Le profilage des individus à l heure du cyberespace : un défi pour le respect du droit à la protection des données

Transcription

1 Le profilage des individus à l heure du cyberespace : un défi pour le respect du droit à la protection des données Jean-Philippe Walter A. Introduction Lorsqu on aborde les problèmes liés au développement fulgurant des nouvelles technologies de l information et des communications à l ère du village global tout informatisé, on est rapidement confronté à une dimension nouvelle de l homo sapiens, l individu numérisé dont l une des caractéristiques est la perte de maîtrise de l information qui le concerne et des décisions qui sont prises sur la base de cette information. La technologie permet aujourd hui dans de nombreux domaines d activités du secteur privé comme du secteur public de développer des mécanismes d individualisation des décisions ou des mesures (individualisation des prix, offre de service, évaluation de risques dans le domaine du crédit ou de l assurance, etc.). Ces procédures se basent sur l accumulation de données et permettent un profilage fin. «Nos corps digitaux portent des stigmates qui sont peut-être plus difficiles à effacer que la boue ou le péché les marques d anciens retards de paiements et d infractions à la circulation. Ils nous poursuivent, nous trahissent alors que nous tentons d obtenir des emprunts hypothécaires ou des visas. Mais ils sont aussi manipulés par nous ignorants qu ils sont de nos transactions en argent liquide ou de nos nouveaux tatouages» 1. La présente contribution s arrêtera sur les risques et les enjeux du profilage pour la protection des données (B.), examinera les notions de profilage et de profils (C), reviendra sur les notions de données personnelles (D) et de traitement des données personnelles (E), trai- 1 John E. Mc Grath, Loving Big Brother. Performance, Privacy and Surveillance Space, Routledge, 2004, 159, citée par Antoinette Rouvroy, Réinventer l art d oublier et de se faire oublier dans la société de l information, version augmentée du chapitre paru, sous le même titre, in : Stéphanie Lacour (Ed.), La sécurité de l individu numérisé. Réflexions prospectives et internationales, 2008, 249ss., 1

2 tera des principales finalités du profilage, avant d examiner le cadre légal (de lege lata et de lege ferenda) (G) et de conclure (H). B. Les risques du profilage pour la protection des données Le profilage des individus est devenu une réalité de l ère informationnelle. Les technologies de l information et des communications que nous utilisons quasi quotidiennement génèrent des masses de données sur la base desquelles il est relativement aisé d observer, d analyser, de tracer nos différentes activités (achat, réservation d hôtels, de voyages, de spectacles, recherches d information, lecture de journaux, etc.) et d orienter nos choix sur la base du profilage ou de définir notre identité 2. Les techniques de profilage représentent un intérêt important pour l économie ou pour les administrations publiques ; elles peuvent aussi avoir des effets bénéfiques pour les personnes concernées, par exemple dans le domaine de la santé. Cependant, elles génèrent également des conséquences négatives sur le respect des droits et des libertés fondamentales, notamment le droit à la vie privée et à la protection des données et peuvent priver certains individus de l accès à des biens ou des services 3. I. Activités de profilage Dans un article du 5 octobre 2009 paru dans le Tagesanzeiger, on peut lire qu aujourd hui plusieurs entreprises suisses, dont l UBS, Helsana et la Bâloise assurance, évaluent leurs clients sur la base de différents critères et répartissent ces clients en différentes classes. Grâce à un logiciel intelligent, ces entreprises peuvent isoler les clients particulièrement intéressants, notamment du point de vue lucratif, ainsi que les clients peu intéressants et susceptibles d entrainer des pertes pour l entreprise. Ce classement s opère sur la base d opération de profilage. Il permet au centre d appel (call 2 Antoinette Rouvroy, (note 1), Jörg Polakiewicz, Online Ads : A new challenge for privacy?, nn%e9es/intervention%20madrid%20conference%205%20november% pdf. 2

3 center) de ces entreprises de reconnaître la valeur des clients qui appellent, de privilégier les bons clients et de laisser patienter les autres. Il permet aussi aux agents extérieurs d une assurance de mettre l accent sur les clients attractifs. On voit l intérêt économique des entreprises à effectuer de tels classements. Des entreprises comme IBM 4 développent des technologies d analyse des réseaux sociaux et des clients pour pouvoir avoir une connaissance approfondie des habitudes et des préférences des consommateurs et adapter les services et les prestations. Ces classements et les profils qui permettent ces classements ou ces choix sont le plus souvent établis à l insu des personnes concernées, sans que celles-ci en aient connaissance et puissent en cas d erreur en contester la validité. Ils peuvent en outre s avérer discriminatoires pour les personnes concernées. Nous surfons probablement tous sur Internet à titre privé ou professionnel et nous avons peut-être déjà fait l expérience suivante : après avoir réservé vos vacances de rêve sur Internet et acheté en ligne son billet d avion pour Rio de Janeiro, Monsieur M. consulte en ligne son quotidien préféré et voit s afficher des publicités pour une location de voiture au Brésil ou pour d autres offres plus ou moins alléchantes en lien avec son prochain voyage. S agit-il d une simple coïncidence? Et bien non il a été victime du profilage qui permet d offrir des publicités ciblées à partir de nos clics Internet. Des sociétés comme Google ou Facebook qui offrent des services prétendument gratuits à l internaute sont financés en grande partie par la publicité facturation au clic qui amène les acteurs de l Internet à diversifier leurs services et leurs activités afin de collecter toujours plus d informations sur le comportement des internautes. Alors que «l interface conviviale des réseaux sociaux tels que Facebook fait croire à l internaute qu il a tout pouvoir sur son profil, le profil ainsi créé peut n être qu une pièce, qu un ingrédient de plus dans la composition, par des professionnels du data 4 3

