arrêt rendu par la Cour de Justice de l’Union européenne (CJUE) dans l’affaire opposant le Conseil de résolution unique (CRU) au Contrôleur européen de la protection des données sur la notion de données personnelles et la pseudonymisation.
Dans ce cadre, l’article 4, paragraphe 1, du RGPD définissant les “informations relatives à une personne physique identifiable” serait complété afin de préciser qu’une information ne peut pas être considérée comme une donnée personnelle si l’entité qui dispose de ces données n’a pas de moyens raisonnablement susceptibles d’identifier la personne concernée, commente Julie Carel, avocate et partner chez Momentum Avocats. L’objectif est d’encourager l’utilisation de la pseudonymisation et d’autres techniques d’anonymisation.
Dans ce cadre, l’article 4, paragraphe 1, du RGPD définissant les “informations relatives à une personne physique identifiable” serait complété afin de préciser qu’une information ne peut pas être considérée comme une donnée personnelle si l’entité qui dispose de ces données n’a pas de moyens raisonnablement susceptibles d’identifier la personne concernée, commente Julie Carel, avocate et partner chez Momentum Avocats.
Cheffe de rubrique Adtechs pour mind Media