Comment Google définit votre persona : le droit à l'oubli vu des Pays-Bas et de France

La question du droit à l'oubli n'oppose pas simplement la vie privée à la liberté d'expression, mais plus largement à un pouvoir de cadrage (framing), un pouvoir googlesque de définition de votre persona, c'est-à-dire de votre personne publique. Dès lors, les tribunaux devraient ajouter une corde à leur arc, en contraignant Google, lorsque le déréférencement n'est pas accordé, à modifier ce référencement, de façon à ce que l'article litigieux n'arrive plus en première page des résultats. En effet, tolérer que des actes répréhensibles commis plus de dix ans auparavant continuent d'arriver en résultat n°1 lorsque l'on tape le nom d'un individu, c'est tout simplement lui dénier toute possibilité de réhabilitation et le réduire à ce seul acte. 

Le mécanisme actuel du « droit à l'oubli » depuis l'arrêt de la CEDH Google c. Espagne

Depuis l'arrêt Google Spain ("Google contre l'Agence espagnole de la protection des données et Maria Costeja Gonzales", 13 mai 2014) de la Cour de justice de l'Union européenne (CJUE), les moteurs de recherche, ainsi que les juridictions nationales des pays membres de l'UE doivent appliquer le "droit à l'oubli" sur Internet (voir ici : Google et le droit à l'oubli en Espagne, février 2011). S'il s'agit-là d'une avancée majeure, elle ne répond que partiellement au problème posé par le classement Google quant à la vie privée.

Concrètement, chacun peut faire une demande de déréférencement de liens menant vers des pages web le concernant directement. Si Google refuse ce déréférencement, on a la possibilité de se tourner vers l'autorité nationale de protection des données (la CNIL en France) puis, le cas échéant, vers un tribunal. Conformément à la jurisprudence européenne, celui-ci met en balance le droit à l'oubli du requérant avec la liberté d'expression qu'elle confère non seulement aux sites de publication, mais aux moteurs de recherche eux-mêmes.

Si, certes, les droits de la personne concernée protégés par ces articles prévalent également, en règle générale, sur ledit intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique. (§81 de l'arrêt de la CEDH, Google c. Espagne)

Depuis mai 2014, Google affirme avoir reçu plus de 370 000 demandes, portant sur plus d'1,3 millions d'URL, et la firme a accepté de déréférencer plus de 42% de ces URL (de façon intéressante, et peut-être éclairante pour le sociologue, le résultat est très variable selon les pays: ainsi, par exemple, pour la France Google a accepté de déréférencer 48% des URL, mais pour l'Italie seulement 30%).

Plusieurs critères sont utilisés, dont le caractère public, ou non, de la personne concernée (une people n'est pas considérée l'égal de M. Toulemonde); l'ancienneté de l'information référencée; sa pertinence à l'égard du débat public, etc. La fiabilité ou le caractère mensonger de l'information ne dépend pas, a priori, et en tout cas aux Pays-Bas, du "droit au déréférencement", puisqu'il faut en ce cas s'adresser directement au site hébergeant la page litigieuse (pour diffamation, injure, etc.).

La solution est binaire: soit le déréférencement est accordé, soit il ne l'est pas. Cette « solution juridique » découle de l'appréhension de la question en termes d'équilibre entre vie privée et liberté d'expression. En fonction des poids respectifs sur cette balance, on accorde, ou non, le déréférencement.

L'insuffisance de la problématisation juridique en termes de « vie privée contre liberté d'expression »: le cas de la jurisprudence néerlandaise

La Cour de district d'Amsterdam a refusé, le 24 décembre 2015, à un journaliste sa demande de déréférencement vers un article du journal NRC (qu'on présume être le grand quotidien NRC Handelsblad) datant de 1995 et faisant état d'un plagiat de quatre phrases alors effectué par ce journaliste. Celui-ci déclarait être gêné dans ses recherches d'emploi en raison de cette ancienne histoire, à laquelle le référencement de Google en première page donnait un écho disproportionné.

La Cour a rejeté ses arguments, en alléguant d'une part que la profession de journalisme constituait un pas vers le fait d'être une personne publique, bénéficiant donc d'une moindre protection en matière de vie privée, et d'autre part que le plagiat étant une faute grave en journalisme, ce méfait était suffisamment important pour bénéficier de la protection offerte par la liberté d'expression et d'informer.

Elle ajoute - selon ce que l'on comprend de la traduction... Google, de l'arrêt en question - que le "rôle de catalogue que tient Google serait sévèrement compromis si on imposait des restrictions sévères à son fonctionnement", ce qui conduirait à la "perte de sa crédibilité" (Google détient plus de 85% des parts de marché aux Pays-Bas*). 

De la pseudo-neutralité de l'algorithme Google

Enfin, elle ajoute, de façon critiquable, qu'il est "également important que les moteurs de recherche fonctionnent sans intervention humaine", c'est-à-dire en ne dépendant que des termes recherchés par l'internaute. La Cour semble donc ignorer qu'un algorithme, par définition, est le produit d'une intervention humaine, et qu'il ne bénéficie donc pas, à ce titre, de plus d'objectivité que tout autre mode de classement (notamment humain, c'est-à-dire individuel), puisque les critères de ce classement ont été déterminés par des ingénieurs. 

S'agissant de Google, les règles de l'algorithme sont couvertes par le secret commercial, ce qui n'est pas sans poser quelques questions majeures quant au pouvoir exorbitant, et opaque, que détient la firme de Mountain View dans la hiérarchisation de l'information - ou, plus généralement, du contenu d'Internet. 

En France, le projet de loi pour une République numérique, porté par la secrétaire d'Etat Axelle Lemaire, prévoit ainsi, dans son article 2, une disposition spécifique permettant, "lorsqu'une décision individuelle est prise sur le fondement d'un traitement algorithmique", d'exiger à l'administration qu'elle communique "les règles définissant ce traitement, ainsi que les principales caractéristiques de sa mise en œuvre".

Vu la position quasi-monopolistique de Google, qui détient plus de 90% des parts de marché en France, lui octroyant un pouvoir sans précédent sur ce bien public qu'est Internet, et notamment un pouvoir de framing ou de définition de la personnalité des individus cités nommément, en mettant en avant certains articles ou faits plutôt que d'autres, on peut s'interroger sur la légitimité qu'à Google à se draper derrière le secret commercial pour refuser de répondre aux critères de classement utilisés et, plus généralement, pour refuser de modifier ce classement dans certains cas litigieux.

Contrairement à ce qu'affirme Google, et que les tribunaux néerlandais prennent pour argent comptant, le classement ne dépend en effet pas uniquement de l'audience des journaux. Ou alors, il faudrait croire que le site d'extrême-droite fdesouche a une audience plus grande que l'ensemble de la presse française, puisque lorsque l'on tapait "viol" et "facebook" le 6 janvier 2015, il arrivait en premier (aujourd'hui, il arrive en 10e position, c'est-à-dire tout en bas de la première page de recherche).

Il est frappant de voir que les tribunaux passent sous silence ce point, alors que c'est précisément ce que la Cour européenne des droits de l'homme (CEDH) avait souligné, à l'occasion de l'arrêt Google c. Espagne de 2014 à l'origine de cette jurisprudence du "droit à l'oubli":

37      De plus, l’organisation et l’agrégation des informations publiées sur Internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l’accès à celles-ci peut conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d’une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet leur permettant d’établir un profil plus ou moins détaillé de la personne concernée.

38      Dans la mesure où l’activité d’un moteur de recherche est donc susceptible d’affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée.

En France, des tribunaux ont d'ailleurs mis en pièce la théorie de la "neutralité technologique" de Google lors de l'affaire sur les mots-clés "juifs" (cf. Google et le mot-clé "juif": devant les juges, 10 mai 2012).

L'aporie juridique 

En opposant la vie privée à la liberté d'expression et d'informer, les tribunaux ont réduit le problème du classement de Google à une question binaire, qui n'a qu'une issue possible: supprimer, ou non, le référencement de la page. Cette même logique est utilisée lorsqu'un particulier se retourne, non pas contre Google, mais contre un site web. 

Or, l'arrêt Google c. Espagne visait précisément à contourner cette logique binaire, en permettant le déréférencement lorsque la publication elle-même était jugée légale (le cas examiné était particulièrement propice à cette dissociation, puisqu'il s'agissait d'une publication faite par ordre de l'administration). C'est-à-dire en affirmant qu'il ne s'agissait pas simplement d'une opposition binaire censure/liberté d'expression, mais plus généralement du pouvoir important de définition d'un profil humain dont dispose Google.

