Navigation – Plan du site
Repères

Interconnexion des fichiers : de la réduction du champ de la protection des libertés au retour de l’État protecteur

Jean-Jacques Lavenue
p. 125-140

Texte intégral

1Le passage de l’administration en réseau aux administrations interconnectées est à l’origine d’antinomies qui opposent l’efficacité administrative ou policière et la protection des libertés. Ces situations découlent de plusieurs processus où se croisent différentes logiques et sont, d’une certaine manière, incluses les unes dans les autres à la façon des matriochkas : réforme de l’État, approche politique libérale, réforme de l’administration, informatisation des fichiers politiques de prévention.

2Les citoyens et les libertés éprouvent, en bout de chaîne, les effets positifs ou négatifs de ces évolutions. Après s’être mis en place progressivement, en une quarantaine d’années, il semble toutefois, à la suite des crises des trois dernières années, qu’au flux ultralibéral succède une sorte de reflux. Il se traduit par une affirmation nouvelle de la nécessité de protéger le citoyen et ses libertés, et réclame le retour d’un État garant (de la sûreté et non plus de la sécurité) des libertés des particuliers.

3Les deux phénomènes qui permettront de cerner le paradigme dont nous pensons pouvoir signaler l’évolution sont  : l’association des approches néolibérales des modes de gouvernances sociales et l’affirmation de la nécessité de réforme de l’État. L’informatisation, de l’administration en général, de la police, de la justice, des finances, etc., y apparaît comme le moyen par excellence d’organiser la réingénierie des modes d’action, d’assurer une meilleure gestion, de faire des économies, bref, pour reprendre les termes des discours de référence, d’assurer du « mieux d’État », tout en réduisant son périmètre d’action. Chacun a encore en mémoire les propos des disciples de Friedrich Hayeck1 et des ténors du secteur entrepreneurial sur la nécessité pour l’État de se recentrer sur « son véritable cœur de métier », d’externaliser ses fonctions (mêmes régaliennes), de communiquer les informations en sa possession, de privatiser dans la mesure du possible l’exécution des tâches relevant du service public, et du discours sur l’avènement du modèle insurpassable de bonne gestion du secteur privé.

4L’informatisation de l’administration, l’interopérabilité, l’interconnexion des fichiers et leur multiplication ont été, à la fois, les instruments, la source et la conséquence, dans une sorte de mouvement « auto régénérateur » de ce phénomène de réforme de l’État, mais aussi de sa dépossession partielle, et de la remise en cause de la protection des droits et des libertés des citoyens, au nom d’une meilleure prise en charge, alléguée, de ceux-ci. La prise en compte phénoménologique du processus, en train de se faire et d’évoluer en même temps, pourra faire penser à la phrase de Virgile : « Mobilitate viget viresque aquirit eundo » : il tire sa vigueur de sa mobilité et augmente sa force en avançant.

5La première des conséquences de ce processus a été de remettre en cause la relation entre l’État, l’administration et le citoyen ; ce dernier tendant à constater l’évolution de son statut vers celui d’administré, puis d’usager, de client, voire, comme tout client du secteur marchand, de simple source de données. Les fichiers et les données qu’ils contiennent ont, à terme, vocation à constituer un gisement pour un data mining universel. La police et l’administration aux États-Unis ne se fournit-elle pas déjà chez des brokers d’informations privés tels que US Search.com3 par exemple ?

6La modification de ce rapport, si l’on revient à la logique qui la sous-tend, a une incidence directe sur la protection des droits liés à son statut. L’efficacité, la rationalisation, la rentabilité, devenant les finalités, la satisfaction du client primant sur le droit à l’égalité des citoyens, les données personnelles devenant de simples données marchandes (USA), se développeront des administrations à plusieurs vitesses ; seront constitués des fichiers que l’on aura plus besoin d’autoriser, ou que l’on autorisera a posteriori avant de les interconnecter et/ou de les vendre (cartes grises5). Le tout pourra être justifié, aux yeux de « ceux qui n’ont rien à cacher », par la prévention incontournable d’un risque, omniprésent dans un monde dangereux6, dont seuls pourraient vous prémunir ceux qui seraient à même de tout savoir sur vous.

7Mais « la crise » est advenue. Le modèle de la gestion privée ne s’est pas avéré aussi exemplaire que l’image que l’on en proposait. Des partenariats public-privé ont abouti à de coûteux échecs. Trop de fichiers se sont avérés mal utilisés ou mal fréquentés7, et cette approche, d’un monde à la Minority report8, semble connaître un certain reflux.

8Le Conseil constitutionnel en France, le Sénat, ont été amenés à rétablir la norme, à redimensionner les actions et à démontrer que l’idée selon laquelle l’État se devait de protéger les citoyens, les libertés et les données personnelles n’était pas aussi obsolète que d’aucuns le laissaient croire. Le fait également qu’aux États-Unis, l’administration Obama se soit mise à faire référence aux modes de protection européens des données personnelles, opérant ainsi un véritable retournement d’attitude, paraît confirmer la prise de conscience et l’ébauche d’évolution que nous essayons de mettre en évidence.

9Le développement de l’informatisation de l’État s’est inscrit dans un contexte politique, intellectuel, et économique de redéfinition de ses fonctions. Derrière des arguments de rationalisation, de meilleure gestion, de nécessité d’externalisation voire de privatisation, furent envisagées des formes de réingénieries administratives, de « new public management », dont l’objectif était la réduction du périmètre d’action de l’État, que les opposants au processus allèrent jusqu’à qualifier de dépeçage du service public9. Il en alla ainsi pour certains jusqu’à envisager une remise en cause de l’exercice de ses fonctions régaliennes10. L’informatisation, les fichiers, la possibilité de les interconnecter, entraient dans la liste des moyens susceptibles de faciliter cette forme de restructuration et de désengagement.

