Affichage des articles dont le libellé est CEPD. Afficher tous les articles
Affichage des articles dont le libellé est CEPD. Afficher tous les articles

mercredi 15 décembre 2010

Palpations et body scanners, des USA à LOPPSI

La controverse sur les scanners corporels (body scanners ou scanners à ondes millimétriques), rebondit outre-atlantique alors même qu'elle semble s'assoupir en France, à tel point qu'un boycott (National Opt-Out Day) a été organisé pour la fête Thanksgiving de novembre 2010 (sans grand succès, il faut bien le dire). Pourtant, ces machines, à l'efficacité contestée et à l'innocuité non avérée, sont en passe d'être généralisées en France dans le cadre du projet de loi LOPPSI 2.

Notre texte se tourne vers les aéroports des Etats-Unis: nous n'évoquerons LOPPSI qu'après nous être livré à un exercice d'analyse du raisonnement Alito, du nom de l'actuel juge à la Cour suprême, statuant à propos des méthodes de contrôle dans les aéroports et de l'interdiction constitutionnelle des fouilles arbitraires.

Les nouvelles règles de « palpation de sécurité » : sécurité ou indécence?

La polémique a enflé suite aux nouvelles règles de la Transportation Security Administration (TSA), chargé de la sécurité aérienne, concernant les « palpations de sécurité »: désormais, si un passager refuse de passer sous le scanner corporel, ou si ce dernier montre quelque chose d'inhabituel, une palpation serrée de la personne est effectuée. De même, LOPPSI 2 prévoit qu' « en cas de refus, la personne est soumise à un autre dispositif de contrôle ».

Cette palpation porte sur les mêmes parties corporelles qu'auparavant, ce qui inclut la poitrine et les parties génitales, mais s'effectue en appuyant davantage sur le corps – ce qui a conduit des voyageurs indignés à accuser les autorités de les « peloter », thème sensible dans ce pays puritain où l'explosion des accusations pour harcèlement a conduit à une prudence accrue à l'égard des contacts corporels.

Cette nouvelle procédure de palpation inflige un démenti cinglant à ceux qui prétendaient que ces machines allaient précisément permettre de se passer des fouilles corporelles. Alors que ces scanners s'intègrent au paysage aéroportuaire (les Etats-Unis ont déjà mis en place 385 scanners dans 86 aéroports), l'analyse d'un arrêt de la Cour d'appel du 3e circuit de 2006, signé par le juge Samuel Alito, désormais à la Cour suprême, permet d'éclairer le lien intrinsèque entre ces procédures machiniques de screening (contrôle, détection et filtrage i), les « palpations de sécurité » et autres fouilles corporelles.

Le principe de « moindre intrusion »

Dans un avis d'avril 2010 concernant les scanners corporels, le Contrôleur européen à la protection des données (CEPD) soulignait l'importance du « principe de moindre intrusion », version spécifique du principe de proportionnalité: de tels dispositifs intrusifs doivent en effet être justifiés d'une part par leur efficacité, d'autre part par le fait qu'aucun dispositif moins intrusif et d'efficacité comparable n'existe. En bref, il s'agit de procéder à une analyse utilitariste, mettant en balance les bénéfices espérés en termes de sécurité avec le coût escompté en termes d'amoindrissement de la protection à la vie privée.

Ce principe de proportionnalité existe aussi aux Etats-Unis, où les procédures de screening sont assimilées à des fouilles au sens du IVe amendement de la Constitution, lequel interdit en principe les fouilles arbitraires en assujettissant d'ordinaire toute fouille, écoute téléphonique ou perquisition à un mandat.

La justice fédérale a cependant depuis longtemps admis la doctrine des fouilles administratives (administrative search doctrine), laquelle permet de se passer d'un tel mandat, ainsi que du consentement de la personne, dans certaines circonstances. Celles-ci incluent notamment la sécurité aérienne, mais aussi les contrôles routiers visant à détecter les automobilistes en état d'ivresseii, ou les contrôles douaniers opérés « au hasard », à 100 miles de la frontière, afin de repérer les sans-papiersiii; l'équivalent français de cette disposition, à savoir les contrôles d'identité dans la « bande des 20 km Schengen », a été récemment censuré par la Cour de justice de l'Union européenne.

