Les sources du droit de la protection des données à caractère personnel

I) Section 1 : le droit international

Avant que le droit de l’Union européenne ne s’empare de la matière et n’en fasse l’un des domaines les plus densément réglementés du droit positif, c’est sur le terrain international que se sont esquissés les premiers instruments de protection des données à caractère personnel. Dès la fin des années 1970 et le début des années 1980 — période où l’informatisation des administrations et des entreprises rend tangible le risque d’une surveillance généralisée —, plusieurs organisations internationales ont entrepris d’énoncer un socle commun de garanties. Trois textes, adoptés à quelques années d’intervalle, structurent cette première strate normative : les principes directeurs de l’Organisation des Nations Unies (1990), les lignes directrices de l’Organisation de Coopération et de Développement Économiques (1980) et la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du Conseil de l’Europe, dite Convention STE n° 108 (1981).

Ces instruments ne se situent pas tous au même niveau de la hiérarchie des normes, et c’est là une distinction cardinale qu’il convient de poser d’emblée. Les deux premiers relèvent de ce que l’on désigne couramment sous l’expression de droit mou (soft law) : ils énoncent des recommandations, dépourvues de force obligatoire, dont l’autorité repose sur la seule adhésion volontaire des États. Le troisième, en revanche, est un traité international au sens plein : il engage juridiquement ses signataires et constitue, à ce titre, le premier instrument international contraignant en matière de protection des données. Cette gradation — de la simple incitation à l’obligation conventionnelle — commande l’ordre logique de leur examen.

A) §1 : Principes directeurs de l’ONU

Dans le cadre de sa résolution A/RES/45/95, l’Assemblée générale des Nations Unies a adopté, le 14 décembre 1990, des « principes directeurs pour la réglementation des fichiers personnels informatisés ».

L’objet même de ce texte appelle une précision liminaire : il prend pour assise la notion de fichier, qui en constitue le pivot. Loin de se réduire à une accumulation indistincte de renseignements, le fichier suppose une organisation. Il se définit comme tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique. Deux conditions cumulatives caractérisent ainsi le fichier : d’une part, la donnée collectée doit avoir vocation à être triée, classée et structurée ; d’autre part, cette structuration doit s’opérer selon des critères déterminés relatifs aux personnes, de telle sorte qu’un accès facile aux données soit rendu possible. À défaut de cette double exigence, l’ensemble considéré demeure en deçà de la qualification de fichier.

Ce texte envisage un certain nombre de garanties minimales qui doivent être prévues par les États membres, étant précisé que, contrairement aux décisions prises par le Conseil de sécurité, les résolutions adoptées par l’Assemblée générale des Nations Unies sont dépourvues de force contraignante.

Cette absence de portée obligatoire ne saurait toutefois conduire à minorer la valeur de l’instrument. La résolution relève de ce que la doctrine internationaliste nomme le droit mou : un ensemble d’énoncés qui, sans contraindre, orientent. Son autorité est tout entière persuasive — elle tient à la légitimité de l’organe qui l’adopte et à l’effet d’entraînement qu’exerce, sur les législateurs nationaux, l’expression d’un consensus mondial. À ce titre, les principes directeurs de 1990 ont joué un rôle de matrice idéologique : on retrouvera, dans les textes contraignants postérieurs comme dans les droits internes, l’empreinte des exigences qu’ils ont formalisées.

Les principes directeurs énoncés par la résolution ainsi adoptée sont au nombre de 10 :

1) Champ d’application

Les présents principes s’appliquent :

• D’une part, à tous les fichiers informatisés publics et privés et, par voie d’extension facultative et sous réserve des adaptations adéquates, aux fichiers traités manuellement.
• D’autre part, si cela est expressément prévu par les législations nationales, aux fichiers de personnes morales, notamment lorsqu’ils contiennent pour partie des informations concernant des personnes physiques.

On observera la souplesse du dispositif : si le champ naturel du texte est celui des fichiers informatisés rapportés à des personnes physiques, son extension aux traitements manuels et aux personnes morales demeure facultative et subordonnée à la volonté des États. Cette modularité est caractéristique des instruments de droit mou, qui privilégient l’adhésion la plus large au prix d’une intensité normative variable.

2) Principe de licéité et de loyauté

Les données concernant les personnes ne doivent pas être obtenues ou traitées à l’aide de procédés illicites ou déloyaux, ni utilisées à des fins contraires aux buts et aux principes de la Charte des Nations Unies.

Ce principe condense en réalité deux exigences distinctes qu’il importe de ne pas confondre. La licéité renvoie à la conformité du procédé de collecte au droit : la donnée ne doit pas être obtenue en violation d’une règle juridique. La loyauté, plus subtile, vise les procédés qui, sans être à proprement parler illégaux, reposent sur la dissimulation, la ruse ou la captation clandestine de l’information à l’insu de la personne. La collecte d’une donnée par un moyen techniquement licite mais déloyal — telle une captation opérée par un dispositif dont la personne ignore l’existence — demeure ainsi prohibée.

3) Principe d’exactitude

Les personnes responsables de l’établissement d’un fichier ou celles responsables de leur mise en œuvre doivent être tenues de vérifier l’exactitude et la pertinence des données enregistrées et de veiller à ce qu’elles demeurent aussi complètes que possible pour éviter les erreurs par omission et qu’elles soient mises à jour, périodiquement ou lors de l’utilisation des informations contenues dans un dossier, tant qu’elles font l’objet d’un traitement.

Le principe d’exactitude n’est pas une exigence purement formelle : il procède de la finalité protectrice de l’ensemble du dispositif. Une donnée inexacte ou périmée n’est pas un simple défaut technique ; elle est porteuse d’un risque de préjudice, dès lors que les décisions prises à partir du fichier — octroi d’un crédit, recrutement, suivi médical — reposeront sur une représentation faussée de la personne. C’est pourquoi l’obligation pèse aussi bien sur l’exactitude (la donnée doit être vraie) que sur la complétude (l’absence d’une donnée ne doit pas induire en erreur par omission) et sur l’actualité (la donnée doit être tenue à jour).

4) Principe de finalité

La finalité en vue de laquelle est créé un fichier et son utilisation en fonction de cette finalité doivent être spécifiées, justifiées et, lors de sa mise en œuvre, faire l’objet d’une mesure de publicité ou être portées à la connaissance de la personne concernée, afin qu’il soit ultérieurement possible de vérifier :

• Si toutes les données personnelles collectées et enregistrées restent pertinentes par rapport à la finalité poursuivie ;
• Si aucune desdites données personnelles n’est utilisée ou divulguée, sauf accord de la personne concernée, à des fins incompatibles avec celles ainsi spécifiées ;
• Si la durée de conservation des données personnelles n’excède pas celle permettant d’atteindre la finalité pour laquelle elles ont été enregistrées.

Le principe de finalité constitue la clef de voûte de l’édifice. En exigeant que tout fichier soit assigné à un but déterminé, spécifié et justifié, il commande l’application de tous les autres principes : c’est par rapport à la finalité que s’apprécient la pertinence des données (sont superflues celles qui ne servent pas le but), la légitimité de leur usage (est prohibé le détournement vers une fin incompatible) et la durée de leur conservation (qui ne saurait excéder le temps nécessaire à la réalisation du but). On reconnaît ici, à l’état embryonnaire, le principe que les textes ultérieurs nommeront limitation des finalités, assorti de son corollaire, la minimisation des données.

5) Principe de l’accès par les personnes concernées

Toute personne justifiant de son identité a le droit de savoir si des données la concernant font l’objet d’un traitement, d’en avoir communication sous une forme intelligible, sans délais ou frais excessifs, d’obtenir les rectifications ou destructions adéquates en cas d’enregistrements illicites, injustifiés ou inexacts, et, lorsqu’elles sont communiquées, d’en connaître les destinataires.

Une voie de recours doit être prévue, le cas échéant, auprès de l’autorité de contrôle prévue.

En cas de rectification, le coût devrait être à la charge du responsable du fichier.

Il est souhaitable que les dispositions de ce principe s’appliquent à toute personne, quelle que soit sa nationalité ou sa résidence.

Ce principe est le plus directement tourné vers la personne concernée : il fait d’elle non un objet passif du traitement, mais un sujet doté de prérogatives actives. Il agrège en réalité une grappe de droits — droit de savoir, droit d’accès, droit de rectification, droit d’effacement, droit de connaître les destinataires — qui deviendront le cœur des législations contemporaines. On notera la portée universaliste de la disposition : il est souhaitable qu’elle bénéficie à toute personne sans considération de nationalité ni de résidence, marque de ce que la protection des données est conçue comme un attribut de la personne humaine et non comme un privilège attaché à la citoyenneté.

6) Principe de non-discrimination

Sous réserve des cas de dérogations limitativement prévus sous le principe 6, les données pouvant engendrer une discrimination illégitime ou arbitraire, notamment les informations sur l’origine raciale ou ethnique, la couleur, la vie sexuelle, les opinions politiques, les convictions religieuses, philosophiques ou autres, ainsi que l’appartenance à une association ou un syndicat, ne doivent pas être collectées.

Ce principe inaugure une distinction qui irriguera durablement la matière : celle des données dites sensibles, soumises à un régime renforcé. La logique est ici protectrice par anticipation : certaines catégories d’informations, en raison de leur nature, sont à ce point susceptibles de fonder une discrimination que leur collecte est, par principe, prohibée. L’interdiction n’est cependant pas absolue, puisqu’elle s’efface devant les dérogations limitativement admises — ce qui justifie l’examen séparé de la faculté de dérogation.

7) Faculté de dérogation

Deux catégories de dérogations doivent être distinguées :

• Les dérogations relatives aux principes de licéité et de loyauté, d’exactitude, de finalité et de libre accès peuvent faire l’objet de dérogations.
  • Ces dérogations peuvent être envisagées par les États à la double condition
    • D’une part, que ces dérogations soient nécessaires pour protéger la sécurité nationale, l’ordre public, la santé ou la moralité publique ainsi que, notamment, les droits et libertés d’autrui, spécialement de personnes persécutées (clause humanitaire)
    • D’autre part, que ces dérogations soient expressément prévues par la loi ou par une réglementation équivalente prise en conformité avec le système juridique interne qui en fixe expressément les limites et édicte des garanties appropriées.

• Les dérogations relatives au principe de la prohibition de la discrimination
  • Outre qu’elles doivent être soumises aux mêmes garanties que celles prévues pour les dérogations précédentes, elles ne peuvent être autorisées que dans les limites prévues par la Charte internationale des droits de l’homme et les autres instruments pertinents dans le domaine de la protection des droits de l’homme et de la lutte contre les discriminations.

L’architecture des dérogations révèle le souci d’un équilibre. Les garanties accordées à la personne ne sont pas érigées en absolus ; elles peuvent céder devant des intérêts supérieurs — sécurité nationale, ordre public, santé, droits d’autrui. Mais cette reculade n’est admise que dans un cadre strictement encadré : la dérogation doit être nécessaire (test de proportionnalité) et prévue par la loi (exigence de légalité), assortie de garanties appropriées. Quant aux données sensibles, leur régime dérogatoire est plus rigoureux encore, enserré dans les limites tracées par la Charte internationale des droits de l’homme. On retrouve ici la mécanique classique du droit des libertés : summum jus, summa injuria ne saurait prévaloir, et toute restriction se mesure à l’aune de sa nécessité.

