Право на уважение частной жизни во французской системе в цифровую эпоху

Irune Bouhadana

Le droit au respect de la vie privee а l'ere du numerique dans le systeme francais

Des 1976, l'expose des motifs du projet de loi relatif a l'informatique et aux libertes soulignaitque "l'importance croissante de l'informatique fait apparaitre des risques pour les libertes individuelles qui sont le fondement meme de notre societe"*(118). Enonce depuis plus de trois decennies, ce constat n'a pas perdu de son actualite. Le developpement des technologies de l'information et de la communication a meme accru sa pertinence.

A l'heure ou Internet a fait irruption dans la vie privee comme dans la vie publique et ou les traces de la navigation de l'internaute sur la Toile peuvent etre conservees a long terme, il importe de se preoccuper des menaces qui peuvent en decouler sur nos libertes.

Dans ce contexte, il convient d'analyser les dispositifs destines aproteger les libertes individuelles. En France, de telles garanties sont d'une part l'oeuvre du legislateur en particulier avec la loi du 6 janvier 1978 relative a l'informatique aux fichiers et aux libertes.

Cette loi puise ses origines dans le mouvement de critiques qui avait accompagne le projet de mise en place du systeme designe par l'acronyme SAFARI qui signifie "systeme automatise pour les fichiers administratifs et le repertoire des individus". Le projet consistait a interconnecter les fichiers administratifs sur la base du numero de securite sociale. De cette facon, il aurait ete possible d'acceder a l'ensemble des informations relatives a une meme personne.

En reponse a ces menaces sous-jacentes et a la prise de conscience des risques issus du developpement de l'informatique, la loi du 6 janvier 1978a ete adoptee. L'objectif premier de ce texte consiste a veiller a ce que le developpement de l'informatique respecte libertes individuelle et publiques. Comportant 37 articles a l'origine, la loi de 1978 a vu ce nombre doubler au cours des modifications qu'elle a connues pour tenir compte des evolutions liees au developpement de l'informatique.

Le dispositif de protection des donnees personnelles et ce faisant, du droit au respect a la vie privee, a permis l'elaboration progressive d'un modele qui s'est ancre dans la pratique francaise. La loi du 6 janvier 1978 perdure meme si elle a fait l'objet de plusieurs modifications pour tenir compte des evolutions issues des nouvelles technologies de l'information et de la communication. Cependant, l'ampleur des enjeux lies au numerique et les risques d'atteintes aux libertes en raison de la conservation des donnees personnelles sur la Toile ont incite plus recemment a rechercher une protection plus forte de niveau constitutionnel. En la matiere, les garanties relatives au droit a l'oubli numerique se construisent progressivement au fil de la jurisprudence constitutionnelle, a defaut d'une consecration expresse par le texte de la Constitution.

Dans le systeme francais, la protection de la vie privee est donc a la fois assuree par la loi mais a l'heure ou le developpement de la societe de l'information suscite un interet grandissant en faveur d'un droit a l'oubli numerique se pose la question du renforcement de ce dernier par des textes a valeur supra-legislative et beneficiant donc d'une protection plus forte.

I. La protection legislative de la collecte et des traitements de donneesa caractere personnel

Le dispositif de protection des donnees personnelles repose principalement sur la loi du 6 janvier 1978 modifiee, mais il a ete necessaire de s'appuyer egalement sur d'autres textes pour tenir compte des evolutions liees au numerique.

A) Les principes relatifs a la collecte, au traitement et a la conservation des informations relatives aux personnes physiques

La loi n 78-17 du 6 janvier 1978 s'ouvre sur un principe general qui fixe une orientation au developpement de l'informatique. Il s'agit aux termes de cette loi de mettre "l'informatique au service de chaque citoyen". Pour ce faire, celle-ci "ne doit porter atteinte ni a l'identite humaine, ni aux droits de l'homme, ni a la vie privee, ni aux libertes individuelles ou publique"*(119). Consacree par la loi de 1978 susvisee, cette preoccupation a conserve toute son actualite a l'ere du numerique. Une fois cet objectif transversal enonce, ce texte pose les principes et definit les concepts destines a y repondre.