Il est remarquable, cependant, qu'alors qu'une justification mise en avant pour prôner la mise en place des scanners corporels consiste à dire qu'ils permettraient de se passer de fouille corporelle, la jurisprudence américaine montre qu'au contraire, ces différentes techniques sont complémentaires.

L'arrêt de 2006, United States vs. Hartwell

En 2006, justifiant une fouille corporelle menée sur un voyageur aérien, le juge Samuel Alito, siégeant alors à la Cour d'appel du 3e circuit, notait précisément que la fouille n'avait eu lieu qu'après que le voyageur ait fait sonné un détecteur de métal, attirant l'attention sur lui. Les mesures de fouille, écrit la Cour, étaient « bien ajustées pour protéger la vie privée, leur caractère invasif n'augmentant qu'après qu'un niveau inférieur de screening ait dévoilé une raison de mener une fouille plus étendue »iv.

Ayant été soumis au détecteur à métalv et ses bagages passés au rayon-X, le voyageur avait ensuite été soumis à un nouveau test de détection métal par baguette, puis à une fouille corporelle, à l'issue de laquelle les autorités avaient trouvé des stupéfiants dans sa poche.

La logique est limpide: la Cour justifie des mesures de détection générales et non-discriminatoires, tels que les rayons-X ou les détecteurs à métaux, afin de sécuriser des « zones à risque » comme les aéroports. Cela permet alors aux douaniers de détecter des « voyageurs à risque » et de les soumettre à des procédures de fouille corporelle, jugées plus invasives et requérant donc qu'elles soient motivées par un soupçon raisonnable (ou, comme le dit le Code de procédure pénale pour encadrer les contrôles d'identité, qu'il y ait « une ou plusieurs raisons plausibles de soupçonner » que la personne visée s'apprête à commettre un crime ou un délit).

Il en résulte de façon tout aussi claire que ces machines ne servent pas à remplacer les fouilles corporelles, mais au contraire à les légitimer au niveau juridique, en focalisant l'attention sur certains voyageurs, et à les rendre plus efficace et économique sur le plan pratique: croit-on qu'on accepterait de passer 8 heures à l'embarquement afin que tous soient intégralement palpés ? A côté de ça, les prétendus projets d'Insurrection qui vient de la bande à Julien Coupat relèveraient du bac à sable...

Il est fascinant de remarquer qu'alors même que la Cour justifie la fouille corporelle en la situant dans un continuum gradué de fouilles plus ou moins intrusives, initié par le passage sous le portique du détecteur à métal, et qui conduit à créer des motifs de suspicion à l'égard d'un passager lorsque celui-ci « rate » l'un des « tests » (fait sonner la machine), elle prétend que la procédure de fouille menée n'était pas motivée par un « soupçon individualisé ». Pour réussir à tenir ce raisonnement paradoxal, elle s'appuie sur un artifice juridique bien commode, par lequel elle tient l'ensemble de la procédure de screening, du passage sous le portique à la fouille corporelle, pour un seul et même acte de fouille, au sens du IVe amendement, et non plusieurs actes de fouilles, comme ils le sont de facto.

Simple subtilité juridique? Au contraire, il semble bien que l'enjeu de cette fiction consistant à adopter un point de vue « holiste » sur la procédure de contrôle soit de pouvoir légitimer celle-ci quant à sa constitutionnalité. Car s'il eût fallu examiner la constitutionnalité de chaque acte de fouille au regard du IVe amendement, mécaniquement l'argument du caractère justifié, parce que progressif, de l'intrusion, se serait dissous comme par magie. Ce subtil raisonnement vise en fait, assez explicitement du reste, à faire entrer le voyageur dans un engrenage de contrôle : ayant d'abord choisi de prendre l'avion, le voyageur accepte de se soumettre au portique métallique et, par suite, si d'aventure il faisait sonner celui-ci, à une fouille corporelle. Considérer ces opérations de façon isolée aurait ouvert la porte à l'argument selon lequel un voyageur peut accepter de se soumettre au détecteur à métal en prenant l'avion, mais pas de se faire fouiller manu militari.

