De l’esprit de la loi informatique et libertés: l’article 1er

L’article 1^er de la loi informatique et libertés prévoit que « l’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.

Toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la présente loi».

En raison de la portée générale, sinon symbolique de cette disposition, elle occupe une place à part dans le corpus de la loi informatique et libertés. Et pour cause, elle en exprime l’esprit ; elle est son réceptacle. À la différence des articles qui la suivent, lesquels édictent des règles techniques — formalités préalables, droits de la personne concernée, pouvoirs de la Commission —, l’article 1^er ne pose aucune prescription directement opératoire : il énonce une profession de foi, un principe directeur à la lumière duquel l’ensemble du texte doit être lu et appliqué.

Il convient, du reste, de rappeler que la loi du 6 janvier 1978 fut, à l’échelle mondiale, l’un des tout premiers textes législatifs à encadrer l’usage des données à caractère personnel. Adoptée au lendemain de l’affaire dite « SAFARI » — projet d’interconnexion des fichiers administratifs au moyen d’un identifiant unique, révélé en 1974 et perçu comme la menace d’un fichage généralisé des citoyens —, elle procède d’une intuition prémonitoire : l’informatique, instrument de puissance, peut se retourner contre celui qu’elle est censée servir. L’article 1^er cristallise cette ambivalence.

À cet égard, l’article 1^er révèle, chez le législateur, à la fois l’espoir et l’inquiétude que le développement de l’informatique peut faire naître.

Il prescrit, en face d’un phénomène de société sans précédent, une attitude que les autorités publiques, en particulier la Commission Nationale de l’Informatique et des Libertés (CNIL), ont pour mission de faire respecter.

Aussi, cela leur impose-t-il d’être attentives aux évolutions, aux glissements de pouvoirs, aux centralisations excessives, dans tous les domaines sans exception, où l’informatique est utilisée.

Avant d’entrer dans le détail de cette disposition, encore faut-il s’entendre sur les deux notions cardinales qu’elle met en jeu — la donnée à caractère personnel et le traitement —, dont dépend tout entier le champ d’application de la loi.

Deux précisions doivent être apportées sur le champ ainsi délimité. D’une part, la loi du 6 janvier 1978 ne se cantonne pas aux seuls traitements informatisés : elle s’applique aux traitements automatisés de données à caractère personnel, mais aussi aux traitements non automatisés — fichiers manuels ou mécanographiques — dès lors que les données y sont contenues ou appelées à figurer dans un fichier. Le critère déterminant n’est donc pas le support, mais l’organisation structurée des informations selon des critères permettant de retrouver chaque personne. D’autre part, le déclenchement de la loi suppose l’existence d’un traitement : en l’absence de tout procédé organisé d’exploitation des données, l’on demeure hors de son empire.

La jurisprudence a précisément éprouvé cette frontière. La chambre criminelle de la Cour de cassation a ainsi jugé que de simples constatations visuelles opérées sur Internet, accompagnées du recueil de renseignements par un agent assermenté, ne sauraient être assimilées à un traitement de données à caractère personnel dès lors qu’elles ne recourent à aucun procédé automatisé.

Cette grille de lecture étant posée, l’on peut, si l’on se focalise sur les termes de l’article qui introduit la loi informatique et libertés, en tirer trois enseignements majeurs :

• Le traitement des données à caractères personnels ne doit porter atteinte, ni à l’état des personnes, ni à leurs droits et libertés
• Les individus jouissent d’un droit à l’autodétermination informationnelle
• L’encadrement des traitements de données à caractère personnel doit s’opérer dans le cadre d’une coopération internationale

I) §1 : La protection de la personne humaine

L’article 1^er de la loi informatique et libertés dispose que l’informatique « ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »

La lecture de cette disposition révèle que la volonté du législateur a été de conférer une protection des plus larges aux personnes, en ce sens qu’elle ne vise pas seulement à prévenir les atteintes susceptibles d’être portées à la vie privée. L’énumération, loin d’être limitative ou redondante, procède par cercles concentriques : l’identité humaine — c’est-à-dire ce qui fait de l’individu un sujet et non un objet —, les droits de l’homme entendus dans leur universalité, la vie privée comme sphère d’intimité, enfin les libertés individuelles et publiques par lesquelles la personne se déploie dans la cité. C’est l’ensemble de cet édifice que le traitement automatisé est sommé de ne pas ébranler.

