L’évolution numérique pose des enjeux réglementaires complexes. Le rapport de mission dirigé par Bruno Lasserre (ancien président de l’autorité de la concurrence), publié le 28 novembre dernier, sous l’égide de la CNIL, met en lumière les points de convergence entre protection des données et concurrence, en proposant des recommandations concrètes.
Recommandations pour une meilleure intégration des dynamiques concurrentielles par la CNIL
Le rapport insiste sur la nécessité pour la CNIL d’intégrer une perspective économique et concurrentielle dans ses travaux, notamment en :
- Développant une vision anticipative des effets économiques : Chaque décision, recommandation ou sanction de la CNIL doit être évaluée au regard de son impact sur la concurrence. Par exemple, la prise en compte des besoins spécifiques des PME et des startups est indispensable pour éviter de créer des barrières d’entrée sur les marchés dominés par de grands acteurs.
- Renforçant la coopération avec l’Autorité de la concurrence : Cela inclut l’établissement d’échanges réguliers et la mise en commun des expertises pour garantir des actions cohérentes. L’objectif est de fluidifier la régulation et de réduire les tensions entre les deux cadres.
- Clarifiant les conséquences pour les entreprises : Élaborer des lignes directrices qui prennent en compte les modèles d’affaires numériques pour améliorer la compréhension et l’adhésion des entreprises aux recommandations.
Exemples concrets US : les affaires Meta et Apple/Shazam
Le rapport s’appuie sur des cas emblématiques pour illustrer les interactions entre protection des données et concurrence :
- Affaire Meta c/ Bundeskartellamt : La CJUE a jugé que les autorités de concurrence peuvent constater des violations du RGPD lorsqu’elles sont liées à un abus de position dominante. Ce précédent souligne l’importance d’une analyse croisée des comportements anticoncurrentiels et de la gestion des données personnelles.
- Affaire Apple/Shazam : Lors de cette acquisition, la Commission européenne a mis en avant les risques liés à l’accès à des données sensibles de concurrents, rappelant que la protection des données peut être un paramètre clé dans l’évaluation concurrentielle.
Ces exemples illustrent comment des pratiques respectueuses des données personnelles peuvent devenir un avantage concurrentiel.
Impacts économiques : entre opportunités et responsabilités
L’usage massif des données personnelles offre des opportunités économiques importantes, mais pose également des défis :
Un levier pour l’innovation : Les bases de données massives alimentent des avancées technologiques comme l’IA. Toutefois, l’intégration d’exigences de conformité RGPD peut devenir une source d’innovation incrémentale, par exemple en développant des systèmes respectueux de la vie privée par conception.
Des coûts asymétriques pour les entreprises : Les grandes entreprises disposent de ressources pour absorber les coûts liés à la conformité, contrairement aux TPE/PME. Cela crée des déséquilibres qu’il faut réduire pour préserver une concurrence équitable.
La vie privée comme paramètre concurrentiel : Une prise en compte accrue des attentes des utilisateurs peut offrir un avantage différenciant, notamment pour les plateformes qui respectent la transparence et la loyauté.
Les 15 propositions de la CNIL dans le détail
Proposition n°1 : Intégrer les questions concurrentielles dès les phases initiales des travaux de la CNIL. En analysant précocement les impacts des décisions sur la concurrence, la CNIL peut assurer une plus grande cohérence entre régulation concurrentielle et protection des données. Cela favorise des comportements vertueux des entreprises, renforce la prévisibilité des mesures de régulation et améliore la sécurité juridique.
Proposition n°2 : Expérimenter le concept de « pouvoir sur les données ». Ce concept pourrait offrir un éclairage doctrinal pertinent pour évaluer les relations entre les personnes concernées et les responsables de traitement, notamment lorsqu’il s’avère plus approprié que les notions classiques de dominance ou de pouvoir de marché.
Proposition n°3 : Intégrer les comportements anticoncurrentiels dans les analyses de la CNIL. Les infractions à la concurrence, lorsqu’elles sont documentées ou jugées par les autorités compétentes, pourraient compléter l’évaluation des manquements aux règles de protection des données. En l’absence de tels jugements, la CNIL pourrait consulter l’Autorité de la concurrence pour avis.
