Vie privée et informatique

Deux catégories de données sont stockées dans les fichiers informatiques.

Les données collectées sont utilisées pour fournir le service, le facturer et gérer les réclamations mais aussi de multiples autres utilisations.

Il y a des préoccupations en matière de protection de la vie privée, elles concernent :

• La capacité du fournisseur de service à protéger les données stockées, d'un accès extérieur malveillant.
• L'usage qui est fait des données collectées en dehors de celui prévu par le contrat (action marketing, location de fichiers, etc.).
• Le partage de ces informations avec des tiers non autorisés.
• L'usage des données pour des buts non attendus ou non désirés par le Citoyen (communément appelé le « Data Subject »).

Les établissements financiers et les opérateurs de télécommunication possèdent des informations extrêmement sensibles sur la vie privée de leur client. La CNIL veille particulièrement à ce que ces données ne soient pas traitées pour des actions marketing sans accord préalable.

Certaines données doivent être mises à la disposition de la police sur commission rogatoire.

La loi sur la protection des données personnelles exige que les données ne soient pas conservées plus longtemps que nécessaire pour fournir le service demandé, néanmoins d'autres nécessités légales peuvent influencer cette durée. La CNIL a travaillé avec le service interministériel des archives en France (SIAF) pour établir un guide pratique répondant aux obligations imposées par le Code du patrimoine et par le RGPD[4].

La conservation des données administratives peut-être extrêmement longue, et durer toute la vie (Cotisations retraites, transactions immobilières par exemple).

La durée de conservation par les fournisseurs de services non administratifs est soumise en France à l'accord préalable de la CNIL.

Les données ne doivent être en principe conservées que pendant la durée nécessaire à fourniture du service, ainsi que pendant une période complémentaire raisonnable. L'article L110-4 du Code de commerce français prévoit que « Les obligations nées à l'occasion de leur commerce entre commerçants ou entre commerçants et non-commerçants se prescrivent par cinq ans si elles ne sont pas soumises à des prescriptions spéciales plus courtes ».

En cas de résiliation du service, les données nécessaires à la collecte du dernier paiement peuvent être conservées tant que la dernière facture est considérée comme exigible.

Cependant, s'il y a litige, la durée de conservation des données peut être de plusieurs années.

De plus, la loi peut exiger une conservation beaucoup plus longue des données. Il en est ainsi :

• De la conservation des données bancaires qui peuvent être utilisées comme preuve dans des conflits commerciaux (dix ans pour les paiements, réduit à cinq ans depuis 2008)
• Des données de télécommunication qui peuvent servir de preuve lors des procès au pénal ou pendant les enquêtes judiciaires qui peuvent avoir lieu longtemps après les faits (voir la Directive 2006/24/CE sur la conservation des données)

La terminologie de « données personnelles » est employée par la directive du 24 octobre 1995 dans son article 2 : « toute information concernant une personne physique identifiée et identifiable ». Les données personnelles dans la définition extensive de la directive européenne, englobent tout ce qui se rapporte à l'identité de la personne, à sa personnalité, à sa vie privée. Les données personnelles concernent donc nécessairement les nom, prénom , adresse ; le téléphone, les coordonnées bancaires, le numéro de sécurité sociale ou NIR. Une adresse électronique ou e-mail , une adresse IP ou adresse numérique de l'ordinateur sont des données personnelles. Les données personnelles sont donc un point extrêmement sensible, puisque l'on sait que, malgré les moyens de protection mis en œuvre, aucun système ne peut être considéré comme inviolable.

Il existe donc en France, plusieurs principes juridiques de protection des données. En effet, deux d'en eux sont importants :

• Le principe de finalité[5]

Selon la loi, ces données ne peuvent pas être conservées au-delà de la durée « nécessaire aux finalités pour lesquelles elles sont collectées ».

