- Le Conseil de l’UE s’est mis d’accord sur une version du règlement ePrivacy le 10 février 2021 ; le trilogue avec le Parlement et la Commission peut commencer.
- Le règlement s’applique aux services de communications électroniques, aux contenus et aux métadonnées, ainsi qu’à la protection des informations relatives aux équipements terminaux pour les utilisateurs finaux dans l’Union.
- Les fournisseurs externes risquent d’être applicables même s’ils ne sont pas établis dans l’EEE ; l’exception ne concerne que la désignation de représentants et non l’applicabilité elle-même.
Le 10 février 2021, les États membres de l’UE se sont mis d’accord, au sein du Conseil de l’Union européenne, sur une version de la Règlement ePrivacy adapté (voir Communiqué de presse et Version du ConseilUne comparaison entre la proposition initiale de la Commission et la version adoptée par le Conseil est disponible à l’adresse suivante ici).
Le trilogue, c’est-à-dire la concertation entre le Conseil, la Commission et le Parlement, peut alors commencer. Si un accord est trouvé avant la fin de l’année 2021, le règlement ePrivacy pourrait au plus tôt en 2023 – après une période de transition de deux ans.
La disposition relative au le champ d’application géographique tel que modifié par le Conseil, a la teneur suivante – avec une Seuil de minimis en faveur d’entreprises situées en dehors de l’EEE :
Article 3 – Portée territoriale et représentativité
1) Le présent règlement s’applique
(a) la fourniture de services de communications électroniques aux utilisateurs finaux résidant dans l’Union,
(a bis) le traitement du contenu des communications électroniques et des métadonnées relatives aux communications électroniques des utilisateurs finaux qui se trouvent dans l’Union ;
(b) [supprimé]
(c) la protection des informations relatives à l’équipement terminal des utilisateurs finaux qui se trouvent dans l’Union.
(c ter) la mise à disposition du public d’annuaires d’utilisateurs finals de services de communications électroniques situés dans l’Union ;
(cc) l’envoi de communications commerciales directes aux utilisateurs finaux qui se trouvent dans l’Union.
2. lorsque le fournisseur d’un service de communications électroniques, le fournisseur d’un annuaire accessible au public, ou une personne utilisant des services de communications électroniques pour envoyer des communications de marketing direct, ou une personne utilisant des capacités de traitement et de stockage ou collectant des informations traitées par, émises par ou stockées dans l’équipement terminal de l’utilisateur final n’est pas établi dans l’Union, il désigne par écrit, dans un délai d’un mois à compter du début de ses activités, un représentant dans l’Union et le communiquent à l’autorité de surveillance compétente.
2a. Les exigences énoncées au paragraphe 2 ne s’appliquent pas si les activités énumérées au paragraphe 1 sont occasionnelles et peu susceptibles d’entraîner un risque pour les droits fondamentaux des utilisateurs finals, compte tenu de la nature, du contexte, de la portée et de l’objectif de ces activités.
[…]
Toutefois, selon le libellé, l’exception de l’Art. 3 (2a) ne concerne que l’obligation de désigner un représentant dans l’EEE, pas à l’application du règlement lui-même.
Les considérants n’offrent pas de base pour une autre interprétation. Au contraire, le considérant 8 bis a) précise que le règlement s’applique aux entreprises situées en dehors de l’EEE, sans faire référence à une quelconque exception :
(8 bis bis) En outre, le présent règlement devrait s’appliquer indépendamment du fait que le traitement des données de communications électroniques ou des données à caractère personnel des utilisateurs finaux qui se trouvent dans l’Union ait lieu ou non dans l’Union, ou du fait que le prestataire de services ou la personne traitant ces données est établi ou non dans l’Union.
Il faut donc actuellement partir du principe que les entreprises suisses sont applicables même si elles n’effectuent qu’occasionnellement et de manière non ciblée un acte relevant du champ d’application matériel du règlement (p. ex. envoyer un e‑mail publicitaire à une personne physique).