Le droit actuel

Depuis 1997, le droit de l’Union européenne exige que nous donnions notre consentement pour que nos communications électroniques (appels, SMS, courriels, utilisation d’Internet) puissent être analysées ou revendues à des fins commerciales (articles 5 et 6 de la directive 97/66/CE, repris par la directive 2002/58/CE).

Cette obligation protège notre droit fondamental à la confidentialité de nos communications. Elle garantit ainsi que personne ne puisse dresser la liste des personnes avec qui nous communiquons, ou la liste des informations que nous consultons, et que le contenu de nos messages reste secret.

Ce qui va changer

Sous la pression de certaines grandes entreprises, de nombreux députés européens sont prêts à autoriser des sociétés privées telles que Orange, Gmail, Whatsapp ou Snapchat d’exploiter nos communications dans un but commercial et sans notre accord (voir les amendements déposés dans ce sens, en anglais).

Cette autorisation prendrait la forme de deux exceptions à l’obligation d’obtenir notre consentement.

Intérêt légitime

Dès qu’une entreprise aura un « intérêt légitime » (tel un intérêt économique) à analyser ou revendre nos communications, elle sera autorisée à le faire sans notre consentement. Elle devra seulement s’assurer que son activité ne nuit pas « de façon excessive » aux personnes dont les échanges sont captés.

Cette notion de nuisance excessive est cependant très permissive : dans un premier temps, l’entreprise décidera seule de ce qui est « excessif » ou non. Il faudra ensuite saisir la CNIL pour que celle-ci se penche sur la question et vérifie que cet équilibre a bien été respecté.

Dans tous les cas, que la nuisance soit excessive ou non, des motifs économiques autoriseront des atteintes au secret de nos communications qui, jusqu’alors, n’étaient possibles qu’avec notre accord.

Traitement ultérieur

En pratique, pour communiquer par téléphone ou sur Internet, nous devons demander à un ou plusieurs prestataires de transmettre nos communications sur le réseau. Notre demande les autorise naturellement à traiter nos échanges pour pouvoir les diffuser.

Toutefois, désormais, ces entreprises seront aussi autorisées à réaliser tout « traitement ultérieur » de nos communications — à les réutiliser –, sans notre accord. Elles devront seulement s’assurer que ce nouveau traitement poursuit un objectif « compatible » avec notre demande initiale.

Difficile d’anticiper ce que pourrait être un traitement « compatible ». Néanmoins, les entreprises qui soutiennent cette exception indiquent clairement le faire pour des raisons commerciales.

Enfin, ici encore, dans un premier temps, chaque entreprise décidera seule de ce qui est ou non « compatible ».

Le droit actuel

Depuis 2002, le droit de l’Union européenne protège les données émises par nos appareils électroniques (articles 6 et 9 de la directive 2002/58/CE). Les données protégées sont typiquement celles émises automatiquement par nos appareils pour se connecter à des bornes Wi-Fi ou par nos téléphones pour se connecter aux antennes relais du réseau.

Ces données ne peuvent être utilisées par des entreprises que pour une seule raison : pour nous permettre de nous connecter à un réseau de communications. Pour toute autre raison, tel que pour établir notre position géographique, notre consentement est exigé.

Ce qui va changer

La Commission européenne propose de supprimer cette exigence de consentement (article 8§2 de la proposition de règlement).

À la place, elle veut autoriser les entreprises à nous géolocaliser à la seule condition qu’elles posent une affiche indiquant que les personnes présentes dans un certain lieu sont surveillées, ainsi que la façon dont elles peuvent éviter cette surveillance (en coupant leur accès au réseau, typiquement).