4 mining, d un autre profil qui, lui, échappe totalement au contrôle de la personne, et résulte non de ses choix, mais du croisement de ses choix avec une multitude d autres informations le concernant directement ou indirectement et collectées dans des contextes bien différents.» 5 Différents outils permettent ainsi de traiter ces données et d espionner l internaute dans ses moindres clics ou mouvements. Bavardage des navigateurs, spywares, cookies, web bugs, tous agissent le plus souvent à l insu de l internaute. Ils permettent son profilage grâce à l application des techniques de forage (data mining) sur les informations qui sont transmises. Une fois l individu profilé, les entreprises de publicité en ligne pourront cibler le plus possible leurs offres commerciales. «La technique insidieuse des hyperliens invisibles consiste ainsi à connecter l internaute à un second site, sans que celui-ci en soit conscient. Ce second site, en général une régie publicitaire, va en fonction du profil de l internaute afficher sur le premier site des bannières publicitaires ciblées. Autrement dit, l internaute a l illusion de n être connecté qu à un seul site alors qu en réalité, il est connecté à deux, le deuxième personnalisant en fonction de son profil les bannières publicitaires qu il voit sur le premier. L internaute n y voit que du feu!» 6. Sur «Internet, l essentiel est invisible pour les yeux et l essentiel sort de la machine bien souvent à l insu de son utilisateur.» 7 L utilisation d un hyperlien est une opération essentielle de la navigation sur Internet. Toutefois au côté de l hyperlien explicite et visible activé par l internaute pour pouvoir se déplacer dans le cybermonde, des hyperliens implicites et invisibles s exécutent sans intervention de l individu et sans qu il en ait connaissance. Ces hyperliens invisibles intègrent dans une page web ou un message HTML des informations ou des images prove- 5 Antoinette Rouvroy (note 1), Sulliman Omarjee, Le data mining : Aspects juridiques de l intelligence artificielle au regard de la protection des données personnelles, 2002, 7 Jean-Marc Dinant, Le visiteur visité. Quand les éditeurs de logiciel Internet passent subrepticement à travers les mailles du filet juridique, Lex Electronica, vol. 6, n 2, Hiver/Winter 2001, 4

5 nant d autres sites, notamment pour diffuser des informations publicitaires. 8 La lutte contre le terrorisme revêt de plus en plus un aspect préventif et cherche à identifier à l aide des techniques de profilage les terroristes potentiels avant qu ils ne passent à l acte. Le forage des données permet ainsi d établir des profils en collectant et combinant des données personnelles et d analyser ces données par rapport à des comportements particuliers considérés comme suspects. La recherche se fait de manière large indépendamment d un cas d espèce et risque d aboutir à ce que des innocents deviennent suspects sur la base de profils erronés 9. Dans le domaine de la publicité, le recours à des profils prédictifs est aussi une réalité. «Dans une approche prédictive, le sexe et la tranche d âge peuvent être déduits notamment par une analyse des pages visitées par l internaute et les publicités auxquelles il a été sensible. Par exemple, si un internaute lit un article sur un joueur de foot, on pourra en déduire qu il existe une probabilité plus forte qu il s agisse d un homme que d une femme. En combinant plusieurs informations obtenues sur le comportement de l internaute, ces prédictions peuvent être affinées et précisées (d où l intérêt de pouvoir tracer l internaute par exemple avec l aide de cookies ou de l adresse IP qui permet de déduire la localisation, voire la langue probable de l internaute). Au-delà du sexe, de l âge et de la localisation, grâce à des analyses plus poussées, les systèmes de publicité en ligne sont souvent capables de classer les utilisateurs dans des segments, soit par centres d intérêt, soit par catégories marketing (exemple : «jeune célibataire urbain» «couples de cadres», etc.).» 10 II. Les enjeux pour la protection des données 8 Jean-Marc Dinant (note 7). 9 Daniel J. Solove, Data Mining and the Security-Liberty Debate, The University of Chicago Law Review, 2008, 343ss. 10 CNIL, La publicité ciblée en ligne, rapport du 5 février 2009, 5