8) Principe de sécurité

Des mesures appropriées doivent être prises pour protéger les fichiers tant contre les risques naturels, tels que la perte accidentelle ou la destruction par sinistre, que les risques humains, tels que l’accès non autorisé, l’utilisation détournée de données ou la contamination par des virus informatiques.

Le principe de sécurité opère un déplacement notable : il ne s’intéresse plus à la licéité du traitement en lui-même, mais à l’intégrité matérielle du fichier. Il distingue deux familles de risques — les risques naturels (sinistre, perte accidentelle) et les risques humains (intrusion, détournement, malveillance informatique) — et impose au responsable une obligation de moyens proportionnée, dont le contenu varie selon la sensibilité des données et l’état de la technique.

9) Contrôle et sanctions

Chaque législation doit désigner l’autorité qui, en conformité avec le système juridique interne, est chargée de contrôler le respect des principes précités.

Cette autorité doit présenter des garanties d’impartialité, d’indépendance à l’égard des personnes ou organismes responsables des traitements et de leur mise en œuvre, et de compétence technique.

En cas de violation des dispositions de la loi interne mettant en œuvre les principes précités, des sanctions pénales ou autres doivent être prévues ainsi que des recours individuels appropriés.

Ce principe est décisif, car il conditionne l’effectivité de tous les autres : un droit dépourvu de gardien demeure lettre morte. Le texte appelle à l’institution d’une autorité de contrôle dotée d’un triple caractère — impartialité, indépendance et compétence technique —, modèle dont les autorités nationales de protection des données constitueront la traduction concrète. Il prévoit en outre une double dimension de sanction : répressive (sanctions pénales ou autres) et réparatrice (recours individuels), de sorte que la méconnaissance des principes ne reste pas sans conséquence.

10) Flux transfrontières de données

Lorsque la législation de deux ou plusieurs pays, concernés par un flux transfrontière de données, présente des garanties comparables au regard de la protection de la vie privée, les informations doivent pouvoir circuler aussi librement qu’à l’intérieur de chacun des territoires concernés.

En l’absence de garanties comparables, des limitations à cette circulation ne peuvent être imposées indûment et seulement dans la stricte mesure où la protection de la vie privée l’exige.

Ce dernier principe pose la pierre angulaire de toute la problématique internationale : la conciliation entre la libre circulation des données, exigence de l’économie mondialisée, et la protection de la vie privée, exigence des droits fondamentaux. La solution retenue repose sur la notion de garanties comparables : tant que le pays destinataire offre un niveau de protection équivalent, le flux doit circuler aussi librement qu’en interne ; dans le cas contraire, des restrictions sont admises, mais seulement dans la mesure strictement nécessaire. On reconnaît ici le germe de ce qui deviendra, dans les textes contraignants, le mécanisme du niveau de protection adéquat conditionnant les transferts vers les pays tiers.

B) §2 : Les lignes directrices de l’OCDE

1) Ratio legis

Par décision du 23 septembre 1980, l’Organisation de Coopération et de Développement Économiques (OCDE) a adopté des lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel.

Il faut souligner, à titre liminaire, l’antériorité chronologique de cet instrument : adoptées dès 1980, les lignes directrices de l’OCDE précèdent tant la résolution onusienne de 1990 que — de quelques mois — la Convention du Conseil de l’Europe de 1981. Elles constituent ainsi, historiquement, le premier énoncé international structuré des principes de protection des données. La perspective dans laquelle elles s’inscrivent est, par ailleurs, singulière : émanant d’une organisation à vocation économique, elles abordent la protection de la vie privée moins comme une fin en soi que sous l’angle de ses incidences sur les échanges et le commerce international.

Les États membres de cette organisation internationale sont partis du constat, dès 1980, que le traitement automatique de l’information, qui permet de transmettre de vastes quantités de données en quelques secondes à travers les frontières nationales et même à travers les continents, tendait à se généraliser et à prendre un essor qui n’aurait de cesse de s’accroître.

Il a encore été relevé que, en réaction, des législations relatives à la protection de la vie privée ont été adoptées en vue de prévenir des actes considérés comme constituant des violations des droits fondamentaux de l’homme, tels que le stockage illicite de données de caractère personnel qui sont inexactes, l’utilisation abusive ou la divulgation non autorisée de ces données.

L’OCDE y a vu le risque que des disparités se créent dans les législations nationales et qu’elles entravent la libre circulation des données de caractère personnel à travers les frontières.

Des restrictions imposées à ces flux pourraient, en effet, entraîner de graves perturbations dans d’importants secteurs de l’économie, tels que la banque et les assurances.

La ratio legis de l’instrument se laisse ainsi clairement saisir : c’est un raisonnement de nature économique qui en commande l’architecture. Les États ont craint que la multiplication de législations nationales hétérogènes ne se mue en autant de barrières à la circulation de l’information, dont la fluidité conditionne le fonctionnement de pans entiers de l’économie. La protection de la vie privée et la libre circulation des données apparaissent dès lors moins comme des exigences antagonistes que comme les deux versants d’un même objectif : il s’agit de protéger la personne tout en préservant les flux, l’harmonisation des règles étant le moyen de réconcilier ces deux impératifs.

C’est pourquoi les pays Membres de l’OCDE ont jugé nécessaire d’élaborer des lignes directrices qui permettraient d’harmoniser les législations nationales relatives à la protection de la vie privée et qui, tout en contribuant au maintien de ces droits de l’homme, empêcheraient que les flux internationaux de données ne subissent des interruptions.

Ces lignes directrices sont l’expression d’un consensus sur des principes fondamentaux qui peuvent être intégrés à la législation nationale en vigueur ou servir de base à une législation dans les pays qui ne sont pas encore dotés.

Là encore, il convient de ne pas se méprendre sur la portée juridique du texte : à l’instar des principes directeurs de l’ONU, les lignes directrices de l’OCDE sont dépourvues de force contraignante. Elles relèvent du droit mou et n’engagent les États qu’au titre de leur autorité persuasive. Leur influence n’en a pas moins été considérable : conçues comme un plus petit dénominateur commun susceptible d’être incorporé dans les droits internes, elles ont durablement irrigué les législations nationales — leur formulation des principes de qualité, de finalité et de participation individuelle se retrouvant, presque à l’identique, dans les textes ultérieurs.

2) Énoncé des principes

Les Lignes directrices de l’OCDE distinguent deux catégories de principes, selon qu’ils ont vocation à régir les traitements au plan interne ou les échanges au plan international.

a) ?Les principes fondamentaux applicables au plan national

• Principe de la limitation en matière de collecte
  • Il convient d’assigner des limites à la collecte des données de caractère personnel et toute donnée de ce type devrait être obtenue par des moyens licites et loyaux et, le cas échéant, après en avoir informé la personne concernée ou avec son consentement.

• Principe de la qualité des données
  • Les données de caractère personnel doivent être pertinentes par rapport aux finalités en vue desquelles elles doivent être utilisées et, dans la mesure où ces finalités l’exigent, elles doivent être exactes, complètes et tenues à jour.

• Principe de la spécification des finalités
  • Les finalités en vue desquelles les données de caractère personnel sont collectées doivent être déterminées au plus tard au moment de la collecte des données et lesdites données ne doivent être utilisées par la suite que pour atteindre ces finalités ou d’autres qui ne soient pas incompatibles avec les précédentes et qui seraient déterminées dès lors qu’elles seraient modifiées.

• Principe de la limitation de l’utilisation
  • Les données de caractère personnel ne doivent pas être divulguées, ni fournies, ni utilisées à des fins autres que celles spécifiées conformément au paragraphe 9, si ce n’est :
    • Avec le consentement de la personne concernée
    • Lorsqu’une règle de droit le permet.

• Principe des garanties de sécurité
  • Il convient de protéger les données de caractère personnel, grâce à des garanties de sécurité raisonnables, contre des risques tels que la perte des données ou leur accès, destruction, utilisation, ou divulgation non autorisés.

• Principe de la transparence
  • Il convient d’assurer, d’une façon générale, la transparence des progrès, pratiques et politiques, ayant trait aux données de caractère personnel.
  • Il doit être possible de se procurer aisément les moyens de déterminer l’existence et la nature des données de caractère personnel, et les finalités principales de leur utilisation, de même que l’identité du maître du fichier et le siège habituel de ses activités.

• Principe de la participation individuelle
  • Toute personne physique doit avoir le droit :
    • D’obtenir du maître d’un fichier, ou par d’autres voies, confirmation du fait que le maître du fichier détient ou non des données la concernant ;
    • De se faire communiquer les données la concernant :
      • Dans un délai raisonnable ;
      • Moyennant, éventuellement, une redevance modérée ;
      • Selon des modalités raisonnables ;
      • Sous une forme qui lui soit aisément intelligible ;
    • D’être informée des raisons pour lesquelles une demande quelle aurait présentée est rejetée et de pouvoir contester un tel rejet,
    • De contester les données la concernant et, si la contestation est fondée, de les faire effacer, rectifier, compléter ou corriger.

• Principe de la responsabilité
  • Tout maître de fichier devrait être responsable du respect des mesures donnant effet aux principes énoncés ci-dessus.

On mesurera la parenté étroite qui unit ces huit principes à ceux qu’énoncent, dans un ordre et selon une formulation voisins, les autres instruments internationaux : limitation de la collecte, qualité, finalité, limitation de l’usage, sécurité, transparence, participation et responsabilité dessinent un canon désormais classique. Deux d’entre eux méritent une attention particulière. Le principe de participation individuelle, d’abord, constitue le versant subjectif de la protection : il fait de la personne la titulaire active de droits — confirmation, communication, contestation, rectification, effacement —, là où les autres principes posent des obligations objectives pesant sur le maître du fichier. Le principe de responsabilité (accountability), ensuite, opère la synthèse de l’ensemble : il désigne le maître du fichier comme garant du respect de tous les autres principes, faisant de lui le débiteur d’une obligation globale de conformité. Cette notion, longtemps demeurée discrète, connaîtra une fortune singulière dans les législations contemporaines.

b) ?Les principes fondamentaux applicables au plan international

• Libre circulation
  • Les pays Membres doivent prendre en considération les conséquences pour d’autres pays Membres d’un traitement effectué sur leur propre territoire et de la réexportation des données de caractère personnel
  • Les pays Membres doivent prendre toutes les mesures raisonnables et appropriées pour assurer que les flux transfrontières de données de caractère personnel, et notamment le transit par un pays Membre, aient lieu sans interruption et en toute sécurité.
  • Un pays Membre doit s’abstenir de limiter les flux transfrontières de données de caractère personnel entre son territoire et celui d’un autre pays Membre, sauf lorsqu’un ce dernier ne se conforme pas encore pour l’essentiel aux Lignes directrices ou lorsque la réexportation desdites données permettrait de contourner sa législation interne sur la protection de la vie privée et des libertés individuelles.

• Restrictions légitimes
  • Un pays Membre peut imposer des restrictions à l’égard de certaines catégories de données de caractère personnel pour lesquelles sa législation interne sur la protection de la vie privée et les libertés individuelles prévoit des réglementations spécifiques en raison de la nature de ces données et pour lesquelles l’autre pays Membre ne prévoit pas de protection équivalente.
  • Les pays Membres doivent néanmoins éviter d’élaborer des lois, des politiques et des procédures, qui, sous couvert de la protection de la vie privée et des libertés individuelles, créeraient des obstacles à la circulation transfrontière des données de caractère personnel qui iraient au-delà des exigences propres à cette protection.

