Recommandation de la Commission du 10 octobre 2014 concernant le modèle d'analyse d'impact sur la protection des données des réseaux intelligents et des systèmes intelligents de mesure (2014/724/UE) LA COMMISSION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 292, considérant ce qui suit: (1) Les réseaux intelligents sont une condition préalable à la mise en œuvre d'éléments clés de la politique énergétique. Dans le cadre de la politique énergétique à l'horizon 2030, les réseaux intelligents, épine dorsale du futur système électrique décarboné, jouent un rôle reconnu pour faciliter la transformation des infrastructures énergétiques afin de permettre l'augmentation de la part des sources d'énergie renouvelables, variables par nature, et l'amélioration de l'efficacité énergétique, et de garantir la sécurité d'approvisionnement.
Les réseaux intelligents offrent une possibilité d'accroître la compétitivité des fournisseurs européens de technologie et constituent une plateforme pour les entreprises du secteur de l'énergie traditionnelle et les nouveaux arrivants sur le marché en vue du développement de services et de produits énergétiques innovants dans le domaine des infrastructures du réseau électrique et des technologies de l'information et des communications (TIC) associées, de la domotique et des appareils électroménagers. (2) Les systèmes intelligents de mesure sont une étape vers les réseaux intelligents.
Ils fournissent les outils pour la participation active des consommateurs au marché de l'énergie et la gestion souple du réseau électrique, par des mécanismes de modulation de la demande et d'autres services innovants. Conformément à la directive 2009/72/CE du Parlement européen et du Conseil et à la directive 2009/73/CE du Parlement européen et du Conseil , les États membres sont tenus de veiller à la mise en œuvre de systèmes intelligents de mesure qui favorisent la participation active des consommateurs aux marchés de la fourniture d'électricité et de gaz. (3) Le fonctionnement de systèmes intelligents de mesure, et a fortiori tout développement ultérieur des réseaux et appareils intelligents, offrent la possibilité de traiter des données relatives à une personne, c'est-à-dire des données à caractère personnel telles que définies à l'article 2 de la directive 95/46/CE du Parlement européen et du Conseil .
(4) L'avis 12/2011 du groupe de travail sur la protection des personnes à l'égard du traitement des données à caractère personnel institué en vertu de l'article 29 de la directive 95/46/CE indique que les systèmes intelligents de mesure et les réseaux intelligents offrent la possibilité de traiter un volume croissant de données à caractère personnel et de mettre ces données à la disposition d'un plus large cercle de destinataires qu'à l'heure actuelle, ce qui crée pour les personnes concernées de nouveaux risques inconnus jusqu'à présent dans le secteur de l'énergie. (5) L'avis 04/2013 du groupe de travail indique que les systèmes intelligents de mesure et les réseaux intelligents annoncent le futur « internet des objets » et que les risques potentiels liés à la collecte de données détaillées relatives à la consommation sont susceptibles d'augmenter à l'avenir dans le cas de la combinaison de ces données avec des données provenant d'autres sources, comme les données de géolocalisation, le suivi et l'établissement de profils sur l'internet, les systèmes de surveillance vidéo et les systèmes d'identification par radiofréquence (RFID) .
(6) Mieux faire connaître les caractéristiques et avantages substantiels des réseaux intelligents devrait aider à réaliser tout le potentiel de cette technologie, tout en limitant le risque qu'elle soit utilisée au détriment de l'intérêt public, donc en renforçant son acceptabilité. (7) Les droits et obligations prévus à la directive 95/46/CE et à la directive 2002/58/CE du Parlement européen et du Conseil s'appliquent pleinement aux environnements des systèmes intelligents de mesure et des réseaux intelligents dans le cas du traitement de données à caractère personnel. (8) Le paquet adopté par la Commission pour la réforme de la directive 95/46/CE inclut une proposition de « règlement sur la protection des données » , qui, s'il est adopté, s'appliquera aux environnements de systèmes intelligents de mesure et de réseaux intelligents dans le cas du traitement de données à caractère personnel.
(9) La communication de la Commission au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions du 12 avril 2011 intitulée « Réseaux intelligents: de l'innovation au déploiement » souligne que la protection des données et la sécurité constituent un des cinq défis associés au déploiement de réseaux intelligents et indique plusieurs mesures permettant d'accélérer ce déploiement, notamment l'approche de « prise en compte du respect de la vie privée dès la conception » ainsi que l'évaluation de la sécurité et de la résilience des infrastructures de réseau et d'information.
