Alors que le premier trimestre 2025 touche \u00e0 sa fin, CRANIUM a compil\u00e9 les principales \u00e9volutions que les DPD doivent surveiller.<\/p>\n
Cette ann\u00e9e s’inscrit dans la continuit\u00e9 des derni\u00e8res ann\u00e9es avec l’entr\u00e9e en vigueur de nouvelles r\u00e8gles. Pensons notamment \u00e0 l’entr\u00e9e en vigueur des deux premiers chapitres de la loi sur l’IA le 2 f\u00e9vrier 2025 et de la loi europ\u00e9enne sur les donn\u00e9es plus tard cette ann\u00e9e, ainsi qu’aux changements survenus sur la sc\u00e8ne internationale avec l’arriv\u00e9e d’un nouveau pr\u00e9sident am\u00e9ricain \u00e0 la Maison-Blanche.<\/p>\n
Avec ces bouleversements majeurs \u00e0 l’horizon, cet article met en lumi\u00e8re les points cl\u00e9s que les DPD et, plus g\u00e9n\u00e9ralement, les professionnels de la protection de la vie priv\u00e9e doivent conna\u00eetre.<\/p>\n\n
En septembre 2025, les r\u00e8gles de la loi europ\u00e9enne sur les donn\u00e9es entreront en vigueur, \u00e9tablissant des r\u00e8gles qui autorisent et encadrent le partage et la mobilit\u00e9 des donn\u00e9es li\u00e9es aux produits connect\u00e9s. Bien que ces informations ne soient pas uniquement applicables aux donn\u00e9es personnelles et ne rel\u00e8vent donc pas uniquement de la responsabilit\u00e9 du DPD de superviser leur mise en \u0153uvre, elles feront partie des flux de donn\u00e9es que la loi sur les donn\u00e9es vise \u00e0 ouvrir.<\/p>\n
Il est donc imp\u00e9ratif que les DPD et les professionnels de la vie priv\u00e9e comprennent les r\u00e8gles de ce nouvel instrument, car la mise en \u0153uvre de la loi sur les donn\u00e9es affectera s\u00fbrement les droits \u00e0 la protection des donn\u00e9es en vertu du RGPD. Les changements notables que les DPD et les professionnels de la protection de la vie priv\u00e9e doivent conna\u00eetre sont\u00a0:<\/p>\n\n
La loi sur les donn\u00e9es introduit de nouvelles r\u00e8gles et renforce les r\u00e8gles existantes, garantissant ainsi que les donn\u00e9es des produits et services connect\u00e9s soient facilement partag\u00e9es et accessibles. Bien que les DPD ne soient pas sp\u00e9cifiquement vis\u00e9s par la loi sur les donn\u00e9es, tous les professionnels de la protection de la vie priv\u00e9e doivent s’assurer que les accords de partage de donn\u00e9es utilisant cette portabilit\u00e9 am\u00e9lior\u00e9e respectent les principes du RGPD. La loi sur les donn\u00e9es cr\u00e9e un droit pour les utilisateurs d’acc\u00e9der aux donn\u00e9es g\u00e9n\u00e9r\u00e9es par les produits connect\u00e9s, et les DPD et les professionnels de la vie priv\u00e9e doivent donc \u00eatre inform\u00e9s \u00e0 tout moment lorsque des donn\u00e9es personnelles sont impliqu\u00e9es.<\/p>\n\n
Les DPD devront \u00eatre conscients des d\u00e9s\u00e9quilibres de pouvoir qui peuvent exister entre les d\u00e9tenteurs de donn\u00e9es et les parties souhaitant acc\u00e9der aux donn\u00e9es qu’ils d\u00e9tiennent. La loi sur les donn\u00e9es introduit des garanties contre ces d\u00e9s\u00e9quilibres de pouvoir par le biais d’exigences minimales, mais des garanties suppl\u00e9mentaires devraient \u00eatre introduites lorsque des donn\u00e9es personnelles sont concern\u00e9es.<\/p>\n\n
En cas d’urgence publique, comme une catastrophe naturelle, les organismes publics auront le droit d’acc\u00e9der aux donn\u00e9es du secteur priv\u00e9, qui peuvent inclure des donn\u00e9es personnelles. Bien que dans des circonstances exceptionnelles, les DPD et les professionnels de la protection de la vie priv\u00e9e joueront un r\u00f4le important dans le suivi de l’exercice de ce droit et dans la garantie de sa conformit\u00e9 au RGPD.<\/p>\n\n
Avec l’entr\u00e9e en vigueur des deux premiers chapitres de la loi sur l’IA en f\u00e9vrier et l’entr\u00e9e en vigueur des r\u00e8gles relatives aux obligations des fournisseurs d’IA \u00e0 usage g\u00e9n\u00e9ral en ao\u00fbt 2025, le travail des professionnels de la protection de la vie priv\u00e9e sera \u00e9galement impact\u00e9, et il sera important qu’ils soient conscients de ces changements. L’entra\u00eenement des mod\u00e8les d’IA n\u00e9cessite des donn\u00e9es, dont certaines peuvent \u00eatre des donn\u00e9es personnelles. Ainsi, la loi sur l’IA influen\u00e7ant le processus de d\u00e9veloppement de l’IA dans l’UE, les DPD et les professionnels de la protection de la vie priv\u00e9e devront comprendre ces r\u00e8gles afin de se pr\u00e9parer \u00e0 leur r\u00f4le.<\/p>\n\n
