N 441

SNAT
SESSION ORDINAIRE DE 2008-2009
Annexe au procs-verbal de la sance du 27 mai 2009

RAPPORT DINFORMATION
FAIT

au nom de la commission des Lois constitutionnelles, de lgislation, du suffrage universel, du Rglement et dadministration gnrale (1) par le groupe de travail (2) relatif au respect de la vie prive lheure des mmoires numriques,

Par M. Yves DTRAIGNE et Mme Anne-Marie ESCOFFIER, Snateurs.

(1) Cette commission est compose de : M. Jean-Jacques Hyest, prsident ; M. Nicolas Alfonsi, Mme Nicole Borvo Cohen-Seat, MM. Patrice Glard, Jean-Ren Lecerf, Jean-Claude Peyronnet, Jean-Pierre Sueur, Mme Catherine Troendle, M. Franois Zocchetto, vice-prsidents ; MM. Laurent Bteille, Christian Cointat, Charles Gautier, Jacques Mahas, secrtaires ; M. Alain Anziani, Mmes liane Assassi, Nicole Bonnefoy, Alima Boumediene-Thiery, MM. Elie Brun, Franois-Nol Buffet, Pierre-Yves Collombat, Jean-Patrick Courtois, Mme Marie-Hlne Des Esgaulx, M. Yves Dtraigne, Mme Anne-Marie Escoffier, MM. Pierre Fauchon, Louis-Constant Fleming, Gaston Flosse, Christophe-Andr Frassa, Bernard Frimat, Ren Garrec, Jean-Claude Gaudin, Mmes Jacqueline Gourault, Virginie Kls, MM. Antoine Lefvre, Dominique de Legge, Mme Josiane Mathon-Poinat, MM. Jacques Mzard, Jean-Pierre Michel, Franois Pillet, Hugues Portelli, Roland Povinelli, Bernard Saugey, Simon Sutour, Richard Tuheiava, Alex Trk, Jean-Pierre Vial, Jean-Paul Virapoull, Richard Yung. (2) Ce groupe de travail est compos de : M. Yves Dtraigne et Mme Anne-Marie Escoffier.

-3-

SOMMAIRE
Pages INTRODUCTION ......................................................................................................................... 7 LES QUINZE RECOMMANDATIONS DU GROUPE DE TRAVAIL...................................... 9 I. LA VIE PRIVE, UNE VALEUR FONDAMENTALE MENACE ? ................................... 11 A. LE DROIT AU RESPECT DE LA VIE PRIVE, FONDEMENT DU DROIT LA PROTECTION DES DONNES PERSONNELLES.................................................................. 1. La vie prive, un fondement des socits modernes ................................................................. 2. Une protection juridique reconnue au niveau national et international .................................. a) Le respect de la vie prive, une composante des droits de lhomme.................................... b) En France : une protection ancienne, une reconnaissance rcente ....................................... c) Le droit la protection des donnes dans lUnion europenne : dune dclinaison du droit au respect de la vie prive la reconnaissance dun droit autonome...................... B. UNE VALEUR FONDAMENTALE QUI FAIT AUJOURDHUI LOBJET DUNE TRIPLE REMISE EN CAUSE ................................................................................................... 1. Une demande accrue de scurit ............................................................................................. a) Un nouvel quilibre entre scurit et libert........................................................................ b) Des donnes potentiellement la disposition de lEtat ....................................................... c) La collecte de donnes spcifiques titre prventif ............................................................ d) Des fichiers de police de plus en plus nombreux ................................................................ e) Un sous-encadrement de lEtat ?......................................................................................... 2. Les facilits offertes par les nouvelles technologies ................................................................ a) La golocalisation : un traage par nature ........................................................................... b) La biomtrie ....................................................................................................................... c) Les puces RFID ou le sans contact ................................................................................ d) Les panneaux publicitaires communicants .......................................................................... e) Lapparition doutils de profilage statistique....................................................................... f) Le cas particulier de la vidosurveillance ............................................................................ 3. Une tendance croissante lexposition de soi : Internet et les rseaux sociaux ................ a) Rseaux sociaux : description du phnomne ..................................................................... b) Les risques lis la visibilit .............................................................................................. c) Les risques du fait dautrui ................................................................................................. d) De la vie prive la vie publique........................................................................................ e) Une rcente prise de conscience des autorits .....................................................................

11 11 13 13 14 15

17 17 17 19 20 22 23 26 26 26 27 29 29 30 31 31 32 34 35 37

II. UN CADRE JURIDIQUE PROTECTEUR LPREUVE DE LA GLOBALISATION ET DINTERNET ................................................................................... 38 A. DES CRAINTES PARTIELLEMENT LEVES PAR UN CADRE JURIDIQUE SOUPLE ET PROTECTEUR..................................................................................................... 1. Les principes gnraux de la loi informatique et liberts : des principes universels et intemporels ........................................................................................................ a) Le principe de finalit ......................................................................................................... b) Le principe de proportionnalit........................................................................................... c) Le principe de scurit des donnes .................................................................................... d) Le droit daccs et de rectification...................................................................................... e) Les autres droits reconnus par la loi informatique et liberts .........................................

38 38 39 39 39 39 40

-4-

2. La neutralit technologique de la loi informatique et liberts ........................................... a) La golocalisation............................................................................................................... b) La biomtrie ....................................................................................................................... c) Les panneaux publicitaires communicants .......................................................................... d) Lapparition doutils de profilage statistique ...................................................................... e) Les puces RFID .................................................................................................................. f) Le cas particulier de la vidosurveillance ............................................................................ 3. Les gardiens vigilants de la protection des donnes personnelles : la CNIL, le G29 et le contrleur europen des donnes ........................................................................................ a) La CNIL ............................................................................................................................. b) Le G29 et le contrleur europen des donnes .................................................................... B. UN CADRE NANMOINS PARTIELLEMENT INADAPT AUX ENJEUX DE LA GLOBALISATION ET AUX SPCIFICITS DINTERNET ................................................... 1. La protection des donnes lpreuve de lextraterritorialit................................................. a) La question du droit applicable ........................................................................................... b) Les diffrences dapproches entre les systmes europen et amricain en matire de protection des donnes personnelles............................................................................... 2. La protection des donnes lpreuve dInternet.................................................................... a) Rester anonyme sur Internet : la dlicate conciliation de principes parfois contradictoires .................................................................................................................... b) Linflation de pratiques commerciales anonymement intrusives ................................... c) De la difficult pour les internautes faire valoir leurs droits .............................................

40 41 43 43 44 44 45 46 46 49

50 50 50 51 53 54 59 64

III. LES RECOMMANDATIONS DE VOS RAPPORTEURS ................................................... 66 A. FAIRE DU CITOYEN UN HOMO NUMERICUS LIBRE ET CLAIR, PROTECTEUR DE SES PROPRES DONNES ........................................................................ 1. Renforcer lducation et linformation du citoyen ................................................................... a) Lducation des citoyens la protection des donnes : un enjeu de gnration ................... b) Linformation des citoyens, pralable ncessaire la mise en uvre du consentement ...................................................................................................................... 2. Renforcer la confiance du citoyen dans la socit du numrique par la cration de labels protection des donnes ........................................................................................... a) Une exigence pour les citoyens, un outil de comptitivit pour les entreprises ................... b) Lintervention du Snat pour permettre le lancement effectif de la labellisation en France................................................................................................................................. c) La ncessaire cration de labels europens, voire mondiaux ............................................... B. RENFORCER LES MOYENS ET LA LGITIMIT DE LA CNIL ........................................... 1. Renforcer les moyens de la CNIL par la mise en place d un financement langlaise ............................................................................................................................. a) Des moyens encore insuffisants .......................................................................................... b) La mise en place dun nouveau mode de financement......................................................... 2. Renforcer la lgitimit et la crdibilit de la CNIL ................................................................. a) Par le maintien de lautonomie de la CNIL ......................................................................... b) Par la gnralisation des Correspondants informatique et liberts ................................. c) Par la publicit systmatique des audiences et des dcisions de la formation restreinte............................................................................................................................. d) Par le renforcement ventuel de ses pouvoirs de sanction ................................................... C. COMPLTER LE CADRE JURIDIQUE ACTUEL .................................................................... 1. Ne pas toucher aux grands principes ................................................................................... a) Conserver un haut niveau de protection : le dbat sur la rvision de la directive du 24 octobre 1995 .................................................................................................................. b) Promouvoir, au plan international, la dfinition de standards internationaux dans le domaine de la protection des donnes ................................................................................. 2. ... sans sinterdire des prcisions et un renforcement de leffectivit de ces principes.............

67 67 68 71 73 74 76 77 79 79 79 82 86 86 87 88 89 89 89 89 92 97

-5-

a) Clarifier le statut de ladresse IP ......................................................................................... 98 b) Amliorer les dispositions relatives la scurit des donnes............................................. 98 c) Transfrer la CNIL lautorisation et le contrle des dispositifs de vidosurveillance................................................................................................................102 d) Rserver au lgislateur la comptence exclusive en matire de fichiers de police ...............102 3. Complter les grands principes de la reconnaissance dun droit loubli ..............................104 a) La notion de droit de proprit sur ses donnes personnelles : une fausse bonne ide.....................................................................................................................................106 b) Brouiller les pistes ..............................................................................................................106 c) Vers un droit loubli .....................................................................................................107 4. Une mesure symbolique forte : linscription du droit au respect de la vie prive dans la Constitution ........................................................................................................................110 EXAMEN EN COMMISSION MERCREDI 27 MAI 2009 .........................................................115 ANNEXES......................................................................................................................................119 ANNEXE 1 GLOSSAIRE ............................................................................................................121 ANNEXE 2 LISTE DES PERSONNES ENTENDUES PAR LES RAPPORTEURS ...............125 ANNEXE 3 DPLACEMENTS DU GROUPE DE TRAVAIL ..................................................129 ANNEXE 4 LOI N 78-17 DU 6 JANVIER 1978 RELATIVE LINFORMATIQUE, AUX FICHIERS ET AUX LIBERTS (EXTRAITS) .................................................................133

-7-

INTRODUCTION

Mesdames, Messieurs, Toutes les poques, depuis la nuit des temps, ont vcu des rvolutions sociales, techniques, culturelles, industrielles. qui ont boulevers lordre des choses. Si ombre et lumire, les ternelles voix de la connaissance selon Zoroastre, ont toujours accompagn le progrs engendr par lingniosit de lhomme, elles nont pas manqu de simposer dans lactuelle rvolution numrique qui transforme notre relation aux autres et aux choses. De rsolutions de difficults en solutions, le lgislateur a uvr pour que la notion de vie prive, intgre depuis la philosophie des Lumires notre patrimoine historique, culturel et identitaire, reste, dans notre socit dmocratique, indissociable de lexistence de lindividu et de lexercice des liberts : la socit reconnat lindividu le droit de disposer dun espace priv, distinct de la vie collective de la communaut. Comment, ds lors, concilier les nouveaux pouvoirs que font peser sur chaque individu les nouvelles technologies avec ce droit la vie prive ? Comment viter que des institutions, publiques ou prives, ou mme des individus nutilisent ces formidables mmoires numriques au dtriment de notre vie prive pour porter atteinte nos liberts et notre capacit dautodtermination ? LHomme nignore pas que sa mmoire, tout au fond de ses entrailles (le mot mmoire a pour origine en hbreu la racine mem qui signifie entrailles ) laccompagnera, mme altre, jusqu son dernier souffle. Il nous faut tre conscients, nous, homo sapiens devenus homo numericus , du risque qui nous guette dtre pris au pige des mmoires numriques qui jouent le mme rle que notre propre mmoire : toujours prsentes, mme si elles paraissent enfouies au plus profond dun systme dont nous ne pouvons pas mesurer lenvergure, elles sont l dans une posture qui peut nous porter alternativement de la progression la rgression selon lusage que nous en faisons. Il nous revient donc dtre ces veilleurs vigilants face aux grands enjeux informatique et libert pour que le respect de la personne humaine, de sa vie prive et de sa dignit reste toujours un principe absolu.

-8-

Telles sont les raisons pour lesquelles la commission des lois a dcid, au cours de sa runion du 22 octobre 2008, de crer un groupe de travail sur la vie prive lheure des mmoires numriques. Compos de vos deux rapporteurs, il a procd quelque vingt-cinq auditions et effectu quatre dplacements (Madrid, Bruxelles, Grenoble et Roissy). Runie le mercredi 27 mai 2009, la commission a autoris la publication du prsent rapport qui formule quinze recommandations.

-9-

LES QUINZE RECOMMANDATIONS DU GROUPE DE TRAVAIL

FAIRE DU CITOYEN UN HOMO NUMERICUS LIBRE ET CLAIR, PROTECTEUR DE SES PROPRES DONNES Recommandation n 1 - Renforcer la place accorde la sensibilisation aux questions de protection de la vie prive et des donnes personnelles dans les programmes scolaires Recommandation n 2 - Promouvoir lorganisation et le lancement dune campagne dinformation grande chelle destine sensibiliser les citoyens aux enjeux lis la vie prive et la protection des donnes lheure du numrique ainsi qu les informer des droits que leur reconnat la loi informatique et liberts Recommandation n 3 - Promouvoir rapidement la cration de labels identifiant et valorisant des logiciels, applications et systmes offrant des garanties renforces en matire de protection des donnes personnelles RENFORCER LES MOYENS ET LA LGITIMIT DE LA CNIL Recommandation n 4 - Crer une redevance, de faible montant, acquitte par les grands organismes, publics et privs, qui traitent des donnes caractre personnel Recommandation n 5 - Dconcentrer les moyens dactions de la CNIL par la cration dantennes interrgionales Recommandation n 6 - Renforcer la capacit dexpertise et de contrle de la CNIL Recommandation n 7 - Rendre obligatoires les correspondants informatique et liberts pour les structures publiques et prives de plus de cinquante salaris Recommandation n 8 - Rendre publiques les audiences et les dcisions de la formation restreinte de la CNIL COMPLTER LE CADRE JURIDIQUE ACTUEL Recommandation n 9 - Soutenir la dynamique en cours tendant la dfinition de standards internationaux dans le domaine de la protection des donnes personnelles

- 10 -

Recommandation n 10 - Affirmer sans ambigut que ladresse IP constitue une donne caractre personnel Recommandation n 11 - Crer a minima notification des failles de scurit auprs de la CNIL une obligation de

Recommandation n 12 - Runir sous une seule autorit, la CNIL, les comptences dautorisation et de contrle en matire de vidosurveillance Recommandation n 13 - Rserver au lgislateur la comptence exclusive pour crer un fichier de police Recommandation n 14 - Rflchir la cration dun droit lhtronymat et dun droit loubli Recommandation n 15 - Inscrire dans notre texte constitutionnel la notion de droit au respect de la vie prive

- 11 -

I. LA VIE PRIVE, UNE VALEUR FONDAMENTALE MENACE ?

A. LE DROIT AU RESPECT DE LA VIE PRIVE, FONDEMENT DU DROIT LA PROTECTION DES DONNES PERSONNELLES

1. La vie prive, un fondement des socits modernes La notion de vie prive constitue lun des fondements de nos socits modernes et dmocratiques. La lgitimit de la notion de sphre prive dcoule en effet de la philosophie des Lumires et des principes poss par les thoriciens du libralisme politique. Au lendemain de la Rvolution, Benjamin Constant montre que, contre la libert des Anciens qui pensent que lhomme nest libre que par sa participation active au pouvoir collectif, la libert des Modernes se conoit comme la prservation des droits de lindividu et de sa sphre prive face aux immixtions de la puissance publique : Il y a au contraire une partie de lexistence humaine, qui, de ncessit, reste individuelle et indpendante, et qui est de droit hors de toute comptence sociale. La souverainet nexiste que dune manire limite et relative. Au point o commencent lindpendance et lexistence individuelles, sarrte la juridiction de cette souverainet 1. De son cot, Alexis de Tocqueville analyse la notion de vie prive au regard de l galisation croissante des conditions et de la diffusion de la dmocratie, quil dfinit avant tout comme un tat social . Cette galit des conditions saccompagne de la monte de lindividualisme, que Tocqueville dcrit comme un sentiment rflchi et paisible qui dispose chaque citoyen sisoler de la masse de ses semblables et se retirer lcart avec sa famille et des amis 2. La notion de vie prive est ainsi, dans une socit dmocratique, indissociable de lexistence de lindividu et de lexercice des liberts : la socit reconnat lindividu le droit de disposer dun espace priv, distinct de la vie collective de la communaut. Ces analyses demeurent aux fondements de notre ordre politique, mme si leur apprhension a volu au cours du temps. Tout dabord, le caractre central de la sphre prive a t remis en cause au cours du XXme sicle par des rgimes totalitaires qui ont entendu soumettre lindividu la ralisation dune unit fantasme fonde sur la race, lhistoire ou lidologie, et qui fonctionnaient prcisment sur la ngation de lexistence et de la lgitimit de la sphre prive (comme la rcemment
Principes de politique, chapitre premier, cit par Pierre Manent dans son Histoire intellectuelle du libralisme, Hachette Littratures, 1987, page 186. 2 De la dmocratie en Amrique, tome 2, seconde partie, chapitre II.
1

- 12 -

illustr le film La Vie des Autres, crit et ralis par Florian Henckel von Donnersmarck). Au cours des auditions auxquelles ils ont procd, vos rapporteurs ont ainsi pu mesurer combien la sensibilit la question de la vie prive, et plus particulirement la protection des donnes personnelles, tait profondment ancre dans cet arrire-plan historique et dans les souvenirs encore traumatisants de la vie sous ces rgimes. Il leur a sembl pouvoir expliquer ainsi la vigilance extrme accorde la question de la protection des donnes en Espagne ou en Allemagne par exemple, ainsi quen France o la mmoire de lOccupation reste vive, alors qu linverse, et de faon extrmement schmatique, les pays anglo-saxons accorderaient une attention moins pidermique cette problmatique1. En outre, les craintes que suscite aujourdhui le dveloppement des nouvelles technologies peuvent tre comprises partir des analyses de Michel Foucault sur le pouvoir, dont Foucault montre quil nest pas circonscrit au pouvoir politique, mais quil sexerce au contraire de faon diffuse travers des micro-pouvoirs rpartis tous les niveaux de la socit et qui trouvent leur source dans le savoir. Au cours des dernires dcennies, lattention sest ainsi porte sur les menaces que pourrait reprsenter pour lindividu la mise disposition dautres acteurs privs (employeurs, assureurs, etc.) dinformations concernant sa vie prive. Comme lcrit le professeur Yves Poullet, faisant rfrence au 1984 de G. Orwell, dans un rcent article consacr la protection des donnes lheure de lInternet, linformation reprsente pour ceux qui la dtiennent un pouvoir vis--vis de ceux sur lesquels linformation est dtenue. Celui qui dtient linformation sur autrui peut adapter sa dcision en fonction de la connaissance que linformation collecte et traite lui donne dautrui. Il prvoit son attitude et peut donc rpondre sa demande ou influencer celle-ci 2. Lattention apporte la protection de la vie prive et, plus prcisment, la protection des donnes personnelles, sexpliquerait ainsi par la crainte de voir des institutions, publiques ou prives, ou mme des individus, utiliser des informations relatives notre vie prive pour porter atteinte nos liberts et notre capacit dauto-dtermination : la crainte de voir lhomme semparer totalement de lhomme est devenue le cur de toutes les angoisses 3.

Ce qui ne signifie pas que ces pays, patries du libralisme politique, ne fassent pas preuve dune vigilance extrme lgard de toute mesure susceptible daccrotre les capacits dintervention des pouvoirs publics dans la sphre prive des individus. Pour une prsentation dtaille de la conception amricaine de la protection des donnes, voir infra. 2 Yves Poullet, Jean-Franois Henrotte, La protection des donnes ( caractre personnel) l'heure de l'Internet, in Protection du consommateur, pratiques commerciales et T.I.C., collection Commission Universit-Palais, volume 109, pp. 197-245. 3 M. Contamine-Raynaud, Le secret de la vie prive, ouvrage collectif, Linformation en droit priv, LGDJ 1978, page 454, n 36.

- 13 -

2. Une protection juridique reconnue au niveau national et international a) Le respect de la vie prive, une composante des droits de lhomme Au lendemain de la Libration et de la prise de conscience des menaces quont fait peser sur les droits des individus les atteintes leur intimit, la protection de la vie prive a fait lobjet dune reconnaissance internationale : Ainsi, larticle 12 de la Dclaration universelle des droits de lhomme du 10 dcembre 1948 dispose que nul ne sera lobjet dimmixtions arbitraires dans sa vie prive, sa famille, son domicile ou sa correspondance, ni datteintes son honneur et sa rputation. Toute personne a droit la protection de la loi contre de telles immixtions ou de telles atteintes . Une rdaction similaire a t reprise lors de llaboration de larticle 17.1 du Pacte international relatif aux droits civils et politiques du 16 novembre 1966, qui est entr en vigueur le 23 mars 1976. Larticle 8 de la Convention europenne de sauvegarde des droits de lhomme et des liberts fondamentales, adopte le 4 novembre 1950, stipule quant lui que toute personne a droit au respect de sa vie prive et familiale, de son domicile et de sa correspondance. Il ne peut y avoir ingrence dune autorit publique dans lexercice de ce droit que pour autant que cette ingrence est prvue par la loi et quelle constitue une mesure qui, dans une socit dmocratique, est ncessaire la scurit nationale, la sret publique, au bien-tre conomique du pays, la dfense de lordre et la prvention des infractions pnales, la protection de la sant ou de la morale, ou la protection des droits et liberts dautrui . La notion de respect de la vie prive apparat alors comme la source dune double obligation pour les Etats : non seulement celle de ne pas simmiscer de faon arbitraire dans la sphre prive des individus, mais galement celle de mettre en uvre lensemble des mesures propres prvenir les atteintes la vie prive des individus par des acteurs privs. La Cour europenne des droits de lhomme a ainsi considr, dans une affaire Marckx c. Belgique date du 13 juin 1979, qu linverse des particuliers auxquels incombe la seule interdiction de simmiscer dans la vie prive dautrui, la reconnaissance du droit au respect de la vie prive imposait aux Etats ddicter un ensemble de dispositions lgislatives permettant den assurer la protection. De la protection de la vie prive a dcoul la reconnaissance au niveau international dun droit la protection des donnes personnelles : ainsi la Convention pour la protection des personnes lgard du traitement automatis des donnes caractre personnel du 28 janvier 1981 (dite convention 108 ), adopte dans le cadre du Conseil de lEurope et

- 14 -

entre en vigueur le 1er octobre 1985, garantit-elle spcifiquement toute personne physique [] le respect [] de son droit la vie prive lgard du traitement automatis des donnes caractre personnel la concernant . b) En France : une protection ancienne, une reconnaissance rcente En France, paradoxalement, alors que le principe de respect de la vie prive irrigue notre droit depuis le XIXme sicle1, il a fallu attendre 1970 pour que cette notion soit inscrite expressment dans notre lgislation. Auparavant, on considrait que la protection de la vie prive dcoulait implicitement du principe constitutionnel plus large de libert individuelle : cest dailleurs ce qua expressment reconnu le Conseil constitutionnel dans sa dcision 99-416 DC du 23 juillet 1999, en affirmant dans son considrant 45 sur la carte vitale que la libert proclame par (larticle 2 de la Dclaration des droits de lhomme et du citoyen2) implique le respect de la vie prive3 . La loi n 70-643 du 17 juillet 1970 tendant renforcer la garantie des droits individuels des citoyens a nanmoins insr dans le Code civil un article 9 qui dispose que chacun a droit au respect de sa vie prive , la notion de respect recouvrant tout la fois celle dintimit (la lgitimit de lexistence dune sphre rserve, qui chappe toute immixtion extrieure) et celle dautonomie ( le droit pour une personne dtre libre de mener sa propre existence comme elle lentend avec un minimum dingrences de lextrieur : Conclusions Cabanes prises dans CA Paris, 7me chambre, 15 mai 1970) : le droit au respect de la vie prive sapparente ainsi un droit la tranquillit4. Notion fondamentale de notre droit, elle nen demeure pas moins une notion aux contours imprcis. Comme le relevait notre excellent collgue Robert Badinter en 1968, sagissant de la vie prive, [] plutt que de dfinir le contenu, les juristes franais se sont plus volontiers attachs dpeindre le contenant. Depuis Royer-Collard, le clbre mur de la vie prive se dcoupe bien nettement sur lhorizon juridique, mais quant au domaine quil enclot, ses dimensions savrent singulirement variables 5. Ainsi, titre dillustration, le juge a considr quun bailleur qui communique lemployeur dun individu le montant des loyers impays
Par exemple, en juin 1858, le Tribunal civil de la Seine affirmait : nul ne peut sans le consentement formel de la famille reproduire et livrer la publicit les traits dune personne sur son lit de mort, quelle quait t la clbrit de cette personne . 2 Le but de toute association politique est la conservation des droits naturels et imprescriptibles de lhomme. Ces droits sont la libert, la proprit, la sret, et la rsistance l'oppression. 3 Dans sa dcision n 94-352 DC du 18 janvier 1995, le Conseil constitutionnel avait dj considr que la mconnaissance du droit au respect de la vie prive peut tre de nature porter atteinte la libert individuelle . Dans sa dcision plus rcente n 2008-562 DC du 21 fvrier 2008, il a affirm que la libert daller et venir et le respect de la vie prive, protgs par les articles 2 et 4 de la Dclaration de 1789 , faisaient partie des liberts constitutionnellement garanties. 4 Voir notamment J. Carbonnier, Droit civil, vol. 1, PUF, 2004, p. 518. 5 R. Badinter, Le droit au respect de la vie prive, JCP G 1968, I, 2136.
1

- 15 -

portait atteinte la vie prive de ce dernier1 ; constitue galement une violation de la vie prive la description des poubelles dune personne permettant de connatre des dtails relevant de sa vie intime (prise de mdicaments, choix de ses menus, informations sur ses sous-vtements, etc.)2 ; dans un arrt dat du 2 octobre 2001, la Chambre sociale de la Cour de cassation a par ailleurs considr que le salari a droit, mme au temps et au lieu de travail, au respect de lintimit de sa vie prive ; celle-ci implique en particulier le secret des correspondances ; le juge estime galement que lautorisation administrative permettant aux ralisateurs dun reportage tlvis de pntrer dans un tablissement pnitentiaire ne les dispense pas dobtenir du dtenu quils filment le consentement quil a seul le pouvoir de donner 3 ; etc. Sagissant de la notion de vie prive, la jurisprudence est donc appele jouer un rle essentiel, notamment lorsquil sagit de concilier cette notion avec dautres principes fondamentaux tels que le droit la libert de linformation. Dans ce cas, le juge considre quen cas dinvocation concomitante du droit au respect de la vie prive et du droit la libert dexpression, ces deux notions revtant, eu gard aux articles 8 et 10 de la Convention europenne des droits de lhomme et de larticle 9 du Code civil, une identique valeur normative, il lui appartient de rechercher un quilibre, et, le cas chant, de privilgier la solution la plus protectrice de lintrt le plus lgitime4. De son cot, le Conseil constitutionnel sest rgulirement fond sur ce droit au respect de la vie prive pour examiner la constitutionnalit de dispositions lgislatives tendant la cration de fichiers : titre dexemple, lencadrement lgislatif des fichiers de police judiciaire STIC et JUDEX5 ou encore la cration du dossier mdical personnel6, ont t examines sous langle du respect de la vie prive et de la proportionnalit de la mesure au regard des objectifs poursuivis par la loi. c) Le droit la protection des donnes dans lUnion europenne : dune dclinaison du droit au respect de la vie prive la reconnaissance dun droit autonome Par un arrt E. Stauder c. Ville dUlm dat du 12 novembre 1969, la Cour de justice des communauts europennes a reconnu le droit au respect de la vie prive comme un principe gnral du droit communautaire (car fond sur la tradition constitutionnelle commune aux Etats de la Communaut conomique europenne) dont elle assure le respect.

1 2

Cour de cassation, premire chambre civile, 12 octobre 1976. CA Paris, 30 mars 1995. 3 TGI Paris, 13 avril 1988. 4 Cour de cassation, premire chambre civile, 9 juillet 2003. 5 Dcision n 2003-467 du 13 mars 2003 relative la loi pour la scurit intrieure. 6 Dcision n 2004-504 du 12 aot 2004 sur la loi relative lassurance maladie.

- 16 -

La plupart des Etats-membres de lUnion europenne ont en effet inscrit le droit au respect de la vie prive dans leur Constitution. Cest notamment le cas de lEspagne, dont la Constitution du 29 dcembre 1978 dispose dans son article 18 que le droit lhonneur, lintimit personnelle et familiale et sa propre image est garanti. [] La loi limitera lusage de linformatique pour garantir lhonneur et lintimit personnelle et familiale des citoyens et le plein exercice de leurs droits . Le droit la protection des donnes est ainsi apparu, dans un premier temps, comme une dclinaison du droit au respect de la vie prive. Cest ce qui ressort galement de la lecture du considrant n 10 de la directive 95/46/CE du 24 octobre 1995, qui rappelle que lobjet des lgislations nationales relatives au traitement des donnes caractre personnel est dassurer le respect des droits et liberts fondamentaux, notamment du droit la vie prive reconnu galement dans larticle 8 de la Convention europenne de sauvegarde des droits de lhomme et des liberts fondamentales et dans les principes gnraux du droit communautaire . Dans un second temps, on a assist une autonomisation du droit la protection des donnes personnelles. Ainsi, la Charte europenne des droits fondamentaux du 7 dcembre 2000, susceptible dacqurir force juridique contraignante ds lentre en vigueur du Trait de Lisbonne, reconnat, ct du droit au respect de la vie prive et familiale, garanti par son article 71, un droit la protection des donnes caractre personnel, qui fait lobjet de son article 8 : 1. Toute personne a droit la protection des donnes caractre personnel la concernant. 2. Ces donnes doivent tre traites loyalement, des fins dtermines et sur la base du consentement de la personne concerne ou en vertu dun autre fondement lgitime prvu par la loi. Toute personne a le droit daccder aux donnes collectes la concernant et den obtenir la rectification. 3. Le respect de ces rgles est soumis au contrle dune autorit indpendante. . Paralllement, treize Etats-membres ont expressment reconnu le droit la protection des donnes personnelles comme principe valeur constitutionnelle. Tel est notamment le cas de la Grce, dont la Constitution dispose dans son article 9 A que chaque individu a le droit dtre protg contre la collecte, le traitement et lutilisation, en particulier par voie lectronique, de ses donnes personnelles, selon des conditions prvues par la loi. La protection des donnes personnelles est assure par une autorit indpendante, qui est constitue et fonctionne selon des conditions prvues par la loi 2. En Espagne, larrt 292-2000 de la Cour constitutionnelle, sinspirant des travaux prparatoires de la Charte europenne des droits

Toute personne a droit au respect de sa vie prive et familiale, de son domicile et de ses communications . 2 Voir ce sujet lintervention de M. Alex Trk, prsident de la CNIL, le 25 mai 2008, devant les membres du comit prsid par Mme Simone Veil.

- 17 -

fondamentaux, a galement reconnu explicitement le droit fondamental la protection des donnes caractre personnel comme un droit autonome.
B. UNE VALEUR FONDAMENTALE QUI FAIT AUJOURDHUI LOBJET DUNE TRIPLE REMISE EN CAUSE

Bien que reconnue et protge au plus haut niveau de leur ordre juridique par lensemble des Etats europens, la notion de vie prive fait aujourdhui lobjet dune triple remise en cause, sous leffet conjugu des enjeux de scurit de laprs-11 septembre, du confort apport par des nouvelles technologies par ailleurs intrusives, ainsi que dune tendance sociologique profonde au narcissisme et lexposition de soi . 1. Une demande accrue de scurit La rvolution numrique, le dveloppement de nouvelles applications et lmergence dInternet ont dmultipli les sources de donnes caractre personnel tant en nombre que dans leur nature. Les capacits de stockage des donnes sont dsormais illimites et chaque individu est devenu un producteur de donnes. De plus en plus de gestes de la vie quotidienne laissent dsormais une trace numrique. Parfois, cette trace ne subsistera que quelques instants. Mais souvent, elle persistera. Les volutions en cours renforcent incontestablement la capacit des acteurs privs constituer des bases de donnes trs prcises sur les habitudes de consommation ou de dplacement des individus, ainsi que sur leurs penses. Nanmoins, il convient de ne pas perdre de vue que le seul acteur capable de rassembler toutes ces donnes demeure lEtat, lequel poursuit des finalits beaucoup plus complexes. La tentation pour lEtat est dautant plus grande que depuis une dcennie, la demande de scurit dans la socit a relev le seuil de tolrance vis--vis des systmes de surveillance et de contrle. a) Un nouvel quilibre entre scurit et libert Depuis ladoption de la loi du 6 janvier 1978 conscutivement au scandale du projet SAFARI, un climat de consentement social en faveur de plus de scurit sest install. Cette tendance nest pas propre aux problmes de dlinquance. De manire gnrale, la tolrance face aux risques de tous ordres a recul. Cette primaut de la scurit sest traduite notamment par des arbitrages en dfaveur du droit la vie prive. Les nouvelles technologies sont perues comme de nouvelles possibilits de lutte contre linscurit et de nombreuses personnes ne voient pas dinconvnient majeur tre traces ou surveilles ds lors qu elles nont rien se reprocher, ni cacher .

- 18 -

Le dplacement du point dquilibre entre scurit et libert explique des glissements smantiques. Certains parlent dsormais de vidoprotection et non de vidosurveillance. Les attentats du 11 septembre 2001 ont acclr cette volution de fond, mais ils nen sont pas la cause. En revanche, ils ont lgitim des dispositifs de scurit prventifs. La nature mme du terrorisme oblige laborer des stratgies de prvention de ces actes. Cette volution de la menace implique une dtection prcoce afin dvaluer la dangerosit dun individu et de le placer sous une surveillance troite avant le passage lacte. Outre le besoin de scurit, dautres arguments sont souvent avancs pour justifier le renforcement des moyens de surveillance et de contrle, en particulier : - le respect des obligations internationales, par exemple en matire de passeport biomtrique ; - lefficacit et la rationalisation des procdures. Pour les reprsentants de lassociation IRIS, ce second argument est aussi puissant que le besoin de scurit. Mme Meryem Marzouki, prsidente, a soulign la puissance de la logique managriale proccupe de fluidifier des flux et de simplifier des procdures. Lexemple des aroports internationaux est trs clairant. Vos rapporteurs ont pu constater, lors de leur dplacement laroport de Roissy-Charles de Gaulle, que ces lieux concentraient dsormais de multiples technologies de surveillance dans un double souci de scurit et de simplification des contrles. Le recours bientt massif la biomtrie (passeports et visas biomtriques tendent se gnraliser) permet de concilier ces deux objectifs, sans que lon sache toujours lequel prvaut. Cette logique de rationalisation peut expliquer la tendance tendre la lutte contre la criminalit des dispositifs initialement conus pour la lutte contre le terrorisme. Ces dispositifs sont trs onreux et il est rationnel de souhaiter rentabiliser linvestissement. Ainsi, la collecte systmatique des donnes PNR (pour Passenger Name Record ) par les Etats-Unis partir de 2004 fut justifie par la lutte contre le terrorisme. Mais laccord conclu entre les Etats-Unis et lUnion europenne le 19 octobre 2006 pour encadrer le transfert des donnes dtenues par les compagnies ariennes europennes vers les Etats-Unis autorise leur utilisation pour dautres finalits, en particulier la lutte contre la criminalit organise. LUnion europenne semble prendre la mme voie puisque la Commission europenne a prsent le 21 novembre 2007 une proposition de dcision-cadre relative lutilisation des donnes PNR. Cette proposition

- 19 -

permettrait lutilisation de ces donnes pour de trs nombreuses finalits, mme si lobjectif mis en avant demeure la lutte contre le terrorisme1. Le consentement en faveur de plus de surveillance peut aussi sexpliquer par le caractre souvent indolore et invisible des procds utiliss. Installer une camra dans chaque lieu public ne produit pas la mme impression que daffecter un policier chaque coin de rue. Enfin, ce climat de consentement social produit un effet cliquet trs important. Si parfois les mesures annonces sont prsentes comme des mesures dexception prises titre provisoire et soumises valuation rgulire, en pratique les retours en arrire sont inexistants. La menace terroriste cre une pression qui interdit de prendre le risque de baisser la garde. b) Des donnes potentiellement la disposition de lEtat La croissance exponentielle des informations sur le web ainsi que des donnes caractre personnel conserves sur tout support accrot dans les mmes proportions les sources dinformation que ltat peut utiliser pour assurer deux missions : la justice et le renseignement. Sagissant de lautorit judiciaire, celle-ci a toujours la facult de requrir lensemble des donnes dont elle estime avoir besoin pour lenqute ou linstruction. Sur le principe, rien ne change. En pratique, cette explosion des donnes et des traces numriques laisses par chacun de nous dans lespace physique ou virtuel met la disposition de la justice une mine dinformations qui nexistait pas auparavant. Le tlphone portable, la vidosurveillance, les cartes bancaires ou le tlpage sur autoroute, dans les transports en commun ou pour accder des lieux collectifs tels que cantine ou bibliothque vont situer un individu dans lespace. Les appels et courriels mis ou reus, votre profil Facebook ou les donnes PNR renseigneront sur vos relations. Les requtes auprs dun moteur de recherche formules sur votre ordinateur claireront sur vos centres dintrt au cours des derniers mois. Vos rapporteurs ne contestent pas que le juge puisse accder ces donnes dans le cadre dune procdure judiciaire. Sa lgitimit est certaine. Mais, il est troublant de concevoir, au rythme o nos traces numriques se dveloppent, la possibilit thorique de reconstituer chaque instant dune existence. A ct de la justice, les activits de renseignement sont les seconds bnficiaires de ces donnes. De nombreux Etats se sont dots de moyens de surveillance des rseaux et des tlcommunications.
La commission des lois du Snat a adopt une proposition de rsolution n 402 (2008-2009) relative cette proposition de dcision-cadre. Pour plus de dtails, voir le rapport n 401 (2008-2009) de votre co-rapporteur Yves Dtraigne au nom de la commission des lois (http://www.senat.fr/rap/l08-401/l08-4011.pdf). Cette proposition de rsolution deviendra rsolution du Snat.
1

- 20 -

Les Etats-Unis, en association avec dautres Etats, ont mis en uvre le programme Echelon dcoute des tlcommunications sur lensemble de la plante. La France possde galement des capacits dcoute, mais dune moindre ampleur. Ces mthodes, qui drogent naturellement au principe du secret des correspondances et portent atteinte la vie prive, nont pas suscit de ractions dampleur. Peut-tre est-ce parce que chacun de ces Etats prend soin de ne pas surveiller ses propres citoyens. A ct de lexploitation de ces sources fermes, les services de renseignement ainsi que les services de police exploitent de plus en plus les sources ouvertes, en particulier sur Internet. Les rseaux sociaux permettent parfois den apprendre plus sur un individu, les personnes avec lesquelles il est en contact, son environnement que les fichiers de police. Un autre exemple est le lancement en avril 2007 dun appel doffres par le ministre de la Dfense pour se doter dun outil capable de surveiller des fins militaires tous les rseaux ouverts. Ce projet sintitule Herisson pour Habile extraction du renseignement dintrt stratgique partir de sources ouvertes numrises . c) La collecte de donnes spcifiques titre prventif Certaines donnes ne sont pas conserves trs longtemps par les acteurs qui les possdent. En effet, le principe de proportionnalit impose des dures de conservation adquates en fonction notamment de la finalit. De nombreuses donnes sont conserves uniquement des fins commerciales ou techniques et peuvent rapidement ne plus tre utiles loprateur qui les a gnres ou conserves. Toutefois, ces donnes peuvent prsenter un intrt particulier pour la police ou la justice. Le risque est quelles aient t effaces. Telle est la raison pour laquelle sont apparues depuis quelques annes des obligations lgales particulires de conservation de donnes collectes par des acteurs privs des fins commerciales ou de services, afin que ces donnes puissent aussi servir des fins de prvention et de rpression dinfractions. Ces dispositifs font songer des filets drivants capturant de nombreuses donnes relatives des citoyens ordinaires afin, dune part, de dtecter des activits terroristes ou criminelles et, dautre part, de pouvoir rveiller ces donnes en cas de besoin. Cette dmarche est distincte de celle des fichiers de police traditionnels qui ont pour objet daccumuler des donnes sur des personnes dj connues des services.