1) La liceite de la collecte et du traitement des donnees a caractere personnel

A cet egard, la loi du 6 janvier 1978 modifiee par la loi n°2004-801 du 6 aout 2004 definit les regles a respecter pour proceder au traitement de donnees a caractere personnel. En premier lieu, il importe de proceder a la collecte et au traitement de ces donnees de maniere loyale et licite.

En outre, ces donnees doivent etre collectees et traitees pour des finalites determinees. En d'autres termes, ces donnees ne doivent pas etre traitees ulterieurement de maniere incompatible avec ces finalites. Ainsi, un service de l'Etat, une collectivite locale ou une entreprise qui traite des donnees personnelles doit y proceder pour un usage determine, explicite et legitime en rapport avec ses missions.

Les donnees personnelles doivent egalement etre pertinentes et necessaires au regard des finalites pour lesquelles elles ont ete collectees.

Les donnees collectees et traitees doivent par ailleurs etre exactes et mises a jour le cas echeant. Pour ce faire, un droit de rectification ou d'effacement est prevu pour les donnees inexactes ou incompletes.

Dans le meme sens, ces donnees personnelles sont conserves pendant une duree limitee ne depassant pas le temps necessaire aux finalites pour lesquelles elles ont ete collectees. La duree de conservation de ces donnees ne peut donc etre illimitee, mais elle peut varier en fonction des finalites du traitement. La duree de conservation peut etre plus longue pour la gestion de la carriere d'un agent par exemple.

Enfin, le traitement des donnees a caractere personnel doit etre realise avec le consentement de la personne concernee ou repondre a l'une des conditions definie par la loi de 1978 modifiee. Dans ce dernier cas, il peut s'agir du respect d'une obligation legale incombant au responsable du traitement, de la sauvegarde de la vie de la personne concernee, de l'execution d'une mission de service public, de l'execution d'un contrat auquel la personne concernee est partie, ou encore la realisation d'un interet legitime poursuivi par le responsable du traitement ou par le destinataire.

2) Les definitions essentielles au regard de la collecte et du traitement de donnees a caractere personnel

Une fois ces conditions de liceite posees, il convient de s'interesser a un certain nombre de notions definies par la loi. Le legislateur de 1978 et 2004 s'est preoccupe de donner une definition precise a la notion de donnee a caractere personnel, a celle de son traitement et a celle du fichier correspondant. Ces definitions sont essentielles au regard de l'objectif general fixe par la loi pour concilier le developpement de l'informatique avec l'identite humaine, les droits de l'homme, la vie privee et les libertes individuelles ou publiques.

D'une part, est consideree comme une donnee a caractere personnel "toute information relative a une personne physique identifiee ou qui peut etre identifiee, directement ou indirectement par reference a un numero d'identification ou a un plusieurs elements qui lui sont propres"*(120). Les donnees a caractere personnel correspondent donc aux informations nominatives comme le nom ou le prenom, mais aussi a celles qui permettent d'identifier indirectement une personne physique grace a un numero renvoyant a l'identite de la personne, comme une ligne telephonique par exemple. L'identification d'une personne peut aussi provenir de son ADN ou plus largement de la reunion d'un certain nombre d'elements qui se rattachent a la personne.

D'autre part, le legislateur a pris soin de definir la notion de traitement de donnees a caractere personnel. Il s'agit de toute operation portent sur ces donnees sans restriction quant au procede technique utilise, a savoir la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise a disposition, le rapprochement ou l'interconnexion, le verrouillage, l'effacement ou la destruction ". La notion de traitement de donnees a caractere personnel est donc tres large et se prete facilement aux evolutions technologiques.

Enfin, c'est selon cette meme approche que la loi definit la notion de fichier de donnees a caractere personnel. Ce support peut etre constitue par "tout ensemble structure et stable de donnees a caractere personnel accessibles selon des criteres determines"*(121).

