Google hors-la-loi, selon l'enquête du G29

Too big to regulate? Le cas Google, épinglé par la CNIL et ses homologues européens, pose in fine la question non pas seulement de la régulation de la firme, mais de la capacité de telles autorités de protection des données personnelles à assurer leur mission.

D'une part, le modèle économique de Google lui-même semble réfractaire aux principes du droit des données personnelles. D'autre part, peut-on se contenter, en de telles matières, d'une co-régulation et de procédures de recommandations émanant de la CNIL et consorts ? Ne faut-il pas sanctionner, plutôt que simplement encourager ?

L'enquête du G29 sur les règles de confidentialité de Google

Google, qui « a en Europe une part de marché d'environ 90 % sur les moteurs de recherche et d'environ 50 % sur les systèmes d’exploitation de smartphones », vient de se faire taper sur les doigts par l'ensemble des CNIL européennes, comme l'annonce le site de la Commission nationale Informatique et Libertés (site peu "user friendly" au demeurant, avec des changements d'URL, des liens morts, et un archivage peu lisible, en particulier pour les documents du dossier /fileadmin/...).

La CNIL a en effet été chargée par le G29, qui réunit les autorités de protection des données personnelles de l'UE, de l'enquête sur les Règles de confidentialité adoptées par le moteur de recherche et refondues en mars 2012 afin d'être les mêmes pour tous les services de la firme. Avertissement repris par l'Asia Pacific Privacy Authorities...

Combiner n'importe quelle donnée, de n'importe quel service, pour n'importe quelle finalité... 

La lettre du G29 explique le mieux la situation :

En second lieu, l'enquête a confirmé nos inquiétudes [our concerns] concernant la combinaison des données entre les différents services [gérés par Google]. La nouvelle politique de protection des données personnelles (Privacy Policy) permet à Google de combiner presque n'importe quelle donnée de n'importe quel service pour n'importe quelle finalité [The new Privacy Policy allows Google to combine almost any data from any services for any purposes.].

En bref, l'ampleur prise par ce qui n'était, à l'origine, qu'un moteur de recherche, mais dont les activités se démultiplient, suscitant aux Etats-Unis l'intérêt de la Federal Trade Commission (FTC) chargée de la réglementation anti-trust (Washington Post, 15/10/12), constitue une réelle menace sur notre vie privée ; à titre d'exemple sur ce que le data-mining permet, cf. VISA prédit les divorces, Vos Papiers!, 15/04/10.

Ainsi, Google s'affranchit allègrement des principes les plus élémentaires de la législation Informatique et libertés, tel que codifiés, notamment, par la directive 95/46/CE sur la protection des données personnelles. La CNIL rappelle ainsi que « la combinaison de données entre services doit respecter les principes de la proportionnalité, de limitation des finalités, de minimisation de données et du droit d’opposition. Google ne souscrit pas publiquement à ces principes » (ici et au long du texte, il s'agit de la CNIL mandatée par le G29 qui parle). 

Des données multiples, de l'historique de navigation aux données biométriques ...

Ces données sont multiples: il s'agit tant de données de connexion et de navigation, que de données personnelles, telles les adresses IP, la localisation géographique, le numéro de téléphone, le numéro de carte crédit, ainsi que les données biométriques, en particulier celles liées à la reconnaissance automatisée du visage (il s'agit de la fonction 'Find My Face', comme ne le précise pas la CNIL), qui n'est « pas mentionnée dans les Règles actuelles » de confidentialité (CNIL, ibid).

... à des fins diverses, de la fourniture de services à la publicité ciblée jusqu'à la recherche universitaire.

A quoi servent ces données? Ceci n'est pas expliqué par Google, contrairement aux principes d'information, sans parler du respect de la proportionnalité quant à la finalité poursuivie. Or, l'un des problèmes majeurs concerne ce mélange des genres : Google s'est fait une spécialité d'accumulation de données brutes, pouvant être utilisées voire vendues ensuite, sans trop savoir à quels usages. En bref, son modèle économique repose sur cette accumulation de données : aux utilisateurs-clients qui voudront y accéder d'y trouver une utilité, et si celle-ci est répréhensible, Google s'en lave les mains...

