Critique du RGPD : Les véritables problèmes que nous ignorons !

« Simplifier », « Rationaliser », « Réduire ». Bien que les communiqués de l’UE trouvent souvent des moyens créatifs pour éviter de prononcer le mot « déréglementation », cette nouvelle Commission européenne est entièrement axée sur l’amélioration de la compétitivité du bloc en « réduisant la bureaucratie ». L’intention de dynamiser l’économie du continent est louable, mais il existe un risque réel de perdre des acquis importants en cours de route.

Le rapport Draghi, présenté en septembre 2024, a jeté les bases d’une refonte d’un des joyaux de la couronne de l’UE en matière de réglementation numérique – le Règlement général sur la protection des données (RGPD). Selon le rapport, certaines réglementations présentent des « chevauchements et incohérences », conduisant à une fragmentation.

Draghi a identifié le RGPD comme une source particulière de maux de tête, en grande partie en raison de sa complexité, de son application nationale lourde, de son application locale incohérente, et des coûts de conformité disproportionnellement élevés pour les petites et moyennes entreprises par rapport aux grandes entreprises. Les murmures sont terminés : le RGPD semble destiné à être réduit, tout comme les règles de reporting sur la durabilité avant lui.

Pourtant, le monde a changé de manière spectaculaire ces derniers mois, signifiant que beaucoup des propositions de Draghi sont conçues pour un contexte qui n’existe plus. De plus, l’expérience désastreuse du DOGE aux États-Unis offre un récit édifiant sur la façon dont la déréglementation peut mener au chaos plutôt qu’à l’efficacité. Les institutions juridiques sont, après tout, des systèmes complexes conçus pour protéger les droits des personnes.

À lire aussi :
Le besoin de chaos alimente le soutien de certains Américains à Elon Musk prenant une tronçonneuse au gouvernement américain

La réglementation n’est pas le problème

Des règles robustes sont essentielles pour garantir la clarté et la transparence. Particulièrement dans le secteur numérique, établir des balises claires est vital pour contenir à la fois les excès des oligarques technologiques et l’erraticité de leurs satellites en chef. Loin de réduire la bureaucratie, l’UE ferait bien de saisir cette occasion pour concentrer ses énergies sur la mise en place et l’application de meilleures réglementations.

Les réglementations de l’UE sont souvent perçues comme étouffant l’innovation du continent, mais selon Anu Bradford, professeur de droit commercial de l’UE, ce récit est au mieux simplificateur. Le dynamisme lent de l’Europe peut plutôt être attribué à une gamme de problèmes structurels, incluant un marché unique numérique fragmenté, des marchés de capitaux sous-développés et des lois sur la faillite sévères qui punissent l’échec plutôt que d’encourager l’expérimentation.

Au-delà du niveau fiscal, les attitudes culturelles européennes tendent à être plus averses au risque, et le bloc manque de politiques d’immigration proactives nécessaires pour attirer les talents technologiques internationaux.

Les experts ont également clarifié que si la fragmentation entrave véritablement l’innovation, réduire la réglementation sans une harmonisation sérieuse des cadres domestiques atteindra peu.

Là où le RGPD est insuffisant : l’IA au travail

Bien que des réglementations comme le RGPD soient souvent injustement désignées comme responsables des maux du continent, elles ne sont pas exemptes de critiques.

Considérons la gestion algorithmique (GA) et les systèmes d’IA qui ont progressivement infiltré les lieux de travail ces dernières années. Selon les chiffres récents de l’OCDE, en France, en Allemagne, en Italie et en Espagne, environ 79% des managers de divers secteurs rapportent que leurs entreprises utilisent déjà des logiciels de GA pour recruter, organiser et surveiller leurs effectifs.

Les algorithmes et l’IA n’aident pas seulement les managers – dans certains cas, ils les remplacent carrément. Cela introduit de nouveaux risques, et renforce ou amplifie des problèmes anciens et non résolus tels que l’injustice, l’opacité, l’indiscutabilité, la dysfonctionnalité et la méfiance.

L’essor des outils numériques de prise de décision illustre parfaitement le rôle ambivalent du RGPD. Sur le papier, il reste un bouclier de référence pour les données personnelles, y compris les données utilisées pour alimenter les applications d’IA générative. Pourtant, en pratique, le RGPD peine à répondre pleinement aux défis posés par des machines prenant des décisions, soit indépendamment, soit au nom des gestionnaires humains.

Dans une étude récente commandée par la Direction générale de l’UE pour l’Emploi, les Affaires sociales et l’Inclusion, les cadres de protection des données ont été examinés pour voir s’ils peuvent dompter les systèmes de GA. Le verdict était mitigé, tendant vers le pessimisme. Bien qu’il soit indéniable que le RGPD puisse être mobilisé pour limiter le traitement des données et éviter leur réaffectation, la plupart de ses dispositions phares présentent de grandes lacunes en ce qui concerne le lieu de travail.