Dans le prolongement de la notion de fichier de donnees a caractere personnel, il importe de s'interroger sur le champ d'application de la loi. Celle-ci couvre un large perimetre puisqu'elle s'applique aussi bien aux fichiers informatises qu'a ceux qui ne font pas l'objet d'un traitement automatise, a savoir les fichiers manuels. Ces derniers entrent dans le champ d'application de la loi des lors qu'ils contiennent des donnees a caractere personnel repondant au critere defini la loi c'est-a-dire lorsqu'ils forment un ensemble structure ou encore un systeme de classement permettant d'acceder aux donnees a caractere personnel.

3) Les categories particulieres de donnees personnelles

Le cadre general de la loi etant dresse, il est necessaire d'apprehender le cas particulier de certaines categories de donnees a caractere personnel. En effet, la loi de 1978 modifiee interdit le traitement de certaines informations mentionnant "directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives a la sante ou a la vie sexuelle de celles-ci"*(122).

Ces donnees dites "sensibles" ne peuvent faire l'objet d'un traitement sauf exceptions prevues par la loi. Ces donnees doivent etre en rapport avec la finalite du traitement realise et avoir fait l'objet du consentement expres de la personne concernee ou etre autorisees par la Commission nationale de l'informatique et des libertes. Il peut s'agir par exemple de traitements necessaires a la sauvegarde de la vie humaine pour lesquels la personne concernee ne peut materiellement ou en raison d'une incapacite juridique donner son consentement. Il en est de meme pour les traitements necessaires dans le cadre de la medecine preventive lorsqu'ils sont mis en oeuvre par un membre d'une profession de sante soumise a l'obligation de secret professionnel.

4) Le role de la Commission nationale de l'informatique et des libertes.

La mise en oeuvre des traitements de donnees a caractere personnel a necessite la creation d'une instance chargee d'en controller l'application. Cette mission incombe a la Commission nationale de l'informatique et des libertes designee sous l'acronyme CNIL.

Cette instance est une autorite administrative independante principalement chargee de veiller a ce que les traitements de donnees a caractere personnel soient mis en oeuvre dans le respect de la loi. Pour ce faire, elle a pour mission d'informer toutes les personnes concernees et tous les responsables de traitement de leurs droits et obligations. Le role qui lui est attribue traduit donc l'objectif premier de la loi de 1978 qui est comme nous l'avons evoque de veiller a ce que l'informatique ne porte pas atteinte a l'identite humaine, aux droits de l'homme, a la vie privee, aux libertes individuelles ou publiques.

La CNIL comprend 17 membres issus notamment du Parlement, de la haute fonction publique, du Conseil d'Etat, de la Cour de cassation, de la Cour des comptes et comprend aussi des personnalites qualifiees pour leur connaissance de l'informatique ou des questions relatives aux libertes individuelles. Le president*(123) de cette instance est elu parmi ces membres. Elle dispose d'un budget propre*(124) et ne recoit pas d'instruction emanant d'une quelconque autre autorite.

La CNIL controle la conformite a la loi des traitements qui lui sont declares. Ses agents et ses membres sont habilites a demander communication sur place (locaux professionnels) et a obtenir copie de tous les documents necessaires ou supports (programmes informatiques, informations enregistrees) utiles a la realisation de ces missions.

Outre le controle de la conformite des traitements a la loi de 1978 modifiee, le role de la CNIL a recemment ete etendu par l'ordonnance du 24 aout 2011 relative aux communications electroniques. Ce texte transpose les directives europeennes dites "Paquet Telecom" et modifie la loi du 6 janvier 1978*(125). Desormais, les failles de securite qui font naitre des risques a l'egard des donnees personnelles sont juridiquement encadrees. Ainsi, la perte et l'alteration accidentelle ou illicite des donnees a caractere personnel, ainsi que l'acces non autorise a ces dernieres dans le cadre de la fourniture d'un service de communication electronique doivent systematiquement faire l'objet d'une notification a la CNIL par les operateurs. Le non-respect de cette obligation expose le contrevenant a une amende de 300 000 et a une peine de 5 ans d'emprisonnement.