Ainsi, récemment, le TGI de Paris a déclaré non recevable la requête d'un individu effectuée au site 20 Minutes afin de supprimer un article publié il y a plus d'une dizaine d'années et intitulé « Poursuivi pour tentative de meurtre il avait participé au Bigdil » (cf. décision sur Legalis). Il s'agit-là d'un cas analogue à celui du journaliste néerlandais, à ceci près que les faits en cause sont plus graves (violences volontaires ayant entraîné une incapacité permanente, contre un plagiat), et que la requête, au lieu d'être faite à Google, l'est faite au site lui-même. Mais, dès lors, le tribunal ne peut que répondre par "oui" ou "non", c'est-à-dire imposer, ou non, la suppression de l'article de presse, donc le censurer au nom de la protection de la vie privée.

On peut s'interroger sur ce phénomène qui mène à ce que des faits répréhensibles commis plus de dix ans auparavant soient non seulement toujours en ligne, causant des problèmes sociaux et économiques (rapports avec les collègues, recherche d'emploi, etc.) évidents, et qu'un tribunal considère que ces faits sont d' "intérêt public", sans sembler prendre en compte la temporalité. 

D'autant plus qu'à reprendre l'arrêt Google, si "cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information", une telle formulation peut conduire, dans certains cas - dont ceux ici cités - à un paradoxe insoluble: plus un fait est grave, plus le juge considère que le public a un intérêt légitime à le connaître, mais plus cette information est "sensible" pour la "vie privée" de la personne, c'est-à-dire dommageable. Un dommage qu'en d'autres contextes, les tribunaux n'ont aucun problème à évaluer, puisqu'ils pourraient compter, par exemple, la perte en revenu net dont sont victimes ces personnes soumises à la vindicte publique et gênées de façon grave dans la recherche d'emploi.

En d'autres termes: si on peut admettre que ces faits présentaient un intérêt public à l'époque, ce qui concorde avec une jurisprudence constante en termes de liberté de la presse, peut-on réellement affirmer qu'ils présentent encore aujourd'hui un tel intérêt, surtout si on le met dans la balance avec l'intérêt du sujet concerné à pouvoir continuer sa vie sans traîner éternellement cette casserole - si grave fût-ce-t-elle? 

Il semble clair que les tribunaux, que ce soit en France ou aux Pays-Bas, ont une notion beaucoup plus large que la CEDH de ce que constitue "l'intérêt du public". Car si la CEDH limitait le droit à l'oubli - qui, d'ailleurs, s'applique même si l'information référencée n'est pas préjudiciable - aux personnes dont le "rôle joué (...) dans la vie publique" n'est pas important, caveat qui d'évidence visait les politiques et les stars, les juridictions nationales semblent en pratique considérer que toute personne évoquée ne serait-ce qu'une fois dans les médias ou y travaillant sont, de facto, des personnalités publiques privées de droit à l'oubli.

D'autre part, et c'est là une question qui ne concerne pas la "liberté de la presse" mais le classement Google, au nom de quoi cette firme décide-t-elle de mettre en première page de tels articles, qui, disons-le franchement, n'ont comme seul intérêt véritable, dix ans après les faits, que de bousiller la vie d'un individu ? N'est-ce pas contredire frontalement le principe de réhabilitation auquel obéit, en principe du moins, toute la logique pénale ?    

Dès lors, plutôt que de se voir uniquement en censeur potentiel, les tribunaux ne devraient-ils pas s'interroger sur la possibilité de contraindre Google, lorsque le déréférencement n'est pas accordé, à modifier le référencement de façon à ce que ces résultats n'arrivent pas en première page ? C'est précisément ce qu'avait demandé, sans succès, un consultant du cabinet d'audit KPMG aux tribunaux néerlandais, victime d'un article racontant qu'il avait logé dans un container pendant plusieurs mois - information que le juge néerlandais a trouvé d'une importance capitale pour le public (cf. Kulk et Zuiderveen, 2015).    

*Kulk, Stefan and Zuiderveen Borgesius, Frederik J., Freedom of Expression and ‘Right to Be Forgotten’ Cases in the Netherlands after Google Spain (August 27, 2015), in European Data Protection Law Review 2015-2, p. 113-125. Available at SSRN: http://ssrn.com/abstract=2652171

*Google et le mot-clé "juif": devant les juges  , Vos Papiers, 10 mai 2012
*Google et le droit à l'oubli en Espagne, Vos Papiers, 8 février 2011




Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

L'affaire Lukis Anderson ou quand le test ADN s'égare

En 2001, 2003, 2004, 2005, 2006 et 2007  l'inscription au FNAEG (Fichier national automatisé des empreintes génétiques) a été largement étendue à toutes sortes de délits - avec les lois, respectivement, "sur la sécurité quotidienne" de novembre 2001, promulguée par le gouvernement Jospin dans la panique post-11 septembre; la loi pour la sécurité intérieure de 2003, dite loi Sarkozy II; la loi Perben II du 9 mars 2004; la loi de 2005 sur la récidive promulguée sous Villepin; la loi sur les violences conjugales de 2006 et la loi de 2007 sur la prévention de la délinquance, également sous Villepin. En 2014, plus de 2,6 millions de profils y étaient enregistrés, ainsi que plus de 200 000 traces correspondant à des profils inconnus - c'est-à-dire non encore enregistrés.

On connaît les dérapages liés à ce fichier, avec par exemple l'histoire du gamin à qui on avait imposé un prélèvement ADN suite au vol d'un Tamagoshi, ou les risques posés par "l'identification familiale", permettant, à partir d'un profil fiché, de remonter aux membres proches du sujet (il faut donc multiplier les 2,6 millions de profils effectivement fichés par leurs proches pour évaluer combien de personnes sont concernées par le FNAEG, ce qui conduit à une part non négligeable de la population française). On a relativisé l'utilité, ici, du FNAEG dans l'identification des responsables de viol, qui le plus souvent sont loin d'être des parfaitement inconnus de la victime.

Aujourd'hui, alors que la presse annonce qu'on aurait retrouvé des empreintes génétiques qui permettraient, peut-être, de disculper le jardinier Omar R., dans la célèbre affaire "Omar m'a tuer", des scientifiques constatent dans Nature* que le progrès dans l'analyse des empreintes génétiques conduit non pas seulement à une meilleure fiabilité, mais au contraire à un problème majeur de fiabilité!  

L'explication est simple. Alors qu'à l'époque du rapport Cabal, en 2001, sur la fiabilité de l'empreinte génétique en matière judiciaire, il fallait un échantillon corporel (dûment conservé par la police) afin d'effectuer un prélèvement ADN - soit du sang, du sperme ou autre fluide corporel -, aujourd'hui il suffit de passer un coton-tige sur des surfaces qui auraient pu être touchées par le suspect pour prélever les cellules nécessaires au test ADN. Il faut, aujourd'hui, moins de 100 picogrammes d'ADN pour reconstituer un profil génétique complet.

Or, la présence de traces aussi infinitésimales ne prouvent en rien la présence d'une personne sur les lieux, ou le fait qu'elle ait touché tel ou tel objet. Tout simplement parce qu'elles peuvent facilement provenir de transferts secondaires. Une expérience a ainsi montré que lorsque deux personnes se serrent la main, puis touchent un couteau, dans 85% des cas l'ADN de l'autre sujet est transféré sur l'objet et ensuite profilé. Plus inquiétant: dans 20% des cas, l'analyse de l'empreinte génétique résultante "montrait" que ce sujet (qui n'a en réalité pas touché le couteau) est celui qui l'a majoritairement, voire exclusivement, manipulé.

C'est ainsi qu'en 2013, en Californie, Lukis Anderson a été accusé de meurtre et détenu en prison cinq mois, avant d'être innocenté, parce qu'on avait retrouvé son empreinte génétique sous les ongles d'un cadavre. Or, Anderson était ivre mort à l'hôpital au moment du meurtre. En fait, ce sont les paramédicaux qui l'avaient soigné qui ont transféré ses empreintes génétiques sur le corps de la victime, qu'ils ont également eu en charge peu après...

A lire la communication à l'Académie de médecine, en 2012, de M. Christian Doutremepuich, ce problème de transfert secondaire de traces n'a pas franchi les frontières. Ce qui est un peu inquiétant si plus de 200 000 traces sont inscrites dans le FNAEG, et que la loi n'est pas modifiée pour interdire la conservation de traces non issues d'échantillons biologiques important (soit de sang, sperme, etc., en quantité suffisante).

  

 * Cynthia M. Cale, "Forensic DNA evidence is not infallible", Nature, 28 octobre 2015, vol. 526, n°7575

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Big Data & vie privée: quand Twitter permet d'identifier les dépressifs

Samaritain, l'A.I. à la Meilleur des mondes de la série TV People of Interest, ça vous rappelle quelque chose? L'an dernier, une firme a créé un mini-Samaritain pour détecter les personnes à tendance suicidaire sur Twitter... Ou les dangers du Big Data.

Le numéro spécial de Science sur l'intelligence artificielle contient un article intéressant, intitulé "Data, privacy, and the greater good" (17 juillet 2015, vol. 349, n°6245, p.253-255).

