|
Office of the Chair
|
UNITED STATES OF AMERICA
Federal Trade Commission
WASHINGTON, D.C. 20580
9 juin 2023
Monsieur Didier Reynders
Commissaire à la justice
Commission européenne
Rue de la Loi, 200
1049 Bruxelles
Belgique
Monsieur le Commissaire,
La commission fédérale du commerce des États-Unis (Federal Trade Commission, ci-après la «FTC») apprécie l’occasion qui lui est donnée d’évoquer son rôle dans l’application des principes du cadre de protection des données UE — États-Unis (ci-après le «CPD UE — États-Unis»). La FTC s’est engagée depuis longtemps à protéger les consommateurs et la vie privée partout dans le monde, et nous nous engageons à faire respecter les aspects de ce cadre relatifs au secteur commercial. La FTC joue ce rôle depuis l’an 2000, en lien avec le cadre que constituait la sphère de sécurité entre les États-Unis et l’Union européenne, et plus récemment depuis 2016, en lien avec le cadre du bouclier de protection des données UE — États-Unis. Le 16 juillet 2020, la Cour de justice de l’Union européenne (ci-après la «CJUE») a invalidé la décision d’adéquation de la Commission européenne qui sous-tendait le cadre du bouclier de protection des données UE — États-Unis, sur la base de problèmes autres que les principes commerciaux appliqués par la FTC. Les États-Unis et la Commission européenne ont depuis négocié le cadre de protection des données UE — États-Unis pour tenir compte de cet arrêt de la CJUE.
Je vous adresse la présente lettre afin de confirmer que la FTC s’engage à faire respecter les principes du CPD UE — États-Unis. Nous affirmons notamment notre engagement dans trois domaines clés: 1) la hiérarchisation et l’instruction des dossiers soumis; 2) la recherche et le suivi des ordonnances; et 3) la coopération en matière de mise en application avec les autorités chargées de la protection des données (ci-après les «APD») de l’Union.
I. Introduction
a. Travaux de la FTC concernant le respect de la vie privée et l’élaboration de politiques en la matière
La FTC possède de larges pouvoirs civils de mise en application visant à promouvoir la protection des consommateurs et la concurrence dans la sphère commerciale. Dans le cadre de son mandat de protection des consommateurs, la FTC veille à l’application d’un large éventail de lois afin de protéger la confidentialité et la sécurité des consommateurs et de leurs données. La législation primaire mise en application par la FTC, la loi portant établissement de la commission fédérale du commerce (ci-après le «FTC Act»), interdit les actes ou pratiques «déloyaux» ou «frauduleux» dans le domaine du commerce. La FTC applique également une législation ciblée qui vise à protéger les informations en matière de santé, de crédit et d’autres aspects financiers, ainsi que les informations en ligne concernant les enfants; elle a publié des réglementations mettant en œuvre chacun de ces actes.
La FTC a également lancé récemment de nombreuses initiatives visant à renforcer ses travaux dans le domaine de la protection de la vie privée. En août 2022, la FTC a annoncé qu’elle envisageait d’adopter des règles pour réprimer la surveillance commerciale préjudiciable et la sécurité laxiste des données. L’objectif de ce projet est de constituer un dossier public solide afin de déterminer si la FTC doit édicter des règles concernant les pratiques de surveillance commerciale et de sécurité des données, et ce à quoi ces règles devraient éventuellement ressembler. Nous avons invité les parties intéressées de l’Union à formuler des observations sur cette initiative et sur d’autres.
Nos conférences «PrivacyCon» continuent de réunir des chercheurs de premier plan pour discuter des dernières recherches et tendances en matière de protection des données des consommateurs et de sécurité des données. Nous avons également renforcé la capacité de notre agence à suivre le rythme des évolutions technologiques qui figurent au cœur de la plupart de nos travaux en matière de protection de la vie privée, en constituant une équipe croissante de techniciens et de chercheurs interdisciplinaires. Comme vous le savez, nous avons également annoncé un dialogue conjoint avec vous et vos collègues de la Commission européenne, qui prévoit d’aborder des sujets liés à la protection de la vie privée tels que les modèles obscurs et les modèles commerciaux caractérisés par une collecte omniprésente de données. Nous avons également publié récemment un rapport au Congrès mettant en garde contre les inconvénients liés à l’utilisation de l’intelligence artificielle (ci-après l’«IA») pour remédier aux problèmes en ligne observés par le Congrès. Ce rapport a exprimé des inquiétudes quant à l’inexactitude, la partialité, la discrimination et la surveillance commerciale.
b. Mesures de protection juridiques aux États-Unis bénéficiant aux consommateurs de l’Union
Le CPD UE — États-Unis s’inscrira dans le contexte plus large des mesures adoptées aux États-Unis qui protègent aussi les consommateurs de l’Union de différentes façons. L’interdiction des actes et pratiques déloyaux ou frauduleux instaurée par le FTC Act ne se limite pas à protéger les consommateurs américains contre les entreprises américaines, étant donné qu’elle couvre également les pratiques qui 1) entraînent ou sont susceptibles d’entraîner des préjudices raisonnablement prévisibles aux États-Unis ou 2) impliquent un comportement concret aux États-Unis. Pour protéger les consommateurs étrangers, la FTC peut, par ailleurs, user de toutes les mesures de réparation auxquelles il est possible de recourir pour protéger les consommateurs américains.