• Le droit à l’oubli (ou droit à l’effacement)[6] :

Les informations ne peuvent être conservées de façon indéfinie dans les fichiers informatiques. Une durée de conservation doit être établie en fonction de la finalité de chaque fichier. Au-delà, les données peuvent être archivées, sur un support distinct. La durée de conservation déclarée dans le registre du CIL doit correspondre à la période durant laquelle les données restent accessibles ou consultables, par opposition avec la période d’archivage des données pendant laquelle celles-ci ne sont plus destinées à être utilisées et sont de ce fait, conservées sur un support distinct au sein d’un service d’archives. Les données personnelles doivent être adéquates, pertinentes et non excessives au regard des objectifs poursuivis. Enfin, toute personne a le droit de s’opposer, pour des motifs légitimes, à ce que des données la concernant soient enregistrées dans un fichier informatique, sauf si celui-ci présente un caractère obligatoire.

En complément à ces principes juridiques, le fournisseur de service à plusieurs missions. Il doit assurer que l'accès à son système d'information est protégé des accès extérieurs. Il doit également s'assurer de l'impossibilité d'altérer les données. Il faut qu’il respecter les règles en matière de stockage des données bancaires (interdiction de stocker en clair les numéros de carte par exemple).

Il ne peut pas stocker les mots de passe des clients, mais se contenter de stocker l'information permettant de contrôler les mots de passe.

Il est également possible d’augmenter la protection de ses données avec des réflexes simples valables aussi bien pour un particulier qu'une entreprise, tels que :

• sécuriser ses périphériques de stockages (clé USB, disque dur externe principalement) ;
• utilisation de logiciels de cryptage ;
• sécuriser son ordinateur avec des mots de passe. Il est recommandé d'utiliser différents mots de passe pour plusieurs comptes. La CNIL estime qu'un bon mot de passe doit contenir au moins 12 caractères parmi lesquels, des majuscules, des minuscules, des chiffres et des caractères spéciaux. De plus, il est préférable que les mots de passe ne contiennent pas d'informations personnelles comme par exemple sa date de naissance. Il est également possible d’utiliser un gestionnaire de mots de passe. La CNIL recommande Keepass dont la sécurité a été évaluée par l'ANSSI (Agence Nationale de Sécurité des Systèmes d'Information) ;
• paramétrer une « veille sécurisé ».

Il existe bien d'autres procédés pour protéger ses données personnelles. Cependant, ils ne font que limiter les risques[7].

Ce que l'on appelle ainsi, ce sont tous les fichiers qui s'enregistrent sur l'ordinateur d'un utilisateur, le plus souvent à son insu, lorsqu'il navigue sur Internet : cookies, historique, formulaires, fichiers téléchargés, fichiers Internet temporaires…

On peut classer les traces en trois catégories[8] :

• Les traces volontaires : Ce sont les traces que nous publions comme des photos ou des messages sur les réseaux sociaux ou des données personnelles surcontre CV en ligne… ;
• Les traces involontaires : Par exemple, avec notre ordinateur, il est possible de retrouver notre adresse IP, l'historique de nos recherches… Avec les moteurs de recherche, tous les mots-clés sont enregistrés. Ainsi, il est possible de connaitre nos habitudes et nos sites fréquentés récemment… Avec les cookies, des fichiers sont déposés sur notre ordinateur. Ils permettent d'enregistrer un grand nombre de données sur nous comme notre langue par exemple ;
• Les traces héritées : Ce type de traces sont des informations qui nous concernent mais que nous n'avons pas publiées, elles sont visibles sur internet sans que l'on ne sache. Cela peut être une photo dans laquelle nous sommes identifiées ou encore l'organigramme de la société où nous travaillons.

Les logiciels comme Internet Explorer en version 7, Mozilla Firefox, Chrome, CCleaner, Wise Disk Cleaner ou encore Steganos Internet Anonym permettent d'effacer facilement ces traces. D'autres méthodes réduisent sensiblement le traçage (et la censure) des internautes soit sur l'internet normal (Tor) soit en constituant un réseau anonyme (Freenet, I2P).

Ce terme français, issu de l'expression anglaise « privacy paradox », désigne le paradoxe entre une pratique, la divulgation quotidienne de ses données à caractère personnel particulièrement développée sur internet (commodité, usage dans le web social) et un souhait, la volonté de protéger sa vie privée.