- 21 -

Le principal reproche fait ces collectes indiffrencies de donnes est de considrer chaque utilisateur comme un suspect a priori. Ses donnes personnelles sont conserves au cas o elles se rvleraient intressantes ultrieurement. Deux grands ensembles de donnes juges stratgiques sont ainsi soumis une obligation de conservation ou de transmission spciale : - les donnes techniques de connexion conserves par les oprateurs de communications lectroniques1 (oprateurs de tlphonie fixe et mobile et fournisseurs daccs Internet) et les hbergeurs de site Internet (voir infra) ; - les donnes PNR dtenues par les compagnies ariennes et les agences de voyage2. On observera ce propos que si des divergences importantes subsistent entre Europens et Amricains sur les modalits de lutilisation des donnes PNR (nombre de donnes collectes, dure de conservation, finalits poursuivies), il y a dsormais une convergence sur lopportunit dutiliser ces donnes aux fins de lutter contre le terrorisme et la criminalit organise. Dans un ordre dide similaire, le motif parfois avanc en faveur de linstallation dun systme de vidosurveillance est de conserver des images permettant, en cas dinfractions, de pouvoir connatre a posteriori les circonstances dans lesquelles elles ont t commises. Enfin, rappelons que la loi du 23 janvier 2006 relative la lutte contre le terrorisme a prennis et tendu la possibilit de mettre en place des dispositifs de contrle des donnes signaltiques des vhicules et de leurs passagers. En tous points du territoire national, notamment les zones frontalires, portuaires et aroportuaires et les grands axes de transit, peuvent tre installs des dispositifs fixes ou mobiles de contrle automatis des plaques minralogiques. Ce traitement de donnes est interconnect avec le fichier des vhicules vols et le systme dinformation Schengen. Les finalits sont la lutte contre le terrorisme, les infractions criminelles et le vol de vhicules. La CNIL avait mis de fortes rserves lpoque, estimant que ce dispositif conduirait pouvoir soumettre une surveillance automatique lensemble des dplacements des personnes en France utilisant le rseau routier, ce qui serait de nature porter atteinte au principe fondamental de la libert daller et venir . Elle ajoutait que la collecte systmatique de la photographie des passagers pourrait conduire linstauration dun contrle didentit linsu des personnes.

Loi du 15 novembre 2001 relative la scurit quotidienne, complte par la loi du 23 janvier 2006 relative la lutte contre le terrorisme. Voir le rapport n 117 (2005-2006) de notre collgue Jean-Patrick Courtois au nom de la commission des lois. 2 Voir le rapport n 401 (2008-2009) prcit de votre co-rapporteur Yves Dtraigne au nom de la commission des lois.

- 22 -

d) Des fichiers de police de plus en plus nombreux Au mme titre que les entreprises, lEtat a fait des donnes caractre personnel la matire premire partir de laquelle il personnalise ses services et amliore sa performance. Cette logique nest pas propre aux questions de scurit. Lensemble des services de lEtat est concern. Ainsi, le pr-remplissage des dclarations de revenu est un service trs apprci des contribuables. Mais il suppose un croisement et une exploitation beaucoup plus intenses des donnes transmises par les organismes sociaux et les tablissements bancaires. Cette logique sexprime pleinement propos des fichiers de police. Plus nombreux 58 recenss par le rapport dinformation de la commission des lois de lAssemble nationale sur les fichiers de police1, ils intgrent aussi de nouvelles donnes comme les donnes biomtriques et recensent un nombre croissant dindividus. Le STIC (systme de traitements des infractions constates)2 recensait en dcembre 2008 36,5 millions de procdures, 37,9 millions dinfractions, 5,5 millions dindividus et 28,3 millions de victimes. En 2001, moins de quatre millions de personnes y figuraient. Il en va de mme pour les fichiers didentification judiciaire comme le FAED (Fichier automatis des empreintes digitales) et le FNAEG (Fichier national des empreintes gntiques). Le premier compte 3 millions de personnes enregistres3 en 2009 contre un million en 1998. Le second, cr seulement en 1998 mais dont le champ a t considrablement largi par la loi n 2003-239 du 18 mars 2003 pour la scurit intrieure, comportait un peu plus de 800.000 individus fin 2008 contre moins de 3.000 en 2002. Cette monte en puissance a fait des fichiers de police un outil de travail quotidien et indispensable pour lensemble des forces de scurit. Une autre tendance est linterconnexion, notamment entre les donnes de masse collectes titre prventif (donnes PNR, plaques minralogiques des vhicules) et des fichiers vocation judiciaire comme le fichier des personnes recherches (FPR) ou le fichier des vhicules vols (FVV).

Rapport dinformation n 1548-XIIIe lgislature de Mme Delphine Batho et M. Jacques Alain Benisti, dputs. 2 Ce fichier rpertorie des informations provenant des comptes rendus denqutes effectues aprs louverture dune procdure pnale. Il recense la fois les personnes mises en cause dans ces procdures et les victimes des infractions concernes. Il facilite la constatation des infractions la loi pnale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs. Il permet galement dlaborer des statistiques. Ce fichier est gr par la police nationale. La gendarmerie nationale possde son pendant appel JUDEX. 3 Ainsi que 171.000 traces non identifies.

- 23 -

Vos rapporteurs attirent aussi lattention, la suite de la CNIL et du rapport dinformation prcit sur les fichiers de police, sur les risques de drive en cas dusage des fichiers de police dautres fins, comme la ralisation denqutes administratives. La loi du 15 novembre 2001 relative la scurit quotidienne a explicitement prvu la possibilit dune consultation des fichiers STIC et JUDEX dans le cadre de certaines enqutes administratives. Les informations contenues dans ces fichiers peuvent donc avoir un impact direct sur la vie quotidienne des personnes fiches. Un emploi pourra ainsi leur tre refus. Selon la CNIL, la consultation du STIC des fins denqute administrative est susceptible de concerner aujourdhui plus dun million demplois, en particulier dans le secteur de la scurit prive. Lexactitude et la mise jour des donnes enregistres doivent tre irrprochables. Or, les contrles de la CNIL montrent de graves insuffisances. Ainsi, le taux des donnes non effaces la suite dun classements sans suite pour insuffisance de charges ou infraction insuffisamment caractrise tait, pour les 34 tribunaux de grande instance interrogs, de 6,96 % en 2005, 5,89 % en 2006 et 21,5 % en 2007, soit plus dun million daffaires non mises jour en 3 ans. Enfin, la coopration policire europenne et internationale tend de plus en plus permettre linterrogation rciproque des fichiers de police nationaux, notamment dans le cadre du trait de Prm1. e) Un sous-encadrement de lEtat ? Lors de son audition, matre Alain Bensoussan, avocat, a oppos une phase de sur-rgulation de lEtat entre 1978 et 2004, une phase actuelle de sous-encadrement. La CNIL serait accapare par le contrle du secteur priv et lEtat sautorgulerait. Ce retournement, alors que la loi informatique et liberts fut vote en raction au projet SAFARI dinterconnexion des fichiers de lEtat et de la scurit sociale, serait en particulier la consquence de la loi du 6 aot 2004 qui a modifi les rgles relatives la cration de traitements de donnes par lEtat. Cette analyse est partage par lassociation IRIS et la Ligue des droits de lhomme pour lesquelles la suppression de lavis conforme de la CNIL pour la cration de fichiers de police est une rgression fondamentale. Quen est-il exactement ? Il est vrai que les traitements de donnes intressant la scurit, la sret de lEtat et la rpression des infractions pnales sont hors du champ de la directive europenne du 24 octobre 1995 Protection des donnes
1

Le trait de Prm, sign en mai 2005 et intgr depuis 2008 au droit de lUnion europenne, permet aux tats membres dchanger des donnes telles que les empreintes gntiques et digitales, ou encore les immatriculations des vhicules.

- 24 -

personnelles . Elle ne sapplique quaux traitements de donnes relevant du premier pilier de lUnion europenne. Le seul texte de lUnion europenne en la matire est la dcision-cadre 2008/977/JAI du 27 novembre 2008 relative la protection des donnes caractre personnel traites dans le cadre de la coopration policire et judiciaire en matire pnale. Il ne porte toutefois que sur les donnes caractre personnel qui sont ou ont t transmises ou mises disposition entre les Etats membres ou entre des systmes dinformations europens et des Etats membres . Sont en outre exclus de son champ les intrts essentiels en matire de scurit nationale et des activits de renseignement spcifiques dans le domaine de la scurit nationale . Au niveau europen, le seul texte contraignant doit tre recherch du ct du Conseil de lEurope. Outre la Convention europenne des droits de lhomme et la Convention STE 108 du Conseil de lEurope du 28 janvier 1981 pour la protection des personnes lgard des donnes caractre personnel, la Recommandation R.(87) 15 du Comit des ministres du Conseil de lEurope1 fait partie intgrante des rgles encadrant lexploitation des fichiers de police que la France sest engage respecter. Les grands principes de la protection des donnes sont pour lessentiel applicables. La Cour europenne des droits de lhomme a prononc plusieurs arrts fixant un cadre pour les fichiers de police. Ainsi, dans un arrt Amman contre Suisse du 16 fvrier 2000, elle a rappel que les dispositions devaient tre suffisamment claires et dtailles pour assurer une protection adquate contre les ingrences des autorits dans le droit du citoyen sa vie prive. Plus rcemment, dans un arrt S. et Marper contre Royaume-Uni du 4 dcembre 2008, la Cour a condamn le Royaume-Uni propos de son fichier dempreintes gntiques. Elle a considr que le caractre gnral et indiffrenci du pouvoir de conservation des empreintes digitales, chantillons biologiques et profils ADN des personnes souponnes davoir commis des infractions mais non condamnes, tel quil a t appliqu aux requrants en lespce, ne traduit pas un juste quilibre entre les intrts publics et privs concurrents en jeu, et que lEtat dfendeur a outrepass toute marge dapprciation acceptable en la matire. Ds lors, la conservation litigieuse sanalyse en une atteinte disproportionne au droit des requrants au respect de leur vie prive et ne peut passer pour ncessaire dans une socit dmocratique 2. Cet arrt rendu lunanimit de la Grande chambre condamne la conservation illimite des donnes de toute personne implique dans une procdure judiciaire, quel que soit ensuite lissue de cette procdure. Prcisons que les requrants taient mineurs lpoque des faits.
1

Recommandation du 17 septembre 1987 concernant lutilisation des donnes caractre personne dans le secteur de la police. Elle a t complte par un protocole additionnel du 8 novembre 2001. 2 Considrant n 125.

- 25 -

On notera galement avec intrt un considrant dordre plus gnral : La protection offerte par larticle 8 de la Convention (droit au respect de sa vie prive) serait affaiblie de manire inacceptable si lusage des techniques scientifiques modernes dans le systme de la justice pnale tait autoris nimporte quel prix et sans une mise en balance attentive des avantages pouvant rsulter dun large recours ces techniques, dune part, et des intrts essentiels sattachant la protection de la vie prive, dautre part . A ct de ce corpus lger, mais clair dans ces principes, de rgles europennes, notre lgislation nationale apparat plus toffe. Rappelons que la loi Informatique et liberts a ds lorigine eu pour objet principal les fichiers de lEtat, et en particulier les fichiers de police. La loi du 6 aot 2004 qui a transpos la directive europenne du 24 octobre 1995 na pas retranch de la loi du 6 janvier 1978 les dispositions relatives aux fichiers intressant la scurit, la sret de lEtat ou la rpression des infractions pnales. Do provient donc ce sentiment que depuis 2004, lEtat se serait affranchi partiellement des grands principes rgissant la protection des donnes ? La principale explication tient la modification de la nature de lavis de la CNIL rendu sur les dcisions de cration dun fichier de police. Avant 2004, lavis de la CNIL tait un avis conforme. Il liait les pouvoirs publics, qui ne pouvaient passer outre que par un dcret pris sur avis conforme du Conseil dEtat. Dsormais, il sagit dun avis simple. Il est toutefois rendu public. Lors de la rvision de la loi du 6 janvier 1978, largument avanc tait que la publicit des avis suffirait dissuader les pouvoirs publics de ne pas suivre les recommandations de la CNIL1. Toutefois, le bilan cet gard est mitig. A plusieurs reprises, le gouvernement est pass outre lavis de la CNIL. Ce fut le cas par exemple propos du projet de passeport biomtrique. La CNIL sopposait la constitution dune base nationale des empreintes digitales. A lappui de la nouvelle rgle, on rappellera que la CNIL navait jamais eu recours ce pouvoir de blocage, alors que dimportants fichiers de police, tels que ceux des renseignements gnraux en 1991 lanctre du fichier EDVIGE finalement retir au profit du futur fichier EDVIRSP ou le STIC en 2001, ont t crs pendant cette priode. On peut aussi supposer quil y avait ngociation pralable pour que le fichier soit conu de telle faon quil ny ait pas de problmes justifiant le veto de la CNIL.
Cette nouvelle disposition figurait dans le projet de loi adopt en Conseil des ministres et dpos lAssemble nationale le 18 juillet 2001.
1

- 26 -

2. Les facilits offertes par les nouvelles technologies Les auditions ont permis de mesurer quel point les facilits apportes par certaines nouvelles technologies pouvait entraner les individus, par ignorance ou par indiffrence, mettre de ct la protection de leur vie prive. Plusieurs exemples peuvent tre mis en avant. a) La golocalisation : un traage par nature Les technologies de golocalisation, qui visent dterminer la localisation prcise d'un individu, connaissent depuis quelques annes un dveloppement trs important et tendent dsormais se banaliser dans le grand public. Leurs applications sont multiples : guidage des vhicules par le systme du GPS1, personnalisation des services offerts des utilisateurs nomades, suivi du dplacement dun vhicule pour adapter le montant dune prime dassurance-automobile la ralit des dplacements, surveillance des dplacements dune personne pour la retrouver immdiatement, etc. Ces technologies, qui apportent un confort certain leurs utilisateurs, ne sont toutefois pas sans risques sur le droit la vie prive. Puisque, par nature, elles visent suivre ou tracer les dplacements des individus, elles sont en effet susceptibles de porter atteinte lune de ses deux composantes, savoir le droit pour une personne mener sa propre existence comme elle lentend avec un minimum dingrences de lextrieur (cf. supra). b) La biomtrie La biomtrie dsigne lensemble des technologies de reconnaissance physique ou biologique des individus. En effet, chaque tre humain se distingue de ses semblables par un ensemble de caractristiques morphologiques et biologiques qui rendent son identification possible. Comme la montr la mission dinformation de la commission des lois consacre la nouvelle gnration de documents didentit et la fraude documentaire2, dont nos collgues Charles Guen et Jean-Ren Lecerf taient respectivement prsident et rapporteur, les technologies biomtriques fonctionnent de faon similaire au cerveau humain, lequel effectue en permanence des oprations de reconnaissance biomtrique, notamment de reconnaissance faciale : lorsque nous croisons un individu, nous mesurons inconsciemment l'cartement des yeux, la taille du nez, la position des oreilles. Ces informations sont compares notre mmoire afin d'y associer un nom.

1 2

Pour Global Positionning System. Rapport du Snat n 439 (2004-2005) consultable sur le site du Snat ladresse suivante : http://www.senat.fr/rap/r04-439/r04-4391.pdf.

- 27 -

Couple des traitements informatiss de plus en plus puissants, la biomtrie peut permettre lidentification dun individu parmi plusieurs millions avec certitude, en se basant sur la morphologie du visage, les empreintes digitales ou palmaires, la forme de la main, la reconnaissance de l'iris, les empreintes gntiques ou encore le dessin du rseau veineux de la main, tant prcis, en outre, que la biomtrie est universelle et immuable, chaque tre humain pouvant tre identifi de la sorte quels que soient sa culture et son ge. Cest pourquoi la biomtrie est de plus en plus souvent utilise pour garantir lauthentification dune personne : en particulier, les Etats privilgient dsormais cette technologie pour limiter le risque de fraude aux titres didentit. A titre dexemple, la suite des attentats du 11 septembre 2001, l'Organisation de l'aviation civile internationale, l'Union europenne et de nombreux Etats, au premier rang desquels les Etats Unis, ont dcid d'insrer dans les passeports des puces lectroniques scurises comportant des donnes biomtriques numrises, notamment la photographie, pour identifier avec certitude leurs dtenteurs. De mme, dans le cadre du projet d'identit nationale lectronique scurise, appel projet INES , le Gouvernement franais envisage d'quiper galement les cartes nationales d'identit de puces lectroniques scurises qui contiendraient des donnes biomtriques numrises (la photographie et les empreintes digitales). Si lon comprend la finalit ultime de ces technologies biomtriques -lutter contre limmigration clandestine, linscurit, le terrorisme1- il nen demeure pas moins que, fondes sur le traitement de donnes minemment sensibles, elles sont porteuses de risques nouveaux au regard du droit la vie prive. c) Les puces RFID ou le sans contact Lidentification par radiofrquence (en anglais Radio Frequency Identification ou RFID) est une technologie qui permet didentifier et de localiser sans contact des objets ou des personnes grce une micropuce (galement dnomme tiquette ou tag) qui dialogue par ondes radio avec un lecteur, sur des distances pouvant aller de quelques centimtres une dizaine de mtres. Cette technologie, en plein essor, est utilise dans un grand nombre dapplications : - dans la distribution, notamment pour assurer la traabilit des produits tout au long de la chane logistique ; - dans les nouveaux titres didentit scuriss, comme les passeports ;
1

Mme si la CNIL souligne que la biomtrie nest pas un systme infaillible.

- 28 -

- dans le domaine des transports, quil sagisse des pages routiers ou des titres de transport, par exemple, le passe Navigo pour la RATP ou la carte Vlib pour le systme de vlos en libre service mis en place Paris ; dans ces deux cas, les cartes doivent tre approches quelques dizaines de centimtres du lecteur pour dclencher lidentification du titulaire et permettre ainsi, si ce dernier est en rgle, laccs la station de mtro ou lemprunt dun vlo. Mais lavenir promet des applications encore plus diversifies. Les puces RFID pourraient ainsi tre utilises pour : - connatre instantanment le contenu dun caddie au supermarch et calculer immdiatement le prix global payer ; - distinguer les contrefaons des produits authentiques ; - assurer la traabilit des produits de sant, tels que les mdicaments ou les poches de sang ; - amliorer la ponctualit des vols en localisant dans larogare les passagers en retard, et ce au moyen de leur carte dembarquement (projet Optag lanc par la commission europenne). A moyen terme, le dveloppement du sans contact devrait accompagner lessor de lInternet des objets. Si les applications futures ne sont pas encore clairement discernables, il faut imaginer que notre environnement sera de plus en plus peupl dobjets communiquant avec le rseau par lenvoi et la rception dinformations et interagissant entre eux. Or, si ces technologies sont sans conteste sources de progrs (gain de temps, lutte contre les atteintes la proprit intellectuelle, plus grande efficience dans la gestion des produits de sant, meilleure fluidit du transport arien, etc.), elles constituent un dfi nouveau au regard du droit la vie prive. En effet, ces puces, qui, dans certains cas, racontent une portion de vie dun individu comportent des donnes personnelles telles que le profil de consommation, des convictions religieuses ou politiques, etc., et il convient dviter que des tiers non autoriss puissent y avoir accs. Aux Etats-Unis, les risques de la technologie RFID pour le respect de la vie prive sont dailleurs dbattus depuis plusieurs annes. La Federal Trade Commission1 a remis plusieurs rapports, et lassociation EPIC2 a transmis en octobre 2008 une srie de mesures tendant renforcer la rglementation encadrant la technologie RFID. Lune dentre elles est de rendre visibles ces puces pour les clients et dalerter ces derniers par un son, une lumire ou un signal lorsque la puce est lue.

Voir notamment son rapport de mars 2005 consultable ladresse suivante : http://www.ftc.gov/os/2005/03/050308rfidrpt.pdf. 2 Electronic Privacy Information Center. Cette association est la principale association de protection des donnes personnelles et des liberts civiles aux Etats-Unis.

- 29 -

En effet, la miniaturisation de ces puces les rend toujours moins dtectables tout en permettant dy stocker des donnes plus nombreuses, voire de les doter de senseurs et de capacits de calcul. Vos rapporteurs ont dailleurs pu constater, en se rendant au Minatec de Grenoble, que cette miniaturisation tait aujourdhui pousse lextrme dans le cadre de la nanotechnologie, technologie fonde sur ltude, la fabrication et la manipulation de structures, de dispositifs et de systmes matriels l'chelle du nanomtre, c'est--dire du millionime de mtre (ou du millime de millimtre). d) Les panneaux publicitaires communicants Depuis un peu plus dun an se dveloppe une publicit dun nouveau genre sur la voie publique. Comme lexplique le rapport dactivit de la CNIL pour 2008, la publicit sur les tlphones mobiles par la technologie sans fil Bluetooth permet denvoyer des messages publicitaires sur les tlphones portables partir de panneaux publicitaires intgrant des bornes utilisant cette technologie. En pratique, ds quune personne sapproche de ce type daffiche, elle reoit un message linvitant accepter la rception dune publicit sur son tlphone, ds lors que la fonctionnalit Bluetooth de celui-ci est active. Dans un registre proche, la socit Majority Report1, dont les dirigeants ont t entendus par vos rapporteurs, dveloppe aussi des panneaux publicitaires auxquels est intgr un module de mesure daudience. Ce module se compose en particulier de deux camras. Les images ainsi captes ne sont ni enregistres, ni transmises des tiers, ni mme visibles par les diffrents prestataires. Un algorithme permet disoler au sein de ces images les visages et de mesurer la dure du regard. e) Lapparition doutils de profilage statistique Des offres de techniques automatises de comptage, de reprage et de profilage des consommateurs destination des acteurs de la grande distribution commencent apparatre. Le fonctionnement est le suivant : un systme complet de camras est implant dans lensemble de lespace du point de vente ; ces camras captent le visage des consommateurs et le convertissent, partir dun algorithme simple, en une srie de chiffres ; le code ainsi cr est ensuite utilis par la base de donnes pour retracer les dplacements du consommateur au sein du supermarch et tablir ainsi des profils-types de comportements dachats. Les concepteurs de ces solutions insistent bien sur le fait quun tel systme a une finalit exclusivement

Le nom de cette socit fait cho la nouvelle de Philip K. Dick, Minority Report, porte lcran en 2002 par S. Spielberg et dans laquelle sont voques la fois la prvention du crime par la dtection prcoce et la neutralisation des futurs auteurs de crimes et la reconnaissance individuelle obligatoire des clients entrant dans un magasin par des panneaux qui sadressent eux et leur proposent des marchandises en lien avec leurs anciens achats.

- 30 -

statistique et commerciale, et quil ne sagit en aucune manire de tracer nommment des individus, dont lidentit nest aucun moment collecte. Vos rapporteurs sont tout fait conscients de lintrt, sur le plan conomique, du dveloppement de ce type de systme. Il apparat nanmoins quil fonctionne en rgle gnrale sur le principe un code = un visage , et quil conserve en mmoire lensemble des dplacements et achats effectus par un code pendant lensemble de la dure de ltude, laquelle peut atteindre plusieurs mois. Ds lors, il suffirait qu un moment donn, on puisse relier lun de ces codes une personne relle pour tre en mesure de retracer lensemble de ses dplacements et achats au cours de plusieurs mois au sein de ce supermarch. Dans ces conditions, vos rapporteurs soulignent que de telles techniques peuvent tre ressenties comme intrusives par un certain nombre de nos concitoyens. f) Le cas particulier de la vidosurveillance Comme le souligne un rcent rapport de la commission des lois du Snat , la vidosurveillance, aprs une phase de dmarrage relativement lente, en raison notamment des craintes de lopinion quant au respect des liberts individuelles et de la vie prive, connat aujourdhui un essor important, en particulier sur la voie publique, qui rpond lmergence dune demande forte de la population, convaincue que ce systme joue un rle dans la prvention des vols, agressions et mouvements de foule. Daprs le rapport prcit, le nombre de camras autorises slevait, selon le ministre de lIntrieur, 396.000 la fin de lanne 2007, rparties approximativement de la faon suivante : - 80 % dans des tablissements privs recevant du public ; - 14 % dans les transports ; - 6 % sur la voie publique. Toutefois, le dveloppement de la vidosurveillance pose les mmes questions que celui, voqu plus haut, de la golocalisation en ce qui concerne sa ncessaire conciliation avec le droit la vie prive : puisque la vidosurveillance a pour fonction de suivre les dplacements des individus, elle est en effet susceptible de mettre mal leur libert daller et venir anonymement et tranquillement. De manire gnrale, les facilits offertes par ces technologies tendent simposer dautant plus tous quil devient trs difficile dy chapper. Lindividu qui saffirmerait comme un objecteur de conscience de ces nouvelles technologies aurait en pratique les plus grandes difficults les fuir. Certains services ne sont dsormais accessibles que par Internet2 et,
1

Rapport dinformation n 131 (2008-2009) de nos collgues Jean-Patrick Courtois et Charles Gautier au nom de la commission des lois du Snat et consultable ladresse suivante : http://www.senat.fr/rap/r08-131/r08-1311.pdf 2 Les inscriptions universitaires par exemple.

- 31 -

dans de nombreux cas, tout est fait pour dcourager le recours aux guichets classiques (offres commerciales moins avantageuses, surcots). 3. Une tendance croissante lexposition de soi : Internet et les rseaux sociaux Internet offre aux institutions des opportunits de traage des individus dans une mesure qui chappe trs largement au contrle, voire parfois la connaissance, de ces derniers. Toutefois, vos rapporteurs ont galement t particulirement sensibles une nouvelle forme de traage susceptible daffecter le droit au respect de la vie prive des individus, apparue rcemment avec le dveloppement des nouvelles formes de sociabilit sur le web sexprimant par le biais de blogs ou de rseaux sociaux (tels que Facebook, MySpace, etc.). Cette nouvelle forme de traage se diffrencie radicalement des risques prcdemment identifis, en ce quelle nat prcisment de lexposition consciente et volontaire, par les individus, de pans entiers de leur vie prive sur Internet. De ce point de vue, elle met en jeu des dynamiques sociales radicalement nouvelles, dont les autorits et lopinion publique commencent tout juste prendre conscience. a) Rseaux sociaux : description du phnomne Les rseaux sociaux sont des services proposs par des socits de lInternet et qui offrent aux individus la possibilit, dune part, de se constituer une page personnelle (un profil ) sur laquelle ces derniers dposent un certain nombre dinformations les concernant et, dautre part, dentrer en communication avec dautres utilisateurs (appels contacts ou amis ) du mme rseau avec lesquels ils peuvent changer des messages ou des fichiers (photos, vidos, etc.). Les rseaux sociaux offrent ainsi de nouvelles opportunits dchanges, de socialisation et de communication entre les personnes, sur un mode largement informel et dcontract qui privilgie la mise en relation dindividus partageant les mmes centres dintrt. On estime par exemple quun utilisateur de Facebook est en moyenne reli 120 amis . Apparus la fin des annes 1990, ces rseaux sociaux ont connu depuis une croissance exponentielle. A titre dexemple, Facebook affirme avoir 8 millions dutilisateurs en France et 150 millions dans le monde. 70 % de ses utilisateurs franais se situent dans la tranche des 18-34 ans, 15 % ont entre 13 et 17 ans. MySpace, de son ct, fait tat de 230.000 utilisateurs dans le monde entier. Le fonctionnement mme des rseaux sociaux encourage leurs utilisateurs dvoiler un grand nombre dinformations sur leur vie prive. On considre ainsi quun profil-type sur Facebook contient en moyenne 40 informations caractre personnel, parmi lesquelles figurent nom, date de naissance, sexe, opinions politiques et religieuses, prfrences

- 32 -

sexuelles, livres et films prfrs, parcours scolaire, universitaire et professionnel, le tout accompagn de photographies, et parfois mme de vidos1. Or, une fois quils ont mis en ligne ces informations, les utilisateurs sont confronts un risque de perte de contrle sur lutilisation de ces donnes : dune part, ces informations peuvent tre vues ou lues par des personnes ne figurant pas parmi les contacts de cet utilisateur ; dautre part, elles peuvent tre rutilises leur insu par dautres membres de ce rseau. b) Les risques lis la visibilit Comme lexplique le sociologue Dominique Cardon, alors que nous concevons la visibilit sur le web sur le modle des medias traditionnels (tout ce qui y est publi est considr comme unanimement et uniformment public, Internet serait un espace transparent dinformations accessibles tous, en tous lieux et tout moment), les utilisateurs des rseaux sociaux tendent considrer Internet comme un espace en clair-obscur, comportant des zones dombre dans lesquelles les internautes pensent pouvoir rester en petits groupes et communiquer librement labri des regards indiscrets. Cette conception du web comme un espace en clair-obscur incite les utilisateurs de rseaux sociaux dvoiler un grand nombre dinformations sur eux-mmes, dans la mesure o ils ont limpression ( tort) que ces informations ne seront lues que par leurs proches. Les utilisateurs de rseaux sociaux livrent ainsi sur Internet des informations concernant leur vie prive de la mme manire quils pourraient tenir voix haute des conversations prives en plein milieu dune foule bruyante : la probabilit quun inconnu entende ce que lon est en train de dire est infime. Pourtant, cette probabilit existe, et, depuis quelques mois, on assiste une multiplication de msaventures rencontres par des utilisateurs de rseaux sociaux, pigs par les informations quils avaient publies sur Internet.
Voici quelques illustrations de msaventures dont ont fait lexprience des utilisateurs de blogs ou de rseaux sociaux au cours de ces dernires annes ou de ces derniers mois : - il y a quelques annes, un tudiant amricain sest vu refuser un stage dans une grande entreprise pour avoir fait figurer fumer des joints parmi ses centres dintrt sur son profil Facebook ; - en septembre 2008, la candidature dune jeune femme est rejete par un employeur potentiel, au motif que son C.V. contenait un lien vers son blog personnel, sur lequel, quelques jours avant lentretien dembauche, la jeune fille avait expliqu quelle se sentait flemmarde ; - il y a quelques semaines, des avocats ont utilis, dans le cadre dune affaire correctionnelle, des informations publies sur Facebook pour discrditer lune des
1

Pour une tude approfondie sur ce sujet, voir Facebook and the Social Dynamics of Privacy , James Grimmelmann, Associate Professor of Law, New York Law School, tude disponible en libre accs sur Internet.

- 33 -

parties au procs, produisant des photographies sans aucun rapport avec laffaire reprsentant cette personne entoure de plants de cannabis ; - trs rcemment encore, une jeune femme, en arrt maladie pour cause de migraines aiges, a t licencie aprs que son employeur eut constat quelle continuait mettre jour son profil Facebook depuis son domicile, ce qui tendait dmontrer, selon lui, quelle tait apte travailler.

Les concepteurs des rseaux sociaux ont pris conscience de ces risques et ont mis en place un systme assez complet de privacy settings , ou paramtres de confidentialit . Le but de ces outils de paramtrage est doffrir aux utilisateurs les moyens de disposer dun contrle effectif sur les donnes personnelles quils mettent en ligne, en leur permettant, pour chaque groupe de contacts, de dfinir avec prcision quelles seront les informations accessibles un large nombre dutilisateurs et quelles seront les informations qui ne seront consultables que par ses amis . Ces options de paramtrage sont dfinies dans les conditions gnrales dutilisation du site. Par exemple, les profils des utilisateurs mineurs de MySpace (13-17 ans) sont par dfaut privs, alors que les profils des adultes sont par dfaut publics, charge pour ces derniers de paramtrer leur profil de faon plus stricte en fonction de leurs souhaits. En dpit de leur caractre attrayant (les internautes auraient le plein contrle de leurs donnes personnelles), ces options de paramtrage prsentent en ralit deux failles majeures : La premire est leur mutabilit : les conditions gnrales dutilisation des rseaux sociaux font priodiquement lobjet de modifications, lesquelles ne sont quimparfaitement notifies leurs utilisateurs. A titre dillustration, les utilisateurs de Friendster ou de Facebook ont ainsi tout dabord bnfici de profils totalement privs, avant quune partie de leurs informations personnelles ne soient rendue publiques par le gestionnaire du rseau social et ainsi accessibles tous via les moteurs de recherche (et ce, faute pour lutilisateur davoir fait la dmarche dactiver une option d opt out ). La seconde est leur ineffectivit : des tudes ralises aux Etats-Unis en 2007 ont montr que moins dun tiers des utilisateurs de Facebook prenaient la peine de prendre connaissance des conditions gnrales dutilisation du site avant de sy inscrire. Ce dsintrt pour la politique de confidentialit mise en uvre par les rseaux sociaux se double dune tendance plus profonde lexposition de soi : selon Dominique Cardon, 69 % des photographies publies sur Flickr sont rendues publiques par celui qui les met en ligne, alors mme que celui-ci a la possibilit de les rserver un espace priv. De mme, 61% des utilisateurs de Facebook et 55 % des membres de Friendster choisissent, en dpit des outils de paramtrage qui leur sont offerts, de se rendre visibles tous.

- 34 -

Ces lments ont conduit vos rapporteurs sinterroger sur les mutations de la notion de vie prive que ces rseaux sociaux rvlent, ainsi que sur les rponses nouvelles que de telles pratiques appellent (voir infra). c) Les risques du fait dautrui Mme lorsquil fait usage de lensemble des outils qui lui sont offerts par les rseaux sociaux pour protger son intimit, lutilisateur nest pas labri datteintes sa vie prive causes par autrui. Tel est notamment le cas lorsque des informations, paramtres au dpart pour ntre visibles qu nos amis , sont rendues accessibles aux amis de nos amis , qui peuvent ntre nos yeux que de vagues connaissances, voire de parfaits trangers. Dans les faits, la mise en uvre de nos dcisions en matire de confidentialit des informations caractre personnel que nous mettons en ligne repose tout autant sur la discrtion ou le respect des autres que sur nos propres choix. A lextrme limite, les risques datteinte la vie prive peuvent concerner des personnes qui ont choisi de ne pas tre membres dun rseau social, puisque, en pratique, rien nempche un individu de publier des informations me concernant sur son profil, sans mon autorisation, voire mme sans mme que jen sois inform. Face ces difficults, les solutions proposes ne sont que partielles. La plus frquemment cite concerne le dtaggage des photographies : lorsquun internaute met en ligne des photographies sur lesquelles figurent un certain nombre de personnes nommment dsignes (et donc facilement traables grce aux moteurs de recherche, pour peu que ces photographies aient t rendues publiques), un individu qui ne souhaiterait pas apparatre ainsi publiquement peut demander Facebook de dtagger la photographie (comprendre : supprimer la rfrence explicite ses nom et prnom). Toutefois, sil peut obtenir la suppression de la mention de son nom, il ne peut obtenir le retrait de la photographie elle-mme, moins dobtenir gain de cause auprs de la personne qui la mise en ligne. Encore faut-il, sil nest pas membre du rseau, que cet individu ait eu connaissance de la publication de ces photographies En outre, comme lont relev les Commissaires la protection des donnes et de la vie prive, runis Strasbourg en octobre 2008, il existe actuellement trs peu de protection contre la copie de toute sorte de donnes personnelles des profils dutilisateurs (par dautres membres du rseau concern, ou par des tiers non autoriss extrieurs au rseau) et de leur utilisation ultrieure pour constituer des profils personnels ou bien mme republier les donnes ailleurs. Il peut tre trs difficile, et parfois mme impossible, de retirer compltement linformation du Web une fois quelle est publie : mme aprs la suppression sur le site dorigine (par exemple le site de rseau social), des copies peuvent tre conserves chez des tiers ou des prestataires de service de rseaux sociaux. Les donnes personnelles des profils peuvent galement dborder du rseau quand elles sont indexes

- 35 -

par des moteurs de recherche. En outre, certains fournisseurs de service de rseaux sociaux donnent accs aux donnes dutilisateurs des tiers par des interfaces de programmation, ces tiers peuvent alors contrler ces donnes. [] Parmi les autres dangers dj identifis figurent les risques dusurpation didentit, favoriss par la large disponibilit des donnes personnelles dans les profils, et le possible piratage de profils par des tiers non autoriss . d) De la vie prive la vie publique Dans son rapport prcit sur la loi du 6 janvier 1978, notre ancien collgue Jacques Thyraud pressentait un des bouleversements majeurs induit par la rvolution numrique : Linformatique a apport essentiellement un changement de dimension : elle a introduit, en effet, une capacit de mmorisation considrable au point que certains peuvent craindre quelle ne porte atteinte lun des droits les plus fondamentaux de ltre humain : le droit loubli . De la mme faon que linvention de lcriture ou de limprimerie ont transform le rapport de lhomme la mmoire, la numrisation et Internet crent les conditions dune hypermnsie de nos socits. Cet amenuisement du droit loubli interroge moins notre vie prive que notre vie publique. Tout dabord, la vie prive tend se dverser dans la vie publique, ds lors quun individu diffuse au public des informations relatives sa vie prive. Les raisons sont multiples : banalisation de lusage des techniques, stratgies de projection de soi, arbitrage en faveur dune vie sociale riche (la course aux amis sur les rseaux sociaux), nouveau rapport la pudeur, dcloisonnement des cercles relationnels, sensibilisation insuffisante aux risques dune exposition de soi et des autres sur Internet, etc. Certes, la suite des travaux de M. Dominique Cardon, entendu par vos rapporteurs, il convient de nuancer la vracit des faits relevant de la vie prive qui peuvent se retrouver dlibrment sur des blogs ou des rseaux sociaux. Ce dernier estime ainsi que la russite des rseaux sociaux doit beaucoup au fait que les personnes prennent des risques avec leur identit en rendant publiques des informations sur elles-mmes. Les rseaux sociaux exploitent une double dynamique [] : un processus de subjectivation qui conduit les personnes extrioriser leur identit dans des signes qui tmoignent moins dun statut incorpor et acquis que dune capacit faire (crire, photographier, crer) ; et un processus de simulation qui conduit les personnes endosser une diversit de rles exprimant des facettes multiples, et plus ou moins ralistes, de leur personnalit 1.
Extrait de larticle Pourquoi sommes-nous si impudiques ? de M. Dominique Cardon, mis en ligne le 12 octobre 2008. Consultable ladresse suivante : http://www.arhv.lhivic.org/index.php/2008/10/12.
1

- 36 -

Si vos rapporteurs sont conscients quune identit numrique est aussi une image construite et gre selon des stratgies diverses, il nen reste pas moins que, pour un regard extrieur, il nest pas ais de faire la part des choses. Une fausse information peut tre aussi pnalisante quune vraie. Par ailleurs, ce premier pas peut tre peru par des tiers comme un consentement tacite dautres rvlations relatives la vie prive. Brouiller les frontires est un jeu risqu. Il ny a plus de ligne rouge. Simultanment, lautre bout de la chane, la vie publique est devenue hyper publique . Autrefois puisque cest dsormais ainsi quil faut parler de lre avant Internet, la vie publique recouvrait lensemble des faits nentrant pas dans le champ de la vie prive, au sens o lentend la Cour de cassation lorsquelle interprte larticle 9 du code civil. M. Nicolas Bonnal, vice-prsident du Tribunal de grande instance de Paris et prsident de la 17me chambre, a rappel vos rapporteurs que la jurisprudence de la Cour de cassation tendait limiter le champ de la vie prive la sphre familiale ou amicale -les autres informations tant diffusables par des tiers car relevant de la vie publique dune personne. Cette dichotomie a t forge dans un monde o, malgr les progrs des communications, la cration de bases de donnes de plus en plus grandes et le dveloppement des mdia de masse, la reconstitution de la vie publique dun individu demeurait un travail lourd et complexe. Excepte la situation particulire des personnages publics, la vie publique des individus demeurait confidentielle de facto ou, tout le moins, accessible un cercle restreint. En outre, le temps faisant son uvre, la mmoire de la vie publique dun individu seffaait, sauf engager des recherches cibles. Dsormais, Internet et lutilisation de moteurs de recherche de plus en plus puissants permettent chacun de nous dinterroger instantanment, tout moment et nimporte o lensemble des informations mises en ligne sur la toile . Ce qui autrefois exigeait une volont rsolue, des efforts et du temps ne requiert aujourdhui quun peu de curiosit et une connexion Internet. Les moteurs de recherche permettent dagrger des sources dinformation quil aurait t quasi-impossible de runir auparavant. A cet gard, lexprience publie dans la revue Le Tigre en dcembre 2008 est particulirement clairante1. Un journaliste de cette revue a pu reconstituer une grande partie de la vie publique et prive dun individu, quil navait jamais rencontr, partir des seules donnes accessibles sur le web.