10Au moment où en Europe, lors de la première décennie du XXIe siècle, les gouvernants semblaient prêts à avaliser la doxa libérale, les difficultés financières et budgétaires des États et de leurs partenaires, semblent avoir sérieusement remis en cause l’image idéalisée de l’excellence du modèle de la gestion privée et de l’externalisation de l’action publique. Là où « externalisation » était considérée comme gage de modernité, apparaît de plus en plus celui de « ré-internalisation »11. Au reflux de l’emprise de l’État lié aux approches libérales, voire néolibérales succède le nouveau flux de l’appel à un retour de l’État acteur, protecteur, garant des libertés et du droit. Ces phénomènes ont une répercussion dans le domaine de la protection des données personnelles qui, s’inscrivant dans le temps, a été sensible à l’évolution de l’environnement conceptuel de la norme et de l’évolution de ses sources matérielles.

11Aux revendications d’autorégulation, de liberté dans l’usage des données, réclamées par le secteur entrepreneurial commence à succéder, y compris aux États-Unis, une demande d’intervention et de régulation étatique. Dans le domaine de nos préoccupations, l’évolution de cet environnement confortera l’idée de la réappropriation par les citoyens du contrôle des conséquences de l’informatisation des services publics. Il le fera à travers l’action de l’État, dont le champ aura été réaffirmé, et celle du juge : qu’il s’agisse d’e-administration, de l’utilisation par la police des technologies informatique, d’e-santé, d’e-learning, d’e-démocratie ou autres.

Le reflux de la protection des données et de la vie privée lié au développement de l’informatisation entre 2004 et 2011

12Une sorte de parallélisme est observable entre la réduction du périmètre d’action de l’État, correspondant à la mise en œuvre d’approches économiques libérales, et la fragilisation des mécanismes de protection des données, de la vie privée, liée au développement de l’informatisation ainsi qu’à l’accroissement de l’utilisation des fichiers. Le dénominateur commun de ce processus ressort de l’historique des réformes de l’État, depuis les années quatre-vingt. Il repose sur la doxa selon laquelle seules l’adoption par l’administration des modes de gestion du secteur privé, et des formes de pensées de l’entreprise seraient gages d’efficience, de rapidité, d’efficacité et d’économie : de « moins d’État » puis de « mieux d’État ».

13Les idées de réingénierie des procédures administratives, de recours à l’électronique et aux fichiers, de réorganisation et d’amélioration des fonctions policières, étaient parfaitement compatibles avec l’objectif poursuivi, pour autant que le processus ne soit pas entravé par des pesanteurs susceptibles d’en limiter les effets. En 2004 la loi du 6 août, relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, fut l’expression de cet état d’esprit. Dans le domaine qui nous intéresse la prise en compte de l’interventionnisme « marchand » a pu aller jusqu’à l’exigence formulée, à titre d’exemple, par le Medef, de voir communiquer aux entreprises les données publiques contenues dans ses fichiers pour pouvoir en tirer profit. Ce qui dans certains cas fut fait. Il apparaît aujourd’hui, pour ce qui est du Cloud computing, dans la revendication formulée par certains groupes de voir modifier la réglementation de la protection des données personnelles pour favoriser le développement des services de Cloud dont bon nombre de data center sont aux États-Unis12.

L’environnement d’un discours normatif

14Ainsi que le rappelait Maya Bacache-Beauvallet, lors du séminaire organisé par le Cercle des économistes, le 9 juillet 2011 lors des Rencontres économique d’Aix-en-Provence13, « le débat autour de la privatisation des e n t reprises publiques des années quatre-vingt s’est ainsi progressivement enrichi d’interrogations sur les légitimités des domaines d’intervention traditionnels de l’État et de l’étude de moyens alternatifs, comme la réglementation ou l’externalisation, pour assurer la production des biens et des services publics. Puis s’ouvre une deuxième période dans les années quatre-vingt-dix, une période de réforme de la fonction publique elle-même » trouvant, selon les tenants de l’approche libérale, sa source dans la crise alléguée de la légitimité de l’État.

15C’est un raisonnement du même ordre qui, considérant que l’État, allégé, doit se recentrer sur son véritable « cœur de métier » (police, sécurité ou la prise en charge des secteurs non rentables tels que l’aide sociale) fournira, au nom de l’efficience, de l’amélioration de la performance et de l’économie de moyens, les éléments du discours qui justifiera la multiplication des fichiers, leur interopérabilité et leur interconnexion. Le vocabulaire utilisé à l’article 1 du décret, du 16 décembre 2009, créant le Répertoire national commun de la protection sociale (RNCPS)14 donne un exemple de ce mode de pensée, lorsqu’il souligne que ses finalités sont de « Simplifier… Améliorer… Rationaliser et fiabiliser… les échanges de données » et, à cette fin, que « les données et les informations centralisées de rattachement sont transmises par les organismes contributeurs ». La création des fichiers d’antécédents, des fichiers d’analyse sérielle, les logiciels de rapprochement judiciaires15, s’accompagnent également tous de l’affirmation de la finalité tendant à « faciliter le rassemblement des preuves des infractions et de leurs auteurs » sur la base des données contenues dans ces fichiers.

  • 16 Séminaire du Cercle des économistes, op. cit.
  • 17 Par ex : construction et aménagement d’établissements pénitentiaires ; contrôleurs SNCF considérés (...)

