Peut-on protéger la vie privée à l’heure du numérique ?

L’affaire Snowden a indiscutablement déclenché une prise de conscience à l’échelle internationale. On rappellera qu’en 2013, Edward Snowden, informaticien et ex-collaborateur de la NSA, a dénoncé l’existence d’un programme de surveillance secret mis en œuvre par les renseignements américains. Ce programme, baptisé PRISM, fondé sur le Foreign Intelligence Surveillance Act, permet à la NSA et au FBI d’accéder aux données détenues par les grands acteurs de l’Internet (Yahoo, Microsoft, Google…) et de consulter toute information relative à leurs utilisateurs. Ces révélations, largement relayées par la presse, ont provoqué un électrochoc à travers toute la planète : l’espionnage de masse a pris forme avec l’existence confirmée d’un « Big Brother » américain et il devient urgent de réagir aux atteintes portées à la vie privée des citoyens.

Pourtant, les alertes sont données depuis longtemps. Bill Gates dénonçait, dès 1997 « des entreprises du secteur privé et des administrations (qui) possèdent déjà une masse d’informations sur notre compte. Nous n’avons aucune idée de la manière dont elles l’utilisent et si elle est exacte… »[i].

Certains prônent une nouvelle « norme sociale », à l’instar de Mark Zuckerberg, fondateur du réseau social Facebook qui considère que « les gens sont désormais à l’aise avec l’idée de partager plus d’informations différentes, de manière plus ouverte et avec plus d’internautes »[ii].

Dans cette société où les technologies omniprésentes offrent au citoyen une visibilité permanente[iii], peut-on revendiquer un droit à la vie privée à l’ère du numérique ? Ou bien s’agit-il désormais d’un débat dépassé comme le suggère le journaliste Jean-Marc Manach avec son livre au titre provocateur : « la vie privée, un problème de vieux cons ? ».

En fait, si la définition de la sphère privée reste délicate à raison de sa nature protéiforme et évolutive, la principale difficulté réside indiscutablement dans l’effectivité de la protection de la vie privée sur l’internet.

I – La sphère privée : une notion protéiforme et évolutive.

(1)  Une notion qui varie selon les époques.

La notion de vie privée au XXIème siècle n’a rien à voir avec celle du 17^ème siècle. Le professeur Beignier[iv] rappelle qu’à l’époque, les Parisiens se baignaient nus dans la Seine, la Reine de France accouchait en public et dans les habitations, il régnait une promiscuité que nous jugerions intolérable.

Comme le concept de vie privée n’était guère consacré, sa protection ne pouvait être envisagée. Le Code civil de 1804 ne contenait aucune disposition protectrice de la vie privée – si ce n’est les articles 675 à 679 règlementant les ouvertures sur la propriété du voisin, contribuant à préserver une intimité souhaitable dans les relations du voisinage. Néanmoins, ces dispositions relevaient du droit des biens et n’étaient pas conçues comme des droits relatifs à la personne.

Au cours du XXème siècle, le droit a témoigné d’un « recentrage sur l’individu ». La doctrine a commencé à s’intéresser à la protection de la vie privée. Cet intérêt est lié à l’apparition de moyens techniques de plus en plus performants (notamment les appareils photo et les caméras qui captent et conservent les images) permettant une immixtion dans l’intimité des individus.

Il fallut, néanmoins, attendre 1970 pour voir consacrer en France le droit à la vie privée, au sein de l’article 9 du Code civil, toujours en vigueur : « chacun a droit au respect de sa vie privée ». Si la loi du 17 juillet 1970 a également créé diverses incriminations en matière d’atteinte à la vie privée qui ont été reprises dans le Code pénal de 1992 aux articles 226-1 et suivants, aucune définition légale ne permet de cerner la notion de vie privée.

Certains auteurs ont adopté une conception extensive, à l’instar du doyen Carbonnier qui la définit comme « une sphère secrète de vie où l’individu aura le pouvoir d’écarter les tiers »[v]; pour Gérard Cornu, c’est « la sphère d’intimité de chacun »[vi].