(10) La stratégie numérique pour l'Europe établit un éventail de mesures appropriées concernant en particulier la protection des données dans l'Union, la sécurité des réseaux et de l'information et les attaques informatiques. La « Stratégie de cybersécurité de l'Union européenne: un cyberespace ouvert, sûr et sécurisé » et la proposition de la Commission, du 7 février 2013 , d'une directive concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et de l'information dans l'Union présentent des mesures législatives et définissent des incitations visant à promouvoir les investissements, la transparence et la sensibilisation des utilisateurs, afin de sécuriser davantage l'environnement en ligne de l'Union européenne.
Les États membres, en collaboration avec les acteurs du secteur, la Commission et les autres parties prenantes, devraient prendre des mesures adéquates pour garantir une approche cohérente de la sécurité et de la protection des données à caractère personnel. (11) Les avis du groupe de travail sur la protection des personnes à l'égard du traitement des données à caractère personnel institué en vertu de l'article 29 de la directive 95/46/CE et l'avis du 8 juin 2012 du Contrôleur européen de la protection des données fournissent des orientations pour protéger les données à caractère personnel et garantir la sécurité des données traitées par les systèmes intelligents de mesure et les réseaux intelligents.
L'avis 12/2011du groupe de travail sur les compteurs intelligents recommande aux États membres d'adopter des plans de mise en œuvre qui prévoient une analyse d'impact sur la vie privée. (12) Afin de tirer parti des avantages associés aux systèmes intelligents de mesure, l'une des principales conditions préalables à l'utilisation de cette technologie est de trouver des solutions techniques et juridiques appropriées afin de préserver le respect de la vie privée et la protection des données à caractère personnel en tant que droits fondamentaux en vertu des articles 7 et 8 de la charte des droits fondamentaux de l'Union européenne et de l'article 16 du traité sur le fonctionnement de l'Union européenne.
La recommandation 2012/148/UE de la Commission définit des orientations spécifiques sur la protection des données et les mesures de sécurité pour les systèmes intelligents de mesure, et invite les États membres et les parties prenantes à veiller à ce que les systèmes intelligents de mesure et les applications de réseaux intelligents fassent l'objet d'un suivi et que les droits et libertés individuels soient respectés. (13) La recommandation 2012/148/UE indique que les analyses d'impact sur la protection des données devraient permettre d'identifier dès le début les risques pour la protection des données dans le développement des réseaux intelligents, selon le principe de la protection des données dès la conception.
Elle annonce l'élaboration par la Commission d'un modèle d'analyse d'impact sur la protection des données des réseaux intelligents et des systèmes intelligents de mesure, qui sera soumis pour avis au groupe de travail sur la protection des personnes à l'égard du traitement des données à caractère personnel. (14) La recommandation 2012/148/UE indique également que le modèle d'analyse d'impact sur la protection des données devrait orienter les responsables du traitement des données vers la réalisation d'une analyse d'impact exhaustive qui décrive les opérations de traitement envisagées, évalue les risques pour les droits et libertés des personnes concernées, présente les mesures envisagées pour faire face aux risques, les garanties, les mesures de sécurité et les mécanismes visant à assurer la protection des données à caractère personnel et à démontrer la conformité avec la directive 95/46/CE, en tenant compte des droits et intérêts légitimes des personnes concernées.
(15) Le règlement proposé sur la protection des données remplaçant la directive 95/46/CE aurait pour effet de rendre obligatoire les analyses d'impact sur la protection des données, sous certaines conditions, en tant qu'instrument essentiel pour renforcer la responsabilité des responsables du traitement des données. À cet égard, le modèle d'analyse d'impact sur la protection des données des réseaux intelligents et des systèmes intelligents de mesure, s'il n'est pas obligatoire lui-même, sera pour les responsables du traitement des données dans le secteur des réseaux intelligents un outil d'évaluation et d'aide à la décision qui leur permettra de se conformer à une future obligation légale résultant de l'adoption de la proposition de règlement relatif à la protection des données.
(16) Un modèle mis au point au niveau de l'Union pour la réalisation d'analyses d'impact sur la protection des données vise à garantir l'application cohérente des dispositions de la directive 95/46/CE et de la recommandation 2012/148/UE dans tous les États membres et la promotion, dans l'ensemble de l'Union européenne, d'une méthodologie commune pour les responsables du traitement des données garantissant un traitement adéquat et harmonisé des données à caractère personnel. (17) Un tel modèle devrait faciliter l'application du principe de la protection des données dès la conception en encourageant les responsables du traitement à réaliser une analyse d'impact sur la protection des données dès que possible, leur permettant ainsi d'anticiper les incidences potentielles sur les droits et libertés des personnes concernées et de mettre en œuvre des garanties strictes.
