Accès des gouvernements aux données du secteur privé Jérusalem, le 28 octobre 2010 (32 e conférence internationale des commissaires à la protection des données et de la vie privée) Giovanni Buttarelli Contrôleur européen adjoint de la protection des données Thèmes de discussion L accès des gouvernements aux données à caractère personnel et aux bases de données du secteur privé n est pas une question récente, mais avec le développement de nouvelles technologies et des réseaux de données, elle est devenue plus urgente que jamais. C est là un vaste sujet qui n intéresse pas seulement des pays individuels mais revêt aujourd hui une importance mondiale. La mondialisation a transformé le travail des organes de répression, faisant éclater leur dimension nationale traditionnelle; elle a permis de disposer d un accès en ligne systématique à des bases de données privées dans d autres pays (par exemple, PNR et transport aérien), directement ou par le biais d une autorité publique nationale; elle a ouvert la voie à des accords internationaux pour l échange organisé d informations du secteur privé entre organes de répression. Dans les entreprises, les informations sont de plus en plus centralisées à des fins opérationnelles ou d économie d échelle; l informatique dématérialisée (cloud computing) connaît un succès rapide.
Les bases de données ont aujourd hui perdu leurs anciennes propriétés physiques et leur position relativement statique. Déterminer quelle législation s applique à ce traitement des données et définir des garanties viables et efficaces pour ne citer que ces deux aspects voilà qui ne va plus de soi. Je propose d aborder le sujet en tant que phénomène mondial, sans faire l impasse sur des expériences nationales intéressantes, mais en privilégiant l accès en ligne ainsi que les tendances probables et les inconnues qui nous attendent dans un avenir proche. La question concerne tous les organes publics, tant au niveau central que local, des secteurs de la protection sociale, de la santé, de l éducation ou de la fiscalité, mais elle devient manifestement bien plus délicate là où interviennent organes policiers, services de renseignement et autorités juridiques. Les problèmes de ce type sont particulièrement graves dans les pays qui vivent, ou ont vécu, sous un régime totalitaire. Ce fait a été souligné par la Cour européenne des droits de l homme dans plusieurs affaires de collecte illégale, secrète ou abusive d informations concernant des citoyens sans méfiance, privés de garantie adéquate, même après l événement. Depuis 2001, le caractère disproportionné de certaines mesures d urgence introduites en réponse au terrorisme et au crime organisé international fait l objet de nombreux débats. Mais oublions pour un instant la situation d urgence que nous espérons voir disparaître, et observons comment le phénomène de l accès à des bases de données privées ne cesse de s amplifier dans toutes les démocraties modernes. La disponibilité immédiate de l information suscite des appétits nouveaux et insatiables, la législation allant même jusqu à obliger des organisations privées à créer des bases de données n ayant pas pour seule fin de gérer leurs relations avec les utilisateurs et consommateurs; des bases de données dont la seule raison d être est de répondre à d éventuelles et hypothétiques futures requêtes émanant d organes de répression. Si l on écarte le gel des données, qui peut se justifier, voyons le problème de la rétention des données appliquée au trafic téléphonique et à la transmission des données, opération devenue obligatoire sur de longues périodes et adoptée comme pratique ordinaire et non simplement comme mesure d urgence, et introduite pour lutter contre des délits graves,
mais pas nécessairement contre le terrorisme ou les formes graves de criminalité organisée. Je propose donc d examiner aujourd hui comment les démocraties modernes peuvent traiter ces questions dans des circonstances normales car, souvent, ceux qui opèrent dans ces démocraties dépassent les limites raisonnables de la proportionnalité et de la sécurité dans la collecte et l utilisation des informations. Je pense que nous pouvons tous nous accorder sur un premier point, à savoir les demandes de routine de la vie courante émanant des administrations publiques. Dans divers secteurs, les lois et règlementations, datant sans doute de plusieurs années, autorisent les organismes publics à obtenir des informations de routine auprès d individus privés (autres que les parties intéressées), rendant parfois obligatoire de fournir ces informations d office, sans même en attendre la demande. Cette démarche s explique par des raisons d efficacité, de transparence, de contrôles administratifs ou de dépenses publiques. Que cette acquisition se fasse en ligne ou hors ligne ne doit pas intervenir sur la question de principe. Toutefois, lorsque des liens électroniques permanents sont utilisés pour faciliter ce type d accès, cela pose des problèmes qu il convient de prendre au sérieux: identification, vérification des droits, sélection de la méthode de demande, recherches par diffusion (push) ou par extraction (pull), requêtes individuelles ou collectives, historique de l accès pour ne citer que quelques-uns des problèmes posés. Certaines lois sur la protection des données tentent de favoriser une approche globale plutôt que fragmentée; par exemple, au moyen d accords-cadres établissant des mesures et des garanties de sécurité pour assurer que l information est à la fois pertinente et sûre, et qui peuvent être évaluées à l avance par les observateurs concernés. Malheureusement, même ces garanties ne suffisent plus. Partout, le phénomène de l usage abusif des données va en s intensifiant non du fait des organismes publics en tant que tels, mais grâce à la connivence de personnes opérant en leur sein, qui ont accès aux données et les transmettent à des parties non autorisées; par exemple, pour constituer des fichiers de plus en
plus utilisés pour créer des profils compromettants pour les personnes concernées; certes, ces profils contiennent des informations exactes, mais qui sont exploitées abusivement dans des cercles politiques, journalistiques et économiques. Enquêteurs privés, éminences grises des maquis politiques, journalistes et politiciens peuvent en toute illégalité se procurer de grandes quantités d informations qui, prises isolément, semblent offrir peu d intérêt mais, une fois associées à d autres sources d information, créent un profil portant gravement préjudice aux personnes concernées et que ni police ni autorités judiciaires ne peuvent rapidement contrer. C est là un phénomène grave que nous ne devons pas ignorer. Mais il en est d autres. Ainsi, selon des rapports de presse, certains gouvernements ont acheté comptant de vastes bases de données privées à d autres pays, en vue de s en servir «juste au cas où». Sans compter la question encore plus délicate de l accès disproportionné à des bases de données privées, à des fins prétendues de répression ou de renseignement. Sur ce dernier aspect, il y a contradiction manifeste. D un côté, parallèlement au développement de nouvelles technologies et de nouveaux moyens de s introduire dans des bases de données, dans certains pays, des arrêts de tribunaux internationaux et de la Cour suprême codifient de nobles principes pour défendre l habeas data ou le droit à l autodétermination en matière d information, ou pour garantir l intégrité de la vie privée virtuelle de l individu. Mais, dans un même temps, avec les progrès de la technologie de l information, créer des canaux d accès direct et permanent à des bases de données privées est considéré comme un fait normal. Comment se fait-il que ces questions ne soient couramment débattues qu au sein de groupes d experts d élite, mais pas vraiment dans le grand public, sauf peut-être par à-coups, lorsqu un scandale se fait jour? Dans quelle mesure ces problèmes trouveraient-ils une solution plus efficace au niveau politique et culturel s ils étaient débattus sur la place publique? Quelle est l efficacité réelle de ceux qui, pour traiter ces problèmes, recommandent plutôt de bonnes pratiques ou des approches raisonnables en matière de protection des données à caractère personnel ou de sécurité des données, mais à un niveau technique ou sectoriel?
Je n en dirai pas davantage, car je pense que nous disposons à présent de suffisamment d indicateurs pour entamer ce débat d une actualité brûlante et très attendu.