Résolution de Madrid

Dans un contexte de mondialisation, de concurrence internationale où l'intelligence économique utilise de plus en plus l'Internet, et avec les moyens accélérés de diffusion accélérée d'informations par l'Internet et d'autres moyens nouveaux de télécommunications, il semble urgent, pour des raisons éthiques, mais aussi commerciales, de protéger la vie privée, de manière coordonnée dans le monde. Ceci nécessite une approche internationale et des « normes internationales sur la vie privée et la protection des données personnelles ».

Les enjeux sont également environnementaux et de développement durable, car les spams et le Télémarketing (démarchage téléphonique en particulier) non-désirés, sont - outre une source de perte de temps et donc d'argent - une source croissance et préoccupante de consommation énergétique de l'internet et des réseaux de télécommunication.

Dans ce contexte, il est parfois difficile de démêler la part du souci éthique de protection de la personne, de celle motivée par un souci plus commercial de protection des données des entreprises ou autres groupes (gouvernements, etc), ces deux intérêts pouvant parfois être contradictoire (dans un régime ou fonctionnement autoritaire par exemple). De plus certains grands pays (par exemple, la Chine ou les États-Unis), n'ont pas encore d'autorité chargée de la protection des données des citoyens. Aux États-Unis l'État fait appel à une autorégulation de la part des parties prenantes.

• Ce projet est inscrit au programme de travail de la Commission du droit international des Nations unies [1] ;
• En 2005, il a été formellement soutenu par le Conseil de l'Europe, dont lors du Sommet mondial sur la société de l'information (Tunis, novembre 2005) puis dans le cadre des Forums sur la gouvernance de l’Internet (Athènes en 2006, Rio en 2007).
• Le 12 juin 2007, l’OCDE a adopté une recommandation relative à la "coopération transfrontière dans l’application des législations protégeant la vie privée", visant en particulier à "améliorer les cadres nationaux pour l’application des lois sur la vie privée afin que les autorités nationales puissent mieux coopérer avec les autorités étrangères et à élaborer des mécanismes internationaux efficaces destinés à faciliter la coopération transfrontalière pour l’application des lois sur la vie privée" [1] ;

Cette résolution résulte d'un processus de réflexion éthique et stratégique initié dans les années 1990.

• une précédente résolution (Résolution sur l’urgence de protéger la vie privée dans un monde sans frontière et l’élaboration d’une proposition conjointe d’établissement de normes internationales sur la vie privée et la protection des données personnelles [1]) avait déjà été votée en oct 2008, lors de la 30^e conférence internationale sur la protection des données privées.

Avant cela il y a eu :

• une déclaration adoptée à Venise lors de sa 22^e Conférence ;
• une résolution adoptée à Wroclaw lors de sa 26^e Conférence ;
• une déclaration adoptée à Montreux lors de sa 27^e Conférence ; appelant l'ONU "à préparer un instrument juridique contraignant énonçant en détail le droit à la protection des données et à la vie privée en tant que droits de l’homme exécutoires", et appelant le Conseil de l’Europe, conformément à l’article 23 de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, à inviter les États non membres de cette organisation qui ont une législation de protection des données adéquate, à adhérer à la Convention (STE n^o 108) et à son protocole additionnel (STE n^o 181) ;
• une Initiative de Londres, présentée lors de sa 28^e Conférence ;
• une résolution adoptée lors de sa 29^e Conférence ; appelant à soutenir l’élaboration de normes internationales de protection de la vie privée "effectives et universellement acceptées comme un mécanisme pour aider les parties à établir et à démontrer la conformité avec les exigences légales de protection des données et de la vie privée" ;
• Deux forums internationaux sur la gouvernance d'internet ont également évoqué cette question en 2006 et 2007[2] ;
• les conférences régionales de l’Unesco ont insisté sur le caractère prioritaire de la protection des données en 2005 (Asie-Pacifique) et 2007 (Europe).

La « résolution de Madrid » demande [1] aux états d'élaborer en commun, par exemple sous l'égide de l'ONU, une norme commune internationale de protection des données, notamment sur Internet, en respectant quelques principes tels que

• transparence,
• responsabilité,
• droits à l’accès à l’information,
• droit à la rectification, etc.