Revue Le Tigre. Volume 28 de novembre-dcembre 2008 (galement accessible dans le rapport dactivit pour 2008 de la CNIL).

- 37 -

La vie publique, qui tait en pratique discrte ou perdue de vue, est susceptible de se retrouver en pleine lumire, y compris pour des faits trs anciens. A nen pas douter, ces volutions changent la nature de la vie publique. De la mme faon quun individu a un besoin vital de vie prive pour se dvelopper, on peut se demander dans quelle mesure un individu peut tolrer durablement une hyper vie publique . e) Une rcente prise de conscience des autorits Les autorits charges de la protection des donnes personnelles ont rcemment pris conscience des difficults relles lies cette rosion du champ de la vie prive sous leffet dInternet et des rseaux sociaux. Ainsi la trentime Confrence mondiale des Commissaires la protection des donnes et de la vie prive, runie Strasbourg en octobre 2008, a-t-elle adopt une rsolution consacre la protection de la vie prive dans les services de rseaux sociaux. Outre linvitation raliser une large campagne dinformation impliquant le plus grand nombre possible dacteurs publics et privs, et destine prvenir les risques lis lutilisation des services sociaux , les Commissaires ont adopt un certain nombre de recommandations destination, dune part, des utilisateurs de rseaux sociaux, et, dautre part, des fournisseurs de tels services, insistant notamment sur la ncessit pour ces services de respecter pleinement la lgislation du pays dans lequel se trouve lutilisateur, sur loctroi dun droit effectif daccs et de rectification sur lensemble des donnes personnelles dtenues par le rseau social ou encore sur lducation des utilisateurs au respect de la vie prive des autres. Le 28 janvier 2009, loccasion de la troisime journe de la protection des donnes, M. Jacques Barrot, vice-prsident de la Commission europenne, a pour sa part consacr une partie de son intervention aux risques datteintes la vie prive suscits par une utilisation draisonne des services offerts par les rseaux sociaux. Vos rapporteurs ne peuvent que se fliciter de cette rcente prise de conscience et esprent que le prsent rapport dinformation contribuera alimenter le dbat sur les risques datteintes la vie prive suscits par une utilisation draisonne et imprudente des rseaux sociaux. De ce point de vue, leur but nest pas de pointer du doigt ces services qui offrent des possibilits formidables dchanges et de partages entre les individus. Leur but est au contraire de rflchir aux moyens de promouvoir une utilisation responsable et respectueuse dautrui de ces nouveaux outils de communication. Au-del dune sensibilisation gnrale des individus la notion de donnes caractre personnel, ces rflexions ont conduit vos rapporteurs sinterroger sur lopportunit de reconnatre aux individus un droit de proprit sur leurs donnes personnelles, ainsi que sur les modalits selon lesquelles pourrait tre mis en uvre un droit loubli . Ces rflexions font lobjet de la dernire partie du prsent rapport.

- 38 -

II. UN CADRE JURIDIQUE PROTECTEUR LPREUVE DE LA GLOBALISATION ET DINTERNET Les craintes datteintes la vie prive qui viennent dtre exposes trouvent un grand nombre de rponses dans le dispositif de la loi informatique et liberts du 6 janvier 1978 et dans la directive 95/46/CE du 24 octobre 1995 qui en a repris, au niveau communautaire, lessentiel des dispositions. Lensemble des personnes entendues se sont, cet gard, accordes pour considrer que ces deux textes constituaient un cadre juridique adapt et satisfaisant. Nanmoins, il est apparu que ce cadre juridique ne rpondait quimparfaitement aux enjeux lis la globalisation ainsi quaux spcificits dInternet.
A. DES CRAINTES PARTIELLEMENT JURIDIQUE SOUPLE ET PROTECTEUR LEVES PAR UN CADRE

1. Les principes gnraux de la loi informatique et liberts : des principes universels et intemporels La loi du 6 janvier 1978 est ne dans un contexte prcis, la suite du scandale du projet de fichier SAFARI1 qui prvoyait linstitution dun identifiant unique le numro de scurit sociale galement appel numro INSEE afin dinterconnecter lensemble des fichiers de ladministration. Linformatique individuelle nexistait pratiquement pas et les principaux utilisateurs taient ladministration et les grandes socits. La constitution de fichiers administratifs gants tait la crainte principale. Toutefois, le lgislateur de lpoque avait conscience de lgifrer pour un avenir laissant prsager un dveloppement extraordinaire et imprvisible de linformatique. Notre ancien collgue Jacques Thyraud, rapporteur de la loi informatique et liberts , soulignait dans son rapport que la tche du lgislateur consiste faire des lois les plus gnrales et les plus claires possible afin de permettre, dans lapplication, une certaine souplesse. Cette exigence est dautant plus forte que le secteur auquel sapplique la loi est plus technique et volutif . Cette philosophie a inspir les rdacteurs de la loi du 6 fvrier 1978 autant que ceux de la directive europenne 95/46/CE du 24 octobre 1995 et de la loi du 6 aot 2004 qui la transpose. Elle a conduit dgager quelques principes gnraux applicables toutes les technologies et applications informatiques, plutt qu multiplier des dispositifs particuliers pour chacune dentre elles.

Systme Automatis pour les Fichiers Administratifs et le Rpertoire des individus.

- 39 -

M. Alex Trk, prsident de la CNIL, a distingu quatre grands principes : les principes de finalit, de proportionnalit, de scurit et daccs aux informations. La loi informatique et liberts adopte le 6 fvrier 1978 ne les nonait pas tous. Ils transparaissaient nanmoins en filigrane et ont t clairement affirms depuis par la directive du 24 octobre 1995 et la loi du 6aot 2004. a) Le principe de finalit Le premier principe est celui de finalit. La loi adopte en 1978 ne le formulait pas explicitement, mais lutilisation dun traitement dautres fins que celles dfinies lors de sa cration tait dj constitutive dun dlit puni de cinq ans demprisonnement. Larticle 6 de la loi du 6 fvrier 1978 en vigueur dispose depuis 2004 que les donnes caractre personnel sont collectes pour des finalits dtermines, explicites et lgitimes et ne sont pas traites ultrieurement de manire incompatible avec ces finalits . b) Le principe de proportionnalit Ce principe est la fois distinct et connexe du principe de finalit. Ce principe gnral du droit ne figure pas littralement dans la loi du 6 fvrier 1978 modifie. Mais il inspire sans ambigut son article 6 qui dispose que les donnes caractre personnel doivent tre adquates, pertinentes et non excessives au regard des finalits pour lesquelles elles sont collectes et de leurs traitements ultrieurs et ne peuvent tre conserves que pendant une dure (nexcdant) pas la dure ncessaire aux finalits . c) Le principe de scurit des donnes Larticle 34 de la loi du 6 fvrier 1978 modifie1 impose tout responsable dun traitement de prendre toutes prcautions utiles, au regard de la nature des donnes et des risques prsents par le traitement, pour prserver la scurit des donnes et, notamment, empcher quelles soient dformes, endommages, ou que des tiers non autoriss y aient accs . d) Le droit daccs et de rectification Le dernier principe est celui du droit daccs et de rectification. Il fut affirm explicitement ds 1978, larticle 3 disposant alors que toute personne a le droit de connatre et de contester les informations et les raisonnements utiliss dans les traitements automatiss dont les rsultats lui sont opposs . Ces droits daccs et de rectification, lorsque les donnes sont inexactes, incompltes, quivoques, primes , ont t repris par les articles 39 43 de la loi du 6 fvrier 1978 modifie.

Article 29 du texte adopt en 1978.

- 40 -

e) Les autres droits reconnus par la loi informatique et liberts A ces quatre principes qui sappliquent peu ou prou lensemble des traitements de donnes caractre personnel, il faut ajouter dautres droits essentiels mais dapplication circonscrite. Il en va ainsi du droit linformation dfini larticle 32 de la loi du 6 janvier 1978 modifie. En cas de collecte de donnes personnelles directement auprs de la personne concerne, celle-ci doit tre informe de lutilisation qui peut en tre faite. Ces dispositions ne sappliquent pas aux traitements intressant la sret de lEtat ou la scurit publique. En cas de collecte indirecte de ces donnes, ce droit linformation existe thoriquement. Mais le responsable du traitement peut sen exonrer si cette information se rvle impossible ou exige des efforts disproportionns par rapport lintrt de la dmarche . Le droit dopposition lutilisation de ses donnes personnelles est galement primordial. Il est le corollaire du droit linformation. Affirm ds 19781, il figure dsormais larticle 38 de la loi qui prcise que toute personne physique a le droit de sopposer, sans frais, ce que les donnes la concernant soient utilises des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui dun traitement ultrieur . Dans les autres cas, ce droit sexerce sous rserve de motifs lgitimes . Toutefois, ce droit dopposition ne sapplique pas lorsque le traitement rpond une obligation lgale. La loi initiale du 6 janvier 1978 ne prvoyait pas un droit au consentement pralable. Ce nouveau droit na t affirm qu la suite de la loi du 6 aot 2004. Larticle 7 de la loi du 6 janvier 1978 modifie proclame dsormais qu un traitement de donnes caractre personnel doit avoir reu le consentement de la personne concerne . Ce principe est toutefois assorti de drogations si nombreuses quen pratique, le rgime applicable est essentiellement celui du droit dopposition prcit. 2. La neutralit technologique de la loi informatique et liberts Ces principes ont irrigu les diffrents textes nationaux, europens ou trangers relatifs la protection des donnes personnelles. Lensemble des personnes entendues par vos rapporteurs a soulign la modernit de ces principes et leur extrme plasticit. Ils se rvlent applicables et adapts lensemble des nouvelles technologies numriques quelles aient pour effet principal 2 ou incident de collecter des donnes permettant de tracer un individu dans le temps et lespace.
1 2

Article 26 du texte de 1978. La golocalisation par exemple.

- 41 -

La CNIL sest affirm comme linterprte vigilant de ces principes. Elle a dvelopp, mesure que de nouvelles applications apparaissaient, une doctrine exigeante, avec pour souci principal dviter que les individus ne se voient imposer, pour des raisons de confort ou defficacit, des dispositifs excessivement intrusifs. Elle sest galement attache dmontrer que lclosion de nouvelles technologies et applications nouvrait pas de vides juridiques, la loi du 6 janvier 1978 modifie et ses grands principes demeurant pertinents. Vos rapporteurs ont ainsi acquis la conviction que les quilibres de la loi du 6 janvier 1978 devaient tre prservs et quil serait prjudiciable de sengager sur la voie de lgislations spcifiques pour certaines technologies ou applications. Cette dernire solution qui pourrait apparatre sduisante dans linstant prsente en ralit plusieurs inconvnients : - elle cre des vides juridiques mesure que de nouvelles technologies apparaissent, le lgislateur ayant souvent un temps de retard dans ces domaines ; - elle sera ncessairement partielle ou lacunaire ; - elle peut bloquer des volutions technologiques. A linverse, en sappuyant sur des principes universels, le lgislateur se met labri dtre dpass par la technique. En outre, comme le montre la CNIL, ces principes mnagent un espace de ngociation ou dinteraction entre lautorit comptente, les utilisateurs et les industriels. Une technologie nest pas mauvaise en elle-mme. Cela dpend de lusage qui en est fait ainsi que des modalits selon lesquelles elle est mise en uvre. Les industriels rencontrs par vos rapporteurs Thals, Sagem, Majority Report, Google, Microsoft, Facebook, My Space ont fait part de leur dialogue constant et constructif avec la CNIL. Une technologie ou un service qui pose des problmes au regard du respect de la vie prive peut ne plus en poser quelques temps aprs. Le dialogue dynamique que permettent les grands principes pousse ainsi les industriels dvelopper des solutions techniques nouvelles plus respectueuses de la vie prive. Il vite aussi les rponses toutes faites. Les exemples ci-aprs, parfois trs rcents, illustrent ces conclusions. a) La golocalisation Certaines technologies de localisation posent peu de difficults au regard du respect de la vie prive. Ainsi, en est-il de lutilisation dun navigateur GPS pour indiquer la meilleure route si les donnes collectes ne sont pas exploites par un intervenant extrieur et si le navigateur nest pas reli nominativement son utilisateur. Dans ces conditions, lanonymat est prserv.

- 42 -

En revanche, dautres utilisations ont requis lintervention de la CNIL qui a considr que la loi du 6 janvier 1978 modifie tait applicable. Plusieurs dlibrations ont fix un cadre. La premire fut une dlibration du 17 novembre 20051 par laquelle la CNIL sest oppose un projet de personnalisation des primes dassurance en fonction de lusage rel dun vhicule. En lespce, lassureur proposait de rduire le montant de la prime en contrepartie de linstallation dun systme de golocalisation bord du vhicule afin de lui permettre de vrifier le cas chant le respect des engagements contractuels. La golocalisation devait permettre en particulier de contrler le respect des vitesses maximales autorises. La CNIL sy est oppose et a rappel plusieurs principes issus de la loi du 6 janvier 1978 modifie. Tout dabord, larticle 9 de cette loi ne permet pas une personne de droit priv de mettre en uvre un traitement relatif aux violations des limitations de vitesse. Un assureur ne peut donc pas enregistrer les excs de vitesse de ses clients. Surtout, la dlibration rappelle quil appartient la CNIL dapprcier, au regard de la loi du 6 janvier 1978 modifie et notamment de son article 6, la proportionnalit des moyens mis en uvre . Elle a alors considr que la collecte systmatique des donnes relatives la localisation des vhicules utiliss titre priv des fins de modulation de tarifs dassurance automobile tait de nature porter atteinte la libert daller et venir anonymement dans des proportions injustifies . Ces positions de la CNIL ont conduit les assureurs repenser leurs offres, illustrant ce dialogue constructif permanent pour concilier des intrts divergents. Dans son rapport dactivit pour 2008, la CNIL annonce quelle devrait adopter de nouvelles recommandations. Dautres dlibrations sont ensuite intervenues, notamment pour rpondre la demande croissante de golocalisation dans les entreprises. Le 16 mars 2006, la CNIL a ainsi adopt deux dlibrations2 relatives la golocalisation des vhicules des employs des organismes publics ou privs. Elles prcisent les finalits possibles de tels traitements. Si le suivi du temps de travail dun employ peut se faire par ce moyen, encore faut-il que ce soit une finalit accessoire et que ce suivi ne puisse tre ralis par dautres moyens.
Dlibration n 2005-278 du 17 novembre 2005 portant refus de la mise en uvre par MAAF assurances SA dun traitement automatis de donnes caractre personnel bas sur la golocalisation des vhicules. 2 Dlibrations n 2006-66 et n 2006-67 portant adoption respectivement dune recommandation et dune norme simplifie. Les traitements remplissant les conditions fixes par une norme simplifie bnficient dun rgime de dclaration allge.
1

- 43 -

Elles estiment galement que le principe de proportionnalit justifie une conservation infrieure deux mois, sauf exception. Elles rappellent lobligation dinformation et de consultation des instances reprsentatives du personnel. Chaque employ doit tre inform individuellement. Enfin, elles recommandent que les employs puissent dsactiver la fonction de golocalisation des vhicules lissue de leur temps de travail lorsque ces vhicules peuvent tre utiliss des fins prives. Cest une des consquences du principe de finalit. b) La biomtrie En matire de biomtrie, la CNIL a labor une grille danalyse exigeante qui est dsormais stable depuis quatre ans. Cette grille ninterdit pas le recours la biomtrie. Elle oblige utiliser les systmes biomtriques strictement ncessaires lobjectif poursuivi. Sont ainsi privilgis les identifiants biomtriques ne laissant aucune trace et les systmes sans base centrale de donnes biomtriques. Le recours la biomtrie avec trace nest autoris que si elle constitue le seul moyen datteindre le rsultat recherch. Enfin, vos rapporteurs ont galement relev que la rigueur de la CNIL dans cette matire avait pouss les industriels mettre au point des systmes biomtriques plus respectueux de la vie prive et de lanonymat, notamment par lutilisation de la cryptographie et de nouveaux identifiants biomtriques comme le rseau veineux. En sens inverse, la CNIL a autoris en 2007 la mise en uvre de trois programmes de recherche dans le domaine de la biomtrie. c) Les panneaux publicitaires communicants Saisie de cette publicit dun genre nouveau, la CNIL a exig le recueil du consentement pralablement lenvoi de ces messages publicitaires par Bluetooth. Une solution, afin que seules les personnes rellement intresses par le contenu publicitaire soient sollicites, est dobliger celles-ci approcher leur tlphone quelques centimtres de laffiche. Ce geste volontaire atteste de leur consentement. Dans un registre proche, les dirigeants de la socit Majority Report, qui dveloppe notamment des panneaux publicitaires auxquels est intgr un module de mesure daudience (cf. supra), ont indiqu tre en contact avec la CNIL pour sassurer du respect des principes de la loi du 6 janvier 1978. Dans un communiqu du 22 avril 2009, la CNIL sest dclare comptente, notamment pour vrifier que les images captures taient bien retraites de manire rendre impossible lidentification des personnes.

- 44 -

d) Lapparition doutils de profilage statistique Si un dbat juridique peut exister sur lapplicabilit de la loi du 6 janvier 1978, compte tenu du fait que le traitement des images captures ne permet pas didentifier avec certitude les personnes concernes, le caractre intrusif ou tout le moins ressenti comme tel de ces dispositifs dun nouveau genre justifierait lapplication des principes informatique et liberts au premier rang desquels le droit linformation pralable et la dure de conservation limite des donnes. Enfin, la CNIL serait comptente pour sassurer de lirrversibilit de lanonymisation. e) Les puces RFID Appliqus la RFID, les grands principes de la protection des donnes demeurent pertinents.
Lexemple du Pass Navigo La RATP a progressivement substitu au coupon magntique mensuel ( carte orange ) une carte puce RFID dnomme Pass Navigo. M. Dominique Chaumet, correspondant informatique et liberts la RATP, a indiqu que les premires discussions avec la CNIL avaient t noues en 2002. Les motivations de ce nouveau systme sont la lutte contre la fraude et la capacit de ce support accueillir un plus grand nombre dinformation. Des discussions avec la CNIL, il est ressorti plusieurs dcisions importantes pour limiter les risques datteinte la vie prive et la libert daller et venir. Tout dabord, le systme nest pas configur pour permettre de suivre les dplacements dun abonn, y compris a posteriori. Les donnes relatives au lieu et lheure de validation du pass ne sont conserves que 20 minutes en station. Seuls le numro du pass et le jour sont conservs pour dtecter des fraudes cas o une carte serait duplique et utilise par des dizaines voire des centaines de personnes. Ensuite, la CNIL a obtenu que la RATP propose ses clients des pass Navigo anonymes. Il est toutefois un peu plus cher (5 euros de plus lors de son achat, mais non loccasion de son rechargement) et, en cas de perte ou de vol, il nest pas remplac gratuitement. Ce pass anonyme est une concession importante pour la RATP, puisquil ne permet pas de dtecter automatiquement une fraude grande chelle. Enfin, ce nest pas la RATP qui conserve les donnes nominatives. La gestion des abonnements est assure par une entit distincte, le GIE Commutitres, fond par la SNCF, la RATP et lassociation Optile.

Ainsi, le principe de finalit a inspir laffirmation d un droit au silence des puces . Les puces RFID sont souvent utilises pour suivre un produit tout le long de la chane logistique. Elles nont plus lieu dtre actives ds linstant o le client final a achet le produit. Ce droit peut se traduire de deux manires soit par la destruction de la puce, soit sa dsactivation. Dans ce dernier cas, le consommateur pourrait choisir de ractiver la puce, notamment sil en attend un service particulier.

- 45 -

Sous limpulsion de la prsidence franaise de lUnion europenne, le Conseil des ministres Telecoms du 27 novembre 2008 a reconnu ce droit au silence des puces . Il pourrait inspirer de futures lgislations, notamment en matire de droit de la consommation. Toutefois, vos rapporteurs estiment que si ces donnes sont considres comme des donnes personnelles ds linstant o elles racontent une portion de vie dun individu et quelles sont utilises par un tiers, la lgislation sur la protection des donnes caractre personnel permet dj de poser des garde-fous. Le droit au silence serait le premier. Selon que la puce serait automatiquement dsactive ou dsactivable, nous serions dans un cas de droit au consentement pralable ou de droit dopposition. Au regard du principe de proportionnalit, certains usages devraient tre carts. Ainsi, en Espagne, des puces RFID ont t injectes la demande sous la peau pour servir de moyen de paiement dans certaines discothques, ce qui apparat tout fait disproportionn. En revanche, dans certaines maternits, des exprimentations sont en cours pour quiper les nouveau-ns de bracelets RFID, afin dviter les kidnappings. Cette utilisation trs temporaire apparat dj moins problmatique. Le droit linformation impliquerait de rendre les puces visibles et de signaler clairement lorsquelles sont actives. Le principe de scurit, rejoignant ici le principe de finalit, imposerait quune puce ne soit pas lisible par nimporte qui lorsquelle est devenue porteuse dune donne personnelle. f) Le cas particulier de la vidosurveillance Sauf exception, la vidosurveillance des espaces publics ne relve pas de la loi du 6 janvier 1978. Les conditions dutilisation de la vidosurveillance sont fixes par larticle 10 de la loi n 95-73 du 21 janvier 1995 dorientation et de programmation pour la scurit. Toutefois, si la comptence de la CNIL est carte, le lgislateur sest directement inspir des principes de la loi du 6 janvier 1978 pour btir un dispositif lgislatif conciliant les ncessits de la prvention de lordre public et la protection des liberts. Ces principes sont les suivants : - principes de licit et de finalit (les finalits sont limitativement numres) ; - conservation limite des enregistrements (30 jours maximum) ; - droit daccs des personnes filmes aux enregistrements ; - protection des enregistrements ; - information gnrale du public sur lexistence dun systme de vidosurveillance ;

- 46 -

- protection de la vie prive avec linterdiction de filmer des lieux assimilables des informations nominatives sensibles : intrieur des immeubles dhabitation, y compris lentre de ces immeubles. Fort de ce constat, le groupe de travail de la commission des lois sur la vidosurveillance1 a prconis de rapatrier la vidosurveillance dans le champ de la loi du 6 janvier 1978 et de la CNIL. Vos rapporteurs partagent ces conclusions lheure de la convergence numrique. En outre, les technologies tant de moins en moins utilises isolment mais au contraire combines entre elles par exemple la biomtrie avec la vidosurveillance, lexistence dune lgislation unique reposant sur quelques principes est un facteur important de simplicit et de clart de la loi. 3. Les gardiens vigilants de la protection des donnes personnelles : la CNIL, le G29 et le contrleur europen des donnes Vos rapporteurs ont pu constater que le droit la vie prive est aujourdhui protg de manire relativement satisfaisante, mme lpreuve des nouveaux dfis prsents dans la premire partie du rapport, non seulement parce quil est largement consacr dans les textes et quil sappuie sur des principes intemporels, mais aussi parce que son respect est assur par certaines autorits indpendantes, aux premiers rangs desquelles figurent la CNIL, le G29 et le contrleur europen des donnes. a) La CNIL
(1) Une autorit administrative indpendante collgiale

La Commission nationale pour linformatique et les liberts (CNIL) est une autorit administrative indpendante, cre par la loi de 1978 prcite. Notons dailleurs que cette loi est la premire consacrer la notion dautorit administrative indpendante. Lamendement crant cette nouvelle entit fut prsent par M. Jacques Thyraud, rapporteur au nom de la commission des lois du Snat, larticle 6 du projet de loi 2. LAssemble nationale proposait lpoque den faire un service du ministre de la Justice. Comme la quasi-totalit des autorits administratives indpendantes, la CNIL est une instance collgiale ; elle est compose de quinze membres nomms pour cinq ans : - 2 snateurs, - 2 dputs,
Rapport dinformation n 131 (2008-2009) de nos collgues Jean-Patrick Courtois et Charles Gautier au nom de la commission des lois du Snat et consultable ladresse suivante : http://www.senat.fr/rap/r08-131/r08-1311.pdf 2 Cf. rapport n 72, 1977-1978.
1

- 47 -

- 2 conseillers d'Etat, - 2 conseillers la Cour de cassation, - 2 conseillers la Cour des comptes, - 5 personnalits qualifies dsignes par le prsident du Snat (1 personnalit), par le prsident de l'Assemble nationale (1 personnalit) et le Conseil des ministres (3 personnalits).
(2) Ses missions au service de la protection de la vie prive

Jusqu la loi du 6 aot 2004, la CNIL avait pour missions, aux termes de la loi de 1978, dune part, deffectuer des missions de contrle ou de vrifications sur place (324 missions de ce type ont t enregistres de 1978 2003), dautre part, dadopter, en sance plnire, des dlibrations qui se dclinaient en : - des avis sur des projets de loi ou de dcret ; - des avis sur des traitements ou des fichiers ; - des normes simplifies pour les traitements publics ou privs les plus courants qui ne comportent pas datteinte manifeste la vie prive ou aux liberts. Entre 1978 et 2003, la CNIL a dict quarante-deux normes simplifies (voir par exemple la dlibration n 03 067 du 18 dcembre 2003 sur la gestion et les ngociations des biens immobiliers) ; - des recommandations, qui, bien que dpourvues de force juridique contraignante, dfinissent une ligne de conduite dans des secteurs dactivit particuliers. Elles illustrent la mission de conseil et daccompagnement de la CNIL lgard des responsables de traitements de donnes. Entre 1978 et 2003, la CNIL a publi une trentaine de recommandations, dont la dlibration n 03-036 du 1er juillet 2003 qui concerne la scurit des systmes de vote lectronique ; - des avertissements ou dnonciations au parquet : entre 1978 et 2003, cinquante-quatre avertissements et trente-quatre dnonciations au parquet ont ainsi t recenss. La loi n 2004-801 du 6 aot 2004, modifiant la loi de 1978, a profondment enrichi les moyens daction de la CNIL. Elle a en effet prcis et renforc son pouvoir de contrle, la dote dun pouvoir de sanction de nature quasi-juridictionnelle, dun droit de veto a priori pour les traitements de donnes les plus sensibles et cr des correspondants informatique et liberts. La CNIL, par lintermdiaire de ses commissaires et de ses agents, dispose dsormais de pouvoirs de contrle sur pices et sur place, dans les horaires des perquisitions judiciaires (6 heures 21 heures). Pour garantir le bon exercice de cette mission, le lgislateur a cr un dlit dentrave qui punit dun an demprisonnement et de 15.000 euros damende le fait de sopposer laccomplissement dune opration de contrle de la CNIL.

- 48 -

Ces missions de contrle sinscrivent dans le cadre du programme annuel des contrles, adopt par la Commission en fonction des thmes jugs prioritaires au vu de lactualit, ou rpondent des besoins ponctuels identifies par la CNIL, dans les cas suivants : dans le cadre du prolongement des formalits pralables (le traitement mis en uvre est-il conforme la dclaration ou lautorisation ? le refus dautorisation prononc par la Commission est-il respect ? quelles sont les pratiques des autres responsables de traitement ? les mesures de scurit dcrites sont-elles effectivement mises en place ? ) ; dans le cadre de linstruction de plaintes significatives dont le contenu laisse penser que le responsable de traitement est en infraction avec la loi de 1978 ; afin de vrifier le respect des recommandations ou normes simplifies labores par la CNIL ; afin dapporter des lments dinformation dans le cadre de groupes de travail constitus au sein de la CNIL. En outre, jusqu la loi prcite de 2004, lorsque la CNIL constatait, loccasion dun de ses contrles, un manquement aux obligations prvues par la loi informatique et liberts , elle ne pouvait que prononcer un avertissement ou dnoncer les faits au parquet. Aussi le lgislateur a-t-il dcid, en 2004, conformment la directive europenne de 1995, de doter la Commission dun pouvoir de sanction de nature quasi-juridictionnelle. Il a ainsi cr une nouvelle structure, dnomme formation restreinte , compose du prsident, des deux vice-prsidents et de trois membres lus par la commission en son sein pour la dure de leur mandat. Cette formation dispose de trois niveaux dintervention : la mise en demeure, lavertissement et, uniquement pour les entreprises, la sanction pcuniaire, dcisions que la CNIL peut dcider de rendre publiques. Il faut noter que depuis lentre en vigueur de ces nouveaux pouvoirs, le dcret dapplication n 2005-1309 tant paru le 20 octobre 2005, la CNIL a prononc trente-deux sanctions reprsentant, au total, 520.400 euros damende. Un autre apport de la loi de 2004, en conformit avec la directive de 1995, a t de doter la CNIL dun droit de veto a priori pour les traitements de donnes les plus sensibles, tels que les traitements biomtriques, ceux portant sur des donnes gntiques, comportant des apprciations sur les difficults sociales des personnes, ou encore les traitements susceptibles dexclure des personnes du bnfice dun droit (article 25 de la loi de 1978 modifie). Le non-respect de lautorisation pralable est passible de lourdes sanctions (cinq ans demprisonnement et 300.000 euros damende) en application des dispositions de larticle 226-16 du code pnal.

- 49 -

Enfin, le lgislateur a dcid en 2004, linitiative de M. Alex Trk, alors rapporteur au nom de la commission des lois du Snat, de donner la possibilit aux entreprises et administrations publiques didentifier, en leur sein, des correspondants informatique et liberts , relais de la CNIL et garants du respect de la loi de 1978. En contrepartie, les structures qui dsignent un tel correspondant ne sont plus tenues dadresser leurs dclarations la CNIL car dsormais le correspondant recense ces fichiers. Seuls les traitements identifis comme sensibles dans la loi demeurent soumis autorisation pralable de la CNIL. Sil nest pas prvu dagrment par la CNIL, le correspondant devant simplement, selon la loi, bnficier des qualifications requises pour exercer ses missions , il apparat que, le plus souvent, la personne dsigne possde, en pratique, des comptences en informatique, droit, conseil et management (le correspondant a un rle dinformation et daudit de lorganisme) ainsi que dans le domaine de la mdiation et de la pdagogie (le correspondant vise favoriser le dialogue entre le responsable du traitement, les personnes faisant lobjet du traitement et la CNIL). Un correspondant peut exercer sa mission pour le compte de plusieurs organismes lorsquil est, par exemple, consultant, avocat, etc. : ainsi, au 31 mars 2009, la France comptait 1.273 correspondants reprsentant quelque 5.066 organismes. b) Le G29 et le contrleur europen des donnes
(1) Le G29

Le G29, cr par larticle 29 de la directive du 24 octobre 1995 sur la protection des donnes et la libre circulation, est un groupe de travail europen rassemblant les reprsentants de vingt-sept autorits indpendantes de protection des donnes nationales. Il est prsid, depuis fvrier 2008, par M. Alex Trk, prsident de la CNIL. Runi Bruxelles en sance plnire tous les deux mois environ, il a pour missions principales : - de rendre des avis sur le niveau de protection dans les pays extracommunautaires ; - de conseiller la Commission europenne sur tout projet ayant une incidence sur les droits et liberts des personnes physiques lgard des traitements de donnes personnelles ; - et dadopter des recommandations gnrales dans ce domaine. Sur ce dernier point, de nombreuses personnes entendues par vos rapporteurs ont soulign le rle essentiel de cette instance, qui permet de dfinir, au niveau communautaire, des positions harmonises dans le cadre des ngociations avec les pays situs hors de lUnion europenne, et notamment les Etats-Unis, quil sagisse de laffaire PNR, SWIFT, ou encore Google (voir infra).

- 50 -

Aussi ne peut-on que regretter, la suite du dernier rapport dactivit de la CNIL, que cette instance soit un colosse aux pieds dargile . En effet, elle ne dispose pas de moyens propres puisque son secrtariat est assur par lunit charge de la protection des donnes la direction gnrale Justice, Libert et Scurit de la Commission europenne.
(2) Le contrleur europen des donnes

Le Contrleur europen des donnes est une autorit de contrle indpendante, cre en 2001, dont la principale mission est de contrler les traitements de donnes caractre personnel effectus par l'administration de l'Union europenne. La fonction est aujourdhui exerce par M. Peter Hustinx qui dispose dune quipe de trente-cinq personnes et sappuie sur lexistence dun correspondant dans chaque administration communautaire.
B. UN CADRE NANMOINS PARTIELLEMENT INADAPT AUX ENJEUX DE LA GLOBALISATION ET AUX SPCIFICITS DINTERNET

1. La protection des donnes lpreuve de lextraterritorialit Vos rapporteurs ont pu constater que le cadre juridique actuel napporte pas toujours des rponses satisfaisantes aux nouveaux dfis au regard du droit la vie prive, notamment parce quil existe des divergences dinterprtation concernant lapplicabilit du droit communautaire aux traitements de donnes effectues par des entreprises situes en dehors de lUnion europenne, en particulier aux Etats-Unis. Ces divergences prennent un relief particulier car Europens et Amricains nont pas les mmes approches en matire de protection des donnes personnelles. a) La question du droit applicable La question du droit applicable en matire de protection des donnes est particulirement complexe. Certes, la directive prcite de 1995 sur la protection des donnes comporte, en son article 4, une clause sur la loi applicable aux traitements de donnes caractre personnel effectus par des entreprises. Toutefois, sagissant des sites Internet, cette disposition nest pas aise comprendre ou manipuler comme la reconnu le G29 dans un document de travail adopt le 30 mai 2002. En effet, larticle 4 de la directive prvoit les cas de figure suivants : - si lentreprise est tablie sur le territoire de lun des Etats-membres, la lgislation de cet Etat sapplique mme si lentreprise fournit des services dautres Etats-membres, et ce en application du principe du pays dorigine. Ce dernier est favorable aux entreprises, qui nont pas tre soumises plusieurs lgislations nationales, sans pour autant mettre mal la protection

- 51 -

des donnes personnelles dans lUnion europenne dans la mesure o, par leffet de la directive de 1995, les lois nationales en matire de protection des donnes offrent des protections quivalentes ; - si lentreprise nest pas tablie sur le territoire de lun des Etatsmembres mais quelle recourt, des fins de traitement de donnes caractre personnel, des moyens situs sur le territoire dun Etat-membre1, le droit de ce dernier sapplique2. La directive a donc repris un critre classique en droit international, savoir le lien physique entre laction et un systme lgal. Ce second cas de figure soulve des difficults dinterprtation, comme la illustr le diffrend entre le G29 et certains moteurs de recherche sur Internet tablis aux Etats-Unis, concernant la dure de conservation des donnes collectes loccasion des requtes. Le 4 avril 2008, le G29 a en effet publi un avis sur les moteurs de recherche, affirmant lapplicabilit de la loi communautaire sur la protection des donnes, recommandant une dure de conservation des donnes de six mois maximum et indiquant que les internautes devaient consentir lexploitation de leurs donnes des fins, notamment, de profilage. Le G29 sest appuy sur le fait que les moteurs de recherche, pour tablir des profils dutilisateurs dtaills, utilisent des cookies (cf. infra) qui doivent tre considrs comme des moyens de traitement des donnes caractre personnel, au sens de la directive, ce quont contest certains moteurs de recherche. Une solution pour rsoudre ces difficults dinterprtation pourrait tre de rviser la directive de 1995 pour y inscrire expressment la notion de cookies . Toutefois, une telle initiative prsenterait linconvnient majeur de mettre mal la neutralit technologique de la directive, neutralit que vos rapporteurs ont dj eu loccasion de saluer comme un gage de souplesse et de prennit. La question de savoir quel est le droit applicable se pose aujourdhui avec dautant plus dacuit que la globalisation conomique se traduit par une intensification des flux transfrontaliers de donnes personnelles et que les systmes juridiques europen et amricain se caractrisent par des diffrences dapproche en matire de protection des donnes personnelles. b) Les diffrences dapproches entre les systmes europen et amricain en matire de protection des donnes personnelles Lors dun colloque organis par la CNIL et l'universit PanthonAssas-Paris II au Snat les 7 et 8 novembre 2005, M. Robert Gellman, avocat auprs de la Cour suprme de Pennsylvanie et expert-conseil en protection des donnes, soulignait que la mthode amricaine de rgulation de la protection des donnes personnelles tait loigne de l'approche europenne, qui repose

1 2

Sauf si ces moyens ne sont utiliss qu des fins de transit , prcise la directive. Dans le cas contraire, le droit du pays o est tablie lentreprise est applicable.

- 52 -

sur des normes compltes de protection et sur lexistence dune autorit indpendante de protection des donnes1. Au cours de leurs auditions, vos rapporteurs ont pu en effet constater les points suivants : - les Etats-Unis ne disposent pas dune autorit indpendante ddie la protection des donnes. La Commission fdrale du commerce amricaine (Federal Trade Commission) est en effet une agence fdrale non indpendante et dont les comptences vont bien au-del de la protection de la vie prive (lutte contre les monopoles, la concurrence dloyale et la publicit mensongre, protection des consommateurs, rpression des fraudes, etc.) ; - la diffrence du systme europen, les Etats-Unis nont pas de cadre gnral de protection des donnes dans le secteur priv mais des lois sectorielles. A titre dexemple, le Fair Credit Reporting Act 2, premire loi fdrale de protection des donnes personnelles, vot en 1970, vise encadrer les fichiers relatifs la situation financire des individus compte tenu de leur importance pour laccs au crdit, un emploi ou une assurance. De mme, le Children's Online Privacy Protection Act 3, vot en 1998, fixe des rgles rgissant la collecte, l'enregistrement, l'usage et la diffusion des donnes personnelles obtenues en ligne d'enfants de moins de treize ans ; il prvoit en particulier le consentement des parents avant toute collecte. Enfin, dans le domaine de la sant, le rgime de protection est complexe et fragment : certaines lois concernent les informations dtenues par des agences fdrales, des employs de ladministration ou des lves, dautres protections sappliquent certaines maladies, telles que le SIDA. Une premire tape dans la volont dlaborer une lgislation globale dans ce domaine a t marque par la loi dnomme Health Insurance Portability and Accountability Act 4 vote en 1996 et pleinement applicable depuis avril 20035. A contrario, de nombreux fichiers utiliss dans les transactions commerciales courantes ne font lobjet daucune lgislation de protection des donnes personnelles. Des commerants de tous types, diteurs de magazines, restaurants, agences de voyage, organismes caritatifs, etc., sont libres de collecter, d'utiliser ou de diffuser des informations personnelles qu'ils obtiennent des individus sans aucune rgle spcifique fixe par la loi, mme si les reprsentants de la chambre de commerce amricaine, entendus par vos rapporteurs, ont object que les principes gnraux du droit de la consommation, au premier rang desquels figure le principe de loyaut, pouvaient toujours trouver sappliquer ;

Les actes du colloque sont disponibles sur Internet : http://www.senat.fr/colloques/colloque_cnil_senat/colloque_cnil_senat_mono.html. 2 Loi sur l'valuation du crdit discriminatoire. 3 Loi portant protection de la vie prive des enfants sur Internet. 4 Loi sur la transfrabilit des rgimes d'assurance-sant. 5 Il semble, dune manire gnrale, que les Etats-Unis tendent progressivement privilgier une approche globale de protection des donnes, juge plus simple que le systme sectoriel.

- 53 -

- les Etats-Unis privilgient la rgulation du march lintervention de lEtat, rgulation volontaire par llaboration par les entreprises de leurs propres privacy policies (c'est--dire de codes de bonne conduite internes lentreprise), ou rgulation contractuelle par le biais, par exemple, de conventions entre les oprateurs conomiques et les consommateurs ; - enfin, la philosophie amricaine est beaucoup plus fonde quen Europe sur la libre circulation de l'information ( free flow of information ) garante du dveloppement du commerce et de lconomie, ce qui a rcemment fait dire M. Alex Trk, prsident de la CNIL : il y a un foss abyssal aujourdhui entre la conception amricaine des donnes personnelles qui sont pour eux des biens marchands et la conception europenne o il sagit dattributs de nos personnalits . 2. La protection des donnes lpreuve dInternet Quasiment inconnu lors de ladoption de la loi informatique et liberts du 6 janvier 1978, dutilisation encore confidentielle lors du vote de la directive 95/46/CE du 24 octobre 1995, Internet fait dsormais partie de la vie quotidienne dune majorit de nos concitoyens. Daprs ltude ralise et mise jour en juin 2008 par le service des tudes et des statistiques industrielles du ministre de lconomie, des finances et de lemploi1, la proportion de mnages connects lInternet domicile a plus que doubl depuis 2001. Prs de 60 % des Franais disposent dsormais dune connexion domicile ou sur leur lieu de travail ou dtudes, et de plus en plus dentre eux utilisent une connexion haut dbit2 leur permettant de tlcharger des fichiers audio et vido, voire davoir accs la tlphonie et la tlvision par le biais dInternet. De fortes disparits persistent nanmoins en fonction de lge, du diplme, de la profession et du milieu social : la fracture numrique demeure une ralit dans notre pays. Cette tendance se retrouve largement au niveau mondial : le nombre dinternautes dans le monde aurait ainsi atteint 1,3 milliard la fin de lanne 2007, soit prs de 20 % de la population mondiale3. Largement entr dans le fonctionnement ordinaire des entreprises et des administrations comme dans la vie quotidienne de nos concitoyens, Internet offre des possibilits extrmement riches dchanges et de partages, selon un fonctionnement largement dcentralis qui fait fi des frontires. Nanmoins, vos rapporteurs ont galement pris conscience des menaces que pourrait faire peser sur les liberts, et en particulier sur le droit au respect de la vie prive, une utilisation totalement drgule dInternet. En
1 2

Disponible ladresse suivante : www.industrie.gouv.fr/sessi. Fin mars 2008, la France comptait 16,2 millions dabonnements lInternet haut dbit. 3 Chiffres Union internationale des tlcommunications (UIT) et Cnuced.