Pour rappel, le droit à la vie privée a été consacré par la loi n° 70-643 du 17 juillet 1970 tendant à renforcer la garantie des droits individuels des citoyens.

Ce droit est énoncé à l’article 9 du Code civil qui dispose :

« Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé. »

Au vrai, si le législateur a entendu inclure dans le champ de la protection conférée par la loi informatique et libertés, l’identité humaine, les droits de l’Homme ainsi que les libertés publiques ou individuelles, c’est qu’il a estimé que le droit à la vie privé, fusse-t-il inséré dans le Code civil, était trop étroit.

Dès 1978, les parlementaires avaient bien conscience que les atteintes aux personnes engendrées par le traitement automatisé des données dépassaient le simple cadre de la vie privée. L’on songe, par exemple, à la constitution de profils par recoupement de données pourtant individuellement anodines — habitudes d’achat, déplacements, fréquentations —, à la discrimination algorithmique fondée sur l’origine ou l’état de santé, ou encore au fichage des opinions politiques et syndicales : autant d’atteintes qui frappent moins l’intimité que la dignité, l’égalité ou la liberté d’agir de la personne.

De surcroît, le droit à la vie privée n’est reconnu par aucun texte à valeur constitutionnelle.

A) L’étroitesse du droit à la vie privée

Il est particulièrement frappant de constater que les normes constitutionnelles qui protègent les droits et libertés fondamentaux des individus ne mentionnent nulle part le droit de chacun au respect de sa vie privée et à la protection de ses données personnelles.

Ces droits ne sont inscrits, ni dans la Constitution du 4 octobre 1958, ni dans son préambule.

Ces droits sont seulement protégés par des dispositions de nature législative.

• L’article 9 du Code civil énonce le droit au respect de la vie privée
• Certaines dispositions pénales répriment les violations de l’intimité de la vie privée, notamment les articles 226-1, 226-2, 226-3, 226-4-1 ou 226-22 du code pénal.

L’étroitesse dénoncée est donc double. Elle est, d’abord, matérielle : le droit de l’article 9 ne saisit que l’intimité, à l’exclusion des atteintes diffuses que le traitement de masse fait peser sur les libertés. Elle est, ensuite, hiérarchique : faute d’ancrage dans la norme suprême, ce droit demeure à la merci du législateur, qui peut en moduler la portée sans rencontrer d’obstacle constitutionnel. C’est ce second défaut que la jurisprudence du Conseil constitutionnel s’est efforcée de pallier.

C’est seulement par effet de la jurisprudence développée par le Conseil constitutionnel que ces droits ont été progressivement et partiellement reconnus.

Le Conseil constitutionnel a jugé, dans une décision du 23 juillet 1999 que la liberté proclamée par l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789 « implique le respect de la vie privée », principe qui figure au nombre des droits et libertés constitutionnellement garantis dont la mise en œuvre incombe à la fois au juge judiciaire et au juge administratif.

Le Conseil constitutionnel n’a, toutefois, tiré que très récemment les conséquences de ce droit en matière de protection des données personnelles, en jugeant à partir de 2012 que « la collecte, l’enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif » (Décisions nos 2012-652 DC du 22 mars 2012).

L’on observera que le rattachement opéré par le Conseil est révélateur d’un détour : faute de fondement textuel propre, le droit au respect de la vie privée a dû être adossé à la liberté proclamée par l’article 2 de la Déclaration de 1789. La protection demeure ainsi médiate, dérivée — là où d’autres ordres juridiques lui reconnaissent une assise autonome.

Cette situation, qui démontre la relative obsolescence et l’inadaptation de notre corpus constitutionnel aux réalités de la société numérique, tranche également avec la reconnaissance dont ces droits ont fait l’objet en droit international.

Le principe du respect de la vie privée est explicitement affirmé et protégé par plusieurs instruments internationaux, parmi lesquels :

• 1) La Déclaration universelle des droits de l’homme du 10 décembre 1948
• Le Pacte international relatif aux droits civils et politiques du 16 novembre 1966 (3), entré en vigueur le 23 mars 1976 et ratifié par la France le 4 novembre 1966
• La Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CESDH) du 4 novembre 1950 (4), ratifiée par la France le 3 mai 1974.

