QUESTION ORALE AVEC DEBAT LE DROIT A LA PROTECTION DE LA VIE PRIVEE

Transcription

1 3 février 2012 QUESTION ORALE AVEC DEBAT LE DROIT A LA PROTECTION DE LA VIE PRIVEE Question orale avec débat n 0009A de Mme Anne-Marie ESCOFFIER à M. le Garde des Sceaux, ministre de la justice et des libertés Cette question orale sera débattue le mercredi 8 février en séance publique. La durée du débat a été fixée à 1 heure. Le Groupe dispose donc de 6 minutes. Anne-Marie ESCOFFIER interviendra comme auteur de la question pour 20 minutes. Jacques MEZARD interviendra dans le débat pour 6 minutes. TEXTE DE LA QUESTION Mme Anne-Marie Escoffier attire l'attention de M. le garde des sceaux, ministre de la justice et des libertés, sur la nécessité de garantir à nos concitoyens un véritable droit à la protection de la vie privée. Elle rappelle que les progrès technologiques de ces dernières années ont conduit au développement de nouveaux usages des technologies de l'information et de la communication, ainsi qu'à l'apparition de nouveaux comportements de la part de leurs utilisateurs. Dans un monde toujours plus globalisé et dépendant de ces technologies, ces profonds bouleversements ont concomitamment facilité la collecte massive des données personnelles relatives à des millions d'individus, le plus souvent à leur insu, engendrant de la sorte de nouvelles «mémoires numériques». Cette accélération ne va évidemment pas sans soulever des problèmes inédits quant à la protection de la vie privée des individus, a fortiori au regard de la démocratisation de nouvelles formes de sociabilité virtuelle. De surcroît, la lutte contre l'insécurité tend à devenir un prétexte au durcissement des systèmes de contrôle, le champ des libertés se réduisant en conséquence. Il importe donc aujourd'hui de mettre en place un droit à l'oubli numérique, corollaire d'une protection effective de la vie privée des citoyens-internautes. Cette indispensable évolution nécessite aujourd'hui de renforcer le poids de la Commission nationale de l'informatique et des libertés (CNIL), d'une part, en consolidant ses moyens et, d'autre part, en renforçant ses pouvoirs. Et cela, en particulier au moment où va être révisée la directive européenne de 1995 relative à la protection de la vie privée et des données personnelles, à l'initiative de la Commission européenne. Un tel élargissement de la légitimité de la CNIL induit notamment de déconcentrer ses moyens d'action au niveau interrégional. Mais cela implique aussi qu'elle soit enfin dotée d'une capacité d'expertise et d'action à la hauteur des nouveaux enjeux, par exemple en matière d'information des usagers, de communication de la durée de conservation des données ou encore de recueil de l'intégralité des failles de sécurité notifiées. Enfin, il conviendrait de faciliter sa saisine par les citoyens et de durcir ses pouvoirs de sanction.

2 2 Tel était le sens du rapport d'information que Mme Anne-Marie Escoffier avait déposé avec son collègue M. Yves Detraigne, La vie privée à l'heure des mémoires numériques. Pour une confiance renforcée entre citoyens et société de l'information (n ). Tel était également l'objet de la proposition de loi visant à garantir le droit à la vie privée à l'heure du numérique, adoptée par le Sénat le 23 mars 2010, mais toujours en attente d'inscription à l'ordre du jour de l'assemblée nationale. En conséquence, elle souhaiterait connaître ses intentions sur cette question et plus largement sur la politique que le Gouvernement entend mener pour que soit, enfin, garanti le droit à la protection de la vie privée. ELEMENTS DU DEBAT 1. L émergence des nouvelles technologies : quelles conséquences sur la vie privée? La France fut l un des premiers Etats à prendre en compte l intrusion des nouvelles technologies dans la vie privée, notamment par le fichage et les possibilités démultipliées de croisement rendues possibles. La loi informatique et libertés du 6 janvier 1978 fut ainsi la deuxième législation au monde, après la Suède en , à créer une autorité administrative spécifiquement en charge de garantir les droits des citoyens dans le traitement des données à caractère personnel, encore appelées informations nominatives. Cette loi inspira par la suite largement la Convention du Conseil de l Europe sur la protection des données de Comme le relevait le rapport d information de Mme Anne-Marie ESCOFFIER et de M. Yves DETRAIGNE en , l émergence des nouvelles technologies s est traduite par l apparition de nouveaux moyens de collectes et de conservations de données à caractère personnel, qui permettent aujourd hui de tracer les faits et gestes des individus, que ce soit dans sa vie privée ou dans son cadre professionnel. En corollaire, on peut noter que la révolution de l Internet et la démocratisation de ce dernier a accompagné l accélération des échanges d information, marqués aujourd hui à la fois par l instantanéité et la saturation des données. Or, la facilité à transmettre des informations a également rendu possible une mutation sociologique importante, qui est celle de l exposition volontaire de la vie privée, sur les réseaux sociaux par exemple. Il est très facile de reconstituer le profil d une personne, à des fins commerciales ou à des fins non avouables, à partir de l ensemble des empreintes qu elle laisse sur Internet : la notion de «mémoire numérique» prend ainsi tout son sens. Mais à la différence des moyens de communication plus classiques, ces mémoires sont quasi ineffaçables. Pour illustration le TGI de Montpellier a été amené en octobre 2010 à examiner le cas d une enseignante, qui s était aperçue qu il suffisait de taper son nom sur Google pour qu apparaissent dans l indexation des résultats des vidéos pornographiques qu elle avait tournées plusieurs années auparavant. Toutes ses mises en demeure à l encontre de Google France et de Google Etats-Unis étaient restées vaines. Le tribunal a finalement donné raison à la plaignante. 1 Mais aussi le Land allemand de Hesse en La vie privée à l'heure des mémoires numériques. Pour une confiance renforcée entre citoyens et société de l'information, Rapport d information n 441 au nom de la commission des lois, 27 mai 2009.