Ainsi, par exemple, le gérant d’un centre commercial pourra tracer les déplacements de tous ses clients : savoir dans quels magasins ils s’arrêtent, le temps qu’ils y passent, avec qui, le nombre de fois qu’ils y reviennent dans les mois suivants, etc. Ce traçage pourrait tout aussi bien être étendu à l’échelle d’une ville ou d’un pays, pour faire de la publicité, établir des profils de consommation, de déplacement, de vie, etc.

amendements, en anglais).–>

La Parlement européen a décidé que ce traçage n’était permis que pour réaliser des « statistiques » anonymes qui ne permettraient pas d’identifier chaque personne individuellement. Cette limite n’est pas satisfaisante : les données identifiantes seraient conservées aussi longtemps que nécessite la réalisation des statistiques (par exemple, pour savoir combien de fois chaque client visite le même magasin sur une période de deux ans, il faut pouvoir individualiser chaque client pendant deux ans).

De plus, anonymiser des données aussi sensibles que nos déplacements quotidiens n’offrirait qu’une protection extrèmement faible : les techniques de ré-identification de données sont en perpetuelles développement. Des statistiques qui sembleraient anonymes aujourd’hui pourraient tout aussi bien révéler des comportements individuels demain.

Le droit actuel

Depuis 2009, le droit de l’UE interdit aux sites internet de déposer ou de lire des informations (tels que des cookies) sur nos appareils sans notre consentement (article 5§3 de la directive 2002/58/CE). Ceci empêche que nous soyons tracés d’un site à l’autre afin d’établir des fiches comportementales à notre sujet.

Hélas, entre-temps, cette exigence a été appliquée de façon bien trop permissive et a perdu toute sa force.

Un consentement silencieux

Nous sommes considérés comme donnant notre consentement du moment que nous naviguons sur un site internet après avoir été informé du pistage qui y a lieu. Ce sont les fameux « bandeaux cookie ». Pas besoin de cliquer sur un bouton « j’accepte » : notre seul silence vaut acceptation.

En général, la seule façon de limiter ce pistage est de configurer notre navigateur pour interdire les cookies (ce qui n’est ni simple ni efficace, puisque d’autres techniques de traçage existent) ou d’installer des bloqueurs de publicité (qui ne seront jamais pleinement efficaces non plus).

Un consentement forcé

De nombreux sites internet ne sont accessibles que si nous acceptons d’y être tracés. Par exemple, l’accès au site peut être bloqué si nous utilisons un bloqueur de pub.

Ce type de blocage nous force à donner notre accord. Pour accéder au site, nous devons « payer » avec notre vie privée, en acceptant malgré nous de révéler des informations parfois particulièrement intimes.

Nos données personnelles deviennent ainsi une monnaie d’échange, faisant du droit à la vie privé un luxe uniquement accessible aux personnes qui pouvent se permettre de payer autrement.

Il est inacceptable que nos libertés fondamentales puissent être ainsi distribuées selon des critères économiques.

Ce qui va changer

L’an dernier, l’UE a adopté un règlement général sur la protection des données (RGPD), qui entrera en vigueur en mai 2018. Deux changements majeurs en découlent :

• Pour être valide, le consentement devra désormais être donné par un « acte positif » : le silence ne vaudra plus acceptation (article 4§11 du règlement).
• L’accord donné sous la menace de ne pas accéder à un service sera désormais invalide (article 7§4).

Ces changements remettent profondément en cause le modèle économique des sites internet qui exploitent notre vie privée contre notre volonté. Ce modèle est aujourd’hui défendu par certains députés (voir leurs amendements, en anglais). Ils souhaitent deux choses :

• Que les avancées apportées par le RGPD ne soient pas applicables aux sites internet (que le droit revienne a son état antérieur) ;
• Que notre consentement ne soit plus requis pour nous pister, tout simplement. De la même manière que pour l’analyse des communications (voir plus haut), il suffirait d’invoquer un « intérêt légitime » ou « compatible » pour se passer de notre accord.

Le droit actuel

Depuis aussi longtemps que l’UE interdit aux entreprises d’exploiter nos communications, les États européens sont autorisés à contraindre celles-ci à déroger à cette interdiction pour participer à la surveillance de la population (article 15 de la directive 2002/58/CE).