Ces mesures devraient faire l'objet d'un suivi et d'un examen par le responsable du traitement des données tout au long du cycle de vie de l'application ou du système. (18) Le rapport établi sur la mise en œuvre du modèle devrait également contribuer aux activités des autorités nationales de protection des données en ce qui concerne la surveillance et la supervision de la conformité du traitement et, en particulier, les risques pour la protection des données à caractère personnel. (19) Le modèle doit non seulement faciliter la résolution des nouveaux problèmes concernant la protection des données, le respect de la vie privée et la sécurité rencontrés dans l'environnement de réseau intelligent, mais également contribuer à relever les défis en matière de traitement des données liés au développement du marché de détail de l'énergie.
En effet, une partie importante de la valeur dans le futur marché de détail proviendra des données et d'une plus large intégration des TIC dans le système énergétique. La collecte des données et l'organisation de l'accès à ces données sont essentielles aux fins de la création de nouvelles perspectives commerciales pour les nouveaux arrivants, notamment les agrégateurs, les sociétés de services énergétiques et le secteur des technologies de l'information. Les questions de la protection des données, du respect de la vie privée et de la sécurité vont, dès lors, gagner en importance pour les gestionnaires de réseau de distribution.
Le modèle contribuera à garantir, en particulier au cours de la phase initiale du déploiement des compteurs intelligents, que les applications des systèmes intelligents de mesure fassent l'objet d'un suivi et que les droits fondamentaux et les libertés individuelles soient respectés, en identifiant dès le début les risques liés à la protection des données dans le développement des réseaux intelligents. (20) À la suite de la présentation au groupe de travail, pour consultation formelle, du modèle défini par les principales parties prenantes du secteur des réseaux intelligents dans le cadre d'un processus contrôlé par la Commission, l'avis 04/2013 a été émis.
À la suite de la présentation d'un modèle révisé fondé sur l'avis 04/2013, le groupe de travail a émis son avis 07/2013 du 4 décembre 2013 . Les recommandations formulées dans ces deux avis ont été prises en considération par les parties prenantes. (21) L'avis 07/2013 du groupe de travail recommande l'organisation d'une phase d'essai pour la mise en œuvre du modèle, au cours de laquelle les différentes autorités chargées de la protection des données peuvent envisager de proposer des aides. Cette phase d'essai devrait permettre de garantir que le modèle assure une meilleure protection des données des personnes physiques dans le contexte du déploiement de réseaux intelligents.
(22) À la lumière des avantages associés au modèle pour les entreprises, les consommateurs et les autorités nationales de protection des données, les États membres devraient coopérer avec les entreprises, les parties prenantes de la société civile et les autorités nationales de protection des données afin de stimuler et soutenir l'utilisation et le déploiement du modèle d'analyse d'impact sur la protection des données à un stade précoce du déploiement de réseaux intelligents et de systèmes intelligents de mesure. (23) La Commission devrait contribuer à la mise en œuvre de la présente recommandation, directement et indirectement, en facilitant le dialogue et la coopération entre les parties intéressées, notamment par la centralisation et la diffusion des retours d'information au cours de la phase d'essai entre les entreprises et les autorités nationales de protection des données.
(24) Il convient que la Commission évalue, à la lumière des conclusions de la phase d'essai et à la suite de la révision de la directive 95/46/CE, la nécessité de réexaminer et d'affiner la méthodologie promue dans le modèle. (25) La présente recommandation respecte les droits fondamentaux et observe les principes consacrés par la charte des droits fondamentaux de l'Union européenne. En particulier, la présente recommandation vise à assurer le plein respect de la vie privée et familiale (article 7 de la charte) et la protection des données à caractère personnel (article 8 de la charte).
(26) Après consultation du Contrôleur européen de la protection des données, A ADOPTÉ LA PRÉSENTE RECOMMANDATION: I. CHAMP D'APPLICATION 1. La présente recommandation formule des orientations à l'intention des États membres sur les mesures à prendre pour la diffusion, la reconnaissance et l'utilisation, positives et à grande échelle, du modèle d'analyse d'impact sur la protection des données des réseaux intelligents et des systèmes intelligents de mesure (ci-après dénommé le « modèle d'AIPD » ), en vue de contribuer à garantir le droit fondamental à la protection des données à caractère personnel et au respect de la vie privée dans le déploiement d'applications de réseaux intelligents et de systèmes intelligents de mesure.