La FTC assure aussi le respect d’autres lois ciblées dont la portée en matière de protection s’étend aux consommateurs non américains, comme la loi sur le respect de la vie privée des enfants en ligne (Children’s Online Privacy Protection Act, COPPA). Entre autres choses, le COPPA exige des opérateurs de sites internet et de services en ligne destinés aux enfants, ou de sites destinés à un public général qui collectent sciemment des informations à caractère personnel d’enfants âgés de moins de treize ans, qu’ils en informent les parents et qu’ils obtiennent un consentement parental vérifiable. Les sites internet et services basés aux États-Unis qui sont soumis à la COPPA et qui collectent des informations à caractère personnel auprès d’enfants étrangers sont tenus de respecter la COPPA. Les sites internet et services en ligne basés à l’étranger doivent également respecter la COPPA s’ils ciblent les enfants américains ou s’ils collectent sciemment des informations à caractère personnel auprès d’enfants aux États-Unis. De plus, outre les lois fédérales américaines dont la FTC assure l’application, d’autres lois en matière de protection des consommateurs, de violation de données et de protection de la vie privée au niveau fédéral et au niveau des États sont susceptibles d’apporter des avantages aux consommateurs de l’Union.
c. Activité de mise en application de la législation de la FTC
La FTC a intenté des actions au titre du cadre que constituait la sphère de sécurité entre les États-Unis et l’Union européenne et du cadre du bouclier de protection des données UE — États-Unis et a continué de faire respecter le bouclier de protection des données UE — États-Unis même après l’invalidation de la décision d’adéquation sous-tendant le cadre du bouclier de protection des données UE — États-Unis. Plusieurs réclamations récentes de la FTC ont inclus des chefs d’accusation selon lesquels des entreprises auraient violé les dispositions du bouclier de protection des données UE — États-Unis, notamment dans le cadre de procédures engagées contre Twitter, CafePress et Flo. Dans le cadre de l’action engagée contre Twitter, la FTC a obtenu 150 millions d’USD de la part de Twitter pour avoir violé une ordonnance antérieure de la FTC avec des pratiques touchant plus de 140 millions de clients, notamment la violation du principe 5 du bouclier de protection des données UE — États-Unis (Intégrité des données et limitation des finalités). En outre, l’ordonnance de l’agence exige que Twitter permette aux utilisateurs d’utiliser des méthodes d’authentification sécurisées à plusieurs facteurs qui n’obligent pas les utilisateurs à donner leur numéro de téléphone.
Dans l’affaire CafePress, la FTC a allégué que l’entreprise n’avait pas sécurisé les informations sensibles des consommateurs, qu’elle avait dissimulé une importante violation de données et qu’elle avait violé les principes 2 («Choix»), 4 («Sécurité») et 6 («Accès») du bouclier de protection des données UE — États-Unis. L’ordonnance de la FTC impose à l’entreprise de remplacer les mesures d’authentification inadéquates par une authentification multifactorielle, de limiter considérablement la quantité de données qu’elle collecte et conserve, de chiffrer les numéros de sécurité sociale, de faire évaluer ses programmes de sécurité de l’information par un tiers et de communiquer à la FTC une copie de cette évaluation qui pourra être rendue publique.
Dans l’affaire Flo, la FTC a allégué que l’application de suivi de la fertilité avait divulgué des informations sur la santé des utilisateurs à des fournisseurs tiers d’analyse de données après s’être engagée à préserver la confidentialité de ces informations. La plainte de la FTC mentionne spécifiquement les interactions de l’entreprise avec les consommateurs de l’Union et indique que Flo a violé les principes 1 («Notification»), 2 («Choix»), 3 («Responsabilité en cas de transfert ultérieur») et 5 («Intégrité des données et limitation des finalités») du bouclier de protection des données UE — États-Unis. L’ordonnance de l’agence impose entre autres à Flo d’informer les utilisateurs concernés de la divulgation de leurs informations à caractère personnel et de demander à tout tiers ayant reçu des informations sur la santé des utilisateurs de détruire ces données. Il importe de signaler que les ordonnances de la FTC protègent, dans le monde entier, tous les consommateurs ayant des interactions avec une entreprise américaine, et pas uniquement les consommateurs qui ont déposé une plainte.
