Le manque de ressources nuit à l’application des règles de l’UE en matière de protection des données

Le rapport de la FRA intitulé «GDPR in practice – Experiences of data protection authorities»(Le RGPD dans la pratique – Expériences des autorités chargées de la protection des données) met en lumière des questions clés, met en évidence les bonnes pratiques et propose des solutions:

• Manque de ressources - le manque de financement et le manque de personnel empêchent les autorités de s’acquitter pleinement de leurs mandats. De nouvelles dispositions législatives de l’UE, telles que la législation sur l’IA ou les systèmes de gestion des frontières de l’UE, créeront des tâches supplémentaires pour eux. Celles-ci seront difficiles à mettre en œuvre sans ressources appropriées. Les pays de l’UE devraient garantir les ressources financières, humaines et techniques nécessaires pour permettre aux autorités chargées de la protection des données de remplir leur rôle.
• Pouvoirs de contrôle – les autorités chargées de la protection des données disposent déjà de pouvoirs d'enquête, mais elles ont besoin de plus d'outils pour renforcer leur capacité de contrôle. Il s’agit notamment de la capacité de mener des enquêtes discrètes ou de la possibilité d’infliger des amendes aux organisations qui refusent de coopérer. La Commission européenne et le comité européen de la protection des données devraient évaluer quels outils sont nécessaires et renforcer le cadre juridique si nécessaire.
• Échange de bonnes pratiques – en l’absence de ressources, les autorités chargées de la protection des données doivent souvent donner la priorité au traitement des plaintes plutôt qu’à d’autres tâches. Afin de mieux aider les autorités à traiter un grand nombre de plaintes, le comité européen de la protection des données devrait fournir davantage d’orientations et faciliter l’échange de bonnes pratiques. Cela peut également nécessiter l’octroi de ressources supplémentaires au comité européen de la protection des données.
• Consultation et fourniture de conseils – souvent, les autorités chargées de la protection des données ne sont pas consultées sur la nouvelle législation ou se voient impartir des délais serrés. Certaines autorités publiques ne consultent pas non plus les autorités chargées de la protection des données avant de lancer une opération de traitement de données. Afin de veiller à ce que les principes de protection des données soient pris en considération dans les propositions législatives, les pays de l’UE devraient consulter les autorités chargées de la protection des données et demander leur avis à l’avance. Ils devraient également encourager les institutions publiques à consulter plus systématiquement les autorités chargées de la protection des données.
• Sensibilisation – les personnes ne comprennent pas pleinement leur droit aux données à caractère personnel. Les organisations qui traitent des données à caractère personnel peinent à détecter et à prévenir les risques liés à la protection des données, en particulier en ce qui concerne les systèmes d’IA. C’est la raison pour laquelle les analyses d’impact sur la protection des données sont très limitées. Les institutions et les pays de l'UE devraient promouvoir la sensibilisation aux règles et aux obligations en matière de protection des données. Le comité européen de la protection des données devrait élaborer des orientations spécifiques sur le traitement des données impliquant de nouvelles technologies.
• Accès aux données pour la recherche – les chercheurs peinent toujours à accéder aux données, bien que les règles de l’UE en matière de protection des données permettent le traitement des données à des fins scientifiques. Le comité européen de la protection des données devrait élaborer des orientations spécifiques et clarifier ce qui est possible en vertu du droit de l’Union.
• Nouvelles technologies – le RGPD fournit des outils utiles pour faire face aux nouveaux défis technologiques, mais de nombreuses autorités chargées de la protection des données peinent à les réglementer correctement. En collaboration avec les autorités chargées de la protection des données, le comité européen de la protection des données devrait identifier des domaines spécifiques liés à la technologie dans lesquels une plus grande clarté est nécessaire. Les autorités chargées de la protection des données devraient collaborer plus étroitement lorsqu’elles conseillent sur les nouvelles technologies.

Avant la deuxième évaluation du RGPD, la Commission européenne a demandé à la FRA de collecter des données sur les expériences, les défis et les pratiques des autorités chargées de la protection des données.

Le présent rapport se fonde sur 70 entretiens avec des représentants des autorités chargées de la protection des données des 27 États membres de l’UE. La FRA a interrogé les représentants entre juin 2022 et juin 2023.