Le second volet traduit, sur le plan des relations entre États, la philosophie économique qui sous-tend l’ensemble du texte. Le principe directeur est celui de la libre circulation : un pays membre doit en règle générale s’abstenir d’entraver les flux à destination d’un autre pays membre. Ce principe connaît toutefois deux tempéraments. D’une part, la libre circulation cède lorsque l’État de destination ne se conforme pas, pour l’essentiel, aux lignes directrices, ou lorsque le transfert procède d’une manœuvre destinée à contourner la loi interne — application de l’adage fraus omnia corrumpit. D’autre part, des restrictions légitimes demeurent admises pour les catégories de données soumises, en raison de leur nature, à une réglementation spécifique non couverte par une protection équivalente à l’étranger. Le texte prend soin, enfin, de prévenir un détournement inverse : la protection de la vie privée ne saurait servir de prétexte à l’érection d’obstacles protectionnistes excédant les exigences propres à cette protection.

C) §3 : La convention STE 108

1) ?Adoption de la convention

Les pays membres du Conseil de l’Europe ont adopté le 28 janvier 1981 la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, dite Convention STE 108.

Cette convention fut, indéniablement, le premier instrument international juridique contraignant dans le domaine de la protection des données.

C’est cette force obligatoire qui marque la rupture décisive avec les deux instruments précédemment examinés. Là où les principes directeurs de l’ONU et les lignes directrices de l’OCDE se bornaient à recommander, la Convention 108 oblige : étant un traité international au sens du droit des gens, elle engage la responsabilité internationale des États qui y deviennent parties. Cette portée n’est d’ailleurs pas circonscrite au continent européen, la Convention ayant été conçue dès l’origine comme ouverte à l’adhésion d’États tiers, ce qui lui confère une vocation potentiellement universelle.

Il a été convenu, entre ses signataires, qu’ils devaient prendre toutes les mesures nécessaires en droit interne pour en appliquer les principes afin d’assurer, sur leur territoire, le respect des droits fondamentaux de la personne humaine au regard de l’application de la protection des données.

Concrètement, le but poursuivi par la Convention STE 108 est de garantir, sur le territoire des États membres, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant.

2) ?Applicabilité directe

Dans un arrêt du 18 novembre 1992, le Conseil d’État a reconnu l’applicabilité directe de la Convention STE 108 (CE, 18 nov. 1992, n° 115367).

Cette reconnaissance n’est pas dépourvue de conséquences pratiques considérables. Reconnaître l’applicabilité directe (ou effet direct) d’une convention, c’est admettre que le justiciable peut s’en prévaloir directement devant le juge interne, sans qu’il soit besoin d’une mesure nationale d’exécution venant en relayer les stipulations. La portée de la Convention 108 ne se réduit dès lors pas à une obligation pesant sur l’État dans l’ordre international : elle devient une norme mobilisable par les particuliers eux-mêmes au soutien de leurs prétentions, ce qui en accroît singulièrement l’effectivité.

3) ?Évolution de la convention

• Amendements à la Convention 108 permettant l’adhésion des Communautés Européennes
  • Le Comité des Ministres du Conseil de l’Europe a adopté, le 15 juin 1999, des amendements permettant l’adhésion des Communautés Européennes à la Convention
  • L’adhésion des Communautés correspondait à la volonté de l’Union européenne de renforcer la coopération avec le Conseil de l’Europe et de contribuer au renforcement d’un large forum international en matière de protection des données, notamment à l’égard des pays tiers.
  • Selon le texte initial, seuls les États pouvaient en devenir Parties.
  • C’est la raison pour laquelle il a été nécessaire de procéder par voie d’amendements

• Protocole additionnel à la Convention 108 sur les autorités de contrôle et les flux transfrontières de données (STE N°181)
  • Le Protocole additionnel, ouvert à la signature le 8 novembre 2001 à Strasbourg, exige des parties la mise en place des autorités de contrôle, exerçant leurs fonctions en parfaite indépendance, et qui sont un élément de la protection effective des individus au regard du traitement des données personnelles.
  • Avec l’accroissement des échanges de données personnelles à travers les frontières nationales, il est nécessaire d’assurer la protection effective des droits de l’homme et des libertés fondamentales, et en particulier du droit à la vie privée par rapport à de tels échanges de données personnelles.
  • Ce texte renforce la protection des données personnelles et de la vie privée, en complétant la Convention de 1981 (STE n° 108) sur deux points.
    • Premier point
      • Il prévoit tout d’abord l’établissement d’autorités de contrôle chargées d’assurer le respect des lois ou règlements introduits par les États en application de la Convention concernant la protection des données personnelles et les flux transfrontières de données.
    • Second point
      • Il prévoit que les flux transfrontières de données vers des pays tiers ne peuvent être transférées que si elles bénéficient dans l’État ou l’organisation internationale destinataire, d’un niveau de protection adéquat.

• Protocole d’amendement portant modernisation de la Convention 108 (« Convention 108+ », STE n° 223)
  • Adopté le 18 mai 2018 et ouvert à la signature le 10 octobre 2018, ce protocole d’amendement a entrepris de moderniser un instrument conçu à l’aube de l’informatique, afin de l’adapter aux défis nés des nouvelles technologies de l’information et de la communication.
  • La modernisation poursuit un double objectif : d’une part, hisser le niveau des garanties à hauteur des standards contemporains — consécration de nouveaux droits, renforcement du principe de transparence, introduction d’une obligation de notification des violations et exigence accrue de responsabilité du responsable du traitement ; d’autre part, préserver la cohérence et la complémentarité de la Convention avec le cadre juridique européen de la protection des données, afin d’éviter toute divergence entre les deux ordres normatifs.

Cette succession d’instruments — amendements de 1999, Protocole additionnel de 2001, Protocole de modernisation de 2018 — témoigne du caractère vivant de la Convention 108. Loin d’être un texte figé, elle a été périodiquement réajustée pour épouser les transformations technologiques et institutionnelles : ouverture aux organisations internationales, généralisation des autorités de contrôle indépendantes, encadrement des transferts par le critère du niveau de protection adéquat, puis refonte d’ensemble. On notera la convergence remarquable entre ces évolutions et les principes que retiendra le droit de l’Union, signe d’une circulation continue des standards entre les deux ordres juridiques européens.

4) ?Contenu de la convention

Plusieurs principes ont été posés dans la Convention STE n°108 :

• Sur la qualité des données
  • Les données à caractère personnel faisant l’objet d’un traitement automatisé sont :
    • Obtenues et traitées loyalement et licitement ;
    • Enregistrées pour des finalités déterminées et légitimes et ne sont pas utilisées de manière incompatible avec ces finalités ;
    • Adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées ;
    • Exactes et si nécessaire mises à jour ;
    • Conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées.

On retrouve, condensés dans cette seule disposition, les principes cardinaux déjà rencontrés : licéité et loyauté de la collecte, limitation des finalités, adéquation et proportionnalité des données (le triptyque adéquates, pertinentes et non excessives), exactitude et limitation de la durée de conservation. La Convention 108 opère ainsi une véritable codification des standards épars qu’avaient esquissés les instruments de droit mou — mais elle leur confère, cette fois, la force d’une obligation conventionnelle.

• Sur les catégories particulières de données
  • Les données à caractère personnel révélant l’origine raciale, les opinions politiques, les convictions religieuses ou autres convictions, ainsi que les données à caractère personnel relatives à la santé ou à la vie sexuelle, ne peuvent être traitées automatiquement à moins que le droit interne ne prévoie des garanties appropriées.
  • Il en est de même des données à caractère personnel concernant des condamnations pénales.

La Convention consacre ici la catégorie des données sensibles, en y rangeant notamment les données relatives aux condamnations pénales. Ce point appelle un développement particulier, tant le régime des données dites pénales obéit à une logique de stricte réservation.

La rigueur de ce régime se manifeste tout particulièrement au stade de la détermination des personnes habilitées à procéder à de tels traitements. Le traitement des données pénales n’est, en effet, ouvert qu’à une liste limitative d’acteurs, parmi lesquels figurent :

• les juridictions, les autorités publiques et les personnes morales gérant un service public, dans le cadre de leurs attributions légales ;
• les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories préalablement fixées par décret en Conseil d’État ;
• les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
• les personnes physiques ou morales, aux fins de préparer, d’exercer et de suivre une action en justice en qualité de victime, de mise en cause, ou pour le compte de celles-ci, et pour la stricte durée nécessaire à ces finalités.

L’économie de ce dispositif obéit au principe selon lequel la sensibilité de la donnée commande une habilitation restrictive : il ne suffit pas que le traitement réponde à une finalité légitime, encore faut-il qu’il émane d’un acteur expressément autorisé à le mettre en œuvre. Cette double exigence — quant à la finalité et quant à la qualité de l’auteur du traitement — illustre la défiance particulière dont le législateur entoure les données pénales.

• Sur la sécurité des données
  • Des mesures de sécurité appropriées sont prises pour la protection des données à caractère personnel enregistrées dans des fichiers automatisés contre la destruction accidentelle ou non autorisée, ou la perte accidentelle, ainsi que contre l’accès, la modification ou la diffusion non autorisés.

• Sur les droits d’accès et de rectification
  • Toute personne doit pouvoir :
    • Connaître l’existence d’un fichier automatisé de données à caractère personnel, ses finalités principales, ainsi que l’identité et la résidence habituelle ou le principal établissement du maître du fichier ;
    • Obtenir à des intervalles raisonnables et sans délais ou frais excessifs la confirmation de l’existence ou non dans le fichier automatisé, de données à caractère personnel la concernant ainsi que la communication de ces données sous une forme intelligible ;
    • Obtenir, le cas échéant, la rectification de ces données ou leur effacement lorsqu’elles ont été traitées en violation des dispositions du droit interne donnant effet aux principes de base énoncés dans les articles 5 et 6 de la présente Convention ;
    • Disposer d’un recours s’il n’est pas donné suite à une demande de confirmation ou, le cas échéant, de communication, de rectification ou d’effacement, visée aux paragraphes b et c du présent article.

Le droit d’accès, ainsi consacré, n’est pas dépourvu de limites — et c’est là un point d’équilibre que le droit positif a précisé. Si la personne concernée dispose en principe d’une prérogative d’accès et de rectification, le responsable du traitement peut, à titre exceptionnel, refuser de donner suite à une demande lorsque celle-ci présente un caractère manifestement infondé ou excessif, notamment en raison de son caractère répétitif. Encore faut-il souligner où pèse, en pareille hypothèse, la charge de la preuve : il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande pour justifier son refus — la preuve de l’abus pesant ainsi sur celui qui l’invoque, conformément à l’adage actori incumbit probatio. À défaut d’une telle démonstration, le refus est privé de fondement. Le responsable peut, en outre, soit exiger le paiement de frais raisonnables, soit s’opposer purement et simplement aux demandes lorsque leur nombre, leur caractère répétitif ou systématique en révèle le caractère abusif.