L’étude souligne l’indétermination, l’ambiguïté et la nature ouverte des règles sur la prise de décision automatisée, entre autres. Par exemple, les décisions semi-automatisées – des systèmes hybrides avec une intervention humaine à la dernière étape de la chaîne exécutive – passent souvent sous le radar, réduisant les chances pour les travailleurs d’être informés de leur existence et de leur raisonnement, ou d’avoir une véritable possibilité de contester et de modifier leurs résultats.

De même, l’incertitude quant à l’interprétation des motifs de traitement légal et l’application du principe de proportionnalité conduit à un patchwork de décisions discordantes prises par les autorités de protection des données. Comme le montre la jurisprudence sur l' »intérêt légitime » des contrôleurs de données, la conformité risque de devenir une loterie postale.

Ajuster le RGPD

Rien de tout cela ne devrait surprendre, car le RGPD a été conçu pour être général, et non spécifique au lieu de travail. Néanmoins, ses exceptions et ses failles désavantagent les travailleurs, et créent des incertitudes qui affectent les entreprises.

Dans une saison différente, les institutions envisageaient l’introduction d’un instrument spécifique au travail pour régir les algorithmes, une proposition qui figurait également dans la lettre de mission de Roxana Mînzatu, vice-présidente exécutive pour les Droits sociaux et les Compétences, les Emplois de qualité et la Préparation. Le rythme actuel de déréglementation, stimulé par la fureur des États-Unis contre les pouvoirs de l’UE, a refroidi ces discussions, mais l’idée n’est pas morte.

Les technologies sur le lieu de travail sont encore largement régies par des principes de protection des données orientés vers les consommateurs, même si les contextes d’emploi diffèrent profondément. Les employeurs collectent régulièrement des données sensibles qui étendent le contrôle managérial dans les domaines émotionnels des travailleurs, et les systèmes de GA intensifient ces dynamiques en automatisant des décisions et en générant des profils détaillés.

À lire aussi :
3 façons dont la ‘gestion algorithmique’ rend le travail plus stressant et moins satisfaisant

La nature persistante et asymétrique de la surveillance sur le lieu de travail sape l’autonomie et érode la confiance mutuelle. Contrairement aux consommateurs, les travailleurs ne peuvent pas refuser de manière significative ces pratiques intrusives, exacerbant les déséquilibres de pouvoir. De plus, les préjudices liés aux données sont souvent collectifs, menaçant la solidarité et permettant des pratiques anti-syndicales.

La Directive sur le travail des plateformes (PWD) offre une boussole toute prête pour réorienter l’action sur les droits numériques des travailleurs. En effet, tout un chapitre est consacré à l’ajustement du RGPD pour mieux régir la GA au travail. Comme l’argumente un mémoire politique, plusieurs dispositions de la PWD semblent être délibérément rédigées pour combler les lacunes laissées par le cadre omnibus.

La PWD couvre les « décisions soutenues par » des algorithmes (pas seulement entièrement automatisées), étend les droits d’information et d’accès des travailleurs, rétablit un droit à l’explication, et interdit carrément le licenciement robotique.

Cependant, elle est crucialement limitée, car son champ d’application sectoriel s’arrête au bord de l’économie des petits boulots, laissant tous les autres à découvert. Si le RGPD n’est pas suffisant pour les livreurs et les travailleurs au clic, pourquoi est-il encore appliqué à tous les autres travailleurs ?

Ranger la tronçonneuse

Blâmer le RGPD pour les problèmes de croissance de l’Europe fait un excellent clickbait, des mèmes LinkedIn et des plaisanteries après dîner, mais cela ignore les véritables enjeux. Des règles de confidentialité plus lâches ne résoudront pas nos problèmes. Au contraire, un cadre plus intelligent pour les droits numériques des travailleurs pourrait servir de contrepoids robuste, garantissant que la GA opère comme un outil d’efficacité plutôt que de commandement incontrôlé.

Il est certes nécessaire de critiquer le RGPD, mais il faut viser la bonne cible. Son ADN abstrait, transactionnel et individualiste est mal adapté à la réalité collective et déséquilibrée des lieux de travail modernes où les données des employés sont intégrées dans des systèmes d’IA opaques.

Dans ces environnements, la réponse n’est pas de tailler dans les protections, mais de les renforcer en clarifiant les bases légales, en établissant des lignes rouges, en intégrant des droits collectifs et en fermant les failles d’application. Réforme, oui. Régression, non.