Résumé de l’avis du contrôleur européen de la protection des données concernant la proposition de législation sur les marchés numériques

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 147/04)

Le 15 décembre 2020, la Commission a publié une proposition de règlement du Parlement européen et du Conseil relatif aux marchés contestables et équitables dans le secteur numérique (législation sur les marchés numériques). La proposition fait suite à la Communication intitulée Façonner l’avenir numérique de l’Europe, dans laquelle il est indiqué que des règles supplémentaires peuvent être nécessaires pour garantir la contestabilité, l’équité et l’innovation et la possibilité d’entrée sur le marché, ainsi que des intérêts publics qui vont au-delà de la concurrence ou de considérations économiques. La proposition établit des règles ex ante afin que les marchés caractérisés par de grandes plateformes générant des effets de réseau importants («contrôleurs d’accès») restent équitables et contestables.

Ce faisant, la proposition établit les dispositions relatives à la désignation des contrôleurs d’accès tenant compte de l’avantage tiré des données en ce qui concerne notamment l’accès aux données à caractère personnel et la collecte de ces données par le fournisseur; les obligations et interdictions auxquelles les contrôleurs d’accès sont soumis; les règles pour la conduite d’enquêtes sur le marché; les dispositions relatives à la mise en œuvre et à l’application de la proposition.

Dans cet avis, le CEPD accueille favorablement la proposition, dans la mesure où elle vise à promouvoir des marchés équitables et ouverts et le traitement équitable des données à caractère personnel. Dès 2014, le CEPD a souligné que le droit de la concurrence, de la protection des consommateurs et de la protection des données sont trois domaines d’action inextricablement liés dans le contexte de l’économie des plateformes en ligne. Le CEPD estime que la relation entre ces trois domaines devrait être une relation de complémentarité, et non une relation dans laquelle un domaine se substitue à un autre ou entre en conflit avec un autre.

Dans le présent avis, le CEPD met en évidence les dispositions de la proposition qui ont pour effet de renforcer mutuellement la contestabilité du marché et, en fin de compte, le contrôle par la personne concernée de ses données à caractère personnel. C’est notamment le cas de l’article 5, point f), qui interdit d’exiger des utilisateurs finaux qu’ils s’abonnent à d’autres services de plateforme essentiels proposés par le contrôleur d’accès; de l’article 6, paragraphe 1, point b), qui permet à l’utilisateur final de désinstaller des applications logicielles préinstallées dans le service de plateforme essentiel; de l’article 6, paragraphe 1, point e), qui interdit au contrôleur d’accès de restreindre la capacité des utilisateurs finaux de passer à d’autres applications logicielles et services; et de l’article 13, qui prévoit l’obligation pour le contrôleur d’accès de soumettre à la Commission une description, devant faire l’objet d’un audit indépendant, de toutes les techniques de profilage des consommateurs qu’il applique dans le cadre de ses services de plateforme essentiels.

Par ailleurs, le CEPD formule des recommandations spécifiques visant à s’assurer que la proposition complète efficacement le RGPD, en renforçant la protection des libertés et droits fondamentaux des personnes concernées et en évitant les conflits avec les règles actuelles en matière de protection des données. À cet égard, le CEPD recommande plus particulièrement de préciser à l’article 5, point a) de la proposition que le contrôleur d’accès propose aux utilisateurs finaux une solution d’accessibilité facile et rapide pour la gestion du consentement; de préciser le champ d’application de la portabilité des données prévue à l’article 6, paragraphe 1, point h) de la proposition; de reformuler l’article 6, paragraphe 1, point i) de la proposition pour garantir la pleine conformité avec le RGPD; et d’attirer l’attention sur la nécessité d’une anonymisation effective et de tests de ré-identification lors du partage des données concernant les requêtes, clics et vues en lien avec les recherches gratuites et payantes générées par les utilisateurs finaux sur les moteurs de recherche en ligne du contrôleur d’accès.

En outre, le CEPD invite les colégislateurs à envisager d’introduire des exigences minimales d’interopérabilité pour les contrôleurs d’accès et à promouvoir l’élaboration de normes techniques au niveau européen, conformément à la législation de l’Union applicable en matière de normalisation européenne.

Enfin, en s’appuyant notamment sur l’expérience de la Digital Clearinghouse, le CEPD recommande de préciser, à l’article 32, paragraphe 1, que le comité consultatif en matière de marchés numériques comprend des représentants du comité européen de la protection des données, et demande, plus largement, de mettre en place une coopération institutionnalisée et structurée entre les autorités de contrôle compétentes concernées, y compris les autorités chargées de la protection des données. Cette coopération devrait notamment permettre d’échanger toutes les informations pertinentes avec les autorités compétentes afin qu’elles puissent remplir leur rôle complémentaire, tout en agissant conformément à leur mandat institutionnel respectif.

1. INTRODUCTION ET CONTEXTE

Le 15 décembre 2020, la Commission européenne a adopté la proposition de règlement du Parlement européen et du Conseil relatif aux marchés contestables et équitables dans le secteur numérique (législation sur les marchés numériques) (ci-après la «proposition») (1).