En l’absence de définition légale et doctrinale plus précise, c’est la jurisprudence qui a tenté de discerner ce qui relevait ou non de la vie privée. Les juges ont déterminé, au fil des cas qu’ils avaient à juger, les éléments qui entraient dans le champ de la vie privée. C’est ainsi que la protection porte sur l’état de santé, la vie sentimentale, les convictions personnelles, les relations familiales, les correspondances…[vii]. Toutefois, il faut admettre que cette approche est casuistique. Les solutions varient selon les espèces et la jurisprudence est fluctuante. Dès lors, comme le relève L. Martin « il paraît impossible, d’un mot, d’une formule, de dire à l’avance où finit la vie privée, où commence la vie publique. Il semble bien que cette question sera toujours dans la dépendance de l’appréciation souveraine des tribunaux. »[viii]

(2)  Une notion qui varie d’un État à l’autre.

Il est également difficile de trouver un consensus sur le contenu précis du droit au respect de la vie privée.

Certains États n’ont pas adopté de définition du droit au respect de la vie privée. Au Royaume-Uni, les auteurs affirment ne pas avoir pu trouver une définition satisfaisante[ix]. Aux États-Unis, la notion n’est pas définie en tant que telle, mais les juges ont qualifié un certain nombre de comportements d’atteintes au droit au respect de la vie privée : l’intrusion déraisonnable dans l’intimité d’autrui, l’appropriation du nom ou de l’apparence d’autrui, la divulgation d’éléments donnant une idée fausse d’une personne et la publicité déraisonnable donnée à la vie privée d’une personne. La Cour constitutionnelle d’Afrique du Sud a récemment défini le droit au respect de la vie privée comme le « droit d’une personne de vivre sa vie comme elle l’entend »[x]. Pour la Cour suprême du Canada, la vie privée est la « sphère limitée d’autonomie personnelle où se forment des choix intrinsèquement privés »[xi].

Ce droit n’est pas non plus défini dans les textes internationaux qui se contentent de protéger la vie privée dans son principe, au même niveau que la famille, le domicile, les correspondances et l’honneur et la réputation, c’est-à-dire en quelque sorte le « noyau dur » international de la vie privée.

Pour autant, la vie privée est protégée par de nombreux textes à portée internationale : la Déclaration universelle des droits de l’homme de 1948 (art. 12), le Pacte international relatif aux droits civils et politiques de 1966 (art. 17), la Convention EDH (art. 8) et la Charte des droits fondamentaux de l’UE de 2000 (art. 7).

(3)  A l’ère du numérique, une notion qui se confond avec celle de donnée à caractère personnel.

Pour appréhender la question de la protection de la sphère privée sur l’internet, il faut avoir présent à l’esprit le modèle économique de l’internet : la gratuité de l’accès n’a pas pour seule contrepartie la publicité. En effet, l’accès aux services est conditionné à la fourniture de données à caractère personnel, c’est-à-dire à une « information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres »[xii]. Le mécanisme de « l’opt out »[xiii] en vigueur le plus souvent conduit à ne pouvoir « décocher » qu’a posteriori les options qui rendent ces informations publiques.

Comme les internautes sont incités à communiquer des informations les concernant, largement encouragés par la culture de « l’exposition de soi »[xiv], ils n’hésitent pas à dévoiler ainsi, en toute impudeur, des pans entiers de leur vie privée, voire des aspects très privés de la vie de tiers, celle de leur famille, de leurs amis.

Si l’accès à ces services est subordonné à l’acceptation de conditions générales d’utilisation (CGU), il s’agit le plus souvent d’une case à cocher certifiant que l’internaute a lu et approuvé les CGU – cela sans qu’on puisse savoir s’il les a vraiment consultées. Comme l’a souligné le Conseil d’État dans son étude de juillet 2014, même le consommateur le plus attentif ne pourra prendre le temps de lire ces conditions d’utilisation[xv]. Ainsi, l’internaute qui souhaite bénéficier d’un service n’aura pas d’autre choix en fait que de communiquer ses données personnelles et de consentir à ce que celles-ci soient utilisées.