Le modèle d'AIPD est disponible sur le site internet de la task-force « Réseaux intelligents » (http://ec.europa.eu/energy/gas_electricity/smartgrids/smartgrids_fr.htm). II. DÉFINITIONS 2. Les États membres sont invités à prendre note des définitions suivantes: a) par « réseau intelligent » , on entend un réseau d'énergie avancé, auquel ont été ajoutés un système de communication numérique bidirectionnelle entre le fournisseur et le consommateur, un système intelligent de mesure et des systèmes de suivi et de contrôle; b) par « système intelligent de mesure » , on entend un système électronique qui peut mesurer la consommation et la production d'énergie, en ajoutant des informations qu'un compteur classique ne donne pas, et qui peut transmettre et recevoir des données en utilisant une forme de communication électronique ; c) par « analyse d'impact sur la protection des données » , on entend un processus systématique, à la charge du responsable du traitement des données, du sous-traitant ou du sous-traitant agissant pour le compte du responsable, qui vise à évaluer l'impact potentiel des risques spécifiques que les opérations de traitement des données peuvent faire peser, en raison de leur nature, de leur portée ou de leurs finalités, sur les droits et libertés des personnes concernées; d) la « protection des données dès la conception » exige que soient mises en œuvre, compte tenu de l'état de l'art et des coûts de mise en œuvre, tant au moment où sont choisis les procédés de traitement que lors du traitement lui-même, des mesures et procédures techniques et organisationnelles adéquates, de telle façon que le traitement satisfasse aux exigences établies par la directive 95/46/CE et garantisse la protection des droits de la personne concernée; e) la « protection des données par défaut » exige que soient mis en œuvre des mécanismes garantissant que, par défaut, seules sont traitées les données à caractère personnel nécessaires pour chaque finalité spécifique du traitement, et qu'en particulier, les données ne soient ni recueillies ni conservées au-delà du minimum nécessaire pour remplir lesdites finalités, à la fois en termes de quantité de données et de durée de stockage; f) par « meilleures techniques disponibles » , on entend le stade de mise en œuvre le plus efficace et le plus avancé des activités et de leurs méthodes d'exploitation, indiquant la capacité concrète de techniques particulières à constituer, en principe, la base sur laquelle s'appuyer pour se conformer au cadre de l'Union régissant la protection des données.
Elles servent à prévenir ou à limiter les risques d'atteinte à la vie privée, aux données à caractère personnel et à la sécurité; g) le groupe de travail « article 29 » sur la protection des données a été mis en place dans le cadre de la directive 95/46/CE. III. MISE EN ŒUVRE 3. Afin de garantir la protection des données à caractère personnel dans l'ensemble de l'Union, les États membres devraient encourager les responsables du traitement à appliquer le modèle d'AIPD pour les réseaux intelligents et les systèmes intelligents de mesure et, ce faisant, les encourager à tenir compte de l'avis du groupe de travail sur la protection des personnes à l'égard du traitement des données à caractère personnel, notamment son avis 07/2013 .
Les avis du groupe de travail sont disponibles sur le site internet de la task-force « Réseaux intelligents » (http://ec.europa.eu/energy/gas_electricity/smartgrids/smartgrids_fr.htm). 4. Les États membres devraient coopérer avec les entreprises, les parties prenantes de la société civile et les autorités nationales compétentes en matière de protection des données afin d'encourager et de soutenir la diffusion et l'utilisation du modèle d'AIPD à un stade précoce du déploiement des réseaux intelligents et des systèmes intelligents de mesure. 5. Les États membres devraient encourager les responsables du traitement des données à considérer comme un élément complémentaire de l'analyse d'impact sur la protection des données les meilleures techniques disponibles, qui doivent être déterminées par les États membres en collaboration avec les entreprises, la Commission et d'autres parties prenantes pour chacune des exigences fonctionnelles minimales communes applicables aux compteurs d'électricité intelligents, telles qu'énumérées au point 42 de la recommandation 2012/148/UE.