- 54 -

effet, par le nombre potentiellement illimit de donnes qui sont collectes, enregistres et mmorises chaque instant de la navigation, Internet offre galement des possibilits sans prcdent de profilage, de traage et in fine de contrle sur lensemble des individus qui lutilisent, et ce dautant plus quil tend rassembler en un rseau unique lensemble des technologies cloisonnes de tlcommunications qui coexistaient jusqu prsent (un rseau tlphonique, des satellites pour la tlvision, un rseau tlex , des rseaux hertziens, etc.). Ainsi, Internet prsente, au regard de la protection des donnes, une spcificit fondamentale : alors que dans le monde rel, lanonymat est la rgle et le traage lexception, sur Internet, tous les actes de la navigation sont, par nature, enregistrs et mmoriss. Lenjeu, pour les Etats, consiste donc rguler lusage dInternet afin dy garantir, dans des conditions similaires celles prvalant dans le monde rel , le respect du droit la vie prive, en vertu du principe de neutralit technologique. a) Rester anonyme sur Internet : la dlicate conciliation de principes parfois contradictoires
(1) Lanonymisation et leffacement des donnes de connexion : principe et exceptions

De la mme faon que, dans le monde rel, les individus doivent pouvoir se dplacer, sexprimer et vivre en toute tranquillit, les internautes doivent pouvoir utiliser Internet sans que la moindre de leurs actions soit enregistre, analyse et mmorise. Telle est la raison pour laquelle, en France, le droit gnral applicable la navigation et la communication sur Internet repose sur un principe gnral danonymisation et deffacement des donnes de connexion, pos larticle L. 34-1 du code des postes et des communications lectroniques (CPCE)1. Deux exceptions sont nanmoins apportes ce principe gnral : Dune part, larticle L. 34-1 du mme code reconnat aux oprateurs le droit dutiliser et de conserver un certain nombre de donnes techniques ncessaires la facturation et au paiement des prestations de communications lectroniques, jusqu la fin de la priode au cours de laquelle la facture peut tre lgalement conteste ou des poursuites engages pour en obtenir le paiement. Cette finalit tend nanmoins perdre de son utilit avec le dveloppement des offres daccs illimit Internet. Dautre part, pour les besoins de la recherche, de la constatation et de la poursuite des infractions pnales, et dans le seul but de permettre la mise disposition de lautorit judiciaire dinformations,
Larticle L. 34-1 du code des postes et des communications lectroniques dispose, dans son paragraphe I, que les oprateurs de communications lectroniques, et notamment les personnes dont lactivit est doffrir un accs des services de communication au public en ligne, sont tenues deffacer ou de rendre anonyme toute donne relative au trafic.
1

- 55 -

il peut tre diffr, pour une dure maximale dun an, aux oprations tendant effacer ou rendre anonymes certaines catgories de donnes techniques. Le champ dapplication de cette disposition, introduite par la loi n 2001-1062 du 15 novembre 2001 relative la scurit quotidienne, a t tendu par la loi n 2006-64 du 23 janvier 2006 relative la lutte contre le terrorisme lensemble des personnes qui, au titre dune activit professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par lintermdiaire dun accs au rseau, y compris titre gratuit, ce qui inclut notamment les cybercafs. Une drogation a galement t introduite au principe selon lequel ces donnes ne peuvent tre communiques qu lautorit judiciaire (voir supra). Ainsi, sous rserve de quelques exceptions, lies notamment notre lgislation anti-terroriste, le traage dun internaute sur Internet ne peut tre ralis que via le recours lautorit judiciaire, et ce uniquement pour des motifs limitativement numrs et sur une priode nexcdant pas un an. Nanmoins, quelle que soit la finalit retenue, les donnes conserves et traites ne peuvent porter que sur lidentification des personnes utilisatrices des services fournis par les oprateurs, sur les caractristiques techniques des communications assures par ces derniers et sur la localisation des quipements terminaux. Elles ne peuvent en aucun cas porter sur le contenu des correspondances changes ou des informations consultes, sous quelque forme que ce soit, dans le cadre de ces communications.
(2) La position du Conseil constitutionnel et de la CJCE

Le cadre juridique ainsi dfini a demble fait lobjet de contestations, manant en particulier de la socit des auteurs, compositeurs et diteurs de musique (SACEM) et du syndicat national de ldition phonographique (SNEP), qui lont considr comme insuffisamment protecteur du droit de la proprit intellectuelle. Ces deux organisations ont ainsi soulign la ncessit, dans le cadre de leurs actions de lutte contre le piratage sur Internet, de disposer de moyens efficaces pour reprer les transmissions illicites diffuses sur le rseau et connatre lampleur du trafic et de la frquentation des sites offrant des uvres protges dans des conditions illicites. Face ces contestations, la loi n 2004-801 du 6 aot 2004 modifiant la loi du 6 janvier 1978 relative linformatique, aux fichiers et aux liberts a largi la liste des personnes autorises, en application de larticle 9 de cette loi, mettre en uvre des traitements de donnes caractre personnel relatives aux infractions, condamnations et mesures de sret . Cette possibilit est dsormais ouverte, en ltat actuel du droit, sous rserve de lautorisation de la CNIL et aux seules fins dassurer la dfense des droits de leurs adhrents, aux socits de perception et de gestion des droits dauteur et des droits voisins ainsi quaux organismes de dfense professionnelle.

- 56 -

Dans sa dcision n 2004-499 DC du 29 juillet 2004, le Conseil constitutionnel a valid, avec des rserves dinterprtation, cette disposition, en considrant que : - cette disposition tend lutter contre les nouvelles pratiques de contrefaon qui se dveloppent sur le rseau Internet et rpond ainsi lobjectif dintrt gnral qui sattache la sauvegarde de la proprit intellectuelle et de la cration culturelle ; - nanmoins, les donnes ainsi recueillies ne pourront, en vertu de larticle L. 34-1 du code des postes et des communications lectroniques, acqurir un caractre nominatif que dans le cadre dune procdure judiciaire et par rapprochement avec des informations dont la dure de conservation est limite un an ; - en application des dispositions de la loi du 6 janvier 1978, la cration des traitements en cause est subordonne lautorisation de la CNIL ; - compte tenu de lensemble de ces garanties et eu gard lobjectif poursuivi, la disposition conteste est de nature assurer, entre le respect de la vie prive et les autres droits et liberts, une conciliation qui nest pas manifestement dsquilibre . La Cour de justice des communauts europennes a fait valoir une position similaire lorsque elle a t appele se prononcer sur la possibilit, pour une association de gestion de droits dauteur, dobtenir la communication auprs dun fournisseur daccs Internet, de donnes personnelles dabonns dans le cadre dune procdure civile. Dans sa dcision Productores de Musica de Espaa (Promusicae) du 29 janvier 2008, la Cour a ainsi soulign le fait que la prsente demande de dcision prjudicielle [soulevait] la question de la conciliation ncessaire des exigences lies la protection de diffrents droits fondamentaux, savoir, dune part, le droit au respect de la vie prive, et, dautre part, les droits la protection de la proprit et un recours effectif . En lespce, la Cour a jug que le droit communautaire nimposait pas aux Etats-membres de prvoir lobligation de communiquer des donnes caractre personnel en vue dassurer la protection effective du droit dauteur dans le cadre dune procdure civile. Elle a nanmoins considr que la directive vie prive et communications lectroniques n 2002/58 du 12 juillet 2002 ouvrait la possibilit aux Etats-membres de prvoir des exceptions lobligation de garantir la confidentialit des donnes caractre personnel, la protection du droit de proprit et les situations dans lesquelles les auteurs cherchent obtenir cette protection dans le cadre dune procdure civile pouvant entrer dans le cadre de ces exceptions. Le projet de loi favorisant la diffusion et la protection de la cration sur Internet adopt les 12 et 13 mai 2009 par le Parlement sinscrit dans le prolongement de ces jurisprudences. Le champ de larticle L. 34-1 du code des

- 57 -

postes et des communications lectroniques serait tendu au manquement lobligation dfinie larticle L. 336-3 du code de la proprit intellectuelle1 et les donnes de connexion pourraient tre communiques la Haute Autorit pour la diffusion des uvres et la protection des droits sur Internet. Cette Haute Autorit, dote du statut dautorit administrative indpendante, disposerait de garanties dimpartialit et dindpendance, et les titulaires des droits nauraient pas accs aux donnes personnelles des internautes2. Ce texte est actuellement en cours dexamen par le Conseil constitutionnel.
(3) Le dbat sur le statut de ladresse IP

Les dbats qui accompagnent la conciliation du droit la vie prive et des autres droits fondamentaux dans le cadre de lutilisation dInternet ont donn lieu une controverse sur le statut juridique de ladresse IP.

Quest-ce quune adresse IP ? Sur Internet, les ordinateurs communiquent entre eux grce au Protocole IP (Internet Protocol), qui utilise des adresses numriques, appeles adresses IP. Ces adresses sont composes de quatre nombres entiers compris chacun entre 0 et 255 et notes sous la forme xxx.xxx.xxx.xxx. Chaque ordinateur reli un rseau dispose dune adresse IP unique, ce qui lui permet de communiquer avec les autres ordinateurs du mme rseau. De mme, chaque site Internet dispose dune adresse IP, qui peut tre convertie en nom de domaine. Lattribution des adresses IP publiques relve de l'ICANN (Internet Corporation for Assigned Names and Numbers). Concrtement, chaque transmission de donnes sur le web donne lieu lenvoi dun paquet de donnes comprenant, quel que soit le type de communication (navigation sur le web, messagerie, tlphonie par Internet, etc.) ladresse IP de lexpditeur ainsi que celle du destinataire. Ainsi, lorsquun internaute consulte un site Internet, le serveur de ce dernier enregistre dans un fichier la date, lheure et ladresse IP de lordinateur partir duquel la consultation a t effectue, ainsi que les fichiers qui ont pu tre envoys. Le propritaire du site a ainsi accs aux adresses IP des ordinateurs qui se sont connects son site. Dans le cas particulier des logiciels de peer-to-peer (logiciels permettant le partage de fichiers entre internautes), des tiers peuvent galement rcuprer assez facilement les adresses IP des internautes se livrant la mise en ligne de fichiers pirats.

En soi, et contrairement un numro de tlphone par exemple, ladresse IP ne permet pas, la plupart du temps, didentifier directement linternaute. En effet, la diffrence des entreprises ou des grandes
Article nouveau, cr par la loi, aux termes duquel la personne titulaire de laccs des services de communication au public en ligne aurait lobligation de veiller ce que cet accs ne fasse pas lobjet dune utilisation des fins de reproduction, de reprsentation, de mise disposition ou de communication au public doeuvres ou dobjets protgs par un droit dauteur ou par un droit voisin sans lautorisation des titulaires des droits prvus aux livres Ier et II lorsquelle est requise. 2 Rapport n 53 (2008-2009) de M. Michel Thiollire, fait au nom de la commission des affaires culturelles, dpos le 22 octobre 2008, page 45.
1

- 58 -

institutions (type universits) qui disposent en gnral dune adresse IP fixe, les particuliers se voient en gnral attribuer, par leur fournisseur daccs, une adresse IP diffrente chaque connexion. Aussi, seul le fournisseur daccs sera capable de relier une adresse IP une personne physique, et condition de disposer galement de lheure et de la date de connexion1. Cette particularit de la distribution alatoire des adresses IP par les fournisseurs daccs Internet a conduit la treizime chambre de la cour dappel de Paris considrer que ladresse IP ne pouvait pas tre considre comme une donne personnelle : - dans un premier arrt en date du 15 mai 2007, les juges ont considr que cette srie de chiffres [ne constituait] en rien une donne indirectement nominative la personne dans la mesure o elle ne se rapporte qu une machine, et non lindividu qui utilise lordinateur pour se livrer la contrefaon ; - puis, dans un arrt dat du 27 avril 2007, la cour a estim que ladresse IP ne [permettait] pas didentifier le ou les personnes qui ont utilis cet ordinateur puisque seule lautorit lgitime pour poursuivre lenqute (police ou gendarmerie) peut obtenir du fournisseur daccs lidentit de lutilisateur . Ces deux dcisions ont donn lieu un certain nombre de critiques fortes. En effet, considrer que ladresse IP ne constitue pas une donne personnelle aboutirait exclure du champ dapplication de la loi informatique et liberts du 6 janvier 1978 modifie et du contrle de la CNIL lensemble des traitements raliss partir de la collecte dadresses IP. Ces deux dcisions ont suscit la raction du G29, qui, dans un avis du 20 juin 2007, a rappel quil considrait que ladresse IP attribue un internaute lors de ses communications devait tre regarde comme une donne caractre personnel. Cette dernire position a t suivie par la CJCE lorsque celle-ci a t appele se prononcer sur une affaire relative la lutte contre le piratage (arrt Promusicae du 29 janvier 2008 prcit)2. Cette solution a enfin t confirme loccasion de la rvision de la directive 2002/58/CE concernant le traitement des donnes caractre personnel et la protection de la vie prive dans le secteur des communications

Tout cela sous rserve que ladresse IP nait pas fait lobjet dune usurpation de la part dinternautes malveillants, ce que permettent malheureusement lheure actuelle certains logiciels. 2 Dans cette dcision, la Cour a estim que la communication, sollicite par Promusicae, des noms et des adresses de certains utilisateurs de KaZaA implique la mise disposition de donnes caractre personnel, c'est--dire dinformations sur des personnes physiques identifies ou indentifiables, conformment la dfinition figurant larticle 2, sous a), de la directive 95/46 .

- 59 -

lectroniques : la directive 2006/24/CE1 dispose dsormais dans son article 2 que les donnes caractre personnel incluent les donnes relatives au trafic et les donnes de localisation ainsi que les donnes connexes ncessaires pour identifier labonn ou lutilisateur, ce qui inclut donc ladresse IP. En France, nanmoins, la question demeure confuse. Dans une dcision rendue le 13 janvier 2009, la Chambre criminelle de la Cour de cassation a considr que, lorsque la collecte des adresses IP seffectue la main , et non au moyen dun traitement informatique automatis, lautorisation de la CNIL nest pas requise. Ce faisant, la Chambre criminelle na pas tranch le dbat relatif au statut de ladresse IP, ce qui semble particulirement regrettable au regard du flou juridique qui subsiste sur cette question. b) Linflation de pratiques commerciales anonymement intrusives Lattention de vos rapporteurs a par ailleurs t attire sur les innombrables opportunits quoffre Internet aux socits prives, rgies publicitaires et moteurs de recherche en termes de profilage des internautes, des fins commerciales. Cet aspect du traage sur Internet doit tre distingu de celui prcdemment examin en ce que, dans la grande majorit des cas, ce traage demeure anonyme : le comportement de linternaute sur Internet importe davantage que les informations relatives son identit relle. Il nen demeure pas moins que de telles pratiques de profilage, ralises le plus souvent linsu des internautes, peuvent aboutir la collecte dinformations nombreuses et tre ressenties, juste titre, comme vritablement intrusives.
(1) Le profilage sur Internet

Comme le montre une tude ralise rcemment par la CNIL2, il y a lieu de distinguer trois types de publicit cible sur Internet : La publicit personnalise classique a pour but de cibler la publicit propose un internaute en fonction dinformations (ge, sexe, localisation, etc.) quil a lui-mme renseignes. Ce type de publicit est aujourdhui galement utilis par les rseaux sociaux en fonction des informations (qui peuvent tre particulirement nombreuses) fournies par leurs utilisateurs dans leurs profils (voir infra). La publicit contextuelle est une publicit qui est choisie en fonction du contenu immdiat consult ou sollicit par linternaute (contenu contextuel de la page consulte, relation avec le ou les mots-cls saisi(s) sur un moteur de recherche, etc.), cette information tant parfois complte par
Relative la conservation des donnes gnres ou traites dans le cadre de la fourniture de services de communications lectroniques accessibles au public ou de rseaux publics de communications et modifiant la directive 2002/58/CE. 2 La publicit cible en ligne , communication prsente par M. Bernard Peyrat, rapporteur, en sance plnire le 5 fvrier 2009, disponible sur le site Internet de la CNIL.
1

- 60 -

des informations de golocalisation dduites de ladresse IP de linternaute (pays ou rgion dorigine, langue utilise) ou, dans le cas dun moteur de recherche, par la prcdente requte formule par linternaute. Enfin, la publicit comportementale est probablement la forme de profilage la plus labore, en ce quelle vise observer le comportement de linternaute travers le temps, en tablissant un profil de ce dernier en fonction des diffrents sites consults, des mots-cls saisis et des contenus produits, et lui proposer des publicits adaptes ce profil. Parmi les diffrentes techniques permettant de constituer de tels profils, la plus connue et la plus employe est celle des cookies .
Que sont les cookies ? Les cookies sont de petits fichiers dune centaine doctets que le navigateur utilis par linternaute (Internet Explorer, Opra, etc.) installe sur le disque dur de ce dernier la demande du site consult. Crs en 1994 par des ingnieurs de Netscape, les cookies sont galement appels mouchards lectroniques ou tmoins de connexion . Leur objet est de permettre au site qui les a envoys de reconnatre linternaute en stockant un certain nombre dinformations : adresse IP, systme dexploitation et navigateur utiliss, pages consultes, nombre de visites du site, etc. En cela, les cookies permettent de faciliter la navigation, en mmorisant un certain nombre dinformations que linternaute naura pas ressaisir ultrieurement (par exemple, un cookie permettra un internaute faisant ses achats en ligne de conserver en mmoire les produits placs dans le panier virtuel et de les prsenter sur la facture finale). Toutefois, les cookies permettent galement au fournisseur de contenu ou la rgie publicitaire de conserver en mmoire un grand nombre dinformations relatives aux habitudes de navigation de linternaute, et ce mme si ce dernier possde une adresse IP dynamique et variable (cf. supra), leur offrant ainsi la possibilit de lui proposer des publicits conformes ses prfrences (telles quelles auront t dduites des informations collectes). (2) Des stratgies indissociables du modle conomique dInternet

La publicit sur Internet reprsente un secteur en pleine expansion : selon une tude ralise par le cabinet Precepta et rendue publique en avril 2009, le secteur de la publicit en ligne a gnr 2,5 milliards deuros de revenus en 2008, ce qui reprsente une augmentation de + 6,5 % sur un an. Ltude prvoit une croissance annuelle de ses revenus de 7 10 % dici 2014, avant un ralentissement probable partir de 2015, du fait de la baisse attendue des prix cause par la multiplication des espaces disponibles sur Internet et au comportement considr comme agressif des rgies publicitaires. Une telle croissance nest que la contrepartie du modle conomique sur lequel fonctionne un certain nombre de socits de lInternet, celles qui offrent aux internautes des services dits gratuits , financs en ralit de faon majoritaire par la publicit cible. Par exemple, le service de messagerie lectronique (gratuit) Gmail, fourni par Google, est financ par les publicits affiches en fonction du

- 61 -

reprage dun certain nombre de mots-cls figurant dans le contenu des correspondances changes. Il en est de mme de lensemble des moteurs de recherche dits gratuits . Ces socits se dfendent de participer linstauration dune socit de surveillance dans la mesure o, font-ils valoir, la collecte de ces informations demeure anonyme : le but nest pas dpier les comportements dutilisateurs identifis mais de parvenir une personnalisation des services proposs, au double bnfice de linternaute et de lannonceur publicitaire. Vos rapporteurs sont conscients du confort que peut reprsenter pour certains internautes une telle personnalisation des services proposs. Encore faut-il que ces derniers aient t pleinement informs des outils de profilage utiliss leur encontre et quils aient eu le moyen de sopposer ce que les donnes relatives leur navigation fassent ainsi lobjet dune collecte. Or, comme le montre la CNIL dans son tude prcite, en labsence de transparence de la part des fournisseurs de contenu ou de services sur les mcanismes de profilage et sur les donnes collectes, linternaute peut percevoir ces mcanismes comme trs intrusifs 1. Le G29 la galement relev dans son avis du 20 juin 2007 relatif au concept de donnes caractre personnel : Sur lInternet aussi, les outils de surveillance du trafic permettent de cerner facilement le comportement dune machine, et, derrire celle-ci, de son utilisateur. On reconstitue ainsi la personnalit de lindividu pour lui attribuer certaines dcisions. Sans mme senqurir du nom et de ladresse de la personne, on peut la caractriser en fonction de critres socio-conomiques, psychologiques, philosophiques ou autres et lui attribuer certaines dcisions, dans la mesure o le point de contact de la personne (lordinateur) ne ncessite plus ncessairement la rvlation de son identit au sens troit du terme. En dautres termes, la possibilit didentifier une personne nimplique plus ncessairement la facult de connatre son identit 2. Pour illustrer la possibilit didentifier relativement aisment des utilisateurs partir de donnes pourtant thoriquement anonymes, on peut citer laffaire AOL : au cours de lt 2006, ce prestataire de services a publi un chantillon des requtes, accompagnes des liens cliqus pour chacune dentre elles, effectues par 650.000 utilisateurs sur une priode de trois mois. AOL avait certes remplac les noms des utilisateurs par des numros. Nanmoins, des journalistes ont rapidement dcouvert que ces rsultats permettaient souvent de remonter aux diffrents utilisateurs, en
Op. cit., page 22. G29, avis 4/2007 sur le concept de donnes caractre personnel, adopt le 20 juin 2007, page 15.
2 1

- 62 -

partant des recherches de vanit (les utilisateurs recherchent souvent des informations sur eux-mmes) et des combinaisons de requtes effectues par un seul utilisateur1.
(3) Le cas particulier des moteurs de recherche

Ce dernier exemple illustre par ailleurs les difficults spcifiques souleves par les moteurs de recherche en matire de droit au respect de la vie prive. Les moteurs de recherche constituent en effet un cas tout fait particulier, du fait de leur double fonction de prestataires de services et de fournisseurs de contenus.
Les moteurs de recherche sont des services qui permettent aux internautes de trouver facilement des informations sur Internet. Leur fonctionnement est bas sur le traitement et la mise en ordre dinformations partir de lexploration et de lindexation systmatique des sites accessibles sur le net. Services gratuits dans limmense majorit des cas, leur rentabilit dpend avant tout de lefficacit de la publicit qui accompagne les rsultats des recherches effectues.

Comme lexplique clairement lavis du G29 consacr aux aspects de la protection des donnes lis aux moteurs de recherche2, dune part, en tant que prestataires de services aux utilisateurs, les moteurs de recherche collectent et traitent de grandes quantits de donnes dutilisateur, dont celles recueillies par des moyens techniques, tels que les cookies . Les donnes collectes peuvent aller de ladresse IP des diffrents utilisateurs, ou dhistoriques de recherche complets, ou encore de donnes fournies par les utilisateurs eux-mmes lorsquils sinscrivent en vue dutiliser des services personnaliss. [] Dautre part, en tant que fournisseurs de contenus, les moteurs de recherche contribuent rendre les publications sur Internet facilement accessibles aux quatre coins de la plante. Certains moteurs de recherche republient des donnes dans ce que lon appelle une mmoire cache . Or, en recherchant et en regroupant des informations courantes de divers types au sujet dune personne, ils peuvent crer un nouveau profil, avec un risque beaucoup plus grand pour la personne concerne que si toutes les donnes publies sur Internet restaient spares les unes des autres. Les capacits de reprsentation et dagrgation des moteurs de recherche peuvent nuire considrablement aux individus, tant dans leur vie personnelle quau sein de la socit, en particulier si les donnes caractre personnel qui figurent dans les rsultats de recherche sont inexactes, incompltes ou excessives .

A titre dillustration, des journalistes du New York Times sont par exemple parvenus identifier lutilisateur 4417749 , une veuve de 62 ans, grce la liste de ses requtes (lies aux taxes locales en vigueur dans sa ville, ses trois chiens, sa sant, son sentiment de solitude, etc.) ; le Guardian est parvenu de son ct dcrire la vie dun homme, habitant dune ville de Floride, fan de football portugais, qui apprend que sa femme a une relation extraconjugale et qui se met boire avant de faire appel aux services dun medium ; etc. 2 G29, avis 1/2008 sur les aspects de la protection des donnes lis aux moteurs de recherche, adopt le 4 avril 2008.

- 63 -

Les moteurs de recherche, considrs dans leurs fonctions de prestataires de services, ont rcemment fait lobjet de lattention soutenue du G29. En effet, il est apparu que ces derniers conservaient un trs grand nombre de donnes relatives leurs utilisateurs1 pendant des priodes excdant parfois une anne (la dure de conservation varie en fonction des socits), les moteurs de recherche faisant valoir que la conservation de ces donnes est ncessaire la qualit du service rendu, la prvention des fraudes et la scurisation du systme, ainsi qu des fins comptables et statistiques. Dans son avis prcit, le G29 na pas contest les finalits ainsi mises en avant, mais il a dnonc la dure, selon lui excessive, au cours de laquelle lensemble des donnes relatives aux utilisateurs taient conserves. Le dbat sest ainsi recentr sur la question des dlais de conservation des donnes personnelles par les moteurs de recherche (cf. supra). Lactivit des moteurs de recherche en tant que fournisseurs de contenus soulve davantage de difficults. En effet, en tant quintermdiaires (les moteurs de recherche ne font que fournir lutilisateur les liens vers des informations que celui-ci recherche et qui sont publies sur un certain nombre de sites web), ils ne peuvent juridiquement tre considrs comme les principaux responsables du traitement des donnes caractre personnel effectu : dans le cas de la publication dune information concernant un internaute sur un site Internet, ce dernier doit se retourner vers le gestionnaire de ce site pour faire valoir ses droits daccs, de rectification et dopposition2. Tout au plus linternaute peut-il solliciter la dsindexation des sites contenant des informations lui portant tort3. Nanmoins, en labsence de la coopration et de la bonne volont du gestionnaire dun site comportant des informations personnelles quune personne souhaiterait voir effaces, voire mme de la capacit didentifier ce gestionnaire (cette question se pose avec dautant plus dactualit si celui-ci est implant en dehors du territoire europen et ne sestime pas li par la rglementation communautaire), linternaute peut se trouver dans lincapacit de faire rectifier ou supprimer des informations lui portant
Par exemple, Google conserve systmatiquement les donnes suivantes : termes de la requte, adresse consulte, adresse IP de linternaute, heure et date de la recherche, systme dexploitation, type de navigateur, identifiant de cookie. 2 Les exceptions sont lexistence dune mmoire cache long terme et les oprations valeur ajoute effectues sur les donnes caractre personnel, telles que les moteurs de recherche destins tablir des profils de personnes physiques. Lorsquils fournissent ce type de services, le G29 considre que les moteurs de recherche doivent tre tenus pour entirement responsables au regard des obligations que leur impose la directive 95/46/CE, et quils doivent en respecter lensemble des dispositions. 3 Ainsi, dans certains Etats membres de lUnion europenne, les autorits de protection des donnes ont spcifiquement rglement lobligation des fournisseurs de moteurs de recherche de retirer des donnes de contenu de lindex de recherche, sur la base du droit dopposition consacr larticle 14 de la directive 95/46/CE sur la protection des donnes et de la directive 2000/31/CE sur le commerce lectronique.
1

- 64 -

tort et aisment disponibles via les moteurs de recherche. Cette difficult a t voque par nombre des interlocuteurs rencontrs par vos rapporteurs, qui se sont interrogs sur lopportunit de consacrer un droit loubli (voir infra).

Faire supprimer une page web contenant des informations personnelles (extrait du rapport dactivit de la CNIL pour 2007) Lorsquun internaute demande la suppression de la diffusion de donnes le concernant auprs de lditeur dun site web, ce dernier drfrence la page en question mais linformation peut rester un certain temps disponible sur Internet, ce qui suscite parfois ractions et plaintes auprs de la CNIL de linternaute, estimant que ses demandes nont pas t prises en compte. Quen est-il ? Les moteurs de recherche conservent temporairement une copie de toutes les pages que leurs moteurs dindexation visitent. Interrog sur ce point par la CNIL, Google a prcis que lorsquune page est supprime par lditeur du site, cette page est galement supprime des rsultats de recherche, y compris sa version cache lors de la prochaine indexation du site par le robot du moteur de recherche. Or, le dlai de rindexation dun site varie en fonction de diffrents critres tels que la popularit ou la frquence dactualisation du site, mais intervient en moyenne toutes les deux trois semaines (certains sites dactualit par exemple, pouvant faire lobjet dune mise jour quasi quotidienne). Durant cet intervalle de temps, la version cache dune page peut encore potentiellement tre consulte alors que cette page nest plus diffuse sur son site dorigine.

c) De la difficult pour les internautes faire valoir leurs droits Internet offre ainsi des possibilits sans prcdent de profilage et de traage de ses utilisateurs, alors qu linverse, un certain nombre de contraintes techniques limitent en pratique la capacit des internautes faire valoir leurs droits (information pralable, droits daccs, de rectification et dopposition) dans cet espace virtuel. Prenons lexemple des cookies. En thorie, et conformment aux dispositions de la loi informatique et liberts, linternaute a la matrise de linstallation des cookies sur son ordinateur. Il dispose ainsi du droit dtre inform de linstallation sur son disque dur de ces tmoins de connexion, et de celui de sy opposer1.

Larticle 32 II de la loi dispose en effet que toute personne utilisatrice des rseaux de communications lectroniques doit tre informe de manire claire et complte par le responsable du traitement ou son reprsentant : - de la finalit de toute action tendant accder, par voie de transmission lectronique, des informations stockes dans son quipement terminal de connexion, ou inscrire, par la mme voie, des informations dans son quipement terminal de connexion ; - des moyens dont elle dispose pour sy opposer.

- 65 -

Dans la pratique, nanmoins, cette matrise se rvle le plus souvent illusoire. Comme le montre ltude prcite ralise par la CNIL : Si linternaute bloque tous les cookies, il ne peut pratiquement utiliser aucun service aujourdhui sur Internet. Si linternaute choisit dautoriser individuellement chaque cookie au cas par cas, il se retrouve avec un nombre incessant de messages de confirmation qui deviennent vite pnalisants pour la navigation. Enfin, lalternative consistant raliser une suppression manuelle des cookies chaque fin de session est galement peu pratique. Aujourdhui, ces contraintes font quen ralit, la plupart des internautes noptent pas pour une politique relle de contrle des cookies 1. En outre, la plupart du temps, les navigateurs sont configurs par dfaut pour accepter les cookies. Qui plus est, la plupart des internautes ne sont le plus souvent pas conscients de la masse de donnes les concernant qui sont collectes chaque instant de la navigation. En labsence dune information pralable claire et complte, ils se retrouvent de facto dans lincapacit de prendre des dcisions claires ce sujet. Prenons galement lexemple des rseaux sociaux : alors quen thorie, lensemble du dispositif de la loi informatique et liberts trouve sappliquer, lexercice par les individus de lensemble des droits que leur reconnat la loi savre en pratique totalement illusoire. Comment, par exemple, envisager quun individu fasse valoir ses droits dautorisation pralable, de rectification et dopposition concernant des donnes le concernant quaurait rendues publiques, via un rseau social, un ami, un collgue ou un parent ? En pratique, les solutions proposes par le dispositif de la loi informatique et liberts ne sont ainsi que trs imparfaitement satisfaisantes. Un tel constat a convaincu vos rapporteurs, dune part, de la ncessit de renforcer substantiellement linformation et la sensibilisation des internautes aux traces quils laissent sur Internet (voir infra), et, dautre part, du rle essentiel jou par les autorits en matire de rgulation des pratiques de traage dveloppes sur Internet. A cet gard, vos rapporteurs ont pris connaissance avec satisfaction des rcentes positions prises par un certain nombre de membres de la Commission europenne en faveur de la protection des donnes sur Internet. Alors que la commissaire en charge de la protection des consommateurs, Mme Meglena Kuneva, a demand fin mars 2009 aux socits de lInternet de dfinir des principes clairs et accessibles en matire de collecte dinformations personnelles des fins commerciales, Mme Viviane Reding, commissaire
1

Op. cit., page 24.

- 66 -

charge de la socit de linformation et des medias, sest rcemment inquite du dveloppement des systmes de publicit comportementale, dclarant notamment que nous ne pouvons pas [] avoir tous nos changes surveills, compils et stocks, contre la promesse de publicits plus appropries . Le mme jour1, la Commission europenne engageait une procdure dinfraction lencontre du Royaume-Uni, aprs avoir t informe par des internautes britanniques et des membres du Parlement europen de lutilisation par des fournisseurs daccs Internet britanniques dune technologie de publicit comportementale dnomme Phorm. Dans cette affaire, la Commission europenne reproche la lgislation britannique de ne pas permettre aux autorits de disposer des pouvoirs ncessaires et des sanctions appropries pour mettre en uvre la lgislation communautaire en matire de confidentialit des communications. Vos rapporteurs, qui ont eu lopportunit de dialoguer avec un certain nombre de reprsentants de la Commission europenne loccasion de leur dplacement Bruxelles, esprent que le renforcement de la protection des donnes personnelles continuera figurer parmi les priorits de la prochaine Commission, qui sera appele entrer en fonctions au second semestre 2009. III. LES RECOMMANDATIONS DE VOS RAPPORTEURS Au terme des auditions auxquelles ils ont procd, vos rapporteurs ont acquis la conviction quil tait indispensable de conserver les grands principes fondateurs de la protection des donnes, dont lensemble de leurs interlocuteurs ont soulign ladaptabilit et la pertinence. En revanche, il leur a sembl que trois pistes de rflexion mritaient dtre explores : - en premier lieu, il leur semble indispensable dengager un important travail dducation et de sensibilisation de lensemble des citoyens, afin que ceux-ci aient la possibilit de se saisir pleinement des enjeux relatifs la vie prive lheure du numrique ; - en second lieu, il leur a sembl ncessaire de prconiser un renforcement des moyens de la CNIL, afin de lui permettre de faire face des dveloppements technologiques en progression constante et dans des domaines les plus varis ; - enfin, un certain nombre de complments et damliorations la marge leur semblent pouvoir tre apports au dispositif de la loi informatique et liberts .

Le 14 avril 2009.

- 67 -

A. FAIRE DU CITOYEN UN HOMO NUMERICUS LIBRE ET CLAIR, PROTECTEUR DE SES PROPRES DONNES

1. Renforcer lducation et linformation du citoyen Comme le montre le Professeur Yves Poullet, en matire de nouvelles technologies, nous nous trouvons souvent dans la situation de Joseph K., le hros du Procs de F. Kafka, qui se retrouve un jour au centre dun procs sans savoir qui sont ses accusateurs, quel est lobjet de la plainte ni quelles sont les charges retenues contre lui : lopacit des systmes dinformation conduit ainsi une mfiance gnrale des individus, quaccompagne une tendance gnrale au conformisme et au mimtisme social. Ces analyses se refltent trs largement dans les sondages. Ainsi, un sondage Eurobaromtre ralis sur un chantillon de jeunes gens gs de 15 24 ans montre que 33 % seulement dentre eux ont conscience de leurs droits en matire de donnes caractre personnel ; 18 % peine connaissent lexistence des autorits nationales de contrle de la protection des donnes, et 20 % seulement jugent sre la transmission des donnes caractre personnel par Internet. Or, en dpit de ce dficit dinformation et de la mfiance que celui-ci induit, les jeunes sont aujourdhui les utilisateurs les plus familiers dInternet et des nouvelles technologies. Une telle situation prsente des risques pour le respect du droit la vie prive. Comme le montrent les Professeurs Yves Poullet et Antoinette Rouvroy, prenant appui sur une dcision de la Cour constitutionnelle fdrale allemande de 1983, lopacit des systmes et linformation dficiente procure aux citoyens conduit ces derniers simposer des restrictions et sautocensurer, par crainte dadopter des comportements qui seraient considrs comme tranges par des tiers. En labsence dune sensibilisation suffisante au fonctionnement des nouvelles technologies, nous sommes conduits, dans le doute, nous conformer au comportement majoritaire, au dtriment de notre libert exercer nos propres choix1. Au terme des auditions auxquelles ils ont procd, vos rapporteurs en sont ainsi parvenus la conclusion que la mise en uvre de la notion de respect de la vie prive ne peut tre assure sans limplication pleine et entire des individus et quune sensibilisation de ces derniers lusage des nouvelles technologies constitue un pralable indispensable la protection des donnes personnelles. Ce constat aboutit prconiser, dune part, un renforcement substantiel de lducation des citoyens, et en particulier des plus jeunes, aux enjeux de protection des donnes, et, dautre part, une amlioration des conditions dans lesquelles les individus sont incits faire valoir leurs droits.

Yves Poullet, Antoinette Rouvroy, Le droit lautodtermination informationnelle et la valeur du dveloppement personnel. Une rvaluation de limportance de la vie prive pour la dmocratie, en cours de publication.

- 68 -

a) Lducation des citoyens la protection des donnes : un enjeu de gnration En matire de nouvelles technologies, les rapports entre gnrations sont inverss : non seulement, les plus jeunes sont les plus frquents utilisateurs de nouvelles technologies, mais ce sont souvent eux qui initient leurs parents et grands-parents lusage de ces nouveaux outils de communication. Certes, les parents ont un rle essentiel en matire dducation au comportement de faon gnrale, et notamment au respect dautrui. Mais les nouvelles technologies prsentent en pratique un certain nombre de spcificits techniques face auxquelles une grande partie de nos compatriotes demeurent dmunis. Dans ces conditions, il a sembl vident vos rapporteurs que la sensibilisation des plus jeunes la question de la protection des donnes personnelles devait tre assure par lcole, car non seulement cette sensibilisation nest peut-tre pas toujours assure la maison, mais galement car ces jeunes peuvent avoir leur tour un rle jouer en termes dinformation et de sensibilisation de leur entourage plus g.
(1) Une prise en compte par les programmes scolaires encore insuffisante

Les programmes de lEducation nationale intgrent depuis peu la sensibilisation la question de la protection des donnes personnelles, au moyen du brevet informatique et Internet (B2I). Cr en 2001 et gnralis lensemble de lenseignement scolaire en 2006, le B2I constitue, depuis la session 2008, un pralable la dlivrance du diplme national du brevet. Ses objectifs, tels quils sont noncs dans le Bulletin officiel du ministre de lEducation nationale du 16 novembre 2006, est de faire acqurir par chaque lve les comptences lui permettant dutiliser de faon rflchie et efficace [les technologies de linformation et de la communication] et de contribuer former ainsi des citoyens autonomes, responsables, dous desprit critique . Parmi les comptences que devront acqurir lves, collgiens et lycens figure un domaine n 2 intitul adopter une attitude responsable , lequel intgre notamment une ducation aux rgles lmentaires du droit de linformatique et de lInternet ainsi quune sensibilisation la notion de respect de la vie prive de soi-mme et dautrui sur Internet. Nanmoins, les modalits de mise en uvre de ce B2I prsentent un certain nombre de spcificits qui nont pas pleinement convaincu vos rapporteurs. En effet, aux termes du B.O. prcit, tous les enseignants ont vocation valider les items constitutifs des comptences qui figurent dans les feuilles de position du B2I : les comptences exiges du B2I ne font lobjet daucune heure denseignement spcifique, puisquelles ont vocation tre acquises loccasion de lensemble des enseignements par ailleurs dispenss (histoire-gographie, cours de langue, etc.). En outre, aucune formation

- 69 -

continue des enseignants nest mise en place (alors que lensemble des enseignants ont vocation faire valider ces comptences), si ce nest en formation initiale, ce qui semble nettement insuffisant. Au regard des enjeux que soulve aujourdhui lutilisation de plus en plus massive des nouvelles technologies par nos concitoyens, il semble indispensable vos rapporteurs quune sensibilisation la question de la protection des donnes soit intgre dans lenseignement dispens aux enfants comme une question part entire. Vos rapporteurs estiment en particulier quune telle question pourrait lgitimement trouver sa place au sein des programmes dducation civique. Recommandation n 1 : Renforcer la place accorde la sensibilisation aux questions de protection de la vie prive et des donnes personnelles dans les programmes scolaires.
(2) Une mobilisation de lensemble des acteurs

Vos rapporteurs se flicitent en revanche de leffort substantiel accompli ces dernires annes par les pouvoirs publics pour quiper les tablissements scolaires en postes informatiques dots dune connexion Internet. Cette question constitue en effet un pralable indispensable lducation des plus jeunes linformatique, et tout particulirement des plus dfavoriss qui ne disposent pas dun accs Internet domicile. Ainsi, en mars 2009, le ministre de lEducation nationale a officiellement engag, dans le cadre du plan de relance , la mise en uvre dun programme consacr au dveloppement du numrique dans les coles rurales. Ce programme, dot dun budget de 50 millions deuros, prvoit lquipement de 5.000 coles situes dans des communes de moins de 2.000 habitants. Ce programme associera au plus prs les collectivits territoriales, qui jouent dj un rle essentiel en matire dducation des plus jeunes aux questions de protection des donnes personnelles. Lattention de vos rapporteurs a en effet t appele sur les actions de sensibilisation organises par un certain nombre dassociations ou de socits en partenariat avec les tablissements scolaires et les collectivits locales. Par exemple, lagence Calysto, spcialise dans laccompagnement aux usages dInternet1, est lorigine du Tour de France des collges et des coles , une action dinformation et de sensibilisation aux enjeux de lInternet destination des 9-18 ans, mene en partenariat avec le ministre de lEducation nationale et avec le ministre de la Culture. De son ct, lassociation Action Innocence, engage dans lducation des jeunes lutilisation responsable dInternet, a effectu 135 interventions en 2007, destination de prs de
1

Cette socit prive a sign avec le ministre de lEducation nationale le 13 septembre 2004 une convention de coopration pour laccompagnement des lves, des familles et du corps enseignant dans lutilisation des nouvelles technologies.