Quant au droit à la protection des données à caractère personnel, il a notamment été consacré par la Convention du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (6), dite « 108 ».

Fait notable, il est, depuis 2007, un droit fondamental dans l’ordre juridique de l’Union européenne, distinct du droit au respect de la vie privée.

Cette distinction mérite d’être pleinement mesurée, car elle commande l’architecture contemporaine de la matière. Le droit au respect de la vie privée et le droit à la protection des données à caractère personnel ne se confondent pas : le premier protège une sphère d’intimité contre les intrusions ; le second encadre, en amont et de manière objective, le maniement licite des données — y compris lorsque celles-ci ne touchent en rien à l’intimité de l’intéressé. Une donnée publique, banale, librement communiquée, n’en demeure pas moins soumise aux exigences de loyauté, de finalité et de proportionnalité. C’est dire que le second droit déborde largement le premier.

L’article 8 de la Charte européenne des droits fondamentaux de l’Union européenne du 7 décembre 2000, à laquelle le traité de Lisbonne du 13 décembre 2007 a conféré valeur juridique contraignante, prévoit ainsi, distinctement de son article 7 relatif au respect de la vie privée, que :

• Les données à caractère personnel doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi
• Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification »
• Le respect de ces règles est soumis au contrôle d’une autorité indépendante

Enfin, si la CESDH ne comporte pas d’article spécifiquement consacré à la protection des données personnelles, la CEDH protège expressément ce droit sur le fondement du droit au respect de la vie privée mentionné par l’article 8 de la Convention en jugeant que « la protection des données à caractère personnel joue un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale ».

Pour l’heure, la constitutionnalisation des droits au respect de la vie privée et à la protection des données à caractère personnel n’est toujours pas intervenue.

Pourtant, il a été proposé par Commission de réflexion et de propositions sur le droit et les libertés à l’âge numérique de consacrer explicitement et séparément dans la Constitution du 4 octobre 1958 les droits, d’une part, au respect de la vie privée, et, d’autre part, à la protection des données à caractère personnel.

Selon cette commission, la définition du droit au respect de la vie privée pourrait s’inspirer de la conception qu’en a développée jusqu’à ce jour le Conseil constitutionnel et la définition qu’en ont donné les normes et les juridictions communautaires et européennes.

Une telle consécration permettrait, pour ce qui concerne son volet numérique, de mieux protéger notamment le droit au secret des correspondances numériques et le droit à l’inviolabilité du domicile numérique face à certaines technologies intrusives.

La définition du droit à la protection des données personnelles pourrait pour sa part reprendre celle qu’en a donnée l’article 8 de la Charte européenne des droits fondamentaux de l’Union européenne, en parfaite cohérence avec les exigences posées par le droit communautaire dans ce domaine.

Sa consécration permettrait d’élever les conditions d’exploitation des données personnelles à l’ère numérique en soumettant leur traitement à l’exigence de loyauté et à l’existence de fins déterminées ainsi que d’un fondement légitime ou du consentement de l’intéressé.

Une telle consécration présenterait plusieurs avantages :

• Tout d’abord, ainsi consacrés, ces droits se verraient érigés en exigences constitutionnelles de valeur équivalente à d’autres, comme la liberté d’entreprendre ou la liberté d’expression respectivement protégées par les articles 4 et 11 de la Déclaration des droits de l’homme et du citoyen de 1789, rendant plus aisée leur conciliation.
• Par ailleurs, une telle consécration permettrait, comme suggéré par Isabelle Falque-Pierrotin, « d’afficher une protection du plus haut niveau dans ce domaine, ce qui serait très utile lors des négociations internationales» engagées au niveau de l’Union européenne et avec d’autres pays comme les États-Unis.
• Enfin, elle rapprocherait la France des treize autres pays européens qui ont également procédé à la constitutionnalisation spécifique du droit à la protection des données à caractère personnel, en particulier l’Allemagne, l’Autriche, l’Espagne, la Grèce, la Hongrie, les Pays-Bas, le Portugal ou la Suède.