Sur le plan procédural, enfin, la mise en œuvre de ces droits obéit à des modalités souples destinées à en garantir l’effectivité. Les informations communiquées à la personne concernée peuvent l’être par écrit ou par tout autre moyen, y compris, lorsque cela est approprié, par voie électronique. Lorsque la demande est elle-même présentée sous forme électronique, les informations sont, dans la mesure du possible, fournies par voie électronique, sous une forme d’usage courant, sauf demande contraire de la personne concernée. Cette dernière conserve ainsi la maîtrise du canal de communication, le principe étant celui de l’adaptation de la réponse à la forme de la demande.

D) §4 : La Convention européenne des droits de l’homme

1) Le silence du texte

La Convention de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, ne comporte aucune stipulation relative à la protection des données à caractère personnel. La raison en est avant tout chronologique : rédigée au lendemain de la Seconde Guerre mondiale, à une époque où l’informatique n’existait pas encore à l’état d’outil de gestion de masse, la Convention ne pouvait appréhender un risque — celui du traitement automatisé de l’information personnelle — qui n’avait pas encore vu le jour.

Ce silence du texte n’a, toutefois, pas empêché la Cour européenne des droits de l’homme de veiller à garantir aux ressortissants des États membres une protection à l’égard des traitements automatisés de données à caractère personnel. Fidèle à sa méthode d’interprétation dynamique, qui fait de la Convention un « instrument vivant à interpréter à la lumière des conditions de vie actuelles », la Cour a opéré un travail prétorien de construction : à défaut de disposition expresse, elle a rattaché la protection des données à une stipulation préexistante, suffisamment plastique pour en accueillir la substance.

Pour ce faire, elle se fonde essentiellement sur l’article 8 de la Convention relatif au respect de la vie privée et familiale.

Aux termes de cette disposition « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance ».

Le raisonnement de la Cour procède en deux temps. D’abord, elle affirme que les données à caractère personnel relèvent, par principe, du champ de la vie privée protégée. Ensuite, elle en déduit une exigence positive : il ne suffit pas que l’État s’abstienne de toute ingérence injustifiée ; il lui incombe encore d’aménager dans son droit interne un dispositif de garanties propre à prémunir l’individu contre les usages abusifs de ses données.

Dans un arrêt du 27 août 1997, la Cour européenne des droits de l’homme a affirmé que « la protection des données à caractère personnel […] revêt une importance fondamentale pour l’exercice du droit au respect de la vie privée et familiale garanti par l’article 8 de la Convention » (CEDH, 27 août 1997, aff. 20837/92, M. S. c/ Suède).

Encore, dans un arrêt du 4 décembre 2008, elle a précisé que « la protection des données à caractère personnel joue un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale consacré par l’article 8. La législation interne doit donc ménager des garanties appropriées pour empêcher toute utilisation de données à caractère personnel qui ne serait pas conforme aux garanties prévues dans cet article (&#8230). La nécessité de disposer de telles garanties se fait d’autant plus sentir lorsqu’il s’agit de protéger les données à caractère personnel soumises à un traitement automatique, en particulier lorsque ces données sont utilisées à des fins policières. Le droit interne doit notamment assurer que ces données soient pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées, et qu’elles soient conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées (&#8230). [Il] doit aussi contenir des garanties de nature à protéger efficacement les données à caractère personnel enregistrées contre les usages impropres et abusifs (&#8230) » (CEDH, 4 déc. 2008, aff. 30562/04, S. et Marper c/ Royaume-Uni).

Cet attendu est capital, car il énonce, en creux, les principes cardinaux du droit de la protection des données — pertinence, non-excessivité, limitation de la durée de conservation, sécurité contre les usages détournés — qui seront ultérieurement consacrés par le droit dérivé de l’Union européenne. La Cour de Strasbourg apparaît ainsi comme le creuset prétorien dans lequel se sont forgées, avant leur codification, les exigences substantielles du droit positif.

L’exigence ainsi dégagée n’est, au demeurant, pas absolue. L’article 8 § 2 de la Convention admet que l’autorité publique s’immisce dans l’exercice du droit au respect de la vie privée, pourvu que cette ingérence soit triplement justifiée : d’une part, qu’elle soit « prévue par la loi » — laquelle doit présenter les qualités d’accessibilité et de prévisibilité ; d’autre part, qu’elle poursuive un but légitime (sécurité nationale, défense de l’ordre, prévention des infractions pénales, protection des droits d’autrui) ; enfin, qu’elle soit « nécessaire dans une société démocratique », c’est-à-dire proportionnée au but recherché. Ce triptyque — légalité, légitimité, proportionnalité — constitue la grille de contrôle au moyen de laquelle la Cour apprécie la conformité des dispositifs nationaux de collecte et de conservation des données.

2) La jurisprudence

L’examen de la jurisprudence de la Cour de Strasbourg permet de mesurer la richesse du contentieux que l’article 8 a engendré en matière de données à caractère personnel. Quelques affaires emblématiques en dessinent les lignes de force : la surveillance secrète des communications, la conservation de renseignements par les services de l’État, l’accès de l’individu à son propre dossier, la captation de l’image et la révélation de données relatives à la santé. Chacune illustre une facette du même principe directeur — la protection de la maîtrise informationnelle de la personne.

a) ?Aff. Klass et autres c. Allemagne – 6 septembre 1978

• Les faits
  • Dans cette affaire, les requérants, cinq avocats allemands, dénonçaient en particulier la législation allemande qui permettait aux autorités de surveiller leur correspondance et leurs communications téléphoniques sans qu’elles aient l’obligation de les informer ultérieurement des mesures prises contre eux.

• Décision
  • La Cour a conclu à la non-violation de l’article 8 de la Convention, jugeant que le législateur allemand était fondé à considérer l’ingérence résultant de la législation litigieuse dans l’exercice du droit consacré par l’article 8 § 1 comme nécessaire, dans une société démocratique, à la sécurité nationale, la défense de l’ordre et la prévention des infractions pénales (article 8 § 2).
  • La Cour a observé en particulier que le pouvoir de surveiller en secret les citoyens, caractéristique de l’État policier, n’était tolérable d’après la Convention que dans la mesure strictement nécessaire à la sauvegarde des institutions démocratiques.
  • Constatant toutefois que les sociétés démocratiques se trouvent menacées de nos jours par des formes très complexes d’espionnage et par le terrorisme, de sorte que l’État doit être capable, pour combattre efficacement ces menaces, de surveiller en secret les éléments subversifs opérant sur son territoire, elle a estimé que l’existence de dispositions législatives accordant des pouvoirs de surveillance secrète de la correspondance, des envois postaux et des télécommunications était, devant une situation exceptionnelle, nécessaire dans une société démocratique à la sécurité nationale et/ou à la défense de l’ordre et à la prévention des infractions pénales.

Portée. L’arrêt Klass pose la pierre angulaire du contentieux de la surveillance : si la Convention tolère l’ingérence secrète, c’est à la condition qu’elle soit assortie de garanties adéquates et effectives contre les abus, l’existence d’un contrôle — idéalement juridictionnel — étant le gage de leur effectivité. La menace, fût-elle réelle, ne saurait autoriser l’État à recourir à des mesures de surveillance échappant à tout encadrement.

b) ?Aff. Rotaru c. Roumanie – 4 mai 2000

• Faits
  • Le requérant se plaignait de l’impossibilité de réfuter les données, selon lui contraires à la réalité, détenues dans un dossier à son sujet par le Service roumain des renseignements (SRI).
  • L’intéressé avait été condamné en 1948 à une peine d’emprisonnement d’un an pour avoir exprimé des opinions critiques à l’égard du régime communiste.

• Décision
  • La Cour a conclu à la violation de l’article 8 de la Convention, jugeant que la détention et l’utilisation par le SRI d’informations sur la vie privée du requérant n’étaient pas prévues par la loi.
  • La Cour a observé en particulier que des données de nature publique peuvent relever de la vie privée lorsqu’elles sont, d’une manière systématique, recueillies et mémorisées dans des fichiers tenus par les pouvoirs publics.
  • Cela vaut davantage encore lorsque ces données concernent le passé lointain d’une personne.
  • Elle a ensuite relevé qu’aucune disposition de droit interne ne définissait ni le genre d’informations pouvant être consignées, ni les catégories de personnes susceptibles de faire l’objet des mesures de surveillance telles que la collecte et la conservation de données, ni les circonstances dans lesquelles pouvaient être prises ces mesures, ni la procédure à suivre.
  • De même, la loi ne fixait pas de limites quant à l’ancienneté des informations détenues et la durée de leur conservation. Enfin, il n’existait aucune disposition explicite et détaillée de droit interne sur les personnes autorisées à consulter les dossiers, la nature de ces derniers, la procédure à suivre et l’usage qui pouvait être donné aux informations ainsi obtenues.
  • Dès lors, la Cour a estimé que le droit roumain n’indiquait pas avec assez de clarté l’étendue et les modalités d’exercice du pouvoir d’appréciation des autorités dans le domaine considéré.
  • La Cour a également conclu dans cette affaire à la violation de l’article 13 (droit à un recours effectif) de la Convention, en raison de l’impossibilité pour le requérant de contester sa détention ou de réfuter la véracité des renseignements en question.

Portée. L’apport décisif de l’arrêt Rotaru tient à une double affirmation. En premier lieu, des informations publiques, dès lors qu’elles sont collectées et mémorisées de manière systématique dans un fichier, basculent dans le champ de la vie privée : c’est l’opération d’agrégation et de conservation, plus encore que la nature de la donnée prise isolément, qui appelle la protection. En second lieu, l’exigence de prévisibilité de la loi suppose que le droit interne énonce, avec une précision suffisante, la nature des informations consignées, les catégories de personnes concernées, la durée de conservation et les modalités d’accès au fichier — à défaut de quoi l’ingérence n’est pas « prévue par la loi ».

c) ?Aff. Gaskin c. Royaume-Uni – 7 juillet 1989

• Faits
  • Le requérant, pris en charge par les services sociaux pendant son enfance, chercha à connaître son passé à sa majorité pour surmonter ses problèmes personnels.
  • L’accès à son dossier lui fut refusé au motif qu’il contenait des informations confidentielles.

• Décision
  • La Cour a conclu à la violation de l’article 8 de la Convention, jugeant que les procédures suivies n’avaient pas assuré à la vie privée et familiale du requérant le respect voulu par cet article.
  • Elle a observé en particulier que les personnes se trouvant dans la situation du requérant ont un intérêt primordial, protégé par la Convention, à recevoir les renseignements nécessaires pour connaître et comprendre leur enfance et leurs années de formation.
  • Cependant, le caractère confidentiel des dossiers officiels revêt de l’importance si l’on souhaite recueillir des informations objectives et dignes de foi et peut être nécessaire pour préserver des tiers.
  • Sous ce dernier aspect, un système subordonnant l’accès aux dossiers à l’acceptation des informateurs, comme alors au Royaume-Uni, peut en principe être tenu pour compatible avec l’article 8, eu égard à la marge d’appréciation de l’État.
  • La Cour a toutefois estimé qu’un tel système doit sauvegarder, quand un informateur n’est pas disponible ou refuse abusivement son accord, les intérêts de quiconque cherche à consulter des pièces relatives à sa vie privée et familiale et qu’il ne cadre avec le principe de proportionnalité que s’il charge un organe indépendant, au cas où un informateur ne répond pas ou ne donne pas son consentement, de prendre la décision finale sur l’accès.
  • Or, il n’en allait pas ainsi en l’espèce.