- 70 -

5.000 enfants et adolescents, 1.500 parents dlves et plus de 500 professionnels de lenfance. Google a quant lui particip au financement du Tour de France des collges et des coles ainsi qu llaboration du jeu pdagogique Cherchenet .
Lexemple dune action de sensibilisation mene en partenariat avec le ministre de lEducation nationale : le jeu ducatif Cherchenet Le 24 mars 2009, un jeu-concours baptis Cherchenet , destin aux lves des classes de 6me et de 5me, a t lanc par la socit Google et lagence Calysto, en partenariat avec le ministre de lEducation nationale et lassociation La Voix de lEnfant. Il sagit dun jeu ducatif dont lobjectif est de former les collgiens de manire ludique aux bons usages dInternet. Les enfants sont invits, travers la rsolution dnigmes et la cration dun blog collectif, adopter une attitude responsable sur Internet. Le jeu a en effet pour but de leur permettre dadopter les comptences suivantes : - prparer un travail, une recherche sur Internet, en respectant les droits de proprit intellectuelle, - rechercher efficacement en vrifiant les sources dinformation, - apprendre protger sa vie prive et celle des autres sur les rseaux sociaux ou les blogs, - apprendre sappliquer, rdiger, mme sur Internet et mettre de ct le langage SMS . Dbut mai 2009, soit six semaines aprs son lancement, 877 classes staient portes candidates ce jeu-concours dont les rsultats seront connus au dbut du mois de juin.

En outre, vos rapporteurs se flicitent de la signature, en janvier 2009, dune Convention de partenariat entre la CNIL et la Dfenseure des enfants destine renforcer les actions de sensibilisation la question de la protection des donnes sur Internet destination des jeunes tout autant que de ceux qui en ont la responsabilit (parents, enseignants, ducateurs). Lensemble de ces actions sinscrivent pleinement dans le plan de dveloppement de lconomie numrique appel France numrique 2012 prsent par M. Eric Besson, alors secrtaire dEtat charg du dveloppement de lconomie numrique, en octobre 2008. En particulier, laction n 80 prconise par ce plan invite la CNIL mettre en place une campagne de sensibilisation informatique et liberts destination du grand public, et en tout premier lieu des jeunes, pour bien faire comprendre les risques inhrents la diffusion sur Internet des donnes sur leur vie prive, par exemple sur les rseaux sociaux, mieux faire connatre les rgles de protection des donnes et ainsi leur permettre de protger plus efficacement leur vie prive .

- 71 -

Vos rapporteurs ne peuvent que saluer et encourager ces initiatives destines mieux sensibiliser les enfants et les adolescents aux questions de droit au respect de la vie prive et la protection des donnes personnelles. b) Linformation des citoyens, pralable ncessaire la mise en uvre du consentement
(1) Une information encore insuffisante

Vos rapporteurs ont t interpells par la remarque faite par plusieurs des interlocuteurs amricains quils ont eu loccasion de rencontrer dans le cadre de llaboration du prsent rapport : ceux-ci ont certes convenu que la France disposait dune lgislation trs complte et protectrice en matire de protection des donnes, mais ont fait observer que, dans les faits, il tait trs difficile aux individus de faire valoir les droits que cette loi leur reconnat, faute de disposer dune information claire et complte sur lexercice de ces droits. Lexemple le plus souvent cit vos rapporteurs a t celui des htels qui procdent lenregistrement de leurs clients : dans les faits et en rgle gnrale, aucune information nest donne ces derniers concernant la finalit dune telle collecte, la dure pendant laquelle ces donnes sont conserves ou encore le nom du responsable de traitement auquel sadresser pour pouvoir exercer son droit daccs et de rectification. Or, labsence dune telle information rend particulirement difficile et coteuse lexercice de leurs droits par les citoyens, ce qui cre le risque de priver dineffectivit les dispositions de la loi informatique et liberts . Larticle 32 de la loi du 6 janvier 1978 modifie oblige certes le responsable dun traitement mettre les personnes concernes par les informations quil a collectes et quil dtient en mesure dexercer pleinement leurs droits. Pour cela, il doit leur communiquer son identit, la finalit du traitement (par exemple : gestion de clientle, prospection commerciale, etc.), le caractre obligatoire ou facultatif des rponses, les destinataires des informations, lexistence de droits ainsi que les transmissions envisages. Nanmoins, faute pour les citoyens de connatre leurs droits, les formules ainsi imprimes au verso des formulaires tendent revtir un caractre incantatoire. Cest la raison pour laquelle vos rapporteurs appellent de leurs vux une grande campagne de sensibilisation destine informer les citoyens des droits qui leur sont reconnus par la loi informatique et liberts . En effet, un sondage Eurobaromtre ralis il y a quelques mois a montr que les deux tiers de nos compatriotes ne connaissaient pas cette loi ni les droits quelle reconnat.

- 72 -

(2) Une implication encore timide de la socit civile

Corrlativement, vos rapporteurs ne peuvent quencourager les associations de dfense des citoyens investir davantage le champ de la protection de la vie prive et des donnes caractre personnel et, au-del des seuls enjeux relatifs aux fichiers de police et aux bases de donnes publiques, se saisir pleinement de lensemble de la problmatique de la compatibilit entre dveloppement technologique et respect de la vie prive. A cet gard, vos rapporteurs ont t particulirement intresss par les changes quils ont pu avoir, loccasion de leur dplacement Madrid, avec les membres de la Comisin de Libertades e Informtica (CLI), une association indpendante fdrant un grand nombre de structures diverses de la socit civile (syndicats, associations dinternautes, etc.) autour des questions relatives la protection de la vie prive et des droits des citoyens lheure du numrique. Il leur est apparu que cette association, indpendante des pouvoirs publics, stait pleinement engage sur un certain nombre de terrains pour faire avancer la question de la protection des donnes en Espagne : recours devant les tribunaux, rdaction de manuels (y compris en langues rgionales) destins sensibiliser les enfants aux enjeux de la protection des donnes, prises de position publiques sur un grand nombre de sujets (RFID, dossier mdical personnel, etc.), etc. Partant du constat que, selon un sondage quils avaient fait raliser, 90 % des personnes souhaitaient mieux connatre leurs droits face la monte en puissance des nouvelles technologies, les membres de la CLI ont plaid auprs de vos rapporteurs en faveur dune sensibilisation de lensemble des Europens ces enjeux, organise lchelle de lUnion europenne.
(3) Un pralable la mise en uvre du consentement

A lissue des auditions auxquelles ils ont procd, vos rapporteurs ont acquis la conviction quun tel travail de sensibilisation et dinformation constituait un pralable indispensable la mise en uvre de la notion de consentement, qui figure de multiples reprises dans le texte de la loi. Corrlativement, il leur a sembl quune telle question dpassait de loin la simple dichotomie opt in / opt out , qui est frquemment mise en avant ds que lon aborde la question de la protection des donnes. Ces deux modalits de mise en uvre du consentement prsentent en effet chacune des avantages et des inconvnients : L opt out dsigne la possibilit offerte un citoyen de ne pas participer une collecte de donnes personnelles. Il sagit a priori de loption la moins protectrice de la vie prive, puisque, par dfaut, lindividu est suppos consentir la collecte de ses donnes.

- 73 -

L opt in , plus protectrice en termes de respect de la vie prive, dsigne la possibilit offerte au citoyen de participer, au cas par cas, la collecte de ses donnes. En pratique, la mise en uvre dune telle option peut nanmoins savrer parfois contraignante. Il a sembl vos rapporteurs quil ntait pas possible de trancher a priori cette question, qui demeure avant tout une affaire despce et de sensibilit de chacun aux donnes quil choisit de divulguer, en fonction des enjeux en prsence. Ainsi, en matire de spam (courrier publicitaire non sollicit), le principe retenu par lUnion europenne est celui de l opt in , sauf en ce qui concerne les activits commerciales entre entreprises o l opt out est autoris. A linverse, les cookies fonctionnent sur le principe de l opt out , du fait des inconvnients quun systme d opt in entranerait pour la navigation sur Internet (cf. supra). Le choix de loption mrite donc dtre examin au cas par cas. Encore faut-il que chacun ait pleinement conscience des implications en termes de respect de la vie prive que sous-tend lutilisation des nouvelles technologies : de ce point de vue, la question de lducation des individus la matrise de leurs propres donnes constitue aux yeux de vos rapporteurs la condition sine qua non de leffectivit du droit au respect de la vie prive.

Recommandation n 2 : Promouvoir lorganisation et le lancement dune campagne dinformation grande chelle destine sensibiliser les citoyens aux enjeux lis la vie prive et la protection des donnes lheure du numrique ainsi qu les informer des droits que leur reconnat la loi informatique et liberts .

2. Renforcer la confiance du citoyen dans la socit du numrique par la cration de labels protection des donnes Pour que le citoyen puisse devenir acteur de sa propre protection, il faut non seulement, comme il vient dtre indiqu, quil ait t sensibilis aux enjeux du numrique au regard du droit la vie prive, mais encore quil dispose de linformation pertinente pour identifier, parmi les innombrables produits ou procdures proposs sur le march, ceux qui offrent des garanties renforces en matire de protection des donnes. Il sagit l dune condition essentielle pour prserver le climat de confiance entre les nouvelles technologies et les utilisateurs.

- 74 -

Cest pourquoi vos rapporteurs sont convaincus de la ncessit de crer et gnraliser des labels protection des donnes personnelles qui, parce quils rpondent une attente forte des citoyens, sont susceptibles de procurer aux entreprises un avantage concurrentiel significatif (a). Aussi ne peuvent-ils que se fliciter de lintervention rcente du Snat pour permettre le lancement effectif de la labellisation en France (b), tout en tant conscients qu lheure de la mondialisation, il faut prioritairement agir au niveau europen voire international (c). a) Une exigence pour les citoyens, un outil de comptitivit pour les entreprises
(1) Une exigence pour les citoyens

Au cours des auditions conduites par vos rapporteurs, de nombreuses personnes ont regrett labsence dinformation relative au niveau de protection offert par les diffrents produits ou procdures proposs sur le march en matire de droit la vie prive. Cette lacune contraste avec linformation dlivre aux consommateurs dans de nombreux domaines tels que la restauration, lautomobile ou lenvironnement. On sait ainsi quun htel 4 toiles offre de bonnes prestations, quun vhicule 5 toiles est trs rsistant et quun conglateur de classe A + consomme peu dnergie. Ces informations sur la qualit des produits semblent donner entire satisfaction aux consommateurs et leur fournissent des repres trs utiles pour orienter leurs achats. Ce besoin dinformation est peut-tre encore plus fort dans le domaine du numrique compte tenu de labondance des produits existants, de leur technicit et de leur caractre relativement rcent. Il est ainsi probable qu prix et service gaux, un utilisateur privilgierait sil a le choix un produit labellis, et que mme prix plus lev ou service moindre, il pourrait refuser une technologie intrusive au profit dune technologie dont le label lui assure un niveau de protection suprieur. Concrtement, un tel label pourrait rcompenser des protocoles, standards et outils limitant, voire supprimant, la collecte des donnes caractre personnel, ce que les Amricains appellent les Privacy Enhancing Technologies (ou PET ), c'est--dire les technologies renforant le droit la vie prive. A titre dexemple, ce label pourrait tre dcern un standard permettant lanonymisation complte de ladresse IP. Rappelons, cet gard, que sil faut saluer les prises de position du G29 tendant raccourcir les dlais de conservation des donnes dtenues par les moteurs de recherche, il semble illusoire de se focaliser sur la seule dure de conservation si la mthode danonymisation des donnes mise en uvre nest pas dune grande

- 75 -

robustesse. Marc Rotenberg, responsable de lEPIC1, a ainsi condamn certaines mthodes danonymisation qui sapparentent, selon lui, celles qui consistent dissimuler uniquement les derniers chiffres dun numro de tlphone. De mme, un tel label pourrait utilement aider les consommateurs faire un choix clair en matire de technologie RFID. Il pourrait en effet rcompenser les puces qui sont automatiquement dsactives (cf. supra) ds quelles ont rempli leur fonction, par exemple la sortie dun magasin o le produit tait tiquet, ou qui, tout le moins, prvoient que, par dfaut, leur contenu ne peut tre lu que par leurs propritaires, charge pour eux de paramtrer ventuellement la puce sils souhaitent que dautres personnes y aient accs. Il sagit dun enjeu important car les consommateurs dtiennent, souvent leur insu, de nombreuses puces RFID (badge daccs une voiture, un parking, tiquettes sur un produit alimentaire) susceptibles de contenir des informations caractre personnel quune personne malveillante situe proximit peut tre capable de capter. Enfin, un label protection des donnes pourrait tre dcern des sites Internet proposant, par dfaut, des paramtres bass sur un haut niveau de protection, sachant quen pratique, ils sont rarement modifis par les utilisateurs. Ainsi pourrait-il tre attribu aux rseaux sociaux qui, par dfaut, proposent un profil de consultation des donnes limit aux seuls amis du membre du rseau et non tous les internautes.
(2) Un outil de valorisation et de comptitivit pour les entreprises

Compte tenu de lattente des utilisateurs dcrite plus haut, vos rapporteurs sont convaincus que les entreprises ont tout intrt faire de la protection des donnes personnelles de leurs clients un axe fort de leur dveloppement et solliciter ainsi loctroi dun label marquant cette proccupation. Ce label est en effet susceptible de leur procurer un avantage concurrentiel significatif ds lors quil devrait apparatre aux yeux des consommateurs comme un label de qualit de nature orienter leurs achats. Comme la proclam la 30me confrence mondiale des commissaires la protection des donnes et de la vie prive, qui sest tenue Strasbourg en octobre 2008, la protection des donnes ne doit pas tre considre comme un obstacle au dveloppement conomique mais bien comme une valeur ajoute dans les relations avec les consommateurs et les citoyens . Cest ce que rsume la formule, prononce notamment par M. Arnaud Belleil, vice-prsident de lAssociation Franaise des Correspondants aux Donnes Personnelles, lors de son audition : Privacy is good for business (littralement : le respect de la protection des donnes est bon pour les affaires ).
Comme il a dj t indiqu, lEPIC (Electronic Privacy Information Center) est une puissante association amricaine qui dfend le droit la vie prive quelle estime menace par le dveloppement des nouvelles technologies.
1

- 76 -

Faire de la protection des donnes personnelles un facteur de diffrenciation concurrentiel suppose toutefois que soit prise en compte cette exigence trs en amont, ds la conception des produits (par exemple des logiciels ou des puces RFID), traduction de que les spcialistes appellent la Privacy by design ( protection des donnes ds la conception ). A titre dexemple, il semble que lentreprise Microsoft ait dcid de faire protection de la vie prive un outil de valorisation et de comptitivit. Lors de leur audition, les reprsentants de cette socit ont ainsi fait valoir : - que lentreprise avait t l'une des premires nommer, il y a prs de dix ans, un Responsable de la Protection de la vie prive ; - quelle a rendu publique, le 22 juillet 2007, une nouvelle politique de confidentialit, en matire de publicit en ligne et de recherche sur Internet1. Sur ce dernier point, les reprsentants de la socit ont rappel que, conformment lavis du G29 sur les moteurs de recherche, Microsoft ne conservait les donnes de requte que six mois, et militait pour que cette dure devienne le standard de lensemble du secteur, le moteur de recherche de Microsoft ne reprsentant toutefois que 2 % du march europen. Ils ont ajout que la socit avait mis en place une mthode danonymisation complte des donnes de connexion lissue de cette priode, fonde sur une Privacy Enhancing Technology . b) Lintervention du Snat pour permettre le lancement effectif de la labellisation en France La loi n 2004-801 du 6 aot 2004 relative la protection des personnes physiques l'gard des traitements de donnes caractre personnel a insr un article 11 la loi informatique et libert afin de prvoir que la CNIL puisse, la demande d'organisations professionnelles ou d'institutions regroupant principalement des responsables de traitements, dlivrer un label des produits ou des procdures tendant la protection des personnes l'gard du traitement des donnes caractre personnel, aprs qu'elles les a reconnus conformes aux dispositions de la prsente loi . Or, aprs ladoption de la loi, le ministre de la Justice a estim que cette procdure devait tre prcise par dcret. Inquiet du retard pris par le Gouvernement pour la publication de ce dcret, notre collgue M. Alex Trk, prsident de la CNIL, a interrog en 2008 Mme la garde des sceaux, ministre de la justice par une question crite2. Celleci, prenant acte que la Commission avait estim ne pas tre en mesure de
1 2

Microsoft a dvelopp un moteur de recherche au mme titre que Google et Yahoo. Question crite n 06628 de M. Alex Trk publie dans le JO Snat du 11/12/2008 - page 2478 ; rponse du Ministre de la Justice publie dans le JO Snat du 01/01/2009 - page 38. La question et la rponse sont disponibles sur Internet : http://www.senat.fr/questions/base/2008/qSEQ081206628.html.

- 77 -

procder elle-mme aux expertises et valuations ncessaires et avait ainsi exprim le vu de recourir des centres d'valuation agrs , a rpondu quune telle externalisation des expertises ne pouvait tre envisage quen modifiant la loi informatique et liberts . Aussi, le lgislateur, linitiative de la commission des lois du Snat, a-t-il inscrit, larticle 105 de la loi n 2009-526 du 12 mai 2009 de simplification et de clarification du droit et d'allgement des procdures, une disposition modifiant la loi de 1978 afin : - dune part, douvrir la possibilit pour le prsident de la CNIL de recourir aux services dun expert indpendant, dont le rapport sera transmis la commission qui dcidera ou non de dlivrer le label ; - dautre part, de prvoir que les modalits de mise en uvre de la procdure de labellisation seront dtermines par le rglement intrieur de la CNIL, auquel il appartiendra, par exemple, de fixer la dure de validit du label, le mode de publicit des dcisions prises, les conditions de retrait provisoire ou dfinitif des labels accords, etc. c) La ncessaire cration de labels europens, voire mondiaux Sil faut saluer cette intervention du lgislateur, qui devrait permettre le lancement effectif de la labellisation en France, il reste qu lheure de la circulation des donnes et produits sur toute la plante, il faut prioritairement agir au niveau europen voire international. Aussi, vos rapporteurs se rjouissent-ils que lUnion europenne, reprenant une initiative mene en Allemagne, ait conduit une exprimentation concluante dans ce domaine, exprimentation quils jugent ncessaire de prenniser et dtendre. Une dmarche de labellisation de produits ou procdures offrant des garanties renforces en matire de protection de la vie prive a t engage en Allemagne, en 2005, dans le Land du Schleswig-Holstein, sous lgide de lautorit locale de protection des donnes, dnomme ULD . A ce jour une quarantaine de labels ont t attribus. Forte de cette exprience, lULD a t dsigne par la Commission europenne responsable du projet dit Europrise (pour European privacy Seal , littralement Label europen de protection de la vie prive ), conduit entre 2007 et 2008. Dans ce cadre, quarante-quatre experts, dont des reprsentants de la CNIL, ont t accrdits pour lvaluation pralable des produits soumis la certification, prsents par quelque trente socits. Le premier label a t dcern la socit nerlandaise Ixquick, conceptrice dun mtamoteur de recherche , c'est--dire dun moteur de moteurs de recherche : son rle consiste agrger les rponses gnres par les principaux moteurs (Google, Microsoft, Wikipedia), sur une mme requte et les prsenter de manire ordonne ses visiteurs. La socit a t

- 78 -

rcompense car, dune part, elle a dcid, en 2006, d'effacer de ses fichiers les adresses IP des utilisateurs au bout de seulement 48 heures, dautre part, elle garantit qu'aucune donne personnelle concernant ses utilisateurs n'est transmise des tiers. La remise de cette rcompense Ixquick montre qu'un quilibre est possible entre la nature ouverte de l'Internet, les intrts des fournisseurs de services et la protection des donnes des utilisateurs , avait dclar Viviane Reding, commissaire europen en charge de la socit de l'information. Compte tenu du succs du programme exprimental Europrise , vos rapporteurs jugent ncessaire de le prenniser et de ltendre. En effet, si la mise en place prochaine de la procdure de labellisation en France constitue indniablement une avance notable, elle devra ncessairement tre suivie par une dmarche plus ambitieuse au plan europen, voire international, eu gard la mondialisation des changes de produits et donnes. Il conviendra donc de dfinir une autorit collgiale de dlivrance des labels charge : - dune part, dlaborer des rfrentiels ou cahiers des charges dfinissant les critres respecter pour lobtention dun label, - dautre part, daccrditer une quipe multinationale compose dexperts-auditeurs mandats pour valuer les produits en fonction des rfrentiels susviss et pour en contrler le respect aprs lobtention du label. La recherche dun accord mondial, qui pourrait trouver sa place dans la rflexion en cours relative la dfinition de standards internationaux dans le domaine de la protection des donnes (cf. supra), pourrait tre facilite par lexistence, aux Etats-Unis, dun label, connu sous le nom de TRUSTe , qui rcompense, dune part, les sites Internet les plus protecteurs des donnes personnelles en matire de commerce lectronique, dautre part, depuis quelques annes, les logiciels de messagerie. Daprs les informations obtenues par vos rapporteurs, ce label a t dcern depuis sa cration en 1997 prs de 3.500 sites Internet, parmi lesquels ceux deBay, Apple, NFL et AT&T et 71 logiciels de messagerie.

Recommandation n 3 : Promouvoir rapidement la cration de labels identifiant et valorisant des logiciels, applications et systmes protecteurs de la vie prive.

- 79 -

B. RENFORCER LES MOYENS ET LA LGITIMIT DE LA CNIL

Comme il a t prcdemment indiqu, la protection des donnes personnelles doit faire face un triple dfi : - la recherche dune scurit collective toujours plus infaillible ; - lacclration des progrs technologiques et leur diffusion dans toutes les entreprises et sur tout le territoire ; - la tendance croissante lexposition de soi et dautrui sur Internet. A ces risques nouveaux, il ressort que, dans lUnion europenne, le cadre juridique sur la protection des donnes personnelles apporte, dans une trs large mesure, des rponses adaptes et prennes, peut-tre, paradoxalement, parce quil les a prcdes. Le droit au respect de la vie prive est en effet bien garanti au niveau national et international et les donnes personnelles, dclinaison du droit la vie prive, fait lobjet dun cadre juridique dont la souplesse apparat comme un gage de protection : en se gardant dadopter des dispositions spcifiques pour certaines technologies ou applications, lEurope a opportunment dcid, ds 1995, dadopter une directive neutre sur le plan technologique en fixant des principes intemporels (finalit, proportionnalit, droit dinformation, dure de conservation limite, scurit des donnes). Toutefois, lapplication effective de ces principes est minemment fonction des moyens dvolus aux autorits indpendantes de protection des donnes. Or, les volutions majeures rappeles ci-dessus ont conduit ces dernires une augmentation sensible de leur activit, non seulement parce quelles sont charges dinterprter les principes informatique et libert laune des nouvelles technologies et des nouveaux usages, en progression constante, mais galement parce quelles ont pour mission den contrler le respect par des responsables de traitement toujours plus nombreux. Vos rapporteurs prconisent donc un renforcement des moyens et de la lgitimit de la CNIL. 1. Renforcer les moyens de la CNIL par la mise en place d un financement langlaise a) Des moyens encore insuffisants Les nombreux auditions et dplacements ont permis de constater linsuffisance des moyens allous la CNIL, tant au regard de limportance grandissante de ses missions que de ceux accords certains de ses homologues.
(1) Au regard de limportance grandissante de ses missions

De nombreuses personnes entendues par vos rapporteurs ont mis en avant le dcalage entre la progression de la charge de travail de la CNIL depuis la loi de 2004 et lvolution de ses moyens humains et budgtaires.

- 80 -

Le tableau ci-dessous, ralis partir des rapports dactivit de la CNIL, souligne qualors que le nombre de dlibrations et celui des contrles de la CNIL ont respectivement progress, entre 2004 et 2008, de 458 % et 384 %, les moyens sont loin davoir suivi cette monte en puissance spectaculaire : ainsi les effectifs nont-ils progress, sur cette mme priode, que de 50 % et les crdits de 65 %.
volution des moyens de la CNIL au regard de la progression de son activit entre 2004 et 2008
2004 Postes Crdits (en M) - dont personnel - dont fonctionnement Nombre de plaintes reues Nombre de dlibrations Nombre de contrles effectus 80 6,9 4,6 2,3 3591 105 45 2008 120 11,4 7,2 4,2 4244 586 218 + 18 % + 458 % + 384 % Evolution 2004-2008 (en %) + 50 % + 65 %

Cette progression globale de lactivit de la CNIL ne sexplique pas tant par laugmentation du nombre des plaintes qui nont, elles, progress que de 18 % de 2004 2009, que par la ncessit de rpondre au triple dfi dcrit plus haut. En effet, de nombreuses dlibrations ont port, depuis 2004, sur des prconisations concernant des technologies ou des usages nouveaux (dplacements urbains, vote lectronique, puces RFID, panneaux publicitaires, golocalisation, fichiers de police, rseaux sociaux) et laugmentation des contrles est la consquence directe de la multiplication et de la diversification des traitements de donnes en France. En ce qui concerne lactivit de la formation restreinte, on peut noter que depuis 2006, anne de lentre en vigueur effective de la nouvelle comptence contentieuse de la CNIL, le nombre daffaires a quasiment doubl, comme lillustre le schma ci-aprs.

- 81 -

Sanctions prononces par la CNIL entre 2006 et 2008

140 120 101 100
Nombre

2006

2007
126

2008

80 60 40 20

73

84

32

40
*(1) *(2) *(1)

4 0
MED CLO AVE

11
SAN MED CLO

10
MED CLO

11

AVE SAN

AVE SAN

* dont nombre de relaxes

MED : mises en demeure CLO : cltures suite au respect d'une mise en demeure AVE : avertissements SAN : sanctions financires

Source : CNIL

L encore, cette progression illustre la volont de la CNIL de faire un usage actif de ses nouveaux pouvoirs, dans un contexte marqu par lmergence de nouveaux risques datteinte la vie prive.
(2) Au regard de ceux accords certains de ses homologues

Linsuffisance des moyens accords la CNIL apparat galement au travers de comparaisons internationales. Le tableau ci-aprs illustre que le ratio nombre dagents par million dhabitants est particulirement faible sagissant de la CNIL (2,1) au regard de celui dautorits dautres pays tels que la Rpublique tchque, le Canada, la Bulgarie, lIrlande, lAllemagne, les Pays-Bas, la Sude, le Royaume-Uni, lEspagne ou encore la Roumanie. En termes deffectifs globaux, notons que lautorit espagnole comprend 160 agents, lautorit britannique 270, lautorit canadienne 300 et lautorit allemande 400.

- 82 -

EFFECTIFS DES AUTORITES DE PROTECTION DES DONNEES

Autorits de Protection des Donnes

Nombre d'employs

Population totale (en millions dhabitants) 62 10 33,3 7,7 4 82,4 16 9 60 45 22

Ratio nombre demploys/million dhabitants

France Rpublique tchque Canada Bulgarie Irlande Allemagne Pays-Bas Sude Royaume-Uni Espagne Roumanie

132 100 300 60 22 400 75 42 270 160 52

2,1 10 9 7,8 5,5 4,9 4,7 4,7 4,5 3,6 2,4

Source : CNIL

On constate ainsi que confrontes, comme la CNIL, de nouvelles menaces au regard du droit la vie prive, de nombreuses autorits de protection des donnes sont dotes de moyens humains suprieurs ceux de la France, si on les rapporte la population du pays. b) La mise en place dun nouveau mode de financement
(1) Prsentation de la rforme

Confronte la faiblesse de ses moyens, la CNIL sinterroge depuis 2008 sur la pertinence de son mode de financement actuel, exclusivement fond sur une dotation fournie par lEtat, alors quau Royaume-Uni, une contribution verse par chaque socit ou collectivit publique qui dclare un traitement de donnes couvre la totalit des charges de la commission. Le prsident de la CNIL a ainsi prsent lan pass un projet de diversification des sources de financement de la Commission, qui suppose une modification de la loi de 1978 afin de faire de la CNIL une personne morale dote de lautonomie financire.

- 83 -

Ce projet, qui, daprs la CNIL, a rencontr de la part du Premier ministre un certain intrt, propose de passer progressivement, au plus tt partir de 2010, du financement actuel un financement qui reposerait majoritairement sur des ressources propres provenant dune contribution due la CNIL par chaque acteur du dveloppement informatique qui gnre des traitements de donnes caractre personnel (entreprises, tat, collectivits locales, tablissements publics, etc.). Pour la CNIL, lintrt dune telle rforme serait double : dune part, accrotre ses ressources dans une proportion probablement importante, dautre part, faire peser le financement de lorgane charg du contrle de la protection des donnes personnelles non plus sur les seuls contribuables mais galement sur les acteurs du monde informatique, qui assurent la promotion des nouveaux usages technologiques. Vos rapporteurs soutiennent pleinement ce nouveau mode de financement ds lors, comme la CNIL semble lenvisager, dune part, quil exclura du primtre des contributeurs les particuliers et les organismes de petite taille, dautre part, que la redevance acquitte par les autres soit fixe un niveau raisonnable. Recommandation n 4 : Renforcer les moyens de la CNIL par la cration dune redevance, de faible montant, acquitte par les grands organismes, publics et privs, qui traitent des donnes caractre personnel.
(2) Les effets attendus : la cration dantennes interrgionales et le renforcement des capacits dexpertise et de contrle de la CNIL

Selon vos rapporteurs, les ressources nouvelles gnres par la mise en place du nouveau mode de financement dcrit plus haut devraient tre majoritairement mobilises, dune part, pour crer des antennes interrgionales de la CNIL, dautre part, pour renforcer les capacits dexpertise et de contrle de cette dernire. En premier lieu, il apparat ncessaire que la CNIL, linstar dautres autorits administratives indpendantes telles que le Mdiateur de la Rpublique, la Haute autorit de lutte contre les discriminations (HALDE) ou le Dfenseur des enfants1, engage une dconcentration de ses services. En effet, lun des dfis nouveaux que doit relever la CNIL depuis quelques annes est lacclration des progrs technologiques et leur diffusion dans toutes les structures, publiques et prives, y compris les plus petites, et sur tout le territoire. Or, ces structures ont besoin dtre conseilles et accompagnes dans la cration ou le dveloppement de leurs traitements de donnes personnelles, comme latteste le succs rencontr par les Rencontres rgionales au cours
Voir le rapport budgtaire du 20 novembre 2008 de M. Jean-Claude Peyronnet sur le programme Protection des droits et liberts : http://www.senat.fr/rap/a08-104-8/a08-104-8.html.
1

- 84 -

desquelles une dlgation de la CNIL dialogue, pendant deux jours, avec lensemble des responsables des entreprises, des administrations prfectorales, des avocats, des personnels de sant, etc. Depuis 2007, la CNIL a organis seize rencontres de ce type dans toute la France, rencontres qui ont toutes rvl de fortes demandes de la part des responsables conomiques et administratifs. Si, en 1978, la commission des lois du Snat stait prononce contre la cration de dlgations rgionales de la CNIL, jugeant lintrt dune telle mesure limite la plupart des banques de donnes tant localises Paris au regard des risques de bureaucratie et dapparition de contrarit de jurisprudence , il semble que la gnralisation du recours aux fichiers et leur dissmination sur lensemble du territoire, dans la quasi-totalit des structures, tant publiques que prives, rendent dsormais obsolte le modle initial de la CNIL de 1978, installe seulement Paris. Comme le reconnat la CNIL dans son dernier rapport dactivit, les effectifs encore insuffisants de la Commission ne permettent pas dexercer une prsence effective sur tout le territoire, et cela peut impliquer une certaine ingalit de traitement des droits des citoyens .
Nombre de contrles effectus par la CNIL en 2008 sur lensemble de la France

Source : CNIL

- 85 -

Daprs les informations obtenues par vos rapporteurs, la CNIL souhaiterait ouvrir neuf antennes en province, dotes chacune dune quipe denviron quinze agents, dun budget de 400.000 euros et investies de missions de contrle, de conseil, de traitement des plaintes les plus simples et dinformation.

Source : CNIL

Recommandation n 5 : Dconcentrer les moyens dactions de la CNIL par la cration dantennes interrgionales. En second lieu, de nouveaux moyens accords la CNIL lui permettraient de renforcer ses capacits dexpertise et de contrle. Ce renforcement est rendu ncessaire par la multiplication et la diversification des traitements de donnes personnelles depuis quelques annes, volutions qui gnrent de nouveaux risques au regard du droit la vie prive. Certes, vos rapporteurs se rjouissent que la CNIL se soit dote dun service de lexpertise, compos de quatre ingnieurs de haut niveau qui sont mme daccompagner les entreprises dans leurs projets, didentifier, voire danticiper les tendances technologiques en cours et de contrler plus efficacement les systmes informatiques en matire de scurit des donnes. Toutefois, les auditions ont montr que la CNIL, comme lensemble des autorits de protection des donnes, souffraient dune image trop juridique qui affecte leur crdibilit. Il est donc indispensable que ces autorits dveloppent leur capacit dexpertise, de prospective et dintervention dans le domaine technologique. Il paratrait ainsi opportun que chacune des antennes interrgionales voques plus haut comprenne au moins un expert.

- 86 -

Le renforcement de la capacit dexpertise de la CNIL pourrait utilement accompagner le dveloppement de son activit de contrle, trop faible lheure actuelle. La CNIL na ainsi effectu que 280 contrles en 2008 contre environ 1.250 pour son homologue espagnol, qui affecte la moiti de ses effectifs au service de linspection. En particulier, comme il a t indiqu prcdemment, la CNIL est charge de veiller au respect de larticle 34 de la loi du 6 fvrier 1978 modifie qui impose tout responsable dun traitement de prendre toutes prcautions utiles, au regard de la nature des donnes et des risques prsents par le traitement, pour prserver la scurit des donnes et, notamment, empcher quelles soient dformes, endommages, ou que des tiers non autoriss y aient accs . Or, si en France aucun scandale na rvl des failles de scurit graves, il semble que notre pays ne soit pas labri dune perte ou dun vol de centaines de milliers de donnes, comme cela sest produit ltranger ces dernires annes. Ces risques nouveaux rsultent la fois de la multiplication des bases de donnes numriques et de leur insuffisante scurisation, comme le constate rgulirement la CNIL, alors mme que les pirates disposent doutils toujours plus perfectionns pour violer les systmes de scurit informatique. Le dveloppement de lactivit de contrle de la CNIL, sur ce point, permettrait sans doute de responsabiliser les responsables de traitements ces enjeux de scurit, en particulier ceux qui traitent des donnes sensibles (cf. galement infra). Recommandation n 6 : Renforcer la capacit dexpertise et de contrle de la CNIL. 2. Renforcer la lgitimit et la crdibilit de la CNIL Si vos rapporteurs jugent prioritaires de renforcer les moyens de la CNIL, pour lui permettre de faire face certaines volutions majeures susceptibles de mettre mal le droit la vie prive, ils jugent galement ncessaires, pour les mmes raisons, de renforcer sa lgitimit et sa crdibilit la fois par le maintien de son autonomie, la gnralisation des Correspondants informatique et liberts , la publicit systmatique des audiences et des dcisions de la formation restreinte et, enfin, le renforcement ventuel de ses pouvoirs de sanction. a) Par le maintien de lautonomie de la CNIL Il apparat tout dabord ncessaire de maintenir lautonomie de la CNIL, que daucuns estiment menace par la cration du Dfenseur des droits, prvue par la loi constitutionnelle n 2008-724 du 23 juillet 2008 mais dont lentre en fonction est conditionne par ladoption dune loi organique qui

- 87 -

devrait tre soumise au Parlement au cours du second semestre 2009. Cette nouvelle autorit a vocation reprendre les attributions de certaines autorits administratives indpendantes. Pour vos rapporteurs, quatre raisons militent en faveur du maintien de lautonomie de la CNIL par rapport au futur Dfenseur des droits : - en premier lieu, lexistence dune instance indpendante charge spcifiquement dassurer la protection des donnes est une exigence communautaire, qui rsulte de la directive de 1995 prcite. A cet gard, les vingt-sept autorits indpendantes que compte lUnion europenne sont exclusivement ddies la protection des donnes, lexception des CNIL allemandes et britanniques qui exercent galement la mission dvolue, en France, la Commission daccs aux documents administratifs (CADA), et aucune d'entre elles nest place sous la tutelle, ni absorbe, par lautorit de mdiation lorsquelle existe (Dfenseur du peuple espagnol ou ombudsman sudois) ; - en second lieu, lintgration de la CNIL au sein du futur Dfenseur des droits mettrait mal sa visibilit et sa notorit acquises auprs de ses partenaires francophones et europens, tant rappel que la CNIL est membre de lorganisation des CNIL europennes (dite aussi G29 , voir supra, dont M. Alex Trk est le Prsident depuis avril 2008) et de lassociation francophone des autorits de protection des donnes ; - par ailleurs, la CNIL consacre aujourd'hui 80 90 % de son activit des actions de rgulation dans le secteur priv, alors que le futur Dfenseur des droits devrait surtout avoir vocation intervenir dans la sphre publique ; - enfin, comme il a t prcdemment indiqu, la CNIL est dote depuis la loi du 6 aot 2004, dun rle quasi-juridictionnel dans le cadre de sa formation restreinte, tandis que le Dfenseur des droits serait appel jouer essentiellement un rle de mdiation. b) Par la gnralisation des Correspondants informatique et liberts Comme lont indiqu vos rapporteurs les reprsentants de lAssociation Franaise des Correspondants aux Donnes Personnelles, qui regroupe environ 10 % des correspondants informatique et liberts, le bilan de leur action apparat pleinement satisfaisant. Ils ont ainsi permis, selon eux, la diffusion de la culture informatique et liberts au sein des entreprises et des administrations publiques . La CNIL partage cette analyse. De mme, les reprsentants de la chambre de commerce amricaine Paris ont salu le rle jou, dans ladministration fdrale, des Chief Privacy Officers (CPO), quivalents des correspondants aux pouvoirs plus tendus (voir supra), et se sont rjouis du caractre obligatoire des correspondants en Allemagne, prsents comme des facilitateurs pour la bonne marche de lentreprise.