La portée de cette élévation au rang constitutionnel ne serait pas seulement symbolique. En conférant à la protection des données la même valeur qu’à la liberté d’entreprendre, elle obligerait le juge constitutionnel à procéder à une conciliation équilibrée entre des exigences de rang égal, plutôt qu’à un simple contrôle de la loi au regard d’un droit infra-constitutionnel. Tout déséquilibre manifeste au détriment des données personnelles deviendrait alors justiciable d’une censure — sécurité juridique dont la matière est aujourd’hui dépourvue.

B) Une protection qui déborde le droit à la vie privée

En désignant comme objet de la protection assurée par la loi informatique et libertés, l’identité humaine, les droits de l’homme ainsi que les libertés individuelles ou publiques, le législateur a, sans nul doute, souhaité garantir le respect de la personne humaine dans toutes ses composantes.

L’étendue de cette protection se retrouve notamment à l’article 1^er de la Convention 108 du Conseil de l’Europe aux termes duquel :

« le but de la présente Convention est de garantir, sur le territoire de chaque Partie, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant ».

La Directive du 24 octobre 1995 abondait dans le même sens en prévoyant à son article 1^er que :

« Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel. »

Quant au Règlement général sur la protection des données, son article 2 dispose, sensiblement dans les mêmes termes, que :

« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »

La convergence de ces formules n’est pas fortuite : du texte fondateur de 1978 au règlement européen de 2018, en passant par la Convention 108 et la directive de 1995, le législateur — national comme supranational — a constamment refusé de réduire l’objet de la protection à la seule vie privée. Cette dernière n’est jamais visée qu’à titre d’illustration — « notamment », « en particulier » —, au sein d’un ensemble plus vaste qui embrasse l’intégralité des libertés et droits fondamentaux. La donnée n’est ainsi protégée que parce qu’elle est le prolongement de la personne.

Ainsi, la protection de la personne humaine contre le traitement des données à caractère personnel doit être envisagée à l’aune des droits et libertés qui lui sont conférées.

En écho à l’article 1^er de la loi informatique et libertés, le considérant 2 du RGPD prévient que « le traitement des données à caractère personnel devrait être conçu pour servir l’humanité », raison pour laquelle « les principes et les règles régissant la protection des personnes physiques à l’égard du traitement des données à caractère personnel les concernant devraient, quelle que soit la nationalité ou la résidence de ces personnes physiques, respecter leurs libertés et droits fondamentaux »

Au nombre des textes qui énoncent, en droit interne, ces droits et libertés figurent la Déclaration des Droits de l’Homme et du Citoyen, complétée par le préambule de la Constitution de 1946, le tout étant visé par le préambule de la Constitution du 4 octobre 1958.

L’article 1^er de la loi informatique et libertés doit, en sus, être interprétée à la lumière de la jurisprudence du Conseil constitutionnel et des juridictions de l’ordre judiciaire et administratif.

Au bilan, il apparaît que la protection de la personne humaine contre les atteintes susceptibles d’être engendrées par le traitement des données à caractère personnel est bien plus étendue que celle garantie par le droit à la vie privée.

II) §2 : Le droit à l’autodétermination informationnelle

L’alinéa 2 de l’article 1^er de la loi informatique et liberté dispose que « toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la présente loi. »

Cet alinéa, qui ne figurait pas dans le texte initial, est issu de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique.

Pourquoi cette précision ? Son ajout procède d’une réflexion sur le rapport que les sujets de droit entretiennent avec leurs données à caractère personnel.

Cette réflexion s’est cristallisée autour d’une alternative théorique dont il importe de bien saisir les termes : la protection de l’individu à l’ère numérique passe-t-elle par la patrimonialisation de ses données — c’est-à-dire la reconnaissance d’un droit de propriété qu’il pourrait céder ou monnayer — ou, au contraire, par leur maintien dans le giron des droits de la personnalité, inaliénables par nature ? C’est entre ces deux logiques que le législateur a eu à trancher.

Comme relevé par la Commission de réflexion et de propositions sur le droit et les libertés à l’âge numérique la monétisation économique croissante dont font aujourd’hui l’objet les données personnelles a pu conduire certains à considérer que la protection de la vie privée à l’ère numérique serait mieux assurée par la reconnaissance d’un droit de propriété de l’individu sur ses données permettant de mieux concilier l’exigence de protection avec le souhait de nombreuses personnes de valoriser leurs informations personnelles, en échange d’une rémunération ou d’un service.

