Cinq ans de RGPD : quel impact économique pour les entreprises ?

Cinq ans après l’entrée en application du RGPD, la littérature économique s’est penchée sur son impact économique sur les entreprises.

Points saillants. - Il ressort de la plupart de ces études - qui se concentrent sur les coûts sans suffisamment mesurer les bénéfices pour les entreprises et les gains de bien-être pour les personnes -, notamment, que :

• Les coûts de mise en œuvre du RGPD par les entreprises sont réels et inévitables, mais ils représentent un investissement dans la conformité qui comporte des bénéfices économiques

• Les effets de la mise en œuvre du RGPD sur les entreprises sont variés, dépendant de l’activité économique et du modèle d’affaires. Certaines opérations sont plus encadrées, tandis que d’autres sont facilitées par l’augmentation de la confiance du client

• La donnée personnelle est un objet économique très particulier qui peut donner lieu à des asymétries d’information entre le service et l’usager. Le RGPD peut aider à résoudre ces « failles de marché »

• Il est difficile d’isoler l’effet propre du RGPD par rapport au contexte économique et aux comportements variés des acteurs. Les résultats des études ne sont pas généralisables à l’ensemble de l’économie

• Le RGPD peut permettre une meilleure information et plus de rationalité dans les choix, résorber des « failles de marché » et rendre possibles des opérations économiques qui ne le seraient pas en l’absence de protection

• Il existe un retour sur investissement qualitatif de la conformité RGPD en termes de réputation, de sécurité informatique, de connaissance des données disponibles et d’économies opérationnelles. Il serait utile que les économistes tentent d’objectiver ces gains pour réaliser une véritable analyse coûts/bénéfices

• La mise en œuvre du RGPD permet d’importants gains de bien-être pour les consommateurs, qui maîtrisent mieux leurs données et sont mieux à même de mesurer les risques de leur dissémination

• Les consommateurs plus vigilants sont moins sujets à l’exploitation frauduleuse de leurs données ou à des irritants comme le démarchage abusif

• Ces gains ne sont pas directement observables sur un marché et sont donc difficiles à mesurer. Seule une comparaison quantifiée entre l’effet sur les entreprises et l’effet sur les individus permettra de confirmer si cette réglementation a apporté un bénéfice net pour la société dans son ensemble.

Leçons à tirer. - Les études économiques valident l’approche de la CNIL qui consiste à fournir aux entreprises des outils adaptés à leurs besoins, réduisant ainsi le coût de la conformité. La fourniture de sécurité juridique à travers des référentiels, conseils ou guides de bonnes pratiques est également validée.

Ces études montrent par ailleurs que la protection de la vie privée ne naît pas spontanément du fonctionnement des marchés ni des comportements individuels, mais nécessite une dimension de « paternalisme libertarien ». L’action du régulateur facilite les choix individuels qui contribuent à instaurer un haut niveau de protection des données.

Parce que le RGPD est proportionnellement plus favorable aux gros acteurs économiques, qui ont plus de moyens à consacrer à la conformité, le régulateur doit compenser activement cette tendance par une politique exigeante envers les grands acteurs, et plus encore avec les très grands acteurs.

La CNIL indique qu'elle assume déjà, et va assumer encore plus à l’avenir, une dimension asymétrique de son action de régulation sur les marchés numériques, associée à une pleine compréhension des modèles d’affaires, au bénéfice des personnes et de la protection de leurs droits fondamentaux.