6 Aujourd hui pour maîtriser le traitement des masses d informations qui sont quotidiennement collectées tant dans le secteur privé que dans le secteur public, les responsables de traitement sont confrontés au défi de l optimisation des données pour en tirer le meilleur profit. Dans cette optique, le profilage de groupe devient un outil performant du cyberespace. Il permet ainsi sur la base du forage de données non préalablement catégorisées d établir des échantillons et des corrélations inattendues et ainsi de révéler au responsable du traitement des informations qui ne sont pas visibles pour l individu 11. Or, celui-ci va prendre des décisions ou avoir des comportements en ignorant ce que détient le responsable du traitement à son sujet. Dès lors comment l individu peut-il faire valoir ses droits et contester une décision lui refusant un crédit ou une prestation d assurance s il ne sait pas que son profil a été établi sur la base d une mise en correspondance avec un profil de groupe qui ne dérive pas de données le concernant. Ainsi, l individu numérisé n est pas le résultat d une construction autonome de la personne, mais résulte, en partie du moins, des algorithmes de classification à l œuvre dans la construction des profils. Il s agit en cela d une construction d identité hétéronome. L activité de profilage peut démarrer par l analyse des codes postaux et des adresses. Cette analyse permet par exemple de distinguer les zones économiquement intéressantes des zones difficiles. Cela permet notamment d évaluer le salaire moyen des personnes résidant dans un quartier déterminé ou de définir l appartenance politique, les loisirs ou les habitudes alimentaires, etc. Ainsi, à partir de stéréotypes, on peut construire une réalité qui peut déboucher sur une ségrégation par classes sociales et entrainer une manipulation de nos personnes : nos habitudes et nos actions sont définies par celles de nos voisins, nos choix de consommateur orientés par les détenteurs de cartes 11 Mireille Hildebrant, Who is Profiling Who? Invisible Visibility, in: Serge Gutwirth, Yves Poullet, Paul de Hert, Cécile de Terwangne, Sjaak Nouwt (Ed.), Reinventing Data Protection?, 2009, 239ss. 6

7 «cumulus» 12. Des techniques similaires sont utilisées à travers nos clics dans le cyberespace. L un des problèmes majeurs du profilage, notamment dans le monde virtuel de l Internet, est le manque de transparence des traitements de l information qui permet la collecte massive de données à l insu des personnes concernées et l application des techniques de forage des données (data mining) afin de dresser des profils. Différents outils permettent ainsi de traiter ces données et d espionner l internaute dans ses moindres clics ou mouvements et d orienter ces choix. Comme le relève la CNIL 13, la technologie actuelle favorise l échange d informations entre les différents acteurs (notamment fournisseur de contenu, fournisseur de publicité), sans que l internaute n en ait conscience, ni ne puisse le contrôler. Lorsque l internaute clique sur une publicité, il devient possible pour le fournisseur de publicités de transférer à l annonceur des informations sur l internaute. Si l annonceur a réalisé une publicité selon des critères très ciblés, il pourra en déduire que l internaute possède certaines caractéristiques associées au profil concerné. De tels échanges ne sont pas sans conséquence pour la protection des données et engendrent différents risques, notamment de discrimination et de restrictions de libertés: la solvabilité d une personne lors de l examen d une demande de crédit pourrait être établie à son insu ; une assurance pourrait également évaluer l état de santé d un assuré ou un site de recrutement pourrait procéder à la sélection des personnes en fonction de leurs orientations sexuelles, de leurs opinions politiques, de leur état de santé, de leur race, etc. Sur la base de l analyse des comportements, notamment des transactions bancaires, il s est avéré possible de prédire le décès de clients d une banque. C. Les notions de profilage et de profil 12 Voir aussi Roger Clarke, A Hidden Challenge to the Regulation of Data Surveillance, Journal of Law and Information Science, 1993, 403ss., 13 CNIL (note 10). 7