Le principal risque pour l’internaute est donc la perte de contrôle de ces données. C’est bien ce qu’observait Madame Viviane Reding, alors commissaire européenne à la justice, aux droits fondamentaux et à la citoyenneté (2012) en déclarant que les citoyens « n’ont pas toujours le sentiment de maîtriser entièrement les données à caractère personnel les concernant »[xvi]. Ce risque est amplifié par la collecte de ces données, à l’insu des internautes, via les historiques de navigations, les blogs, les réseaux sociaux, les moteurs de recherche… mais aussi par les outils de géolocalisation, les applications de « quantified self », les objets connectés, les nanotechnologies… Autant de moyens de « tracer » et de « profiler » les internautes dans l’espace et dans le temps, de donner ainsi une idée de leur comportement, de leurs relations sociales, de leurs préférences personnelles…

Ainsi, que les données personnelles soient transmises « spontanément »/« consciemment » ou « passivement »/« inconsciemment » par les internautes, elles sont désormais, selon l’expression choisie par Isabelle Falque-Pierrotin, Présidente de la Cnil, « le carburant du numérique » [xvii]. Elles ont une valeur qui alimente une véritable économie des données.

Or « la circulation d’informations concernant une personne peut avoir de graves conséquences sur sa vie privée et professionnelle, parfois plusieurs années après les faits » (Cnil, son rapport d’activité 2013[xviii]). Il suffit de constater que le nombre des entreprises victimes de failles de sécurité relatives aux informations sur la clientèle (noms, adresses, numéros de téléphone ou encore données bancaires se retrouvent alors publics…) augmentent de manière significative. Mark Burnett, consultant en sécurité informatique vient encore de démontrer que les mots de passe et identifiants sont faciles à compromettre ; il publie via BitTorrent près de 10 millions de mots de passe associés à des noms d’utilisateurs[xix].

Il faut également constater que les développements technologiques, en ouvrant la faculté pour chacun, partout dans le monde, d’utiliser les nouvelles technologies de l’information et de la communication, augmentent dès lors et simultanément la capacité des pouvoirs publics, des entreprises et des particuliers d’exercer une surveillance ainsi que d’intercepter et de collecter des données. Le G29, dans la suite de l’affaire Snowden, a souligné dans son Avis du 10 avril 2014 l’illégalité de cette « surveillance massive, systématique et sans distinction des citoyens européens ». Il ajoute que de  « telles restrictions aux droits fondamentaux des citoyens européens ne sont pas acceptables dans une société démocratique » et ne constituent en rien de « modestes empiétements sur la vie privée permettant de prévenir les attentats », comme l’avait justifié Barack Obama^[xx].

II – La protection de la vie privée sur internet : un cadre légal à renforcer, des acteurs à responsabiliser

(1)  Un dispositif légal protecteur, mais insuffisant

La loi du 6 janvier 1978 est issue d’un évènement particulier : celui de la constitution du fichier SAFARI (acronyme de « Système Automatisé pour les Fichiers Administratifs et le Répertoire des Individus ») en 1974, projet de centralisation des bases de données de l’ensemble des services de police grâce à un ordinateur de nouvelle génération. Cinq ans plus tard, la loi Informatique et libertés est née, avec l’objectif de limiter les abus de l’informatique.

La France est alors une des pionnières en la matière en posant en règle que « l’informatique doit être au service de chaque citoyen. […] Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques » (L. Inf. et Lib., art. 1). Cet objectif demeure aujourd’hui pleinement d’actualité, cet article étant d’ailleurs le seul à ne jamais avoir été modifié.

En France, la régulation des données à caractère personnel repose donc sur une réglementation solide, respectueuse de la vie privée et des libertés individuelles.

Confrontée au défi du numérique, la France a souhaité conserver sa législation de 1978 tout en modernisant et adaptant, en 2004, certaines de ses dispositions aux nouvelles réalités numériques. Mais l’esprit de la loi de 1978 perdure.