Les auteurs, E. Horvitz et D. Mulligan, adressent la question des menaces pesant sur la vie privée au vu de l'analyse automatisée du Big Data et des procédés de machine-learning, qui permettent de tirer des inférences potentiellement indiscrètes à partir de données privées rendues publiques (i.e. pages Facebook, fils Twitter, etc.), lesquelles elles ne révèlent a priori rien de sensibles. Seul la coordination des données constitue en effet le caractère sensible de l'information obtenue. Ils insistent à bon droit sur la non-opérativité du concept de "données anonymes" (fortement présent dans la législation) puisqu'il est désormais possible, dans de nombreux cas, de ré-identifier ces données.

Quelques exemples édifiants - qui soulignent, contre d'innombrables tribunes récentes dans les médias, que la santé n'est pas nécessairement un argument de choc pour le partage des données... 

En 2014, une application britannique opérant sur Twitter, nommée Good Samaritan (après la série People of Interest?), affirmait pouvoir détecter, en analysant les fils de discussion, les personnes sujettes à d'éventuels comportements suicidaires. En à peine une semaine, 3 000 personnes s'étaient inscrites à l'application, identifiant les tweets jugés dépressifs de 900 000 comptes! Bien que l'entreprise niait être le gestionnaire des données (data controller, un détail crucial eu égard au droit de la vie privée), elle ferma le service aussitôt, suite à l'émotion soulevée (voir la pétition Shut Down Samaritan Alert). Quoique cette firme n'avait évidemment comme seul but le bienfait de l'humanité, ses détracteurs soulignaient que l'appli pouvait être utilisée par d'éventuelles personnes mal-intentionnées afin de traquer les tweeters fragiles (les dits stalkers). 

Sans tomber sur des psychopathes, on frémit à l'idée de patrons s'abonnant aux comptes tweeters de leurs employés... à des amis ou proches s'intéressant un peu trop à vos états d'âmes... ou à Google estimant votre taux de bonheur en fonction de votre localisation GPS et de l'usage de vos applis sur téléphone. Il est vrai que ce taux est un critère indéniable du bien-être, et doit être pris en compte par toute conception un tant soit peu large de la santé. N'est-ce pas?

Outre Samaritan, des chercheurs de Palo Alto, toujours à la pointe du progrès, ont soutenu qu'on pouvait utiliser Facebook pour détecter les "dépressions post-partum" (1). Cela permettrait sans doute un grand bénéfice pour l'humanité, par exemple en permettant d'envoyer des opérateurs agréés pour vous contraindre à un traitement thérapeutique voire préventif (et oui, il faut être pro-actif!), ou du moins à faire du sport. Ou encore en permettant à un employeur potentiel de mettre en balance ce CV excellent avec ce signe non moins certain d'une moindre productivité. Gagnant-gagnant?

L'article contient également quelques indications sur les rapports de l'administration Obama sur ce sujet.

Notes et références: 

(1) M. De Choudhury, S. Counts, E. Horvitz, A. Hoff, Characterizing and predicting postpartum depression from Facebook data, in Proceedings of International Conference on Weblogs and Social Media [Association for the Advancement of Artificial Intelligence (AAAI), Palo Alto, CA, 2014]

 A lire: Horvitz et Mulligan, Science magazine, 17 juillet 2015, 349 (6245): 253-255, http://www.sciencemag.org 

Voir aussi : "Nos tweets peuvent-ils prédire une attaque cardiaque?", Internet Actu , 6 mai 2015, et le site du psychologue (un doctorant bien loti!) en question : http://www.jeichstaedt.com

Et pour l'anecdote, le premier psychothérapeute robotisé de l'histoire: http://psych.fullerton.edu/mbirnbaum/psych101/Eliza.htm  

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Interdire la biométrie de confort: une proposition sénatoriale bloquée à l'Assemblée

Le 27 mai 2014, le Sénat a adopté la proposition de loi "visant à limiter l'usage des techniques biométriques", déposée à l'initiative du sénateur de la Nièvre Gaëtan Gorce (PS) et votée avec l'appui non seulement de la gauche mais aussi du groupe UMP. Simple, cette proposition était composée de deux articles, le premier contenant la substance du projet tandis que le second donnait une période de transition de trois ans aux entreprises pour s'y conformer. Cet article 1er ajoutait à la loi de 1978 sur les données personnelles un article selon lequel:

« II bis. - Pour l'application du 8° du I, ne peuvent être autorisés que les traitements dont la finalité est la protection de l'intégrité physique des personnes, la protection des biens ou la protection d'informations dont la divulgation, le détournement ou la destruction porterait un préjudice grave et irréversible et qui répondent à une nécessité excédant l'intérêt propre de l'organisme les mettant en œuvre. »

Comme l'indiquent les débats de séance, il s'agissait d'interdire la "biométrie de confort", c'est-à-dire toutes sortes d'applications biométriques ne visant pas strictement à sécuriser des locaux. L'exemple-phare étant la reconnaissance du contour de la main dans les cantines scolaires. 

On sait que la doctrine de la CNIL consiste en effet à appliquer un principe de proportionnalité des techniques selon la finalité visée, mais non à juger de la pertinence de celle-ci. Au risque d'une généralisation tous azimuts des techniques biométriques, qui conduit d'une part à banaliser celles-ci, d'autre part à les fragiliser dans la mesure où plus nos données biométriques sont utilisées, plus elles deviennent des cibles pertinentes de piratage - et enfin, bien sûr, à augmenter le chiffre d'affaires du secteur, ce dont certains sénateurs de gauche ont pu se féliciter, mais ce qui conduit également à augmenter leur pouvoir d'influence (leur lobbying), enclenchant un cercle vicieux du "progrès technologique". 

Cette doctrine élaborée au fil des recommandations de la CNIL l'a conduite à restreindre l'usage des empreintes digitales à des contextes sécuritaires, tandis que les cantines scolaires et nombre de dispositifs de contrôle d'accès biométrique en entreprise étaient limitées à l'usage du contour géométrique de la main - technologie considérée comme non "à trace", c'est-à-dire qu'on ne peut prélever à l'insu d'une personne ce contour (contrairement à son empreinte digitale, ce qui permet ensuite de la pirater). 

Par ailleurs, poussée peut-être par un certain vent de contestation, la CNIL avait opéré un revirement de jurisprudence en 2012, en retirant son autorisation unique portant sur l'usage de la biométrie en matière de contrôle des horaires en entreprise (le pointage). 

Cette proposition de loi permettait donc de mettre un relatif coup d'arrêt puisqu'il faudrait désormais justifier d'impératifs sécuritaires pour l'usage de tout dispositif biométrique, y compris ceux considérés par la CNIL comme faiblement intrusifs - au demeurant, malgré l'optimisme sénatorial, il n'est pas certain que l'administration scolaire ne puisse invoquer ceux-ci à l'appui de leurs dispositifs de contrôle d'accès utilisés dans les cantines. 

Votée par le Sénat le 27 mai 2014, soit trois mois après le dépôt de celle-ci, la proposition a été transmise à l'Assemblée nationale le jour même et transmise à la Commission des lois, seule compétente pour la mettre à l'ordre du jour. Près d'un an après, Godot attend. 

Sources : 

Dossier législatif sur le site du Sénat: http://www.senat.fr/dossier-legislatif/ppl13-361.html
Dossier sur le site de l'Assemblée: http://www.assemblee-nationale.fr/14/dossiers/limitation_usage_techniques_biometriques.asp

  Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Appel à témoignage ! Violation de la vie privée

Vos Papiers! relaie l'appel à témoignage de la Commission nationale consultative des droits de l'homme (CNCDH) concernant le "fonctionnement des voies de recours en matière de protection des données à caractère personnel".

voir par ailleurs une nouvelle pétition "En 2012, sauvons la vie privée!", lancée par l'Union syndicale de la psychiatrie et signée par la LDH, le GISTI, le Collectif National de Résistance à Base Eleves, ATTAC, le PCF, le NPA, etc., et qui réclame, entre autres, que la CNIL fasse valoir "son opposition la plus claire à toute extension et toute interconnexion des fichiers de contrôle et de sélection socio-économiques". 

L'agence des droits fondamentaux de l'Union européenne (FRA) réalise actuellement une étude sur le fonctionnement des voies de recours en matière de protection des données à caractère personnel en France. Le champ de l'étude inclut notamment la consommation et la communication, en particulier dans le cadre d'activités sur Internet et à travers les réseaux sociaux. 

L'un des objectifs est de mesurer si les recours existants répondent aux attentes des particuliers. En charge du volet français de l'étude, le CEDRA/Commission nationale consultative des droits de l'homme recherche actuellement des personnes victimes de violations de leurs données à caractère personnel (collecte, traitement, ou divulgation/communication illicite de données, usurpation d'identité, prospection publicitaire sans consentement préalable etc.) ayant engagé un recours/ ou envisagé de le faire au cours des 3 dernières années ou actuellement, et disponibles pour partager leur expérience. 