8 I. Profilage Le profilage est une technique de surveillance 14 ou d exploitation des données qui permet sur la base des profils établis différentes actions, mesures ou décisions touchant les personnes concernées dans le cadre de finalités diverses. La technique ne consiste pas à la base à surveiller un individu en particulier pour une raison déterminée, mais à repérer des individus qui pourraient être sujets d une surveillance ou d une attention particulière 15. On peut aussi définir le profilage comme une méthode informatisée de traitement de l information qui a recours à des procédés de forage des données 16 sur des entrepôts de données et qui permet ou doit permettre de classer avec une certaine probabilité et donc avec un certain taux d erreurs induit un individu dans une catégorie particulière afin de prendre des décisions individuelles à son égard 17. «Ce type de profilage se rapproche de l analyse comportementale dans la mesure où il ne s agit pas de comprendre les motivations qui poussent ou pourraient pousser un individu à adopter un comportement donné, mais d établir une corrélation mathématique forte entre certaines caractéristiques que l individu partage avec d autres individus semblables et un comportement donné que l on veut prédire ou influencer.» 18 On peut distinguer le profilage abstrait basé sur des 14 Roger Clarke (note 12), Roger Clarke (note 12), Le forage de données peut être défini comme «l application des techniques statistiques, d analyse de données et d intelligence artificielle à l exploration et à l analyse sans a priori de (souvent grandes) bases de données informatiques, en vue d extraire des informations nouvelles et utiles pour le détenteur de ces données», S. Tuffery, Data mining et statistique décisionnelle, l intelligence dans les bases de données, 2005, VII. 17 Jean-Marc Dinant, Christophe Lazaro, Yves Poullet, Nathalie Lefever, Antoinette Rouvroy, L application de la Convention 108 au mécanisme de profilage. Eléments de réflexion destinés au travail futur du Comité consultatif (T-PD), T-PD (2008) 01, p. 5, nn%e9es/documents/rapports%20et%20%e9tudes%20des%20experts/1crid_profila ge_2008_fr.pdf. 18 Jean-Marc Dinant, ( ) (note 17). 8

9 données qui ne sont pas en général celles de la personne concernée et qui débouche sur un profil de groupe, du profilage spécifique ou individuel basé sur l assemblage de données appartenant à la personne concernée et qui débouche sur un profil individuel (profil de personnalité). Le profil de groupe issu du profilage abstrait sera attribué à la personne concernée par exemple sur la base de son comportement, de la comparaison de données la concernant au profil de référence ou de l association de son profil individuel au profil de groupe (inférence). On établit en fait un lien de probabilités entre certains comportements ou certaines caractéristiques et d autres comportements ou caractéristiques. Le profilage n est pas une finalité en soi. Il s agit d une modalité technique en vue d aboutir à un résultat (décision, mesure) dans le cadre d activités répondant à une finalité (octroi ou refus de crédit, détermination du prix d un produit par rapport à profil du client, etc.). II. Profils Les profils sont élaborés de plusieurs manières. Ils peuvent se définir comme un ensemble de données qui caractérise un individu ou une catégorie d individus et qui est destiné à être appliqué à un individu. Le profil établi est une représentation ou une construction d un savoir sur un individu qui ne peut cependant pas nécessairement être assimilé à la personne concernée. Cela comporte un risque de réduction de la personne au seul profil généré par des procédés automatisés, lesquels sont susceptibles de servir de base à la prise de décision 19. Les profils peuvent être prédictifs, en observant le comportement des personnes dans le temps, par exemple en suivant et analysant les actions de l internaute au travers de ces différents clics (page visitée, mots clés, production de contenu en ligne, etc.). Ce type de profils peut s avérer incomplet ou inexact ; ce qui pose la question de la pertinence des traitements fondés sur un profil prédictif Jean-Marc Dinant, ( ) (note 17). 20 CNIL (note 10). 9

10 Il peut s agir de profils explicites établis à l aide des données personnelles que la personne concernée a elle-même fournie, notamment en s inscrivant sur un service en ligne ou en les publiant sur un réseau social. Le profil explicite peut également être associé à un profil prédictif, par exemple en le combinant avec les mots clés saisis par l internaute. Cela permet par exemple de moduler une offre pour un produit en fonction du profil et de fixer les prix de ventes des articles proposés en fonction du profil individuel des consommateurs. Il peut s agir de profils individuels établis sur la base des données de la personne concernée ou de profils de groupe résultant du profilage d une population donnée, profil de groupe qui sera opposé à une personne déterminée en vue de lui en attribuer les caractéristiques. Le profil de groupe peut également être opposé au profil individuel. D. La notion de données personnelles Selon l article 3, lettre a, de la loi fédérale sur la protection des données (LPD), on entend par données personnelles, toutes les informations qui se rapportent à une personne identifiée ou identifiable. Cette définition est similaire à celle de l article 2, lettre a de la Convention pour la protection des personnes à l égard du traitement automatisé des données à caractère personnel (Convention 108) et de la directive européenne 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l égard du traitement de données à caractère personnel et à la libre circulation de ces données (directive européenne). Toutefois, l article 2 de la directive européenne précise qu une personne est réputée identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un numéro d identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale. Le message à l appui de la LPD va dans le même sens : «Une personne est identifiée lorsqu il ressort directement des informations détenues (p. ex. une pièce d identité) qu il s agit d une personne déterminée et d elle seule. Une personne est 10