Screening généralisé ou profiling discriminatoire ?

Rappelant un arrêt de 1973vi, soit en pleine lutte pour les droits civiques, laquelle a inclus une dimension violente, accompagnée d'attentatsvii, qu'on tend à négliger aujourd'hui, la Cour justifiait aussi les mesures de screening à l'aéroport par l'absence de stigmatisation qu'elles induiraient, de par leur caractère généralisé (personne n'est ciblé a priori). Le dilemme n'a rien perdu de son acuité: un éditorial du New York Times s'attaquait récemment aux républicains critiquant le caractère intrusif des scanners corporels et des palpations « de sécurité » en affirmant que ce qu'ils voulaient, c'était mettre en place un profilage des « voyageurs à risque », basé sur des caractéristiques ethniques.

Screening public ou fouille dans une rue déserte?

Enfin, toujours en se fondant sur cet arrêt de 1973, la Cour justifiait le screening par son caractère public, ce qui permet au public lui-même de surveiller les surveillants et de s'assurer du respect de la personne, à l'inverse des fouilles corporelles menées dans des « rues désertes et obscures » par un policier. Ou comment la « surveillance par en bas » permet de justifier la « surveillance par en haut ».

Un raisonnement que devrait méditer ceux qui prétendent, à la suite, par exemple, de l'affaire Wikileaks, ou de l'affaire des licenciements Facebook, qu'on serait désormais dans une « société de transparence » où tout un chacun aurait la possibilité d'observer autrui, induisant une surveillance généralisée et réciproque. Le caractère symétrique de cette surveillance est illusoire: jusqu'à preuve du contraire, ce sont bien les agents de l'Etat qui observent nos corps lorsqu'on passe à travers un scanner corporel, et malgré tout le voyeurisme impliqué par les dispositifs de vidéosurveillance des « gated communities », ceux-ci demeurent toujours l'apanage des firmes de sécurité et de la police qui s'en servent à des fins diverses, complexes et parfois contradictoires.

Une logique en boucle pour justifier l'affaiblissement de la vie privée

On admirera la rhétorique déployée par le juge Alito, qui, s'appuyant sur la jurisprudence antérieure, réussit tout à la fois à justifier le screening généralisé des passagers par son caractère non-discriminant et public, et la fouille corporelle, éventuellement menée dans une arrière-salle « déserte et obscure », par le fait qu'en acceptant de prendre l'avion et de se soumettre à un contrôle public, on accepte implicitement de se soumettre à un contrôle invasif et ciblé mené à l'écart du public. Ou encore: c'est en montrant que le portique de détection de métal n'est pas aussi invasif qu'une fouille corporelle, et que le voyageur consent à un tel test « pour sa sécurité » et celle des autres en montant à bord d'un avion, que la Cour arrive ensuite à « démontrer » que le voyageur consent alors nécessairement à une fouille corporelle s'il venait à échouer à ce « test ».

L'effet final de la démonstration est évident: lorsqu'on prend l'avion, on accepte de restreindre la protection accordée à son intimité et à sa vie privée, ce que les juristes s'efforcent tout à la fois de démontrer et de justifier.

Du portique-détecteur à métal au scanner corporel, et des Etats-Unis à LOPPSI

L'arrêt U.S. vs. Hartwell de 2006 est important non seulement pour son raisonnement, mais aussi pour son auteur: nommé à la Cour suprême par George W. Bush, Samuel Alito est désormais l'un des neuf juges de la Cour suprême, à même d'imprimer sa marque sur l'interprétation de la Constitution.  Or, la Cour ne s'est pas encore prononcée sur les méthodes de screening utilisés dans les aéroports: l'arrêt de la Cour d'appel permet donc de spéculer sur  la position qu'elle adopterait. Néanmoins, si le raisonnement semble pouvoir s'appliquer, par analogie et sans trop de distorsion, aux scanners corporels, qui sont, tout comme les portiques-détecteurs de métaux ou les machines à rayon X, des procédures de screening généralisé, une différence majeure sépare les portiques des scanners.