Dans de nombreuses affaires relatives à l’application du cadre que constituait la sphère de sécurité entre les États-Unis et l’Union européenne et du cadre du bouclier de protection des données UE — États-Unis, il s’agissait d’organisations qui avaient procédé à une autocertification initiale auprès du ministère américain du commerce, mais qui n’avaient pas maintenu leur autocertification annuelle alors qu’elles continuaient à déclarer participer au dispositif. D’autres affaires concernaient de fausses déclarations de participation de la part d’organisations qui n’avaient jamais procédé à une autocertification initiale auprès du ministère américain du commerce. À l’avenir, nous prévoyons de concentrer nos efforts de mise en application proactive sur les types de violations substantielles des principes du CPD UE — États-Unis alléguées dans des affaires telles que Twitter, CafePress et Flo. Dans l’intervalle, le ministère américain du commerce gérera et supervisera le processus d’autocertification, tiendra la liste officielle des participants au CPD UE — États-Unis et traitera d’autres questions relatives aux déclarations de participation au programme. Il est important de noter que les organisations qui prétendent participer au CPD UE — États-Unis peuvent être soumis à une application substantielle des principes du CPD UE — États-Unis même si elles n’ont pas ou n’ont plus autocertifié leur adhésion auprès du ministère américain du commerce.
II. Hiérarchisation et instruction des dossiers soumis
Tout comme nous l’avons fait pour le cadre que constituait la sphère de sécurité entre les États-Unis et l’Union européenne et le cadre du bouclier de protection des données UE — États-Unis, la FTC s’engage à donner la priorité aux dossiers que le ministère du commerce et les États membres de l’Union lui transmettent en lien avec les principes du CPD UE — États-Unis. Nous donnerons également la priorité aux dossiers transmis concernant le non-respect des principes du CPD UE — États-Unis par des organisations d’autoréglementation en matière de protection de la vie privée et d’autres organes indépendants de règlement des litiges.
Afin de faciliter la saisine par les États membres de l’Union en vertu du CPD UE — États-Unis, la FTC a mis en place une procédure normalisée de saisine et a fourni des orientations aux États membres de l’Union quant au type d’informations les mieux à même de l’aider dans l’instruction des dossiers. Dans le cadre de cette démarche, la FTC a désigné un point de contact en son sein pour les dossiers transmis par les États membres de l’Union. Il est vivement recommandé que l’autorité soumettant un dossier ait procédé à une instruction préliminaire sur la violation alléguée et soit en mesure de coopérer avec la FTC dans l’éventualité d’une enquête.
Après avoir été saisie par le ministère américain du commerce, par un État membre de l’Union ou par une organisation d’autoréglementation ou d’autres organes indépendants de règlement des litiges, la FTC peut prendre différentes mesures pour remédier aux problèmes soulevés. Nous pouvons, par exemple, examiner les politiques de protection de la vie privée de l’organisation concernée, obtenir des informations complémentaires directement auprès de l’organisation ou auprès de tiers, assurer un suivi avec l’entité qui a soumis le dossier, déterminer s’il existe une tendance systématique aux violations ou un nombre important de consommateurs affectés, déterminer si le dossier touche à des aspects relevant des compétences du ministère du commerce, étudier l’utilité éventuelle d’efforts supplémentaires pour informer les participants au marché et, le cas échéant, lancer une procédure d’exécution.
Outre la hiérarchisation des dossiers relatifs aux principes du CPD UE — États-Unis soumis par le ministère américain du commerce, par des États membres de l’Union et par des organisations d’autoréglementation ou d’autres organes indépendants de règlement des litiges, la FTC continuera d’enquêter sur les violations substantielles des principes du CPD UE — États-Unis de sa propre initiative s’il y a lieu, en utilisant un éventail d’outils. Dans le cadre du programme d’enquêtes de la FTC sur les aspects de la protection de la vie privée et de la sécurité impliquant des organisations commerciales, l’agence a régulièrement vérifié si l’entité concernée faisait des déclarations au titre du bouclier de protection des données UE — États-Unis. Dans les cas où l’entité a fait des déclarations de ce type et où l’enquête révèle des violations manifestes des principes du bouclier de protection des données UE — États-Unis, la FTC inclut les allégations de violation des principes du bouclier de protection des données UE — États-Unis dans ses actions de mise en application. Nous poursuivrons notre stratégie proactive, désormais en ce qui concerne le respect des principes du CPD UE — États-Unis.