Proposition n°4 : Analyser l’impact des pratiques anticoncurrentielles sur l’accumulation des données. La CNIL pourrait examiner comment certaines pratiques nuisent aux droits des personnes, en violation du principe de minimisation, et contribuer à l’accumulation injustifiée de données.
Proposition n°5 : Explorer conjointement les risques et les marchés. La CNIL et l’Autorité de la concurrence pourraient multiplier les échanges d’expertise, organiser des auditions communes ou réaliser des études collaboratives pour mieux comprendre les enjeux partagés.
Proposition n°6 : Désigner des points de contact au sein des deux institutions. Pour piloter efficacement la coopération sur les concepts, la doctrine et les cas, chaque autorité pourrait nommer un responsable dédié.
Proposition n°7 : Lancer une réflexion commune sur le droit à la portabilité des données. Cette initiative analyserait les conséquences de la portabilité sur la concurrence et la protection des données. Elle pourrait associer d’autres acteurs tels que l’Arcep, tout en s’articulant avec les forums existants (Groupe de haut niveau du DMA, réseau national de coordination de la régulation des services numériques).
Proposition 8 : Organiser régulièrement des formations croisées sur les enjeux liés à la concurrence et à la protection des données, destinées aux deux autorités concernées.
Proposition 9 : Ajuster les sanctions de manière proportionnée au comportement de l’entreprise, en prenant en compte, le cas échéant, des facteurs aggravants prévus à l’article 83.2 k) du RGPD, tels que l’augmentation des bénéfices tirés de l’infraction, la gravité accrue des préjudices subis par les personnes concernées ou les impacts négatifs potentiels sur l’écosystème.
Proposition 10 : Encourager la CNIL à être consultée, de manière formelle ou informelle, dans les dossiers de concentration impliquant des questions de vie privée ou de données personnelles, notamment lors des phases d’examen approfondi.
Proposition 11 : Recommander à l’Autorité de la concurrence de solliciter l’expertise de la CNIL, formellement ou informellement, dans les cas où des regroupements ou combinaisons de bases de données sont au cœur d’une enquête antitrust, afin d’évaluer si des manquements au RGPD, même justifiés par des objectifs d’efficacité, pourraient constituer un abus de position dominante.
Proposition 12 : Renforcer la coopération doctrinale en rédigeant des synthèses opérationnelles à l’issue des ateliers internes, en systématisant la publication de documents accessibles au public sur l’intégration des points de vue croisés, et en organisant régulièrement des événements académiques sur les thématiques de « concurrence et protection des données ».
Proposition 13 : Lorsqu’un lien entre des pratiques anticoncurrentielles et des traitements potentiellement non conformes au RGPD est identifié, envisager que l’Autorité de la concurrence impose aux entreprises concernées des engagements formels pour remédier à ces non-conformités en collaboration avec la CNIL.
Proposition 14 : Poursuivre et élargir les missions de la task force « C&C », en développant son programme de travail pour qu’elle devienne un acteur central dans l’articulation entre concurrence, protection des consommateurs et données personnelles au niveau européen, tout en renforçant la coopération collective sur ces enjeux.
Proposition 15 : Réaliser une analyse comparative et prospective des différents systèmes de répartition des compétences entre autorités de régulation et de contrôle dans l’Union européenne, en s’intéressant spécifiquement aux modèles appliqués dans les domaines de la concurrence, de la protection des données personnelles, et des régulations des marchés financiers, des médias ou de l’énergie.
Ce que les entreprises doivent retenir
Pour naviguer dans ce paysage complexe, les entreprises françaises peuvent :
- Adopter une approche proactive : Faire de la conformité RGPD un levier d’innovation pour créer des offres différenciées.
- Collaborer avec les autorités : Participer à l’élaboration de cadres de référence pour bénéficier de recommandations adaptées.
- Suivre les débats européens : Anticiper les évolutions réglementaires issues des discussions entre la CNIL et ses homologues européens.
De façon générale, une meilleure compréhension des interactions entre concurrence et protection des données est nécessaire pour innover tout en étant conforme. Les entreprises ont un rôle central à jouer dans la promotion de pratiques vertueuses qui renforcent la confiance des consommateurs et l’équité sur les marchés.