Depuis sa création, le Règlement général sur la protection des données (RGPD) de l'UE est considéré par les experts comme l'ensemble de règles de protection des données le plus solide au monde. Alors que notre présence en ligne s'accroît via les réseaux sociaux, les services bancaires numériques et d'autres moyens, les nations du monde entier ont réalisé qu'elles ne peuvent pas rester à la traîne en matière de protection des données personnelles de leurs citoyens.
Le RGPD a été adopté en Europe le 24 mai 2016 et est devenu pleinement applicable le 25 mai 2018. Construit sur la base des lois européennes antérieures des années 90, le RGPD vise à harmoniser les lois sur la protection des données dans toute l'UE et à offrir une plus grande protection à ses citoyens grâce à 7 principes fondamentaux, notamment la transparence, la limitation des finalités, l'exactitude, et d'autres.
Ce qui rend le RGPD unique, c'est que son champ d'application s'étend au-delà des frontières de l'UE, ce qui signifie que toute entreprise traitant des données personnelles d'un citoyen de l'UE est soumise à la loi européenne, où qu'elle se trouve dans le monde. 3 ans après son application, au troisième trimestre 2021, les amendes RGPD ont totalisé 1 milliard d'euros dans le monde, soit 20 fois plus que le nombre des deux premiers trimestres de l'année combinés. La plus grande amende de l'histoire du règlement a été infligée à Amazon en 2021 pour un montant stupéfiant de 746 millions d'euros.
Le RGPD ne fait pas seulement la différence pour les habitants de l'UE, mais il inspire également d'autres nations à modifier ou à adopter des lois sur la protection de la vie privée calquées sur son homologue européen. Du LGDP du Brésil à la loi n° 13 de 2016 du Qatar, le RGPD s'impose comme la loi principale sur la protection de la vie privée dans le monde.
Comment le RGPD est-il la norme en matière de lois sur la protection de la vie privée ?
Elizabeth Denham, Commissaire à l'information du Royaume-Uni, a décrit le RGPD comme étant évolutionnaire plutôt que révolutionnaire. Bien que des lois sur la protection de la vie privée aient existé dans diverses parties du monde, le Land allemand de Hesse étant le premier à en adopter une en 1970, le RGPD s'est appuyé sur leurs fondations en renforçant certaines normes et en introduisant de nouvelles approches de la protection des données. Des notions telles que le consentement des personnes concernées l'ont distingué de ses prédécesseurs.
Les professeurs Chris Jay Hoofnagle, Bart van der Sloot et Frederik Zuiderveen Borgesius ont décrit le RGPD dans leur article de 2019 « The European Union general data protection regulation: what it is and what it means » comme « le développement réglementaire le plus important en matière de politique de l'information depuis une génération ». De plus, ils estiment que le RGPD amènera « les données personnelles dans un régime réglementaire détaillé, qui influencera l'utilisation des données personnelles dans le monde entier ».
Bien que le RGPD soit loin d'être parfait – comme le montrent les critiques concernant ses dispositions vagues, son manque d'orientation et son ambiguïté concernant les flux de données internationaux – il est actuellement l'une des lois de protection des données les plus solides au monde.
Commerce avec les pays tiers
De nombreux pays adoptent une législation similaire au RGPD également à des fins financières. Les petites nations cherchant à commercer avec l'UE à l'intérieur de ses frontières européennes et les entreprises non européennes sont obligées de suivre la loi européenne, incitant ainsi leurs législateurs à adopter des normes similaires. Le chapitre V du RGPD stipule que le transfert de données personnelles de sujets de l'UE vers des pays tiers n'est pas autorisé, à moins que la réglementation du pays ne soit considérée comme adéquate ou que des garanties appropriées ne soient mises en œuvre.
Quelles sont les législations similaires au RGPD ?