Ainsi, selon la CNIL:

Le Groupe de l’Article 29 a identifié huit différentes finalités pour la combinaison de données entre les services de Google :

- La fourniture de services où l'utilisateur demande la combinaison des données (cas n° 1) (ex. : Contacts et Gmail)

- La fourniture de services demandés par l'utilisateur, mais où la combinaison des données s'applique sans que l'utilisateur n'en soit directement informé (cas n° 2) (ex. : personnalisation de résultats de recherche)

- Finalité de sécurité (cas n° 3)

- Finalité de développement de produits et d'innovation marketing (cas n° 4)

- La mise à disposition du Compte Google (cas n° 5)

- Finalité de publicité (cas n° 6)

- Finalité d'analyse de fréquentation (cas n° 7)

- Finalité de recherche universitaire (cas n° 8)

 Or, 

Pour quatre des huit finalités susvisées, le Groupe de l’Article 29 a établi l'absence de base légale pour la combinaison de données entre services.

C’est le cas de la fourniture de services où la combinaison des données s'applique sans que l'utilisateur n'en soit directement informé (cas n° 2) et des finalités de développement de produits et d'innovation marketing (cas n° 4), de publicité (cas n° 6) et d'analyse de fréquentation (cas n° 7).

En clair: Google est hors-la-loi. Les principes les plus élémentaires du droit de la protection des données personnelles (principe de proportionnalité, de finalité, d'information, etc.) ne sont pas respectés. La possibilité d'opt-out n'existe pas, a fortiori pour les utilisateurs « secondaires », ou « passifs »,  de Google (« Les utilisateurs passifs, selon la définition figurant dans le questionnaire envoyé le 16 mars, sont des utilisateurs qui ne sollicitent pas directement un service Google, mais dont les données sont malgré tout collectées, généralement par le biais de plateformes publicitaires tierces, d’analyses ou de boutons +1 »). De plus, « Google n'a pas été en mesure de fournir une durée maximale ou habituelle de conservation des données personnelles traitées »....

S'agissant de l'analyse de la fréquentation, lié au service AdWords, la CNIL précise :

En ce qui concerne Google Analytics et la combinaison de données à des fins d'analyse de fréquentation, des mécanismes spécifiques de protection ont été mis en place pour les utilisateurs allemands : la combinaison de données entre services est exclue, un contrat spécifique est signé entre Google et le site web et les clients peuvent automatiquement anonymiser l'adresse IP partagée avec Google. Ces conditions peuvent assurer une protection adéquate des données personnelles et devraient être étendues à tous les États membres européens.

Too big to regulate ? Quand le G29 « encourage » Google à respecter le droit...

Cette indifférence hautaine de Google envers les  principes élémentaires du droit de la protection des données personnelles pose question. Comment, par exemple, la firme peut-elle ne pas être « en mesure de fournir une durée maximale ou habituelle de conservation des données personnelles traitées » ? 

Il ne s'agit pas là, a priori, d'une requête exorbitante. Chaque traitement de données autorisé par la CNIL, ne serait-ce que par la procédure simplifiée, est censé respecter ces principes. Ce qui représente un coût pour les PME (mise en place des correspondants Informatique et libertés, etc.). Or, Google, qui effectue des bénéfices records, aura du mal à nous faire pleurer en mettant en avant le coût du respect du droit.

S'abritant derrière le secret commercial de ses algorithmes, la firme se fonde sur un modèle économique opaque, d'accumulation de données brutes concernant les internautes, qu'elle espère bien pouvoir commercialiser. Quant à la question de l'usage, que ce soit par elle, ou par ses clients, de ces données, elle ne s'y intéresse guère... 

Dès lors, la vraie question est de savoir si on peut se contenter de simple « recommandations » du G29, qui n'ont aucun caractère contraignant, alors même qu'il a constaté l'absence de base légale du fonctionnement de Google. Suffit-il, par exemple, de ce que « le Groupe de l’Article 29 encourage Google à respecter le principe d’une durée de conservation strictement limitée au regard des finalités » ?