11 identifiable lorsque, par corrélation indirecte d informations tirées des circonstances ou du contexte, on peut l identifier (p. ex. lorsque, à partir de données concernant des biens immobiliers, on peut remonter au propriétaire). Une possibilité purement théorique n est cependant pas suffisante pour admettre la possibilité d identification. En effet, si l identification nécessite des moyens tels que, selon le cours ordinaire des choses, aucun intéressé ne les mettra en œuvre (p. ex. parce qu il lui faudrait procéder à une analyse sophistiquée d une statistique), on ne peut guère parler de possibilité d identification.» 21 La définition de la LPD par contre couvre également les personnes morales. L objectif de la définition est de pouvoir couvrir l ensemble des informations qui peuvent être reliées à une personne. Il peut s agir d informations objectives, par exemple un signe distinctif de la personne ou d informations subjectives, notamment une évaluation ou une appréciation. Dans le cadre du profilage, on retrouvera une grande part d information de nature subjective et interprétative. Du point de vue du contenu, la notion couvre non seulement des informations touchant à la vie privée et familiale d une personne au sens strict. Elle couvre aussi des informations relatives à ses activités, ses relations, notamment de travail, son comportement politique, économique, social, etc. indépendamment de leur situation ou de leur qualité 22. En relation avec le profilage, l élément d identifiable indirectement revêt une certaine pertinence. «S agissant des personnes indirectement identifiées ou identifiables, cette catégorie relève en général du phénomène des combinaisons uniques, à quelque degré que ce soit. Pour les cas où, de prime abord, les identifiants sont insuffisants pour permettre à quiconque de distinguer une personne particulière, cette personne peut, néanmoins être identifiable, car ces informations combinées à d autres éléments d information 21 FF 1988 II 421 (453). 22 voir aussi Groupe de travail Article 29 sur la protection des données, Avis 4/2007 sur le concept de données à caractère personnel du 20 juin 2007, (ci-après WP 136). 11

12 permettent de la distinguer parmi d autres personnes.» 23 L identification par le nom, prénom et date de naissance demeure le moyen le plus fréquent pour identifier une personne. Toutefois, la connaissance du nom n est pas absolument nécessaire pour identifier une personne. On peut recourir à d autres identifiants pour distinguer une personne d une autre. «Sur Internet, la connaissance des noms, prénoms et date de naissance d un individu n est que rarement nécessaire pour pouvoir l identifier comme étant celui qui. Internet permet de s affranchir de la non-connaissance de l état civil d une personne particulière dans le cadre d un profilage particulièrement pointu, impossible à réaliser dans le monde réel Le simple fait, par exemple, de stocker dans un cookie la race de la personne qui surfe, constitue une donnée à caractère personnel dans la mesure où cette donnée apparaîtra automatiquement lors de chaque connexion http.» 24 «Sans même s enquérir du nom et de l adresse de la personne, on peut la caractériser en fonction de critères socioéconomiques, psychologiques, philosophiques ou autres et lui attribuer certaines décisions dans la mesure où le point de contact de la personne (l ordinateur) ne nécessite plus nécessairement la révélation de son identité au sens étroit du terme.» 25 La notion de données personnelles reflète cette évolution. Elle est suffisamment large et souple, car en visant non seulement une personne identifiée, mais en retenant également l aspect de l identifiabilité, elle met l accent sur la potentialité des données à permettre l identification, directement ou indirectement de la personne 26. C est ainsi que l adresse IP est considérée comme une donnée personnelle qui identifie la personne au travers de la machine sur laquelle elle travaille 27. Dans la mesure 23 WP 136 (note 22), Jean-Marc Dinant (note 7). 25 WP 136 (note 22); voir aussi Yves Poullet, Jean-Marc Dinant, Rapport sur l application des principes de protection des données aux réseaux mondiaux de telecommunications, T-PD 2004 (final) 04 final, 8ss, nn%e9es/documents/rapports%20et%20%e9tudes%20des%20experts/1poullet_report _2004_fr.pdf. 26 Lee Bygrave, Data Protection Law, Approaching Its Rationale, Logic and Limits, 2002, Voir TAF, Aff. Logistep, A-3144/2008, cons. 2; WP 136 (note 22),

13 où le traitement des données touche une personne identifiée (non nominativement), c est à dire que le responsable du traitement est en mesure de savoir qu il traite les données d un individu déterminé et que les données traitées concernent cet individu donné, les règles de la LPD s appliquent même si le nom de la personne n est pas (encore) connue du responsable du traitement 28. Ainsi au travers de ses clics «Internet», l internaute se verra attribuer un profil sur la base duquel le responsable du traitement agira à son encontre en se référant à ce profil. Pour ce faire, le profileur n a pas nécessairement besoin de connaître l identité exacte de la personne concernée ; il lui suffit d avoir un point d ancrage comme une adresse IP ou un pour établir le contact. Le concept d identifiabilité doit être ainsi complété par ceux de contactabilité et d atteignabilité 29. Il ne peut y avoir d anonymat «lorsqu un appareil de télécommunication possède une adresse unique, dans la mesure où c est cette adresse unique qui va permettre de transmettre une information individuelle à un poste unique, différenciée de tous les autres postes de télécommunication.» 30 Toutefois, aussi longtemps que le lien n est pas fait avec le nom, l exercice des droits de la personne concernée est actuellement rendu difficile, voire illusoire. E. Profilage, traitement de données personnelles? Dans le contexte du profilage, la question de savoir si les données collectées et traitées dans le cadre du profilage sont des données personnelles est pertinente pour déterminer si les dispositions de protection des données sont applicables ou non. Les opérations de profilage passent par différentes étapes qui vont de la mise en évidence des informations, de l établissement de prédictions à partir des informations qui sont dégagées et enfin de leur inférence. Ces phases n entrainent pas toutes le traitement de données personnelles. La mise en évidence des informations peut se faire sur la base de don- 28 CJCE, Aff. C-101/2001 Lindqvist, cons Lee Bygrave (note 26), Jean-Marc Dinant, ( ) (note 17), 8. 13