- 88 -

Vos rapporteurs, regrettant en particulier la faible implantation des correspondants dans les collectivits territoriales1, proposent donc de gnraliser les Correspondants informatique et liberts en France dans les structures, publiques et prives, dune certaine taille, par exemple de plus de cinquante salaris. Cette dernire condition parat doublement essentielle : dune part, elle permet de ne pas crer une contrainte supplmentaire pour les petites structures ; dautre part, elle offre davantage de possibilits pour trouver, au sein de lentreprise ou de ladministration, une personne dont lexprience et la comptence garantiront lindpendance indispensable au bon accomplissement de ses missions2. Vos rapporteurs insistent sur la ncessit pour la CNIL dassurer une solide formation rgulire ces correspondants. Recommandation n 7 : Rendre obligatoires les correspondants informatique et liberts pour les structures publiques et prives de plus de cinquante salaris. c) Par la publicit systmatique des audiences et des dcisions de la formation restreinte Si, conformment aux rgles du procs quitable issues de la jurisprudence du Conseil dEtat et de la Convention europenne des droits de lhomme, la procdure suivie devant la formation restreinte est contradictoire et le rapporteur ne participe pas au dlibr qui est secret, il reste que le caractre juridictionnel de cette formation, reconnu par le Conseil dEtat, par une ordonnance de rfr le 19 fvrier 2008, impose de rendre publiques, dune part, les audiences (elles ne le sont aujourdhui qu la demande des parties), dautre part, les dcisions quelle rend (mises en demeure, avertissements et sanctions financires), alors que cette publicit est aujourdhui une simple facult la discrtion de la CNIL (article 46 de la loi informatique et liberts ) . Vos rapporteurs estiment en particulier que la publicit systmatique des dcisions de la formation restreinte de la CNIL constituerait une mesure efficace et dissuasive tant pour les personnes publiques que pour les entreprises prives. Recommandation n 8 : Rendre publiques les audiences et les dcisions de la formation restreinte de la CNIL.

Comme la soulign M. Alex Trk, prsident de la CNIL, lors de son audition par la commission des lois le 5 novembre 2008. 2 Lindpendance des correspondants informatique et libert est une exigence pose par la loi de 1978 (article 22).

- 89 -

d) Par le renforcement ventuel de ses pouvoirs de sanction Vos rapporteurs prconisent galement de rflchir lopportunit de renforcer les pouvoirs de sanction de la CNIL. En effet, larticle 47 de la loi de 1978 limite la sanction financire 150.000 euros, ou 300.000 euros en cas de manquement ritr dans les cinq annes, condition de ne pas excder 5 % du chiffre daffaires hors taxes du dernier exercice clos. A ce plafonnement lgal sajoute une pratique empreinte dune certaine timidit. Il semble que la premire sanction, 45.000 euros contre le Crdit lyonnais en juillet 2006, somme lvidence modeste pour une entreprise de cette importance, ait servi de jurisprudence. En 2008, la CNIL a ainsi prononc onze sanctions pour un montant total de 137.100 euros. Rappelons que le montant total des sanctions prononces par la formation restreinte de la CNIL depuis sa cration slve 520.400 euros. A titre de comparaison, on notera : - que le Conseil de la Concurrence a le pouvoir dinfliger une amende qui peut aller jusqu 10 % du chiffre d'affaires mondial de lentreprise (article L. 464-2 du Code de commerce), sans plafonnement en valeur absolue ; elle a ainsi prononc une amende de 534 millions deuros en 2005 dans le domaine de la tlphonie mobile et de 174 millions deuros en 2000 dans une affaire de crdit immobilier ; - que lagence espagnole de protection des donnes, dont la sanction ne peut excder 600.000 euros, est particulirement svre, en pratique, lencontre des entreprises qui contreviennent au droit applicable aux donnes personnelles. Ainsi, sur la seule anne 2008, pas moins de 630 sanctions ont t prononces pour un total de 22,6 millions deuros. Compte tenu de ces lments, vos rapporteurs estiment ncessaire douvrir un dbat sur lopportunit de relever le plafond des sanctions pcuniaires susceptibles dtre prononces par la CNIL.
C. COMPLTER LE CADRE JURIDIQUE ACTUEL

Sil apparat souhaitable de conserver le cadre juridique actuel, un certain nombre de complments et damliorations la marge pourraient y tre utilement ajouts. 1. Ne pas toucher aux grands principes a) Conserver un haut niveau de protection : le dbat sur la rvision de la directive du 24 octobre 1995 Vos rapporteurs se sont interrogs sur lopportunit de recommander la rvision de la directive du 24 octobre 1995, qui, comme il a t prcdemment indiqu, sert de cadre juridique la protection de la vie prive en Europe et a t transpose en France par la loi du 6 aot 2004.

- 90 -

Aprs avoir analys les positions, dune part, du Royaume-Uni et de lIrlande, dautre part, de la Commission europenne, ils sont arrivs la conclusion que le statu quo tait prfrable.
(1) La position du Royaume-Uni et de lIrlande : rviser la directive de 1995 pour la rendre plus efficace et moins lourde pour les entreprises

Jugeant la directive de 1995 trop contraignante pour les entreprises et, de surcrot, inadapte aux technologies du XXIme sicle, lautorit britannique de protection des donnes ( Information Commissioners Office ou ICO ) a clairement pris position pour sa rvision, par communiqu de presse du 7 juillet 2008. M. Richard Thomas, son Prsident, a ainsi mis en avant la ncessit de mener un dbat international sur la future orientation de la lgislation europenne relative la protection des donnes . Il a cependant indiqu quil sagissait dun objectif qui ne pourrait tre atteint avant cinq ou six ans. Daprs les informations recueillies par vos rapporteurs auprs de la CNIL et de la commission europenne, il semble que lIrlande soit galement sur cette mme ligne. La CNIL comme lAgence espagnole de protection des donnes ont fait part vos rapporteurs de leurs craintes que ces positions, si elles devaient emporter ladhsion des autres Etats membres, naboutissent abaisser le niveau de protection des donnes en Europe.
(2) La position de la Commission europenne : rpondre aux nouveaux dfis technologiques sans rduire le niveau de protection de la directive

La Commission europenne affiche, elle, une position diffrente sur la question de la rvision de la directive de 1995. Si, comme le Royaume-Uni et lIrlande, elle juge ncessaire de rflchir la rvision de la directive, en particulier pour rpondre aux nouveaux dfis dont on parle aujourdhui, que nous ne pouvons plus ignorer et que nous devons absolument relever 1, elle souligne galement quil convient de ne pas rduire le niveau de protection que la directive a institu, garant du respect de la vie prive dans lUnion europenne. Il est donc clair que la Commission europenne na pas, en ltat, lintention de promouvoir une rvision de la directive qui aurait pour effet dallger les contraintes pesant sur les entreprises qui grent des traitements de donnes, et il semble a priori peu probable que la future Commission, qui entrera en fonctions lautomne 2009, adopte une position diffrente.
Extrait du discours prononc par M. Jacques Barrot, commissaire en charge de la protection des donnes, le 28 janvier 2009 lors la troisime journe europenne de la protection des donnes. Mme Viviane Reding, commissaire charge des nouvelles technologies, est sur la mme ligne : dans un communiqu publi le 14 avril 2009, elle a en effet soulign que la directive datait de 1995, poque o internet tait beaucoup moins dvelopp qu'aujourd'hui et que sa mise jour tait rendue ncessaire par la rapidit du dveloppement technologique .
1

- 91 -

(3) La position de vos rapporteurs : ne pas ouvrir la boite de Pandore

Compte tenu de ces positions, manifestement incompatibles, vos rapporteurs considrent comme a priori peu opportun dengager un processus de rvision de la directive de 1995 qui exposerait lEurope, et donc notre pays, un double risque : - dune part, revenir sur la plasticit des concepts forgs par la directive de 1995 en matire de protection des donnes, concepts dont, rappelons le, la neutralit technologique garantit la prennit ; - dautre part, aboutir un cadre juridique moins protecteur pour les personnes alors que la directive offre dj un haut niveau de protection des donnes. A cet gard, vos rapporteurs notent que les Etats-Unis pourraient saisir lopportunit de lengagement dun processus de rvision de la directive pour convaincre les Europens dadopter leur systme en matire de donnes personnelles, globalement moins protecteur pour les donnes gres par les entreprises, mme si nous verrons plus loin que les approches sont, de fait, moins loignes que ce quon a coutume de dire. Une rcente polmique illustre parfaitement ce risque. Le 20 juin 2008, la commission europenne a publi un appel manifestation dintrts , afin de constituer un groupe d'experts charg de rflchir au cadre juridique applicable la protection des donnes personnelles en Europe. Vingt dossiers, manant dAmricains comme dEuropens, ont t prsents lexpiration du dlai limite de rception des candidatures, fix au 20 aot 2008. Le comit de slection de la commission a retenu un Europen et quatre Amricains ou reprsentants de socits ayant leurs principaux intrts aux Etats-Unis, apparemment au regard de leurs comptences techniques mais visiblement sans prendre en compte la dimension politique dun tel choix. Grce, dune part, la vigilance de la CNIL, bien relaye par la commission des affaires europennes du Snat1, dautre part, la diligence du gouvernement franais, la commission europenne a dcid de dissoudre ce groupe dexperts et de le remplacer par une nouvelle instance de rflexion compose de manire quilibre et pluraliste afin dassurer la reprsentation de toutes les approches en matire de protection des donnes2. Au total, il apparat plus sage, dans le contexte dune ngociation ncessairement plus difficile et plus incertaine 27 quelle ne le fut 12, puis 15, en 1995, et compte tenu des positions de certains Etats membres et de la possible influence du systme amricain, de ne pas engager de processus de rvision de la directive de 1995.
Le 3 fvrier 2009, la commission des affaires europennes du Snat, suite une audition de M. Alex Trk, prsident de la CNIL, a dcid, linitiative de son Prsident, M. Hubert Haenel, dadopter une proposition de rsolution europenne pour protester contre la composition de ce groupe dexperts. 2 Cette instance sest runie Bruxelles les 19 et 20 mai 2009.
1

- 92 -

b) Promouvoir, au plan international, la dfinition de standards internationaux dans le domaine de la protection des donnes Un des enjeux essentiels lavenir sera de trouver, au plan international, une approche commune en matire de protection des donnes qui, en plus de reprsenter un objectif essentiel sur le plan conomique, permettrait de relativiser limportance du problme juridique de lextra-territorialit. Le fait, dune part, que la protection des donnes personnelles aux Etats-Unis soit en ralit plus forte quil nest coutume de le dire, dautre part, quEuropens et Amricains aient prouv, dans un pass rcent, leur capacit surmonter leurs diffrends en matire de protection des donnes, invite un certain optimisme quant la possibilit daboutir des standards internationaux dans ce domaine, objectif actuellement poursuivi par un groupe de travail international.
(1) un objectif essentiel sur le plan conomique

En premier lieu, la recherche, au plan mondial, dune approche commune de protection des donnes personnelles est rendue indispensable par lintensification des flux transfrontaliers de donnes personnelles, phnomne irrversible au cur denjeux conomiques considrables. Deux exemples ont rgulirement t cits lors des auditions : - tout dabord, dinnombrables donnes circulent au sein des multinationales, qui disposent gnralement dune base de donnes centralise, gre par les services centraux de la direction des ressources humaines de lentreprise. Cette base comporte des renseignements de tous ordres sur le personnel : formations, qualifications, postes prcdemment occups, souhaits daffectation, notations, loisirs, renseignements collects partir de multiples sources (formulaires remplis lors des entretiens dembauche, apprciations par les suprieurs hirarchiques, participation des cycles de formation) et envoys partir de lieux divers (centres de formation, directions du personnel des diffrentes entits locales) ; - par ailleurs, la dlocalisation dactivits dans des pays en dveloppement gnre galement dimportants flux de donnes transfrontaliers. A titre dillustration, de nombreuses entreprises europennes dcident de sous-traiter lensemble de leurs relations-clients auprs de centres dappel situs en Afrique du Nord ou en Inde, ce qui implique le transfert des fichiers de la clientle, et donc de donnes caractre personnel.
(2) un moyen de relativiser le problme de lextraterritorialit

La question de savoir quel est le droit applicable certains traitements de donnes personnelles, par exemple dans le cas des moteurs de recherche (cf. infra), se pose aujourdhui avec dautant plus dacuit que tous les systmes nationaux nassurent pas un niveau de protection quivalent. Avec des standards internationaux permettant une harmonisation mondiale des conditions de protection des donnes, ce problme sen trouverait clairement relativis.

- 93 -

(3) des raisons dy croire (a) Des affaires qui prouvent quEuropens et Amricains sont capables de rapprocher leurs points de vue

Si lEurope et les Etats-Unis nont toujours pas compltement aplani leur diffrend au sujet de laffaire des dossiers passagers dite PNR, dautres dossiers ont rcemment prouv quEuropens et Amricains taient capables de rapprocher leurs points de vue en matire de protection des donnes. Citons en particulier les principes du Safe Harbor , le dossier des moteurs de recherche et lopration dite Swift . Les principes du Safe Harbor 1 Afin de permettre aux entreprises amricaines de recevoir des flux de donnes personnelles des pays membres de lUnion europenne, des principes ont t labors, partir de 1999-2000, par le Dpartement du commerce amricain en coopration avec la Commission europenne. Ils portent en particulier sur le droit daccs, la finalit du traitement et leffectivit de la protection. Leur respect est contrl par la Commission fdrale du commerce. Ces principes sinscrivent dans la dmarche de lUnion europenne qui, en liaison avec le G29, a labor, en 2001 et 2005, des clauses contractuelles types, qui permettent de scuriser les transferts de donnes vers des pays extra-communautaires qui ne disposent pas dun niveau de protection adquat2. Laffaire des moteurs de recherche Mme si, comme il a t indiqu dans la deuxime partie du prsent rapport, certains moteurs de recherche amricains ont contest lapplicabilit du droit communautaire aux traitements de donnes auxquels ils procdent en Europe, force est de reconnatre quils ont fait preuve dune certaine bonne volont, que la CNIL a dailleurs salue dans un communiqu le 17 dcembre 2008, puisque la socit Google a rduit la dure de conservation des donnes de dix-huit neuf mois, que Microsoft a accept de ne conserver les donnes que six mois et quenfin Yahoo a annonc son intention de passer trois mois, sauf exceptions concernant les impratifs de scurit, de lutte contre de la fraude et de respect des obligations lgales.

Littralement principes du port sr , gnralement traduits en franais par principes de la sphre de scurit relatifs la protection de la vie prive . Larticle 25 paragraphe 1 de la directive de 1995 sur la protection des donnes fait obligation aux Etats-membres de veiller ce que les transferts de donnes caractre personnel vers un pays tiers naient lieu que si le pays en question assure un niveau de protection adquat. Ce dernier s'apprcie en fonction notamment des dispositions en vigueur dans le pays tiers, des mesures de scurit qui y sont appliques mais aussi des caractristiques propres du traitement, telles que ses finalits et sa dure, ainsi que de la nature, de l'origine et de la destination des donnes traites.
2

- 94 -

Laffaire Swift Enfin laffaire Swift dmontre la capacit daboutir un accord transatlantique en matire de protection des donnes. Cette affaire est ne de la rvlation en juin 2006, par la presse amricaine, de lexistence dun programme de surveillance des transactions bancaires internationales, mis en place par la CIA peu aprs les attentats du 11 septembre 2001. Ces rvlations ont indiqu que la CIA et le dpartement du Trsor amricain bnficiaient dun accs, depuis des annes, des millions de donnes transitant par la socit de droit belge Swift, principal rseau international de messagerie utilis dans le domaine bancaire. Cet accs, mis en place au titre de la lutte contre le financement du terrorisme, permettait de surveiller non seulement les transferts financiers vers les Etats-Unis mais galement tous les autres types de transactions raliss par Swift, y compris lintrieur de lUnion europenne. Etaient ainsi communiqus le montant de la transaction, la devise, la date valeur, le nom du bnficiaire, le client qui a demand la transaction financire et son institution financire. Le G29, dans un avis rendu en novembre 2006, a jug que la socit Swift navait pas respect les rgles europennes de protection des donnes, notamment en prtant son concours la mise en uvre du programme de surveillance des donnes bancaires et financires par les autorits amricaines. Cette intervention a permis daboutir un accord en lespace de quelques mois. Au printemps 2007, la Commission europenne et le Conseil ont en effet ngoci avec le gouvernement amricain un certain nombre de garanties, parmi lesquelles la limitation des usages la lutte contre le terrorisme, lchange des donnes intra-europennes au moyen dun serveur situ en Europe1, le respect du principe de ncessit, la limitation cinq ans de la dure de conservation des donnes et la nomination dune personnalit europenne minente ayant comptence pour vrifier le bon fonctionnement du programme de surveillance (M. Jean-Louis Bruguire). Cet accord politique a fait lobjet dun change de lettres qui ont t publies par la Commission europenne.
(b) Une protection aux Etats-Unis plus forte quon ne le croit

- des principes similaires ceux existant en Europe pour les bases de donnes gres par ladministration fdrale Si, comme il la t prcdemment indiqu, les Etats-Unis protgent moins les bases de donnes prives quen Europe, en dehors de quelques lois sectorielles, il nen est pas de mme des donnes gres par les pouvoirs publics.

En Suisse exactement, pays considr comme offrant un niveau adquat de protection des donnes.

- 95 -

Comme la expos, lors de son audition, Mme Lauren Saadat, directrice charge de la politique internationale en matire de protection des donnes au ministre de la Scurit des Etats-Unis (Department of Homeland Security), une Privacy Act , adopte en 1974, s'applique toute ladministration fdrale. Elle nonce les principes de transparence, de droit d'accs et de rectification, de limitation de collecte des donnes, de leur usage et de leur divulgation, de la scurit des donnes et de responsabilit des gestionnaires de traitement. Ces principes sont trs proches de ceux figurant dans la directive de 1995 et transposs en France en 2004. Cet encadrement juridique traduit, selon Mme Saadat, une certaine dfiance historique vis-vis des pouvoirs publics puisque les Etats-Unis ont t crs en raction contre le pouvoir de la couronne britannique et que tant la mise en place du fdralisme que la stricte application de la sparation des pouvoirs au niveau fdral traduisent la volont de prvenir lapparition dun pouvoir central fort. On peut ajouter que cette protection des bases de donnes publiques est parfois complte au niveau des Etats puisquenviron un quart dentre eux ont des lgislations gnrales de protection des donnes applicables aux fichiers de l'tat. - une position plus avance que lEurope certains gards Les auditions ont rvl que, contrairement certaines ides reues, les Etats-Unis sont, certains gards, plus en pointe que lEurope en matire de protection des donnes. En premier lieu, certaines Constitutions dtats fdrs amricains reconnaissent expressment la protection des donnes personnelles comme un droit fondamental. La plus forte protection par une Constitution est ainsi assure en Californie o en 1974, un rfrendum a fait de la protection des donnes un droit inalinable et o, en 1994, la Cour suprme de lEtat a dcid que la protection constitutionnelle s'appliquait aussi bien au secteur public que priv. En second lieu, toutes les administrations fdrales comprennent obligatoirement un Chief Privacy Officer (CPO)1, garant du respect du Privacy Act et placs sous lautorit et le contrle dun organe de la Maison blanche dnomm Office of Management and Budget (OMB) ; mme sil semble que ces CPO disposent de peu de moyens et que lOMB mobilise peu de ressources pour les contrler, cette organisation mrite dtre signale et traduit une proccupation certaine des Etats-Unis en matire de protection des donnes personnelles gres par les personnes publiques.

Le CPO est comparable un correspondant informatique et liberts mais aux pouvoirs plus tendus. En effet, il dirige tout un service, la diffrence du correspondant qui est seul. En outre, il est obligatoirement associ, trs en amont, aux projets informatiques de ladministration laquelle il appartient. Cest pourquoi les reprsentants amricains ont estim que le CPO pourrait presque se comparer une autorit de protection de donnes personnelles interne l'administration, une sorte de "mini-CNIL".

- 96 -

Par ailleurs, il apparat que les Etats-Unis sont en avance sur lEurope en matire de transparence quant aux ventuelles failles de scurit, quil sagisse de perte, vol ou altration de donnes. Alors que lEurope devrait prochainement rviser la directive vie prive et communications lectroniques de 2002, en particulier pour introduire une obligation dinformation quand des donnes personnelles ont t compromises la suite dune violation de la scurit dun rseau, 45 Etats amricains sur 50 disposent dj dune lgislation contraignante dans ce domaine. Enfin et ce point est capital il ressort des auditions que si les Etats-Unis protgent peut-tre un peu moins de jure les donnes personnelles prives, les quelques lois en vigueur sont de facto rigoureusement appliques. Les associations de consommateurs, tout comme certaines associations spcialises dans la protection des donnes1, sont particulirement puissantes2 et leur action bien relaye par les mdias. De surcrot, la Commission fdrale du commerce amricaine semble rsolue, depuis quelques annes, sanctionner svrement les atteintes aux lois sur la protection des donnes. Elle a ainsi, en septembre 2006, inflig une amende dun million de dollars, pour une infraction, commise par le rseau social Xanga.com, la loi prcite portant protection de la vie prive des enfants sur Internet. Plus rcemment, en dcembre 2008, la socit Sony BMG Music Entertainment a accept de rgler une amende, galement dun montant dun million de dollars, pour mettre fin aux poursuites engages contre elle par cette mme commission et sur ce mme fondement lgal. Il tait reproch lentreprise davoir collect et diffus, via des sites musicaux, des donnes personnelles sur des enfants de moins de treize ans sans recueillir lautorisation pralable des parents. Ces montants contrastent singulirement avec ceux pratiqus en Europe, notamment en France, comme il a t prcdemment indiqu. Ainsi, titre dexemples, la socit Neuf-Club Internet a t condamne par la CNIL, en juin 2008, une amende de 7.000 euros pour violation du droit daccs aux donnes personnelles et en mars 2009, un centre commercial Leclerc a fait l'objet d'une sanction de 30.000 euros la suite de nombreuses infractions la loi informatique et liberts . On observe ainsi que si les Etats-Unis disposent dun arsenal juridique moins contraignant que lEurope pour les bases de donnes prives, cette faiblesse est contrebalance par une effectivit du droit3 incontestablement meilleure.

Citons en particulier lEPIC (Electronic Privacy Information Center) dirig par luniversitaire Marc Rotenberg. 2 Elles peuvent notamment sappuyer sur lexistence dactions de groupe (ou class actions ) qui nexistent pas en droit franais. 3 Cest ce que traduit le concept anglais de compliance souvent prononc par les reprsentants amricains entendus par vos rapporteurs.

- 97 -

(c) La dynamique en cours du groupe de travail international sur la protection des donnes personnelles

Lors de la dernire confrence internationale de protection des donnes qui sest tenue en octobre 2008 Strasbourg, une rsolution visant tablir des standards internationaux a t adopte. Un groupe de travail international sest dj runi en janvier 2009 Barcelone dans le cadre de la prparation de la prochaine confrence mondiale de protection des donnes qui se tiendra en octobre 2009 en Espagne. Vos rapporteurs soutiennent pleinement cette dmarche ambitieuse et souhaitent quelle permette, sans abaisser le niveau de protection garanti par la directive de 1995, dexaminer sans tabou lensemble des questions relatives la protection des donnes personnelles, telles que la dfinition dun rfrentiel destin permettre la labellisation, au plan mondial, des produits offrant des garanties renforces dans le domaine de la protection de la vie prive, ainsi que lopportunit de crer, sur le modle de lorganisation mondiale de la proprit intellectuelle, une agence internationale de rgulation comptente dans le domaine de la protection des donnes. Ce groupe de travail international peut sappuyer : - dune part, sur ladoption par lOCDE1, ds le 23 septembre 1980, de lignes directrices rgissant la protection de la vie prive et les flux transfrontires de donnes de caractre personnel , lignes directrices qui traduisent un consensus international ancien sur les orientations gnrales rgissant le recueil et la gestion dinformations de caractre personnel ; - dautre part, sur lexistence de normes internationales ISO dans certains domaines de la protection des donnes personnelles, telles que larchivage lectronique2. Une fois labors, ces standards internationaux pourraient aboutir la signature dune convention internationale. Recommandation n 9 : soutenir la dynamique en cours tendant la dfinition de standards internationaux dans le domaine de la protection des donnes personnelles. 2. ... sans sinterdire des prcisions et un renforcement de leffectivit de ces principes Si les grands principes de la protection des donnes demeurent la bonne rponse aux dveloppements des technologies numriques, cette conclusion ninterdit pas une amlioration la marge de ces principes et de leur dclinaison.
1

Organisation de coopration et de dveloppement conomiques, lOCDE est une organisation internationale, cre en 1961, qui offre aux Etats-membres un cadre leur permettant de comparer leurs expriences en matire daction publique, de chercher des rponses des problmes communs, didentifier les bonnes pratiques et de coordonner leurs politiques nationales et internationales. 2 Normes ISO ns 14721 et 15489.

- 98 -

Sagissant des principes de proportionnalit et de finalit, il semble dlicat dapporter des prcisions, lapprciation du respect de ces principes demeurant une affaire despces. En revanche, le droit linformation ou le droit daccs sont des principes plus objectifs. Leur mise en uvre pourrait tre prcise. Ainsi, larticle 39 de la loi du 6 janvier 1978 modifie, lexercice du droit daccs pourrait ne plus donner lieu aucune facturation, ft-elle le cot de la reproduction. En matire dinformation, la loi pourrait prciser quelle doit tre claire, complte et adapte aux diffrents publics viss par le traitement . De manire plus fondamentale, vos rapporteurs ont identifi quatre domaines dans lesquels des amliorations pourraient tre utilement apportes : le statut des donnes de connexion, les dispositions relatives la scurit des donnes, le cadre juridique de la vidosurveillance, et, enfin, lencadrement des fichiers de police. a) Clarifier le statut de ladresse IP Alors que le statut juridique de ladresse IP en France demeure flou (cf. infra), vos rapporteurs ont pour leur part acquis la conviction que ladresse IP constituait un moyen didentifier un internaute, au mme titre quune adresse postale ou un numro de tlphone par exemple : ladresse IP rpond de ce point de vue aux critres fixs par la directive 95/46/CE, repris larticle 2 de la loi du 6 janvier 1978 modifie et selon lesquels une donne caractre personnel est une information relative une personne identifie ou identifiable . Leur attention a en outre t attire sur le fait que, contrairement la juridiction judiciaire, la juridiction administrative ne contestait pas le caractre de donne personnelle de ladresse IP1. Compte-tenu du rle essentiel quInternet est appel jouer dans la vie dune partie sans cesse croissante de nos concitoyens, il leur semble indispensable que les garanties concernant la collecte de donnes caractre personnel sappliquent galement sans ambigut aux donnes de connexion des internautes. Une rapide clarification en ce sens de larticle 2 de la loi du 6 janvier 1978 leur paratrait de ce point de vue tout fait opportune. Recommandation n 10 : Affirmer sans ambigut que ladresse IP constitue une donne caractre personnel. b) Amliorer les dispositions relatives la scurit des donnes Le principe de la scurit des donnes est probablement celui qui mriterait les amnagements les plus importants.
1

Voir notamment CE, 23 mai 2007, SACEM et autres.

- 99 -

Larticle 34 de la loi du 6 fvrier 1978 modifie impose tout responsable dun traitement de prendre toutes prcautions utiles, au regard de la nature des donnes et des risques prsents par le traitement, pour prserver la scurit des donnes et, notamment, empcher quelles soient dformes, endommages, ou que des tiers non autoriss y aient accs . Principe fondamental, la scurit des donnes est en pratique difficile vrifier, moins de contrler chaque systme de scurit par des attaques-tests. En outre, lvolution de ltat de lart en cette matire rend rapidement obsolte un systme de scurit qui tait hier encore inviolable. Lactualisation des anti-virus illustre cette course constante entre le bouclier et le glaive. Difficile contrler en amont, la scurit des donnes est aussi dlicate dfinir par la rglementation en raison de lvolution rapide des techniques1. En outre, il nexiste pas une rponse unique, mais autant que de systmes protger. Lexposition une attaque extrieure nest pas gale. Dans ces conditions, la CNIL intervient surtout lorsque la faille de scurit est flagrante : perte de donnes, accs libre certaines donnes, etc. Labsence de mesures destines assurer la scurit et la confidentialit des donnes expose alors le responsable du traitement des sanctions lourdes (5 ans demprisonnement et 300.000 euros damende). La CNIL peut galement prononcer une srie de sanctions (avertissement, amende, injonction de cesser le traitement, retrait de lautorisation, interruption du traitement) prvue larticle 45 de la loi du 6 janvier 1978. Nanmoins, si, en France, assez peu de scandales ont rvl des failles de scurit graves, ltranger les exemples sont nombreux. A chaque fois, ce sont des centaines de milliers de personnes, voire plusieurs millions, dont les donnes sont perdues ou, ce qui est plus dangereux, voles.
Quelques exemples de faille de scurit Novembre 2007 : des cdroms contenant les donnes bancaires de 25 millions de contribuables sont gars par les services fiscaux britanniques. Avril 2008 : la premire banque britannique perd un cdrom contenant des informations sur 370.000 de ses clients. Aot 2008 : un ordinateur contenant les donnes bancaires dun million de clients britanniques est vendu pour 44 euros sur le site denchres eBay. Dans le mme temps, le ministre des Finances britannique gare un fichier comportant les noms des 84.000 prisonniers, dont ceux de 10.000 personnes surveiller en priorit pour leur comportement dlictueux prolifique . En aot 2008, la presse allemande rvle quil est possible dacheter sur Internet des fichiers de 6 millions de donnes confidentielles pour 850 euros.
Source : CNIL

Larticle 34 de la loi du 6 janvier 1978 permet llaboration de prescriptions techniques pour les traitements les plus sensibles.

- 100 -

La CNIL estime quen France, mme si aucune faille importante de scurit na t rvle, le niveau de protection des donnes ne peut tre jug satisfaisant, comme en tmoignent ses contrles, tant auprs des entreprises que des administrations. La scurit des donnes ne constitue malheureusement pas encore une proccupation majeure. Selon des responsables de Thals, si les administrations et les entreprises sensibles sont bien protges en France, des progrs trs importants restent accomplir pour scuriser les donnes du secteur marchand. Il serait absurde dappliquer tous les traitements les normes de scurit mises en uvre pour protger le secret de la Dfense nationale. Mais il semble tout le moins que tout organisme possdant de grandes bases de donnes incluant des informations telles que des numros de compte bancaire ou de carte de crdit devrait mettre en uvre des scurits renforces. Selon Thals, la prcaution consistant crypter la base de donnes elle-mme est peu rpandue. Lors de leur audition, les reprsentants de la chambre amricaine de commerce en France ont expliqu que la rgle selon laquelle les failles de scurit vols et pertes de donnes doivent tre notifies occupait une place trs importante dans le dispositif amricain de protection des donnes. La grande majorit des Etats amricains (42 sur 50) dispose de lois imposant de telles notifications. LEtat de Californie a t pionnier en ce domaine ds 2002. Lobjectif recherch est dinciter les entreprises renforcer leurs mesures de scurit interne, car les notifications sont coteuses et prjudiciables leur image de marque. Les dispositifs mis en place varient beaucoup dun Etat lautre. Les dlais des notifications, leur contenu, les moyens employs et les destinataires ne sont pas identiques. Ainsi, la notification peut se faire selon les cas par voie de presse, par crit ou par voie lectronique. Les dlais varient aussi considrablement : soit immdiatement aprs la dcouverte de la faille, soit dans un dlai raisonnable. Dans 25 Etats environ, la notification peut tre reporte si une autorit policire dcide que la notification risque dempcher ou de menacer une enqute criminelle. Une consquence de ces obligations de notification est une meilleure connaissance statistique de lampleur des failles de scurit aux Etats-Unis. Ainsi, selon lorganisme Internet Identity Theft Resource Center (IRTC), en 2008, plus de 35 millions de donnes personnelles auraient t perdues, soit une hausse de 47 % par rapport 2007. En France, une telle obligation nexiste pas. Larticle 4 de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des donnes caractre personnel et la protection de la vie prive dans le secteur des

- 101 -

communications lectroniques1 (ci-aprs dnomme directive vie prive et communications lectroniques ) contraint seulement les oprateurs de tlcommunications informer leurs abonns en cas de risque particulier de violation de la scurit des rseaux. Cette disposition doit notamment permettre aux abonns de prendre leurs propres mesures de prcaution. Toutefois, dans le cadre de la rforme du paquet tlcom , la Commission europenne a prsent, le 13 novembre 2007, trois propositions de texte dont une proposition de directive modifiant la directive 2002/58/CE2. Le (3) de larticle 2 de cette proposition tend obliger les responsables de traitement, en cas de violation de la scurit entranant accidentellement ou de manire illicite la destruction, la perte, laltration, la divulgation ou laccs non autoriss des donnes personnelles , davertir lautorit administrative comptente et labonn concern. Compte tenu du champ de la directive vie prive et communications lectroniques , seuls les fournisseurs de services de communications lectroniques accessibles au public (oprateurs mobiles, FAI, etc.) seraient concerns. Le Contrleur europen de la protection des donnes sont dclars trs favorables cette proposition. Allant prconisent dtendre cette obligation tous les prestataires ligne sur Internet4. Ils proposent galement de permettre, circonstances, lautorit administrative comptente5 linformation au public. et le G 293 se plus loin, ils de services en dans certaines de divulguer

Le Snat sest galement prononc sur cette question en adoptant une rsolution europenne en mai 20086 sur le rapport de la commission des affaires conomiques. Dans son rapport7, notre collgue Pierre Hrisson exprime plusieurs rserves : la proposition de la Commission dobliger tout oprateur notifier aux abonns toute atteinte leurs donnes personnelles, si elle peut contribuer une meilleure transparence au profit des consommateurs, pourrait se rvler contre-productive en nourrissant linquitude des consommateurs voire en provoquant des attaques pour tester la scurit des rseaux. Sans doute serait-il donc prfrable de prvoir laccord pralable du rgulateur national avant tout type de communication en matire de scurit ou [] de limiter linformation du consommateur aux seules atteintes ses donnes personnelles qui seraient susceptibles de lui porter prjudice .
1 2

Transpos larticle D. 98-5 du code des postes et des communications lectroniques. Document COM (2007) 698 final. 3 Avis WP 150 du 15 mai 2008. 4 Le Parlement europen a adopt des amendements en ce sens. 5 En France, cette autorit ne serait pas la CNIL mais lAutorit de rgulation des communications lectroniques et des postes (ARCEP). Toutefois, les ngociations ont fait voluer la proposition. Les autorits charges de la protection des donnes seraient galement associes. 6 Rsolution n 96 (2007-2008). 7 Rapport n 349 (2007-2008).

- 102 -

Vos rapporteurs partagent ces rserves, notamment quant au risque que la notification dune faille au public nattise de nouvelles attaques. Toutefois, lventail des solutions en vigueur aux Etats-Unis montre que le choix nest pas entre tout ou rien. Il faut dailleurs souligner que la loi du 6 janvier 1978 ouvre une fentre pour la publicit des failles de scurit constates par la CNIL loccasion de ses contrles. En effet, son article 46 autorise la CNIL rendre publics les avertissements quelle prononce. Elle peut galement, en cas de mauvaise foi du responsable du traitement, ordonner linsertion des autres sanctions quelle prononce dans des publications, journaux et supports quelle dsigne. Les frais sont supports par les personnes sanctionnes . A cet gard, vos rapporteurs estiment que la publicit de ces sanctions devrait tre dsormais la rgle (cf. supra). Il semble possible daller un peu plus loin en crant a minima une obligation de notification des failles de scurit la CNIL, des critres et des seuils devant tre dfinis pour ne pas la submerger. Cette obligation pserait sur tous les responsables de traitement. Bien matrise et encadre, lobligation de notification des failles de scurit peut tre une incitation forte au renforcement de la scurit des donnes. Recommandation n 11 : Crer a minima une obligation de notification des failles de scurit auprs de la CNIL. c) Transfrer la CNIL lautorisation et le contrle des dispositifs de vidosurveillance Le groupe de travail de la commission des lois sur la vidosurveillance a propos dans son rapport de dcembre 2008 de rapatrier la vidosurveillance dans le champ de la loi du 6 janvier 1978 et de la CNIL. Vos rapporteurs partagent ces conclusions lheure de la convergence numrique. En outre, les technologies tant de moins en moins utilises isolment mais au contraire combines entre elles par exemple la biomtrie avec la vidosurveillance, lexistence dune lgislation unique reposant sur quelques principes est un facteur important de simplicit et de clart de la loi. Recommandation n 12 : Runir sous une seule autorit, la CNIL, les comptences dautorisation et de contrle en matire de vidosurveillance. d) Rserver au lgislateur la comptence exclusive en matire de fichiers de police Les articles 26 et 27 de la loi du 6 janvier 1978 modifie disposent que les fichiers intressant la sret de lEtat, la dfense ou la scurit publique, ou qui ont pour objet la rpression des infractions pnales, sont

- 103 -

crs par arrt du ministre comptent. En cas de recours la biomtrie, un dcret en Conseil dEtat est ncessaire. La CNIL rend un avis simple (voir supra). Toutefois, en pratique, la cration des fichiers de police est laisse au choix la loi le FNAEG par exemple ou au pouvoir rglementaire1. Certains cas sont hybrides. La loi arrte le principe dun fichier, parfois ses grandes lignes, et le dcret prcise les caractristiques. Cette confusion apparat regrettable. Il semble lgitime, compte tenu de limportance de ces fichiers et des prcautions quils requirent, quils ne puissent plus tre autoriss que par la loi. La loi du 6 janvier 1978 devrait tre modifie en consquence. Ils rejoignent trs exactement sur ce point les conclusions des travaux de la mission dinformation de la commission des lois de lAssemble nationale sur les fichiers de police2. Cette disposition rglerait les dbats sur la perte dinfluence de la CNIL. Qui, plus que le Parlement, est lgitime dbattre de ces questions primordiales pour la protection de la vie prive ? La CNIL ne serait pas absente pour autant. Dores et dj, elle rend un avis sur les projets de loi. Ceux-ci sont dsormais publics depuis ladoption de la loi n 2009-526 du 12 mai 2009 de simplification et de clarification du droit et dallgement des procdures. La publicit des avis de la CNIL sur les projets de loi a t introduite par le Snat. Recommandation n 13 : Rserver au lgislateur la comptence exclusive pour crer un fichier de police. Il reviendra alors la reprsentation nationale de fixer lquilibre entre les besoins de scurit et le respect ncessaire de la vie prive. Enfin, vos rapporteurs observent que le perfectionnement de certains fichiers ne signifie pas uniquement un accroissement des capacits de contrle et de traage des individus. A cet gard, le projet ARIANE, qui se substituera aux deux fichiers STIC et JUDEX, se doit dtre exemplaire. Il faut attendre de la modernisation de ces deux fichiers un renforcement du traage de leurs utilisateurs. Comme il a t vu, ces fichiers sont insuffisamment mis jour et se prtent des consultations qui ne correspondent pas aux finalits lgales. La modernisation des fichiers doit donc aussi permettre : - des actualisations en temps rel et automatiques ;
La mission dinformation de la commission des lois de lAssemble nationale prcite a relev que certains fichiers de police avaient t crs en dehors de tout texte. 2 A la suite de cette mission, les deux rapporteurs ont dpos le 7 mai 2009 la proposition de loi n 1659, dont larticle 5 tend rserver la loi la cration de fichiers de police.
1

- 104 -

- une scurisation des donnes ; - une identification prcise et certaine des personnes qui les consultent et de leurs motifs. En effet, si nous le souhaitons collectivement, les progrs technologiques ne sont pas antinomiques dun meilleur respect de la protection des donnes caractre personnel. 3. Complter les grands principes de la reconnaissance dun droit loubli Lexpansion de la sphre de la vie publique, limmdiatet avec laquelle elle peut tre porte la connaissance de tous tout moment et en tout point du globe grce Internet ne sont-ils pas autant dlments nouveaux qui finissent par en changer la nature et justifierait de lui appliquer des rgles habituellement rserves la protection de la vie prive ? Le droit loubli ou au remord a t voqu de nombreuses fois lors des auditions. Pour Matre Alain Bensoussan, cette perte de mmoire a vocation protger lindividu par rapport son pass : il devient le seul archiviste de son histoire personnelle . Battu en brche par la rvolution numrique, le droit loubli nest pas absent de la loi informatique et liberts . Lobligation pour les responsables de traitements de ne pas conserver les donnes au-del de la dure ncessaire aux finalits est la principale protection. Le droit loubli est alors mis en uvre par la destruction des donnes ou une anonymisation irrversible. Toutefois, la lgislation relative la protection des donnes personnelles devient largement inoprante pour rpondre aux dfis poss par Internet et les moteurs de recherche (cf. supra). Les questions en jeu sont moins celles de la protection des donnes personnelles que de lquilibre entre le respect de la vie prive, du droit loubli et la protection de la libert dexpression et dinformation. En outre, la dfense dun droit loubli ne doit pas non plus aboutir une dresponsabilisation des individus. Le droit loubli ne signifie pas que chacun pourrait rcrire sa guise son histoire personnelle. Vos rapporteurs souhaitent donc raffirmer ici que la premire rponse consiste toujours bien peser les avantages et les risques conscutifs la mise en ligne dune information, prive ou publique. Cela passe par lducation et la sensibilisation aux risques comme cela a t dvelopp prcdemment. Il ne faut dailleurs pas exclure une volution naturelle des comportements dans un sens qui permette de prserver les nouvelles opportunits dexpression et dinformation sur Internet, notamment celles offertes par les rseaux sociaux, et une utilisation responsable et respectueuse dautrui.