Portée. L’arrêt Gaskin consacre une obligation positive de l’État : celle d’organiser un accès effectif de la personne aux données la concernant. Il révèle, surtout, la dialectique fondamentale du droit de la protection des données — la conciliation entre, d’un côté, le droit d’accès de l’intéressé et, de l’autre, la confidentialité due aux tiers — et propose un mode de résolution exemplaire : l’arbitrage par un organe indépendant lorsque les intérêts en présence ne peuvent être conciliés à l’amiable.

d) ?Aff. Perry c. Royaume-Uni – 17 juillet 2003

• Faits
  • Le requérant fut arrêté après qu’eut été commise une série de vols à main armée sur la personne de chauffeurs de taxi, puis relâché en attendant que se tienne une séance d’identification.
  • Comme il ne s’était pas présenté à la séance prévue ni à plusieurs autres séances ultérieures, la police sollicita l’autorisation de le filmer en secret avec une caméra vidéo. Le requérant se plaignait que la police l’avait filmé en secret en vue de l’identifier puis avait utilisé le film vidéo dans le cadre des poursuites dirigées contre lui.

• Décision
  • La Cour a conclu à la violation de l’article 8 de la Convention.
  • Elle a relevé que rien n’indiquait que le requérant s’attendait à ce qu’on le filme au poste de police à des fins d’identification au moyen d’un enregistrement vidéo ni à ce que le film soit éventuellement utilisé comme preuve à charge lors de son procès.
  • Le stratagème adopté par la police avait outrepassé l’utilisation normale de ce type de caméra et constitué une ingérence dans l’exercice par le requérant de son droit au respect de sa vie privée.
  • Cette ingérence n’était par ailleurs pas prévue par la loi, la police n’ayant pas respecté les procédures énoncées par le code applicable : elle n’avait pas obtenu le consentement du requérant, ne l’avait pas averti de l’enregistrement vidéo et, de surcroît, ne l’avait pas informé de ses droits à cet égard.

Portée. L’arrêt Perry enseigne que la captation et le traitement de l’image d’une personne constituent, en eux-mêmes, des données à caractère personnel relevant de l’article 8. Le critère décisif réside dans l’attente raisonnable de vie privée : la présence dans un lieu public, voire dans un poste de police, n’emporte pas renonciation au respect de la vie privée dès lors que l’usage qui est fait de l’image — ici, sa transformation en moyen de preuve par un stratagème — excède l’emploi auquel l’intéressé pouvait légitimement s’attendre.

e) ?Aff. Z. c. Finlande – 25 février 1997

• Faits
  • Cette affaire concernait la révélation de la séroposivité de la requérante au cours d’une procédure pénale dirigée contre son mari.

• Décision
  • La Cour a conclu à la violation de l’article 8 de la Convention, jugeant que la divulgation de l’identité et de la séropositivité de la requérante dans le texte de l’arrêt de la cour d’appel communiqué à la presse ne se justifiait pas par quelque motif impérieux que ce soit et que la publication de ces informations avait dès lors porté atteinte au droit au respect de la vie privée et familiale de la requérante.
  • La Cour a observé en particulier que le respect du caractère confidentiel des informations sur la santé constitue un principe essentiel du système juridique de toutes les Parties contractantes à la Convention et est capital non seulement pour protéger la vie privée des malades mais également pour préserver leur confiance dans le corps médical et les services de santé en général.
  • La législation interne doit donc ménager des garanties appropriées pour empêcher toute communication ou divulgation de données à caractère personnel relatives à la santé qui ne serait pas conforme aux garanties prévues à l’article 8 de la Convention.

Portée. L’arrêt Z. c. Finlande marque la reconnaissance d’une protection renforcée des données relatives à la santé, lesquelles relèvent de la catégorie des données dites sensibles. Le caractère intime de ces informations justifie un degré de confidentialité élevé, dont la divulgation ne peut être tolérée qu’au prix d’un motif impérieux d’intérêt général, apprécié avec une particulière rigueur. La jurisprudence strasbourgeoise préfigure, ici encore, le régime spécial que le droit dérivé de l’Union réservera aux catégories particulières de données.

f) Les enseignements d’ensemble de la jurisprudence européenne

De cette série d’arrêts se dégage un corps de principes cohérent, qui constitue le socle prétorien du droit de la protection des données. En premier lieu, toute opération de collecte, de conservation ou de communication de données à caractère personnel par une autorité publique s’analyse en une ingérence dans la vie privée, soumise au triple test de l’article 8 § 2. En deuxième lieu, l’exigence de légalité impose au droit interne une précision suffisante quant aux finalités, aux catégories de données, à la durée de conservation et aux modalités d’accès. En troisième lieu, pèse sur l’État une obligation positive d’aménager des garanties effectives — droit d’accès, droit de rectification, contrôle par un organe indépendant. En dernier lieu, les données sensibles, au premier rang desquelles les données de santé, appellent une protection accrue. Ces acquis jurisprudentiels ont nourri et légitimé l’intervention du législateur européen, à laquelle il convient à présent de s’attacher.

II) Section 2 : Le droit de l’Union européenne

A) §1 : La directive du 24 octobre 1995

1) La genèse de la directive

Par l’adoption de la directive 95/46/CE du 24 octobre 1995, l’Union européenne s’est, pour la première fois, dotée d’un cadre commun de protection des personnes physiques à l’égard des traitements de données à caractère personnel. Il s’agissait de mettre un terme à l’hétérogénéité des législations nationales — certains États membres étant déjà dotés de lois protectrices, d’autres en étant dépourvus — qui faisait obstacle à la libre circulation des données au sein du marché commun.

a) ?Compétence matérielle

Il peut être observé que, lors des travaux législatifs, la question de la compétence de la Communauté européenne pour légiférer dans cette matière s’est posée, la protection des libertés et de la vie privée étant exclue de son champ de compétence. Le problème était d’ordre constitutionnel autant que politique : la Communauté, dotée de compétences d’attribution, ne pouvait intervenir que sur le fondement d’une base juridique tirée des traités, lesquels lui assignaient une vocation économique et non la mission de garantir les droits fondamentaux.

Néanmoins, la Commission des Communautés européennes a considéré qu’il s’agissait principalement d’établir la libre circulation des données à caractère personnel, considérées comme des marchandises, ce qui explique que la directive 95/46/CE soit une directive « marché intérieur ». Le raisonnement procédait par un artifice juridique fécond : en rattachant la protection des données à l’objectif de réalisation du marché intérieur, on conférait à la Communauté le titre de compétence qui, sur le seul terrain des libertés publiques, lui aurait fait défaut. La donnée personnelle se trouvait ainsi appréhendée sous le double visage d’un attribut de la personnalité et d’un bien susceptible de circulation — tension originelle qui n’a depuis cessé d’irriguer la matière.

Sa négociation fut longue et difficile, s’agissant d’un problème de liberté opposant des cultures différentes — celle des États qui voyaient dans la donnée un instrument du commerce et celle des États attachés à une conception personnaliste de la protection des libertés.

b) ?Socle de protection minimum

Le Conseil d’État s’est prononcé en assemblée générale par un avis du 10 juin 1999 invitant le Gouvernement à veiller à ce que la directive « ne contienne pas de dispositions qui conduiraient à priver des principes de valeur constitutionnelle de la protection que leur accorde la loi du 6 janvier 1978 actuellement en vigueur » afin de prévenir « tout risque d’inconstitutionnalité de la future loi assurant la transposition de cette directive » et énumérant certaines dispositions du projet susceptibles de conduire à une régression du niveau de protection. La préoccupation était claire : la transposition d’un texte européen ne devait pas servir de prétexte à un abaissement du standard national de protection, érigé en exigence de valeur constitutionnelle.

En outre, le Parlement a adopté des résolutions sur ce projet en application de l’article 88-4 de la Constitution issu de la révision du 25 juin 1992.

L’Assemblée nationale a estimé dans une résolution du 25 juin 1993 que l’intervention de la Communauté européenne ne devait pas nuire au haut degré de protection dont devaient bénéficier les personnes, ni assimiler ces données à de simples marchandises.

Elle craignait également que les options très larges laissées aux États membres pour la transposition ne garantissent pas l’homogénéité de cette protection dans la Communauté européenne.

Elle demandait donc au Gouvernement :

• D’une part, de subordonner son accord au maintien intégral du niveau de protection assuré par la loi du 6 janvier 1978
• D’autre part, de prévenir le risque de divergences dangereuses au moment de la transposition de la directive par les États membres
• Enfin, de garantir aux États membres le pouvoir d’interdire le transfert de données à caractère personnel vers des pays tiers n’assurant pas un niveau de protection adéquat, au besoin par l’instauration d’une procédure d’urgence.

Le Sénat a adopté une résolution le 7 juin 1994, par laquelle il observait que la référence à des articles du Traité de nature économique, appliquée en l’espèce au domaine des libertés publiques conduisait à une interprétation extensive des compétences de la Communauté, mais que cette intervention était justifiée. Il appelait en outre à une harmonisation préalable de leur législation par les États membres.

Ces recommandations ont été suivies dans une large mesure. La directive a, de la sorte, été le fruit d’un compromis : elle a su concilier l’impératif économique de libre circulation et l’exigence personnaliste de protection des libertés, en érigeant la seconde en condition de la première — la libre circulation des données n’étant admise qu’entre États garantissant un niveau de protection équivalent.

2) Le contenu de la directive

a) ?Champ d’application

Tout d’abord, la directive ne s’applique qu’aux traitements relevant du champ de compétences de l’Union européenne, c’est-à-dire qu’elle exclut notamment les « traitements de souveraineté » (défense, sécurité publique, sûreté de l’État, droit pénal). Cette exclusion s’explique par la logique des piliers alors en vigueur : les matières régaliennes échappaient à la compétence communautaire et relevaient de la coopération intergouvernementale, de sorte que le traitement des données à des fins de souveraineté demeurait, à ce stade, hors du champ d’harmonisation.

En revanche, son champ d’application est élargi puisqu’elle s’étend non seulement aux traitements automatisés, mais aussi aux fichiers manuels à l’expiration d’un délai de 12 ans à compter de son adoption, c’est-à-dire en octobre 2007. Le critère décisif n’est donc pas le procédé technique employé, mais l’existence d’un fichier, entendu comme tout ensemble structuré et stable de données accessibles selon des critères déterminés.

Exemple. Un répertoire de clients tenu sur support papier, dans lequel les fiches sont rangées par ordre alphabétique des noms et comportent l’adresse et l’historique des achats, constitue un fichier manuel relevant de la directive : la structuration selon un critère déterminé — le nom — y autorise un accès sélectif aux données. À l’inverse, une liasse de documents épars, dépourvue de tout classement, ne saurait recevoir cette qualification.

Par ailleurs, elle couvre les sons et les images à l’exclusion des traitements de vidéosurveillance mis en œuvre à des fins de sécurité publique.

b) ?Méthodologie

Selon l’article 189 du traité instituant la Communauté européenne, « la directive lie tout État membre quant aux résultats à atteindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens ». Cette définition emporte une conséquence cardinale : la directive fixe une obligation de résultat, non de moyens, et confère ainsi aux États une latitude dans le choix des instruments de transposition.

De surcroît, les directives de l’Union imposent généralement aux États la mise en œuvre de leurs dispositions dans des délais qu’elles déterminent : en l’espèce, l’article 32 de la directive 95/46 impliquait que « les États membres mettent en vigueur les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive au plus tard à l’issue d’une période de trois ans à compter de son adoption », soit le 24 octobre 1998.