Cette position est, cependant, loin d’être partagée par tous. Comme l’a indiqué Isabelle Falque-Pierrotin une telle logique ferait perdre « des leviers d’action considérables sur lesdites données : étant propriétaire de ses données, l’individu pourrait les vendre, notamment à des acteurs étrangers. Or la grande supériorité intellectuelle du droit à la protection des données personnelles réside dans le fait qu’il reconnaît le droit d’un individu même si les données sont traitées par d’autres ».

L’argument est décisif et mérite d’être explicité. Le propre du droit de propriété est de s’éteindre par la cession : qui vend sa chose en perd la maîtrise. Reconnaître un droit de propriété sur les données reviendrait donc à autoriser l’individu à s’en dépouiller définitivement. À l’inverse, le droit à la protection des données — droit de la personnalité — survit à la transmission : la personne conserve, sur ses données, un pouvoir de regard et de rectification quand bien même elles sont entre les mains d’un tiers. La force du modèle personnaliste tient précisément à cette persistance du lien entre la personne et sa donnée.

Certes la reconnaissance d’un droit de propriété de l’individu sur ses données ne conduirait pas à une privatisation irréversible de ses informations personnelles et à la perte de tout contrôle sur leur devenir. Le droit de la propriété intellectuelle enseigne, dans d’autres domaines, qu’il est possible de ménager des outils d’inaliénabilité limitant la portée du droit de cession, ouvrant des possibilités de licence et, en définitive, modulant cette patrimonialisation.

Mais, ainsi que l’a souligné Maryvonne de Saint-Pulgent, présidente de la section du rapport et des études du Conseil d’État, il est incontestable qu’elle fragiliserait considérablement le cadre juridique qui régit aujourd’hui les conditions d’utilisation des données personnelles.

Elle se heurterait encore aux limites territoriales de la reconnaissance du droit de propriété, à l’heure où les grands responsables de traitements de données sont implantés à l’étranger.

Et « la reconnaissance de ce droit de propriété rendrait plus difficile l’action de l’État pour protéger les individus confrontés à de multiples pièges car toutes ses interventions pourraient alors être regardées comme portant atteinte à un droit de valeur constitutionnelle ».

Par ailleurs, il est défendu, à juste titre, que les principes actuels de la loi informatique et libertés permettent déjà une valorisation économique des données, en autorisant, sous certaines conditions, leur recueil, leur exploitation et leur conservation en échange de la délivrance de services ou de facilités.

Qui plus est, un droit de propriété individuel sur les données ne permettrait pas de rééquilibrer la relation asymétrique qui existe aujourd’hui entre les éditeurs de services numériques et les internautes, marquée par la très faible valeur accordée aux données d’un seul individu.

Il serait donc pour le moins paradoxal d’accorder un droit de propriété à des individus pris isolément alors que c’est la masse des données de plusieurs centaines d’individus qui constitue une valeur économique aux yeux des responsables de traitements.

Enfin, cette reconnaissance romprait avec l’approche généraliste et personnaliste de notre législation, qui considère la donnée personnelle comme le support indirect d’un droit fondamental et inaliénable reconnu à l’individu dont elle émane et non comme un objet économique.

En lieu et place d’une privatisation de ses données personnelles, le législateur a don décidé de procéder à une plus grande autonomisation de l’individu dans l’univers numérique, en lui permettant non plus seulement de bénéficier de droits à la protection mais aussi d’être maître de son épanouissement dans l’univers numérique.

A) L’inspiration allemande : le droit à l’autodétermination informationnelle

Jusqu’alors, l’approche par l’autonomisation individuelle était relativement absente de la législation française, à la différence d’autres pays européens comme l’Allemagne dont la Cour constitutionnelle fédérale a dégagé, dès 1983, des principes de dignité de l’homme et de droit au libre développement de sa personnalité un droit à l’autodétermination informationnelle de l’individu.