Les entretiens individuels seront réalisés en mars 2012, éventuellement par téléphone. Les témoignages seront anonymisés et utilisés dans le stricte cadre de l'étude. Des entretiens complémentaires seront menés avec des avocats spécialisés, des associations, des magistrats, ainsi que des membres du personnel de la CNIL. 

Le rapport final de l'étude sera transmis à l'Agence européenne en juillet 2012, l'objectif étant que les conclusions consolidées, portant sur les 27 Etats membres de l'UE, contribuent au renforcement de l'action et des instruments existants dans ce domaine. 

L'agence des droits fondamentaux de l'Union européenne (FRA) réalise actuellement une étude sur le fonctionnement des voies de recours en matière de protection des données à caractère personnel en France. Le champ de l'étude inclut notamment la consommation et la communication, en particulier dans le cadre d'activités sur Internet et à travers les réseaux sociaux. L'un des objectifs est de mesurer si les recours existants répondent aux attentes des particuliers. 

Si vous êtes intéressé(e) à participer ou souhaitiez, au préalable, des compléments d'information, merci de nous contacter dès que possible à l'adresse suivante : contact@cedra-france.eu 

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Google et le droit à l'oubli en Espagne

La procédure enclenchée par Google devant l'Audiencia Nacional, l'une des plus hautes juridictions d'Espagne, pour contester les résolutions de l'Agence espagnole de protection des données personnelles (AEPD) en matière de "droit à l'oubli" permet d'approfondir le débat concernant ce sujet au cœur de la révision de la directive de 1995 sur la protection des données.

Plutôt que d'approcher ce débat du point de vue de la seule "responsabilité des utilisateurs", comme le faisait Yan Claeyssen, PDG d'une agence de marketing web (cf. "Oublier le droit à l'oubli" sur Vos Papiers!), ce procès, qui a commencé le 19 janvier 2011 (Le Monde, 18/01/11) doit permettre de déterminer qui, des administrations publiques ou de Google, est responsable de la protection de la vie privée et du droit à l'oubli. 

De la décision de la Cour dépend, in fine, la charge des coûts visant à équilibrer les différents droits en jeu, à savoir le droit à l'oubli et le droit d'accès aux informations publiques. Celui-ci sera-t-il intégralement supporté par les administrations publiques, territoriales et nationales, et donc par le contribuable? Ou Google devra-t-il participer, financièrement et techniquement, au juste équilibre entre ces droits concurrents?

Quiero que Internet se olvide de mí

Google conteste en effet près de 70 résolutions de l'AEPD, équivalente espagnole de la CNIL (El Pais du 18/01/11). Celle-ci a en effet donné raison, et ce depuis plusieurs années, à des requêtes de citoyens espagnols outrés de voir que Google affiche en première page de résultats les publications officielles locales faisant état de tous un tas d'informations personnelles, allant du soutien sanitaire attribué à un toxicomane à des condamnations bénignes et anciennes telles que le fait d'uriner sur la voie publique (cf. par ex. "Google tendrá que olvidar tu pasado" dans El Pais du 22 janvier 2008, faisant état de la première résolution de l'AEPD allant en ce sens).

"Je veux qu'Internet m'oublie" titrait El Pais du 7 janvier. Et de citer des propos officiels de l'AEPD, selon lesquels aucun citoyen ne devrait se résigner à voir ses données personnelles circuler de façon sauvage sur le net. L'affaire AEPD contre Google oppose en effet la firme états-unienne en quasi-situation de monopole à la CNIL espagnole sur plusieurs terrains, juridique, économique et techniques.

Le droit à la vie privée face au droit d'information et aux publications officielles

Au niveau juridique, il s'agit d'équilibrer le droit à la vie privée non pas tant à la liberté d'expression qu'au droit d'accès et d'information, garanti aux citoyens par les pouvoirs publics. La démocratisation de l'Etat moderne ("l'Etat de droit") conduit en effet celui-ci à s'imposer davantage de "transparence" dans la publication de ses actes. Or, ceux-ci incluent la publication, dans des bulletins officiels, nationaux ou régionaux, d'un ensemble de données ou d'informations personnelles, dans des cadres très différents: tantôt il s'agit de rendre publique une condamnation pour un délit mineur, tantôt l'adresse et le numéro de téléphone de résidents d'une municipalité, tantôt des données de santé, etc. 

Si la loi impose de publier ces informations, celle-là ne connaissait pas encore Internet et les merveilleuses capacités de Google, qui donnent accès à tout un chacun, depuis son clavier, à des informations n'ayant guère d'"intérêt général" - il ne s'agit pas de personnalités publiques -, anciennes voire périmées ou non-actualisées.  C'est ainsi que votre employeur peut tomber sur des informations vieilles de dizaines d'années, concernant votre condamnation pour fait d'urine sur la voie publique ou votre présentation au conseil municipal sous les couleurs d'un parti minoritaire, fantaisiste ou qui n'a tout simplement pas l'heur de lui plaire. Ou un proche ou moins proche apprendre que vous vous êtes mariés confidentiellement dans telle municipalité, éventuellement avec une personne du même sexe puisque cela est autorisé en Espagne.  Le G29, équivalent européen de la CNIL, déclarait ainsi en 2008:

Les capacités de représentation et d’agrégation des moteurs de recherche peuvent nuire considérablement aux individus, tant dans leur vie personnelle qu’au sein de la société, en particulier si les données à caractère personnel qui figurent dans les résultats de recherche sont inexactes, incomplètes ou excessives.

Le droit d'oubli s'exerce alors comme variante du "droit d'accès et de rectification" des données, dont une étude récente montrait à quel point il était difficile à mettre en œuvre ("82% des organismes ne respectent pas la loi Informatique et libertés", Bug Brother, 28/01/11).

Google a beau jeu, ici, de se faire défenseur de la "liberté d'expression", alors qu'elle participe, ni plus ni moins, à une "transparence" qui terrifie les politiques (on se rappelle de la réaction outragée de Patrick Devedjian lorsqu'un adversaire exhuma un article de 1965 relatant une condamnation de ce dernier, suite aux attaques de Devedjian contre Ali Soumaré et son utilisation du fichier STIC pour ce faire...). Mais si la presse s'abrite, à juste titre, devant la liberté d'expression pour se protéger de la censure, la question des notices administratives publiées par des organismes officiels et centralisés via Google est bien distincte. 

Pour Marc Carillo, professeur de droit constitutionnel à l'Université Pompeu Fabra, cité par El Pais du 7 janvier, les citoyens devraient bénéficier de ce droit à l'oubli dès lors que l'information n'a pas d'intérêt public. Cependant, ce dernier considère que toute condamnation pénale est d'intérêt public, ce qui est plus que contestable dans la mesure où cela revient à généraliser le système de surveillance publique des auteurs de crimes et délits sexuels en vigueur aux Etats-Unis à la moindre infraction. En d'autres termes, à nier toute validité au principe de réinsertion et à donner accès à tout un chacun aux moyens étatiques de surveillance de la population et d'enregistrement des condamnations passées. Qu'un prof de droit constit puisse défendre une telle vision totalitaire est plus qu'effrayant...

Responsabilité technique des sites ou de Google, en situation de quasi-monopole?

C'est ici que Google passe de l'argumentaire "chevalier de la liberté d'expression" (sic) aux questions techniques pour se défausser de toute responsabilité. Selon le moteur de recherche, qui de plus revendique son statut d'entreprise californienne pour s'affirmer comme non-sujet à la législation européenne, ce sont les administrations qui publient les données personnelles en ligne qui devraient être assujetties à d'éventuelles règles concernant le droit à l'oubli.

Cet argument est balayé par le président de l'AEPD, Artemi Rallo, qui déclarait dans El Mundo: 

"Le problème, ce n'est pas qu'il y ait des données personnelles sur un site en particulier, c'est que les moteurs de recherche, notamment Google qui est en situation de monopole, diffusent ces données urbi et orbi".

L'enjeu est évidemment économique, tenant au coût éventuel de mesures de protection de la vie privée (en l'espèce, du droit à l'oubli) à mettre.en place par Google. Mais comme l'indiquait un juriste sur le site Iurismatica, l'efficacité du droit à l'oubli ne pourra provenir que d'une conjonction de mesures adoptées par les sites eux-mêmes et par Google. 

Il est en effet invraisemblable que Google ait réussi jusqu'à présent à convaincre les autorités qu'il n'était qu'un "outil neutre" garant de la "liberté d'expression", alors que sa situation de monopole et la nature de ses logarithmes, qui n'a rien de "neutre", et qui vise à faire du bénéfice sur les résultats de recherche, le rend clairement responsable d'un accès démesuré à des données personnelles erronées, périmées ou qui devraient être "oubliées". 

