Données privées : qui garde les gardiens ?

L’Irlande est le pays hôte des géants de l’Internet. Dans cette contrée enchantée, ils ne payent que très peu ou pas d’impôts et ont donc déclaré sur place une majeure partie de leur activité mondiale. L’impact économique est tel que l’Irlande a des difficultés à calculer son PIB, sur lequel vient se greffer l’internet global. On voit ici que le PIB par tête irlandais connait une évolution vertigineuse depuis les années 90, et sans rapport avec celle des pays voisins.

Ce phénomène est surnommé l’économie Leprechaun, du nom des lutins locaux, et perturbe fortement la répartition de l’imposition des entreprises entre pays-membres et au-delà. Mais pas uniquement. L’Union européenne s’est en effet dotée de normes de plus en plus strictes de protection de la vie privée, qui régulent drastiquement la constitution et l’exploitation de fichiers personnels. Or la vérification que les droits des citoyens européens sont bien respectés par les entreprises a été confiée aux autorités nationales comme la CNIL. En d’autres termes, les acteurs centraux de l’Internet mondial étant tous domiciliés en Irlande, la quasi-totalité de la police des données échoit à la Data Protection Commission irlandaise (DPC) en tant que chef de file, quitte à se coordonner par la suite avec ses homologues pour la sanction. Dès lors on ne peut que se poser quelques questions. Est-elle dimensionnée pour cette tâche d’envergure qui lui donne quasiment une compétence universelle, alors qu’elle semble avoir des difficultés de recrutement ? Est-elle suffisamment impartiale, compte tenu de l’importance stratégique de ce secteur pour le pays ? Le paradis fiscal irlandais est-il également un paradis de contrôle sur leurs pratiques ?

La DPC s’en défend vertement. Elle a ainsi infligé plus de 1 milliards d’euros d’amendes à Facebook pour cinq infractions. Et… c’est un peu tout. Les autres enquêtes sur les géants de l’Internet n’aboutissent pas ou sur de simples admonestations. En 2020, après deux années d’enquête, la plainte sur les transferts d’information entre WhatsApp et Facebook se traduisait par un projet de décision de la DPC aux autres autorités européennes réunies dans le Comité européen de la protection des données. Elle proposait une sanction de 50 millions d’euros, refusée par une partie du collège. Après ce désaveu et au bout d’un an de négociations, l’amende sera de 225 millions.

La Cour de justice, en juin 2021, a dû préciser que le mécanisme de chef de file pouvait être contourné par une autre autorité nationale en cas de carence, avec l’accord du Comité européen. Par ailleurs, une association de défense des citoyens, l’Irish Council for Civil Liberties, a saisi la médiatrice européenne de ces doutes, laquelle a posé quelques questions à la Commission sur la manière dont elle surveillait l’activité de la DPC. Les remontées irlandaises au Comité européen semblant parcellaires, la Commission indique avoir des échanges avec la DPC tous les deux mois, et sur la suggestion de la médiatrice annonce finalement structurer ces échanges pour s’assurer de bien disposer d’informations précises sur les enquêtes en cours et leur calendrier. On notera également que les réflexions sur l’évolution de la police du numérique sont moins étroitement nationales. La construction européenne se fait comme toujours par brique, en tirant les leçons de ce qui semble mériter qu’on y revienne.