Dans une note, la Cnil souligne que trois points fondamentaux doivent être particulièrement défendus :
- Le critère de compétence des autorités de contrôle. Un citoyen ou une entreprise devra référer à l'autorité chargée de la protection des données personnelles de son pays et non celle du pays dans lequel réside la société éditrice. « Ce critère garantit également une meilleure protection des droits de la personne et réduit pour les entreprises les risques d'insécurité juridique et de forum-shopping », précise la Cnil.
- Le point de contact unique. Une société dont l'activité s'étend sur plusieurs Etats ne devra référer qu'à une seule entité. Ce « chef de file » devra alors mener les débats et instruire les dossiers avec ses consœurs.
- Le rôle du Comité européen de protection des données. Il disposera d'un pouvoir décisionnel sur les projets de décisions d'une autorité de contrôle.
En ce qui concerne la protection des droits des citoyens à proprement parler, la Cnil invite l'Europe à continuer ses travaux portant sur le recours à la « pseudonymisation et l'anonymisation de données, l'exercice gratuit du droit d'opposition, lequel doit être proposé en termes clairs et simples par les responsables de traitement ». Par ailleurs, elle pèsera de tout son poids afin que le règlement communautaire mette en place un véritable droit au déréférencement pour tous.