16En passant du général au spécifique, c’est un raisonnement du même type que l’on rencontre à propos de la mutation envisagée des fonctions régaliennes de l’État. Ainsi que le souligne Guy Canivet, ancien Premier Président de la Cour de cassation et membre du Conseil constitutionnel, « soit pour des raisons de financement des moyens, soit pour des raisons d’efficience, de mise en œuvre de savoirs faires et de technologies, soit encore pour des nécessités de souplesse ou de diversification des actions, soit enfin par tradition, les pouvoirs régaliens sont, partiellement au moins, directement ou indirectement, exercé par d’autres que l’État »16. Dans les matières qui relèvent du pouvoir régalien, ni la réglementation ni l’exercice des missions qui s’y rapportent ne peuvent être abandonnés à des organes ou des opérateurs autres que l’État. Dans la pratique cependant des délégations de missions au secteur privé ont néanmoins été faites dans le domaine de la justice et de la sécurité publique17.

17Doit-on pour autant y voir un délitement de l’exercice par l’État de ses fonctions régaliennes ? Naturellement non. Il faut néanmoins attirer l’attention sur le risque d’existence d’une « microfaille » possible dans l’édifice normatif. La décision du Conseil constitutionnel rendue, le 10 mars 2011, à propos de la loi Loppsi18, à propos de fichiers de police, montre que l’hypothèse n’est pas simplement imaginaire. Ainsi que le rappelle Guy Canivet « Le Conseil constitutionnel a censuré une disposition de la même loi (Loppsi) qui permettait de financer par des fonds privés, à savoir des contributions versées par des assureurs, certains fichiers automatisés de police. Le procédé de financement utilisé, celui du fonds de concours, donnait à ces sociétés la faculté de vérifier que l’utilisation de ces fonds était conforme à leurs intentions, ce qui soumettait les modalités d’exercice de missions de police judiciaire à la volonté de personnes privées ».

18La décision du Conseil constitutionnel révèle que l’on se trouve alors à un point de contact entre public, privé, ainsi que du régalien, ce qui est susceptible de favoriser le développement de processus pathogènes. Dans un contexte de partenariat, de recherche d’efficacité policière ou administrative, où les interférences (voire le mélange des genres) sont possibles, le choix politique du degré de vigilance sera déterminant pour le citoyen et la protection de ses libertés.

  • 19 Séminaire , cercle des économistes, 9 juillet 2011, op.cit.

19Dans une ultime remarque faite, à l’occasion du séminaire organisé par le Cercle des économistes, l’ex-Premier Président de la Cour de cassation, faisant appel à la vigilance observe que : « L’exécution des tâches de souveraineté par des opérateurs privés détermine des marchés dont l’accès et le fonctionnement sont encadrés par de multiples règles. Il serait à vérifier si ces contraintes permettent la meilleure allocation possible des ressources. En outre le fonctionnement produit de nombreuses externalités. Il fausse par exemple l’émergence ou le renforcement de pouvoirs économiques parfois considérables, capables d’influer sur les décisions publiques »19. Citant l’exemple du pouvoir économique des lobbies du secteur privé aux États-Unis et leur influence sur l’orientation des politiques pénales, Guy Canivet conclut que « ce serait sans doute un exemple à méditer ».

Fichiers et protection des données : évolution ou régression de la protection ?

20Les situations que nous avons évoquées tendaient à cerner ce qui est perçu par nous comme l’expression, diffuse dans le temps, d’un rapport dialectique entre deux conceptions du rôle de l’État dont, à travers l’exemple de la constitution des fichiers de l’administration et des services de police, la protection des données personnelles et de la vie privée est un enjeu majeur. Faut-il, dès lors, voir dans l’évolution qu’à connu la réglementation entre 2004 et 2012 une conséquence de ce que Guy Canivet désignait comme la capacité des lobbies à influer sur les décisions et les politiques publiques ? Répondre à cette question, dans un sens ou un autre, dans le cadre de cet article, n’aurait pas de sens. Reste que certaines évolutions normatives, présentées comme des éléments de fait, sont susceptibles de nourrir la réflexion. Nous évoquerons les évolutions des compétences de la Cnil, de la loi informatique et libertés de 1978, ainsi que le projet de nouvelles directives européen 2012/0011 .

21En dehors même de la mutation que représente, pour la Cnil, le passage du système de contrôle a priori, prévu par la version originale de la loi informatique et liberté, au contrôle a posteriori mis en place en 200420, le changement induit par la rédaction du nouvel article 26, par rapport à l’article 15, de la loi d’origine à des conséquences qui peuvent expliquer l’inquiétude manifestée par certains défenseurs des libertés. Alors que l’article 15, dans sa version d’origine, prévoyait que, hormis les cas où ils devaient être autorisés par la loi, les traitements automatisés d’informations nominatives opérés pour le compte de l’État, d’un établissement public étaient décidés par un acte réglementaire pris après avis motivé de la Cnil, et que si l’avis de la commission était défavorable il ne pouvait « être passé outre que par un décret pris sur avis conforme du Conseil d’État », l’article 26 de la version consolidée de la loi, après la réforme de 2004 dispose :

22« - Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l’État et  :

  • Qui intéressent la sûreté de l’État, la défense ou la sécurité publique ;

  • Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté. »

23Sans doute l’avis de la commission est-il publié avec l’arrêté autorisant le traitement, mais en aucun cas le fait qu’il puisse être négatif n’aura de conséquences. Faut-il y voir une cause de la hausse de 70 % du nombre des fichiers de police dans les trois ans qui suivirent en 2004 la transposition de la directive communautaire de 1995 ?