Ceci, d'autant plus que, selon la CNIL, « les risques associés à la combinaison de données entre services sont élevés pour les personnes concernées : violation de données, malveillance interne, réquisitions judiciaires, etc. », et qu'on sort donc du champ strict du droit à la vie privée pour entrer dans le champ du droit pénal. Vu l'importance des enjeux, la procédure de « co-régulation » à l'amiable, appelée de ses voeux par le G29, paraît douteuse.  

La CNIL est habilitée à prendre des mesures de sanction : ne serait-ce pas, vu l'étendue des activités illégales (pardon, privées de base légale) de Google, opportun ? La Commission européenne, les Etats-membres, le Parlement européen et les tribunaux ne devraient-ils pas prendre ce sujet à bras-le-corps, en exigeant que tout ceci soit éclairci par Google, et de façon générale par les firmes fonctionnant sur des modèles similaires (Facebook, etc.) ?

Etant donné le modèle économique même sur lequel est fondé Google, il est en effet peu probable que la firme se conforme d'elle-même au droit commun. En fait, le respect des principes élémentaires du droit, notamment des principes de proportionnalité, de finalité, et de durée de conservation, vont à l'encontre même du modèle Google, fondé sur l'exploitation de données brutes à des fins encore indéterminées.

Voir aussi, sur ce site :

Messages labellisés Google, dont, en particulier :

Google et le mot-clé "juif": devant les juges, 10 mai 2012

Google et le droit à l'oubli en Espagne, 8 février 2011

Et Data-mining: VISA prédit les divorces, 15 avril 2010

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Google et le droit à l'oubli en Espagne

La procédure enclenchée par Google devant l'Audiencia Nacional, l'une des plus hautes juridictions d'Espagne, pour contester les résolutions de l'Agence espagnole de protection des données personnelles (AEPD) en matière de "droit à l'oubli" permet d'approfondir le débat concernant ce sujet au cœur de la révision de la directive de 1995 sur la protection des données.

Plutôt que d'approcher ce débat du point de vue de la seule "responsabilité des utilisateurs", comme le faisait Yan Claeyssen, PDG d'une agence de marketing web (cf. "Oublier le droit à l'oubli" sur Vos Papiers!), ce procès, qui a commencé le 19 janvier 2011 (Le Monde, 18/01/11) doit permettre de déterminer qui, des administrations publiques ou de Google, est responsable de la protection de la vie privée et du droit à l'oubli. 

De la décision de la Cour dépend, in fine, la charge des coûts visant à équilibrer les différents droits en jeu, à savoir le droit à l'oubli et le droit d'accès aux informations publiques. Celui-ci sera-t-il intégralement supporté par les administrations publiques, territoriales et nationales, et donc par le contribuable? Ou Google devra-t-il participer, financièrement et techniquement, au juste équilibre entre ces droits concurrents?

Quiero que Internet se olvide de mí

Google conteste en effet près de 70 résolutions de l'AEPD, équivalente espagnole de la CNIL (El Pais du 18/01/11). Celle-ci a en effet donné raison, et ce depuis plusieurs années, à des requêtes de citoyens espagnols outrés de voir que Google affiche en première page de résultats les publications officielles locales faisant état de tous un tas d'informations personnelles, allant du soutien sanitaire attribué à un toxicomane à des condamnations bénignes et anciennes telles que le fait d'uriner sur la voie publique (cf. par ex. "Google tendrá que olvidar tu pasado" dans El Pais du 22 janvier 2008, faisant état de la première résolution de l'AEPD allant en ce sens).

"Je veux qu'Internet m'oublie" titrait El Pais du 7 janvier. Et de citer des propos officiels de l'AEPD, selon lesquels aucun citoyen ne devrait se résigner à voir ses données personnelles circuler de façon sauvage sur le net. L'affaire AEPD contre Google oppose en effet la firme états-unienne en quasi-situation de monopole à la CNIL espagnole sur plusieurs terrains, juridique, économique et techniques.

