Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)
Ce domaine évalue votre capacité à placer un traitement donné sous le bon texte et à articuler des sources qui se superposent souvent dans les énoncés d'examen.
Les trois étages
- Droit de l'Union : le règlement (UE) 2016/679 (RGPD) est directement applicable depuis le 25 mai 2018, sans transposition. La directive ePrivacy 2002/58/CE a, elle, été transposée en droit français (article 82 de la loi Informatique et Libertés, article L. 34-5 du CPCE) : elle demeure une directive et joue le rôle de lex specialis pour les communications électroniques et l'accès aux terminaux.
- Droit international : la Convention 108 du Conseil de l'Europe (1981), premier instrument contraignant, a été modernisée par un protocole d'amendement adopté en 2018, dit « Convention 108+ ».
- Droit national et droits fondamentaux : la loi Informatique et Libertés complète le RGPD là où celui-ci renvoie aux États membres ; la Charte (art. 7 et 8) et la CEDH (art. 8) fournissent l'étalon du contrôle juridictionnel.
L'articulation à savoir expliquer
Le RGPD ne remplace pas ePrivacy. Pour un traceur de mesure d'audience, le dépôt sur le terminal relève du droit des communications électroniques, tandis que l'exploitation des données collectées relève du RGPD : un même dispositif cumule deux bases légales distinctes.
Exemple raisonné
Une société française utilise un outil d'analyse d'audience qui dépose un identifiant sur le navigateur et exporte des journaux vers les États-Unis. Raisonnement : (1) dépôt d'un traceur → consentement préalable sauf exemption, sur le fondement ePrivacy / LIL ; (2) les journaux constituent un traitement → base légale RGPD, par exemple l'intérêt légitime si l'exemption s'applique ; (3) l'export vers les États-Unis → chapitre V du RGPD, donc clauses contractuelles types ou certification au titre du Data Privacy Framework. Trois textes, trois raisonnements séparés.
Pièges à éviter
- Croire que le RGPD absorbe ePrivacy : la directive reste la norme spéciale.
- Présenter la Convention 108+ comme directement invocable devant le juge français.
- Oublier l'article 3 : le RGPD s'applique dès que des personnes situées dans l'Union sont ciblées, même sans établissement européen.