14 nées anonymes, voire de données agrégées. Pour répondre à la question de l application de la LPD, il faut considérer l ensemble du système de traitement des données et en particulier les finalités poursuivies, à savoir l établissement de profils qui seront attribués à des personnes identifiées ou identifiables en vue notamment de prendre des décisions à leur égard, d analyser ou de prévoir leurs préférences, leurs comportements ou leurs attitudes personnels. L attribution du profil à une personne déterminée permet de générer des données personnelles. L établissement de certains profils se base sur les données «livrées» par la personne elle-même (profil individuel) ou proviennent d autres personnes à laquelle la première peut-être liée (profil de groupe). Le profil individuel ou spécifique est, sans doute possible, un traitement de données personnelles. Le profilage abstrait ou de groupe 31 n est pas nécessairement d emblée un traitement de données personnelles. Il est établi par l observation du comportement et des caractéristiques des individus et le regroupement des données observées et collectées dans des entrepôts de données qui ne sont pas nécessairement nominatives. Les données peuvent en effet être anonymes, parfois pseudonymisées ou codées (un tiers possède une clé de décodage). Ces données font ensuite l objet d opérations de traitement sur la base de méthodes statistiques afin d établir, avec une certaine marge d erreur, des corrélations entre certaines variables observables (forage des données ou datamining) et d établir des catégories d individus sur la base des caractéristiques observables et d exclure ceux qui probablement ne correspondent pas à ces caractéristiques. 32 Il s agit par ce biais d optimiser l utilisation des masses de données qui sont quotidiennement collectées pour tirer au mieux avantage de l information à disposition en isolant les données qui apportent une valeur ajoutée (découvrir les données qui feront la différence), notamment en utilisant des algorithmes qui permettent de localiser des corrélations et des comportements inattendus et de révéler des informations qui ne sont pas apparentes pour l individu 33. La phase d établissement du profil abstrait proprement dite implique 31 Sur les différentes étapes du profilage abstrait, voir Jean-Marc Dinant, ( ) (note 17), Jean-Marc Dinant, ( ) (note 17), Mireille Hildebrant, (note 11), 241ss. 14

15 une procédure d inférence qui consiste au traitement et à l analyse de données par la recherche notamment de modèles, de séquences ou de relations. Le profil abstrait qui en découle est essentiellement un ensemble d hypothèse basé sur un raisonnement probabiliste. Ce profil sera appliqué à la personne et permettra de lui attribuer les données de la catégorie à laquelle elle parait appartenir 34. Par la mise en relation d un grand nombre de données individuelles même rendues anonymes, le profilage peut avoir un impact sur la personne concernée qui se voit placée dans une catégorie de groupe prédéfinie. Lorsqu elle est concernée par l utilisation d un profil de groupe, elle en expérimente les conséquences positives ou négatives sans nécessairement connaître les causes du phénomène. Elle est amenée à prendre des décisions sans savoir ce que le responsable du traitement possède comme information 35. Le profilage contribue à renforcer la tendance à considérer l individu comme un objet et risque de porter atteinte à sa dignité et à son intégrité. Il peut être utilisé de manière à usurper la personnalité de la personne concernée. Le profil devient plus vrai que la personne : dans le cadre d investigation criminelle par exemple, cela peut remettre en cause la présomption d innocence et inverser le fardeau de la preuve 36. Dès lors, dans la mesure où l objectif recherché est bien d attribuer un profil à un individu, nous sommes d avis que sa vie privée doit être protégée indépendamment ou non de l utilisation de données l identifiant ou permettant de l identifier. «L observation et l enregistrement des habitudes de comportements des individus anonymes demeurent certainement une intrusion dans leur vie privée il n y a pas d anonymat lorsqu un élément d un jeu de données relatif à un individu permet de relier celles-ci à un autre jeu de données relatives au même individu. L anonymat suppose la non-traçabilité ou plus concrètement l impossibilité de procéder de manière automatique à un appariement de deux ensembles de données ou de manière plus précise encore, l absence d un identifiant codé ou non, raisonnablement rémanent dans le temps qui serait régulièrement présent dans différents jeux de 34 Lee Bygrave, (note 26), 301s. 35 Mireille Hildebrant, (note 11), Lee Bygrave, (note 26), 311ss. et auteurs cités. 15