Le droit à la vie privée face au droit d'information et aux publications officielles

Au niveau juridique, il s'agit d'équilibrer le droit à la vie privée non pas tant à la liberté d'expression qu'au droit d'accès et d'information, garanti aux citoyens par les pouvoirs publics. La démocratisation de l'Etat moderne ("l'Etat de droit") conduit en effet celui-ci à s'imposer davantage de "transparence" dans la publication de ses actes. Or, ceux-ci incluent la publication, dans des bulletins officiels, nationaux ou régionaux, d'un ensemble de données ou d'informations personnelles, dans des cadres très différents: tantôt il s'agit de rendre publique une condamnation pour un délit mineur, tantôt l'adresse et le numéro de téléphone de résidents d'une municipalité, tantôt des données de santé, etc. 

Si la loi impose de publier ces informations, celle-là ne connaissait pas encore Internet et les merveilleuses capacités de Google, qui donnent accès à tout un chacun, depuis son clavier, à des informations n'ayant guère d'"intérêt général" - il ne s'agit pas de personnalités publiques -, anciennes voire périmées ou non-actualisées.  C'est ainsi que votre employeur peut tomber sur des informations vieilles de dizaines d'années, concernant votre condamnation pour fait d'urine sur la voie publique ou votre présentation au conseil municipal sous les couleurs d'un parti minoritaire, fantaisiste ou qui n'a tout simplement pas l'heur de lui plaire. Ou un proche ou moins proche apprendre que vous vous êtes mariés confidentiellement dans telle municipalité, éventuellement avec une personne du même sexe puisque cela est autorisé en Espagne.  Le G29, équivalent européen de la CNIL, déclarait ainsi en 2008:

Les capacités de représentation et d’agrégation des moteurs de recherche peuvent nuire considérablement aux individus, tant dans leur vie personnelle qu’au sein de la société, en particulier si les données à caractère personnel qui figurent dans les résultats de recherche sont inexactes, incomplètes ou excessives.

Le droit d'oubli s'exerce alors comme variante du "droit d'accès et de rectification" des données, dont une étude récente montrait à quel point il était difficile à mettre en œuvre ("82% des organismes ne respectent pas la loi Informatique et libertés", Bug Brother, 28/01/11).

Google a beau jeu, ici, de se faire défenseur de la "liberté d'expression", alors qu'elle participe, ni plus ni moins, à une "transparence" qui terrifie les politiques (on se rappelle de la réaction outragée de Patrick Devedjian lorsqu'un adversaire exhuma un article de 1965 relatant une condamnation de ce dernier, suite aux attaques de Devedjian contre Ali Soumaré et son utilisation du fichier STIC pour ce faire...). Mais si la presse s'abrite, à juste titre, devant la liberté d'expression pour se protéger de la censure, la question des notices administratives publiées par des organismes officiels et centralisés via Google est bien distincte. 

Pour Marc Carillo, professeur de droit constitutionnel à l'Université Pompeu Fabra, cité par El Pais du 7 janvier, les citoyens devraient bénéficier de ce droit à l'oubli dès lors que l'information n'a pas d'intérêt public. Cependant, ce dernier considère que toute condamnation pénale est d'intérêt public, ce qui est plus que contestable dans la mesure où cela revient à généraliser le système de surveillance publique des auteurs de crimes et délits sexuels en vigueur aux Etats-Unis à la moindre infraction. En d'autres termes, à nier toute validité au principe de réinsertion et à donner accès à tout un chacun aux moyens étatiques de surveillance de la population et d'enregistrement des condamnations passées. Qu'un prof de droit constit puisse défendre une telle vision totalitaire est plus qu'effrayant...

Responsabilité technique des sites ou de Google, en situation de quasi-monopole?

C'est ici que Google passe de l'argumentaire "chevalier de la liberté d'expression" (sic) aux questions techniques pour se défausser de toute responsabilité. Selon le moteur de recherche, qui de plus revendique son statut d'entreprise californienne pour s'affirmer comme non-sujet à la législation européenne, ce sont les administrations qui publient les données personnelles en ligne qui devraient être assujetties à d'éventuelles règles concernant le droit à l'oubli.