D'un autre côté, les administrations ont aussi le devoir de mettre en place certaines mesures techniques afin d'empêcher le référencement de leurs sites (type NOINDEX, etc.), comme le signalait le G29. Mais faire peser sur ces dernières toute la charge de ces dispositifs techniques semblerait incohérent, dans la mesure où ce sont précisément les facultés de Google qui les contraindraient à prendre ce coût en charge. La législation européenne qui tend à considérer que les moteurs de recherche ne sont pas "les principaux responsables" du contenu des données indexées devrait préciser ce que cela implique : car s'ils ne sont pas les "principaux responsables" de la publication de ces données, ils le sont clairement dès lors qu'il s'agit de leur accessibilité. Ce qui, in fine, est bien le but d'Internet et des moteurs de recherche...

Répartir les charges et repenser le mode de publication d'informations officielles et personnelles

En d'autres termes, ce qui s'oppose dans ce procès, ce n'est pas seulement le "droit à l'oubli" contre le "droit d'accès aux informations publiques", mais aussi la répartition des coûts visant à maintenir cet équilibre. Et Google n'a d'autre optique que de se défausser sur le public, donc sur le contribuable, du coût de mesures techniques dont la mise en place est requise en raison du succès commercial foudroyant de la firme obtenu grâce à ses logarithmes de recherche.

Au-delà de cette question économique, c'est aussi une nécessaire réflexion sur la publication officielle de données et sur l'étendue de la publicité à apporter à celles-ci par les autorités qu'il convient d'entamer. Car s'il est entendu que certaines données doivent être affichées en mairie, considérer de façon identique la publication sur Internet, l'affichage local ou la publication dans un bulletin régional ou municipal relève d'une grave erreur qui menace, en effet, de faire de la transparence démocratique un alibi de la société de surveillance.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

L'ADN et la brioche, ou la décision d'instruction européenne

La police française pourra-t-elle réclamer à Scotland Yard l'ADN d'un môme britannique ayant volé une brioche lors de son périple au-delà de la Manche? Voilà le genre d'affaires qui inquiète, entre autres, différents groupes britanniques. Un avocat et ancien député britannique (conservateur, les Anglais font tout à l'envers, n'est-ce pas?), Jerry Hayes, s'alarme ainsi qu'un "policier véreux à la solde de la Mafia" du "sud de l'Italie" puisse demander, à l'avenir, à la police de Sa Majesté les échantillons ADN - que celle-ci stocke dans des quantités qui font frémir d'envie ses homologues français - d'un "suspect".

C'est l'un des nombreux risques que nous fait courir le projet de directive sur la décision d'instruction européenne, qui prévoit la transmission mécanique de "preuves" lors d'enquêtes pénales avec pratiquement aucun garde-fou. Alors que la procédure pénale diffère fortement selon les pays - par exemple au sujet des conditions de la collecte d'échantillons ADN - et que les délits eux-mêmes ne sont pas les mêmes, cette directive contraindrait un Etat à enquêter sur un ressortissant pour le compte d'un autre Etat, quand bien même le délit en question n'en serait pas un pour cet Etat.

La directive sur la décision d'instruction européenne, ou comment ouvrir ses fichiers à tous les limiers policiers

Ce projet de directive, déposé en avril 2010 par 7 Etats-membres de l'UE (Belgique, Bulgarie, Estonie, Espagne, Autriche, Slovénie, Suède - pour une fois la France n'est pas à l'initiative de cette proposition liberticide) , vise à instaurer une "décision d'instruction européenne" qui devrait remplacer l'actuel "mandat européen d'obtention de preuves" et les traités d'assistance juridique réciproque (ainsi que la Convention de 1959 du Conseil de l'Europe, l'accord de Schengen, et une Convention de l'UE de 2000).

La presse francophone ne semble pas se soucier outre mesure de ce projet, qui a fait l'objet de titres alarmants outre-manche: "Britons to be spied on by foreign police" (Les Britanniques seront espionnés par des polices étrangères), titrait le Telegraph ; "European police to get access to UK records" (La police européenne aura accès aux fichiers britanniques) s'indignait The Independent. 

Jargo Russell, de l'ONG Fair Trials International, souligne ainsi que les polices des Etats-membres de l'UE pourront avoir accès aux écoutes téléphoniques de citoyens britanniques (ou français, etc.), ainsi qu'à leurs échantillons ADN ou à leurs comptes bancaires. On évoque aussi la possibilité que, par exemple, en cas d'un de ces crimes dont raffolent les tabloïds, qui aurait pu, disons, être commis dans une boîte de nuit madrilène par un suspect britannique (ou belge, etc.), Madrid puisse contraindre Londres (Bruxelles, etc.) à lui fournir l'ensemble des échantillons ADN de tout ressortissant britannique s'étant rendu en Espagne au moment du crime. 

En d'autres termes, la tentaculaire base de données génétiques constituée par le Royaume-Uni (plus de 5 millions de profils, mélangeant personnes condamnées et acquittées), et qui a fait l'objet d'une condamnation de la Cour européenne des droits de l'homme le 4 décembre 2008 (S. et Marper c. Royaume-Uni), pourrait servir à des polices étrangères lorsque celles-ci décideraient de "partir à la pêche", comme on dit dans le jargon . Ou le STIC servir à la police tchèque... ce qui, au passage, permet de douter de la valeur de ces "indices", qualifiés de "preuves", que notre chère police transmettra à quiconque des 26 autres Etats de l'Union qui le réclamera, et qui pourra conserver ces données, pour une durée indéterminée, sur ses fichiers.   

Protéger les droits de ses ressortissants dans l'Union fédérale?  

D'aucuns affirment que désormais, seul le secrétariat d'Etat aux anciens combattants ne relèverait pas, peu ou prou, des attributions de l'UE. C'est dire l'importance de l'UE, dont le caractère fédéral a été renforcé depuis le traité de Lisbonne (2007), sans que la légitimité démocratique du Parlement européen n'y gagne véritablement.

Si les Etats-membres de l'UE acceptent ainsi de poursuivre cette intégration européenne, conduite de façon technocratique depuis plus de 50 ans, on voit mal pourquoi ils s'opposeraient à une coopération policière qu'ils appellent aussi de leurs vœux, et dont les premières pierres ont été mises en place, de façon tout à fait clandestine, dès les années 1970, avec le groupe TREVI (effet indirect de la prise d'otage des JO de Munich de 1972).

La "criminalité transfrontalière" sert ainsi non seulement aux professionnels de la sécurité à assurer leur gagne-pain depuis la chute du mur de Berlin, mais aussi aux fédéralistes à approfondir l'intégration européenne. Et, de nouveau, les instruments juridiques de protection des droits fondamentaux et des données personnelles ont tendance à avoir un train de retard... comme le remarque, en l'espèce, Fairs Trial International, qui souligne qu'il n'y a toujours pas de règlement européen concernant la protection des données personnelles en matière pénale, alors même qu'on prévoit d'étendre à nouveau les échanges de données personnelles (en l'occurrence, de "preuves" ou en tout cas d'indices qui seront utilisés en tant que "preuves" appuyant des "faisceaux de présomptions") au niveau européen. 

Avec cette nouvelle directive - qui sera prise selon la "procédure législative ordinaire" de l'UE (vote à la majorité qualifiée du Conseil avec "co-décision" du Parlement européen, ce qui écarte toute possibilité d'un veto d'un Etat-membre) -, les autorités d'un Etat devront se soumettre aux desiderata des polices d'un autre Etat, quand bien même ceux-ci paraîtront abracadabrantesques. 

Le Telegraph évoque ainsi, ce cas déjà survenu où les autorités polonaises ont demandé l'extradition du suspect d'un... vol de dessert ! C'est qu'en effet, le droit polonais ne semble pas connaître notre principe de l'opportunité des poursuites, et se doit donc de les engager dès lors qu'il y a de fortes présomptions qu'un délit a été commis. Voici donc justifié en droit le titre de cet article, qui aurait pu aussi bien s'appeler: "Dupont et Dupond en Pologne, à la recherche de l'ADN des voleurs de brioche". Un mal que notre "hypo-président" (selon notre quotidien du soir) devrait immédiatement s'attacher à combattre!  

Les points douteux de la "décision d'instruction européenne"

Le principe est clair: il s'agit de faciliter la transmission d'indices, appelés "preuves", de polices à polices. Dans un monde où la "criminalité transfrontalière" est une menace qui n'a d'égal que l'ambition iranienne de se pourvoir de l'énergie nucléaire ou l'abondance des "flux de migration" qui terrorisent TF1 & Bouygues (grand constructeur de centres de rétention), on ne peut que se féliciter de ce louable souci de coopération policière. Sur ce point d'une rhétorique implacable, tous, sauf le petit village d'irréductibles, tomberont nécessairement d'accord.

Les autres sont plus douteux, mêmes aux yeux de la Société juridique d'Angleterre et du Pays de Galles, qui, sans ignorer les bien-faits d'une coopération accrue en matière de fliquage, souligne tout de même quelques lacunes du projet en matière de protection des droits fondamentaux.