24D’un autre côté, lorsqu’on lit, dans le rapport de Delphine Batho et Jacques Alain Benisti du 21 décembre 2011 que « sur les 58 fichiers recensés en 2009, 48 étaient utilisés et 23 étaient dépourvus de base légale. Fin 2011, vos rapporteurs recensaient 80 fichiers, dont 62 étaient effectivement utilisés. L’augmentation du nombre de fichiers utilisés par rapport à 2009 est principalement imputable à la découverte de fichiers qui existaient déjà à cette date, mais dont l’existence n’avait pas été portée à la connaissance de la mission d’information, malgré ses demandes. Parmi les fichiers actuellement utilisés, 28 n’ont fait l’objet ni d’une déclaration à la Cnil, ni d’un texte législatif ou réglementaire, soit 45 % des fichiers utilisés »21 ; comment ne pas s’interroger sur ce qui semble bien mesurer le résultat, à la fois, d’une stratégie de contournement22, du non-respect du droit et, à travers lui, des individus ?

  • 23 Directive 95/46/CE du Conseil du 24 octobre 1995. LOL281 du 23/11/1995, p.31.

25La proposition de nouveau règlement européen relatif à la protection des personnes physique à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données qui a vocation à remplacer la directive 95/46/CE, de 199523, peut être considérée également comme révélatrice de l’essai de restructuration de l’ordonnancement juridique au profit du secteur marchand aux dépens des individus et du rôle de l’État.

26En opérant, dans l’organisation de la mise en œuvre de la responsabilité, un retournement de la position respective de l’individu et du responsable des atteintes à la protection des données, il modifie le système de protection au seul profit de ceux qui constituent et exploitent les fichiers. En l’espèce, principalement Google, Facebook, YouTube ou autres entités susceptibles de devenir des brockers d’informations dont sont, aujourd’hui clients, les grands organismes de police américains (FBI, CIA etc..) et dont demain, dans un système européen ayant connu une évolution ultralibérale, pourraient être utilisateurs les services de l’État, voire même les organismes privés qui pourraient être chargés, par délégation ou externalisation, de l’administration et de la police.

  • 24 http://europa.eu/legislation_summaries/information_society/data_protection/l14012_fr.htm

27Alors que l’article 8 de la directive 95/ 46/CE24, comme l’article 8 de la loi du 6 janvier 1978 posent encore un principe d’interdiction de la collecte des données à caractère personnel, la proposition de 2012, non seulement supprime le principe, mais dispose clairement dans son article premier qu’il y est question d’établir « des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et des règles relatives à la circulation de ces données ». Non seulement le principe d’interdiction n’existe plus mais il s’agit d’organiser le traitement et la libre circulation de ces données. Le reste n’est plus qu’habillage d’une révolution dans laquelle le titulaire des données personnelles se verra certes reconnaître des droits à la protection de ses données personnelles, mais à condition de les faire valoir lui-même et sur la base de la seule responsabilité contractuelle.

28La lecture des articles 16, 17, 18, 19, 20, de la proposition commençant tous par « La personne concernée a le droit d’obtenir du responsable de », là où le règlement de 1995 disposait « les États membres interdisent », apporte une illustration de ce glissement de pouvoir des états aux marchands, de Zeus Pater à Hermès Agoraios. L’exposé des motifs de la proposition est à cet égard révélatrice lorsqu’il souligne que les opérateurs économiques :

  • 25 Cf. Pt. 4 et 5.

« qui réclament une plus grande sécurité juridique et une harmonisation plus poussée des règles en matière de protection des données à caractère personnel (et qu’)Ils considèrent que la complexité des règles relatives aux transferts internationaux de données à caractère personnel constitue un obstacle important à leur activité, puisqu’ils ont régulièrement besoin de transférer ce type de données de l’UE vers d’autres parties du monde »25.

29Sécurité pour qui ? À l’égard de quelle menace ? Et pour quelle finalité ?

30La proposition 2012/11, si elle est acceptée, assurera une plus grande sécurité juridique aux entreprises agissant sur le Net en mettant en place le mécanisme unique qui, sous prétexte aujourd’hui de « protection des données dès la conception », demain de « Privacy by Design », remettra dans les mains de l’usager la responsabilité de sa propre protection. Celui-ci aura le droit de voir protéger ses données personnelles à condition d’avoir su utiliser les procédés techniques mis à sa disposition par le responsable du traitement ou le fournisseur de produits électroniques.

31Sous réserve également que le traitement ne porte pas « sur des données à caractère personnel manifestement rendues publiques par la personne concernée ». Il suffira d’évoquer les usages de Facebook ou les évolutions de la politique de confidentialité de Google, pour comprendre que la relation entre les parties est inégale et que nous nous trouvons là devant une illustration du célèbre aphorisme de Lacordaire sur la liberté qui opprime et la loi qui affranchit. Le Parlement et le Conseil devraient s’en souvenir.

32Nous n’avons cité cette proposition qu’à titre d’illustration de ce que nous considérons comme une tentative, favorable au secteur marchand, formulée au niveau du Parlement européen, de redéfinir la relation indiv i d u -État-secteur marchand en réduisant la problématique de la protection des données à un face à face individu-secteur marchand dont l’État se contenterait de mettre en œuvre le rapport contractuel. Les données personnelles, sensibles, tendraient alors à se muer en simples données commerciales dont chaque individu devrait, à ses risques et périls, assurer la protection, et qui seraient accessibles contre rémunération à tous ceux qui en auraient les moyens : police, administrations, employeurs, banques, compagnies d’assurances, etc.

33Le surgissement de la crise des années 2010 en Occident a, semble-til, perturbé la perspective des lendemains qui chantent du modèle libéral et rendu une fraîcheur nouvelle à l’image de l’État régulateur et de son pouvoir régalien.

Le renversement des paramètres et l’affirmation du nécessaire retour de l’État

34Ainsi que l’a constaté Pierre Raoul-Duval :

  • 26 Cf. op. cit.