Cet argument est balayé par le président de l'AEPD, Artemi Rallo, qui déclarait dans El Mundo: 

"Le problème, ce n'est pas qu'il y ait des données personnelles sur un site en particulier, c'est que les moteurs de recherche, notamment Google qui est en situation de monopole, diffusent ces données urbi et orbi".

L'enjeu est évidemment économique, tenant au coût éventuel de mesures de protection de la vie privée (en l'espèce, du droit à l'oubli) à mettre.en place par Google. Mais comme l'indiquait un juriste sur le site Iurismatica, l'efficacité du droit à l'oubli ne pourra provenir que d'une conjonction de mesures adoptées par les sites eux-mêmes et par Google. 

Il est en effet invraisemblable que Google ait réussi jusqu'à présent à convaincre les autorités qu'il n'était qu'un "outil neutre" garant de la "liberté d'expression", alors que sa situation de monopole et la nature de ses logarithmes, qui n'a rien de "neutre", et qui vise à faire du bénéfice sur les résultats de recherche, le rend clairement responsable d'un accès démesuré à des données personnelles erronées, périmées ou qui devraient être "oubliées". 

D'un autre côté, les administrations ont aussi le devoir de mettre en place certaines mesures techniques afin d'empêcher le référencement de leurs sites (type NOINDEX, etc.), comme le signalait le G29. Mais faire peser sur ces dernières toute la charge de ces dispositifs techniques semblerait incohérent, dans la mesure où ce sont précisément les facultés de Google qui les contraindraient à prendre ce coût en charge. La législation européenne qui tend à considérer que les moteurs de recherche ne sont pas "les principaux responsables" du contenu des données indexées devrait préciser ce que cela implique : car s'ils ne sont pas les "principaux responsables" de la publication de ces données, ils le sont clairement dès lors qu'il s'agit de leur accessibilité. Ce qui, in fine, est bien le but d'Internet et des moteurs de recherche...

Répartir les charges et repenser le mode de publication d'informations officielles et personnelles

En d'autres termes, ce qui s'oppose dans ce procès, ce n'est pas seulement le "droit à l'oubli" contre le "droit d'accès aux informations publiques", mais aussi la répartition des coûts visant à maintenir cet équilibre. Et Google n'a d'autre optique que de se défausser sur le public, donc sur le contribuable, du coût de mesures techniques dont la mise en place est requise en raison du succès commercial foudroyant de la firme obtenu grâce à ses logarithmes de recherche.

Au-delà de cette question économique, c'est aussi une nécessaire réflexion sur la publication officielle de données et sur l'étendue de la publicité à apporter à celles-ci par les autorités qu'il convient d'entamer. Car s'il est entendu que certaines données doivent être affichées en mairie, considérer de façon identique la publication sur Internet, l'affichage local ou la publication dans un bulletin régional ou municipal relève d'une grave erreur qui menace, en effet, de faire de la transparence démocratique un alibi de la société de surveillance.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Indépendance des autorités de protection des données: l'Allemagne condamnée

La Cour de justice européenne (CJE) a condamné l'Allemagne, le 9 mars 2010, affirmant que ses autorités administratives indépendantes (AAI), chargées de la protection des données personnelles, manquaient... d'indépendance.

Résumé

Le litige, opposant la Commission européenne à l'Allemagne, porte principalement sur l'interprétation du sens de "l'indépendance complète" évoquée par la directive 95/46/CE sur la protection des données personnelles. L'argumentation des parties et de la Cour a soulevé deux problèmes principaux: d'abord, celui de l'intérêt des gouvernements à favoriser la constitution de bases de données à des fins commerciales, dans la mesure où celles-ci peuvent ensuite être utilisées par le fisc, la police et la justice. Selon la CJE, la distinction, établie en droit allemand, entre les autorités chargées de la protection des données dans le secteur privé, et assujetties à l'immixtion des politiques dans leur activité, et l'AAI fédérale qui contrôle le respect du droit à la vie privée lorsqu'il s'agit de fichiers publics, ne se justifie donc pas.