En anglais, Susan B. Barnes développe la notion de privacy paradox[9] en expliquant que la notion paradoxale du terme privacy aux États-Unis se joue à travers d'un côté, des adolescents qui divulguent leurs pensées les plus intimes et, d'un autre côté, les organismes gouvernementaux et commerciaux qui collectent ces données. La notion de privacy paradox pose l'hypothèse de la fin de la vie privée sur internet. Dès la fin des années 1990, des chercheurs émettent cette hypothèse, en particulier Simson Garfinkel qui, à travers son étude sur la notion de la vie privée[10], analyse les aspects techniques de l'information et affirme l'hypothèse que le web actuel mettrait fin à la privacy car les évolutions techniques ne prendraient pas en compte les évolutions de l'individu.

En fait cette prétendue « disparition de la vie privée » (voir les déclarations controversées de Scott McNealy et Eric Schmidt) semble contredite par de multiples études universitaires[11], même sur des jeunes générations, et provenant principalement de l'absence de connaissance et de transparence sur la réelle utilisation des données collectées. Par exemple, dans son article « Contre l'hypothèse de la fin de la vie privée »[12], Antonio Casilli propose une nouvelle définition de la vie privée, conçue comme une entité faisant l'objet de réajustements permanents entre les membres de chaque communauté virtuelle. Dans cette conception de la privacy, l'internaute se dévoile de manière différentielle selon les cercles dans lesquels sont publiées les informations le concernant, dans une double logique de construction de son influence et de préservation de son intimité ; c'est grâce aux feedbacks des autres usagers qu'il identifie ce qu'il peut considérer comme relevant ou non de sa vie privée. Cette conception est donc très éloignée des approches traditionnelles qui considèrent la vie privée comme un noyau de données relevant par nature du secret et qu'il faudrait défendre.

Le respect de la vie privée représente un sujet relativement ancien, qui remonte notamment à l’époque des Lumières où des débats sur l’émancipation de l’individu face à la société sont apparus. Les questions et les débats autour de l'économie des données sont quant à eux beaucoup plus récents et sont apparus notamment avec la montée en puissance de l’informatique, des réseaux numériques et des Nouvelles Technologies de l’Information et de la Communication (NTIC).

Dans son ouvrage L’Économie des données personnelles et de la vie privée[13], Fabrice Rochelandet, professeur à la Sorbonne, définit les données personnelles comme des biens :

• Informationnels : À partir de l'instant où il y a un échange marchand ou non marchand qui se crée sur un réseau numérique, il y a échange d’informations entre deux parties, conservées par l’une d’elles. Les données personnelles constituent alors des biens informationnels.
• Durables : Les données personnelles perdurent dans le temps, car elles sont numérisées et peuvent être reproduites à l’infini.
• Périssables : En revanche les données personnelles représentent tout de même des biens périssables en ce fait que les informations sur un individu peuvent changer et évoluer au fil des années (âge, lieu d’habitation, etc.).
• Non-rivaux : Les données personnelles représentent des biens non-rivaux, car un acteur possédant des données a la possibilité de les revendre, de les louer, à plusieurs autres acteurs simultanément et continu de jouir de la possession de ces données. Donc la consommation des données par un agent n’a pas d’effet sur la quantité disponible pour d’autres individus.

Cette notion de bien vient notamment expliquer le fait qu’une véritable Économie se soit construite autour de la commercialisation des données avec la mise en place d’échanges marchands (vente, location) et non marchands (échange). Dans son article « Économie non marchande et communauté d'information », Michel Gensollen, chercheur en Économie Gestion, Sciences Humaines et Sociales, parle d’économie d’information ou d’économie quaternaire. Il s’agit d’une économie à part entière qui, selon Gensollen, contrairement à l’économie primaire (l’agriculture), l’économie secondaire (secteur industriel), ou encore l’économie tertiaire (les services), l’économie d’information n’est pas centrée sur un secteur particulier.