Sans doute, la loi du 6 janvier 1978 constitue-t-elle, en quelque sorte, une « transposition anticipée » de la directive, puisque nombre de ses dispositions répondent aux exigences communautaires. La France, pionnière en la matière, disposait ainsi d’un corpus de règles dont l’esprit anticipait, pour une large part, les prescriptions du législateur européen.

Toutefois, au-delà de principes communs, tels que la loyauté de la collecte des données, la protection des données dites sensibles, le principe de finalité des traitements ou le droit d’information, de rectification ou d’opposition des personnes, ainsi que la nécessité de l’existence d’une autorité de contrôle indépendante, des différences substantielles subsistent entre la loi du 6 janvier 1978 et la directive 95/46 qui requièrent, en conséquence, une modification de notre législation. Ce décalage résiduel a justifié la réforme opérée par la loi du 6 août 2004, qui a refondu la loi originelle pour la mettre en conformité avec le droit de l’Union.

On remarquera, notamment, que la directive du 24 octobre 1995 retient une démarche particulière, en quatre étapes :

Elle s’attache à définir :

• En premier lieu, les conditions générales de licéité des traitements
• En deuxième lieu, les droits fondamentaux des personnes concernées
• En troisième lieu, les restrictions qu’il est possible de leur apporter
• En quatrième lieu, les procédures et les recours destinés à assurer la régularité des traitements de données à caractère personnel.

Cette architecture en quatre temps procède d’une logique éprouvée : poser d’abord les conditions objectives de validité du traitement, reconnaître ensuite à la personne concernée un faisceau de droits subjectifs — au premier rang desquels le droit d’être informée des traitements la concernant —, admettre enfin les tempéraments que l’intérêt général commande, le tout étant assorti des voies de recours propres à en garantir l’effectivité. Les droits ainsi reconnus à la personne concernée seront examinés dans les développements ultérieurs.

Cette organisation tient à la primauté accordée par la directive aux principes de fond sur les dispositions de forme, les États membres possédant davantage de marge de manœuvre pour transposer les secondes que les premières.

Or, tel n’est pas le choix fait par le législateur français qui a établi une distinction essentielle fondée sur la nature juridique du destinataire du traitement, dont il déduit la procédure et les règles de forme applicables. Cette divergence d’approche — fond contre statut du responsable du traitement — illustre la part de liberté que la directive laisse subsister et explique que la transposition française ait conservé, un temps, une physionomie propre, avant que le règlement général sur la protection des données ne vienne, ultérieurement, uniformiser l’ensemble.

c) ?L’égalité de principe entre secteurs public et privé

Pour bien saisir l’apport de la directive sur ce point, il convient au préalable de distinguer deux logiques d’encadrement possibles des traitements de données. Selon une première logique, dite organique, le régime applicable est déterminé par la qualité — publique ou privée — de celui qui met en œuvre le traitement : l’administration et la personne privée relèvent alors de régimes distincts, lors même qu’elles procéderaient à des opérations rigoureusement identiques. Selon une seconde logique, dite matérielle, le régime est commandé non par l’identité du responsable, mais par la nature et la dangerosité intrinsèques du traitement considéré.

Alors que la loi du 6 janvier 1978 retient, dans sa version originaire, un critère organique — distinguant les traitements publics, soumis à autorisation, et les traitements privés, soumis à simple déclaration —, la directive retient un critère matériel et soumet les traitements similaires de responsables publics et privés à une même procédure.

Ainsi, les traitements de données à caractère personnel, qu’ils soient privés ou publics, ne sont plus désormais soumis qu’à une obligation de déclaration préalable auprès de l’autorité de contrôle.

La distinction entre les régimes de la déclaration et de l’autorisation, qui subsiste, est donc désormais indépendante de la qualité du responsable : elle ne procède plus de ce que le traitement émane d’une autorité publique ou d’un opérateur privé, mais de ce que ses finalités ou son contenu présentent, ou non, des risques particuliers pour les droits des personnes. Le clivage déterminant se déplace ainsi de l’auteur vers l’objet du traitement.

On retrouve un tel précédent dans la loi informatique et libertés en matière de traitement de recherche dans le domaine de la santé et d’évaluation des pratiques de soins — domaines dans lesquels le législateur avait déjà admis qu’un même régime renforcé pût s’appliquer indépendamment du statut du responsable, en considération de la seule sensibilité des données traitées.

L’assimilation des deux secteurs ne sera néanmoins pas totale, puisque les traitements de souveraineté ne sont pas concernés par les dispositions de la directive, celle-ci ne s’appliquant qu’aux traitements relevant du champ de compétence de l’Union européenne. Demeurent ainsi en dehors de cette harmonisation les traitements intéressant la sûreté de l’État, la défense et la sécurité publique, lesquels conservent un régime dérogatoire commandé par la nature régalienne des missions qu’ils servent.

d) ?Le renforcement du contrôle a posteriori

La logique matérielle qui vient d’être décrite emporte une conséquence directe sur l’intensité et le moment du contrôle. Dès lors que le régime se module en fonction du risque, encore faut-il que ce risque soit apprécié : c’est l’office que la directive assigne, en amont, à l’examen préalable, et, en aval, à la surveillance permanente de l’autorité de contrôle.

L’article 20 de la directive indique que les États membres doivent préciser les traitements « susceptibles de présenter des risques particuliers au regard des droits et des libertés des personnes concernées et veillent à ce que ces traitements soient examinés avant leur mise en œuvre ».

À l’inverse, ceux qui « ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées » peuvent ne donner lieu qu’à une déclaration simplifiée ou même être exonérés de toute formalité. Se dessine ainsi une gradation des contrôles a priori, proportionnée à la dangerosité présumée du traitement : examen préalable pour les traitements à risque, déclaration simplifiée pour les traitements courants, dispense pure et simple pour les traitements anodins.

Parallèlement à cette limitation des contrôles a priori, la directive invite à un recentrage des missions de la CNIL en direction du contrôle a posteriori. La diminution du nombre des formalités préalables a, en effet, pour contrepartie nécessaire le développement d’une surveillance exercée tout au long de la vie du traitement : ce que l’autorité perd en filtrage initial, elle doit le regagner en pouvoirs d’intervention.

L’article 28 de la directive relatif aux prérogatives de l’autorité de contrôle précise donc qu’elle doit disposer en particulier de pouvoirs d’investigations ou d’accès aux données ainsi que de pouvoirs « effectifs d’intervention » lui permettant le cas échéant d’ordonner le verrouillage, l’effacement ou la destruction des données. Ces prérogatives confèrent au contrôle a posteriori une portée concrète : il ne s’agit plus d’une simple faculté d’observation, mais d’un pouvoir de contrainte susceptible d’atteindre le traitement dans son existence même.

Si la loi du 6 janvier 1978 comporte déjà des dispositions relatives aux pouvoirs de contrôle a posteriori de la CNIL (article 21), l’insuffisance des moyens de la CNIL et la relative indifférence des parquets et tribunaux face à une matière nouvelle et technique ont, dans les faits, largement relativisé sa portée. L’exigence européenne d’un pouvoir d’intervention « effectif » vient précisément combler cet écart entre les prérogatives proclamées et leur exercice réel : elle impose que le contrôle a posteriori cesse d’être théorique pour devenir opérant.

e) ?La reconnaissance de l’importance des flux internationaux de données à caractère personnel

Si la loi du 6 janvier 1978 évoque déjà la question de la circulation des données, elle ne distingue pas entre les transferts vers d’autres États membres de la Communauté européenne et ceux intervenant vers des États tiers. Or cette distinction est cardinale : la protection des personnes serait illusoire si les données pouvaient être librement exportées vers des pays dépourvus de garanties équivalentes, le transfert opérant alors comme un moyen de contourner la loi nationale.

Or, la mondialisation de la circulation des données a été démultipliée par l’apparition des nouvelles technologies de l’information et de la communication, qui abolissent les distances et rendent instantané le déplacement de fichiers entiers d’un continent à l’autre.

Dès son article premier, la directive affirme donc le principe de la libre circulation des données au sein des États membres de l’Union européenne. Ce principe est le corollaire de l’harmonisation qu’elle opère : dès lors que tous les États membres assurent un niveau de protection équivalent, plus aucune raison tenant à la protection des personnes ne justifie d’entraver la circulation intracommunautaire des données.

En revanche, ne sont possibles les transferts vers des pays tiers que si ceux-ci assurent un niveau de protection adéquat. La directive prévoit des mécanismes communautaires permettant de l’évaluer (articles 25 et 26), ainsi que leur articulation avec les modalités d’intervention en la matière de l’autorité nationale de contrôle.

À défaut de constatation d’un niveau de protection adéquat, le transfert ne demeure possible qu’à la faveur de garanties appropriées d’origine contractuelle ou de dérogations limitativement énumérées, tenant notamment au consentement de la personne concernée ou à la nécessité de l’exécution d’un contrat. Ce dispositif gradué — adéquation, garanties appropriées, dérogations — assure que la donnée ne franchisse jamais les frontières de l’Union sans qu’un fondement juridique en garantisse la protection.

B) §2 : Le Règlement Général sur la Protection des Données (RGPD)

La directive 95/46/CE qui constitue l’instrument législatif central de la protection des données à caractère personnel en Europe, a posé un jalon dans l’histoire de la protection des données.

Ses objectifs, qui consistent à assurer le fonctionnement du marché unique et la protection effective des libertés et des droits fondamentaux des personnes physiques, demeurent d’actualité.

Mais elle a été adoptée il y a plus de 20 ans, soit à une époque où internet n’en était qu’à ses premiers balbutiements. Les pratiques qui caractérisent aujourd’hui l’économie numérique — réseaux sociaux, informatique en nuage, profilage publicitaire, objets connectés, traitements massifs de données — étaient alors inconnues ou embryonnaires, en sorte que le cadre de 1995 se trouvait, par l’effet du seul écoulement du temps, en décalage croissant avec son objet.

L’environnement numérique actuel et ses exigences font que les règles en vigueur ne présentent ni le degré d’harmonisation requis ni l’efficacité nécessaire pour garantir le droit à la protection des données à caractère personnel. Le choix originaire de la directive, instrument de transposition laissant aux États membres une marge d’appréciation, avait en effet engendré une mosaïque de législations nationales, source d’insécurité juridique pour les opérateurs et de protection inégale pour les personnes.

C’est dans ce contexte que la Commission européenne a proposé, le 25 janvier 2012, un règlement destiné à remplacer la directive 95/46/CE et qui instaure un cadre général de l’UE pour la protection des données. Le choix de l’instrument n’est pas indifférent : là où la directive devait être transposée et tolérait des disparités, le règlement, directement applicable dans l’ordre juridique interne des États membres en vertu de l’article 288 du Traité sur le fonctionnement de l’Union européenne, garantit l’uniformité de la règle.

La proposition de règlement modernise les principes de la directive de 1995 en les adaptant à l’ère numérique et en harmonisant la législation sur la protection des données en Europe.

La protection des données doit faire l’objet de règles strictes pour rétablir la confiance des personnes dans la manière dont leurs données à caractère personnel sont utilisées. La confiance est ici érigée en condition même du développement de l’économie numérique : c’est parce que la personne sait ses données protégées qu’elle accepte de les confier, de sorte que la protection cesse d’être une contrainte pour devenir un facteur de croissance.