La CNIL joue egalement un role consultatif. Ainsi, elle rend des avis a la demande des pouvoirs publics, des juridictions ou encore des personnes ou organismes qui mettent en oeuvre des traitements de donnees a caractere personnel. De meme, elle est consultee sur tout projet de loi ou de decret portant sur les traitements automatises de donnees personnelles. Par exemple, lors de la preparation de l'ordonnance du 24 aout 2011*(126) visant a transposer les directives dites "Paquet telecom", la CNIL avait ete consultee.

En outre, la CNIL est dotee de pouvoirs de sanctions administratives et pecuniaires. La loi du 6 aout 2004*(127) a renforce ce dispositif. La CNIL peut adresser un avertissement au responsable de traitement qui ne se conforme pas a la loi ou le mettre en demeure de faire cesser le manquement a la loi. En outre, dans les cas les plus graves d'atteinte aux droits et libertes vises par la loi, la CNIL peut demander au juge par la voie du refere d'ordonner toute mesure de nature a assurer la protection de ces derniers.

Elle peut egalement prononcer des sanctions pecuniaires allant jusqu'a 300 000 euros. Les actes visant a entraver l'action de la CNIL sont punissables de peines d'emprisonnement et d'amende*(128).

5) L'action preventive du correspondant informatique et libertes

L'application de la loi de 1978 relative a l'informatique aux fichiers et aux libertes ne repose pas uniquement sur son volet repressif. En effet, la modification dont ce texte a fait l'objet par la loi du 6 aout 2004 a ete l'occasion d'introduire un aspect preventif de la protection des droits et libertes a l'egard des traitements automatises. Il a ainsi ete cree le correspondant informatique et libertes designe sous son acronyme CIL. Son role consiste a favoriser en amont une meilleure application de la loi. Il est charge d'assurer de maniere independante la securite des donnees personnelles notamment en empechant qu'elles soient deformees, endommagees, ou que des personnes non autorisees aient acces. Le CIL peut etre designe par tout responsable de fichiers, et ce qu'il s'agisse du secteur public ou prive. Cela peut donc concerner aussi bien les associations, les collectivites locales, les administrations d'Etat, mais aussi les entreprises quelle que soit leur taille (PME ou multinationales). Le CIL peut, lorsqu'il rencontre des difficultes, saisir la CNIL.

B) La prise en compte des evolutions numeriques par le legislateur

Le dispositif de protection des donnees personnelles mis en place par la loi de 1978 a ete renforce par les modifications introduites par la loi de 2004 susvisee pour tenir compte des evolutions analysees en ce qui concerne les traitements automatises. Neanmoins les nouvelles technologies ont fait naitre de nouveaux supports qu'il convient d'apprehender en raison des risques particulier qu'ils engendrent au regard du respect de la vie privee.

D'une part, il importe de s'interesser aux logiciels qui en eux-memes ne relevent pas de la loi informatique et libertes. Cependant, l'utilisation de ces logiciels peut s'averer non conforme aux prescriptions de la loi lorsque ces supports permettent de traiter des donnees a caractere personnel. L'utilisateur d'un logiciel doit, dans ce cas, s'assurer que le traitement de ces donnees est conforme a la loi de 1978 modifiee et notamment que l'acces a ces donnees est circonscrit au responsable du traitement. Pour ce faire un referentiel general de securite a ete defini par le decret n 2010-112 relatif a la securite des informations echangees par voie electronique. Ainsi, une collectivite locale qui utilise des logiciels doit veiller au respect de ces exigences.

Par ailleurs, les imperatifs de securite conduit a la mise en place de dispositifs susceptibles de porter atteinte a la vie privee ou aux donnees personnelles. Il en est ainsi en ce qui concerne la videoprotection. L'installation de ce dispositif dans un lieu public ou ouvert au public necessite une autorisation prefectorale d'une part et etre declare a la CNIL d'autre part si le traitement des donnees en question correspond aux criteres definis par la loi. Plus precisement, cette declaration est necessaire lorsque les images enregistrees ou conservees dans des traitements informatises ou des fichiers permettent d'identifier des personnes physiques.