- 105 -

Lapparition des rseaux sociaux est encore trs rcente. Comme pour tout nouvel outil, il existe un temps dapprentissage. Depuis plusieurs mois, les exemples de msaventures se multiplient. Les travaux de Dominique Cardon montrent que les usagers des plateformes relationnelles, mme sils ont une vue imparfaite de lensemble des consquences possibles de leurs actes, mesurent en revanche constamment, par un processus dessais/erreurs, les gnes, troubles, audaces, amusements ou frottements que peut faire natre la visibilit particulire que leur donne les rseaux sociaux . On peut donc parier que les comportements et stratgies vont encore beaucoup voluer. En fvrier dernier, les ractions conscutives lannonce par Facebook de sa dcision de modifier ses conditions gnrales dutilisation afin de se rendre propritaire vie des donnes figurant sur ses pages montrent que les utilisateurs sont trs sensibles au respect de la vie prive, mme si leur comportement pourrait laisser penser le contraire. Il nest pas impossible aussi que la jurisprudence de la Cour de cassation prcise certaines ambiguts des rseaux sociaux. Est-ce un espace public ou priv ? Rigoureusement, les rseaux sociaux ne sont pas publics, puisquil faut, dans la plupart des cas, tre membre pour y accder1. Cest un espace en clair-obscur comme cela a t dit, plastique et paramtrable. Toutefois, lorsquun rseau social possde plusieurs dizaines de millions de membres et que par un jeu de contagion, le cercle de ses Amis et Amis dAmis saccrot considrablement, est-on encore dans un cercle priv ? Certaines personnalits dtournent ainsi les rseaux sociaux de leur usage premier des fins de communication publique affiche. Lors de la campagne prsidentielle amricaine en 2008, le prsident Barack Obama avait dvelopp une stratgie de communication et de dialogue autour de son profil sur Facebook. La Cour de cassation na pas encore eu se prononcer. Mais elle sera probablement conduite prciser dans quelle mesure les changes sur les rseaux sociaux sont assimilables une correspondance prive ou une communication. Une communication peut se dfinir comme la mise disposition au public dun message. Elle soppose la correspondance prive, dont la violation du secret est sanctionne pnalement. La distinction se fonde sur lintention de la personne qui met le message : le met-elle la disposition du public ou le destine-t-elle une ou plusieurs personnes nommment dsignes ? Pour dterminer le caractre public ou non, le juge vrifie si la diffusion est circonscrite un groupement de personnes lies par une communaut dintrts 2. Applique aux rseaux sociaux, cette notion peut tre interprte de diverses faons. Un message pourrait tre considr comme une correspondance prive plusieurs conditions : ne pas avoir trop d amis ,
1 2

Sur Facebook, il est possible dautoriser laccs libre son profil. Voir par exemple Cass. crim. 27 mai 1999. n 98-82461.

- 106 -

activer les options limitant laccs des amis damis ce message. En tout tat de cause, si le rgime protecteur du secret de la correspondance sappliquait une partie des rseaux sociaux, cela constituerait une garantie importante et permettrait chacun darbitrer entre son dsir dexposition et son besoin de confidentialit. Toutefois, il convient de ne pas se leurrer. Les rseaux sociaux ne sont quune infime partie de la question et on voit mal comment le secret de la correspondance pourrait tre applicable dautres domaines de la toile . Dautres stratgies et concepts doivent tre mis en place pour reconstituer une matrise de chacun sur son histoire numrique. a) La notion de droit de proprit sur ses donnes personnelles : une fausse bonne ide A plusieurs reprises, la reconnaissance dun droit de proprit sur ses donnes personnelles a t avance. Lide, sduisante, serait de faire de chaque individu le vritable matre de son identit numrique. Chacun pourrait grer ses donnes en les louant, prtant, rcuprant, etc. Toutefois, le concept de proprit napporte pas de rponses adquates et pourrait poser plus de problmes encore. Notre conception de la vie prive place sa protection sur le terrain de la dignit humaine. En se rfrant au concept de proprit, le risque de marchandisation de ses donnes personnelles est vident. La proprit comprend aussi le droit de cder la chose. Or, comment pourrait-on cder une donne qui peut aussi tre un attribut de sa personnalit ? Faut-il imaginer des droits dexclusivit ? Il pourrait tre object que le droit limage est dores et dj un droit patrimonial et peut donner lieu ltablissement de contrats. Mais ce rgime juridique est inadapt aux enjeux dInternet. Comment y faire valoir ses droits de proprit quand on a soi-mme diffus une donne personnelle ? Quant aux informations relatives sa vie publique, il ne peut tre question dun droit de proprit moins de remettre en cause fondamentalement la libert dexpression. Enfin, lorsque le rapport de force entre des contractants est ingal, quelle valeur donner au consentement contracter ? b) Brouiller les pistes A une poque o les risques dusurpation didentit sont souvent points du doigt et o les Etats renforcent les moyens didentification des personnes (avec la biomtrie par exemple), les rflexions ci-dessous peuvent surprendre.

- 107 -

Mais, face aux nouveaux dfis poss au droit la vie prive ou une vie publique discrte , les solutions traditionnelles ne semblent pas la hauteur pour rendre aux individus des marges de manuvre. Sans se prononcer pour ou contre ce stade, vos rapporteurs jugent intressantes les rflexions autour dun droit l htronymat . Chaque individu pourrait se forger de vritables personnalits alternatives, distinctes de la personnalit civile qui les exploite. Afin dviter que ce droit ne serve commettre des infractions, ces identits alternatives pourraient tre dposes auprs dun organisme charg de les grer. En cas dinfractions par exemple, la justice pourrait demander lidentit civile de la personne. Mis en avant notamment par M. Daniel Kaplan, dlgu gnral de la Fondation pour lInternet Nouvelle gnration (FING) 1, ce droit sinspire de stratgies dj utilises par de nombreux internautes. Mais ayant une forme de reconnaissance lgale, ce droit permettrait de faire beaucoup plus de choses anonymement, comme des achats en ligne, sans que cela puisse tre reproch la personne. Peuvent tre rattachs cette stratgie de brouillage des pistes tous les dispositifs tendant permettre lanonymat sur Internet ou rduire la liste des donnes communiques. Cest le cas notamment des payweb card proposs par les banques. Ce service consiste dlivrer un numro de carte virtuel diffrent pour chaque paiement en ligne. De cette faon, le numro de carte bancaire nest pas communiqu. c) Vers un droit loubli Vos rapporteurs sont conscients que ces solutions sont imparfaites et partielles. Se pose donc la question de la reconnaissance dun droit loubli qui permettrait une personne de retirer de la toile des informations publiques la concernant et dont elle souhaite ne plus permettre la consultation. Comme il a t dit, la difficult est de trouver un quilibre entre le droit loubli et la libert dexpression et dinformation.

Cre en 2000 par une quipe dentrepreneurs et dexperts, la Fing a pour objet de reprer, stimuler et valoriser linnovation dans les services et les usages du numrique. La Fing compte aujourdhui plus de 160 membres, parmi lesquels on compte des grandes entreprises, des start-ups, des laboratoires de recherche, des universits, des collectivits territoriales, des administrations, des associations. Dans un article rcent, Daniel Kaplan propose dautres droits comme le droit lanonymat, le droit au mensonge lgitime ou le droit rcuprer ses donnes. Ces propositions relvent plutt du dbat sur la protection des donnes personnelles au sens de la loi du 6 janvier 1978. Cet article intitul Le nouveau paysage des donnes personnelles : quelles consquences sur les droits des individus est consultable ladresse suivante : http://www.internetactu.net.

- 108 -

(1) des atteintes diffamatoires et injurieuses

Les diffamations publiques, les injures et les provocations envers des particuliers se prescrivent par trois mois. Ce dlai expir, aucune action nest possible. Or, une diffamation publique profre envers un particulier peut avoir t publie sur un support crit (un journal ou un livre) tout en passant inaperue de lintress. Le temps, lgard du papier, fait son office. Mais par le biais dInternet, le vieux journal ou le livre oubli demeurent mondialement accessibles pendant des annes. En ltat actuel du droit, il parat impossible dobtenir la suppression dune trs ancienne diffamation qui bnficie de la prescription de trois mois depuis bien longtemps. Il en va de mme pour les diffamations diffuses directement sur Internet. On notera toutefois que le Snat a adopt en novembre 2008 une proposition de loi de notre collgue Marcel-Pierre Clach tendant porter le dlai de prescription un an lorsque la diffamation, linjure ou la provocation a t commise par lintermdiaire dInternet, sauf sil sagit de la reproduction du contenu dune publication de presse ou dune mission audiovisuelle1. Cette proposition de loi na pas encore t examine par lAssemble nationale. Afin de permettre la suppression de faits diffamatoires sur Internet, sans remettre en cause les dlais de prescription traditionnellement courts de cette infraction, Matre Christian Charrire-Bournazel, btonnier de Paris, a expos vos rapporteurs une solution intressante. Il serait cr une action en suppression dune imputation diffamatoire, ouverte toute personne concerne, sans limitation dans le temps. Cette action naurait pour effet ni de faire revivre le droit, dsormais prescrit, solliciter une rparation, ni de permettre une condamnation pour diffamation, ni de mettre en chec la libert dexpression. Une diffamation poursuivie dans le dlai de prescription peut tre justifie ou excuse si le diffamateur, dans les conditions prvues par la loi du 29 juillet 1881, rapporte la preuve de la vrit des propos diffamatoires ou russit prouver quil tait de bonne foi. Laction en suppression rpondrait aux mmes exigences que laction intente dans le dlai de la prescription et bnficierait des mmes moyens de dfense. La suppression ne serait pas acquise si la diffamation nest pas constitue. En revanche, si elle lest, la suppression serait de droit tout en constituant la seule mesure que le juge aurait le droit dordonner.

Voir le rapport n 60 (2008-2009) de notre collgue Marie-Hlne Des Egaulx au nom de la commission des lois.

- 109 -

(2) gnral, y compris des faits ports la connaissance du public par lintress ?

Ne devrait-il pas exister un droit loubli pour les internautes, quand bien mme ceux-ci auraient souhait, un moment donn de leur vie, se mettre nu sur le web ? La prise en compte des diffrences daccessibilit dun message dans le temps, selon quil est publi sur support papier ou disponible sur un support numrique, pour reprendre les mots du Conseil constitutionnel dans sa dcision du 10 juin 2004 relative la loi pour la confiance dans lconomie numrique, plaiderait en faveur dune telle solution. Ce droit loubli pourrait sexercer devant le juge tout moment. Le demandeur dmontrerait par exemple que les faits ou les propos rapports ne correspondent plus son mode de vie ou ses opinions et quils lui causent un prjudice dans sa vie familiale ou professionnelle. Il appartiendrait au juge dapprcier si la demande de retrait porte atteinte la libert dexpression. Lintrt de linformation pour le public, son anciennet et la notorit de la personne seraient des critres. A propos de la mise en uvre dune telle dcision, deux voies concurrentes doivent tre envisages. La premire consisterait demander le retrait de linformation du site proprement dit. Toutefois, plusieurs obstacles se dressent. La page peut tre hberge ltranger et linformation tant duplicable, elle est susceptible de resurgir. La seconde pourrait consister empcher les moteurs de recherche dindexer les pages contenant linformation non dsire. Cette solution a pour avantage dtre plus respectueuse de la libert dexpression. Linformation nest pas retire, mais les conditions pour y accder sont rendues plus difficiles. Elles se rapprochent de celles du monde physique. Elle est aussi plus aise mettre en uvre. Certes, il existe plusieurs moteurs ou mta-moteurs de recherche, mais les principaux ne sont pas si nombreux. En outre, par le biais des moteurs de recherche, en cas de rsurgence de linformation, quelle que soit la page, celle-ci ne sera pas indexe. Enfin, on pourrait mme imaginer que lintervention du juge ne soit pas ncessaire, puisquil ny aurait pas datteinte la publication elle-mme. Les moteurs de recherche pourraient mettre disposition des utilisateurs identifis des outils qui leur permettraient, mme dune manire imparfaite, de nettoyer leur pass en coupant certains liens issus du rfrencement. Recommandation n 14 : Rflchir la cration dun droit lhtronymat et dun droit loubli.

- 110 -

4. Une mesure symbolique forte : linscription du droit au respect de la vie prive dans la Constitution Compte tenu des risques et des enjeux prcdemment identifis, il pourrait tre intressant de revenir sur une ide carte par le comit prsid par Mme Simone Veil : linscription du droit au respect de la vie prive dans notre Constitution. Par lettre date du 9 avril 2008, le Prsident de la Rpublique a confi Mme Simone Veil la prsidence dun comit de rflexion charg de sinterroger sur lopportunit de complter les droits fondamentaux reconnus par la Constitution de principes nouveaux, et, le cas chant, de proposer un texte correspondant ses prconisations. Dans leur rapport, remis le 17 dcembre 2008 au chef de lEtat, les membres du comit, aprs avoir entendu un grand nombre de personnalits, se sont dclars dfavorables une rvision du Prambule de notre Constitution. En ce qui concerne plus particulirement la question de la reconnaissance du respect de la vie prive et de la protection des donnes personnelles, le comit a choisi de ne pas recommander linscription de ces deux notions dans le Prambule : Dune part, le comit a observ que le droit au respect de la vie prive comme celui la protection des donnes caractre personnel taient dj consacrs, non par le texte mme de la Constitution ou de son Prambule, mais par deux sources de droit qui simposent au lgislateur : la jurisprudence du Conseil constitutionnel dune part, les engagements internationaux auxquels la France est partie dautre part (voir supra). Le comit est ici rest fidle la doctrine de leffet utile quil stait donne comme principe et selon laquelle linscription dun principe dans le Prambule ne doit tre recommande que pour autant quelle constitue une vritable innovation ou apporte une garantie des droits sensiblement suprieure. Dautre part, le comit a fait valoir que les contraintes propres au processus de rvision de la Constitution et de son Prambule pouvaient se rvler inadaptes certains domaines ou certaines matires, particulirement sensibles une exigence dadaptabilit de la rgle de droit : de ce point de vue, le comit a considr que la loi tait mieux adapte pour suivre, avec une ractivit suffisante, lvolution des techniques. Le comit en a conclu que, considrant lenvironnement constitutionnel et international prexistant, la voie lgislative et jurisprudentielle demeurait la plus efficiente pour assurer le rglage fin de la protection de la vie prive et des donnes caractre personnel, et quil tait prfrable de confier au lgislateur la tche dpouser lvolution des sciences et des techniques et dassurer, sous le contrle du juge, la conciliation ncessaire des intrts et des droits en prsence.

- 111 -

Ce faisant, le comit a choisi de ne pas retenir les propositions formules par M. Alex Trk, prsident de la CNIL, lors de son audition par les membres du comit le 25 mai 20081. Ce dernier avait alors fait valoir que notre sphre prive tait aujourdhui expose des risques sans prcdents, causs par lacclration des progrs technologiques et leur diffusion dans un cadre globalis ainsi que par la recherche dune scurit collective toujours plus infaillible. Dans ce contexte, M. Trk avait estim quil serait la fois logique et pertinent de reconnatre de manire explicite dans notre Constitution le droit au respect de la vie prive et la protection des donnes, dont le Conseil constitutionnel avait fait un principe de rfrence de sa jurisprudence et dont un nombre croissant dEtats europens reconnaissaient aujourdhui la valeur constitutionnelle. Vos rapporteurs ont suivi avec beaucoup dattention ce dbat et souhaitent faire valoir les arguments suivants : Dune part, comme ils lont exprim prcdemment, ils ont acquis la conviction quen ce qui concerne la conciliation entre dveloppement technologique et droits au respect de la vie prive et la protection des donnes, ni la loi, ni a fortiori la Constitution ne devraient contenir de dispositions trop rigides, qui risqueraient de se retrouver rapidement dpasses par le dveloppement technologique et dentraver ce dernier, sinon de rester inappliques. Dautre part, il leur a sembl vident qu lheure o dveloppement technologique suscite, juste titre, des craintes de voir multiplier et samplifier les risques datteintes la vie prive, linscription cette notion dans le cur de notre texte constitutionnel aurait valeur symbole fort. le se de de

A cet gard, vos rapporteurs ne considrent pas pour leur part quil serait utile dinscrire dans notre Constitution la fois le principe de respect de la vie prive et le droit la protection des donnes caractre personnel : pour vos rapporteurs, le droit la protection des donnes caractre personnel doit tre regard comme une dclinaison du principe de respect de la vie prive, et non comme un droit autonome et spcifique dont la reconnaissance devrait tre leve au niveau constitutionnel. Ce faisant, ils rejoignent les arguments dvelopps par les professeurs Yves Poullet et Antoinette Rouvroy dans un article consacr lautodtermination en tant que concept-cl 2, lesquels font valoir les lments suivants : en plaant le droit la protection des donnes au mme niveau que le droit au respect de la vie prive, ne risque-t-on pas dattnuer lintelligibilit des fondements des rgimes de protection des donnes la
Son intervention est reproduite en annexe du rapport du comit, lequel est disponible en accs libre sur le site Internet de la Documentation franaise. 2 En cours de publication.
1

- 112 -

dignit et lautonomie individuelle et de rendre de ce fait plus difficile la tche du lgislateur lorsquil aura valuer et, ventuellement, revoir les instruments de protection des donnes au vu des volutions socio-politiques et technologiques de la socit de linformation ? [] Faire du droit la protection des donnes un droit fondamental distinct entrane un autre inconvnient. En effet, cela risque dattnuer le lien essentiel existant entre le respect de la vie prive et la protection des donnes et de dtacher ainsi la protection des donnes des valeurs fondamentales de dignit humaine et dautonomie individuelle, valeurs fondatrices du concept de respect de la vie prive, dans lesquelles les rgimes de protection des donnes trouvent leurs racines . En revanche, vos rapporteurs ont acquis la conviction quune reconnaissance de la notion de respect de la vie prive par notre Constitution, au mme titre que la libert, lgalit ou la lacit, complterait de faon pertinente notre Loi fondamentale dans un sens conforme aux principes fondateurs de notre ordre politique. A cet gard, vos rapporteurs tiennent rappeler que la reconnaissance de la notion de respect de la vie prive figurait dans le projet de loi constitutionnelle portant rvision de la Constitution du 4 octobre 1958 et relatif lorganisation des pouvoirs publics adopt en Conseil des ministres le 10 mars 1993. Ce projet avait t dpos sur le Bureau du Snat mais navait jamais t inscrit lordre du jour par le Gouvernement issu des lections de mars 1993. Or, ce projet de loi constitutionnelle prvoyait dinscrire expressment la notion de respect de la vie prive dans le texte de larticle 1er de notre Constitution 1. A lheure o le dveloppement des nouvelles technologies soumet la notion de respect de la vie prive un certain nombre de dfis, vos rapporteurs considrent que la reprise dune telle disposition parait essentielle.

Recommandation n 15 : Inscrire dans notre texte constitutionnel la notion de droit au respect de la vie prive.

* * *

Le projet de loi constitutionnelle prvoyait de complter larticle 1er de la Constitution par la phrase suivante : Elle [la France] assure le respect de la vie prive et de la dignit de la personne .

- 113 -

Au cours de leur rflexion, probablement parce quils taient chaque jour plus avertis des volutions technologiques et de leur impact sur la vie prive des consommateurs et utilisateurs dInternet, vos rapporteurs ont mesur labsolue ncessit dencadrer plus strictement lutilisation des outils numriques. Sans nier ni rejeter en aucune faon ces outils dont lexistence et le dveloppement sont incontournables et, au demeurant, porteurs de progrs, ils se sont attachs relever lextrme vigilance qui doit accompagner leur volution dans un contexte non seulement national mais international. La mondialisation actuelle des flux dinformations emporte lobligation dune harmonisation des politiques et des procdures en la matire, dans le respect absolu des principes fondateurs de la protection des donnes personnelles. Lenjeu primordial de ce nouveau sicle est bien celui du respect de la dignit humaine.

Runie le mercredi 27 mai 2009, la commission a autoris la publication du prsent rapport.

- 115 -

EXAMEN EN COMMISSION MERCREDI 27 MAI 2009

_______

Mme Anne-Marie Escoffier et M. Yves Dtraigne ont tout d'abord prsent les grandes orientations de leur rapport d'information. Ils ont prcis que les travaux du groupe de travail les avaient conduits prfrer la notion de traage lectronique celle de mmoires numriques. En consquence, ils ont propos de dnommer le groupe de travail, cr le 22 octobre 2008, relatif au traage lectronique et la protection de la vie prive groupe de travail relatif au respect de la vie prive lheure des mmoires numriques . La commission en a ainsi dcid. Un dbat s'est engag l'issue de cette prsentation. M. Alex Trk sest flicit de la constitution de ce groupe de travail, illustrant une nouvelle fois la prise de conscience, par le Parlement, des enjeux informatique et liberts depuis quelques annes. Il a soulign : - que la loi du 6 aot 2004 avait profondment transform les missions de la CNIL, relevant que 90 % de son activit tait dsormais tourne vers le secteur priv ; - quil tait particulirement difficile de sensibiliser les jeunes la ncessit de prserver leur intimit mme si, comme ils le disent, ils nont rien cacher ; - que le ministre de lducation nationale navait pas encore pris la mesure des nouveaux risques datteinte la vie prive et, en consquence, navait pas intgr cette dimension dans lenseignement ; - que la CNIL, la diffrence de son homologue britannique, navait pas les moyens budgtaires de lancer de vastes campagnes dinformation pour sensibiliser la population aux nouveaux enjeux informatique et liberts ; - que les membres des rseaux sociaux devaient en tre regards comme des consommateurs, ce afin de leur garantir une plus grande protection ; - que le lgislateur avait opportunment permis, dans la dernire loi de simplification du droit, le lancement effectif de la labellisation des produits ou procdures offrant des garanties renforces en matire de protection des donnes personnelles, dmarche attendue depuis la loi du 6 aot 2004 ; - que le Gouvernement tait aujourdhui rserv quant lide dasseoir le financement de la CNIL sur une redevance, craignant quelle ne

- 116 -

soit perue comme un impt supplmentaire, alors mme quelle ne viendrait que se substituer la dotation prvue dans le budget de lEtat ; - quil tait ncessaire de dconcentrer les moyens de la CNIL par la cration dantennes interrgionales qui permettraient notamment de mieux rpartir ses contrles sur lensemble du territoire ; - quil tait important de ne pas cder la pression du Royaume-Uni concernant la rvision de la directive de 1995, qui ne devait pas, selon lui, tre envisage court terme ; - quil tait essentiel de travailler llaboration de normes internationales dans le domaine de la protection des donnes, soulignant que les Etats-Unis dAmrique et lAsie taient nettement en dessous du niveau de protection garanti en Europe par la directive de 1995, ajoutant que la France, forte de ses collectivits outre-mer dans le Pacifique, pouvait jouer un rle dinfluence important au sein de la Coopration conomique pour l'AsiePacifique (APEC) ; - quil tait en effet opportun de clarifier le statut de ladresse IP ; - quil regrettait que le Gouvernement ait considr que la CNIL ntait pas comptente pour se prononcer sur le volet vidosurveillance du projet de loi dorientation et de programmation pour la scurit intrieure, qui sera prochainement soumis au Parlement ; - quil tait favorable la constitutionnalisation de la protection de la vie prive et des donnes personnelles, afin dinscrire dans la loi fondamentale des principes gnraux qui simposent au lgislateur ; - que la recommandation des rapporteurs concernant la comptence lgislative en matire de fichiers de police, inscrite dans la proposition de loi des dputs, Mme Delphine Batho et M. Jacques Alain Benisti, posait une question importante et complexe. M. Patrice Glard a soulign que le Comit Veil charg de rflchir lopportunit de complter le prambule de la Constitution par des principes nouveaux comit dont il tait membre avait dcid, aprs une longue rflexion, de ne pas consacrer dans le prambule le droit la vie prive, considrant, dune part, que ce droit, reconnu par le Conseil constitutionnel et garanti par les engagements internationaux de la France, avait dj valeur supra-lgislative, dautre part, quil tait prfrable de laisser au lgislateur le soin de dfinir cette notion aux contours imprcis et volutifs. M. Simon Sutour a approuv les conclusions des rapporteurs, en particulier celle tendant constitutionnaliser le droit la vie prive, gage selon lui dune plus grande protection et celle rservant au lgislateur la comptence pour les fichiers de police, dont il a dnonc au passage la mdiocre actualisation, illustre par certaines affaires rcentes. Il a enfin regrett que la France ait t, en 2004, un des derniers pays transposer la directive de 1995 sur la protection des donnes personnelles.

- 117 -

Aprs avoir salu la grande qualit du travail des rapporteurs, M. Jean-Pierre Sueur sest demand si la runion sous une seule autorit, la CNIL, des comptences dautorisation et de contrle en matire de vidosurveillance, propose par les rapporteurs, permettrait de mieux garantir en pratique le droit de consultation des images aujourdhui non effectif. Par ailleurs, il a jug tonnant que la directive de 1995 ait admis, dans certaines conditions, lapplicabilit du droit du pays o se trouve la socit, quand bien mme celle-ci proposerait des services des utilisateurs situs en Europe, relevant quil suffisait alors que les socits sinstallent dans un pays dpourvu de rglementation en matire de protection des donnes pour chapper toute contrainte en la matire. Enfin, il sest demand si la recommandation concernant l htronymat ntait pas contraire aux principes de clart et de transparence des dbats sur Internet, principes en vertu desquels, par exemple, les auteurs de propos injurieux ou diffamatoires doivent assumer nominativement leurs actes pour pouvoir en rpondre le cas chant. Aprs avoir rappel que le Snat avait adopt, en novembre 2008, une proposition de loi de M. Marcel-Pierre Clach tendant porter le dlai de prescription un an lorsque la diffamation, linjure ou la provocation ont t commises par lintermdiaire dInternet et avoir dplor que cette proposition reste en instance lAssemble nationale, M. Jean-Jacques Hyest, prsident, a soulign que lemploi de pseudonymes nempchait pas les services de police ou de gendarmerie de retrouver les auteurs vritables de ces infractions. M. Richard Yung sest tonn que le Royaume-Uni, patrie de la dmocratie, dveloppe autant certaines technologies intrusives, telles que la vidosurveillance et que, de mme, les Etats-Unis, historiquement attachs la protection des liberts, acceptent aussi facilement, depuis les attentats du 11 septembre 2001, de sacrifier celles-ci sur lautel de la lutte contre le terrorisme. Il a approuv les recommandations des rapporteurs, notamment celles qui concernent le renforcement gnral des pouvoirs de la CNIL, la comptence de cette dernire en matire de vidosurveillance et la constitutionnalisation du droit la vie prive, soulignant que cette dernire recommandation avait au moins le mrite de souligner la ncessit, pour le Parlement, dengager un dbat sur les conclusions du Comit Veil relatives cette question essentielle. M. Jean-Jacques Hyest, prsident, a soulign que certaines recommandations des rapporteurs pourraient tre traduites en amendements certains textes de loi, citant le projet de loi dorientation et de programmation pour la scurit intrieure. M. Alain Anziani sest dclar sceptique sur la possibilit de parvenir un jour llaboration dun cadre juridique international en matire de protection des donnes. Il sest par ailleurs demand pourquoi la directive de 1995 navait pas fait le choix de prvoir, conformment aux rgles du droit commun, lapplication du droit communautaire aux services accessibles en Europe, quelle que soit leur provenance. Il a mis en avant la ncessit

- 118 -

dinformer la population des diffrents moyens permettant de se protger des techniques intrusives, citant la suppression des cookies par lutilisateur luimme pour viter la publicit cible. Aprs avoir salu la qualit du travail des rapporteurs, M. Jacques Mzard a jug insuffisante linformation dlivre par certains acteurs dInternet concernant les caractristiques du traitement des donnes effectu, telles que sa finalit ou encore la dure de conservation des donnes. M. Yves Dtraigne, co-rapporteur, a soulign la ncessit pour lcole de sensibiliser les jeunes gnrations aux risques prsents par les nouvelles technologies au regard du droit la vie prive. Il a relev que cette dmarche dinformation ne devait pas tre mene exclusivement par lcole, saluant, titre dexemple, laction de lassociation espagnole dnomme Comisin de Libertades e Informtica (commission des liberts et de linformatique). En rponse M. Patrice Glard, Mme Anne-Marie Escoffier, co-rapporteur a soulign que le rapport ne prconisait pas la constitutionnalisation de la protection des donnes personnelles, comme M. Alex Trk, entendu en qualit de prsident de la CNIL, lavait souhait lors son audition par le Comit Veil, mais celle du droit la vie prive, notion plus large. En outre, elle a indiqu que de nombreux pays europens avaient lev au niveau constitutionnel une telle protection. Elle a enfin estim que la reconnaissance dun droit loubli, qui permettrait une personne de retirer dInternet des informations publies la concernant et dont elle souhaite ne plus permettre la consultation, pouvait, au regard des nouveaux enjeux lis Internet, constituer une rponse plus intressante que la conscration dun droit de proprit sur ses donnes personnelles voire dun droit lhtronymat . M. Alex Trk a relay le souhait de nombreux enseignants de disposer doutils pdagogiques adquats pour prsenter leurs lves les nouveaux risques datteinte la vie prive. M. Pierre-Yves Collombat sest inquit de lalourdissement rgulier des tches supportes par les enseignants. M. Jean-Jacques Hyest, prsident, a exprim certaines rserves concernant la recommandation relative la comptence du lgislateur en matire de fichiers de police. A lissue de ce dbat, M. Jean-Pierre Sueur ayant particulirement marqu lintrt dune large diffusion des travaux mens par les co-rapporteurs, la commission a autoris la publication du rapport dinformation.

- 119 -

ANNEXES
_____

- 121 -

ANNEXE 1
GLOSSAIRE

_______ Adresse IP (Internet Protocol) Adresse, forme de plusieurs chiffres, qui permet aux ordinateurs connects au rseau Internet dtre identifis. Bluetooth Norme de communication qui permet de relier deux appareils par une connexion radio dans un rayon de 10 100 m. Collecte dloyale de donnes personnelles Collecte effectue l'insu des personnes. Cookie Petit fichier envoy par un gestionnaire de site Internet sur le disque dur de lutilisateur permettant didentifier celui-ci lors de sa connexion au site et de mmoriser celle-ci. Correspondants informatique et liberts Institus en 2004, les correspondants informatique et liberts sont des personnes nommes au sein des entreprises et des administrations pour agir comme relais de la CNIL et se porter garants du respect de la loi informatique et libert de 1978. En contrepartie, les structures qui dsignent un tel correspondant ne sont pas tenues dadresser leurs dclarations la CNIL car le correspondant recense ces fichiers. Seuls les traitements identifis comme sensibles dans la loi demeurent soumis autorisation et continuent de faire lobjet de formalits. Cryptage Technique qui assure la confidentialit des donnes en les traduisant sous une forme code et qui ne devient intelligible qu'avec la connaissance de la mthode de codage utilise. On parle de chiffrement lorsque les donnes sont converties par un algorithme en une suite de caractres incomprhensibles. Donne biomtrique Caractristique physique ou biologique permettant didentifier une personne (ADN, contour de la main, iris, empreintes digitales).

- 122 -

Donne personnelle Information identifiant directement ou indirectement une personne physique (par exemple, nom, numro dimmatriculation, numro de tlphone, photographie, date de naissance, empreinte digitale, etc.). Donne sensible Information concernant lorigine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, lappartenance syndicale, la sant ou la vie sexuelle. Les traitements sur de telles donnes ne peuvent tre mis en uvre quaprs une autorisation de la CNIL et ne peuvent, en principe, tre recueillis quaprs le consentement explicite des personnes. Droit d'accs Droit pour toute personne de prendre connaissance de lintgralit des donnes la concernant dans un fichier, soit en sadressant directement ceux qui le dtiennent (droit daccs direct) soit en demandant que la CNIL vrifie les renseignements dans les fichiers intressants la sret de lEtat et la Dfense (droit daccs indirect). Droit linformation Droit pour toute personne dtre informe de la mise en uvre dun traitement de donnes caractre personnel, de lidentit du responsable de traitement, de lobjectif de la collecte dinformations et de son caractre obligatoire ou facultatif, des destinataires des informations, des droits reconnus la personne ainsi que des ventuels transferts de donnes vers un pays hors de lUnion Europenne. Droit dopposition Droit pour toute personne de s'opposer, pour des motifs lgitimes, figurer dans un fichier, et de refuser, sans avoir se justifier, que les donnes qui la concernent soient utilises des fins de prospection commerciale. Droit de rectification Droit pour toute personne de faire rectifier, complter, actualiser, verrouiller ou effacer des informations la concernant lorsquont t dceles des erreurs, des inexactitudes ou la prsence de donnes dont la collecte, l'utilisation, la communication ou la conservation est interdite. Finalit dun traitement Objectif principal dune application informatique de donnes personnelles, par exemple : gestion des recrutements, gestion des clients, enqute de satisfaction, surveillance des locaux

- 123 -

Forum de discussion Service permettant l'change et la discussion sur un sujet donn, l'ensemble des contributions tant accessibles tous et chacun pouvant apporter son commentaire. Il existe la plupart du temps un modrateur charg d'viter les dbordements et notamment que ce lieu virtuel de discussion ne serve la diffamation. Fournisseur d'accs Internet (FAI) Intermdiaire entre l'internaute et le rseau Internet. Les principaux fournisseurs daccs Internet en France sont Orange, Neuf-Cegetel, Free et Numericable. Il attribue ladresse IP et est soumis des obligations en matire de conservation des donnes de connexion. Golocalisation Technologies permettant la localisation prcise d'un individu, en particulier partir des tlphones portables et des systmes de navigation GPS. G29 Groupe de travail europen, cr par larticle 29 de la directive du 24 octobre 1995 sur la protection des donnes et la libre circulation, rassemblant les reprsentants de vingt-sept autorits indpendantes de protection des donnes nationales. Moteurs de recherche Service propos aux internautes leur permettant de trouver les sites correspondant aux mots cls quils ont slectionns (sorte dannuaire). Les plus connus sont Google, Yahoo et Microsoft. Ces services archivent les rfrences des pages web et indexent les pages des diffrents sites, cest--dire quils leur associent des mots cls afin de permettre aux internautes de les localiser plus facilement. Nanotechnologie Technologie fonde sur ltude, la fabrication et la manipulation de structures, de dispositifs et de systmes matriels l'chelle du nanomtre, c'est--dire du milliardime de mtre (ou du millionime de millimtre). Opt in / Opt out Dsigne deux modalits de mise en uvre du consentement. - L opt out dsigne la possibilit offerte lutilisateur dun logiciel ou dun service sur Internet de ne pas participer une collecte de donnes personnelles. Il sagit a priori de loption la moins protectrice de la vie prive, puisque, par dfaut, lindividu est suppos consentir la collecte de ses donnes.

