Le droit actuel

Depuis 1997, le droit de l’Union européenne exige que nous donnions notre consentement pour que nos communications électroniques (appels, SMS, courriels, utilisation d’Internet) puissent être analysées ou revendues à des fins commerciales (articles 5 et 6 de la directive 97/66/CE, repris par la directive 2002/58/CE).

Cette obligation protège notre droit fondamental à la confidentialité de nos communications. Elle garantit ainsi que personne ne puisse dresser la liste des personnes avec qui nous communiquons, ou la liste des informations que nous consultons, et que le contenu de nos messages reste secret.

Ce qui va changer

De nombreuses grandes entreprises (telles que Orange, Gmail, Whatsapp ou Snapchat) font pression sur les États membres pour être autorisées à exploiter nos communications dans un but commercial et sans notre accord (voir les documents de lobbying qu’elles ont envoyés aux députés européens).

Heureusement, sur ce point, leurs ambitions ont été freinées par le Parlement européen. Mais, demain, les États membres pourraient entièrement renverser la situation et leur ouvrir en grand les portes de la surveillance économique.

Concrètement, ces entreprises demande la création de deux exceptions à l’obligation d’obtenir notre consentement.

Intérêt légitime

Dès qu’une entreprise aura un « intérêt légitime » (tel un intérêt économique) à analyser ou revendre nos communications, elle sera autorisée à le faire sans notre consentement. Elle devra seulement s’assurer que son activité ne nuit pas « de façon excessive » aux personnes dont les échanges sont captés.

Cette notion de nuisance excessive est cependant très permissive : dans un premier temps, l’entreprise décidera seule de ce qui est « excessif » ou non. Il faudra ensuite saisir la CNIL pour que celle-ci se penche sur la question et vérifie que cet équilibre a bien été respecté.

Dans tous les cas, que la nuisance soit excessive ou non, des motifs économiques autoriseront des atteintes au secret de nos communications qui, jusqu’alors, n’étaient possibles qu’avec notre accord.

Traitement ultérieur

En pratique, pour communiquer par téléphone ou sur Internet, nous devons demander à un ou plusieurs prestataires de transmettre nos communications sur le réseau. Notre demande les autorise naturellement à traiter nos échanges pour pouvoir les diffuser.

Toutefois, désormais, ces entreprises seront aussi autorisées à réaliser tout « traitement ultérieur » de nos communications — à les réutiliser –, sans notre accord. Elles devront seulement s’assurer que ce nouveau traitement poursuit un objectif « compatible » avec notre demande initiale.

Difficile d’anticiper ce que pourrait être un traitement « compatible ». Néanmoins, les entreprises qui soutiennent cette exception indiquent clairement le faire pour des raisons commerciales.

Enfin, ici encore, dans un premier temps, chaque entreprise décidera seule de ce qui est ou non « compatible ».

Le droit actuel

Depuis 2002, le droit de l’Union européenne protège les données émises par nos appareils électroniques (articles 6 et 9 de la directive 2002/58/CE). Les données protégées sont typiquement celles émises automatiquement par nos appareils pour se connecter à des bornes Wi-Fi ou par nos téléphones pour se connecter aux antennes relais du réseau.

Ces données ne peuvent être utilisées par des entreprises que pour une seule raison : pour nous permettre de nous connecter à un réseau de communications. Pour toute autre raison, tel que pour établir notre position géographique, notre consentement est exigé.

Ce qui va changer

La Commission européenne propose de supprimer cette exigence de consentement (article 8§2 de la proposition de règlement).

À la place, elle veut autoriser les entreprises à nous géolocaliser à la seule condition qu’elles posent une affiche indiquant que les personnes présentes dans un certain lieu sont surveillées, ainsi que la façon dont elles peuvent éviter cette surveillance (en coupant leur accès au réseau, typiquement).

Ainsi, par exemple, le gérant d’un centre commercial pourra tracer les déplacements de tous ses clients : savoir dans quels magasins ils s’arrêtent, le temps qu’ils y passent, avec qui, le nombre de fois qu’ils y reviennent dans les mois suivants, etc. Ce traçage pourrait tout aussi bien être étendu à l’échelle d’une ville ou d’un pays, pour faire de la publicité, établir des profils de consommation, de déplacement, de vie, etc.

La Parlement européen a décidé que ce traçage ne devrait être permis que pour réaliser des « statistiques » anonymes qui ne permettent pas d’identifier chaque personne individuellement. Cette limite n’est pas satisfaisante : les données identifiantes seraient conservées aussi longtemps que nécessite la réalisation des statistiques (par exemple, pour savoir combien de fois chaque client visite le même magasin sur une période de deux ans, il faut pouvoir individualiser chaque client pendant deux ans).

De plus, anonymiser des données aussi sensibles que nos déplacements quotidiens n’offrirait qu’une protection extrêmement faible : les techniques de ré-identification de données sont en perpétuelles développement. Des statistiques qui sembleraient anonymes aujourd’hui pourraient tout aussi bien révéler des comportements individuels demain.

Le droit actuel

Depuis 2009, le droit de l’UE interdit aux sites internet de déposer ou de lire des informations (tels que des cookies) sur nos appareils sans notre consentement (article 5§3 de la directive 2002/58/CE). Ceci empêche que nous soyons tracés d’un site à l’autre afin d’établir des fiches comportementales à notre sujet.