En novembre 2009, à Madrid, la 31^e « Conférence internationale des commissaires à la protection des données et de la vie privée » a chargé un groupe de travail « composé des autorités nationales de protection des données intéressées » de proposer « à sa session fermée » une proposition de contenu et forme de normes internationales sur la vie privée et la protection des données personnelles. Pour cela de groupe doit:

• recenser les différents principes et droits en vigueur dans le monde concernant la protection des données à caractère personnel en insistant sur ceux qui font l'objet d'un « large degré de consensus dans les forums régionaux et internationaux » [1] ;
• élaborer des principes et droits complémentaires pour « atteindre un degré maximum d’acceptation internationale assurant un haut niveau de protection » [1] ;
• évaluer où ces droits et principes seront applicables, dont pour l’harmonisation de leurs champs d’application ;
• définir des critères de garantie de leur application réelle, en tenant compte des différents systèmes de droit, et en étudiant le rôle possible de l’« auto-régulation » et des garanties pour améliorer la sécurité, mais aussi la souplesse des transferts internationaux de données [1] .

• Du côté des internautes, le grand public est démuni, faute d'information précise.
  Faute de droit d'opposition, divers groupes plus ou moins formellement organisés d'internautes sont inquiets des risques posés par les possibilités de "flicage" et fichage et par le ciblage comportemental, souvent tout en souhaitant que l'Internet reste un espace de liberté.
• L'industrie du marketing et quelques groupes politiques utilisent de plus en plus le ciblage commercial et comportemental, via des profils d'internautes constitués au vu de leurs réseaux sociaux, de leurs centres d'intérêt et de leur comportement sur internet.
  L'industrie du marketing admet que : « Sans confiance, le marketing n’existe pas. Une mauvaise utilisation des données reste une stratégie à court terme. Et nous nous trompons si nous pensons que nous pouvons nous autoréguler » (Alastair Tempest, directeur général de la Fedma ; Fédération européenne de marketing direct et interactif). Plusieurs multinationales (Microsoft, Google, IBM…) ont soutenu cette (non juridiquement contraignante) et adhèrent à quelques chartes déontologiques ou éléments de codes[3] ou guides de bonnes pratiques, parfois annoncés par certains annonceurs, mais non opposables et peu vérifiables à ce jour.
  pour ne pas dégrader l'image la publicité sur Internet, le SNCD a ainsi créé[4] en 2008 un groupe de travail d'une dizaine de représentants de sociétés impliquées, qui admet que ;
  : - Il faut informer les internautes sans équivoque avec une information lisible et très accessible « en séparant bien la politique de protection des données et les mentions légales classiques ». Les possibilités et méthodes de suppression des cookies ou d'opposition aux cookies devraient être « plus explicites » et simples, et « l'ergonomie des espaces d'information dédiés » devrait être améliorée. Un « opt out par univers» ou une option de «navigation privée» devrait être possible (certains navigateurs en proposent, mais souvent en enlevant simplement les cookies de l'ordinateur, sans empêcher qu'un tiers extérieur ait déjà pu collecter de l'information sur le comportement de l'internaute lors de sa consultation).
  : - Le rapprochement d'informations de navigation (anonymes) avec des données personnelles devrait être « encadré », visibles et expliqué à l'internaute, lequel « doit aussi pouvoir s'y opposer à tout moment et simplement ».
  : - En France, ces opérations devraient « être prévues dans le cadre des "traitements ultérieurs" déclarés à la Commission nationale de l'informatique et des libertés (CNIL). Enfin, pour le SNCD, la plus grande précaution s'impose lorsque les informations rapprochées émanent d'un tiers. En effet, il ne semble pas souhaitable que les informations de navigation d'un tiers collecteur, autrement nommé "third party cookies", puissent être rapprochées des données personnelles d'un internaute sans son consentement préalable ».
• La FEDMA[5] a également créé un groupe de travail sur la collecte des données, le ciblage et le profiling.