Ensuite, l'Allemagne a plaidé le caractère anti-démocratique d'AAI qui seraient exemptées du contrôle parlementaire alors qu'elles prennent des décisions engageant le droit des citoyens, selon une argumentation rappelant le débat opposant partisans du contrôle de constitutionnalité et adversaires du "pouvoir des juges". On relèvera aussi, au passage: que la Cour semble entériner une conception républicaine de la liberté, en tant que non-domination, contre la conception libérale classique de la liberté comme non-interférence; que la protection des données personnelles est la condition d'un marché commun de ces données, et relève donc bien de la compétence communautaire: exit la "marge nationale d'appréciation".

Un manque d'indépendance des autorités locales chargées de la protection des données

Le litige portait sur les AAI des Länders, et non sur l'autorité fédérale de protection des données personnelles. En effet, le droit allemand confère au Commissaire fédéral à la protection des données et au droit à l'information le soin de contrôler les traitements de données mis en œuvre par des organismes publics. En revanche, tout ce qui relève du privé (à  l'exception des services de communication et des postes) relève de la législation des Länders: tantôt, c'est le gouvernement local qui est chargé du respect de la directive 95/46/CE sur la protection des données dans le secteur privé; tantôt, ce sont des organismes spécifiques. Mais dans tous  les cas, indique la CJE dans cette affaire, ces organismes dépendent du gouvernement local, et ne peuvent donc être considérées comme de réelles autorités indépendantes.

La Cour relève en effet que le contrôle des Länders sur ces divers organismes leur permet d'influencer voire d'annuler leurs décisions (§32). Or, ce contrôle étatique peut être influencé par des motifs politiques: d'une part, même s'il s'agit de décisions concernant le secteur privé, le gouvernement peut y être intéressé, puisqu'il peut être impliqué dans le cadre de partenariats public-privé ou de contrats publics avec le secteur privé, ou encore (surtout?) qu'il peut y être intéressé dans la mesure où il peut exiger d'avoir accès à ces bases de données à des fins fiscales ou policières et judiciaires. Enfin, le Länder peut aussi avoir un intérêt économique dans la constitution de ces bases, si elles sont le fait d'entreprises importantes (§35).

L'indépendance des autorités de protection des données (APD) est donc, dans cette mesure, souhaitable. Toute la question étant cependant de savoir ce qu'il faut par "indépendance": contrairement à ce qu'avançait le Contrôleur européen de la protection des données (CEPD), l'avocat général considère, dans ses conclusions, qu'on ne saurait concevoir l'indépendance des AAI de façon analogue à celle du pouvoir judiciaire. En effet, les autorités de protection des données sont administratives tout autant qu'indépendantes: elles relèvent donc de la branche exécutive. La question est donc, selon lui, d'examiner la portée de l'indépendance qu'elles doivent pouvoir bénéficier au sein du "contexte de l'exécutif" (§14 opinion).

Interférence effective et potentielle : la CJE républicaine?

De surcroît, même en l'absence d'interférence effective de la part du gouvernement dans la prise de décision concernant la mise en œuvre de ces fichiers, le seul "risque", ou encore la simple possibilité d'une telle "influence politique" suffit à mettre en cause l'indépendance de ces organismes (§36). Une telle précision est remarquable en ce qu'elle avalise, implicitement, la définition de la domination proposée par le philosophe Philip Pettit. En effet, contrairement à la définition classique, proposée par le libéralisme, de la liberté comme non-interférence, la définition républicaine suggérée par Pettit prévoit explicitement qu'

"il n'est pas nécessaire qu'une personne disposant d'un pouvoir de domination sur une autre - quel que soit le degré de cette domination - en use effectivement pour interférer, pour de bons ou de mauvais motifs, dans les décisions de l'individu dominé; il n'est même pas nécessaire que la personne jouissant d'un tel pouvoir soit le moins du monde encline à interférer de la sorte. Le fait que le détenteur du pouvoir ait, dans une quelconque mesure, la capacité d'interférer arbitrairement est constitutif de la domination, quand bien même il n'en fait pas usage."

