Intervention de Simon Sutour

La proposition de résolution invite donc le Gouvernement français à veiller à ce que 1'harmonisation s'effectue sans préjudice de la possibilité pour les Etats membres d'adopter des dispositions plus favorables à la protection des données.

D'ailleurs, la proposition de règlement ne définit pas assez précisément le cadre légal qu'elle met en place. Cela se manifeste par le renvoi, plus de cinquante fois dans le texte, à des actes délégués ou d'exécution adoptés par le collège des commissaires, pour préciser les modalités d'application du règlement. Toutes les personnes que j'ai entendues ont critiqué ce renvoi massif à la législation déléguée. La commission des affaires européennes se prononcera sur le respect du principe de subsidiarité, sur le fondement de l'article 88-6 de la Constitution.

Le texte pose une deuxième question de principe, soulevée notamment par la Cnil dont la présidente a alerté notre commission lors de son audition en novembre dernier. Il s'agit du « guichet unique ». La Commission européenne propose d'attribuer la compétence pour instruire les requêtes des citoyens européens à l'autorité de contrôle du pays dans lequel le responsable de traitement a son « principal établissement ». L'objectif avoué est de faciliter les démarches administratives des entreprises, qui n'auront plus qu'un interlocuteur unique à l'échelle de l'Union ; leurs représentants s'en félicitent. N'est-il pas paradoxal que les citoyens soient moins bien traités que les entreprises, et privés de la possibilité de voir l'ensemble de leur plaintes instruites par l'autorité de contrôle nationale ? Puisqu'il s'agit ici de protéger les citoyens et de leur assurer un droit de recours effectif, il faut - comme en matière de consommation - qu'ils puissent s'adresser à l'autorité la plus proche, auprès de laquelle ils ont l'habitude d'accomplir leurs démarches.

En outre, sans même évoquer le risque de forum shopping dénoncé par la Cnil - c'est-à-dire le danger que le niveau de protection assuré par les différentes autorités nationales n'influe sur les choix d'installation des entreprises -, le « guichet unique » présente de multiples inconvénients. La question se pose d'abord des moyens des autorités de contrôle : en Irlande, où est installé Facebook, l'autorité nationale sera-t-elle en mesure de faire face à l'afflux de contentieux en provenance des autres pays européens ? Rappelons que l'Irlande ne compte que 4,5 millions d'habitants... En outre, ce système crée, pour le plaignant, une asymétrie entre les recours administratifs exercés auprès de l'autorité étrangère, et les recours juridictionnels portés devant le juge national.

La Commission a certes prévu des aménagements : elle propose une coordination entre autorités de contrôle, et prévoit que l'autorité nationale se chargera de la transmission de la plainte à l'autorité étrangère. La Cnil deviendrait une boîte aux lettres... Ces expédients sont insuffisants : le citoyen se voit privé de la possibilité à la fois de voir sa demande instruite par l'autorité la plus proche et la plus accessible, et de se voir appliquer les dispositions de droit national plus favorables.

C'est pourquoi il me semble nécessaire que le Gouvernement veille à ce que le critère du « principal établissement » soit abandonné au profit du principe selon lequel l'autorité de contrôle compétente est celle du pays de résidence de l'intéressé.

Tel est le sens de la proposition de résolution que je vous propose d'adopter, sous réserve d'éventuels amendements. La commission des affaires européennes s'en saisira pour avis, après s'être saisie du projet de la Commission européenne quant au respect du principe de subsidiarité. La discussion en séance aura lieu le 6 mars.