Toujours selon Michel Gensollen, dans l’économie quaternaire, la production n’est plus la reproduction à l’identique de biens ou services, mais l’invention de produits nouveaux et variés. Ces produits ne sont pas seulement imaginés par les entreprises, ils émergent en circulant entre les producteurs et les consommateurs (internautes). Une partie des données (des biens) est produite par les individus eux-mêmes lorsqu’ils remplissent les champs d’information présents sur les sites et réseaux internet. Toutefois les individus ne sont pas les seuls à produire des données personnelles. A l’heure des objets connectés, les robots et les machines récoltent également des données de manière informelle et ont la capacité grâce à de puissants algorithmes de produire de nouvelles données, ce que les spécialistes appellent plus globalement les techniques de Data mining (Exploration des données).

Les données personnelles, leur exploitation et leur commercialisation, sont devenues au fil des années un marché considérable : le marché des données personnelles a une valeur estimée à 300 millions de dollars[14]. De nombreuses entreprises ont élaboré les premiers modèles fondés sur l’analyse et/ou la revente des données personnelles pour développer leur service. L’économie des données personnelles repose en particulier sur l’évolution de deux modèles, identifiés par S. Chignard et L.D.Benyayer dans Datanomics : Les nouveaux business models des données (FYP éditions, 2015) :

• Les modèles bifaces qui se sont construits sur une logique de troc implicite : données personnelles contre service gratuit.
• Les modèles serviciels pour lesquels les données personnelles sont un véritable carburant : grâce à la personnalisation, les services sont plus efficaces et pertinents pour l’utilisateur et bénéficient tant à l’entreprise qu’au client (dans la limite des règles de consentement).

Le sujet des données personnelles fait l’objet de nombreux débats animés opposant souvent deux conceptions idéologiques et culturelles : celle libérale, d’influence anglo-saxonne et celle protectionniste, d’influence européenne. Autrement dit, la donnée personnelle est un véritable or noir pour l’économie numérique mais constitue également un risque majeur pour les libertés individuelles, ce qui impacte la manière d’innover.

En Europe il existe plusieurs lois sur la protection et conservation des données. L'organisme chargé de contrôler la bonne application de ces lois est le Contrôleur européen de la protection des données.

• Convention 108 du Conseil de l'Europe
• Union européenne
  • Le règlement (CE) n° 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 (uniquement pour les Institutions Européennes)
  • Directive 95/46/CE sur la protection des données personnelles. Elle a été remplacé par le Règlement Général sur la Protection des Données, entré en vigueur le 25 mai 2018, qui est une nouvelle législation qui a pour but d’uniformiser les différentes législations européennes à ce sujet, afin de mieux protéger les droits des internautes européens quant à leurs données personnelles.
  • Directive du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniques dite « e-Privacy » directive.
  • Directive 2006/24/CE sur la conservation des données, etc.
• Le G29 (groupe des CNIL européennes) a précisé les règles applicables aux réseaux sociaux, dans un avis du 12 juin 2009. Les CNIL européennes leur demandent notamment de :
  • définir des paramètres par défaut limitant la diffusion des données des internautes ;
  • mettre en place des mesures pour protéger les mineurs ;
  • supprimer les comptes qui sont restés inactifs pendant une longue période ;
  • permettre aux personnes, même si elles ne sont pas membres des réseaux sociaux, de bénéficier d'un droit de suppression des données qui les concernent ;
  • proposer aux internautes d'utiliser un pseudonyme, plutôt que leur identité réelle ;
  • mettre en place un outil accessible aux membres et aux non-membres, sur la page d'accueil des réseaux sociaux, permettant de déposer des plaintes relatives à la vie privée[17].

En France, c’est la Loi informatique et liberté[18] qui règlemente le traitement des données personnelles. Crée en 1978, elle a été modifiée en 2004 puis en 2019, pour la transposition des dispositions du Règlement général sur la protection des données, en conservant quelques dispositions nationales[19].

La Loi pour la confiance dans l'économie numérique (LCEN) de 2004 transpose également des mesures de la directive européenne « e-privacy » de 2002.

La CNIL (Commission nationale de l'informatique et des libertés) est chargée de la bonne application des principes de la Loi. Cette autorité indépendante est membre du Comité européen de la protection des données (anciennement G29).