Philip Pettit, Républicanisme. Une théorie de la liberté et du gouvernement (Gallimard, 2004), p.91

De l'autonomie des Etats au sein de l'UE et de la légitimité démocratique des autorités administratives

A cette argumentation, élaborée en partie par le Contrôleur européen de la protection des données (CEPD) cité par la Cour, l'Allemagne oppose deux arguments principaux, qui méritent d'être médités. La première concerne la légitimité de l'intervention de l'UE dans cette question; la deuxième concerne la légitimité démocratique des AAI, qui prennent des décisions importantes alors qu'elles ne sont pas élues et seraient donc, selon le gouvernement allemand, soustraites au contrôle souverain du peuple.

Les données personnelles, une marchandise (presque) comme les autres...

L'Allemagne conteste en effet, en premier lieu, l'autorité de la Cour et de la Commission européenne, qui a décidé de porter le litige devant la CJUE, en matière de protection des données. L'argument, faible au niveau juridique, est sans surprise écarté, mais il rappelle à quel titre l'UE s'investit dans la question du droit à la vie privée lorsqu'il s'agit de données personnelles. En vertu du principe de subsidiarité et de proportionnalité, lequel permet de départager, de manière certes floue et fluctuante, les compétences des organismes communautaires et les compétences nationales, l'Allemagne s'indigne de ce que la Commission et la CJE mettent leur nez dans son système juridique de protection des données, établi depuis une trentaine d'années et qui aurait été considéré comme modèle à l'étranger (§52-54).

La CJE écarte évidemment cette tentative de préserver une "marge nationale d'appréciation": la protection des données personnelles a été instituée par la directive 95/46/CE non pas tellement, comme on pourrait s'y attendre, "pour le bien du citoyen", mais plutôt pour empêcher toute entrave à la constitution d'un marché commun des données personnelles. La directive est en effet claire à ce sujet: toute variation dans la législation des Etats-membres sur la protection des données personnelles ouvrirait la porte aux  contestations des citoyens qui refuseraient de voir leurs données personnelles transmises à une entreprise résidant dans un autre Etat, et, le cas échéant, sujette à une protection moindre que celle accordée au citoyen par son Etat. Dès lors, pour favoriser le commerce des données, il faut obtenir une harmonisation de la législation.

L'indépendance des autorités administratives est-elle démocratique?

Le deuxième argument invoqué par l'Allemagne rappelle le débat entre ceux, aujourd'hui prédominants, qui sont en faveur de l'extension tous azimuts du contrôle de constitutionnalité, et ceux qui affirment, au contraire, qu'il s'agit là d'un "pouvoir des juges", donc de personnalités non élues, sur l'élaboration des lois, lesquelles relèvent, comme chacun sait depuis Rousseau, de cette formidable "souveraineté populaire" (cf., pour un aperçu de ce débat, La Vie des idées).

L'Allemagne affirme ainsi, allant à l'encontre de cette tendance à multiplier les AAI, que celles-ci, dans la mesure où elles prennent des décisions concernant les droits des citoyens (ici, le droit à la vie privée), devraient être soumises à un contrôle politique, les gouvernements étant responsables devant les parlements des Länders, et donc, in fine, devant "le peuple". Soustraire ces AAI au contrôle politique serait ainsi... anti-démocratique. 

Politiquement, l'argument semble un peu faible: comme l'a rappelé le CEPD, refuser l'indépendance politique des autorités administratives, c'est aussi amoindrir, sinon le niveau de protection des données, du moins les possibles refus à l'égard de la constitution de bases de données privées, dans la mesure où la police, la justice et le fisc ont tout intérêt à que de telles bases soient constituées, puisqu'elles y ont presque toujours accès. En bref, la distinction privé/public s'effondre ici, dans la mesure où des fichiers institués à des finalités commerciales sont utilisées par l'Etat à des finalités policières et judiciaires. Les critiques de la CNIL (Commission nationale informatique et libertés) n'auront cependant pas de mal à ironiser sur ce "haut niveau de protection des données" "garanti" par ces AAI, surtout lorsqu'elles sont présidées par un Alex Türk, sénateur UMP qui s'est lui-même efforcé, au Sénat, d'amoindrir l'étendue du contrôle de la CNIL concernant les fichiers de police...

