La commission industrie, recherche et énergie (ITRE) du Parlement européen a adopté le 20 février 2013, par 33 voix contre 24 son avis sur la réforme des règles de protection des données personnelles. Cet avis s’avère être proche des préoccupations des entreprises, notamment des PME qui craignent les conséquences financières de certaines dispositions. L’avis se rapproche aussi des propositions initiales de la Commission européenne de janvier 2012 qui avait suggéré d'exempter toutes les entreprises de moins de 250 employés de l'obligation d'embaucher un responsable de la protection des données. La Commission européenne s’en est d’ailleurs félicitée avec empressement par la voix de Viviane Reding. 

Le rapporteur, l'Irlandais Sean Kelly (PPE), a estimé dans son avis – assorti de plus d’un millier d’amendements -  que la réforme des règles de protection des données personnelles devrait éviter de créer des charges administratives excessives pour les entreprises, notamment pour celles qui ont des procédures internes de responsabilisation en matière de protection des données, et garantir un certain degré de souplesse, notamment en ce qui concerne le mécanisme de responsabilité et de notification à l'autorité de contrôle.

La commission ITRE a également accepté le principe d'exempter les PME de certaines dispositions, comme celle qui oblige d'embaucher un responsable de la protection des données ou de notifier certaines violations de la protection des données. Elle a aussi estimé que, si la protection des citoyens ne devait pas être remise en cause, la situation des micro- et petites entreprises devait aussi être prise en compte. L'embauche d'un responsable des données personnelles ne devrait ainsi pas être obligatoire pour des entreprises n'ayant pas au cœur de leur activité le traitement systématique de données.

Les sociaux-démocrates européens regrettent que le PPE et les libéraux aient réussi à faire passer une proposition qui réduira selon eux la protection de la vie privée des citoyens de l’UE

Le groupe S&D a voté contre le rapport de Sean Kelly. Les sociaux-démocrates au Parlement européen s'inquiètent de voir le niveau de protection des citoyens baisser. Les sociaux-démocrates reprochent notamment à la commission ITRE d'avoir adopté une définition édulcorée du principe de consentement explicite de l'internaute, principe que la commissaire à la Justice, Viviane Reding, avait souhaité imposer aux entreprises utilisant des données personnelles. Pour la commission ITRE, le silence ou l'inaction ne signifient pas acceptation et chaque personne devrait donner une "indication libre, spécifique, sans ambiguïté de ses souhaits", alors que le groupe S&D préférerait que ce consentement soit défini par "une action claire et affirmative" de la personne.

Ils soutiennent également le système de notification double proposé par la Commission européenne. Ce système veut que toutes les violations doivent être signalées aux autorités responsables de la protection des données, mais seules les violations affectant négativement la protection des données personnelles et de la vie privée doivent être notifiées aux individus concernés. Le groupe S&D récuse dans ce contexte "la tentative des conservateurs visant à restreindre le processus de notification à certaines violations" et estime de manière générale que le vote intervenu du 20 février 2013 "réduit le niveau de protection que les Européens sont en droit d'exiger".

Les sociaux-démocrates s'opposeront à cette tentative en avril lors du vote de la commission des Libertés civiles (LIBE), qui est elle compétente sur le fond. Le rapporteur de la commission LIBE, l’eurodéputé vert allemand Jan Philipp Albrecht, veut quant à lui et comme les sociaux-démocrates, éviter toute révision à la baisse des standards actuels de protection des données personnelles. (voir son projet de rapport).

Soulagement chez les PME

Les PME européennes réunies dans l'association UEAPME (Union européenne de l'artisanat et des petites et moyennes entreprises) avaient exprimé quant à elles leurs craintes de voir l'ensemble des PME être soumises à l'obligation d'embaucher un responsable de la protection des données.

L'UEAPME s'inquiétait notamment de la direction prise en commission LIBE et de son rapporteur Jan Philipp Albrecht qui juge l'exemption des PME sur base quantitative peu pertinente et souhaite se concentrer davantage sur la nature de l'activité de l'entreprise en question. Ainsi, une entreprise en contact avec les données de plus de 500 personnes par an devrait-elle être entièrement couverte par le règlement.

L'UEAPME s’est en toute logique félicitée du vote sur le rapport 'Kelly', un rapport qui présente pour elle le meilleur équilibre possible entre la nécessité d'un cadre législatif fort et la nécessité de ne pas surcharger les PME, par exemple en exemptant les PME qui ne vivent pas du commerce des données de devoir engager un responsable de la protection des données. Elle a donc exhorté les députés de la commission LIBE à "suivre" la direction prise par leurs homologues de la commission ITRE.