Ceux-ci, en effet, ne se contentent pas de détecter des objets qu'on porte, mais essaient de les détecter en nous mettant « à nu ». Dès lors, s'appuyer sur le caractère graduellement invasif de la procédure de contrôle devient plus ardu: en quoi être dénudé par une machine serait-il moins intrusif qu'être indiscrètement palpé et fouillé par des mains baladeuses?

Si on part de ce principe de « moindre intrusion », la question se porte donc sur la nature des images produites par ces scanners. Le professeur de droit Jeffrey Rosen comparait ainsi, dans le Washington Post, les scanners utilisés aux Etats-Unis, dit backscatter, avec ceux utilisés en Europe (notamment la technologie ProVision ATD, utilisée aux Pays-Bas). Ceux-ci produiraient en effet des images plus schématiques, voire « floutées » lorsqu'il s'agit des parties génitales, tandis que les backscatters produiraient des images plus réalistes. Vu la généralisation des backscatters, qui ont été adaptés, aux Etats-Unis, à des vans, afin de pouvoir les utiliser dans l'espace public en général, il y a de forte chance que la justice américaine ait à trancher la question.

Mais celle-ci se pose aussi en Europe, car on ne peut se contenter de l'optimisme des autorités de protection des données personnelles pour croire en la fiabilité des dispositifs « floutant » ces images ou les effaçant. En août 2010, alors que les autorités américaines avaient constamment niées que les images puissent être stockées, le U.S. Marshalls Service a finalement admis que plus de 35 000 images issues des scanners du tribunal d'Orlando (Floride) avaient été enregistrées.

De telles bourdes conduisent d'abord à augmenter la méfiance à l'égard des déclarations des autorités, fussent-elles « indépendantes » et visant à protéger la vie privée, mais aussi à affaiblir le raisonnement du caractère proportionné et graduellement intrusif de ces mesures de contrôle. Mesures dont, comme se le plaît à rappeler le CEPD ou l'expert en sécurité Bruce Schneier, on n'a toujours pas démontré ni l'efficacité, ni l'innocuité. A ce titre, le fait qu'Israël considère ces scanners comme inutiles est assez symptomatique.

On déplorera donc que non seulement le projet de loi LOPPSI 2, en passe d'être promulgué, ait prévu de pérenniser et de généraliser l'expérimentation menée à l'aéroport Roissy-Charles-de-Gaulle, sans qu'aucune étude scientifique n'ait conclu à l'efficacité réelle de ces scanners, mais aussi qu'il se contente d'énoncer, à l'art. 18 bis, qu' « aucun stockage ou enregistrement des images n'est autorisé », sans prévoir un contrôle régulier de la CNIL.




i Ce terme implique toutes les procédures type machines à rayon X, scanners corporels, mais aussi inspection des bagages, des passeports, etc.

ii Michigan Dept. of State Police v. Sitz, 496 U.S. 444, 1990.

iii United States v. Martinez-Fuerte, 428 U.S. 543, 546–47, 1976

iv They were well-tailored to protect personal privacy, escalating in invasiveness only after a lower level of screening disclosed a reason to conduct a more probing search

vL'usage des détecteurs à métaux dans les aéroports a été entériné par la justice fédérale en 1972: United States v. Slocum, 464, F.2d 1180, 1182, 3d Cir. 1972.

vi United States v. Skipwith, 482 F.2d 1272, 1275 (5th Cir. 1973)

vii L'historien du Weatherman Underground, Dan Berger, écrit ainsi qu'« on dénombra 41 attentats à la bombe sur les campus universitaires à l'automne 1968, soit presque le double de ceux que le Weather Underground allait commettre au cours de ses sept années d'existence » (Dan Berger, Weather Underground. Histoire explosive du plus célèbre groupe radical américain, éd. L'Echappée, 2010, chap. V, p.186). De leur côté, Bill Ayers et Bernardine Dohrn, ex-dirigeants du Weatherman, déclaraient en 2010:

> « Selon le FBI, du début 1969 à la mi-avril 1970, il y eut 40 934 attentats, tentatives d'attentats et menaces d'attentats à la bombe. Sur ce total, 975 étaient des attentats à l'explosif, par contraste avec des attaques incendiaires, ce qui signifie qu'en moyenne, deux bombes planifiées, construites et placées ont explosées chaque jour pendant plus d'un an.