D'abord, le principe de "criminalité duale" (dual criminality) sera jeté aux orties. Ce principe aurait voulu que la transmission d'indices ne puisse se faire que si le délit sur lequel porterait l'enquête soit aussi un délit dans l'Etat destinataire de la requête. L'abandon de ce principe va avec celui du principe de double incrimination (ne bis in idem), qui doit en principe éviter à un ressortissant d'être poursuivi pour le même délit dans deux Etats différents - ce dernier droit étant protégé par l'art. 50 de la Charte européenne des droits fondamentaux. Abandonner ce droit, ce serait permettre, par exemple, qu'une personne acquittée de piratage informatique en Espagne puisse être soumise à des procédures d'enquête en France où se tiendrait un second procès.    

Enfin, la condition de territorialité sera elle aussi abandonnée: à savoir que l'Etat destinataire de la requête ne pourra refuser celle-ci au motif que le délit a été commis sur son territoire. Ce qui est, là aussi, du jamais-vu dans la réglementation européenne! Le juriste Steve Peers résume ainsi le projet: 

La combinaison de ces modifications signifiera qu'une personne qui  a commis un acte légal dans l'Etat-membre où l'acte a été commis pourrait être sujet à des fouilles corporelles, à des perquisitions à domicile ou dans ses bureaux, à des enquêtes financières, à certaines formes de surveillance secrètes, ou à toute autre mesure d'enquête entrant dans le cadre de la Directive concernant tout "crime" que ce soit qui existerait sous la législation de tout autre Etat-membre, si cet autre Etat-membre étend sa juridiction pour ce crime au-delà de son propre territoire. Notons qu'il n'y a rien dans le droit de l'Union ou dans tout autre ensemble de règles sur ce sujet qui empêche un Etat d'étendre sa juridiction extraterritoriale sur des délits pénaux. 

La sage société d'Angleterre et du Pays de Galles s'inquiète aussi de ce qu'aucune disposition ne permette de refuser de transmettre des "preuves" alors même que:

• cette transmission mettrait en danger les droits fondamentaux de la personne présumée innocente (ou "suspect"); 
• qu'elle mettrait en danger un informateur éventuel ; 
• qu'elle porterait atteinte au secret professionnel - encore un cadeau empoisonné aux journalistes, qui s'empresseront peut-être de répercuter ces nouvelles lorsqu'ils en auront pris connaissance!

Un autre point concerne le caractère asymétrique de cet échange: la directive proposée n'inclut aucun moyen pour la défense d'obtenir un accès équivalent à ces "preuves". On parle de suspect, pas de présumé innocent ! La coopération dans les enquêtes judiciaires ne vaut que pour l'enquête à charge, pas pour les avocats...

Notant le cas spécifique de la Pologne sus-cité, la Société s'inquiète en outre qu'aucun principe de proportionnalité ni de principe a minima ne soit incorporé dans le texte. En d'autres termes, et en s'appuyant sur les expériences parfois malheureuses du mandat d'arrêt européen, les Etats devraient pouvoir refuser des demandes lorsqu'elles concernent des délits de peu d'importance, ou lorsque les probabilités d'arriver à une condamnation sont jugées infimes. 

Ne pas le faire conduirait à rendre possible des requêtes ahurissantes telles que celles suggérées ci-dessus, et ainsi, par exemple, généraliser l'échange des échantillons ADN et autres données biométriques - lesquelles sont inclues dans ce projet de directive, alors qu'elles étaient expressément exclues du cadre réglementaire antérieur. En bref, il deviendra très difficile, sinon impossible, d'exercer son droit d'accès vaillamment défendu par la CNIL (Commission nationale informatique et libertés) dès lors que ses données personnelles auront été transmises à un ensemble protéiformes d'agences de maintien de l'ordre existant dans les 27 pays de l'Union, et ce au moindre vol d'autoradio. Car ce projet d'échange automatique des "preuves" intervient sans qu'à aucun moment la procédure pénale concernant, par exemple, la collecte des échantillons ADN n'ait été harmonisée dans les différents Etats-membres. Un Etat pourra ainsi donc contraindre un autre Etat de soumettre l'un de ses ressortissants à un test ADN pour un délit qui, dans sa propre législation, sort de ce champ d'examens - avouons qu'en France, il en reste bien peu!

On n'évoquera pas les soucis concernant les comptes bancaires et données financières... Selon le juriste Steve Peers, la directive n'est pas claire non plus sur l'échange des casiers judiciaires, sur celui des données de connexion conservées par les opérateurs (la fameuse data retention directive 2006/24/CE) ou encore sur les opérations de surveillance ("covert surveillance") menées à l'insu des "suspects" - opérations qui devraient en principe être réglementées selon la procédure du 3e pilier, c'est-à-dire au vote à l'unanimité du Conseil et non à la simple majorité qualifiée.

On comprend dès lors que Steve Peers puisse parler d'un "abandon de souveraineté", qui mettra les inquiétants pouvoirs de police développés au fil des lois anti-terroristes et autres instruments liberticides à disposition de tout Etat qui le souhaiterait, pour les motifs les plus futiles, et fût-ce le délit en question inexistant dans l'Etat où celui-ci aurait été commis. Or, il reste un certain nombre d'actes dont la nature pénale ne fait l'objet d'aucun consensus dans l'Union, dont, par exemple, l'avortement, le blasphème, le crime de lèse-majesté ou d'offense à un chef d'Etat... Bien que la diffamation ne soit pas un délit pénal au Royaume-Uni, celui ayant publié en Grande-Bretagne un article attaquant un médecin ou avocat portugais, pourrait être soumis à la saisie de son ordinateur et à des perquisitions en cas de plainte du concerné... 

La France, la Finlande, la Suède et le Royaume-Uni sont parmi les pays qui ont attiré l'attention de la Commission sur le fait que les procédures actuelles pourraient faire l'objet d'examens et d'améliorations plutôt que de passer par ce coup de marteau législatif. Mais le cadre actuel de l'Union européenne, qui permet à quelques Etats-membres de suggérer une telle directive, puis de faire voter celle-ci à la majorité qualifiée, fait qu'en cas de mise en minorité - probable -, il faudra se soumettre à cette réglementation de l'Union. Pour une fois que la France pourra dire, sans mentir, qu'elle ne fait qu'obéir à des injonctions venues d'ailleurs ! Rien n'empêche toutefois ces Etats de proposer une directive protégeant les droits de la défense et harmonisant la collecte de "preuves" (indiciaires) en faisant un tout petit peu plus attention au respect des personnes innocentes jusqu'à preuve du contraire.

Toutes les sources citées sont répertoriées dans la section "Plus d'infos" ci-dessous. La totalité des exemples provient de celles-ci, en particulier de Fairs Trial.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie. Cliquez sur plus d'infos pour les liens de webliographie.

Oublier le droit à l'oubli?

Yan Claeyssen, président d'ETO Digital (une agence de webmarketing), s'est fendu d'une tribune sur ProClubic, intitulée de manière provocante "Pourquoi il faudrait oublier le droit à l'oubli numérique." Il s'oppose de façon virulente à ce droit revendiqué par la CNIL (Commission nationale informatique et libertés), qui rappelait en novembre 2009 qu'il n'y a "pas de liberté sans droit à l’oubli dans la société numérique". 

L'analyse de l'argumentation claire et intelligente de M. Claeyssen se révèle très instructive, dans la mesure où elle met en lumière les présupposés typiques d'une idéologie libérale voire réactionnaire de la dérégulation et de la "responsabilité" des individus, tout en risquant paradoxalement de faire le jeu de ce que même la CNIL (ne parlons pas de la Ligue des droits de l'homme ou de Pièces et mains-d'œuvre) qualifie de "société de surveillance".

Pourquoi oublier le droit à l'oubli ?

La tribune de notre expert ès marketing se fonde sur un argument pragmatique (légiférer serait inefficace) et insiste sur une dimension "philosophique" (sociologique ou culturelle, en fait): il faudrait distinguer la vie privée, concept juridique, de l'intimité, notion socio-culturelle en évolution. Par ailleurs, le "droit à l'oubli" nous amènerait au "révisionnisme numérique", rien de moins! Yan Claeyssen écrit ainsi:

• "il est illusoire de vouloir légiférer dans un contexte technologique complexe et international (...) La loi sera inefficace (la LCEN n'a pas empêché le spam de se développer)"; 
• ensuite, un argument "philosophique": "L'inscription de ce type de droit au sein de la constitution me semble non seulement inapplicable mais très risqué. Ce droit à l'oubli pourrait rapidement être assimilé à un droit de dire et de faire n'importe quoi sur l'ensemble des média digitaux". Il mènerait directement au "révisionnisme numérique" et nous "déresponsabiliserait".
• enfin, il distingue le concept juridico-politique de la "vie privée" à "l'intimité" comme "construction sociale et culturelle". Dès lors, cette dernière évolue (et de citer le "village global" de McLuhan), ce qui lui fait dire: "Le concept de vie privée permet donc de fournir un cadre juridique à l'intimité. Doit-il pour autant en scléroser la définition et le périmètre ? En effet, il est évident que l'avènement d'une société hyper-connectée change quelques peu la donne."