Hélas, entre-temps, cette exigence a été appliquée de façon bien trop permissive et a perdu toute sa force.

Un consentement silencieux

Nous sommes considérés comme donnant notre consentement du moment que nous naviguons sur un site internet après avoir été informé du pistage qui y a lieu. Ce sont les fameux « bandeaux cookie ». Pas besoin de cliquer sur un bouton « j’accepte » : notre seul silence vaut acceptation.

En général, la seule façon de limiter ce pistage est de configurer notre navigateur pour interdire les cookies (ce qui n’est ni simple ni efficace, puisque d’autres techniques de traçage existent) ou d’installer des bloqueurs de publicité (qui ne seront jamais pleinement efficaces non plus).

Un consentement forcé

De nombreux sites internet ne sont accessibles que si nous acceptons d’y être tracés. Par exemple, l’accès au site peut être bloqué si nous utilisons un bloqueur de pub.

Ce type de blocage nous force à donner notre accord. Pour accéder au site, nous devons « payer » avec notre vie privée, en acceptant malgré nous de révéler des informations parfois particulièrement intimes.

Nos données personnelles deviennent ainsi une monnaie d’échange, faisant du droit à la vie privé un luxe uniquement accessible aux personnes qui peuvent se permettre de payer autrement.

Il est inacceptable que nos libertés fondamentales puissent être ainsi distribuées selon des critères économiques.

Ce qui va changer

L’an dernier, l’UE a adopté un règlement général sur la protection des données (RGPD), qui entrera en vigueur en mai 2018. Deux changements majeurs en découlent :

• Pour être valide, le consentement devra désormais être donné par un « acte positif » : le silence ne vaudra plus acceptation (article 4§11 du règlement).
• L’accord donné sous la menace de ne pas accéder à un service sera désormais invalide (article 7§4).

Ces changements remettent profondément en cause le modèle économique des sites internet reposant sur la publicité ciblée (et non consentie). Sous la pression de leurs véritables clients (l’industrie de la publicité), ces différents sites Internet, dont des grands média, défendent aujourd’hui une surveillance de masse (qui va à l’encontre tant de leurs lecteurs et des journalistes). Ils soutiennent deux changements :

• Que les avancées apportées par le RGPD ne soient pas applicables aux sites internet (que le droit revienne a son état antérieur) ;
• Que notre consentement ne soit plus requis pour nous pister, tout simplement. De la même manière que pour l’analyse des communications (voir plus haut), il suffirait d’invoquer un « intérêt légitime » ou « compatible » pour se passer de notre accord.

Le droit actuel

Depuis aussi longtemps que l’UE interdit aux entreprises d’exploiter nos communications, les États européens sont autorisés à contraindre celles-ci à déroger à cette interdiction pour participer à la surveillance de la population (article 15 de la directive 2002/58/CE).

Cette autorisation est hélas particulièrement permissive.

Surveillance de masse

Les États peuvent exiger que les entreprises participent à la surveillance l’ensemble de la population. La logique est celle de la suspicion généralisée : n’étant pas capable de savoir exactement qui doit être surveillé, les États préfèrent surveiller tout le monde sans distinction.

Ainsi, en France, en Allemagne, en Espagne, en Italie et dans de nombreux autres pays, les fournisseurs d’accès à Internet sont obligés de conserver des informations sur l’ensemble de leurs utilisateurs pendant de longues périodes (un an en France).

Motifs économiques

Les États peuvent contraindre les entreprises à participer à cette surveillance pour bien d’autres raisons que la seule lutte contre le terrorisme ou contre la criminalité.

Par exemple, ce type de surveillance est autorisée lors de la poursuite de « l’intérêt économique important » d’un État (notion particulièrement large et permissive) ou pour la protection des droits des individus (telle la protection du droit d’auteur, qui conduit à surveiller la population pour lutter contre le partage d’œuvres entre particuliers).

Absence de contrôle efficace

Dans ce cadre, les États n’ont pas à obtenir l’autorisation d’un juge pour exiger la collaboration des entreprises. Ils décident seuls qui doit être surveillé et comment.

Du côté des utilisateurs, les recours légaux existant pour contester des mesures injustifiées ou illicites sont rares et peu efficaces.

Ce qui va changer

En 2014 puis 2016, la Cour de justice de l’Union européenne a clairement établi que la surveillance de l’ensemble de la population était contraire à nos libertés fondamentales (voir les décisions Digital Rights Ireland et Tele2). Elle a ainsi posé de nouvelles limites à cette surveillance d’État :

• Seules sont permises les mesures ne ciblant que certaines personnes pour une durée limitée.
• En matière de lutte contre les infractions pénales, l’analyse des communications doit être limitée aux crimes les plus graves.
• Les mesures de surveillances doivent être soumises à une supervision indépendante et efficace.

En dépit de leur clarté, les États européens n’ont pas encore pris en comptes ces nouvelles limites en modifiant leurs lois nationales. Le droit aujourd’hui en vigueur dans la majorité des États européens les ignore donc entièrement.

Le parlement européen a intégré dans le règlement ePrivacy certaines des limites posées par la Cour de justice, notamment en interdisant la surveillance pour des motifs économiques ou absurdes, ou en exigeant bien plus de transparence de la part des autorités contrôlant les services de renseignement. Toutefois, ces avancées risquent d’être bientôt balayées par les États membres, qui ne souhaitent manifestement qu’aggraver la situation initiale.