Pour la Cour de Karlsruhe qui s’est exprimée dans un arrêt du 15 décembre 1983, « la Constitution [allemande] garantit en principe la capacité de l’individu à décider de la communication et de l’utilisation de ses données à caractère personnel » car s’il « ne sait pas prévoir avec suffisamment de certitude quelles informations le concernant sont connues du milieu social et à qui celles-ci pourraient être communiquées, sa liberté de faire des projets ou de décider sans être soumis à aucune pression est fortement limitée ». Pour elle, « l’autodétermination est une condition élémentaire fonctionnelle dans une société démocratique libre, basée sur la capacité des citoyens d’agir et de coopérer ».

La filiation est éclairante. Rendue à l’occasion d’un recensement de la population, cette décision fondatrice — qui n’est autre que l’arrêt dit du « recensement » — opère un renversement de perspective : le danger n’est pas seulement l’atteinte ponctuelle à l’intimité, mais l’effet inhibant que produit, sur la liberté d’agir du citoyen, l’incertitude quant à ce que l’on sait de lui. Celui qui se sait — ou se croit — observé s’autocensure ; il renonce à exercer ses libertés. C’est cette intuition, étrangère à la conception française classique de la vie privée, que le législateur de 2016 a entendu acclimater en droit interne.

Séduit par cette approche, le législateur français a manifestement estimé, en complétant l’article 1^er de la loi informatique et libertés que l’individu devait pouvoir disposer de moyens plus importants pour assurer sa protection face aux risques soulevés par le numérique.

Pratiquement, cette consécration du droit à l’autodétermination informationnelle présente quatre avantages parfaitement résumés par le Conseil d’État :

• elle donne sens à tous les autres droits relatifs à la protection des données à caractère personnel qui ne constitue pas un but en soi ;
• alors que le droit à la protection des données peut être perçu comme un concept défensif, le droit à l’autodétermination lui donne un contenu positif à la fois plus efficace et plus conforme à la logique personnaliste et non patrimoniale qui a toujours prévalu en Europe en matière de protection des données ;
• elle souligne que la législation relative à la protection des données protège non seulement l’individu mais aussi les intérêts collectivement défendus par la société tout entière ;
• elle apparaît d’une grande ambition, au regard de la perte générale de maîtrise par les individus de leurs données dans un contexte où la donnée personnelle est de plus en plus traitée comme une marchandise.

Reste à mesurer la portée exacte de cette consécration. L’alinéa 2 de l’article 1^er ne crée pas, à proprement parler, un droit subjectif autonome, directement invocable comme tel : il énonce un principe matriciel dont les déclinaisons concrètes — droit d’accès, de rectification, d’opposition, d’effacement, à la portabilité — sont fixées « dans les conditions prévues par la présente loi ». L’autodétermination informationnelle ne se suffit donc pas à elle-même ; elle irrigue l’ensemble du dispositif et lui confère sa cohérence, en désignant la finalité que toutes les prérogatives ponctuelles concourent à servir : faire de la personne le maître, et non l’objet, du traitement de ses données.

III) §3 : L’exigence de coopération internationale

A) Le fondement textuel de l’exigence

L’article 1^er de la loi informatique et libertés prévoit que le développement de l’informatique « doit s’opérer dans le cadre de la coopération internationale ».

Cette formule, en apparence incidente, n’a rien d’ornemental. En l’inscrivant dès l’article liminaire — soit au rang des principes cardinaux qui commandent l’interprétation de l’ensemble du texte —, le législateur a entendu signifier que la protection des données à caractère personnel ne saurait s’épuiser dans un cadre purement national. Le constat est, au demeurant, d’une logique implacable : une donnée qui circule par-delà les frontières échappe, par hypothèse, à l’emprise exclusive de l’ordre juridique qui l’a vue naître. Garantir les libertés individuelles dans un espace cloisonné, alors que l’information se joue des frontières, reviendrait à élever des digues là où l’eau s’est déjà répandue. L’exigence de coopération internationale apparaît, dès lors, non comme un vœu pieux, mais comme la condition même de l’effectivité du dispositif protecteur.

Cette précision fait écho au développement des flux transfrontaliers de données à caractère personnel.

B) Les flux transfrontières de données comme défi nouveau

La mondialisation, l’essor de l’Internet et l’effondrement des coûts des télécommunications augmentent, en effet, considérablement le volume des informations de caractère personnel qui franchissent les frontières.