Vous trouverez ci-dessous une liste de pays qui ont modifié leurs lois sur la protection des données ou en ont introduit de nouvelles inspirées par le RGPD. Bien qu'il existe des différences entre le règlement européen et ces lois, voici quelques-unes des similitudes.
Pays | Nom | Acronyme | Date | Similitudes |
|---|---|---|---|---|
Qatar | Loi n° 13 de 2016 | N/A | 13/11/2016 | Droit de supprimer ou de corriger les données personnelles et droit de retirer le consentement aux données personnelles. Exigence pour les organisations de prendre en compte les questions de confidentialité lors de la conception et du développement de produits, systèmes et services - confidentialité dès la conception. |
Maurice | Loi sur la protection des données | N/A | 15/01/2018 | Traitement licite des données personnelles. Droit de consentement concernant les données personnelles, droit d'opposition, droit d'accès et droit de rectifier des données incomplètes ou inexactes. Chiffrement et pseudonymisation des données personnelles. |
Royaume-Uni | Règlement général sur la protection des données du Royaume-Uni | UKRGPD | 23/05/2018 (devenu UKRGPD après le Brexit) | Traitement des données personnelles similaire au RGPD. Notion de responsables du traitement et de sous-traitants. Protection des données des enfants. Principes clés, droits et obligations similaires au RGPD. |
Nigeria | Règlement sur la protection des données | NDPR | 25/01/2019 | Définitions du responsable du traitement et de la personne concernée assez similaires. Données personnelles sensibles de portée et de définition similaires aux catégories spéciales de données personnelles du RGPD. Les personnes impliquées dans le traitement des données, ou le contrôle des données, doivent développer des mesures de sécurité pour protéger les données. Les données personnelles doivent être collectées à des fins spécifiques, légitimes et licites. |
Ouganda | Loi sur la protection des données et la vie privée, 2019 | N/A | 01/03/2019 | S'étend à tous les citoyens ougandais même s'ils ne vivent pas en Ouganda. Désignation d'un délégué à la protection des données. Droits des personnes concernées similaires au RGPD. |
Bahreïn | Loi sur la protection des données personnelles | PDPL | 01/08/2019 | Droit de corriger des données personnelles erronées, droit d'effacer des données personnelles sous certaines conditions, et droit de s'opposer à une prise de décision automatisée. |
Kenya | Loi sur la protection des données | N/A | 08/11/2019 | S'applique à toutes les entreprises traitant des données au Kenya, quel que soit leur emplacement physique. Les personnes concernées peuvent demander le droit de retrait et le droit à l'oubli. Elles peuvent également demander comment leurs données sont utilisées. Un délégué à la protection des données doit également être nommé. |
Afrique du Sud | Loi sur la protection des informations personnelles | POPIA | 01/07/2020 | Mise en œuvre de mesures techniques et organisationnelles appropriées pour protéger les données personnelles. Agent d'information comme DPO. Signalement des violations de données similaire au RGPD. Obligation de respecter la loi même sans domicile en Afrique du Sud. Contrats écrits entre la personne concernée et l'opérateur de données. |
Brésil | Loi générale sur la protection des données personnelles 13709/2018 | LGPD | 18/09/2020 | S'applique au traitement des données personnelles effectué au Brésil si le but de ce traitement est de fournir ou d'offrir des biens/services aux résidents brésiliens. Consentement et traitement similaires au RGPD. Droits des personnes concernées similaires au RGPD. |
Nouvelle-Zélande | Loi sur la protection de la vie privée de 2020 | N/A | 01/12/2020 | Les entités étrangères faisant des affaires en Nouvelle-Zélande sont soumises aux obligations de la loi même sans présence dans le pays. Le transfert d'informations personnelles à l'étranger sans le consentement exprès de l'individu n'est pas autorisé. |
Thaïlande | Loi sur la protection des données personnelles | PDPA | 31/05/2021 | Définitions similaires au RGPD. Obligation de respecter la loi pour les organisations collectant ou utilisant des données personnelles en Thaïlande, qu'elles soient ou non domiciliées dans le pays. Droit d'opposition. Les informations qu'un responsable du traitement doit enregistrer sont similaires à celles décrites dans le RGPD. |
Chine | Loi sur la protection des informations personnelles | PIPL | 22/11/2021 | Définition de « informations personnelles » et « traitement » similaire au RGPD. La portée territoriale s'étend aux citoyens chinois en dehors du pays. Exige que les entités aient une base légale pour traiter les informations personnelles. Transfert transfrontalier d'informations personnelles similaire au RGPD. |
Amendements
Un certain nombre de pays ont également modifié leurs réglementations préexistantes sur la protection des données personnelles pour inclure des concepts du RGPD. Il s'agit notamment de la Russie, de Singapour, du Chili et du Canada.