Juridiquement, la CJE écarte sans peine cet argument. L'"influence parlementaire", déclare-t-elle, s'exerce en effet sur les AAI dans le pouvoir de nomination, accordé au parlement ou au gouvernement, sur les membres des autorités de protection de données. De plus, "le Parlement définit le pouvoir de ces autorités" (§44), et peut aussi exiger qu'il rende compte de ses activités par le biais de rapports annuels (§45). Dès lors, ces autorités sont bien "démocratiquement légitimes" (§46).

Fin de l'histoire?

Le cadre juridique allemand, qui croyait pouvoir s'exempter, en matière de protection des données personnelles dans le secteur privé, du contrôle exercé via des autorités administratives indépendantes (AAI), est donc, sans ambages, condamné par la Cour européenne, qui n'a pas suivi, à juste titre peut-on avancer, les conclusions de l'avocat général. Le Contrôleur européen de protection des données (CEPD), lui-même une AAI, se félicite, on s'en doute, de cette décision. L'"indépendance complète", évoquée par la directive 95/46/CE sur la protection des données, implique en effet, selon la Cour, que les AAI soient à l'abri de toute influence "externe", directe ou indirecte, entérinant ainsi le fait que la simple possibilité d'une interférence constitue, en soi, un pouvoir de domination inadmissible. Afin d'éviter que les gouvernements soient partie prenantes à des décisions qui les intéressent, y compris dans le secteur privé, il convient de garantir l'indépendance effective des autorités de protection des données.

Mais la Cour n'a pas fait que renforcer, ici, la tendance à la constitution des AAI. Elle a aussi réaffirmé la prépondérance des organismes et du droit communautaire sur la législation nationale: dans la mesure où la protection des données sert d'abord et avant tout à permettre l'élaboration d'un marché libéral des données personnelles, elle relève de la compétence communautaire. Exit la "marge nationale d'appréciation". Rien de bien nouveau, mais un nouveau motif d'inquiétude pour les "souverainistes", de gauche ou de droite, qui déplorent la constitution d'un cadre normatif européen fait dans des conditions contestables du point de vue... démocratique! Nul besoin, cependant, d'être "souverainiste" pour s'inquiéter de la constitution d'une Europe fédérale sur des fondements démocratiques aussi fragiles. Le fait qu'en l'espèce, la décision de la Cour est plutôt favorable à la protection des données personnelles, nonobstant toute ironie concernant le rôle de la CNIL, de même d'ailleurs que l'initiative de la Commission, si décriée mais qu'on peut ici approuver, ne retire rien au problème du "déficit démocratique" de l'Europe.

Enfin, la Cour a tranché sur ce qui constitue la "légitimité démocratique" des AAI: dans la mesure où leurs membres sont nommés par le parlement ou le gouvernement, politiquement responsable, et que le cadre juridique de leur pouvoir est établi par la loi, l'argumentation de l'Allemagne à leur encontre est irrecevable. Les partisans des AAI se féliciteront d'une telle décision; les sceptiques à l'égard du "pouvoir des juges" feront peut-être la moue. Quoi qu'il en soit, on ne peut s'empêcher de remarquer que ce sont précisément des juges, non élus, qui décident de ce que constitue la "légitimité démocratique" d'organismes administratifs, indépendants, certes, mais non élus. Et puisque la Cour nous place sur ce terrain, le débat mérite d'être ouvert: des autorités administratives indépendantes, pourquoi pas? mais que penser de leur composition? Ne mériterait-elle pas d'être revue par le législateur? Ne pourraient-elles pas faire une place plus grande aux associations telles la Ligue des droits de l'homme?

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.