3 3 Parallèlement, le recours aux nouvelles technologies dans le ciblage et le traçage des personnes a aussi été facilité par le renforcement des législations anti-terroristes, et plus largement par la logique sécuritaire qui a prévalu à la suite des attentats du 11 septembre Ces législations ne devraient pourtant en aucun cas servir de prétexte à la systématisation de l intrusion dans la vie privée, comme c est trop souvent le cas. De nouveaux facteurs de risques prennent de plus une place croissante : la géolocalisation, la radio-identification ou encore les nanotechnologies. L ensemble de ces éléments a conduit à soulever de nouvelles problématiques auxquelles le législateur peine parfois à répondre aussi promptement que se développement les technologies. 2. Un cadre juridique aujourd hui inadapté La question soulevée par ce débat est de savoir si la cadre juridique français est aujourd hui adapté à ces questions aussi nouvelles que changeantes. Ainsi, il existe une divergence d interprétation de l applicabilité du droit communautaire entre l UE et les Etats-Unis. Alors que le droit européen prévoit que la directive de 1995 (infra) s applique dès lors qu une entreprise utilise des moyens de traitement de données situés sur le territoire d un Etat membre, certaines entreprises américaines, comme Google, refusent de se voir appliquer cette directive en arguant du fait qu elles sont basées hors de l UE. La loi Informatique et libertés, modifiée en 2004, pose quatre droits au profit des personnes privées : - Le droit d information : toute personne a le droit de savoir si elle est fichée et, si oui, dans quel(s) fichier(s). - Le droit d'opposition : toute personne peut s'opposer, pour un motif légitime, à ce qu'elle figure dans un fichier. De plus, elle peut s'opposer, sans justification, à ce que les données la concernant soient utilisées à des fins de prospection, en particulier commerciale ; - Le droit d'accès : il permet en justifiant de son identité la consultation de ses données personnelles, d en vérifier l'exactitude et d'en obtenir une copie pour un coût n'excédant pas celui de la reproduction. Ce droit est toutefois limité : si le responsable du traitement estime que la demande est abusive ou si les données sont conservées sous une forme ne présentant aucun risque, leur consultation est alors refusée ; - Le droit de rectification : il permet à toute personne de rectifier, compléter, actualiser, verrouiller ou faire effacer des données erronées la concernant. S inspirant en partie de la loi Informatique et libertés, la directive 95/46 CE du 23 novembre 1995 constitue encore le cadre de référence en droit communautaire. Sa finalité est d harmoniser les réglementations nationales, afin paradoxalement de faciliter la libre circulation des informations à des fins de développement du commerce. Elle substitue la notion de données personnelles à celle d informations nominatives. Surtout, elle subordonne le traitement informatisé des données personnelles à trois critères : la proportionnalité, la transparence et la finalité légitime. Elle reprend les quatre droits garantis par la législation française.