Au plan européen, c’est la Convention pour la protection des personnes à l’égard du traitement des données à caractère personnel du 28 janvier 1981 (Convention 108) qui a inspiré la directive européenne de 1995. La Convention a été ratifiée par la France en 1983, mais son invocabilité est discutée. Selon son article 1er, « le but de la présente Convention est de garantir, sur le territoire de chaque Partie, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant ».

La directive 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données a quant à elle été adoptée le 24 octobre 1995. Ce texte vise à protéger les droits et les libertés des personnes par rapport au traitement de données à caractère personnel en établissant des principes directeurs déterminant la licéité de ces traitements. Dans cet objectif, elle responsabilise l’individu en lui accordant un certain nombre de droits : un droit à l’information, à l’accès, à la rectification ou encore un droit d’opposition de la personne concernée sur ses données.

A une échelle plus internationale, l’Assemblée générale des Nations unies a adopté, dès le 14 décembre 1995, des principes directeurs pour la réglementation des fichiers personnels informatisés.

On peut trouver dans les différents textes existants, des dénominateurs communs et des principes fondamentaux partagés. Tel est le cas, par exemple et dans une certaine mesure, de la limitation de la collecte de renseignements personnels et de l’utilisation de ceux-ci aux fins pour lesquelles ils ont été recueillis.

Mais, parfois l’approche est radicalement différente. Ainsi, les autorités américaines se prononcent plutôt en faveur de la commercialisation des données, tandis que les pouvoirs publics français s’attachent à leur protection. De même, aux États-Unis, c’est le consommateur qui est protégé et non l’individu lui-même ; c’est le droit de la consommation et celui de la concurrence qui s’appliquent, non le droit des libertés publiques. Et, alors que l’Union européenne a souhaité créer des autorités spécifiques de protection des données, aux États-Unis, c’est l’agence fédérale de contrôle des pratiques de la concurrence, la Federal Trade Commission (FTC) qui est l’autorité sanctionnant, sous l’angle des pratiques commerciales déloyales, les atteintes à la protection des données personnelles.

Alors, comment faire pour, conformément à la résolution de l’ONU « le droit à la vie privée à l’ère du numérique », faire respecter et protéger par tous les Etats le droit à la vie privée, y compris dans le contexte de la communication numérique^[xxi] ?

(2)  Vers une plus grande responsabilisation de tous les acteurs ?

Le projet de règlement européen – en cours d’élaboration[xxii] et qui a vocation à s’appliquer aux 27 pays membres – opère un virage historique en fixant un cadre de protection des données à caractère personnel, dans le respect des valeurs humanistes européennes, avec une plus grande responsabilisation des individus^[xxiii]. Un chapitre entier est consacré à la personne. En renforçant les droits de l’individu, le législateur européen entend placer celui-ci au cœur du dispositif de protection des données à caractère personnel. Plus particulièrement, on constate que la personne pourra disposer du droit à la notification d’une violation de ses données à caractère personnel lors de l’apparition de failles de sécurité, du droit d’opposition à une mesure de profilage ou encore, selon des motifs limitativement énumérés, du droit à l’effacement de ses données ainsi que l’effacement par des tiers des liens vers ces données ou de toute copie ou reproduction de celle-ci. Le G29[xxiv] incite à prévoir[xxv] également l’obligation d’informer les individus lorsqu’il a été donné accès à leurs données à une autorité publique au cours des douze derniers mois (Avis G29 du 10 avril 2014^[xxvi]).

Ces nouveaux droits sont primordiaux en ce qu’ils permettent à la personne concernée d’exercer un contrôle ex post sur ses données. Ils s’inscrivent dans la droite ligne des préconisations de la Commission européenne qui invitait dès juillet 2012 à « accroître la maîtrise que les utilisateurs ont sur leurs données (…) »[xxvii]. Cela va également dans le sens du Conseil d’État qui, dans son « Étude annuelle : le numérique et les droits fondamentaux »^[xxviii] (2014), suggère de promouvoir le droit à « l’autodétermination informationnelle », c’est-à-dire le droit de l’individu de décider de la communication et de l’utilisation de ses données à caractère personnel (droit dégagé par la Cour constitutionnelle fédérale allemande en 1983) au niveau international.

