Protection des données : l'ACEA appelle Bruxelles à la cohérence

La période de consultation de trois mois prend fin. Rien ne va plus. Les entreprises, associations professionnelles ou de défense des consommateurs et autres organisations non-gouvernementales ont répondu à l'appel de l'EDPB, le Comité Européen de la Protection des Données, qui à la suite de la publication de lignes directrices a souhaité connaître l'opinion des parties concernées. Au total, c'est près d'une trentaine de prises de parole écrites qui ont été réceptionnées.  

L'organe européen indépendant, dont les objectifs sont de garantir l’application cohérente du Règlement Général sur la Protection des Données (RGPD) et de promouvoir la coopération entre les autorités de protection des données de l'UE, a été salué pour son initiative. Le 29 avril 2020, l'ACEA a tenu à féliciter le projet sur le traitement des données à caractère personnel dans le contexte des véhicules connectés et des applications liées à la mobilité. "Il est très important pour l'industrie automobile que les autorités de protection des données à travers l'UE, en travaillant à l'objectif commun de soutenir le développement de services de véhicules connectés de confiance dans un marché unique numérique, aient une bonne compréhension commune de la manière dont les règles de protection des données devraient s'appliquer, peut-on lire dans la publication soumise par les constructeurs, sur le site de l'EDPB. Cela facilite la conformité et garantit un terrain de jeu égal pour tous les acteurs".

Toutefois, l'ACEA avertit les autorités quant à la portée de leurs futures décisions. "Nous considérons cependant qu'il est trop tôt pour passer à la version finale pour le moment. Nous recommandons tout d'abord que l'EDPB examine les opportunités d'engagement des parties prenantes de l'industrie afin que les orientations finales soient réalisables et renforcent la confiance des clients dans les nouvelles technologies connectées, et deuxièmement, que ces lignes directrices s'alignent sur les exigences de la réglementation ePrivacyRegulation finale". Au sommet des priorités, l'ACEA souhaiterait des définitions cohérentes de la part des régulateurs de l'UE, afin de minimiser la confusion et d'aider les personnes concernées à comprendre le secteur. En particulier, l'association recommande que soit établie une définition cohérente de ce qui constitue un véhicule dit connecté.

Problème de définition

Elle est pour le moment trop large. Les directives définissent le véhicule connecté comme "un véhicule équipé de nombreuses unités de commande électronique reliées entre elles via un réseau embarqué ainsi que des installations de connectivité lui permettant de partager des informations avec d'autres appareils à l'intérieur et à l'extérieur du véhicule". Or aux yeux de l'ACEA, la connectivité implique qu'il existe une connexion entre le véhicule et un autre appareil à distance pour qu'un échange de données puisse être réalisé d'un appareil à un autre, quel que soit le sens.

Parmi les autres problématiques soulignées par l'association, il y a également celle de la propriété même du véhicule qui, de plus en plus, et notamment en Belgique, est associé à un compte professionnel. Or dans la ligne directrice proposée par l'EDPB, une donnée personnelle est reliée à une personne physique identifiée ou identifiable. Une vision qui ne convient pas aux constructeurs. "Nous pensons que cette déclaration est trop large et ne reflète pas avec précision les spécificités des véhicules à moteur", se sont-ils prononcés.

Here Technologies s'aligne sur l'ACEA

Marion Auzolle, responsable des relations gouvernementales UE, chez Here Technologies rejoint cet axe de militantisme des constructeurs. Rien de surprenant puisque son entreprise – détenue par les trois premium allemands et des équipementiers – a apporté sa contribution à cette rédaction, en plus d'avoir soumis sa participation au débat le 2 avril 2020. "Nous nous réjouissons de constater le nombre de participation car l'objet de la réflexion touche un élément clé de notre activité, se prononce-t-elle. Il y a trois points importants auxquels nous prêtons une attention toute spécifique, la définition d'une donnée personnelle, la notion de consentement et la géolocalisation", liste la responsable.

En ce qui concerne la donnée personnelle, Here Technologies soutient la demande de clarification. Dans le registre du consentement alors, l'entreprise localisée aux Pays-Bas avertit que les dispositions proposées par la ligne directrice vont imposer aux constructeurs de notifier les conducteurs à chaque collecte d'informations et donc durant les phases de conduite. Ce qui a tout de contre-productif car, en l'état, cela amène le conducteur à accepter sans lire les termes de l'accord ou à refuser systématiquement aux détriments des services qui pourraient lui être amenés (station-service, parking, trafic, météo…) ou – plus irrecevable – engendrer une distraction dangereuse au volant.

Comme pour pointer une autre incohérence, la responsable souligne par ailleurs que d'une part la législation européenne en matière de transports intelligents (ITS) impose un partage des informations critiques pour sécuriser la route des usagers, mais que la recommandation de l'EDPB va à l'encontre de cette règle. "Le flou des interprétations nous fait appeler à une approche plus rationnelle, glisse Marion Auzolle. Les visions trop extrêmes de la protection des données vont nuire à l'innovation".