La proposition fait suite à la Communication intitulée Façonner l’avenir numérique de l’Europe, dans laquelle il était indiqué que des règles supplémentaires peuvent être nécessaires pour garantir la contestabilité, l’équité et l’innovation du marché et la possibilité d’entrée sur le marché, ainsi que les intérêts publics qui vont au-delà de la concurrence ou de considérations économiques. La communication annonçait également que la Commission étudierait la possibilité d’instaurer des règles ex ante afin que les marchés caractérisés par de grandes plateformes générant des effets de réseau importants et agissant en tant que «gardiens» restent équitables et contestables pour les innovateurs, les entreprises et les nouveaux entrants (2).

Selon l’exposé des motifs de la proposition, quelques grandes plateformes du secteur numérique jouent de plus en plus le rôle de points d’accès ou de «contrôleurs d’accès» entre les entreprises utilisatrices et les utilisateurs finaux. Ces contrôleurs d’accès seraient ancrés dans les marchés numériques, ce qui entraîne une forte dépendance pour de nombreuses entreprises utilisatrices et provoque des effets négatifs sur la contestabilité des services de plateforme essentiels concernés. Dans certains cas, la dépendance occasionne un comportement déloyal à l’égard des entreprises utilisatrices (3).

L’objectif de la proposition est de traiter au niveau de l’UE les cas les plus marquants de pratiques déloyales et la faible contestabilité concernant ce qu’il convient d’appeler les «services de plateforme essentiels» (4). À cette fin, la proposition:

—	fixe les conditions selon lesquelles les fournisseurs de services de plateforme essentiels doivent être désignés comme «contrôleurs d’accès» (chapitre II);

—	décrit les pratiques déloyales des contrôleurs d’accès qui limitent la contestabilité, définissant les obligations que les contrôleurs d’accès désignés doivent respecter, dont certaines sont susceptibles d’être précisées (chapitre III);

—	prévoit des règles pour la conduite des enquêtes sur le marché (chapitre IV); et

—	contient les dispositions relatives à la mise en œuvre et à l’application du présent règlement (chapitre V).

Le CEPD a été consulté de manière informelle sur le projet de proposition de législation sur les marchés numériques le 8 décembre 2020. Le CEPD se félicite d’avoir été consulté à ce stade précoce de la procédure.

En plus de la proposition, la Commission a également adopté une proposition de règlement du Parlement européen et du Conseil relatif à un marché intérieur des services numériques (législation sur les services numériques) et modifiant la directive 2000/31/CE. Conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725, le CEPD a aussi été consulté sur la proposition de législation sur les services numériques, qui fait l’objet d’un avis distinct.

2. CONCLUSIONS

À la lumière des considérations qui précèdent, le CEPD émet les recommandations suivantes:

—	préciser que la proposition complète à la fois le règlement 2016/679 et la directive 2002/58/CE, et que la proposition ne précise ni ne remplace aucune des obligations des services de plateforme essentiels en vertu du règlement 2016/679 et de la directive 2002/58/CE;

—

préciser à l’article 5, point a), de la proposition que le contrôleur d’accès fournit aux utilisateurs finaux une solution conviviale (d’accessibilité facile et rapide) pour la gestion du consentement, conformément au règlement 2016/679, et en particulier l’exigence de respect de la vie privée dès la conception et de respect de la vie privée par défaut énoncée à l’article 25 du règlement 2016/679;

—	ajouter une référence aux utilisateurs finaux à l’article 5, point f), de la proposition;

—	préciser le champ d’application de la portabilité des données prévue à l’article 6, paragraphe 1, point h), de la proposition;

—	reformuler l’article 6, paragraphe 1, point i), de la proposition afin de garantir la conformité avec le RGPD, en tenant compte en particulier de la définition des «données à caractère personnel» figurant à l’article 4, paragraphe 1, du RGPD;

—

renforcer la référence à l’article 6, paragraphe 1, point j), de la proposition, en précisant dans un considérant que le contrôleur d’accès doit être en mesure de démontrer que les données anonymisées de requêtes, de clics et de vues ont été testées de manière adéquate au regard des risques éventuels de ré-identification;

—	ajouter une référence aux utilisateurs finaux à l’article 10, paragraphe 2, point a), de la proposition;

—	reformuler l’article 11, paragraphe 2, de la proposition en remplaçant «ou» par «et»;

—	préciser que la description, devant faire l’objet d’un audit, est communiquée par la Commission au comité européen de la protection des données ou, à tout le moins, aux autorités de contrôle compétentes en vertu du RGPD, à leur demande;

—

préciser, à l’article 32, paragraphe 1, que le comité consultatif en matière de marchés numériques est composé de représentants du comité européen de la protection des données, ainsi que de représentants des autorités compétentes des États membres en matière de concurrence, de communications électroniques, de services audiovisuels, de contrôle électoral et de protection des consommateurs;

—	envisager d’introduire des exigences minimales d’interopérabilité pour les contrôleurs d’accès et promouvoir l’élaboration de normes techniques au niveau européen, conformément à la législation de l’Union applicable en matière de normalisation européenne;

—

mettre en place une coopération institutionnalisée et structurée entre les autorités de surveillance compétentes concernées, y compris les autorités chargées de la protection des données. Cette coopération devrait notamment permettre d’échanger toutes les informations pertinentes avec les autorités compétentes afin qu’elles puissent remplir leur rôle complémentaire, tout en agissant conformément à leur mandat institutionnel respectif.

Bruxelles, le 10 février 2021.

Wojciech WIEWIÓROWSKI

(1) COM(2020) 842 final.

(2) COM(2020) 67 final.

(3) COM(2020) 842 final, p. 1.

(4) COM(2020) 842 final, p. 2.