4 4 Enfin, la directive a créé un groupe européen de travail, le G 29 3, chargé de mener les négociations internationales sur le sujet. Le G 29 a ainsi négocié avec les Etats-Unis le très controversé programme PNR (Passenger Name Record), qui fixe les modalités de transmission des données personnelles des passagers européens se rendant sur le sol américain. De l avis général, le PNR est jugé beaucoup moins protecteur que la législation européenne. La loi du 6 août 2004, qui transpose la directive du 23 novembre 1995, a pour l essentiel harmonisé partiellement les règles de déclaration des fichiers entre secteur privé et secteur public. Le régime général pour le secteur public n'est plus de demander une autorisation à la CNIL, mais de faire une simple déclaration de ces fichiers, comme c'était déjà le cas pour le secteur privé. Le demandeur doit alors attendre le récépissé de la CNIL avant l'utilisation effective du fichier. Un projet de réforme de la directive de 1995 est aujourd hui à l étude. La Commission européenne a présenté le 25 janvier dernier les trois axes autour desquelles elle souhaite voir la future directive s articuler : - le renforcement des droits des personnes physiques quant à la protection de leurs données personnelles qui passerait nécessairement par la consécration d un droit à l oubli numérique, du consentement explicite et de la portabilité des données. Partant, la Commission assure que les personnes physiques auraient davantage confiance dans l environnement numérique ; - la simplification de l environnement juridique qui favoriserait le développement de l économie numérique dans l ensemble du marché unique de l UE. Cela impliquerait notamment l adoption d'un règlement mettant fin à la fragmentation des régimes juridiques entre les États membres, la création d un guichet unique pour la protection des données dans l UE, ainsi que l applicabilité des règles européennes si des données à caractère personnel font l'objet d'un traitement à l'étranger par des entreprises implantées sur le marché européen et proposant leurs services aux citoyens de l'union - l amélioration de la coopération entre les autorités répressives, gage d efficacité de la lutte contre la cybercriminalité en Europe. Ce projet est cependant critiqué par la CNIL. Si elle approuve sa philosophie générale, elle estime, par la voix de sa présidente, que le fait que l'autorité compétente pour traiter un litige, soit celle où se situe où se situe l'établissement principal d'une entreprise constitue une «régression» pour les droits des citoyens. Selon elle, «le fonctionnement du système n'est pas optimum et ne permettra pas d'assurer l'application effective de ces nouvelles avancées». 3. La recherche de solutions plus protectrices La protection de «l homo numericus» a fait l objet d une vraie prise de conscience. Les excès des traitements informatiques et des risques inhérents font l objet de nombreux débats. A l initiative d Anne-Marie ESCOFFIER et d Yves DETRAIGNE, le Sénat a adopté en mars 2010 la proposition de loi visant à mieux garantir la vie privée à l heure du numérique. Ce texte a qualifié l adresse IP de donnée à caractère personnel soumise aux dispositions de la loi Informatique et libertés et renforcé les pouvoirs de la CNIL. Il a également durci les obligations auxquelles sont soumis les responsables de traitement de données. Néanmoins, à la différence du souhait de ses auteurs, la version votée n a finalement pas créé de compétence 3 Car institué par l article 29 de la directive.

5 5 obligatoire du législateur en matière de création de fichier intéressant la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté. Ce texte n a toujours pas été inscrit à l ordre du jour de l Assemblée nationale. La proposition de loi relative à la protection de l identité, toujours en navette, vise, notamment, à réglementer les bases de données biométriques relatives aux titres d identité. Elle entend renforcer les garanties de protection des données. Toutefois, Une divergence subsiste entre le Sénat et l Assemblée nationale s agissant de l utilisation du fichier biométrique à des fins de recherche criminelle : le Sénat souhaite l utilisation d une technologie dite à lien faible, limitant l usage du ficher à la seule lutte contre la fraude documentaire. Le dispositif adopté double les garanties juridiques par des garanties matérielles, afin de rendre l'utilisation du fichier pour identifier une personne à partir de ces seules empreintes digitales juridiquement et techniquement impossible. On peut enfin signaler que les juges prennent une part prépondérante au renforcement des garanties, en l absence d évolution de la législation. Les ambiguïtés de la loi de 2004 quant aux règles de déclaration de fichiers ont été clarifiées par le Conseil d Etat. Par un arrêt du 19 juillet 2010, la Haute juridiction a ainsi partiellement annulé un arrêté de création du fichier «Base élèves 1er degré» du Ministère de l'éducation Nationale, au motif que les services du Ministère avaient commencé à utiliser le fichier sans attendre le récépissé de la déclaration à la CNIL. Pour cette même raison, le Conseil d'état a totalementannulé le même jour le décret d'application de la Base Nationale Identifiant Élèves, qui attribue un matricule à chaque enfant scolarisé dès 3 ans. Enfin, par un arrêt du 26 octobre 2011, le Conseil d Etat a partiellement annulé un décret prévoyant, pour l établissement de la base donnée relative à la délivrance de passeports, la collecte et la conservation des empreintes digitales ne figurant pas dans le composant électronique du passeport 4. Pour les magistrats, «la collecte et la conservation d'un plus grand nombre d'empreintes digitales que celles figurant dans le composant électronique ne sont ni adéquates, ni pertinentes et apparaissent excessives au regard des finalités du traitement informatisé». 4 En l espèce le décret prévoyait la conservation de huit empreintes alors que deux suffisent.