Enfin, le developpement de la societe de l'information et la communication incite a s'interesser aux regles qui s'appliquent aux teleservices de l'administration electronique au regard de la protection des donnees personnelles. Les teleservicesqui visent a simplifier les formalites administratives des usagers du service public doivent respecter les exigences definies par la loi de 1978 modifiee. Ainsi, la collecte, le traitement et le stockage des informations recueillies doivent s'operer en conformite avec les regles precedemment analysees en ce qui concerne la finalite, la duree de conservation, la confidentialite, le respect du droit des personnes. Ainsi l'avis prealable motive et publie de la CNIL est necessaire lorsque les teleservices de l'administration electronique mettent en oeuvre des traitements portant sur des donnees necessitant l'emploi d'un identifiant des personnes physiques tel que le numero d'inscription au repertoire national d'identification, compte utilisateur associe a un mot de passe ou tout autre identifiant des personnes physiques.

Malgre ce dispositif legislatif complet, le developpement des nouvelles technologies a contribue a soumettre au juge constitutionnel des lois ou des affaires dans lesquelles le droit au respect de la vie privee est susceptible d'etre mis en cause.

II. Les demarches tournees vers un renforcement du droit a l'oubli numerique

Le droit a l'oubli numerique n'est pas expressement consacre en tant que tel par le texte constitutionnel francais. Des demarches en ce sens ont pourtant ete entreprises mais elles n'ont pas trouve leur aboutissement. Dans ce temps de latence, il importe neanmoins de se souligner la volonte de renforcer ce droit au niveau de l'Union europeenne.

A) Les appels en faveur d'une consecration constitutionnelle du droit a l'oubli numerique

L'ampleur des risques pesant sur le droit au respect de la vie privee en raison du developpement des technologies a semble suffisamment consequente pour susciter au sein du comite preside par Simone Veil une reflexion et des debats importants sur ce point.

Ce comite a ete charge en avril 2008 par le President de la Republique de reflechir a la perspective de reviser le Preambule de notre Constitution pour le completer par l'inscription de droits fondamentaux. Il s'est notamment interroge sur l'eventualite d'inscrire dans le Preambule la reconnaissance du droit au respect de la vie privee et de la protection des donnees a caractere personnel.

Au terme des auditions et des debats menes, ce comite a rendu dans son rapport remis au President de la Republique un avis defavorable a l'inscription de ces deux notions dans le Preambule. Pour les Sages du comite Veil, cette inscription ne semblait pas opportune a double titre. Ils ont fait valoir d'une part que ces deux notions - le respect de la vie privee et la protection des donnees a caractere personnel - etaient deja consacrees par la jurisprudence du Conseil constitutionnel ainsi que par les engagements internationaux de la France. De ce point de vue, l'inscription dans le Preambule de la Constitution n'apporterait selon eux rien de plus, c'est-a-dire pas de garantie supplementaire.

Les membres du comite Veil ont d'autre part fait valoir que l'evolution des technologies et le processus de revision de la Constitution obeissent a des rythmes differents et qu'en consequence, la loi sous le controle du juge leur semblait etre une voie plus satisfaisante pour accompagner le progres technologique. Pour ces raisons, l'inscription dans notre Constitution du droit au respect de la vie privee et la protection des donnees a caractere personnel qui constituent les piliers du droit a l'oubli n'a pas ete jugee opportune par ce comite.

Les travaux qu'il a menes lui ont pourtant d'auditionner notamment le president de la CNIL qui plaidait en faveur de l'insertion de maniere explicite dans la Constitution du droit au respect de la vie privee et de la protection des donnees a caractere personnel compte tenu des risques importants qui pesent aujourd'hui sur ces droits et libertes.