De cela, il conclut que "ce n'est pas en légiférant que l'on protégera les individus, mais en leur apprenant à se servir de ces nouveaux supports et à les exploiter pour se protéger eux-mêmes." Bref, rien ne sert de légiférer, sans parler de constitutionnaliser ce droit à l'oubli, d'une part parce que cela n'aurait aucun effet réel, d'autre part parce que cela serait "dangereux", "déresponsabilisant" et "sclérosant". On reconnaît là le vocabulaire typique de la droite néolibérale, se prétendant à la pointe du progrès.

Comment protéger la vie privée?

Pour autant, les propositions finales de M. Claeyssen sont loin d'être provocantes ou idiotes: il faudrait "sensibiliser le public", en particulier dès l'école primaire; l'informer et favoriser la transparence sur les sites internet; faciliter la navigation anonyme et l'effacement des cookies; "faire respecter les lois déjà existantes contre la diffamation, l'usurpation d'identité, l'exploitation malhonnête de données privées, etc."

Enfin, ce PDG que nous avions pris pour un libéral se révèle beaucoup plus social-libéral que néolibéral, puisqu'il va jusqu'à rêver (ça ne fait pas de mal!) à un "service public de veille et de conseil dans l'usage, la gestion voire la défense de son image et de sa réputation sur Internet à l'instar des sociétés privées qui réalisent cette prestation pour les grandes marques".

M. Claeyssen et la CNIL

Bref, cette tribune qui se voulait provocante à l'égard de la CNIL se contente, en grande partie, de préconiser les mêmes mesures que l'autorité de protection des données personnelles souhaiterait mettre en œuvre.

La "sensibilisation du public", l'éducation à l'importance de la protection de la vie privée dès le plus jeune âge, la transparence sur les sites, la facilitation de la navigation anonyme (laquelle, en pratique, se révèle ardue) et de l'effacement des cookies (lequel, en pratique, est illusoire sur la grande majorité des sites, puisque accéder à leurs services requiert d'admettre les cookies), sont en effet des leitmotivs du G29 (autorité européenne) et de la CNIL: voir, par exemple, l'avis du G29 de 2009 sur la protection des données personnelles de l'enfant, qui ne préconise pas autre chose.

L'économiste Fabrice Rochelandet est lui bien plus sceptique que la CNIL ou que M. Claeyssen. Selon celui-là, il est en effet illusoire de vouloir conseiller les internautes alors que les soucis de protection de l'intimité et de l'anonymat varient selon chacun :

il n'y a pas de norme sociale de la vie privée. Chacun a sa propre stratégie, et se comporte comme il veut. En raison de cette pluralité de comportements, il n'existe aucune norme et il est impossible de conseiller un comportement sur internet. Les frontières bougent car les gens ont tendance à devenir des personnages publics sur internet.

M. Claeyssen ne doute pas non plus du péril constitué par l'omniprésence des traces sur Internet et la possibilité pour tout un chacun d'accéder à un ensemble de données personnelles vous concernant (toute personne ayant visité 123people.fr peut constater à quel point il peut être agréable de porter un patronyme commun). La CNIL nous met en garde :

Dès lors, comment réagir lors d’un entretien d’embauche quand votre interlocuteur vous avoue qu’il doute que vos opinions politiques, affichées sur Facebook, soient compatibles avec les valeurs de l’entreprise?

Comment gérer les conséquences sur sa vie personnelle d’une condamnation judiciaire reprise sur un site Internet, sans limitation de durée, alors même qu’une publication par voie papier n’aurait eu qu’un effet ponctuel et que le casier judiciaire prévoit l’effacement, au bout d’un certain temps, des condamnations ?

Ou encore, comment éviter qu’un bailleur refuse de louer un appartement à un jeune professionnel quand il aura trouvé sur lui des preuves d’une vie étudiante agitée, mais révolue ?

C'est ici que les positions de la CNIL et de M. Claeyssen divergent. Celle-là reconnaît la différence importante entre Internet, qui permet une centralisation de données personnelles stockée ad vitae eternam et leur accès immédiat pour tout un chacun, alors que le support papier est par définition fragmenté et difficile d'accès (l'exemple de la découverte par hasard des fichiers juifs de la Préfecture de police, compilés par André Tulard, par l'historienne Sonia Combes au début des années 1990 illustre ce qui sépare l'archivage de l'accès effectif aux archives recherchées).

Au contraire, M. Claeyssen considère que ce ne serait rien de moins que favoriser le "révisionnisme" que de pouvoir effacer ses traces sur Internet! Il rejette ainsi catégoriquement cette sage précision de la CNIL, pour qui les exemples précités:

démontrent pourquoi il serait inacceptable que l’information mise en ligne sur une personne ait vocation à demeurer fixe et intangible, alors que la nature humaine implique, précisément, que les individus changent, se contredisent, bref, évoluent tout naturellement.

Il en va, pour tous, de la protection de la liberté d’expression et de la liberté de pensée, mais aussi du droit de changer d’avis, de religion, d’opinions politiques, la possibilité de commettre des erreurs de jeunesse, puis de changer de vie.

Au nom de la lutte contre le "révisionnisme" (sic), M. Claeyssen adopte ainsi une posture essentialiste qui condamnerait chacun à être sclérosé par ses actes passés (pour reprendre ses termes). On aurait pourtant cru que le "révisionnisme numérique" concernait davantage la presse et les organismes officiels qui effacent sur leurs sites des articles ou communiqués, ne laissant plus qu'à l'archiviste du Net l'espoir qu'Internet Archives ou autre site ait pris en cache la page web.

Cependant, Claeyssen admet qu'on a le droit de protéger sa vie privée, tout en présentant l'exposition de chacun aux yeux de tous comme un "progrès" de l'intimité, une "évolution" qu'il ne faudrait pas "scléroser". Pour ceci, il s'en remet à une auto-régulation, une auto-discipline des sites Internet et des internautes "éclairés", leitmotiv non seulement de la CNIL mais de toute instance libérale, rétive à la régulation et à l'imposition de normes législatives qui "brideraient le commerce". Mais comment peut-on espérer que les sites Internet acceptent de mettre en place une politique respectueuse de la vie privée et du "droit à l'oubli" sans légiférer?

Sans parler du doux rêve de constituer une "agence publique de conseil en ligne" à l'heure des privatisations et de la réduction du déficit public, croire que le "soft law", les codes déontologiques ou l'auto-régulation des acteurs économiques suffirait révèle, au mieux, de la naïveté.

On peut ensuite s'interroger sur la question juridique proprement dite: les lois existantes suffisent-elles à protéger le droit à l'oubli? Faut-il constitutionnaliser ce dernier? Quel effet peut avoir une loi nationale dans le contexte mondial d'Internet? Ces réponses sont plus complexes que ce que notre expert ès webmarketing voudrait nous laisser croire.

D'une part, il est faux de dire qu'une loi nationale serait totalement inefficace: l'interdiction des sites négationnistes est bien effective en France, même s'il est des moyens de la contourner. Au prétexte que certains internautes malins et avertis savent détourner certaines interdictions, faut-il croire que celles-ci "ne servent à rien"? A tout le moins, elles ralentissent le temps de connexion, puisque l'usage de proxies via le programme Tor (qui ne garantit pas l'anonymat absolu), seul moyen de contourner ce genre de censure, n'est pas la meilleure manière de "surfer" rapidement.

D'autre part, si la CNIL, qui n'est pas connue pour être une opposante féroce au libéralisme et au commerce, préconise de mettre en place un "droit à l'oubli" effectif dans l'ordre juridique, c'est bien parce qu'elle considère que le "soft law" et les recommandations concernant l'éducation du public ne sont pas suffisantes. On serait ici plus enclin à croire les services juridiques de la CNIL que la tribune d'un webmarketeur, fût-il brillant.

Enfin, il n'est pas inutile de souligner le caractère contradictoire de la proposition de M. Claeyssen, qui dans le même temps affirme qu'un droit à l'oubli effectif "permettrait de dire n'importe quoi", et préconise l'application des lois sur la diffamation. Il est clair que l'argument selon lequel la capacité d'effacer des données personnelles stockées et utilisées par d'autres utilisateurs que soi-même n'a aucun rapport avec la "déresponsabilisation" et le fait de "pouvoir dire n'importe quoi".

La responsabilité individuelle, fondement du droit jusqu'à nouvel ordre, n'a aucun rapport avec le fait que tous vos actes et paroles soient accessibles de façon permanente par votre patron, votre ex, vos arrières-petits-enfants ou le militant néonazi s'amusant à répertorier tous les changements de noms de personnes d'origine juive, maghrébine ou arménienne.

Bref, la tribune de M. Claeyssen est non seulement truffée de contradictions logiques, en ce qu'il préconise d'adapter le droit à la vie privée à l'évolution de la notion d'intimité, c'est-à-dire, ni plus ni moins, d'accepter la dissolution de l'intimité, tout en prétendant qu'une auto-régulation suffirait à protéger celle-ci, mais confond allègrement la "responsabilité" avec une société de surveillance bien éloignée de la philosophie des théoriciens du libéralisme politique classique.

