La guerre des amendements fait rage au Parlement européen, les avis des commissions s'enchainant ces derniers jours, avec des modifications de certaines protections. Dans une semaine, la commission LIBE doit avoir le dernier mot, amenant la Quadrature et Qwant à réclamer des modifications garantissant le consentement des internautes.

Le règlement ePrivacy approche, les débats s'intensifient sur le consentement. Depuis quelques semaines, La Quadrature du Net mène campagne auprès des eurodéputés.  Le but : qu'ils imposent le consentement de l'internaute à chaque traitement de (méta)donnée.

Il y a quelques jours, le moteur de recherche Qwant s'est fendu d'un billet de blog demandant l'adoption d'amendements spécifiques en commission LIBE (libertés civiles) du Parlement. Ce dernier retravaille la proposition de la Commission européenne, publiée en janvier.

ePrivacy est le frère du Règlement général de protection des données (RGPD), censé garantir le consentement et l'information de l'internaute dans l'utilisation de ses données. Ce texte mène déjà à une course des entreprises pour se conformer, le 25 mai 2018. ePrivacy doit, lui, couvrir des aspects oubliés du RGPD, entre autres les cookies, les métadonnées et des collectes plus spécifiques.

Vote de la commission LIBE le 11 octobre

Alors qu'il n'est pas encore prêt, les institutions européennes veulent aussi appliquer ce règlement fin mai 2018. Pour Amal Taleb, vice-président du Conseil national du numérique (CNNum), il faudra choisir entre cette date et un texte imperméable d'un point de vue juridique. Les nombreux débats actuels sur le consentement, à quelques mois de la possible entrée en vigueur du texte, semblent lui donner raison.

Fin août, la Quadrature du Net lançait un site dédié pour s'adresser aux députés de la commission LIBE, chargée du travail de fond sur le futur règlement, pour un vote en plénière le 11 octobre. Il y a quelques jours, son homologue du marché intérieur (IMCO) donnait son avis, suivie hier d'ITRE (industrie) et JURI (affaires juridiques).

Comme le note Contexte, ces avis assouplissent globalement le futur texte européen, en permettant le traitement ultérieur de métadonnées, sans consentement supplémentaire, s'il est compatible avec l'objectif de la collecte. Certaines informations récupérées pourraient aussi être pseudonymisées, et non totalement anonymisées. La protection du chiffrement semble, pour sa part, renforcée par une série d'amendements, que nous évoquions en juin.

Pour la Quadrature du Net, l'avis de la commission ITRE est « désastreux ». Le texte de la rapporteure Kaja Kallas mènerait au court-circuitage de notre consentement pour l'étude des métadonnées, y compris pour des buts commerciaux. Cet avis permettrait aussi la géolocalisation physique des téléphones, une pratique répandue contre laquelle Android protège peu (voir notre analyse).

L'avis de LIBE est d'autant plus important, selon l'association. Elle a ouvert une déclinaison du PiPhone pour appeler les députés européens concernés. La version qu'ils adopteront sera celle débattue avec le Conseil de l'Union européenne, qui représente les États. Les eurodéputés de LIBE restent libres de suivre ou ignorer l'avis des autres commissions.

Qwant demande des consentements explicites en ligne

Pour sa part, le moteur de recherche français Qwant s'alarme de certaines collectes en ligne. « Les Européens devraient toujours donner un consentement libre, explicite, spécifique et éclairé, lorsque des entreprises souhaitent collecter leurs données et les tracer sur Internet » écrit l'entreprise dans son billet.

Pour elle, l'accord au dépôt d'un cookie ou au suivi ne doit pas être présumé via un réglage du navigateur. C'est la proposition de départ de la Commission européenne, qui veut en finir avec les « murs de cookies » et les bandeaux sur les sites web, estimés peu efficaces. Pour sa part, Qwant demande que le navigateur avertisse l'utilisateur à chaque dépôt de cookie tiers ou pistage supplémentaire.

Le moteur réclame aux eurodéputés de la commission LIBE qu'ils adoptent les amendements protecteurs, dont les 76, 78, 83, 85, 523, 539, 540, 583, 620, 645, et 655. Ils ajoutent entre autres des consentements spécifiques, des protections contre les services refusant un service s'il n'obtient pas des données commerciales. L'un d'eux supprime aussi une exception au consentement pour la mesure d'audience.

Le moment semble effectivement crucial sur la définition exacte du consentement pour certains traitements. Selon le RGPD, cet accord doit être fourni explicitement, pour chaque traitement et sans contrainte. Un service ne peut ainsi pas limiter les fonctions s'il n'obtient pas des données facultatives. Il faudra donc transposer, dans le détail, cette logique aux domaines couverts par ePrivacy.