III. Recherche et suivi des ordonnances
La FTC s’engage également à rechercher et à assurer le suivi des ordonnances d’exécution afin de garantir le respect du cadre des principes du CPD UE — États-Unis. Nous exigerons le respect des principes du CPD UE — États-Unis par différentes injonctions appropriées dans les futures ordonnances relatives aux principes du CPD UE — États-Unis. Le non-respect d’ordonnances administratives de la FTC peut entraîner des sanctions civiles allant jusqu’à 50 120 USD par infraction ou 50 120 USD par jour en cas d’infraction persistante. Dans le cas de pratiques touchant de nombreux consommateurs, ces sanctions peuvent s’élever à plusieurs millions de dollars. Chaque ordonnance par consentement contient également des dispositions en matière de rapport et de mise en conformité. Les entités soumises à une ordonnance doivent conserver les documents attestant de leur conformité pendant un nombre d’années déterminé. Les ordonnances doivent également être communiquées aux membres du personnel chargés d’en assurer le respect.
La FTC contrôle systématiquement le respect des ordonnances existantes relatives aux principes du bouclier de protection des données UE — États-Unis, comme elle le fait pour toutes ses autres ordonnances, et engage des actions en vue de les faire respecter si nécessaire. Il importe de signaler que les ordonnances de la FTC continueront de protéger, dans le monde entier, tous les consommateurs ayant des interactions avec une entreprise, et pas uniquement les consommateurs qui ont déposé une plainte. Enfin, la FTC tiendra une liste en ligne d’entreprises faisant l’objet d’ordonnances liées à l’application des principes du CPD UE — États-Unis.
IV. Coopération en matière d’application avec les APD de l’Union
La FTC a conscience du rôle important joué par les APD de l’Union dans le respect des principes du CPD UE — États-Unis et encourage un renforcement des initiatives de consultation et une coopération accrue en matière d’application de la réglementation. En effet, une approche coordonnée des défis posés par l’évolution actuelle du marché numérique et les modèles économiques faisant un usage intensif de données est de plus en plus essentielle. La FTC échangera des informations avec les autorités répressives qui ont soumis les dossiers, notamment sur l’état d’avancement des dossiers soumis, dans le respect des lois et restrictions applicables en matière de confidentialité. Dans la mesure du possible au vu du nombre et du type de dossiers soumis, les informations fournies comprendront une évaluation des éléments du dossier, et notamment une description des questions importantes soulevées et des mesures prises pour combattre les infractions à la loi relevant des compétences de la FTC. La FTC fournira aussi un retour d’information à l’autorité qui a soumis le dossier quant aux types de dossiers reçus afin d’accroître l’efficacité des démarches visant à lutter contre les comportements répréhensibles. Si une autorité répressive soumettant un dossier souhaite obtenir des informations sur l’état d’avancement des dossiers soumis afin de mener sa propre procédure coercitive, la FTC répondra en tenant compte du nombre de dossiers en cours d’examen et dans le respect des exigences de confidentialité et autres exigences légales.
La FTC travaillera également en étroite collaboration avec les APD de l’Union pour apporter une assistance à la mise en application. Selon le cas, cette assistance pourrait inclure un échange d’informations et une aide aux enquêtes conformément à la loi US SAFE WEB, qui autorise la FTC à apporter une assistance aux services répressifs étrangers lorsque le service concerné s’efforce de faire respecter des lois interdisant des pratiques essentiellement semblables aux pratiques interdites par les lois dont la FTC assure le respect. Dans le cadre de cette assistance, la FTC peut partager des informations obtenues en lien avec une enquête de la FTC, lancer une procédure obligatoire pour le compte de l’APD de l’Union menant sa propre enquête et recueillir le témoignage oral de témoins ou de défendeurs en lien avec la procédure de mise en application de l’APD, dans le respect des exigences de la loi US SAFE WEB. La FTC fait régulièrement usage de ce pouvoir pour apporter son assistance aux autorités du monde entier dans des dossiers de protection de la vie privée et des consommateurs.
Outre les consultations avec les APD sur des questions propres à chaque dossier qu’elles soumettent, la FTC participera à des réunions périodiques avec les représentants désignés du comité européen de la protection des données afin de discuter de manière générale de la façon d’améliorer la coopération en matière d’application. La FTC participera également, aux côtés du ministère américain du commerce, de la Commission européenne et des représentants du comité européen de la protection des données, à l’examen périodique du CPD UE–États-Unis afin de discuter de sa mise en œuvre. La FTC encourage également le développement d’outils qui amélioreront la coopération en matière de mise en application avec les APD de l’Union et avec les autres autorités d’application des règles de protection de la vie privée du monde entier. La FTC est heureuse de réaffirmer son engagement à faire appliquer les aspects du CPD UE — États-Unis relatifs au secteur commercial. Nous considérons notre partenariat avec nos collègues de l’Union comme un élément essentiel de la protection de la vie privée de nos concitoyens et des vôtres.
Je vous prie, Monsieur le Commissaire, d’agréer l’expression de ma haute considération.
Lina M. Khan
Présidente, Commission fédérale du commerce