Le phénomène est, du reste, sans précédent par son ampleur comme par sa nature. À l’époque où les premières législations protectrices ont été conçues, le transfert de données supposait un support matériel — un fichier, une bande magnétique — dont l’acheminement physique pouvait, à tout le moins, être repéré et contrôlé. Avec la dématérialisation, la donnée se déplace désormais à la vitesse de la lumière, en quantités illimitées, sans qu’aucune frontière douanière n’en perçoive le passage. La géographie des données s’est ainsi affranchie de la géographie des États.

C) L’ambivalence des flux : bénéfices économiques et risques pour les libertés

Cet accroissement de la circulation transfrontière de l’information a des retombées positives tant pour les organisations que pour les personnes en abaissant les coûts, en induisant des gains d’efficience et en améliorant le service au client.

Dans le même temps, ces flux d’informations de caractère personnel accentuent les préoccupations pour la vie privée, en soulevant de nouveaux problèmes de protection des informations de caractère personnel des individus. L’ambivalence est ici irréductible : le mouvement qui crée la richesse est, dans le même trait de temps, celui qui expose la personne. La donnée est tout à la fois facteur de prospérité et vecteur de vulnérabilité — et c’est précisément cette dualité qui interdit de prohiber purement et simplement les transferts, comme elle interdit de les libérer sans contrepartie.

Lorsque des données de caractère personnel partent à l’étranger, le risque que les personnes perdent leur capacité d’exercer leurs droits à la vie privée, ou de se protéger contre l’utilisation ou la divulgation illicite de cette information, augmente. Dans le même temps, les autorités chargées de faire appliquer les lois sur la vie privée peuvent constater qu’elles sont dans l’incapacité de donner suite aux plaintes ou de procéder à des investigations en relation avec les activités d’organisations implantées à l’étranger.

Le péril revêt ainsi une double face. Du côté de la personne concernée, c’est l’érosion de la garantie : une fois la donnée expatriée, le droit d’accès, le droit de rectification ou le droit d’opposition perdent leur prise faute de débiteur saisissable. Du côté de l’autorité de contrôle, c’est l’impuissance territoriale : nul ne peut, en principe, exercer ses pouvoirs de contrainte au-delà des limites de sa souveraineté, en vertu de l’adage selon lequel extra territorium jus dicenti impune non paretur — celui qui rend la justice hors de son territoire ne peut être obéi sans risque. La protection nationale se heurte ainsi au mur des frontières au moment même où le besoin de protection se déplace au-delà d’elles.

D) La coopération entre autorités de contrôle comme réponse

Les efforts qu’elles déploient pour œuvrer ensemble dans un contexte transfrontière pourraient également être entravés par des pouvoirs insuffisants en matière de mesures préventives ou correctives, par des disparités dans les régimes juridiques et par des obstacles pratiques comme des contraintes de ressources.

Dans ce contexte, un consensus s’est dessiné sur la nécessité de promouvoir une coopération plus étroite entre les autorités chargées de faire appliquer la législation sur la vie privée, afin de les aider à échanger des informations et procéder à des enquêtes avec leurs homologues à l’étranger.

À l’impuissance territoriale de chaque autorité prise isolément, la coopération oppose ainsi une réponse en réseau : ce que l’autorité ne peut accomplir seule sur le sol d’un État tiers, elle l’obtient par la médiation de l’autorité qui y exerce sa compétence. L’assistance mutuelle devient, en cette matière, le prolongement naturel — et nécessaire — du pouvoir de contrôle.

L’importance de la coopération dans l’application des lois relatives à la protection de la vie privée est reconnue non seulement au sein de l’OCDE, mais aussi dans d’autres enceintes, notamment la Conférence internationale des commissaires à la protection des données et à la vie privée, le Conseil de l’Europe, la Coopération économique AsiePacifique (APEC), ainsi que l’Union européenne et son groupe de protection des personnes à l’égard du traitement des données de caractère personnel (Groupe de travail « Article 29 »).