« Alors que de nombreuses voix s’étaient élevées contre les excès de l’État prônant la révision des fonctions régaliennes, la crise économique a mis en sourdine la revendication d’une externalisation massive de l’exercice des fonctions régaliennes. Dans le domaine juridique, cela s’est traduit par un coup d’arrêt au développement tous azimuts de la « soft law » au bénéfice d’un retour à la « régulation ». « Aujourd’hui, le noyau dur de l’État régalien semble redevenu immuable et étanche à toute mutation »26.

35Cette évolution a été consacrée à différents niveaux. Elle se manifeste, en France, dans la jurisprudence du Conseil constitutionnel. Par sa décision n° 2011-625 DC où le Conseil distingue entre les fonctions de base et les fonctions annexes. Dans le domaine qui nous intéresse, par sa décision n° 2012- 652 DC relative au « Fichier des honnêtes gens ». Une confirmation du retour de l’État apparaît également au plan communautaire, dans l’opposition manifestée au projet de nouveau règlement sur la protection des données. Enfin, l’évolution amorcée par l’administration Obama à l’égard de la protection des données semble bien conforter l’idée qu’il s’agit d’un phénomène général de rappel du rôle de l’État pour la protection des données personnelles et des libertés individuelles.

La décision du Conseil constitutionnel sur le « Fichier des honnêtes gens »

36Le fichier, que d’aucuns présentaient comme un méga fichier liberticide et d’autres comme la panacée dans la lutte contre les fraudes à l’identité, a été ramené à de plus justes proportions par la décision du 22 mars 2012. La censure assez large de la loi a été alors présentée comme un échec du ministre de l’Intérieur du moment.

37La haute juridiction a déclaré inconstitutionnels les articles 3, 5, 7, 10 dans leurs totalités, et une partie des articles 6 et 8 d’une loi qui en comprenait 12. S’en tenant à un raisonnement reposant sur les principes fondamentaux de la constitution (art. 34) de répartition des compétences entre le pouvoir législatif et le pouvoir exécutif, ainsi que sur l’article 2 de la Déclaration des droits de l’homme et du citoyen, elle a validé d’une certaine manière les soupçons de détournements de finalité, ou du principe de proportionnalité, liés à la perspective de mise en œuvre du projet.

38Le Conseil prit sa décision en :

« Considérant que, selon les requérants, la création d’un fichier d’identité biométrique portant sur la quasi-totalité de la population française et dont les caractéristiques rendent possible l’identification d’une personne à partir de ses empreintes digitales porte une atteinte inconstitutionnelle au droit au respect de la vie privée ; qu’en outre, en permettant que les données enregistrées dans ce fichier soient consultées à des fins de police administrative ou judiciaire, le législateur aurait omis d’adopter les garanties légales contre le risque d’arbitraire ;

« Considérant… qu’il appartient au législateur, dans le cadre de sa compétence, d’assurer la conciliation entre, d’une part, la sauvegarde de l’ordre public et la recherche des auteurs d’infractions, toutes deux nécessaires à la protection de principes et de droits de valeur constitutionnelle et, d’autre part, le respect des autres droits et libertés constitutionnellement protégés ; que la liberté proclamée par l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789 implique le droit au respect de la vie privée ; que, par suite, la collecte, l’enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif ;

  • 27 Cf. Le Monde, 24 mars 2012, p.10.

« Considérant, toutefois, que, compte tenu de son objet, ce traitement de données à caractère personnel est destiné à recueillir les données relatives à la quasi-totalité de la population de nationalité française ; que les données biométriques enregistrées dans ce fichier, notamment les empreintes digitales, étant par elles-mêmes susceptibles d’être rapprochées de traces physiques laissées involontairement par la personne ou collectées à son insu, sont particulièrement sensibles ; que les caractéristiques techniques de ce fichier définies par les dispositions contestées permettent son interrogation à d’autres fins que la vérification de l’identité d’une personne ; que les dispositions de la loi déférée autorisent la consultation ou l’interrogation de ce fichier non seulement aux fins de délivrance ou de renouvellement des titres d’identité et de voyage et de vérification de l’identité du possesseur d’un tel titre, mais également à d’autres fins de police administrative ou judiciaire ; les dispositions de l’article 5 portent au droit au respect de la vie privée une atteinte qui ne peut être regardée comme proportionnée au but poursuivi ; que, par suite, les articles 5 et 10 de la loi doivent être déclarés contraires à la Constitution ; qu’il en va de même, par voie de conséquence, du troisième alinéa de l’article 6, de l’article 7 et de la seconde phrase de l’article »27.

39C’est également sur la base de la violation de l’article 34 de la constitution que sera écarté l’article 3 de la proposition de loi, sur les dispositions facultatives relatives à la signature électronique : « considérant… que les dispositions de l’article 3 ne précisent ni la nature des « données » au moyen desquelles ces fonctions peuvent être mises en œuvre ni les garanties assurant l’intégrité et la confidentialité de ces données ; qu’elles ne définissent pas davantage les conditions dans lesquelles s’opère l’authentification des personnes mettant en œuvre ces fonctions, notamment lorsqu’elles sont mineures ou bénéficient d’une mesure de protection juridique ; que, par suite, le législateur a méconnu l’étendue de sa compétence ; qu’il en résulte que l’article 3 doit être déclaré contraire à la Constitution »28.

L’opposition au projet de règlement du Parlement européen sur la protection des données

40La philosophie et le fil conducteur du projet européen reposent sur le constat d’un fait dont les législateurs communautaires se sont proposés de tirer les conséquences : les données peuvent être de plus en plus accessibles ; elles ont une importance économique ; leur exploitation doit être désormais organisée. « La rapide évolution des technologies a créé de nouveaux enjeux pour la protection des données à caractère personnel. Le partage et la collecte de données ont connu une augmentation spectaculaire. Les nouvelles technologies permettent tant aux entreprises privées qu’aux pouvoirs publics d’utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités. De plus en plus de personnes physiques rendent des informations les concernant accessibles à tout un chacun, où qu’il se trouve dans le monde. Les nouvelles technologies ont ainsi transformé l’économie et les rapports sociaux ».