16 données concernant les mêmes individus, voire sa famille.» 37 Indépendamment de l applicabilité ou non de la législation sur la protection des données, un traitement de données peut porter atteinte au droit à la vie privée reconnu par l article 8 de la Convention européenne des droits de l Homme. Pour la Cour européenne des droits de l Homme 38, «le simple fait de mémoriser des données relatives à la vie privée d un individu constitue une ingérence au sens de l article 8. Peu importe que les informations mémorisées soient ou non utilisées par la suite.» L application de la législation de la protection des données couvre le profilage sur la base de données concernant des personnes identifiées ou identifiables. Il devrait couvrir également les phases du traitement qui ne permettent pas encore d identifier une personne, dans la mesure où en fin de parcours un profil de groupe sera appliqué à une personne déterminée. Ce profil de groupe ne contient pas nécessairement des données de la personne à laquelle il est appliqué. Or ces profils peuvent révéler des connaissances et des informations sur les habitudes de vie, les préférences personnelles, les habitudes de consommation, les voyages, les comportements sur le web, les risques pour la santé ou la sécurité, l origine raciale, les préférences sexuelles ou les opinions politiques, religieuses ou philosophiques. L impact en terme d atteinte à la vie privée ou au droit à la protection des données peut être beaucoup plus conséquent ou ravageur, car reposant sur des probabilités et des prédictions, que l échange de nos propres données personnelles. F. Finalités du profilage Le profilage n est pas une finalité en soi. Il s agit d une technique particulière de traitement des données au service de différentes finalités dans de nombreux secteurs d activités relevant du secteur public ou du secteur privé. Le plus souvent, il se base sur des données qui ont été collectées et traitées à des fins spécifiques et qui au travers du 37 Jean-Marc Dinant, ( ) (note 17), CEDH, Aff /04 et 30566/04 S. et Marper c. Royaume-Uni, 2008, 23s., cons. 67; voir aussi Jörg Polakiewicz (note 3), 4s. 16

17 profilage sont réutilisées pour d autres finalités qui ne sont pas nécessairement connues de la personne concernée. Parmi les principales applications du profilage, on peut mentionner : - la gestion de la relation client, notamment à des fins de publicités ciblées et personnalisées sur la base de l analyse des comportements, des intérêts, des activités et des habitudes des clients actuels ou potentiels (profilage «cumulus») : fidélisation des clients, localisation de clients potentiels, identification de clients susceptibles d être intéressés par de nouveaux produits, offre privilégiée (modulation des prix en fonction du profil) ; - la gestion du risque : repérage de personnes pouvant présenter un certain risque : détermination différenciée d une prime d assurance selon les catégories de risque, repérage des mauvais payeurs, analyse de solvabilité (score de crédit en vue de l attribution ou du refus de crédit), estimation de la santé (probabilité de souffrir d une maladie ou d un trouble particulier ; rationalisation des soins et diminution des coûts), estimation d un risque d activités criminelles ou de fraude ; - la gestion prospective de personnes : par exemple, le repérage d étudiants ayant des talents artistiques ou sportifs particuliers ou d employés ayant des formations, une éducation ou des connaissances particulières (ces exemples relèvent plutôt de profils individuels et spécifiques). G. Réglementation de la protection des données I. De lege lata Actuellement dans la législation européenne, le profilage ne fait l objet que de peu de dispositions spécifiques de protection des données. On trouve quelques dispositions régissant des aspects liés au profilage dans certaines législations d Etats européens, notamment l article 15 de la loi allemande sur les médias électroniques du 26 février 2007 (Telemediengesetz) qui régit l utilisation du profil d utilisateur à des fins de marketing et d étude de marché

18 1. Loi fédérale sur la protection des données La LPD définit le profil de la personnalité et n autorise le traitement de profil par les organes fédéraux que si une loi au sens formel le prévoit expressément (articles 17 et 17a LPD). L accès à ces profils par procédure d appel doit également être réglé expressément dans la loi au sens formel (article 19, al. 3 LPD). Les fichiers contenant des profils de personnalité gérés par des personnes privées doivent être déclarées, sous réserve des exceptions de l article 11a LPD. Lors du traitement de profils de la personnalité, la personne concernée doit en être expressément informée au sens de l article 7a LPD. Enfin ces traitements impliquent des exigences plus élevées de sécurité des données (art. 7 LPD et 8ss, resp. 20s OLPD). L article 3, lettre d de loi fédérale sur la protection des données définit le profil de la personnalité ou profil spécifique / individuel comme un assemblage de données qui permet d apprécier les caractéristiques essentielles de la personnalité d une personne physique. Ce qu il faut entendre par caractéristiques essentielles n est pas clair et sujet à interprétation. Un tel profil de personnalité résulte par exemple dans une procédure de naturalisation des données relatives à l origine, au revenu, à la fortune, à la formation, à l activité, aux connaissances linguistiques, aux relations familiales, aux hobbies et à la réputation 40. C est également le cas d une expertise graphologique ou d un test d aptitude 41. Ce type de profil est établi sur la base de l ensemble des données collectées sur la personne concernée ou à partir de l assemblage de données provenant de différents fichiers dans lesquels la personne est enregistrée (profilage individuel). Il peut également être établi par l attribution et l individualisation d un profil abstrait (profil de groupe) à une personne déterminée. Un tel profil de personnalité est assimilé à des données sensibles et doit répondre à certaines exigences, notamment reposer sur une base légale 40 ATF 129 I 232, cons ; voir aussi Yvonne Jöhri, in : Rosenthal / Jöhri, Handkommentar zum Datenschutzgesetz, 2008, Ad Art. 3, N. 56, Yvonne Jöhri, (note 40). 18