De fait, les instruments régionaux et autres mécanismes moins formels destinés à faciliter la coopération transfrontière se multiplient. Cependant, aucun de ces instruments n’a de portée mondiale. Là réside la principale faiblesse de l’édifice : à la circulation planétaire des données ne répond encore qu’une mosaïque d’ordres régionaux, dont la juxtaposition laisse subsister des zones de moindre protection — autant d’interstices dans lesquels les libertés individuelles demeurent exposées.

E) La genèse historique de l’exigence : des Lignes directrices de l’OCDE à aujourd’hui

De fait, la nécessité d’un renforcement de la coopération dans l’application des lois est apparue pour la première fois dans les Lignes directrices de l’OCDE de 1980 régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel (« Lignes directrices sur la vie privée »), rappelé dans la Déclaration ministérielle d’Ottawa de 1998 et souligné plus récemment en 2003 dans le rapport « Protection de la vie privée en ligne : orientations politiques et pratiques de l’OCDE ».

Bien que les Lignes directrices sur la vie privée servent de point de départ à l’initiative actuelle, l’environnement a changé. La mesure de ce bouleversement se lit dans une donnée simple, mais éloquente.

Lorsque les Lignes directrices sur la vie privée ont été adoptées, environ un tiers seulement des pays Membres disposaient d’une législation sur la protection de la vie privée.

Aujourd’hui, la quasi-totalité des pays Membres de l’OCDE se sont dotés de lois protégeant la vie privée et ont mis en place des autorités ayant des pouvoirs pour les faire appliquer – signe que la protection de la vie privée et de la sécurité des informations personnelles est essentielle dans les sociétés démocratiques et concourt à la confiance des consommateurs sur les marchés tant intérieurs que mondiaux. Cette généralisation des législations protectrices a déplacé la difficulté : naguère, le défaut tenait à l’absence de règles dans nombre d’États ; il tient désormais à leur disparité et à la difficulté de les faire jouer de concert. La coopération internationale n’est plus, dès lors, un substitut à l’absence de droit, mais l’instrument d’articulation de droits désormais multiples.

Pour toutes ces raisons, il est absolument nécessaire de satisfaire à cette exigence de coopération internationale, gravée dans le marbre de la loi informatique et libertés.

F) Les supports concrets de la coopération : la base réciproque

Pratiquement, afin d’élaborer des mécanismes de coopération internationale destinés à faciliter et à mettre en place une assistance mutuelle internationale pour faire appliquer les législations relatives à la protection des données à caractère personnel, il est un impératif que les autorités nationales puissent échanger des informations et coopérer dans le cadre d’activités liées à l’exercice de leurs compétences avec les autorités compétentes dans les pays tiers, sur une base réciproque.

Cette base réciproque est constituée notamment :

• Des lignes directrices de l’OCDE — instrument de droit souple adopté en 1980, qui a posé pour la première fois les principes directeurs de la protection des données et de l’encadrement des flux transfrontières, et qui demeure la matrice intellectuelle de la coopération entre autorités.
• Des principes directeurs de l’ONU — qui inscrivent la protection des données personnelles dans l’ordre des garanties universelles, en l’adossant aux droits fondamentaux reconnus à toute personne.
• De la convention STE 108 — première convention internationale juridiquement contraignante en la matière, ouverte à la signature au sein du Conseil de l’Europe, qui impose aux États parties un socle commun de garanties et organise l’assistance mutuelle entre autorités de contrôle.
• De la Convention européenne des droits de l’homme — dont l’article 8, qui consacre le droit au respect de la vie privée et familiale, irrigue l’ensemble de la matière et fonde, en dernière analyse, la légitimité de la protection des données à caractère personnel.

Ces instruments ne sont pas de même nature : certains relèvent du droit souple — recommandations et lignes directrices dépourvues de force obligatoire propre —, tandis que d’autres procèdent du droit conventionnel et lient les États qui y ont consenti. Mais tous concourent à une même fin : faire en sorte que la donnée, où qu’elle se trouve, demeure adossée à un seuil minimal de garanties, et que les autorités chargées de les faire respecter puissent se prêter mutuellement main-forte. C’est à cette aune que se mesure la portée véritable de l’exigence inscrite à l’article 1^er : non un principe déclamatoire, mais le ressort d’une protection conçue, dès l’origine, comme nécessairement partagée.