41Le problème n’est pas tant un problème de vie privée, de données personnelles à protéger, que de confiance des consommateurs dans un rapport d’intérêts réciproque sinon égalitaire : « L’instauration d’un climat de confiance dans l’environnement en ligne est essentielle au développement économique. S’ils n’ont pas totalement confiance, les consommateurs hésiteront à faire des achats en ligne et à recourir à de nouveaux services »29.

42L’utilisation par les tiers n’est plus en soit un acte d’exception, mais est présentée comme une utilisation de principe. Le secteur public et le secteur entrepreneurial, bons princes, voulant bien reconnaître que l’individu à des droits, prévoira une possibilité technique de pourvoir à la protection « quasi rétroactive » des données personnelles. C’est sur ce canevas qu’est construite la proposition que nous avons évoquée.

  • 30 Ibid

43Tout en approuvant l’objectif d’harmonisation du projet, le Sénat, en France30, a estimé qu’un certain nombre de garanties devaient être renforcées :

  • Prévoir l’effacement automatique des contenus indexés au bout d’un délai maximal.

  • Permettre à l’intéressé d’obtenir la désindexation de ceux qui portent préjudices.

  • Obtenir que sur demande de l’intéressé les données personnelles publiées par un tiers soient effacées.

  1. Le Sénat considère en outre que :

  • Sont inopportunes les dérogations pesant sur les responsables de traitement en matière de transferts internationaux de données.

  • Qu’il est paradoxal que le citoyen soit moins bien traité que le responsable du traitement.

44Il estime enfin : « que, s’agissant d’un domaine dans lequel l’atteinte portée aux droits fondamentaux d’une personne peut être considérable et compte tenu de l’inégalité de moyens entre le responsable de traitement et l’intéressé qui lui a confié ses données personnelles, l’harmonisation proposée ne doit s’effectuer que dans le sens d’une meilleure protection des personnes ; qu’elle ne saurait, pour cette raison, priver les États membres de la possibilité d’adopter des dispositions nationales plus protectrices ; »

  • 31 Résolution européenne n° 110 du Sénat adoptée le 6 mars 2012

45Pour ce qui est de la place de l’État, lui-même, dans le processus communautaire envisagé, deux affirmations faites par le Sénat nous semblent importantes. Lorsqu’il « conteste… le nombre d’actes délégués et d’actes d’exécution que la proposition attribue à la compétence de la Commission européenne, alors qu’un certain nombre pourrait relever soit des dispositions législatives européennes ou nationales… ». Lorsqu’il « s’oppose… au dispositif de ‘guichet unique’ proposé par la Commission européenne, en ce qu’il attribue les compétences pour instruire les requêtes des citoyens européens à l’autorité de contrôle du pays dans lequel le responsable du traitement en cause a son principal établissement »31.

46La Cnil, de son côté, a eu une réaction négative à l’égard du projet. Rentré dans sa phase de débat parlementaire au niveau communautaire, le projet ne devrait pas voir le jour avant 2014.

L’administration Obama et la protection des données

47Par un curieux retournement des perspectives, alors même que l’Union européenne semblait sur le point de céder aux approches ultralibérales d’un usage revendiqué, par le secteur marchand, des données personnelles et d’une dérégulation européenne, c’est des États-Unis que surgit la réaffirmation de la nécessité du retour de la loi et de ce que l’on peut qualifier de « Privacy by Law ». Ce retour à la loi apparaît comme une volonté de revenir sur un malentendu s’exerçant aux dépens des citoyens et des usagers, entretenu autour du concept de liberté du commerce et des mérites prétendus de la nécessaire abstention de l’État.

48D’une certaine manière, il nous semble en ce domaine en aller comme il en a été de la mode des concepts des partenariats publics privés, de l’externalisation. Paré un temps de toutes les vertus d’un monde ultralibéral, il a été suivi d’un phénomène de ré-internalisation et de l’évocation du nécessaire retour de l’État. Le fait, en outre, que cette évolution soit constatée aux États-Unis et qu’il fasse référence à des approches européennes (« Lignes directrices de l’OCDE » de 1980, Convention n° 108 du Conseil de l’Europe de 1981, Safe Harbour de 2001) n’est pas indifférent dans la mesure où elle permet de mesurer les effets des crises en chaînes déclenchées par les excès de la dérégulation ultralibérale et de ce qui peut être présenté comme la « robustesse » de l’ordonnancement juridique européen. À un autre niveau, on peut penser que cette évolution est susceptible de représenter un progrès non négligeable pour la protection future des données transférées de l’Europe vers les États-Unis.

  • 32 Id. p.4.

49La prise de conscience américaine des ambiguïtés pouvant résulter de la mise en avant d’une politique de « Privacy » dont la mise en œuvre serait biaisée ainsi que la nécessité d’un retour de l’affirmation d’une politique de « Privacy by Law », dont nous voyons un signe annonciateur dans les prises de positions de février 2012, nous semble révélatrices de l’entreprise de redressement actuellement envisagé32.

