Protection des données personnelles : l’Irlande, maillon faible de l’Europe

Atlantico : Selon un article de Bloomberg, l’Irlande se débrouille mal pour protéger les données personnelles de ses partenaires européens face aux grandes entreprises de la tech. De quelle ampleur le phénomène est-il ?

Anthony Poncier :  Il y a deux choses à retenir à ce sujet. Il y a la taille de l'équivalent de la Cnil en Irlande qui doit gérer toutes ces questions. Même si elle a des budgets et des ressources similaires à d'autres pays, en Irlande, pour des raisons fiscales, la majorité des acteurs de la Tech sont présents. Ainsi, il y a plus de problèmes à gérer sur l'île que dans d'autres pays. À taille similaire, il y a plus de cas à gérer pour cette organisation et elle est totalement dépassée par les missions. Moins de 5 % des dossiers sont résolus alors que dans d'autres pays ce taux est bien supérieur. On ne va pas se voiler la face non plus, on ne peut pas dire que la Cnil irlandaise soit non plus motivée pour courir après les GAFAM.

L'Irlande a instauré des taux d'imposition accommodants pour les entreprises. Et à moins de scier la branche sur laquelle elle est assise, il n'est pas sûr que l'excès de zèle soit la principale chose que cherche à faire la Cnil irlandaise. C'est donc pour cela que l'on considère que le RGPD, le Graal européen, a des limites car de nombreuses poursuites n'aboutissent pas. Fondamentalement, pour d'autres pays et certaines entreprises, le RGPD est contraignant, mais pour les GAFAM et d'autres installées en Irlande, elles peuvent être plus tranquilles.

Le fait que de nombreuses grandes compagnies de la tech soient installées en Irlande joue-t-il sur le fait que le pays soit moins en capacité de les réprimander et contrôler ?

Le choix de toutes ces entreprises de venir en Irlande n'est pas lié à une question de souplesse dans la mise en place du règlement car elles sont arrivées avant le règlement. Il s'agissait purement d'une question fiscale. Quand un impôt minimal sur les grandes entreprises a été abordé au sein de l'OCDE, l'Irlande n'était pas vraiment pour. À titre historique, la Commission européenne a poursuivi Apple contre la volonté de l'Irlande à propos de sa fiscalité.

La Tech est en Irlande pour des raisons économiques, fiscales. Et au-delà du fiscal, les suites ne peuvent être données à un certain nombre de dossiers, vu la taille de la Cnil irlandaise, et la complexité des cas. Comme toutes les entreprises de Tech les plus importantes sont présentes, cela repose sur les épaules de petites équipes et il y a donc un goulot d'étranglement volontaire ou involontaire extrêmement fort.

Le fonctionnement de l'Union européenne empêche-t-il les autres Etats membres de pallier les déficiences de l'Irlande ?

Pour le moment, dans le cadre du RGPD, c'est le pays où est situé le siège de l'entreprise en question qui doit mener l'enquête. S'il y avait un problème avec une entreprise française, ce serait à la Cnil française de gérer ça. La Cnil, espagnole, allemande ou irlandaise ne pourrait pas le faire car le siège de l'entreprise est en France. Étant donné que c'est pareil pour les Big Tech, seul l'Irlande peut gérer les cas de ces entreprises.

Au regard du retour d'expérience du RGPD, pour les prochaines directives qui se préparent, cela pourrait être coordonné par le pays d'origine mais des enquêtes pourraient avoir lieu dans les pays où les infractions ont lieu. C'est encore à l'état de débat et rien n'a été tranché de ce côté là. Mais il y a peu de chance que l'on garde le même modèle car il a démontré ses limites.

Ne devrions-nous pas créer une instance européenne chargée de s'assurer de la bonne application du RGPD ?

Cette question là est apparue, mais le problème est que beaucoup de pays comme la France sont jaloux de leurs prérogatives. Et même s'il y a une Cnil européenne, elle a plus un avis de conseil et non un avis de sanction ou autre. Je ne pense pas que beaucoup d'États souhaitent voir une supra instance décider pour eux. Dans l'absolu cela fait sens et dans les faits, c'est un peu plus compliqué. Si c'est fait pour le RGPD, cela pourrait être fait pour d'autres choses, mais c'est un autre débat.