• Un dispositif de protection des données personnelles risque de vouloir s'appuyer sur des outils impliquant un certain accès à ces données
• Tous les états (dont les États-Unis) n'adhèrent pas encore au processus de la convention, même s'il est "au programme" des travaux de l'ONU.
• Le ciblage sur internet peut permettre - selon les entreprises qui le pratiquent ou le promeuvent - de ne pas noyer l'internaute sous des publicités qui ne l'intéresseraient pas.
  Mais d'un autre point de vue, il fait aussi partie des nouveaux outils d'influence économique visant l'orientation des choix individuels (et collectif via les groupes d'individus) par le marketing comportemental, il pose en particulier des problèmes émergents tels que :
• Il reste difficile de gérer les risques de manipulation de groupes et de personnes vulnérables (dont les enfants, personnes âgées, handicapés mentaux, personnes endettées ou en détresse psychologique) ou les comportements.
• Dans les états totalitaires, ou en cas d'accès par les mafias, sectes, lobbies ou une Concurrence inamicale etc., les outils de contrôle de la protection des données, risquent aussi d'être utilisés pour accéder à ces données.
  Ces états pour surveiller l'information circulant interdisent souvent les logiciels ou actions de chiffrement des données ou messages.
• absences d'outils internationaux normés, sûrs, concrets et gratuits ou transparents de protection de la vie privée, ce que cherche à résoudre le projet de « norme commune internationale de protection des données, notamment sur Internet » soutenu par la « résolution de Madrid»[7].
• l'appel à l'autodiscipline n'a pas empêché le ciblage commercial, voire politique ou sectaire sur internet. Dans un cyberespace "sans frontières" et relativement virtuel, l'Éthique des affaires et (en France) des outils tels que la CNIL ou des groupes tels que L'Alliance Européenne pour l'Éthique en Publicité (A.E.E.P.) [8] se basent surtout sur des processus et organismes d'autodiscipline publicitaire (comme le BVP en France), qui semblent ne pas pouvoir suffire à garantir l'intégrité morale de tous les acteurs, ni même un usage "éclairé", "accepté" ou "acceptable" des cookies et autres mouchards qui, discrètement, suivent, mémorisent et analysent le comportement quotidien des internautes et de communautés d'internautes.

Ils sont notamment liés à l'empreinte écologique croissante de l'informatique et des télécommunications, en particulier induite par les spams et le Télémarketing (démarchage téléphonique en particulier) non-désiré.
La consommation d'électricité et de puissance informatique induite par l'analyse permanente des activités des internautes, ne semble pas avoir été mesurée, mais elle participe à la consommation énergétique croissante de l'internet et des réseaux de télécommunication.

Certains opérateurs commerciaux arguent de leur côté que le ciblage (hors utilisation en spams) permettrait de rationaliser le ciblage publicitaire en envoyant moins de publicités, mieux ciblées et répondant – selon eux – mieux aux attentes des internautes-consommateurs. Dans le même temps, des outils collaboratifs tels que Wikipédia montrent qu'un grand nombre d'individus peuvent efficacement coopérer via l'internet, éventuellement anonymement, en n'échangeant que très peu de données personnelles, à la différence de ce qui se passait au début de la constitution de réseaux sociaux tels que Facebook ou avec les blogs.

Faute de bilans scientifiquement établis, il semble actuellement impossible de mesurer les couts -avantages, sociaux, économiques et environnementaux des différentes hypothèses de gouvernance de l'Internet, dont concernant la protection des données privées.

Ce sont principalement les internautes, les entreprises et organismes (renseignement, etc.) qui collectent des données personnelles sur le net, le législateur et les autorités nationales chargées de la protection des données personnelles [1].

La question des sanctions reste en suspens, pouvant par exemple à l'avenir relever :

• de la Cour internationale de justice ou dans le futur d'une hypothétique cour criminelle internationale ;
• de la gouvernance (auto-gouvernance ?) d'internet ;
• des législations locales (au risque alors de voir les pratiques douteuses continuer à se pratiquer sur des plates-formes "offshore" échappant aux législations).