La CNIL revient sur deux déclarations adoptées mi-février par le Comité européen de la protection des données (CEPD, composé de représentants des 27 CNIL européennes) au sujet de la proposition de règlement établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants (cf nos articles sur #ChatControl), et d'une « clarification de la notion d’établissement principal ».
Se disant « conscient de l’importance de la lutte contre les abus sexuels sur enfants en ligne », le CEPD prend ainsi acte des « nombreuses améliorations » apportées par le compromis du Parlement européen, « telles que l’exemption des communications chiffrées de bout-en-bout des injonctions de détection ».
« Il constate cependant que des difficultés subsistent », note la CNIL. En particulier, la proposition de règlement « ne devrait pas porter une atteinte excessive au respect de la vie privée, en permettant la surveillance indiscriminée des communications privées ».
En l’état, la portée des injonctions de détection est en effet « trop générale » et n’offre « aucune garantie quant au fait qu’elles viseront uniquement les personnes susceptibles d’être impliquées dans la transmission de matériel pédopornographique ».
Le CEPD appelle ainsi les co-législateurs à s'« assurer que tout nouveau texte sur ce sujet respecte pleinement les droits fondamentaux à la protection des données et au respect de la vie privée ».
La présidence belge du Conseil de l’UE a depuis indiqué qu’elle présentera le 1ᵉʳ mars sa nouvelle approche pour « obtenir un mandat de négociation avec le Parlement intégrant notamment, des propositions sur le ciblage des injonctions de surveillance ».
Le CEPD précise par ailleurs qu’il revient au responsable de traitement de prouver la qualification de l’un de ses établissements comme « établissement principal au sein de l’UE », et rappelle son obligation de coopération.