Les chapitres 1 et 2 de la loi AI, applicables le 2 f\u00e9vrier 2025, exigent ce qui suit :<\/p>\n\n
Les fournisseurs doivent superviser la formation obligatoire de connaissances en IA pour tout le personnel impliqu\u00e9 dans les syst\u00e8mes d\u2019IA afin de s\u2019assurer qu\u2019ils comprennent les risques li\u00e9s \u00e0 l\u2019IA. La formation de sensibilisation aux questions de protection des donn\u00e9es \u00e9tant l\u2019un des r\u00f4les assum\u00e9s par les DPD et les professionnels de la vie priv\u00e9e, il peut \u00eatre conseill\u00e9 qu\u2019ils soient impliqu\u00e9s dans ces sessions et veillent \u00e9galement \u00e0 ce que la sensibilisation \u00e0 la protection des donn\u00e9es dans ces syst\u00e8mes soit \u00e9galement respect\u00e9e.<\/p>\n<\/li>\n\n
L’interdiction de certaines pratiques d’IA, telles que la reconnaissance faciale ill\u00e9gale, peut constituer un autre outil utilis\u00e9 par le DPD pour argumenter contre le traitement \u00e0 haut risque des donn\u00e9es personnelles.<\/p>\n<\/li>\n<\/ul>\n\n
Les r\u00e8gles relatives \u00e0 l’IA \u00e0 usage g\u00e9n\u00e9ral, applicables \u00e0 compter du 2 ao\u00fbt 2025, exigent ce qui suit, ce qui est pertinent pour les professionnels de la protection de la vie priv\u00e9e\u00a0: des \u00e9valuations des risques et une documentation appropri\u00e9e seront requises pour les mod\u00e8les d’IA \u00e0 risque syst\u00e9mique.<\/p>\n\n
Les professionnels de la confidentialit\u00e9, en tant que centre de connaissances en mati\u00e8re de protection des donn\u00e9es dans de nombreuses organisations, joueront un r\u00f4le dans l\u2019\u00e9valuation des risques li\u00e9s \u00e0 la confidentialit\u00e9 et des probl\u00e8mes de s\u00e9curit\u00e9 potentiels au fur et \u00e0 mesure de ces \u00e9valuations.<\/p>\n\n
Au milieu des r\u00e9formes et des actions dans les relations entre l\u2019UE et les \u00c9tats-Unis, \u00e0 l\u2019aube du deuxi\u00e8me mandat du pr\u00e9sident Donald Trump, l\u2019avenir du cadre transatlantique de confidentialit\u00e9 des donn\u00e9es (DPF) est remis en question. Ce cadre est \u00e0 la base de la d\u00e9cision d’ad\u00e9quation de la Commission concernant les \u00c9tats-Unis, autorisant les transferts internationaux de donn\u00e9es de l’UE vers les \u00c9tats-Unis en vertu du RGPD. Suite au limogeage de membres d\u00e9mocrates cl\u00e9s du Conseil de surveillance de la vie priv\u00e9e et des libert\u00e9s civiles (PCLOB), l’un des principaux m\u00e9canismes de surveillance du DPF est potentiellement devenu inop\u00e9rant, ou du moins, des questions pourraient se poser quant \u00e0 son degr\u00e9 d’ind\u00e9pendance. Si cela menace la protection des donn\u00e9es personnelles transf\u00e9r\u00e9es vers les \u00c9tats-Unis, les responsables du traitement de l’UE pourraient ne plus pouvoir s’appuyer sur la d\u00e9cision d’ad\u00e9quation actuelle pour transf\u00e9rer des donn\u00e9es vers les \u00c9tats-Unis.<\/p>\n\n
Les DPD et les professionnels de la protection de la vie priv\u00e9e doivent \u00eatre conscients du risque que les transferts de donn\u00e9es, notamment vers des fournisseurs de cloud am\u00e9ricains, ne soient plus possibles en vertu d’une d\u00e9cision d’ad\u00e9quation pendant une p\u00e9riode prolong\u00e9e. \u00c0 tout le moins, il existe une incertitude juridique, car l’ind\u00e9pendance du PCLOB fragilise la situation du DPF, qui pr\u00e9sentait d\u00e9j\u00e0 de nombreux points faibles.<\/p>\n\n
Il est essentiel que les DPD se pr\u00e9parent \u00e0 l’\u00e9ventualit\u00e9 d’une invalidit\u00e9 des bases actuelles des transferts de donn\u00e9es. Cela pourrait inclure le recours \u00e0 d’autres fournisseurs de cloud et partenaires, ou l’exploration d’autres pistes pour prot\u00e9ger les donn\u00e9es \u00e0 l’\u00e9tranger, comme d\u00e9poussi\u00e9rer ces anciens SCC.<\/p>\n
[1]<\/sup><\/a>\u00a0https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/data-act<\/a>; Regulation (EU) 2023\/2854 on harmonised rules on fair access to and use of data and amending Regulation (EU) 2017\/2394 and Directive (EU) 2020\/1828.<\/p>\n\n