19 au sens formel lors de leur traitement par des organes fédéraux. Toutefois toutes les activités de profilage ayant des incidences pour les personnes concernées ne débouchent pas forcément sur l établissement de profil de la personnalité. La notion de profil de la personnalité ne peut pas être définie de manière générale. Le nombre et le contenu des informations personnelles sont déterminants pour savoir si l'assemblage de plusieurs données relatives à une personne déterminée constitue un profil de la personnalité. Des données collectées sur une longue durée et qui donnent une image biographique de la personne («Längsprofil») peuvent plus aisément être qualifiées de profil de la personnalité que des données qui reflètent un instant («Querprofil») 42. La difficulté rencontrée avec la notion de profil de la personnalité de la LPD et les conséquences qui y sont rattachées en termes d exigence légale réside également dans le fait que la qualification se fait par rapport à un ensemble de données existant et perdurant. Or au départ d un traitement, les données collectées sur une personne ne constituent pas d emblée un profil ou l activité de profilage n est pas basée sur des données personnelles d un individu déterminé. Le profil de groupe ne repose pas nécessairement et le plus souvent sur des données de la personne qui profite ou subit les conséquences de l application du profil 43. Le profil de personnalité qui sera appliqué à la personne pourra par contre être le résultat de la mise en correspondance avec le profil généré sur la base du forage de données d autres personnes. Pour évaluer la potentialité d être confronté à un profil de la personnalité au sens de la LPD, il me parait dès lors important de prendre également en compte la diversité et le volume des données traitées, le type d activités du responsable du traitement, les méthodes de traitement et d analyse utilisées et les finalités poursuivies. La notion de profil de la personnalité ne couvre cependant pas toutes les implications du profilage et ne parait pas s appliquer au profilage purement abstrait 44. Dans le secteur privé, le traitement de 42 JAAC 65.48, cons. 2b 43 Mireille Hildebran, (note 11), 250s. 44 L. A. Bygrave (note 26),

20 données, y. c. de profils de la personnalité ne doit pas porter une atteinte illicite à la personnalité des personnes concernées. Le traitement doit reposer sur un des motifs justificatifs énoncés à l article 13 LPD. L un de ces motifs justificatifs a trait au traitement à des fins d évaluation de crédit d une personne. Ce traitement n est possible que s il ne porte pas sur des données sensibles et n est pas constitutif d un profil de personnalité et pour autant que les données ne soient communiquées à des tiers que s ils en ont besoin dans le cadre d un contrat avec la personne concernée. Il est ainsi peu probable que le législateur ait voulu inclure dans la notion de profil de la personnalité un profil de groupe, ce qui reviendrait à interdire la constitution de systèmes d évaluation de crédit dont le fonctionnement repose sur le profilage des différents types de clientèle. 2. Directive européenne 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l égard du traitement de données à caractère personnel et à la libre circulation de ces données L article 15 de la directive européenne régit les décisions individuelles automatisées en posant le principe du droit de la personne à «ne pas être soumise à une décision produisant des effets juridiques à son égard ou l affectant de manière significative, prise sur le seul fondement d un traitement automatisé de données à évaluer certains aspects de sa personnalité, tels que son rendement professionnel, son crédit, sa fiabilité, son comportement, etc.» Ce droit n est pas absolu. Aux termes de l article 15, une personne peut être soumise à une telle décision prise dans le cadre de la conclusion ou de l exécution d un contrat, à condition que la demande de conclusion ou d exécution du contrat ait été introduite par la personne concernée et qu elle ait été satisfaite ou que des mesures appropriées, notamment la possibilité de faire valoir son point de vue, garantissent la sauvegarde de ses intérêts légitimes. Une telle décision peut aussi être autorisée par une loi précisant les mesures qui garantissent la sauvegarde des intérêts légitimes de la personne concernée. L article 12 de la directive précise en outre que le droit d accès aux données inclut la connaissance de la logique qui sous-tend tout traitement des don- 20