50Le fait de prendre conscience de l’existence de faille ou de vide juridique dans les systèmes normatifs existant, ainsi que la volonté affichée de les combler, est d’autant moins anodin qu’il s’inscrit dans une démarche que traduit, au même moment la « Proposition cadre pour la protection de la vie privée » de l’administration Obama, lorsque l’on y lit, par exemple : « Beaucoup de données personnelles utilisées sur le Net, cependant, ne relèvent pas d’une protection fédérale générale, dans la mesure où la plupart des règlements fédéraux sur la protection concernent des secteurs spécifiques tels que la santé, l’éducation, la communication, les services financiers, ou, dans le cas de la collecte en ligne des données, les enfants. L’Administration croit que boucher les trous dans le cadre existant donnera la possibilité d’apporter des réponses plus efficientes pour la protection de la vie privée dans un contexte où les individus ont accès aux technologies en réseau et dans lequel toute une série d’entreprises collectent et utilisent des données personnelles. L’administration encourage les réglementations qui tendent à conforter l’ordonnancement existant et à étendre les protections minimales aux secteurs que les normes fédérales existantes ne couvrent pas. »

51S’en suit une série d’affirmations, comme une sorte de rappel aux principes, qui font écho à ce que rappellera Jon Leibowitz, président de la FTC, en mars 2012, à l’occasion de la parution du rapport intitulé « Protecting Consumer Privacy in an Era of Rapid Change »33, selon lequel « l’autorégulation est insuffisante » dans un monde numérique.

  • 34 Qu’ elle se manifeste, entre autre à l’égard de Google nous paraît tout a fait éclairant et encoura (...)
  • 35 Protéger la vie privée du consommateur dans une ère de transformation rapide ».

52Le rapport soulignant notamment que si « dans le monde d’aujourd’hui, celui des smartphones, smart grids34, des voitures intelligentes, les entreprises collectent, engrangent et partagent plus d’informations sur les consommateurs que jamais auparavant. Bien que les entreprises utilisent ces informations pour innover et fournir de meilleurs produits et services au consommateur, elles ne devraient pas le faire aux dépens de la protection de la vie privée du consommateur ». Il souligne ensuite : « La Commission appelle les entreprises à agir dès maintenant et à adopter de meilleures pratiques pour protéger les données privées du consommateur. Ces bonnes pratiques impliquent de faire de la protection de la vie privée le paramètre par défaut pour les applications commerciales et de donner au consommateur un meilleur contrôle sur la collecte et l’utilisation de leurs données personnelles au moyen de choix simples et une meilleure transparence »35.

53Le propos s’inscrit dans le fil de la « Proposition cadre pour la protection de la vie privée » que la Maison blanche a présenté le 23 février 2012, dans laquelle après avoir appelé à la mise en place d’une « Charte des droits du consommateur », affirme : « L’administration presse le Congrès d’adopter une réglementation établissant une charte des droits du consommateur à la protection de la vie privée. Cette réglementation devra promouvoir la confiance dans l’économie numérique en établissant un ensemble de droits à la protection de la vie privée dans le domaine des activités commerciales qui ne font pas l’objet d’une réglementation fédérale spécifique ». Le modèle qui est évoqué est alors celui de la directive européenne 95/46/CE de 1995. Au moment où semblait l’emporter un ultralibéralisme triomphant, l’administration annonce son retour en même temps que celui de la loi.

54La Maison Blanche indique à cet égard, dans le même document que la Federal Trade Commission sera associée à cette entreprise. Cette même FTC qui enquête déjà sur Google à propos de l’espionnage des usagers du navigateur d’Apple. Par ailleurs, l’attitude de la justice américaine, à l’occasion de l’affaire MegaUpload, semble bien conforter le volontarisme manifesté par l’administration Obama ainsi que ce que l’on peut considérer comme un rapprochement des approches US et celles qui caractérisent la réglementation encore appliquée au sein de l’UE. La protection des données personnelles est de retour et l’individu n’est plus seul face à la firme.

55Nelson Azevedo Jobim, ministre de la Défense du Brésil, lors des Rencontres économiques d’Aix-en-Provence, expliquait qu’ « une des grandes erreurs des idéologies triomphalistes qui ont prospéré après la guerre froide a été de ne pas considérer la politique comme un processus historique ouvert et toujours passible de retour en arrière ». Dans le domaine de l’informatisation de l’État, de ses mutations, et de leurs conséquences dans le champ de la protection des données, de la multiplication des fichiers et de la protection des libertés, un certain discours a tendu à évoquer le cours incontournable d’un processus historique qui tout en favorisant les utilisateurs des données (administrations, police, secteur entrepreneurial, etc..) en dépossédait leurs titulaires. L’État, devant se réduire à sa plus simple expression, n’avait plus vocation qu’à organiser le culte de Friedrich Hayeck, et l’individu à évoluer du statut de citoyen à celui d’usager. Nous invitant à une approche peut-être plus optimiste, l’observation que nous avons menée montre que le processus historique reste ouvert, qu’il est également réversible, fut-ce au moment où l’on s’y attend le moins. Mais l’incertitude de ses évolutions, ainsi que le déclarait le ministre brésilien, doit appeler à la prudence, à la circonspection et à l’analyse clairvoyante.

Haut de page

Notes

1 Cf. La route de la servitude. www.contrepoints.org/2011/06/14/29914-hayek-et-la-route-de-la-servitude.

3 www.ussearch.com/consumer/index.jsp

5 www.lefigaro.fr/actualite-france/2012/02/15/01016-20120215ARTFIG00570-le-juteux-business-du-fichier-des-cartes-grises.php

6 Cf. Mireille Delmas-Marty, Libertés et sûreté dans un monde dangereux, Seuil, février 2010.

7 Cf.par exemple :www.01net.com/editorial/402844/garde-a-vue-pour-une-policiere-un-peu-trop-scotchee-aufichier-stic

8 Spielberg, 2002.

9 Par exemple www.acrimed.org/article2844.html

10 On pourra évoquer, ainsi que l’a rappelé Maya Bacache-Beauvallet, à l’occasion du séminaire du Cercle des économistes qui s’est tenu en 2011, la problématique de Bös (1991) s’interrogeant sur la question : « Pourquoi ne pourrait-on pas privatiser au moins la gestion des prisons, de la police, de l’éducation, des hôpitaux et pourquoi pas de la justice et de la défense ? »

11 Par ex : www.partagedeseaux.info/article163.html

12 http://www.usinenbouvelle.com/article/cloud-computing-la-reglementation-europeenne-doit-vite-evoluer-selon-le-cern.n177052

13 www.lecercledeseconomistes.asso.fr/spip.php?article572 « Le monde dans tous ses états ».