Cette autorisation est hélas particulièrement permissive.

Surveillance de masse

Les États peuvent exiger que les entreprises participent à la surveillance l’ensemble de la population. La logique est celle de la suspicion généralisée : n’étant pas capable de savoir exactement qui doit être surveillé, les États préfèrent surveiller tout le monde sans distinction.

Ainsi, en France, en Allemagne, en Espagne, en Italie et dans de nombreux autres pays, les fournisseurs d’accès à Internet sont obligés de conserver des informations sur l’ensemble de leurs utilisateurs pendant de longues périodes (un an en France).

Motifs économiques

Les États peuvent contraindre les entreprises à participer à cette surveillance pour bien d’autres raisons que la seule lutte contre le terrorisme ou contre la criminalité.

Par exemple, ce type de surveillance est autorisée lors de la poursuite de « l’intérêt économique important » d’un État (notion particulièrement large et permissive) ou pour la protection des droits des individus (telle la protection du droit d’auteur, qui conduit à surveiller la population pour lutter contre le partage d’œuvres entre particuliers).

Absence de contrôle efficace

Dans ce cadre, les États n’ont pas à obtenir l’autorisation d’un juge pour exiger la collaboration des entreprises. Ils décident seuls qui doit être surveillé et comment.

Du côté des utilisateurs, les recours légaux existant pour contester des mesures injustifiées ou illicites sont rares et peu efficaces.

Ce qui va changer

En 2014 puis 2016, la Cour de justice de l’Union européenne a clairement établi que la surveillance de l’ensemble de la population était contraire à nos libertés fondamentales (voir les décisions Digital Rights Ireland et Tele2). Elle a ainsi posé de nouvelles limites à cette surveillance d’État :

• Seules sont permises les mesures ne ciblant que certaines personnes pour une durée limitée.
• En matière de lutte contre les infractions pénales, l’analyse des communications doit être limitée aux crimes les plus graves.
• Les mesures de surveillances doivent être soumises à une supervision indépendante et efficace.

En dépit de leur clarté, les États européens n’ont pas encore pris en comptes ces nouvelles limites en modifiant leurs lois nationales. Le droit aujourd’hui en vigueur dans la majorité des États européens les ignore donc entièrement.

Certains députés proposent d’intégrer directement dans le règlement ePrivacy les limites posées par la Cour de justice. Ceci permettrait de passer outre l’inaction des États pour corriger leur droit national.

Ces députés doivent être soutenus (voir leurs amendements, en anglais).

Ce qui va se passer

En janvier 2017, la Commission européenne a déposé une proposition de règlement ePrivacy pour réformer le droit européen protégeant notre vie privée en ligne.

Cette proposition de règlement sera modifiée à la fois par le Parlement européen et le Conseil de l’Union (qui réunit le gouvernement de chaque État membre).

Lorsque ces deux institutions se seront mises d’accord sur une version commune, le règlement sera adopté.

Le Parlement européen

La proposition de règlement doit d’abord passer devant la commission « libertés civiles » du Parlement (aussi appelée « commission LIBE »).

Cette commission est composée d’une poignée de députés qui ont examiné en détail le règlement au cours des derniers mois.

Le 19 octobre prochain, la commission LIBE adoptera sa propre version du règlement ePrivacy, en fonction des amendements qui y ont été déposé (voir l’ensemble de ceux-ci, en anglais).

C’est sur la base de ce texte que le Parlement européen négociera ensuite avec le Conseil de l’Union.

C’est donc ici que nous devons concentrer notre action.

PiPhone

Nous pouvons appeler gratuitement les membres de la commission LIBE en utilisant le PiPhone, proposé par La Quadrature du Net.

Vous pouvez appeler les députés de votre pays ou ceux de toute l’Union.

Dans tous les cas, soyons confiants : techniquement, ce débat est bien moins complexes que certains voudraient le présenter. Notre attachement aux libertés fondamentales et nos convictions politiques sont donc amplement suffisants pour y participer efficacement.