Les termes du debat relatif a la constitutionnalisation de ces deux notions sont ainsi clairement poses. La reponse qu'il faut lui apporter est cependant moins aisee. Si les risques produits par les progress technologiques sont indeniables, il est neanmoins possible de se demander si l'insertion de ces notions dans le texte constitutionnel est souhaitable. Cette interrogation souleve a son tour d'autres problematiques, en particulier celle de savoir si le texte de la Constitution peut etre remanie incessamment. En effet, l'encre de la revision constitutionnelle du 23 juillet 2008 finit a peine de secher...

De son cote, la jurisprudence constitutionnelle n'offre-t-elle pas une protection suffisante d'autant que depuis la revision constitutionnelle evoquee, il est possible a tout justiciable de saisir le Conseil constitutionnel dans le cadre de la question prioritaire de constitutionnalite et que, comme indique precedemment, il s'est prononce recemment sur des donnees aussi sensibles que les empreintes genetiques?

En sens inverse, il est fonde de considerer que la constitutionnalisation du droit au respect de la vie privee et de la protection des donnees a caractere personnel demontrerait avec force que les gouvernants ont pris acte des risques qui pesent sur ces droits et libertes au fur et a mesure des avancees technologiques. Mais le temps juridique et le temps technologique obeissent a des rythmes tres differents. La maturation necessaire au premier s'oppose a l'immediatete qui caracterise le second.

B) Vers un renforcement du droit a l'oubli numerique par le droit de l'Union europeenne

Le temps doit sans doute faire son oeuvre en la matiere. Dans cette periode de murissement et d'adaptation, c'est vers le tandem legislateur/juge (tant constitutionnel que judiciaire ou administratif) qu'il faut se tourner pour tenter de forger une protection a l'encontre des risques technologiques.

Pour ce faire, le legislateur comme le juge doivent apprehender de nouveaux concepts issus des progres technologiques. Comment en effet apprehender la frontiere entre espace public et espace prive face au developpement de la communication par Internet et des reseaux sociaux ? Il faut egalement rechercher a travers des standards internationaux, relayes au plan interne, des solutions communes a un probleme planetaire.

Ainsi, a defaut d'une consecration constitutionnelle, le renforcement du droit a l'oubli numerique est pour le moment engage au niveau de l'Union europeenne. En ce sens, l'ordonnance du 24 aout 2011 precitee transpose en droit francais deux directives europeennes du 25 novembre 2009*(129). Parmi les objectifs de cette ordonnance, il faut souligner en particulier concernant la problematique du droit a l'oubli numerique, les dispositions concernant l'encadrement de l'utilisation des cookies, c'est-a-dire, des temoins informatiques servant a retracer la navigation d'un utilisateur sur un site. La loi du 6 janvier 1678 a ete modifiee pour en tenir compte*(130).

Desormais les internautes devront donner leur accord prealablement a l'installation de cesfichiers textes sur leurs equipements par les serveurs des sites qu'ils visitent. Outre l'accord prealable de l'internaute, une information precise devra etre communiquee a ce dernier pour lui permettre de modifier sa decision, notamment pour refuser. Les dispositions europeennes exigent que l'accord de l'internaute portent sur un traitement precis associe a une finalite definie. Par consequent, un accord portant sur l'acceptation de tous les cookies sans que ce dernier soit associe a une finalite precise ne serait pas valable.

Par ailleurs, le 25 janvier 2012, la commission europeenne a presente une proposition de legislation allant dans le sens d'un renforcement du droit a l'oubli numerique. Il s'agit d'obliger les grands groupes, entreprises et reseaux sociaux presents sur Internet d'obtenir l'accord prealable des personnes pour utiliser leurs donnees personnelles sous peine d'amende. Par exemple, a la demande des internautes, les reseaux sociaux seront tenus de supprimer leurs donnees personnelles. Cette proposition de legislation europeenne doit encore faire l'objet d'amendements pour etre mieux acceptee dans l'ensemble des pays europeens. Neanmoins, meme si elle est encore perfectible, elle prepare la voie a un renforcement significatif du droit de l'internaute sur ses donnees personnelles dans le cyberespace.

И. Буадана*(131)