Intervention de Isabelle Falque-Pierrotin

Nous ne sommes pas du tout opposés à l'analyse de risque. Le domaine de la sécurité, que vous avez mentionné, est l'un de ceux dans lequel la CNIL s'est montrée une autorité relativement précurseur. On doit néanmoins faire attention à ce que l'on affirme : une protection limitée aux cas présentant un risque diffère du tout au tout avec le système actuel où l'individu a des droits indépendamment du risque encouru ou du mal subi du fait d'un traitement. Or j'ai aujourd'hui le droit d'accéder à un traitement, même banal. L'analyse de risque est très utile lorsqu'elle permet de raisonner sur des allocations de ressources mais pas si elle conduit à conditionner des droits à l'existence du risque. C'est comme si j'avais une maison dans une zone dont l'environnement n'était pas sûr : le risque y serait important et permettrait de déterminer le niveau des verrous de ma porte ; reste que je garde un droit absolu, même dans cette zone, à ne pas être volé.

Nous essayons de faire passer l'idée, au niveau européen, que l'analyse de risque est utile dans certains cas mais ne peut conditionner l'exercice de droits qui, eux, sont des droits objectifs qui peuvent induire des obligations pour les responsables de traitement, des mesures à mettre en place, comme des mesures de sécurité ou des mesures d'accountability mais pas le droit des personnes.

La certification va-t-elle se développer ? La réponse est sûrement oui. Le rôle des certificateurs dans les questions de privacy, d'encadrement des flux internationaux de données, va s'accroître. Nous en sommes convaincus au point que nous nous essayons à ce métier nouveau, vous l'avez mentionné, à travers des labels. La question est de savoir quel est le rôle des acteurs privés et celui du régulateur dans ces nouvelles fonctions. Certains acteurs internationaux, au nom du réalisme et du pragmatisme, poussent au remplacement des régulateurs par les certificateurs. Or leur activité est complémentaire. Les régulateurs doivent fixer les crans de la certification quitte à déléguer à des certificateurs l'application du référentiel.