La proposition de règlement vise à renforcer les droits des personnes et le marché intérieur de l’UE, garantir un contrôle accru de l’application de la réglementation, simplifier les transferts internationaux de données à caractère personnel et instaurer des normes mondiales en matière de protection des données.

À l’issue de longues négociations, le Parlement européen et le Conseil ont adopté le « paquet protection des données » le 27 avril 2016, fruit d’un compromis entre les États membres de l’Union européenne.

Ce paquet se compose :

• D’un règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement (UE) 2016/679)
  • Applicable notamment à la matière civile et commerciale, il constitue le cadre général de la protection des données.
  • Ce règlement abroge la directive 95/46/CE transposée par la loi n° 2004-801 du 6 août 2004 qui avait modifié la loi n° 78-17 du 6 janvier 1978. Il conforte les droits des personnes physiques sur leurs données à caractère personnel déjà garantis dans la loi n° 78-17 du 6 janvier 1978.
  • Il renforce ainsi notamment le droit d’information des personnes, qui disposeront d’informations plus complètes et claires sur le traitement de leurs données, et en crée de nouveaux : droit à l’effacement ou « droit à l’oubli », droit à la portabilité des données.
  • En outre, le règlement uniformise et simplifie les règles auxquelles les organismes traitant des données sont soumis tout en renforçant les garanties offertes par la loi n° 78-17 du 6 janvier 1978.
  • Il prévoit en particulier la réduction des formalités préalables pour la mise en œuvre des traitements comportant le moins de risques, avec le passage d’un système de contrôle ex ante de la Commission nationale de l’informatique et des libertés par le biais des déclarations et autorisations à un contrôle ex post plus adapté aux évolutions technologiques.
  • Ce règlement est applicable à compter du 25 mai 2018.

Le renforcement du droit d’information mérite que l’on s’y arrête, tant il commande l’effectivité de l’ensemble des autres droits : la personne ne saurait, en effet, exercer son droit d’accès, de rectification ou d’opposition si elle ignore l’existence même du traitement. Le règlement met ainsi à la charge du responsable du traitement l’obligation de communiquer à la personne concernée un ensemble d’informations relatives notamment à l’identité du responsable, aux finalités et au fondement juridique du traitement, aux destinataires des données et à la durée de leur conservation.

Quant aux modalités d’exercice de ces droits, le règlement consacre une exigence d’accessibilité : les informations dues à la personne concernée peuvent être fournies par écrit ou par d’autres moyens, y compris, lorsque cela est approprié, par voie électronique. Lorsque la demande émane de la personne sous forme électronique, les informations sont, sauf demande contraire de sa part, fournies par voie électronique et sous une forme d’usage courant, afin que la communication épouse le canal choisi par l’intéressé.

Cette facilité reconnue à la personne connaît toutefois un tempérament destiné à prévenir les abus. Le responsable du traitement peut, en effet, refuser de donner suite aux demandes manifestement infondées ou excessives — notamment en raison de leur caractère répétitif ou systématique —, ou exiger le paiement de frais raisonnables pour y répondre. La charge de la preuve du caractère manifestement infondé ou excessif de la demande pèse alors sur lui : l’exception est ainsi enserrée dans une condition probatoire stricte, qui préserve le droit d’accès dans son principe tout en faisant obstacle à son détournement.

• D’une directive relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales (directive (UE) 2016/680)
  • La directive s’applique aux traitements de données à caractère personnel mis en œuvre par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.
  • La directive n’est pas applicable dès lors que le traitement de données est mis en œuvre pour d’autres finalités ou par une autorité qui n’est pas compétente. La directive n’est pas non plus applicable aux traitements intéressant la sûreté de l’État et la défense, qui ne relèvent pas du droit de l’Union.
  • La directive vise à faciliter le libre flux des données à caractère personnel entre les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces au sein de l’Union, et le transfert de telles données vers des pays tiers et à des organisations internationales, tout en assurant un niveau élevé de protection des données à caractère personnel.
  • Certaines dispositions de la directive sont porteuses d’un changement de philosophie du droit de la protection des données ; d’autres représentent de réelles innovations qui, sans témoigner d’un réel changement de philosophie, imposent d’importantes modifications d’ordre technique.
  • Cette directive doit être transposée d’ici le 6 mai 2018.

La singularité des données pénales justifie ce régime distinct. En raison de leur sensibilité particulière et du risque d’atteinte aux droits des personnes qu’elles recèlent, les données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent faire l’objet d’un traitement que par des catégories limitativement déterminées de responsables : les juridictions, les autorités publiques et les personnes morales gérant un service public, dans le cadre de leurs attributions légales  les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi  ou encore les personnes physiques et morales, pour préparer, exercer et suivre une action en justice, qu’elles agissent comme victime, mise en cause ou pour le compte de celles-ci. Cette énumération restrictive marque le souci d’encadrer étroitement la circulation d’informations susceptibles de stigmatiser durablement les personnes.

L’articulation entre la directive et le règlement est précisée par le considérant 12 de la directive.

Celui-ci indique notamment que relèvent de la directive les traitements concernant des « activités menées par la police ou d’autres autorités répressives [qui] sont axées principalement sur la prévention et la détection des infractions pénales et les enquêtes et les poursuites en la matière, y compris les activités de police effectuées sans savoir au préalable si un incident constitue une infraction pénale ou non».

Il précise que « ces activités peuvent également comprendre l’exercice de l’autorité par l’adoption de mesures coercitives, par exemple les activités de police lors de manifestations, de grands événements sportifs et d’émeutes », et que « parmi ces activités figure également le maintien de l’ordre public lorsque cette mission est confiée à la police ou à d’autres autorités répressives lorsque cela est nécessaire à des fins de protection contre les menaces pour la sécurité publique et pour les intérêts fondamentaux de la société protégés par la loi, et de prévention de telles menaces, qui sont susceptibles de déboucher sur une infraction pénale ».

Il indique en revanche, qu’entrent dans le champ d’application du règlement, pour autant qu’ils relèvent du droit de l’Union, les traitements par lesquels « les États membres [confient] aux autorités compétentes d’autres missions qui ne sont pas nécessairement menées à des fins de prévention et de détection des infractions pénales, d’enquêtes ou de poursuites en la matière, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».

Le critère de répartition entre les deux instruments est ainsi finaliste : ce n’est pas la qualité de l’autorité qui commande l’application de la directive ou du règlement, mais la finalité — répressive ou autre — pour laquelle le traitement est mis en œuvre. Une même autorité compétente pourra, dès lors, relever tantôt de la directive, lorsqu’elle agit à des fins de prévention ou de poursuite des infractions, tantôt du règlement, lorsqu’elle poursuit d’autres missions relevant du droit de l’Union.

Les nouvelles exigences posées par le législateur européen ont été transposées en droit français lors de l’adoption de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles.

III) Section 3 : Le droit interne

Avant d’être saisi par le droit de l’Union européenne, le droit de la protection des données à caractère personnel s’est d’abord construit, en France, par l’effet d’une initiative nationale précoce. L’examen du droit interne suppose ainsi d’en retracer la genèse, à partir du texte fondateur que constitue la loi du 6 janvier 1978 (§1), avant d’en suivre les évolutions successives, dont la première grande étape réside dans la loi du 6 août 2004 (§2).

A) §1 : La loi du 6 janvier 1978

Les premiers travaux ayant trait au développement de l’informatique dans les administrations virent le jour, en fait, à la fin des années 1960, tant en Europe que sur le continent américain : ils mettent en évidence les risques que font peser ces nouvelles pratiques sur les libertés publiques. La concentration de données autrefois éparses, l’automatisation de leur traitement et la possibilité d’interconnecter des fichiers jusque-là cloisonnés faisaient apparaître la perspective inédite d’une surveillance généralisée des individus par la puissance publique.

En France, le Conseil d’État adressa au Gouvernement, dès 1971, une série de recommandations visant à encadrer l’usage des données personnelles. Mais la prise de conscience des enjeux liés à cette question intervint en 1974, face à un projet gouvernemental connu sous le nom de « Système automatisé des fichiers administratifs et du répertoire des individus » (SAFARI), qui prévoyait une interconnexion des fichiers publics à partir d’un identifiant unique, le numéro de sécurité sociale.

Ce dispositif suscita alors de fortes réactions, résumées, le 21 mars, par le journal Le Monde, sous le titre suivant : « Safari ou la chasse aux Français ». Ce débat a débouché sur le « rapport Tricot », issu des travaux d’une commission mise en place par le Premier ministre pour proposer des mesures tendant à garantir que le développement de l’informatique se réalise dans le respect de la vie privée et des libertés, puis sur la loi n°78-17 du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés.

Ce texte, communément appelé « loi Informatique et libertés », fut l’un des premiers au monde à encadrer l’usage des données à caractère personnel ; il a d’ailleurs inspiré, dans une large mesure, les instruments internationaux intervenus depuis lors, y compris la directive du 24 octobre 1995 que le présent projet de loi tend à transposer en droit français.

Il se présente comme un corpus de normes destinées à assurer la défense des libertés individuelles et publiques des personnes physiques face aux technologies informationnelles.

De fait, c’est bien sur ce terrain que le législateur s’est placé en affirmant, d’emblée, dès l’article 1er, que : « L’informatique doit être au service de chaque citoyen. (&#8230) Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». Cette proclamation liminaire, par sa généralité même, imprime à l’ensemble du dispositif une coloration de protection des libertés fondamentales et fournit la clef d’interprétation de toutes les dispositions subséquentes.

La loi du 6 janvier 1978 réglemente la collecte et l’utilisation des informations dites « nominatives », qui permettent, aux termes de son article 4, d’identifier, directement ou indirectement, des personnes physiques. Elle s’applique à deux types de procédés :

• Le traitement automatisé desdites informations, quel que soit le support ou la technique utilisée, qui est défini, à l’article 5, comme : « tout ensemble d’opérations réalisées par les moyens automatiques, relatif à la collecte, l’enregistrement, l’élaboration, la modification, la conservation et la destruction d’informations nominatives ainsi que tout ensemble d’opérations de même nature se rapportant à l’exploitation de fichiers ou bases de données et notamment les interconnexions ou rapprochements, consultations ou communications d’informations nominatives».

• Les fichiers manuels ou mécanographiques, qui n’étaient pourtant pas visés par le texte initial du Gouvernement : la loi ne fait d’ailleurs référence qu’à « l’informatique », tant à l’article 1er (« L’informatique doit être au service de chaque citoyen ») que dans le titre de l’institution de contrôle qu’elle crée par ailleurs (« Commission nationale de l’informatique et des libertés »). Cette extension a été réalisée à l’initiative du Parlement, qui a modifié, en conséquence, l’intitulé de la loi (« relative à l’informatique, aux fichiers et aux libertés »). Toutefois, ces fichiers ne sont soumis qu’à une partie des règles applicables aux traitements automatisés (notamment les dispositions relatives à la collecte, l’enregistrement et la conservation des informations, ainsi que le droit d’accès ou d’opposition), à l’exclusion de certaines obligations telles que les formalités de déclaration préalable auprès de la CNIL.

L’extension de la loi aux fichiers manuels invite à préciser la notion même de fichier, laquelle constitue, à côté du traitement automatisé, l’un des deux objets de la réglementation. La qualification de fichier ne se déduit ni du support employé ni de l’intervention d’une machine, mais de la seule structuration des données selon des critères prédéterminés.