(...) chaque semaine que la guerre se traînait, 6 000 personnes de plus étaient assassinées en Asie du Sud-Est. La guerre était perdue, mais la terreur continuait (...) Le Weather Underground mena une série d'attaques illégales et symboliques sur les biens, environ 20 dans son existence entière, et personne ne fut tué ou blessé; l'objectif n'était pas de terroriser les gens, mais de hurler le message que le gouvernement américain et ses militaires étaient en train de commettre des actes terroristes en notre nom, et que le peuple américain ne devrait jamais tolérer cela. »
(Bill Ayers et Bernardine Dohrn, « March 6, 1970/2010…a day to remember », 2 mars 2010)


Creative Commons License Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.


Sur Vos Papiers!:

Licenciement Facebook : un mur murmure-t-il ?, 23 novembre 2010

Minority Report à la Maison Blanche: le profilage des voyageurs aériens, 9 avril 2010

Scanner corporel, ou la transparence des corps, 22 février 2010 

Textes officiels:

Projet de loi LOPPSI II, tel qu'adopté par la Commission des lois, mis en ligne le 30 septembre 2010  

Resolution on the use of body scanners for airport security purposes adopted by the European Privacy and Data Protection Commissioners’ Conference, 29 – 30 April 2010, Prague

CNIL, Body scanner : quel encadrement en France et en Europe ?, 8 juin 2010 (pourtant l'instant ici, mais la CNIL a la fâcheuse tendance à modifier l'URL de ses communiqués: aurait-elle peur que Google la rende trop célèbre?)

G29, avis sur les scanners corporels du 11 février 2009

Cour d'appel du 3e circuit, United States vs. Hartwell (n°04-3841), 31 janvier 2006 (résumé du 13 février 2006 sur Lawyers' Weekly)


Autres (en français):


Agathe Heintz, Bronca contre le scanner corporel, L'Express, 24 novembre 2010


Serge Slama et Nicolas Hervieu, QPC: la Cour de Luxembourg allume le calumet de la paix et explose les contrôles de la bande “Schengen” (CJUE, 22 juin 2010, A. Melki et S. Abdeli), Combat pour les droits de l'homme, 23 juin 2010 

En anglais: 

Jeffrey Rosen, The TSA is invasive, annoying - and unconstitutional, Washington Post, 28 novembre 2010

Bruce Schneier, A Waste of Money and Time, New York Times, 23 novembre 2010

Rafi Sela, Israel Doesn't Use Scanners, New York Times, 23 novembre 2010

Editorial, Politicizing Airport Security, New York Times, 23 novembre 2010

Derek Kravitz, Airport 'pat-downs' cause growing passenger backlash, Washington Post, 13 novembre 2010

Ashley Halsey III, Instead of a TSA airport search, he'll take the train, Washington Post, 18 novembre 2010 

ACLU, Full Body Scanners: From Airports to the Streets?, 25 août 2010

ACLU, Senators Push Back on Storing Naked Security Images, 24 août 2010

lundi 22 mars 2010

Indépendance des autorités de protection des données: l'Allemagne condamnée

La Cour de justice européenne (CJE) a condamné l'Allemagne, le 9 mars 2010, affirmant que ses autorités administratives indépendantes (AAI), chargées de la protection des données personnelles, manquaient... d'indépendance.

Résumé

Le litige, opposant la Commission européenne à l'Allemagne, porte principalement sur l'interprétation du sens de "l'indépendance complète" évoquée par la directive 95/46/CE sur la protection des données personnelles. L'argumentation des parties et de la Cour a soulevé deux problèmes principaux: d'abord, celui de l'intérêt des gouvernements à favoriser la constitution de bases de données à des fins commerciales, dans la mesure où celles-ci peuvent ensuite être utilisées par le fisc, la police et la justice. Selon la CJE, la distinction, établie en droit allemand, entre les autorités chargées de la protection des données dans le secteur privé, et assujetties à l'immixtion des politiques dans leur activité, et l'AAI fédérale qui contrôle le respect du droit à la vie privée lorsqu'il s'agit de fichiers publics, ne se justifie donc pas.