Comment le RGPD inspire-t-il les lois américaines sur la protection de la vie privée ?
La réglementation sur la protection des données aux États-Unis est un ensemble disparate de différentes législations adoptées indépendamment par les États, sans loi nationale globale. Selon l'Association internationale des professionnels de la vie privée, 20 États américains ont introduit leurs propres projets de loi sur la vie privée en 2021, dont beaucoup s'inspirent du RGPD.
La California Privacy Rights Act de 2020 (CPRA), approuvée le 3 novembre 2020 et qui s'appuie sur la précédente California Consumer Privacy Act de 2018, partage plusieurs similitudes avec son homologue européenne. La loi prévoit des droits concernant les informations personnelles des enfants et leur utilisation, la notion de collecte, de transfert et de suppression d'informations personnelles, et la possibilité d'amendes pour les violations de données, entre autres. Elle est considérée comme centrée sur l'utilisateur en accordant davantage de droits et de protection aux citoyens californiens. La loi entrera en vigueur en 2023.
En 2023, l'État de Virginie adoptera la Virginia's Consumer Data Protection Act (CDPA). La loi accorde aux consommateurs le droit d'accéder, d'obtenir, de supprimer et de rectifier les données personnelles collectées par une entreprise. Elle inclut également la définition de « données sensibles » dans la même veine que le RGPD.
Dans un sondage de 2021 réalisé par Morning Consult, il a été démontré que 83 % des électeurs américains estimaient que l'adoption d'une législation nationale sur la protection des données était une priorité « élevée » ou « importante, mais faible ».
Quel est l'avenir des lois sur la protection des données ?
Avec un paysage technologique en évolution rapide et la volonté de sauvegarder les droits personnels des individus dans le monde entier, les réglementations sur la protection des données continueront d'évoluer. L'Union européenne est à l'avant-garde de cette initiative, ayant annoncé en 2021 une série de projets de législation qui viendront compléter le RGPD. Il s'agit notamment de la loi sur la gouvernance des données, de la loi sur les données, de la loi sur la cybersécurité et du règlement ePrivacy, entre autres. L'avenir dira comment ces actes auront un impact à l'échelle internationale.
L'Inde s'apprête également à présenter son projet de loi sur la protection des données dans un avenir proche. S'inspirant du RGPD, ses similitudes se retrouvent dans la définition du consentement et du fiduciaire des données ainsi que dans le délai nécessaire pour signaler une violation de données, entre autres. Forbes India a critiqué le projet de loi pour avoir donné « au gouvernement des pouvoirs généraux d'accéder aux données des citoyens ». Cependant, Estelle Masse, analyste politique principale au sein du groupe de défense des droits numériques Access Now, a déclaré dans un article de CNBC que la réglementation indienne aura un fort impact au niveau international « en raison du nombre considérable de personnes et du rôle que ce pays jouerait dans une économie mondiale des données ».
Alors que le monde évolue vers une réalité plus numérique suite à la pandémie de Covid-19, la protection des données et les droits relatifs à nos informations personnelles s'intégreront davantage dans les lois nationales, évoluant constamment avec les nouvelles technologies et les paysages réglementaires internationaux.
