Les CNIL européennes demandent des clarifications sur l’euro numérique

Trois mois après la publication des propositions de règlement relatives à l’euro numérique, le Comité européen de la protection des données et le Contrôleur européen de la protection des données publient un avis conjoint dans lequel ils demandent moult précisions aux législateurs.

Fin juin, la Commission européenne publiait deux propositions de règlements relatifs à l’euro numérique. L’un concerne directement la création d’un euro numérique, l’autre vise (entre autres) à sauvegarder le rôle de la monnaie fiduciaire (le cash). 

Alors que les deux ans d’enquête menée par la Banque centrale européenne (BCE) sur la faisabilité du projet d’euro numérique s’achèvent, le Comité européen de la protection des données (EDPB, qui œuvre à la coopération des CNIL de l’Union) et le Contrôleur européen de la protection des données (EDPS, la CNIL à l’échelle des institutions européennes) publient un avis commun sur les deux propositions de lois. 

• On vous explique le b.a.-ba de l’euro numérique
• Les caractéristiques de l’euro numérique ne correspondent pas aux recommandations des CNIL
• Le Contrôleur européen de la protection des données se réaffirme en contre-pouvoir

Ils se déclarent notamment en faveur de la création d’une obligation qui garantirait la pseudonymisation de toutes les données de transactions susceptibles de circuler jusqu’aux banques centrales et à la BCE.

La surveillance de la BCE, sujet de discorde

Dans le contexte « hautement compétitif » des paiements numériques, les deux entités y soulignent que l’intérêt d’une monnaie numérique unifiée réside principalement dans la confidentialité qu’elle apporterait.

Elles saluent néanmoins très rapidement le maintien réaffirmé de la monnaie fiduciaire par la Commission, la recherche d’un niveau élevé de protection de la vie privée et la perspective que dessine le texte d’un « mode offline » – ce dernier est pensé pour minimiser le traitement de données personnelles liées à l’euro numérique et pour intégrer la protection des données par défaut dans le fonctionnement du nouveau moyen de paiement. 

Bien qu’elles soient positives, ces remarques introductives mettent déjà le doigt sur plusieurs des sujets qui suscitent le scepticisme. En septembre, face à plusieurs députés, l’actuelle présidente de la Banque centrale européenne Christine Lagarde a admis que l’euro numérique ne serait pas « entièrement anonyme comme c’est le cas avec un billet de banque ». Elle a expliqué que c’était impossible (dans la mesure où « l’argent laisse une trace sur la blockchain »), mais qu’un travail de fond était tout de même réalisé pour garantir la vie privée.



La dirigeante a surtout souligné qu’un anonymat complet serait « contraire à l’objectif de lutte contre le blanchiment d’argent et le financement du terrorisme », mais que l’euro numérique ne créerait pas pour autant une « BCE Big Brother ». De fait, Christine Lagarde a indiqué que ce seraient les banques commerciales qui auraient accès à certaines données, comparant cela à la situation actuelle, où ces mêmes banques peuvent accéder à et analyser les transactions réalisées par leur intermédiaire.

Travaux préparatoires de la BCE 

Si les textes juridiques seront classiquement discutés et approuvés par les États membres et le Parlement européen, c’est la BCE qui a réalisé le gros du travail technique, rappelle Euractiv. Par la voix de Fabio Panetta, qui appartient à son directoire, elle concluait en avril de la nécessité de rendre l’euro numérique simple à utiliser et disponible en magasin, en ligne et entre personnes. 

L’idée, ancrée dans les deux textes proposés par la Commission, n’est pas de contraindre à l’utilisation de l’euro numérique, mais bien de créer une nouvelle possibilité de paiement, que la Commission comme la BCE déclarent nécessaire à l’heure du tout connecté.

Dans sa communication d’avril, la BCE se prononçait en faveur de l’obligation, pour les commerçants proposant déjà divers moyens de paiement numérique non unifiés d’accepter aussi les paiements en euro numérique. Autre point nécessaire à l’accès universel à nouvelle forme de monnaie : il faudrait, selon l’institution, que l’euro numérique soit disponible dans chaque banque, pour éviter que quiconque (consommateur ou marchand) n’ait besoin de changer de banque pour pouvoir utiliser cette nouvelle forme de monnaie.

Pour inciter à son usage, la BCE proposait enfin quatre piliers d’incitation à l’euro numérique :

• en rendre l’usage quotidien gratuit, dans la mesure où il s’agira d’un bien public ;
• rémunérer les intermédiaires pour leur service de la même manière qu’ils le sont en cas d’usage d’autres moyens numériques de paiement ;
• créer des garanties qu’aucun commerçant ne soit surfacturé par les intermédiaires s’ils sont obligés de proposer et d’accepter l’euro numérique ;
• et faire de l’Eurosystème le gérant des normes communes de paiements et des activités de règlement, pour consacrer « le statut de bien public de l’euro numérique » et fonctionner, finalement, comme c’est déjà le cas pour les espèces. 

Démontrer la proportionnalité de diverses mesures

Dans leur avis commun, l’EDPB et l’EDPS saluent la gestion « décentralisée » de l’euro numérique qu’ancrerait le texte de la Commission. Même si celui-ci serait administré par les intermédiaires financiers plutôt que directement par l’Eurosystème, et comme c'est leur rôle, les deux entités enfoncent tout même le clou sur diverses questions de vie privée. 

Elles demandent notamment de clarifier, dans le texte législatif, la manière dont l’euro numérique doit être distribué. Elles regrettent aussi que l’adoption d’une approche « sélective de la vie privée » ait été écartée pour ce qui concernait les paiements de faible montant.

Elles s’inquiètent de la « nécessité et de la proportionnalité » de créer un identifiant unique spécifique aux usagers de l’euro numérique. En l’état, celui-ci est défini comme un « identifiant créé par un prestataire de services de paiement distribuant l'euro numérique qui différencie sans ambiguïté les utilisateurs de l'euro numérique, mais qui n'est pas attribuable à une personne physique ou morale identifiable par l'Union européenne », ce sur quoi l’EDPB et l’EDPS demandent précision.

Les deux estiment par ailleurs que le texte actuel manque d’information sur la manière dont les fournisseurs de services de paiement géreront les données sensibles qu’ils auront à traiter.

Sur la question de la lutte contre la fraude, enfin, l’EDPB et l’EDPS estiment que la proposition de loi manque encore de précision et de justification sur quelle entité gérera quelle partie de la détection et de la prévention de la fraude.

Beaucoup de sujets à creuser, donc… ce qu’on ne manquera pas de suivre, ne serait-ce qu’en vous proposant bientôt un décorticage plus précis de la proposition de régulation.