Une collecte et un partage des données personnelles en toute liberté ?

L'Union européenne s'est dotée de la Charte des droits fondamentaux en vigueur depuis le 1° décembre 2009. 

Cette déclaration adoptée le 7 décembre 2000 est le ciment dans lequel sont incrustés les droits fondamentaux dont jouit le peuple de l'espace de liberté mais aussi de sécurité et de justice appelé  communément Union européenne. 

Ce liant doit pouvoir se diluer en fonction de l'évolution de la société, du progrès sociale, économique mais aussi technologique. 

Face à l'ampleur des conséquences liées à la propagation des données à caractère personnel, l'Union Européenne doit intervenir pour réguler, mais surtout pour protéger la personne concernée.

Elle se devait de se doter d'un outil lui permettant de concilier les intérêts, parfois contradictoires, en présence.

Le Règlement UE n° 2016/679 adopté le 27 avril 2016 par le Parlement européen (RGPD) va répondre à ce devoir.

Dans son premier considérant il énonce :

• "La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental".

Dès lors :

• Comment a-t-il concilier le droit à la protection des données à caractère personnel avec le droit au progrès économique et social dans un espace de liberté ?
• Comment a-t-il préserver le droit à la vie privée, à l'image sans contrarier le droit au progrès ?

Deux parties seront l'occasion d'analyser le contenu du Règlement Général Européen sur la Protection des Données au regard de la croissance exponentielle de la circulation de données personnelles et surtout au regard de la préservation de la vie privée des personnes concernées.

I- L'UE face à l'ampleur des conséquences de la libre circulation de données personnelles

L’importance grandissante des interactions numériques entre les personnes génèrent un libre flux de données à caractère personnel au profit de tous et notamment des professionnels privés ou publics.

A- Le libre flux de données à caractère personnel

1- Définition

Le professeur d'informatique S. Abiteboul sur Wikipedia définit les "données" comme : Une description élémentaire d'une réalité, dépourvue de tout raisonnement, supposition, constatation, probabilité. Etant indiscutable ou indiscutée, servant de base à une recherche, à un examen quelconque.

L'article 4 du Règlement UE 2016/679 précise que :

Les données à caractère personnel sont "toute information se rapportant à une personne physique identifiée ou identifiable [...] par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale".

Un traitement est "toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction".

2- Champ d'application

Le règlement s'applique :

• "au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union.
• au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées".

B- Un libre accès pour les institutions privées et publiques

1- Une croissance exponentielle

Sous forme numérique, ces données massives ou "big data" alimentent les algorithmes. Ces derniers déterminent à notre insu notre quotidien.

La massification et la diversité de la collecte facilite leur stockage. Ce qui permet leur analyse  et l'établissement de liens, de profils pour mieux cibler et à moindre coût :

• 350 millions de photos sont partagées sur F..., 150 sur Sn..., 40 sur Ins.. chaque jour ("Mortelle transparence" D. OLIVENNES et M. CHICHPORTICH 2018).

Les dangers inhérents à cette collecte : la réutilisation et la commercialisation à notre insu.

Ces données devenant des ressources économiques et politiques.

2- Une pouvoir d'influence

L'affaire Cambridge Analytica (Récupération des données de 50 millions d’usagers Fac...à leur insu) a permis de mettre en lumière l'impact des réseaux sociaux dans le tissu social. 

Que ce soit Facebook, Twitter ou Google, ces trois géants ont la capacité de permettre un ciblage publicitaire à l'échelle planétaire. Mais le pire, ils permettent une manipulation de la population. Illustration avec le détournement de leur outil à des fins politiques durant les élections présidentielles américaines (Voir Figaro du 12 avril 2018).

II- L'UE face à la préservation de la vie privée des personnes concernées

Si le traitement n’est pas nécessaire à l’exécution du contrat, cette exécution ne peut être conditionnée que par le consentement au traitement (Voir Opt in). Consentement qui joue un rôle central surtout pour la protection du mineur. La majorité numérique est ainsi établie.

A- La place centrale du consentement fondement du traitement des données

1- Les caractéristiques du consentement

Le 32° considérant RGPD prévoit que le consentement devra être donné par "un acte positif clair [univoque] par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant" :

• Déclaration écrite, par voie électronique, ou déclaration orale.
• Cocher une case lors de la consultation d'un site internet en toute connaissance de cause.

Dès lors pas de consentement en cas de silence, de cases cochées par défaut ou d'inactivité. La preuve, au regard de telles exigences, est primordiale.

Précision :

• Un traitement avec plusieurs finalités : un consentement pour l'ensemble d'entre elles

L'art 4 (11) définit le consentement fondement du traitement des données :  "toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement."

Alors que l'art 7 précise que "Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant".

Relevons l'art 9 relatif à l'interdiction du traitement des données sensibles hors accord explicite :

• "Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits".
• Pas d'interdiction si "La personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques", sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée".

Notons, l'art L1111-18 du code de la santé publique : "L'accès au dossier médical partagé est notamment interdit lors de la conclusion d'un contrat relatif à une protection complémentaire en matière de couverture des frais de santé et à l'occasion de la conclusion de tout autre contrat exigeant l'évaluation de l'état de santé d'une des parties. L'accès à ce dossier ne peut également être exigé ni préalablement à la conclusion d'un contrat, ni à aucun moment ou à aucune occasion de son application".

L'accord explicite sera obligatoire en cas de "transfert de données vers un pays tiers  ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives" art 46.

2- Le caractère précaire du consentement pour le traitement futur

L'article 7 (3) RGPD

"La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement".

B- La spécificité de la majorité numérique

1- Le consentement de l'enfant

L'article 8 RGPD pose le principe suivant :

• le traitement des données à caractère personnel relatives à un enfant est licite lorsque l'enfant est âgé d'au moins 16 ans. Lorsque l'enfant est âgé de moins de 16 ans, ce traitement n'est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l'égard de l'enfant.

Les États membres peuvent prévoir par la loi un âge inférieur pour ces finalités pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans. 

La preuve de l'autorisation peut être démontrée à l'aide de moyens technologiques disponibles : un simple SMS ou e mail ?

2- Le point de divergence des législateurs français

L'âge de la majorité numérique, à partir duquel un adolescent peut donner seul son consentement au traitement de ses données personnelles, a permis un débat entre le Sénat et l'Assemblée nationale.

Le 14 mai 2018 le projet de Loi relatif à la protection des données personnelles est adopté.

C'est ainsi que l'art 7-1 de la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés :

"En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de quinze ans.

Lorsque le mineur est âgé de moins de quinze ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l'autorité parentale à l'égard de ce mineur.

Le responsable de traitement rédige en des termes clairs et simples, aisément compréhensibles par le mineur, les informations et communications relatives au traitement qui le concerne".