Ensuite, l'Allemagne a plaidé le caractère anti-démocratique d'AAI qui seraient exemptées du contrôle parlementaire alors qu'elles prennent des décisions engageant le droit des citoyens, selon une argumentation rappelant le débat opposant partisans du contrôle de constitutionnalité et adversaires du "pouvoir des juges". On relèvera aussi, au passage: que la Cour semble entériner une conception républicaine de la liberté, en tant que non-domination, contre la conception libérale classique de la liberté comme non-interférence; que la protection des données personnelles est la condition d'un marché commun de ces données, et relève donc bien de la compétence communautaire: exit la "marge nationale d'appréciation".

Un manque d'indépendance des autorités locales chargées de la protection des données

Le litige portait sur les AAI des Länders, et non sur l'autorité fédérale de protection des données personnelles. En effet, le droit allemand confère au Commissaire fédéral à la protection des données et au droit à l'information le soin de contrôler les traitements de données mis en œuvre par des organismes publics. En revanche, tout ce qui relève du privé (à  l'exception des services de communication et des postes) relève de la législation des Länders: tantôt, c'est le gouvernement local qui est chargé du respect de la directive 95/46/CE sur la protection des données dans le secteur privé; tantôt, ce sont des organismes spécifiques. Mais dans tous  les cas, indique la CJE dans cette affaire, ces organismes dépendent du gouvernement local, et ne peuvent donc être considérées comme de réelles autorités indépendantes.

La Cour relève en effet que le contrôle des Länders sur ces divers organismes leur permet d'influencer voire d'annuler leurs décisions (§32). Or, ce contrôle étatique peut être influencé par des motifs politiques: d'une part, même s'il s'agit de décisions concernant le secteur privé, le gouvernement peut y être intéressé, puisqu'il peut être impliqué dans le cadre de partenariats public-privé ou de contrats publics avec le secteur privé, ou encore (surtout?) qu'il peut y être intéressé dans la mesure où il peut exiger d'avoir accès à ces bases de données à des fins fiscales ou policières et judiciaires. Enfin, le Länder peut aussi avoir un intérêt économique dans la constitution de ces bases, si elles sont le fait d'entreprises importantes (§35).

L'indépendance des autorités de protection des données (APD) est donc, dans cette mesure, souhaitable. Toute la question étant cependant de savoir ce qu'il faut par "indépendance": contrairement à ce qu'avançait le Contrôleur européen de la protection des données (CEPD), l'avocat général considère, dans ses conclusions, qu'on ne saurait concevoir l'indépendance des AAI de façon analogue à celle du pouvoir judiciaire. En effet, les autorités de protection des données sont administratives tout autant qu'indépendantes: elles relèvent donc de la branche exécutive. La question est donc, selon lui, d'examiner la portée de l'indépendance qu'elles doivent pouvoir bénéficier au sein du "contexte de l'exécutif" (§14 opinion).

Interférence effective et potentielle : la CJE républicaine?
De surcroît, même en l'absence d'interférence effective de la part du gouvernement dans la prise de décision concernant la mise en œuvre de ces fichiers, le seul "risque", ou encore la simple possibilité d'une telle "influence politique" suffit à mettre en cause l'indépendance de ces organismes (§36). Une telle précision est remarquable en ce qu'elle avalise, implicitement, la définition de la domination proposée par le philosophe Philip Pettit. En effet, contrairement à la définition classique, proposée par le libéralisme, de la liberté comme non-interférence, la définition républicaine suggérée par Pettit prévoit explicitement qu'
"il n'est pas nécessaire qu'une personne disposant d'un pouvoir de domination sur une autre - quel que soit le degré de cette domination - en use effectivement pour interférer, pour de bons ou de mauvais motifs, dans les décisions de l'individu dominé; il n'est même pas nécessaire que la personne jouissant d'un tel pouvoir soit le moins du monde encline à interférer de la sorte. Le fait que le détenteur du pouvoir ait, dans une quelconque mesure, la capacité d'interférer arbitrairement est constitutif de la domination, quand bien même il n'en fait pas usage."
Philip Pettit, Républicanisme. Une théorie de la liberté et du gouvernement (Gallimard, 2004), p.91
De l'autonomie des Etats au sein de l'UE et de la légitimité démocratique des autorités administratives