6. Les États membres devraient soutenir les responsables du traitement de données dans leurs efforts pour élaborer et adopter des formules efficaces de protection des données dès la conception et de protection des données par défaut. 7. Les États membres devraient veiller à ce que les responsables du traitement des données consultent leurs autorités nationales chargées de la protection des données à propos de l'analyse d'impact sur la protection des données, préalablement au traitement. 8. Les États membres devraient veiller à ce que les responsables du traitement des données, après la réalisation d'une analyse d'impact sur la protection des données et conformément à leurs obligations au titre de la directive 95/46/CE, prennent les mesures techniques et organisationnelles appropriées pour assurer la protection des données à caractère personnel, et s'assurent que ces mesures conservent leur caractère approprié tout au long du cycle de vie de l'application ou du système.
IV. PHASE D'ESSAI 9. Les États membres devraient soutenir l'organisation d'une phase d'essai comportant des opérations de déploiement réel, notamment en recherchant et en encourageant des testeurs issus des entreprises actives dans les réseaux intelligents et les systèmes intelligents de mesure à participer à une telle phase d'essai. 10. Les États membres devraient veiller, au cours de cette phase d'essai, à ce que toutes les applications et tous les systèmes concernés appliquent le modèle, l'avis du groupe de travail sur la protection des personnes à l'égard du traitement des données à caractère personnel, ainsi que les dispositions contenues dans la section III de la présente recommandation, afin d'avoir le meilleur impact sur la protection des données et de fournir le plus d'informations possible pour le réexamen ultérieur du modèle.
11. Les États membres devraient encourager et soutenir les autorités nationales responsables de la protection des données à proposer leur soutien et leurs conseils aux responsables du traitement des données tout au long de la phase d'essai . 12. La Commission a l'intention de contribuer directement à la mise en œuvre et au suivi de la phase d'essai en facilitant le dialogue et la coopération entre les parties prenantes, notamment en mettant à disposition la plateforme des parties prenantes pour l'organisation de réunions avec les parties intéressées associant les testeurs, les entreprises et les représentants de la société civile, les autorités nationales de protection des données et les autorités de régulation de l'énergie.
13. Les États membres devraient encourager les testeurs à communiquer les résultats de la phase d'essai aux autorités nationales responsables de la protection des données et aux autres parties prenantes et à en discuter avec eux dans le cadre de la plateforme des parties prenantes, sur la base de trois catégories de critères d'évaluation: a) l'efficacité du modèle pour évaluer l'impact des différentes applications de réseaux intelligents sur la protection des données; b) l'utilité du modèle pour l'orientation du responsable du traitement des données dans la conduite de l'analyse d'impact selon les circonstances concrètes de l'application ou du système, et c) la convivialité du modèle du point de vue du responsable du traitement des données.
Les rapports sur ces critères d'évaluation devraient être axés sur la fourniture d'informations utiles aux fins de l'application de la recommandation de la Commission et du modèle pour tous les systèmes et applications concernés. 14. La Commission compte veiller à l'établissement d'un inventaire des analyses d'impact sur la protection des données effectuées au cours de la phase d'essai. L'inventaire des analyses d'impact relatives à la protection des données sera disponible sur le site internet de la task-force « Réseaux intelligents » tout au long de la phase d'essai et sera régulièrement mis à jour afin de favoriser l'amélioration continue et rapide de l'application du modèle.
V. RÉEXAMEN 15. Dans un délai de deux ans à compter de la publication de la présente recommandation au Journal officiel de l'Union européenne , les États membres devraient remettre à la Commission un rapport d'évaluation mettant en évidence les conclusions pertinentes à tirer de la phase d'essai. 16. Deux ans après la publication de la présente recommandation au Journal officiel de l'Union européenne , la Commission a l'intention d'évaluer la nécessité d'une révision du modèle d'AIPD sur la base des rapports relatifs à la phase d'essai remis par les États membres et à la lumière des critères d'évaluation susmentionnés.
La Commission examinera la possibilité d'organiser une rencontre spécifique des parties prenantes afin de leur permettre d'échanger leurs points de vue sur cette évaluation, avant de procéder à une révision. 17. Cette révision devrait contribuer à garantir que le modèle d'AIPD assure une meilleure protection des données des personnes physiques dans le contexte du déploiement de réseaux intelligents et tient dûment compte des dispositions de la directive 95/46/CE révisée et de l'avis 07/2013 du groupe de travail. Fait à Bruxelles, le 10 octobre 2014 . Par la Commission Günther Oettinger Membre de la Commission