Ce pays est doté d'une protection différente des États de l'UE concernant les données personnelles. Un accord (Safe Harbor Principles) a été passé entre la Commission européenne et Washington afin d'autoriser le transfert de certaines données personnelles vers les États-Unis. Le système USA est une approche sectorielle qui est différente de l'approche « universelle » européenne. Il y a actuellement des travaux pour créer une loi fédérale de protection des données personnelles mais il est peu probable que celle-ci voie le jour avant plusieurs années (per 2014).

• En 1998, la loi pour la protection de la vie privée des mineurs sur Internet (Children's Online Privacy Protection Act) met en place des mesures particulières pour protéger les mineurs de moins de 13 ans.
• En 1996, la loi HIPAA (Health Insurance Portability and Accountability Act) sur la protection des données de santé.

De nombreux autres pays mettent en place des lois proches des concepts européens : Canada, Uruguay, Israël, Suisse, Mexique, Maroc, Tunisie, Burkina Faso.

En août 2021, la Chine a adopté une loi sur la protection des données personnelles. La Personal Information Protection Law (PIPL) est le premier cadre juridique pour la Chine dans ce domaine et s’inspire du RGPD[20]. Il est stipulé que les informations personnelles des citoyens chinois ne pourront pas être transférées vers des pays aux normes inférieures à la Chine. Cette loi concerne les entreprises privées et publiques afin de minimiser la collecte d’informations personnelles des citoyens et obtenir leur consentement préalable. Cependant, l’État n’est pas concerné, ce qui lui permet de recueillir une grande quantité de données[21].

• Michel Arnaud et Louise Merzeau (dir.), Traçabilité et réseaux, CNRS éditions, Paris, 2009, 263 p. (ISBN 978-2-271-06836-1)
• Maria Buttazzoni, La Vie privée et l'informatique : bibliographie sélective, Bibliothèque de l'Assemblée nationale, Division de la référence parlementaire, Québec, 1991, 44 p.
• Françoise Collard (et al.), Informatique et vie privée, F. Nathan, Paris ; Éditions Labor, Bruxelles, 1980, 191 p. (ISBN 2-8259-0111-3)
• Collectif, Correspondant Informatique et Libertés : bien plus qu'un métier, édition AFCDP, 2015, 574 p. (ISBN 978-2-9552430-0-8)
• Stéphanie Gutierrez (dir.), La Sécurité de l'individu numérisé : réflexions prospectives et internationales : actes du colloque du programme de recherche Asphales, ACI-Informatique, Paris, 22 et 23 novembre 2007, L'Harmattan, Paris, 2008, 300 p. (ISBN 978-2-296-07612-9)
• Marie-Laure Oble-Laffaire, Protection des données à caractère personnel, Éd. d'Organisation, Paris, 2005, 542 p. (ISBN 2-7081-3235-0)* Nicolas Ochoa, Le droit des données personnelles, une police administrative spéciale, thèse, 2014, Paris 1, disponible en suivant le lien https://tel.archives-ouvertes.fr/tel-01340600
• Cyril Pierre-Beausse, La Protection des données personnelles, Éd. Promoculture, Luxembourg, 2005, 378 p. (ISBN 2-87974-063-0)
• Yves Roy, « Technologie d'Internet et vie privée », dans Thomas Stenger, et Stéphane Bourliataux-Lajoinie, E-marketing & e-commerce - Concepts, outils, pratiques, Paris, Dunod, 2014 (ISBN 978-2100708918)
• Pierre Tabatoni (dir.), La Protection de la vie privée dans la société d'information, tome 2 : L'impact des systèmes électroniques d'information, Presses universitaires de France, Paris, 2000, VI-58 p. (ISBN 2-13-051097-3)
• Michel Venne, Vie privée & démocratie à l'ère de l'informatique, Institut québécois de recherche sur la culture, Québec, 1994, 122 p. (ISBN 9782892242003)

• Loi informatique et libertés de 1978
• Commission nationale de l'informatique et des libertés (CNIL)
• Association française des correspondants à la protection des données à caractère personnel (AFDCP)
• Commission d'accès aux documents administratifs
• Fichage en France