A cette argumentation, élaborée en partie par le Contrôleur européen de la protection des données (CEPD) cité par la Cour, l'Allemagne oppose deux arguments principaux, qui méritent d'être médités. La première concerne la légitimité de l'intervention de l'UE dans cette question; la deuxième concerne la légitimité démocratique des AAI, qui prennent des décisions importantes alors qu'elles ne sont pas élues et seraient donc, selon le gouvernement allemand, soustraites au contrôle souverain du peuple.

Les données personnelles, une marchandise (presque) comme les autres...

L'Allemagne conteste en effet, en premier lieu, l'autorité de la Cour et de la Commission européenne, qui a décidé de porter le litige devant la CJUE, en matière de protection des données. L'argument, faible au niveau juridique, est sans surprise écarté, mais il rappelle à quel titre l'UE s'investit dans la question du droit à la vie privée lorsqu'il s'agit de données personnelles. En vertu du principe de subsidiarité et de proportionnalité, lequel permet de départager, de manière certes floue et fluctuante, les compétences des organismes communautaires et les compétences nationales, l'Allemagne s'indigne de ce que la Commission et la CJE mettent leur nez dans son système juridique de protection des données, établi depuis une trentaine d'années et qui aurait été considéré comme modèle à l'étranger (§52-54).

La CJE écarte évidemment cette tentative de préserver une "marge nationale d'appréciation": la protection des données personnelles a été instituée par la directive 95/46/CE non pas tellement, comme on pourrait s'y attendre, "pour le bien du citoyen", mais plutôt pour empêcher toute entrave à la constitution d'un marché commun des données personnelles. La directive est en effet claire à ce sujet: toute variation dans la législation des Etats-membres sur la protection des données personnelles ouvrirait la porte aux  contestations des citoyens qui refuseraient de voir leurs données personnelles transmises à une entreprise résidant dans un autre Etat, et, le cas échéant, sujette à une protection moindre que celle accordée au citoyen par son Etat. Dès lors, pour favoriser le commerce des données, il faut obtenir une harmonisation de la législation.

L'indépendance des autorités administratives est-elle démocratique?

Le deuxième argument invoqué par l'Allemagne rappelle le débat entre ceux, aujourd'hui prédominants, qui sont en faveur de l'extension tous azimuts du contrôle de constitutionnalité, et ceux qui affirment, au contraire, qu'il s'agit là d'un "pouvoir des juges", donc de personnalités non élues, sur l'élaboration des lois, lesquelles relèvent, comme chacun sait depuis Rousseau, de cette formidable "souveraineté populaire" (cf., pour un aperçu de ce débat, La Vie des idées).

L'Allemagne affirme ainsi, allant à l'encontre de cette tendance à multiplier les AAI, que celles-ci, dans la mesure où elles prennent des décisions concernant les droits des citoyens (ici, le droit à la vie privée), devraient être soumises à un contrôle politique, les gouvernements étant responsables devant les parlements des Länders, et donc, in fine, devant "le peuple". Soustraire ces AAI au contrôle politique serait ainsi... anti-démocratique. 

Politiquement, l'argument semble un peu faible: comme l'a rappelé le CEPD, refuser l'indépendance politique des autorités administratives, c'est aussi amoindrir, sinon le niveau de protection des données, du moins les possibles refus à l'égard de la constitution de bases de données privées, dans la mesure où la police, la justice et le fisc ont tout intérêt à que de telles bases soient constituées, puisqu'elles y ont presque toujours accès. En bref, la distinction privé/public s'effondre ici, dans la mesure où des fichiers institués à des finalités commerciales sont utilisées par l'Etat à des finalités policières et judiciaires. Les critiques de la CNIL (Commission nationale informatique et libertés) n'auront cependant pas de mal à ironiser sur ce "haut niveau de protection des données" "garanti" par ces AAI, surtout lorsqu'elles sont présidées par un Alex Türk, sénateur UMP qui s'est lui-même efforcé, au Sénat, d'amoindrir l'étendue du contrôle de la CNIL concernant les fichiers de police...