14 www.legifrance.gouv.fr/affichTexte.do ?dateTexte=&categorieLien=id&cidTexte=JORFTEXT000021491459

15 Cf. art11 et 14 de la loi n° 2011-267 du 14 mars 2011 (LOPPSI 2)  : www.legifrance.gouv.fr/affichTexte.do ?dateTexte=&categorieLien=id&cidTexte=JORFTEXT000021491459

16 Séminaire du Cercle des économistes, op. cit.

17 Par ex : construction et aménagement d’établissements pénitentiaires ; contrôleurs SNCF considérés comme des agents de police judiciaire adjoints ; domaine de l’intelligence économique dans la Loppsi2.

18 CC.Décisionn° 2011-625DC,pre.cons.66 : www.conseilconstitutionnel.fr/decision/2011/2011-625dc/decision-n-2011-625-dc-du-10-mars-2011.94924.html

19 Séminaire , cercle des économistes, 9 juillet 2011, op.cit.

20 Au demeurant réel et important. Cf.art 44 de la loi informatique et libertés : www.legifrance.gouv.fr/affichTexte.docidTexte=LEGITEXT000006068624&dateTexte=vig

21 www.assemblee-nationale.fr/13/rap-info/i4113.asp

22 On pourra évoquer à ce propos cette observation faitre par Mireille Delmas-Marty, dans Libertés et suretés dans un monde dangereux à propos de la tendance des états à contourner les institutions indépendantes : « S’agissant de la France, le « groupe de contrôle des fichiers de police et de gendarmerie », évoqué ci-dessus, a été créé par le ministère de l’Intérieur en 2006. Présidé par un criminologue (Alain Bauer), également propriétaire d’une société privée de conseil en sécurité, ce groupe permet de contourner les autorités administratives indépendantes chargées du contrôle (la Cnil, et la HALDE Haute autorité de lutte contre les discriminations et pour l’égalité).Leurs présidents, qui siègent comme de simples membres du groupe, en sont réduits à s’exprimer en annexe des rapports (sous une rubrique « Eclairages ») , alors même qu’ils témoignent de fortes réserves ». op. cit. p.69

23 Directive 95/46/CE du Conseil du 24 octobre 1995. LOL281 du 23/11/1995, p.31.

24 http://europa.eu/legislation_summaries/information_society/data_protection/l14012_fr.htm

25 Cf. Pt. 4 et 5.

26 Cf. op. cit.

27 Cf. Le Monde, 24 mars 2012, p.10.

28 www.conseil-constitutionnel.fr/decision/2012/2012-652-dc/decision-n-2012-652-dc-du-22-mars-2012.10 5165.html

29 www.conseil-constitutionnel.fr/decision/2012/2012-652-dc/decision-n-2012-652-dc-du-22-mars-2012.10 5165.html

30 Ibid

31 Résolution européenne n° 110 du Sénat adoptée le 6 mars 2012

32 Id. p.4.

33 www.cnil.fr/la-cnil/actualite/article/article/projet-de-reglement-europeen-la-defense-de-la-vie-privee-seloigne-du-citoyen-1

34 Qu’ elle se manifeste, entre autre à l’égard de Google nous paraît tout a fait éclairant et encourageant pour ce qu’ont été jusqu’à ce jour les prises de positions européennes. Il n’est pas indifférent que la National Association of Attorneys General (NAAG), après avoir constaté que « Google’s new privacy policy is troubling for a number of reasons. On a fundamental level, the policy appears to invade consumer privacy by automatically sharing personal information consumers imput into one Google product with all Google products…This invasion of privacy will be costly for many users to escape…Unfortunatly, Google has not only failed to provide an « opt-in » option but has failed to provide meaningful « op-out » option as well » , ait réclamé de rencontrer Google dans les plus brefs délais pour travailler à une solution qui assure la meilleure protection de la vie privée des usagers de Google. On observera à cet égard la convergence de ces observations avec celles faites en France par la CNIL. Restera à savoir si Google répondra à la NAAG avec les mêmes arguments que ceux qu’elle a opposé à la CNIL. www.naag.org/attorneys-general-express-concerns-over-googles-privacy-policy-attorneys-general-expresscon-cerns-over-googles-privacy-policy.php

35 Protéger la vie privée du consommateur dans une ère de transformation rapide ».

Haut de page

Pour citer cet article

Référence papier

Jean-Jacques Lavenue, « Interconnexion des fichiers : de la réduction du champ de la protection des libertés au retour de l’État protecteur », Terminal, 112 | 2013, 125-140.

Référence électronique

Jean-Jacques Lavenue, « Interconnexion des fichiers : de la réduction du champ de la protection des libertés au retour de l’État protecteur », Terminal [En ligne], 112 | 2013, mis en ligne le 15 novembre 2014, consulté le 20 juillet 2017. URL : http://terminal.revues.org/587 ; DOI : 10.4000/terminal.587

Haut de page

Auteur

Jean-Jacques Lavenue

Professeur CERAPS : umr CNRS 8026Université de Lille Nord de France. http://droit.univ-lille2.fr/index.php?id=230

Articles du même auteur

Haut de page

Droits d’auteur

tous droits réservés

Haut de page
  • Logo Télécom École de Management
  • Logo CREIS terminal
  • Revues.org