Sur le plan juridique, elle révèle une ignorance flagrante de l'équilibre entre les différents droits et libertés, ainsi que de la différence entre l'importance d'une norme juridique et son efficacité, ou possibilité d'application: si le droit prévoit des sanctions, c'est bien parce qu'il est parfaitement au courant que ses normes ne sont pas toujours respectées, et qu'il y a toujours plus malin que la loi. Enfin, toute recommandation, "éthique" ou "déontologie" n'a aucun sens si elle ne peut s'appuyer, quelque part, sur des éléments juridiques solides: comment peut-on avoir confiance en Google, FaceBook ou 123people.fr pour préserver son intimité et garantir le respect du droit à la vie privée?  

Cette tribune, et ce "droit de réponse", seront-ils, un jour, oubliés?

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

L'identification biométrique en Inde

L'Inde est en cours d'instauration du projet national d'identification biométrique le plus ambitieux de la planète, non seulement en raison de l'échelle de celui-ci, qui ne vise pas seulement les citoyens indiens mais tout résident, mais aussi en raison de l'archaïsme du système d'état civil indien et de la fragmentation des dispositifs d'identification administrative découlant du système fédéral.  

Nous décrivons ici ce projet, en ajoutant quelques réflexions sur la hiérarchisation de la citoyenneté induite par ce système d'identification, qui permet de différencier les droits et services dont chacun peut bénéficier; le cas des mendiants, dont l'existence même est interdite, et qui sont enregistrés dans un fichier biométrique spécifique, souligne l'hétérogénéité des usages et des finalités de la biométrie en Inde.

D'ici 2014, 600 millions de résidents, sur une population totale d'1,2 milliards, devraient être dotés d'un numéro d'identification national (UIN, Unique Identification Number), dans le cadre du UID (Unique Identification Project), couplé aux caractéristiques biométriques de l'iris et de l'empreinte digitale. Ce projet va de pair avec l'instauration d'un Registre national de la population qui sera instauré au cours du recensement de 2011.

Il se distingue des projets classiques d'identification administrative, en étant déconnecté de la nationalité, mais aussi, de façon relative et partielle, de tout document d'identité. Le numéro UIN est exclusivement destiné à l'administration et aux services commerciaux. En s'appliquant aussi bien aux résidents étrangers qu'aux nationaux, un tel dispositif, similaire à cet égard aux projets européens concernant les immigrés (EURODAC, VIS ou système d'information sur les visas, SIS ou Système d'Information Schengen) ou américains (US-VISIT, etc.), tranche nettement avec les projets mis en place au XIXe siècle lors de la construction de l'Etat-nation (l'Inde étant par ailleurs un Etat différant largement de l'Etat-nation européen ¹).

En revanche, une carte nationale d'identité biométrique, dite Unique Identification Card (UID), sera parallèlement délivrée aux citoyens indiens. Elle contiendra le nom, l'adresse, le sexe, les empreintes digitales et le statut marital de son porteur. Le secrétaire de l'Unique Identification Authority of India (UIAI), en charge des deux projets, n'est autre que Nandan Nilekani, le co-fondateur de la firme spécialisée dans la biométrie Infosys, qui a rang de ministre d'Etat.

La base de données UIN contiendra le nom, le lieu et date de naissance, le genre (ou sexe), le nom et les numéros UIN des deux parents, l'adresse, la photographie et les empreintes digitales numérisées et, le cas échéant, la date de décès. Les numéros sont ainsi faits qu'ils ne devraient pas être dupliqués en un ou deux siècles! En effet, le numéro UIN sera seulement désactivé, et non pas effacé, après la mort du sujet qu'il désigne: c'est un projet d'identification qui concerne aussi bien les vivants que les morts.

Selon le Washington Post, le projet d'"identification unique"  vise trois objectifs principaux:

- permettre à chacun d'ouvrir un compte bancaire et d'accéder aux aides sociales, en leur permettant de prouver leur identité;

- réduire la fraude et l'évasion fiscale: les bases de données actuelles, éparpillées entre plusieurs services, sont pleines de faux noms et adresses, permettant à des fonctionnaires peu scrupuleux de détourner les aides sociales, et seul 5% des Indiens paieraient l'impôt sur le revenu. Le gouvernement estime pouvoir recueillir 4 milliards de dollars par an en empêchant ainsi les détournements de fonds publics.

- la sécurité nationale. Depuis les attentats de Mumbai de 2008, toutes les personnes vivant sur la côte sont soumis au recueil de leurs empreintes digitales, les présumés terroristes étant arrivés en Inde par bateau. La méga-base de données sera utilisée pour surveiller les achats de téléphone portable, les transactions financières et les agissements de personnes soupçonnées de terrorisme.

Le projet devrait être achevé en 8 ans. Dès 2014, 600 millions de personnes devraient être dotés du numéro UID, formé de façon aléatoire afin de ne pas révéler d'information personnelle (contrairement au NIR, ou numéro de Sécurité sociale français, dont la composition numérique est signifiante). Le numéro UID sera utilisé dans à peu près tous les contextes: administration publique, permis de conduire, hôpitaux, assurances, services financiers, télécom, etc. 

Certains applaudissent à ce qu'ils considèrent comme un moyen efficace à la fois de réduire les fraudes et de mettre en place une gestion plus efficace des services d'aide sociale (via, notamment, la "nationalisation" du système d'identification, désormais unifié sur tout le territoire indien, qui permettrait aux migrants intérieurs de faire valoir leurs droits à certains types d'aide). Le secrétaire d'Etat Nilekani, en charge du projet, y voit un progrès décisif dans la mise en place d'une administration électronique (e-government) en Inde.

En revanche, l'avocate et chercheuse Usha Ramanathan souligne que les données personnelles seront partagées entre banques, firmes et services de renseignement, et que le numéro UID permettra le décloisonnement des informations données à chaque agence en permettant l'interconnexion. En d'autres termes, une compagnie de téléphone pourrait, selon elle, avoir accès aux informations concernant votre assureur, ou l'agence nationale des passeports pourrait savoir de combien de comptes bancaires vous disposez: le numéro UID "agira comme pont entre ces [différents] silos d'information, et retirera le contrôle de l'individu sur quelle information il veut partager et avec qui". Il permettra ainsi une traçabilité complète des personnes, en permettant de combiner des informations aussi diverses que les achats de riz dans des magasins étatiques, les retraits d'espèces ou les voyages accomplis, toutes sortes d'activité qui pourraient requérir, à l'avenir, l'usage du numéro UID.

D'autres soulignent la difficulté de mettre en place ce dispositif: outre un état civil fortement différencié (les Indiens ont des noms qui peuvent inclure entre un et cinq noms, selon les régions, castes et ethnies), de nombreux travailleurs manuels (paysans, etc.) n'ont plus d'empreintes digitales, tandis que beaucoup n'ont pas d'adresse définie (soit qu'ils soient migrants, soit que l'administration ne leur en ait pas donné).

Enfin, peu de zélateurs du nouveau projet soulignent que les mendiants sont aussi soumis à un projet d'identification biométrique spécifique, visant à identifier les "récidivistes" du délit de mendicité (Bombay Prevention of Begging Act de 1959), délit qui a la particularité de viser non pas tellement des actes singuliers que le fait même d'être réduit à l'extrême pauvreté. Chaque personne prise dans une rafle anti-mendiants organisée par la police se voit ainsi recueillir ses empreintes digitales, l'image de sa cornée et sa photographie, toute "récidive" pouvant être punie de plusieurs années d'emprisonnement. A New Delhi, ces rafles s'accélèrent au fur et à mesure que se rapproche l'échéance des Jeux du Commonwealth, prévus pour octobre 2010.

Tout comme en Europe, si la technologie d'identification biométrique tend à cibler d'abord les "déviants" et autres "indésirables" (des "nomades" visés par la loi de 1912 instaurant le carnet anthropométrique aux demandeurs d'asile et aux migrants en général aujourd'hui), elle s'étend ensuite à l'ensemble de la population. Toutefois, elle joue un rôle fortement différencié, conduisant à une "hiérarchisation de la citoyenneté constitutionnelle" (Ramanthan, 2008), où certains bénéficient de certains droits et services, tandis que les autres sont au contraire mis au ban de la loi, voire réduits à une "vie nue" (Agamben), en étant privé du droit même à réclamer des droits.

1. Gayatri Chakravorty Spivak aborde cette question de l'Inde comme Etat abritant de multiples "nationalités", notamment à travers la question de l'hymne national indien, écrit en bengali mais qui doit être chanté en hindi, reconnu comme langue nationale de l'Inde. Cf. Judith Butler et Gayatri Chakravorty Spivak, L'Etat global, Paris, Payot, 2007, p.69-72 (traduction de Who Sings the Nation-State? Language, Politics, Belonging, 2007, Seagull Books).


Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.