Mais si le principe est séduisant, encore faut-il constater que la plupart des individus attacheraient une valeur faible à la protection de leurs données personnelles. Ainsi, 71 % des personnes auraient accepté d’échanger leur mot de passe… contre une barre de chocolat[xxix] ! Ou encore près d’un tiers des internautes interrogés donnerait un large accès à leurs données « moyennant des contreparties financières » (des miles, des bons de réduction, voire la modique somme de 500 euros pour une durée d’utilisation d’une année)[xxx]. C’est dire que le consentement ne suffit pas à protéger l’individu puisque ce dernier fait prévaloir l’avantage immédiat, démontrant s’il en est besoin qu’il n’a pas conscience de la gravité des risques ultérieurs d’atteinte à sa vie privée.

Il est donc urgent de mettre en place, comme le suggère la Commission parlementaire « ad hoc de réflexion et de propositions sur le droit et les libertés à l’âge numérique »[xxxi], des instruments pour « renforcer la protection des droits fondamentaux face à l’utilisation (des données à caractère personnel) à des fins industrielles et commerciales et la maîtrise par les individus de leurs informations personnelles »[xxxii]. Dans cet objectif, les garanties technologiques – prévues dès 1995 par la directive européenne sur les données personnelles – constituent certainement des mesures préventives protectrices. Il convient donc d’encourager les démarches de type « privacy by design » (prise en compte de la vie privée dès la conception du dispositif technique) et de « privacy by default » (protection de la vie privée « par défaut » dans les paramètres[xxxiii]).

Il faut également agir auprès des grands acteurs de l’internet – les fournisseurs d’accès, les hébergeurs, les éditeurs de sites internet, les moteurs de recherche… – afin qu’ils soient pleinement conscients de l’importance de leur rôle dans la protection des libertés individuelles. Si l’arrêt de la CJUE du 13 mai 2014[xxxiv] a marqué une avancée indiscutable en instaurant le droit au déréférencement de l’internaute, à certaines conditions, des liens apparaissant dans les résultats de recherche effectués sur la base de son nom, il confirme également que l’effectivité de ce « droit à l’effacement » est dépendante du moteur de recherche. D’où la nécessité de responsabiliser fortement ces acteurs « en fixant des règles (transparence, conformité, etc.) pour la mise en œuvre des traitements ayant recours à des algorithmes à caractère décisionnel ou prédictif ayant un effet sur les personnes »[xxxv].

************************************** 

Le droit à la vie privée reste l’une des libertés fondamentales du citoyen du XXIème siècle. A ce titre, il faut la protéger, en ayant recours à des « actions efficaces – y compris les actions collectives inspirées du droit de la consommation – pour faire cesser les violations de la législation en la matière ». S’il apparaît indispensable d’adapter et de renforcer le cadre législatif et réglementaire pour l’adapter aux réalités technologiques de la société du numérique, il faut également « augmenter les pouvoirs de sanction de la Commission nationale de l’informatique et des libertés (CNIL) » [xxxvi]. En attendant les propositions en ce sens qui vont être prochainement formulées par la Commission parlementaire « ad hoc de réflexion et de propositions sur le droit et les libertés à l’âge numérique »[xxxvii], il est urgent d’intensifier l’« éducation » à la protection des données, inculquer avec force une « hygiène informatique », selon l’expression consacrée par l’ANSSI[xxxviii], pour permettre à la personne concernée de fixer elle-même les frontières de sa vie privée. Il faut donc agir  avant tout sur le terrain de « la culture », compter « sur la persuasion et la prise de conscience des internautes et des professionnels quant aux enjeux cruciaux du respect de la vie privée sur le web »^[xxxix]. Il faut convaincre les internautes dès leur plus jeune âge, investir dans leur formation pour les sensibiliser tout particulièrement aux atteintes et aux conséquences qui peuvent en résulter.