Cette définition emporte une conséquence pratique notable : ce qui fait le fichier n’est pas la technique, mais l’organisation. Aussi un ensemble de dossiers papier méthodiquement classés relève-t-il de la loi au même titre qu’une base de données informatique, dès lors que sa structuration permet d’y retrouver les données afférentes à une personne déterminée — ce qui justifie, précisément, l’extension parlementaire de 1978 aux fichiers manuels.

B) §2 : La loi du 6 août 2004

La loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, qui modifie la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, a pour objet d’assurer la transposition de la directive européenne du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Adoptée avec un retard sensible sur le délai de transposition imparti, elle marque le passage du modèle français originaire, fondé sur le critère organique, au modèle européen, fondé sur le critère matériel précédemment décrit.

Au-delà de cette transposition, il vise à adapter le droit des fichiers informatiques aux progrès technologiques et aux réalités contemporaines, dans le respect des principes fondamentaux posés par la loi du 6 janvier 1978. La loi de 2004 ne renie donc pas l’héritage de 1978 : elle en prolonge l’esprit tout en en renouvelant les instruments, dans un mouvement de continuité plus que de rupture.

Les principales dispositions du projet de loi peuvent être résumées autour de quatre axes :

• Le renforcement des droits fondamentaux des personnes dès lors que des données, de quelque nature qu’elles soient (informations nominatives, voix, image, empreintes génétiques …), font l’objet d’un fichier, sous forme d’un traitement automatisé ou non, ainsi que le renforcement des obligations pesant sur les responsables de ces traitements. En particulier, le caractère discrétionnaire du droit d’opposition des personnes intéressées à l’encontre de la mise en œuvre de tels traitements à des fins de prospection, notamment commerciale, est reconnu

• La consécration de la Commission nationale de l’informatique et des libertés (CNIL), dont la composition est, à une exception près, inchangée, comme l’autorité administrative indépendante chargée du contrôle de la mise en œuvre de la loi. La commission voit ses pouvoirs substantiellement développés ; elle sera, en particulier, dotée de pouvoirs d’investigation, d’injonction et de sanction administrative qui lui permettront d’exercer un contrôle a posteriori sur les traitements de données

• La rationalisation des formalités préalables exigées pour la création d’un traitement automatisé de données à caractère personnel : le projet de loi ne distingue plus le régime administratif applicable selon la nature publique ou privée du responsable du traitement. Le régime de droit commun sera celui de la déclaration, qui sera simplifiée pour les modèles de traitement les plus courants. Mais toutes les catégories de traitement dont les finalités ou le contenu présentent des risques particuliers au regard des droits des personnes seront soumises à l’autorisation de la CNIL.

• Les traitements publics, dits de souveraineté, intéressant la sûreté de l’État, la défense et la sécurité publique, ou les traitements publics utilisant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques, continuent à faire l’objet d’une autorisation par un décret ou par un arrêté pris après avis de la CNIL

Ces quatre axes dessinent, pris ensemble, l’économie générale du droit français rénové de la protection des données : un renforcement des droits des personnes et des obligations des responsables (premier axe), adossé à une autorité de contrôle aux pouvoirs accrus (deuxième axe), une simplification des formalités préalables modulée selon le risque (troisième axe) et le maintien d’un régime dérogatoire pour les seuls traitements de souveraineté (quatrième axe). On reconnaît, dans cette architecture, la traduction fidèle des principes directeurs de la directive de 1995 — substitution du critère matériel au critère organique, déplacement du contrôle de l’a priori vers l’a posteriori, proportionnalité des formalités à la dangerosité du traitement — qui prépareront, à leur tour, l’avènement du règlement général sur la protection des données.

C) §3 : La loi du 20 juin 2018

La loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles vise à transposer le « paquet européen de protection des données » adopté par le Parlement européen et le Conseil le 27 avril 2016. Elle constitue, dans l’ordre juridique interne, le pivot qui assure l’articulation entre l’œuvre fondatrice du législateur national de 1978 et le nouveau droit unifié issu de Bruxelles.

Avant d’en exposer la teneur, il importe de préciser la nature singulière de l’opération à laquelle le législateur s’est livré. La loi du 20 juin 2018 n’est pas, à proprement parler, une loi de transposition au sens classique — c’est-à-dire un texte qui couche en droit interne le contenu d’une directive. Elle procède d’une double démarche :

• d’une part, une adaptation du droit national au règlement (UE) 2016/679 — lequel, par nature, est d’application directe et n’appelle aucune transposition, mais ménage de nombreuses marges nationales de manœuvre que le législateur devait investir ;
• d’autre part, une transposition stricto sensu de la directive (UE) 2016/680, qui, à la différence du règlement, suppose un acte interne de réception.

Pour mémoire, ce paquet européen se compose :

• d’un règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Applicable notamment à la matière civile et commerciale, il constitue le cadre général de la protection des données. Les obligations prévues par le règlement seront également applicables aux opérateurs installés hors de l’Union européenne et offrant des biens et services aux Européens. Ce règlement est applicable à compter du 25 mai 2018 ;

• d’une directive (UE) 2016/680 relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales. Cette directive doit être transposée d’ici le 6 mai 2018.

La répartition opérée entre ces deux instruments obéit à une logique de spécialité matérielle. Le règlement gouverne le droit commun des traitements — sphère économique, administrative et privée — tandis que la directive est cantonnée au champ régalien de la matière pénale, où les impératifs de sécurité publique et d’efficacité de la répression justifient un régime dérogatoire. Cette ligne de partage emporte une conséquence pratique de premier ordre : un même responsable de traitement peut, selon la finalité poursuivie, basculer d’un corps de règles à l’autre.

1) Le choix de ne pas abroger la loi du 6 janvier 1978

Afin d’assurer la transposition de ces deux textes, le Gouvernement français a fait le choix symbolique de ne pas abroger la loi fondatrice du 6 janvier 1978.

Ce parti pris n’est pas de pure forme. Il traduit la conviction que l’édifice conceptuel bâti en 1978 — antérieur de près de quarante ans au droit européen dérivé — avait précisément anticipé les principes que le règlement consacre aujourd’hui à l’échelle de l’Union. En conservant le véhicule législatif originel, le législateur de 2018 a entendu inscrire la réforme dans une continuité historique plutôt que dans une rupture, et préserver la valeur de repère qu’attache le corps social à la « loi Informatique et Libertés ».

Certes, l’adaptation du droit national au règlement et la transposition de la directive exigent de remanier plusieurs articles de cette loi, mais les principes fondateurs dégagés par le législateur il y a près de quarante ans demeurent toujours valables. Les notions cardinales — donnée à caractère personnel, traitement, finalité, responsable du traitement — survivent à la réforme et se trouvent, pour l’essentiel, confortées dans leur substance.

Il en va ainsi, au premier chef, de la notion de fichier, qui demeure l’un des objets centraux de la protection.

2) La consolidation et l'enrichissement des droits des personnes

À cet égard, la loi du 20 juin 2018 retranscrit les dispositions du règlement qui confortent les droits des personnes physiques sur leurs données à caractère personnel déjà garantis dans la loi du 6 janvier 1978 (notamment le droit d’information des personnes), et en crée de nouveaux comme le droit à l’effacement ou « droit à l’oubli » et le droit à la portabilité des données.

La distinction mérite d’être nettement tracée entre les droits confortés et les droits créés, car elle révèle le double mouvement de la réforme — perpétuation des acquis et innovation.

S’agissant des droits confortés, le droit d’information de la personne concernée se trouve précisé dans ses modalités d’exercice. Le responsable du traitement est tenu de communiquer à l’intéressé un ensemble d’informations relatives au traitement — finalités, destinataires, durée de conservation, droits ouverts. Ces informations peuvent être fournies par écrit ou par d’autres moyens, y compris par voie électronique lorsque cela est approprié. Lorsque la demande émane elle-même de la personne sous forme électronique, les informations sont fournies par cette même voie chaque fois que cela est possible, sous une forme électronique d’usage courant, sauf demande contraire de l’intéressé. Le formalisme s’adapte ainsi au canal choisi par la personne, dans un souci d’effectivité du droit.

Cette extension des droits trouve toutefois sa limite naturelle dans la prohibition de l’abus. Le responsable du traitement peut refuser de donner suite aux demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, systématique ou de leur nombre. Mais cette faculté de refus est étroitement encadrée : il incombe au responsable du traitement d’établir lui-même le caractère manifestement infondé ou excessif de la demande, la charge de la preuve pesant ainsi sur celui qui se prévaut de l’exception. À défaut d’opposer un tel refus, le responsable peut, à titre alternatif, exiger le paiement de frais raisonnables tenant compte des coûts administratifs supportés.

S’agissant, ensuite, des droits créés, deux prérogatives nouvelles méritent d’être distinguées :

• le droit à l’effacement, ou « droit à l’oubli », qui permet à la personne concernée d’obtenir, sous certaines conditions, la suppression des données la concernant — notamment lorsque celles-ci ne sont plus nécessaires au regard des finalités du traitement, ou lorsque le consentement sur lequel reposait le traitement est retiré ;
• le droit à la portabilité, qui autorise la personne à recevoir les données qu’elle a fournies dans un format structuré, couramment utilisé et lisible par machine, et à les transmettre à un autre responsable de traitement — instrument de maîtrise individuelle et, simultanément, de fluidité concurrentielle entre opérateurs.

3) La simplification des formalités et le basculement vers le contrôle a posteriori

En outre, le règlement uniformise et simplifie les règles auxquelles les organismes traitant des données sont soumis tout en renforçant les garanties offertes par la loi de 1978. La logique de la réforme repose ici sur un échange : à un allègement des contraintes formelles en amont répond une responsabilisation accrue des acteurs et un contrôle renforcé en aval.

Il prévoit en particulier la réduction des formalités préalables pour la mise en œuvre des traitements comportant le moins de risques, avec le passage d’un système de contrôle a priori de la CNIL, par le biais des déclarations et autorisations, à un contrôle a posteriori plus adapté aux évolutions technologiques.

Ce mouvement n’emporte cependant pas disparition de tout contrôle préalable. Certaines catégories de traitements, en raison de leur particulière sensibilité, demeurent soumises à un régime d’autorisation ou à des garanties spécifiques. Tel est notamment le cas des traitements portant sur les données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes, lesquels ne peuvent être mis en œuvre que par des acteurs limitativement énumérés :

• les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
• les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories fixées par décret en Conseil d’État ;
• les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
• les personnes physiques ou morales, pour préparer, exercer et suivre une action en justice en qualité de victime ou de personne mise en cause, ou pour leur compte.

4) La contrepartie : le renforcement des pouvoirs de la CNIL

En contrepartie de cet allègement des formalités, la CNIL voit ses pouvoirs de contrôle et de sanctions renforcés avec la possibilité d’infliger des amendes pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’organisme concerné.

L’équilibre voulu par le législateur européen apparaît ici dans toute sa netteté : la liberté reconquise en amont a pour rançon une sévérité accrue en aval. Le caractère dissuasif de la sanction tient à son mode de calcul, indexé sur la puissance économique du contrevenant.

Ainsi conçue, l’amende administrative cesse d’être une simple pénalité forfaitaire pour devenir un véritable instrument de régulation économique, dont le montant épouse la surface financière de l’assujetti et garantit, par là même, l’effectivité du nouveau dispositif.