Juridiquement, la CJE écarte sans peine cet argument. L'"influence parlementaire", déclare-t-elle, s'exerce en effet sur les AAI dans le pouvoir de nomination, accordé au parlement ou au gouvernement, sur les membres des autorités de protection de données. De plus, "le Parlement définit le pouvoir de ces autorités" (§44), et peut aussi exiger qu'il rende compte de ses activités par le biais de rapports annuels (§45). Dès lors, ces autorités sont bien "démocratiquement légitimes" (§46).

Fin de l'histoire?

Le cadre juridique allemand, qui croyait pouvoir s'exempter, en matière de protection des données personnelles dans le secteur privé, du contrôle exercé via des autorités administratives indépendantes (AAI), est donc, sans ambages, condamné par la Cour européenne, qui n'a pas suivi, à juste titre peut-on avancer, les conclusions de l'avocat général. Le Contrôleur européen de protection des données (CEPD), lui-même une AAI, se félicite, on s'en doute, de cette décision. L'"indépendance complète", évoquée par la directive 95/46/CE sur la protection des données, implique en effet, selon la Cour, que les AAI soient à l'abri de toute influence "externe", directe ou indirecte, entérinant ainsi le fait que la simple possibilité d'une interférence constitue, en soi, un pouvoir de domination inadmissible. Afin d'éviter que les gouvernements soient partie prenantes à des décisions qui les intéressent, y compris dans le secteur privé, il convient de garantir l'indépendance effective des autorités de protection des données.

Mais la Cour n'a pas fait que renforcer, ici, la tendance à la constitution des AAI. Elle a aussi réaffirmé la prépondérance des organismes et du droit communautaire sur la législation nationale: dans la mesure où la protection des données sert d'abord et avant tout à permettre l'élaboration d'un marché libéral des données personnelles, elle relève de la compétence communautaire. Exit la "marge nationale d'appréciation". Rien de bien nouveau, mais un nouveau motif d'inquiétude pour les "souverainistes", de gauche ou de droite, qui déplorent la constitution d'un cadre normatif européen fait dans des conditions contestables du point de vue... démocratique! Nul besoin, cependant, d'être "souverainiste" pour s'inquiéter de la constitution d'une Europe fédérale sur des fondements démocratiques aussi fragiles. Le fait qu'en l'espèce, la décision de la Cour est plutôt favorable à la protection des données personnelles, nonobstant toute ironie concernant le rôle de la CNIL, de même d'ailleurs que l'initiative de la Commission, si décriée mais qu'on peut ici approuver, ne retire rien au problème du "déficit démocratique" de l'Europe.

Enfin, la Cour a tranché sur ce qui constitue la "légitimité démocratique" des AAI: dans la mesure où leurs membres sont nommés par le parlement ou le gouvernement, politiquement responsable, et que le cadre juridique de leur pouvoir est établi par la loi, l'argumentation de l'Allemagne à leur encontre est irrecevable. Les partisans des AAI se féliciteront d'une telle décision; les sceptiques à l'égard du "pouvoir des juges" feront peut-être la moue. Quoi qu'il en soit, on ne peut s'empêcher de remarquer que ce sont précisément des juges, non élus, qui décident de ce que constitue la "légitimité démocratique" d'organismes administratifs, indépendants, certes, mais non élus. Et puisque la Cour nous place sur ce terrain, le débat mérite d'être ouvert: des autorités administratives indépendantes, pourquoi pas? mais que penser de leur composition? Ne mériterait-elle pas d'être revue par le législateur? Ne pourraient-elles pas faire une place plus grande aux associations telles la Ligue des droits de l'homme?


Creative Commons License
Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.