- 124 -

- L opt in , plus protectrice en termes de respect de la vie prive, dsigne la possibilit offerte ce mme utilisateur de participer, au cas par cas, la collecte de ses donnes. En pratique, la mise en uvre dune telle option peut nanmoins savrer parfois contraignante. Rseaux sociaux Communaut d'individus en relation directe ou indirecte sur Internet. Les plus connus en France sont Facebook, My Space, Copains davant et LinkedIn. Responsable du fichier Personne physique ou morale qui dtermine les finalits et les moyens de toute opration (collecte, enregistrement, modification ...), applique des donnes caractre personnel. RFID (Radio Frequency Identification) Technologie qui permet didentifier et de localiser sans contact des objets ou des personnes grce une micropuce (galement dnomme tiquette ou tag) qui dialogue par ondes radio avec un lecteur, sur des distances pouvant aller de quelques centimtres une dizaine de mtres. Serveur Ordinateur qui hberge des informations consultables distance quand d'autres ordinateurs se connectent lui. Traitement de donnes Collecte, enregistrement, utilisation, transmission ou communication personnelles, ainsi que toute exploitation de fichiers ou bases de donnes. d'informations

- 125 -

ANNEXE 2
LISTE DES PERSONNES ENTENDUES PAR LES RAPPORTEURS

_______ INSTITUTIONNELS CNIL - M. Alex Trk, prsident

Ministre de lEducation nationale - Mme Catherine Gabay, conseiller technique - M. Jean-Yves Capul, sous-directeur des technologies de linformation et de la communication pour lducation - M. Emmanuel Meyer, sous-directeur des affaires juridiques de lenseignement scolaire la direction des affaires juridiques - Mme Vronique Fouquat, chef du bureau des programmes denseignement la direction gnrale de lenseignement scolaire

Ministre de lintrieur - M. Guillaume Schlumberger, dlgu la prospective et la stratgie - M. Rgis Reboul, charg de mission auprs du dlgu

Reprsentants des Etats-Unis - Mme Florence Radovic, spcialiste conomique lAmbassade des EtatsUnis Paris - Mme Lauren Saadat, directrice charge de la politique internationale en matire de protection des donnes au ministre de la Scurit des Etats-Unis (Department of Homeland Security) - M. Hugh Stevenson, directeur adjoint de la Commission fdrale du commerce (Federal Trade Commission), bureau des affaires internationales

- 126 -

Chambre de commerce amricaine - M. Winston Maxwell, avocat associ, Hogan et Hartson - Mme Denise Lebeau Marianna, avocat, Baker & McKenzie - Mme Carol Umhoefer, avocat, DLA-Piper - Mme Florence Chafiol-Chaumont, avocat, August & Debouzy - M. Anthony Paronneau, avocat, Dechert - Mme Pauline Le Bousse, avocat, Hogan & Hartson TGI de Paris - M. Nicolas Bonnal, vice-prsident de la 17me chambre (presse)

ENTREPRISES Facebook France - M. Damien Vincent, directeur commercial France - M. Chris Kelly, directeur de la scurit et des donnes personnelles - M. Mozelle Thompson, consultant Google France - M. Olivier Esper, directeur charg des relations institutionnelles - M. Peter Fleischer, directeur de la protection de la vie prive Honeywell - M. Jrme Maironi, vice-prsident JC Decaux - Vlib - M. Pierre Foulon, responsable des relations contractuelles pour vlos en libre service - M. Marc Merlini, directeur application grand public

Majority Report - M. Laurent Collot, directeur - M. Franois Mariet, directeur marketing

- 127 -

Microsoft France - M. Jean Goni, responsable des affaires institutionnelles - M. Marc Moss, directeur des affaires publiques et juridiques My Space France - M. David Fares, directeur des relations institutionnelles chez NewsCorp - M. Lionel Thoumyre, directeur de la prvention et de la scurit RATP - M. Dominique Chaumet, correspondant informatique et liberts Sagem - Mme Carole Pellegrino, responsables des relations institutionnelles - M. Bernard Didier, directeur gnral adjoint, directeur recherche et technologies, business dveloppement Thals - M. Jacques Delphis, directeur des relations extrieures et institutionnelles du groupe Thales - M. Franck Greverie, directeur gnral de la scurit des systmes d'information de la division D3S - M. Kamal Boussadia, responsable des solutions innovantes au sein de la division scurit

ASSOCIATIONS Association Franaise des Correspondants aux Donnes - M. Arnaud Belleil, vice-prsident et directeur associ de Cecurity.com - M. Paul-Olivier Gibert, prsident et directeur de la scurit et de la dontologie AG2R Prvoyance Association Iris - Mme Meryem Marzouki, prsidente

- 128 -

Forum des droits sur Internet - Mme Isabelle Falque-Pierrotin, prsidente du conseil dorientation - M. Stphane Grgoire, juriste Ligue des droits de lhomme - M. Jean-Claude Vitran, responsable du groupe de travail Libert et TIC PERSONNALITES QUALIFIEES GIE avocats - M. Paul-Albert Iweins, prsident du Conseil national des Barreaux - M. Pascal Eydoux, prsident de la confrence des Btonniers - M. le Btonnier Christian Charrire-Bournazel, Btonnier de Paris Avocats - Matre Alain Bensoussan - Mme Corinne Lepage - Matre Olivier Proust M. Dominique Cardon, sociologue Mme Nathalie Mallet-Poujol, professeur lUniversit Montpellier 1 M. Yves Poullet, directeur du centre de recherche informatique et de droit lUniversit de Namur

- 129 -

ANNEXE 3
DPLACEMENTS DU GROUPE DE TRAVAIL

(avec M. Yves Dtraigne et Mme Anne-Marie Escoffier, co-rapporteurs) Dplacement Madrid 12 et 13 mars 2009 Jeudi 12 mars Entretien avec M. Antonio Troncoso, directeur de lagence de protection des donnes de la Communaut de Madrid Djeuner de travail avec : - Mme Mara Rosa Vindel Lopez, snateur de la Communaut de Madrid, membre du conseil consultatif de lAgence espagnole de protection des donnes personnelles (AEPD), - M. Juan Luis Rascon, dput de Cordoue, membre de la commission constitutionnelle du Congrs des dputs, - M. Alejandro Perales, prsident de l'association des usagers de la communication et reprsentant du conseil des consommateurs et usagers auprs du conseil consultatif de l'Agence espagnole de protection des donnes (AEPD), - Mme Beln Veleiro, directrice du dpartement juridique du conseil suprieur des chambres de commerce, d'industrie et de navigation de l'Espagne, membre du conseil consultatif de l'AEPD Entretiens avec : - M. Jos Antonio Martin, magistrat du Tribunal Suprme - M. Juan Cesareo Ortiz Urculo, procureur en chef du Tribunal constitutionnel et M. Vicente Conde Martin De Hijas, magistrat au sein de cette juridiction - M. Antoni Farriols, prsident de la Comisin de Libertades e Informtica (commission des liberts et de linformatique)

- 130 -

Vendredi 13 mars Entretien avec des membres de lagence espagnole de protection des donnes : - M. Jess Rubi, directeur adjoint de lagence - M. Jos Lopez, sous-directeur charg de lInspection - Mme Marta Aguirre, conseillre du service international

Dplacement Bruxelles 31 mars 2009 Mardi 31 mars Entretien avec : - M. Alain Brun, chef dunit charg de la protection des donnes -direction gnrale Justice, Libert et scurit de la Commission europenne - MM. Laurent Beslay et Hielke Hijman, conseillers scientifiques, bureau du contrleur europen de la protection des donnes Djeuner de travail avec : - M. Jean-Philippe Mochon, conseiller juridique la reprsentation permanente de la France auprs de lUnion europenne Entretien avec : - M. Manuel Mateo Goyet, conseiller scientifique, unit D4 (entreprises de rseaux, RFID) la Direction Gnrale socit de linformation de la Commission europenne - M. Achim Klabunde, responsable vie prive la Direction Gnrale socit de linformation de la Commission europenne

- 131 -

Dplacement laroport de Paris Charles de Gaulle 2 avril 2009 Jeudi 2 avril Accueil par M. Patrick Espagnol, sous-prfet charg de mission auprs du prfet de la Seine-Saint-Denis pour la scurit et la sret des plates-formes aroportuaires de Roissy-Charles de Gaulle et du Bourget Prsentation globale des applications utilises sur la plate-forme Prsentation du dispositif de vido-protection par Aroports de Paris Prsentation du tracing au Terminal 2 F1 par Aroports de Paris Prsentation des applications utilises par Air-France au Terminal 2F1 : Application Gaetan Dmatrialisation de la Carte dEmbarquement sur tlphone mobile Smartboarding Prsentation par la Police aux frontires (PAF) de leur systme de contrle biomtrique interne ainsi que des visas biomtriques

Dplacement Grenoble 31 mars 2009 Lundi 6 avril Entretien avec M. Jean-Charles Guibert, directeur de la valorisation au CEA et Directeur de Minatec Visite des laboratoires de biotechnologie : prsentation des systmes intgrs pour lanalyse biologique laboratoire sur puce Visite du show room des objets communicants : prsentation des systmes innovants carte puce sans contact et capture de mouvement Visite du plateau dinnovation pluridisciplinaire MINATEC IDEAs Laboratory : prsentation des initiatives visant favoriser linnovation tout en anticipant les usages des utilisateurs et lacceptabilit des objets communicants innovants en termes denjeux socitaux et dthique

- 132 -

- 133 -

ANNEXE 4
LOI N 78-17 DU 6 JANVIER 1978 RELATIVE LINFORMATIQUE, AUX FICHIERS ET AUX LIBERTS (EXTRAITS) (Version consolide au 14 mai 2009)

Chapitre Ier : Principes et dfinitions Article 1

L'informatique doit tre au service de chaque citoyen. Son dveloppement doit s'oprer dans le cadre de la coopration internationale. Elle ne doit porter atteinte ni l'identit humaine, ni aux droits de l'homme, ni la vie prive, ni aux liberts individuelles ou publiques.

Article 2
La prsente loi s'applique aux traitements automatiss de donnes caractre personnel, ainsi qu'aux traitements non automatiss de donnes caractre personnel contenues ou appeles figurer dans des fichiers, l'exception des traitements mis en uvre pour l'exercice d'activits exclusivement personnelles, lorsque leur responsable remplit les conditions prvues l'article 5. Constitue une donne caractre personnel toute information relative une personne physique identifie ou qui peut tre identifie, directement ou indirectement, par rfrence un numro d'identification ou un ou plusieurs lments qui lui sont propres. Pour dterminer si une personne est identifiable, il convient de considrer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accs le responsable du traitement ou toute autre personne. Constitue un traitement de donnes caractre personnel toute opration ou tout ensemble d'oprations portant sur de telles donnes, quel que soit le procd utilis, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction. Constitue un fichier de donnes caractre personnel tout ensemble structur et stable de donnes caractre personnel accessibles selon des critres dtermins. La personne concerne par un traitement de donnes caractre personnel est celle laquelle se rapportent les donnes qui font l'objet du traitement.

- 134 -

Article 5
I. - Sont soumis la prsente loi les traitements de donnes caractre personnel : 1 Dont le responsable est tabli sur le territoire franais. Le responsable d'un traitement qui exerce une activit sur le territoire franais dans le cadre d'une installation, quelle que soit sa forme juridique, y est considr comme tabli ; 2 Dont le responsable, sans tre tabli sur le territoire franais ou sur celui d'un autre Etat membre de la Communaut europenne, recourt des moyens de traitement situs sur le territoire franais, l'exclusion des traitements qui ne sont utiliss qu' des fins de transit sur ce territoire ou sur celui d'un autre Etat membre de la Communaut europenne. II. - Pour les traitements mentionns au 2 du I, le responsable dsigne la Commission nationale de l'informatique et des liberts un reprsentant tabli sur le territoire franais, qui se substitue lui dans l'accomplissement des obligations prvues par la prsente loi ; cette dsignation ne fait pas obstacle aux actions qui pourraient tre introduites contre lui.

Chapitre II : Conditions de licit des traitements de donnes caractre personnel Section 1 : Dispositions gnrales Article 6
Un traitement ne peut porter que sur des donnes caractre personnel qui satisfont aux conditions suivantes : 1 Les donnes sont collectes et traites de manire loyale et licite ; 2 Elles sont collectes pour des finalits dtermines, explicites et lgitimes et ne sont pas traites ultrieurement de manire incompatible avec ces finalits. Toutefois, un traitement ultrieur de donnes des fins statistiques ou des fins de recherche scientifique ou historique est considr comme compatible avec les finalits initiales de la collecte des donnes, s'il est ralis dans le respect des principes et des procdures prvus au prsent chapitre, au chapitre IV et la section 1 du chapitre V ainsi qu'aux chapitres IX et X et s'il n'est pas utilis pour prendre des dcisions l'gard des personnes concernes ; 3 Elles sont adquates, pertinentes et non excessives au regard des finalits pour lesquelles elles sont collectes et de leurs traitements ultrieurs ; 4 Elles sont exactes, compltes et, si ncessaire, mises jour ; les mesures appropries doivent tre prises pour que les donnes inexactes ou incompltes au

- 135 -

regard des finalits pour lesquelles elles sont collectes ou traites soient effaces ou rectifies ; 5 Elles sont conserves sous une forme permettant l'identification des personnes concernes pendant une dure qui n'excde pas la dure ncessaire aux finalits pour lesquelles elles sont collectes et traites.

Article 7
Un traitement de donnes caractre personnel doit avoir reu le consentement de la personne concerne ou satisfaire l'une des conditions suivantes : 1 Le respect d'une obligation lgale incombant au responsable du traitement ; 2 La sauvegarde de la vie de la personne concerne ; 3 L'excution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ; 4 L'excution, soit d'un contrat auquel la personne concerne est partie, soit de mesures prcontractuelles prises la demande de celle-ci ; 5 La ralisation de l'intrt lgitime poursuivi par le responsable du traitement ou par le destinataire, sous rserve de ne pas mconnatre l'intrt ou les droits et liberts fondamentaux de la personne concerne.

Section 2 : Dispositions propres certaines catgories de donnes Article 8

I.-Il est interdit de collecter ou de traiter des donnes caractre personnel qui font apparatre, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives la sant ou la vie sexuelle de celles-ci. II.-Dans la mesure o la finalit du traitement l'exige pour certaines catgories de donnes, ne sont pas soumis l'interdiction prvue au I : 1 Les traitements pour lesquels la personne concerne a donn son consentement exprs, sauf dans le cas o la loi prvoit que l'interdiction vise au I ne peut tre leve par le consentement de la personne concerne ; 2 Les traitements ncessaires la sauvegarde de la vie humaine, mais auxquels la personne concerne ne peut donner son consentement par suite d'une incapacit juridique ou d'une impossibilit matrielle ;

- 136 -

3 Les traitements mis en uvre par une association ou tout autre organisme but non lucratif et caractre religieux, philosophique, politique ou syndical : - pour les seules donnes mentionnes au I correspondant l'objet de ladite association ou dudit organisme ; - sous rserve qu'ils ne concernent que les membres de cette association ou de cet organisme et, le cas chant, les personnes qui entretiennent avec celui-ci des contacts rguliers dans le cadre de son activit ; - et qu'ils ne portent que sur des donnes non communiques des tiers, moins que les personnes concernes n'y consentent expressment ; 4 Les traitements portant sur des donnes caractre personnel rendues publiques par la personne concerne ; 5 Les traitements ncessaires la constatation, l'exercice ou la dfense d'un droit en justice ; 6 Les traitements ncessaires aux fins de la mdecine prventive, des diagnostics mdicaux, de l'administration de soins ou de traitements, ou de la gestion de services de sant et mis en uvre par un membre d'une profession de sant, ou par une autre personne laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel prvue par l'article 226-13 du code pnal ; 7 Les traitements statistiques raliss par l'Institut national de la statistique et des tudes conomiques ou l'un des services statistiques ministriels dans le respect de la loi n 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matire de statistiques, aprs avis du Conseil national de l'information statistique et dans les conditions prvues l'article 25 de la prsente loi ; 8 Les traitements ncessaires la recherche dans le domaine de la sant selon les modalits prvues au chapitre IX. III.-Si les donnes caractre personnel vises au I sont appeles faire l'objet bref dlai d'un procd d'anonymisation pralablement reconnu conforme aux dispositions de la prsente loi par la Commission nationale de l'informatique et des liberts, celle-ci peut autoriser, compte tenu de leur finalit, certaines catgories de traitements selon les modalits prvues l'article 25. Les dispositions des chapitres IX et X ne sont pas applicables. IV.-De mme, ne sont pas soumis l'interdiction prvue au I les traitements, automatiss ou non, justifis par l'intrt public et autoriss dans les conditions prvues au I de l'article 25 ou au II de l'article 26.

- 137 -

Article 9
Les traitements de donnes caractre personnel relatives aux infractions, condamnations et mesures de sret ne peuvent tre mis en uvre que par : 1 Les juridictions, les autorits publiques et les personnes morales grant un service public, agissant dans le cadre de leurs attributions lgales ; 2 Les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confies par la loi ; 3 [Dispositions dclares non conformes la Constitution par dcision du Conseil constitutionnel n 2004-499 DC du 29 juillet 2004 ;] 4 Les personnes morales mentionnes aux articles L. 321-1 et L. 331-1 du code de la proprit intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prvus aux livres Ier, II et III du mme code aux fins d'assurer la dfense de ces droits.

Chapitre III : La Commission nationale de l'informatique et des liberts Article 11

La Commission nationale de l'informatique et des liberts est une autorit administrative indpendante. Elle exerce les missions suivantes : 1 Elle informe toutes les personnes concernes et tous les responsables de traitements de leurs droits et obligations ; 2 Elle veille ce que les traitements de donnes caractre personnel soient mis en uvre conformment aux dispositions de la prsente loi. A ce titre : a) Elle autorise les traitements mentionns l'article 25, donne un avis sur les traitements mentionns aux articles 26 et 27 et reoit les dclarations relatives aux autres traitements ; b) Elle tablit et publie les normes mentionnes au I de l'article 24 et dicte, le cas chant, des rglements types en vue d'assurer la scurit des systmes ; c) Elle reoit les rclamations, ptitions et plaintes relatives la mise en uvre des traitements de donnes caractre personnel et informe leurs auteurs des suites donnes celles-ci ; d) Elle rpond aux demandes d'avis des pouvoirs publics et, le cas chant, des juridictions, et conseille les personnes et organismes qui mettent en uvre ou

- 138 -

envisagent de mettre en uvre des traitements automatiss de donnes caractre personnel ; e) Elle informe sans dlai le procureur de la Rpublique, conformment l'article 40 du code de procdure pnale, des infractions dont elle a connaissance, et peut prsenter des observations dans les procdures pnales, dans les conditions prvues l'article 52 ; f) Elle peut, par dcision particulire, charger un ou plusieurs de ses membres ou des agents de ses services, dans les conditions prvues l'article 44, de procder des vrifications portant sur tous traitements et, le cas chant, d'obtenir des copies de tous documents ou supports d'information utiles ses missions ; g) Elle peut, dans les conditions dfinies au chapitre VII, prononcer l'gard d'un responsable de traitement l'une des mesures prvues l'article 45 ; h) Elle rpond aux demandes d'accs concernant les traitements mentionns aux articles 41 et 42 ; 3 A la demande d'organisations professionnelles ou d'institutions regroupant principalement des responsables de traitements : a) Elle donne un avis sur la conformit aux dispositions de la prsente loi des projets de rgles professionnelles et des produits et procdures tendant la protection des personnes l'gard du traitement de donnes caractre personnel, ou l'anonymisation de ces donnes, qui lui sont soumis ; b) Elle porte une apprciation sur les garanties offertes par des rgles professionnelles qu'elle a prcdemment reconnues conformes aux dispositions de la prsente loi, au regard du respect des droits fondamentaux des personnes ; c) Elle dlivre un label des produits ou des procdures tendant la protection des personnes l'gard du traitement des donnes caractre personnel, aprs qu'elles les a reconnus conformes aux dispositions de la prsente loi dans le cadre de l'instruction pralable la dlivrance du label par la commission, le prsident peut, lorsque la complexit du produit ou de la procdure le justifie, recourir toute personne indpendante qualifie pour procder leur valuation. Le cot de cette valuation est pris en charge par l'entreprise qui demande le label ; 4 Elle se tient informe de l'volution des technologies de l'information et rend publique le cas chant son apprciation des consquences qui en rsultent pour l'exercice des droits et liberts mentionns l'article 1er ; A ce titre : a) Elle est consulte sur tout projet de loi ou de dcret relatif la protection des personnes l'gard des traitements automatiss. A la demande du prsident de l'une

- 139 -

des commissions permanentes prvue l'article 43 de la Constitution, l'avis de la commission sur tout projet de loi est rendu public ; b) Elle propose au Gouvernement les mesures lgislatives ou rglementaires d'adaptation de la protection des liberts l'volution des procds et techniques informatiques ; c) A la demande d'autres autorits administratives indpendantes, elle peut apporter son concours en matire de protection des donnes ; d) Elle peut tre associe, la demande du Premier ministre, la prparation et la dfinition de la position franaise dans les ngociations internationales dans le domaine de la protection des donnes caractre personnel. Elle peut participer, la demande du Premier ministre, la reprsentation franaise dans les organisations internationales et communautaires comptentes en ce domaine. Pour l'accomplissement de ses missions, la commission peut procder par voie de recommandation et prendre des dcisions individuelles ou rglementaires dans les cas prvus par la prsente loi. La commission prsente chaque anne au Prsident de la Rpublique, au Premier ministre et au Parlement un rapport public rendant compte de l'excution de sa mission.

Article 13
I. - La Commission nationale de l'informatique et des liberts est compose de dix-sept membres : 1 Deux dputs et deux snateurs, dsigns respectivement par l'Assemble nationale et par le Snat ; 2 Deux membres du Conseil conomique et social, lus par cette assemble ; 3 Deux membres ou anciens membres du Conseil d'Etat, d'un grade au moins gal celui de conseiller, lus par l'assemble gnrale du Conseil d'Etat ; 4 Deux membres ou anciens membres de la Cour de cassation, d'un grade au moins gal celui de conseiller, lus par l'assemble gnrale de la Cour de cassation ; 5 Deux membres ou anciens membres de la Cour des comptes, d'un grade au moins gal celui de conseiller matre, lus par l'assemble gnrale de la Cour des comptes ; 6 Trois personnalits qualifies pour leur connaissance de l'informatique ou des questions touchant aux liberts individuelles, nommes par dcret ;

- 140 -

7 Deux personnalits qualifies pour leur connaissance de l'informatique, dsignes respectivement par le Prsident de l'Assemble nationale et par le Prsident du Snat. La commission lit en son sein un prsident et deux vice-prsidents, dont un vice-prsident dlgu. Ils composent le bureau. La formation restreinte de la commission est compose du prsident, des viceprsidents et de trois membres lus par la commission en son sein pour la dure de leur mandat. En cas de partage gal des voix, celle du prsident est prpondrante. II. - Le mandat des membres de la commission mentionns aux 3, 4, 5, 6 et 7 du I est de cinq ans ; il est renouvelable une fois. Les membres mentionns aux 1 et 2 sigent pour la dure du mandat l'origine de leur dsignation ; leurs mandats de membre de la Commission nationale de l'informatique et des liberts ne peuvent excder une dure de dix ans. Le membre de la commission qui cesse d'exercer ses fonctions en cours de mandat est remplac, dans les mmes conditions, pour la dure de son mandat restant courir. Sauf dmission, il ne peut tre mis fin aux fonctions d'un membre qu'en cas d'empchement constat par la commission dans les conditions qu'elle dfinit. La commission tablit un rglement intrieur. Ce rglement fixe les rgles relatives l'organisation et au fonctionnement de la commission. Il prcise notamment les rgles relatives aux dlibrations, l'instruction des dossiers et leur prsentation devant la commission, ainsi que les modalits de mise en uvre de la procdure de labellisation prvue au c du 3 de l'article 11.

Article 17
La formation restreinte de la commission prononce les mesures prvues au I et au 1 du II de l'article 45.

Chapitre IV : Formalits pralables la mise en uvre des traitements Article 22

I. - A l'exception de ceux qui relvent des dispositions prvues aux articles 25, 26 et 27 ou qui sont viss au deuxime alina de l'article 36, les traitements automatiss de donnes caractre personnel font l'objet d'une dclaration auprs de la Commission nationale de l'informatique et des liberts.

- 141 -

II. - Toutefois, ne sont soumis aucune des formalits pralables prvues au prsent chapitre : 1 Les traitements ayant pour seul objet la tenue d'un registre qui, en vertu de dispositions lgislatives ou rglementaires, est destin exclusivement l'information du public et est ouvert la consultation de celui-ci ou de toute personne justifiant d'un intrt lgitime ; 2 Les traitements mentionns au 3 du II de l'article 8. III. - Les traitements pour lesquels le responsable a dsign un correspondant la protection des donnes caractre personnel charg d'assurer, d'une manire indpendante, le respect des obligations prvues dans la prsente loi sont dispenss des formalits prvues aux articles 23 et 24, sauf lorsqu'un transfert de donnes caractre personnel destination d'un Etat non membre de la Communaut europenne est envisag. La dsignation du correspondant est notifie la Commission nationale de l'informatique et des liberts. Elle est porte la connaissance des instances reprsentatives du personnel. Le correspondant est une personne bnficiant des qualifications requises pour exercer ses missions. Il tient une liste des traitements effectus immdiatement accessible toute personne en faisant la demande et ne peut faire l'objet d'aucune sanction de la part de l'employeur du fait de l'accomplissement de ses missions. Il peut saisir la Commission nationale de l'informatique et des liberts des difficults qu'il rencontre dans l'exercice de ses missions. En cas de non-respect des dispositions de la loi, le responsable du traitement est enjoint par la Commission nationale de l'informatique et des liberts de procder aux formalits prvues aux articles 23 et 24. En cas de manquement constat ses devoirs, le correspondant est dcharg de ses fonctions sur demande, ou aprs consultation, de la Commission nationale de l'informatique et des liberts. IV. - Le responsable d'un traitement de donnes caractre personnel qui n'est soumis aucune des formalits prvues au prsent chapitre communique toute personne qui en fait la demande les informations relatives ce traitement mentionnes aux 2 6 du I de l'article 31.

Section 1 : Dclaration. Article 23

I. - La dclaration comporte l'engagement que le traitement satisfait aux exigences de la loi. Elle peut tre adresse la Commission nationale de l'informatique et des liberts par voie lectronique.

- 142 -

La commission dlivre sans dlai un rcpiss, le cas chant par voie lectronique. Le demandeur peut mettre en uvre le traitement ds rception de ce rcpiss ; il n'est exonr d'aucune de ses responsabilits. II. - Les traitements relevant d'un mme organisme et ayant des finalits identiques ou lies entre elles peuvent faire l'objet d'une dclaration unique. Dans ce cas, les informations requises en application de l'article 30 ne sont fournies pour chacun des traitements que dans la mesure o elles lui sont propres.

Article 24
I. - Pour les catgories les plus courantes de traitements de donnes caractre personnel, dont la mise en uvre n'est pas susceptible de porter atteinte la vie prive ou aux liberts, la Commission nationale de l'informatique et des liberts tablit et publie, aprs avoir reu le cas chant les propositions formules par les reprsentants des organismes publics et privs reprsentatifs, des normes destines simplifier l'obligation de dclaration. Ces normes prcisent : 1 Les finalits des traitements faisant l'objet d'une dclaration simplifie ; 2 Les donnes caractre personnel ou catgories de donnes caractre personnel traites ; 3 La ou les catgories de personnes concernes ; 4 Les destinataires ou catgories de destinataires auxquels les donnes caractre personnel sont communiques ; 5 La dure de conservation des donnes caractre personnel. Les traitements qui correspondent l'une de ces normes font l'objet d'une dclaration simplifie de conformit envoye la commission, le cas chant par voie lectronique. II. - La commission peut dfinir, parmi les catgories de traitements mentionns au I, celles qui, compte tenu de leurs finalits, de leurs destinataires ou catgories de destinataires, des donnes caractre personnel traites, de la dure de conservation de celles-ci et des catgories de personnes concernes, sont dispenses de dclaration. Dans les mmes conditions, la commission peut autoriser les responsables de certaines catgories de traitements procder une dclaration unique selon les dispositions du II de l'article 23.

- 143 -

Section 2 : Autorisation Article 25

I. - Sont mis en oeuvre aprs autorisation de la Commission nationale de l'informatique et des liberts, l'exclusion de ceux qui sont mentionns aux articles 26 et 27 : 1 Les traitements, automatiss ou non, mentionns au 7 du II, au III et au IV de l'article 8 ; 2 Les traitements automatiss portant sur des donnes gntiques, l'exception de ceux d'entre eux qui sont mis en oeuvre par des mdecins ou des biologistes et qui sont ncessaires aux fins de la mdecine prventive, des diagnostics mdicaux ou de l'administration de soins ou de traitements ; 3 Les traitements, automatiss ou non, portant sur des donnes relatives aux infractions, condamnations ou mesures de sret, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de dfense des personnes concernes ; 4 Les traitements automatiss susceptibles, du fait de leur nature, de leur porte ou de leurs finalits, d'exclure des personnes du bnfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition lgislative ou rglementaire ; 5 Les traitements automatiss ayant pour objet : - l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales grant un service public et dont les finalits correspondent des intrts publics diffrents ; - l'interconnexion de fichiers relevant d'autres personnes et dont les finalits principales sont diffrentes ; 6 Les traitements portant sur des donnes parmi lesquelles figure le numro d'inscription des personnes au rpertoire national d'identification des personnes physiques et ceux qui requirent une consultation de ce rpertoire sans inclure le numro d'inscription celui-ci des personnes ; 7 Les traitements automatiss de donnes comportant des apprciations sur les difficults sociales des personnes ; 8 Les traitements automatiss comportant des donnes biomtriques ncessaires au contrle de l'identit des personnes. II. - Pour l'application du prsent article, les traitements qui rpondent une mme finalit, portent sur des catgories de donnes identiques et ont les mmes

- 144 -

destinataires ou catgories de destinataires peuvent tre autoriss par une dcision unique de la commission. Dans ce cas, le responsable de chaque traitement adresse la commission un engagement de conformit de celui-ci la description figurant dans l'autorisation. III. - La Commission nationale de l'informatique et des liberts se prononce dans un dlai de deux mois compter de la rception de la demande. Toutefois, ce dlai peut tre renouvel une fois sur dcision motive de son prsident. Lorsque la commission ne s'est pas prononce dans ces dlais, la demande d'autorisation est rpute rejete.

Article 26
I. - Sont autoriss par arrt du ou des ministres comptents, pris aprs avis motiv et publi de la Commission nationale de l'informatique et des liberts, les traitements de donnes caractre personnel mis en uvre pour le compte de l'Etat et : 1 Qui intressent la sret de l'Etat, la dfense ou la scurit publique ; 2 Ou qui ont pour objet la prvention, la recherche, la constatation ou la poursuite des infractions pnales ou l'excution des condamnations pnales ou des mesures de sret. L'avis de la commission est publi avec l'arrt autorisant le traitement. II. - Ceux de ces traitements qui portent sur des donnes mentionnes au I de l'article 8 sont autoriss par dcret en Conseil d'Etat pris aprs avis motiv et publi de la commission ; cet avis est publi avec le dcret autorisant le traitement. III. - Certains traitements mentionns au I et au II peuvent tre dispenss, par dcret en Conseil d'Etat, de la publication de l'acte rglementaire qui les autorise ; pour ces traitements, est publi, en mme temps que le dcret autorisant la dispense de publication de l'acte, le sens de l'avis mis par la commission. IV. - Pour l'application du prsent article, les traitements qui rpondent une mme finalit, portent sur des catgories de donnes identiques et ont les mmes destinataires ou catgories de destinataires peuvent tre autoriss par un acte rglementaire unique. Dans ce cas, le responsable de chaque traitement adresse la commission un engagement de conformit de celui-ci la description figurant dans l'autorisation.

- 145 -

Article 27
I. - Sont autoriss par dcret en Conseil d'Etat, pris aprs avis motiv et publi de la Commission nationale de l'informatique et des liberts : 1 Les traitements de donnes caractre personnel mis en uvre pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit priv grant un service public, qui portent sur des donnes parmi lesquelles figure le numro d'inscription des personnes au rpertoire national d'identification des personnes physiques ; 2 Les traitements de donnes caractre personnel mis en uvre pour le compte de l'Etat qui portent sur des donnes biomtriques ncessaires l'authentification ou au contrle de l'identit des personnes. II. - Sont autoriss par arrt ou, en cas de traitement opr pour le compte d'un tablissement public ou d'une personne morale de droit priv grant un service public, par dcision de l'organe dlibrant charg de leur organisation, pris aprs avis motiv et publi de la Commission nationale de l'informatique et des liberts : 1 Les traitements mis en uvre par l'Etat ou les personnes morales mentionnes au I qui requirent une consultation du rpertoire national d'identification des personnes physiques sans inclure le numro d'inscription ce rpertoire ; 2 Ceux des traitements mentionns au I : - qui ne comportent aucune des donnes mentionnes au I de l'article 8 ou l'article 9 ; - qui ne donnent pas lieu une interconnexion entre des traitements ou fichiers correspondant des intrts publics diffrents ; - et qui sont mis en uvre par des services ayant pour mission, soit de dterminer les conditions d'ouverture ou l'tendue d'un droit des administrs, soit d'tablir l'assiette, de contrler ou de recouvrer des impositions ou taxes de toute nature, soit d'tablir des statistiques ; 3 Les traitements relatifs au recensement de la population, en mtropole et dans les collectivits situes outre-mer ; 4 Les traitements mis en uvre par l'Etat ou les personnes morales mentionnes au I aux fins de mettre la disposition des usagers de l'administration un ou plusieurs tlservices de l'administration lectronique, si ces traitements portent sur des donnes parmi lesquelles figurent le numro d'inscription des personnes au rpertoire national d'identification ou tout autre identifiant des personnes physiques.

- 146 -

III. - Les dispositions du IV de l'article 26 sont applicables aux traitements relevant du prsent article.

Chapitre V : Obligations incombant aux responsables de traitements et droits des personnes Section 1 : Obligations incombant aux responsables de traitements. Article 32
I.-La personne auprs de laquelle sont recueillies des donnes caractre personnel la concernant est informe, sauf si elle l'a t au pralable, par le responsable du traitement ou son reprsentant : 1 De l'identit du responsable du traitement et, le cas chant, de celle de son reprsentant ; 2 De la finalit poursuivie par le traitement auquel les donnes sont destines ; 3 Du caractre obligatoire ou facultatif des rponses ; 4 Des consquences ventuelles, son gard, d'un dfaut de rponse ; 5 Des destinataires ou catgories de destinataires des donnes ; 6 Des droits qu'elle tient des dispositions de la section 2 du prsent chapitre ; 7 Le cas chant, des transferts de donnes caractre personnel envisags destination d'un Etat non membre de la Communaut europenne. Lorsque de telles donnes sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1, 2, 3 et 6. II.- Toute personne utilisatrice des rseaux de communications lectroniques doit tre informe de manire claire et complte par le responsable du traitement ou son reprsentant : - de la finalit de toute action tendant accder, par voie de transmission lectronique, des informations stockes dans son quipement terminal de connexion, ou inscrire, par la mme voie, des informations dans son quipement terminal de connexion ; - des moyens dont elle dispose pour s'y opposer.

- 147 -

Ces dispositions ne sont pas applicables si l'accs aux informations stockes dans l'quipement terminal de l'utilisateur ou l'inscription d'informations dans l'quipement terminal de l'utilisateur : - soit a pour finalit exclusive de permettre ou faciliter la communication par voie lectronique ; - soit est strictement ncessaire la fourniture d'un service de communication en ligne la demande expresse de l'utilisateur. III.- Lorsque les donnes caractre personnel n'ont pas t recueillies auprs de la personne concerne, le responsable du traitement ou son reprsentant doit fournir cette dernire les informations numres au I ds l'enregistrement des donnes ou, si une communication des donnes des tiers est envisage, au plus tard lors de la premire communication des donnes. Lorsque les donnes caractre personnel ont t initialement recueillies pour un autre objet, les dispositions de l'alina prcdent ne s'appliquent pas aux traitements ncessaires la conservation de ces donnes des fins historiques, statistiques ou scientifiques, dans les conditions prvues au livre II du code du patrimoine ou la rutilisation de ces donnes des fins statistiques dans les conditions de l'article 7 bis de la loi n 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matire de statistiques. Ces dispositions ne s'appliquent pas non plus lorsque la personne concerne est dj informe ou quand son information se rvle impossible ou exige des efforts disproportionns par rapport l'intrt de la dmarche. IV.- Si les donnes caractre personnel recueillies sont appeles faire l'objet bref dlai d'un procd d'anonymisation pralablement reconnu conforme aux dispositions de la prsente loi par la Commission nationale de l'informatique et des liberts, les informations dlivres par le responsable du traitement la personne concerne peuvent se limiter celles mentionnes au 1 et au 2 du I. V.- Les dispositions du I ne s'appliquent pas aux donnes recueillies dans les conditions prvues au III et utilises lors d'un traitement mis en oeuvre pour le compte de l'Etat et intressant la sret de l'Etat, la dfense, la scurit publique ou ayant pour objet l'excution de condamnations pnales ou de mesures de sret, dans la mesure o une telle limitation est ncessaire au respect des fins poursuivies par le traitement. VI.-Les dispositions du prsent article ne s'appliquent pas aux traitements de donnes ayant pour objet la prvention, la recherche, la constatation ou la poursuite d'infractions pnales.

Article 34
Le responsable du traitement est tenu de prendre toutes prcautions utiles, au regard de la nature des donnes et des risques prsents par le traitement, pour

- 148 -

prserver la scurit des donnes et, notamment, empcher qu'elles soient dformes, endommages, ou que des tiers non autoriss y aient accs. Des dcrets, pris aprs avis de la Commission nationale de l'informatique et des liberts, peuvent fixer les prescriptions techniques auxquelles doivent se conformer les traitements mentionns au 2 et au 6 du II de l'article 8.

Section 2 : Droits des personnes l'gard des traitements de donnes caractre personnel Article 38
Toute personne physique a le droit de s'opposer, pour des motifs lgitimes, ce que des donnes caractre personnel la concernant fassent l'objet d'un traitement. Elle a le droit de s'opposer, sans frais, ce que les donnes la concernant soient utilises des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultrieur. Les dispositions du premier alina ne s'appliquent pas lorsque le traitement rpond une obligation lgale ou lorsque l'application de ces dispositions a t carte par une disposition expresse de l'acte autorisant le traitement.

Article 39
I.-Toute personne physique justifiant de son identit a le droit d'interroger le responsable d'un traitement de donnes caractre personnel en vue d'obtenir : 1 La confirmation que des donnes caractre personnel la concernant font ou ne font pas l'objet de ce traitement ; 2 Des informations relatives aux finalits du traitement, aux catgories de donnes caractre personnel traites et aux destinataires ou aux catgories de destinataires auxquels les donnes sont communiques ; 3 Le cas chant, des informations relatives aux transferts de donnes caractre personnel envisags destination d'un Etat non membre de la Communaut europenne ; 4 La communication, sous une forme accessible, des donnes caractre personnel qui la concernent ainsi que de toute information disponible quant l'origine de celles-ci ; 5 Les informations permettant de connatre et de contester la logique qui soustend le traitement automatis en cas de dcision prise sur le fondement de celui-ci et produisant des effets juridiques l'gard de l'intress. Toutefois, les informations communiques la personne concerne ne doivent pas porter atteinte au droit

- 149 -

d'auteur au sens des dispositions du livre Ier et du titre IV du livre III du code de la proprit intellectuelle.

Une copie des donnes caractre personnel est dlivre l'intress sa demande. Le responsable du traitement peut subordonner la dlivrance de cette copie au paiement d'une somme qui ne peut excder le cot de la reproduction.
En cas de risque de dissimulation ou de disparition des donnes caractre personnel, le juge comptent peut ordonner, y compris en rfr, toutes mesures de nature viter cette dissimulation ou cette disparition. II.- Le responsable du traitement peut s'opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractre rptitif ou systmatique. En cas de contestation, la charge de la preuve du caractre manifestement abusif des demandes incombe au responsable auprs duquel elles sont adresses. Les dispositions du prsent article ne s'appliquent pas lorsque les donnes caractre personnel sont conserves sous une forme excluant manifestement tout risque d'atteinte la vie prive des personnes concernes et pendant une dure n'excdant pas celle ncessaire aux seules finalits d'tablissement de statistiques ou de recherche scientifique ou historique. Hormis les cas mentionns au deuxime alina de l'article 36, les drogations envisages par le responsable du traitement sont mentionnes dans la demande d'autorisation ou dans la dclaration adresse la Commission nationale de l'informatique et des liberts.

Article 40
Toute personne physique justifiant de son identit peut exiger du responsable d'un traitement que soient, selon les cas, rectifies, compltes, mises jour, verrouilles ou effaces les donnes caractre personnel la concernant, qui sont inexactes, incompltes, quivoques, primes, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite. Lorsque l'intress en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procd aux oprations exiges en vertu de l'alina prcdent. En cas de contestation, la charge de la preuve incombe au responsable auprs duquel est exerc le droit d'accs sauf lorsqu'il est tabli que les donnes contestes ont t communiques par l'intress ou avec son accord. Lorsqu'il obtient une modification de l'enregistrement, l'intress est en droit d'obtenir le remboursement des frais correspondant au cot de la copie mentionne au I de l'article 39. Si une donne a t transmise un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les oprations qu'il a effectues conformment au premier alina.

- 150 -

Les hritiers d'une personne dcde justifiant de leur identit peuvent, si des lments ports leur connaissance leur laissent prsumer que les donnes caractre personnel la concernant faisant l'objet d'un traitement n'ont pas t actualises, exiger du responsable de ce traitement qu'il prenne en considration le dcs et procde aux mises jour qui doivent en tre la consquence. Lorsque les hritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procd aux oprations exiges en vertu de l'alina prcdent.

Article 41
Par drogation aux articles 39 et 40, lorsqu'un traitement intresse la sret de l'Etat, la dfense ou la scurit publique, le droit d'accs s'exerce dans les conditions prvues par le prsent article pour l'ensemble des informations qu'il contient. La demande est adresse la commission qui dsigne l'un de ses membres appartenant ou ayant appartenu au Conseil d'Etat, la Cour de cassation ou la Cour des comptes pour mener les investigations utiles et faire procder aux modifications ncessaires. Celui-ci peut se faire assister d'un agent de la commission. Il est notifi au requrant qu'il a t procd aux vrifications. Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des donnes qui y sont contenues ne met pas en cause ses finalits, la sret de l'Etat, la dfense ou la scurit publique, ces donnes peuvent tre communiques au requrant. Lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignes, l'acte rglementaire portant cration du fichier peut prvoir que ces informations peuvent tre communiques au requrant par le gestionnaire du fichier directement saisi.

Chapitre VI : Le contrle de la mise en uvre des traitements Article 44

I.-Les membres de la Commission nationale de l'informatique et des liberts ainsi que les agents de ses services habilits dans les conditions dfinies au dernier alina de l'article 19 ont accs, de 6 heures 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou tablissements servant la mise en uvre d'un traitement de donnes caractre personnel et qui sont usage professionnel, l'exclusion des parties de ceux-ci affectes au domicile priv. Le procureur de la Rpublique territorialement comptent en est pralablement inform.

- 151 -

II.- En cas d'opposition du responsable des lieux, la visite ne peut se drouler qu'avec l'autorisation du prsident du tribunal de grande instance dans le ressort duquel sont situs les locaux visiter ou du juge dlgu par lui. Ce magistrat est saisi la requte du prsident de la commission. Il statue par une ordonnance motive, conformment aux dispositions prvues aux articles 493 498 du code de procdure civile. La procdure est sans reprsentation obligatoire. La visite s'effectue sous l'autorit et le contrle du juge qui l'a autorise. Celuici peut se rendre dans les locaux durant l'intervention. A tout moment, il peut dcider l'arrt ou la suspension de la visite. III.- Les membres de la commission et les agents mentionns au premier alina du I peuvent demander communication de tous documents ncessaires l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accder aux programmes informatiques et aux donnes, ainsi qu'en demander la transcription par tout traitement appropri dans des documents directement utilisables pour les besoins du contrle. Ils peuvent, la demande du prsident de la commission, tre assists par des experts dsigns par l'autorit dont ceux-ci dpendent. Seul un mdecin peut requrir la communication de donnes mdicales individuelles incluses dans un traitement ncessaire aux fins de la mdecine prventive, de la recherche mdicale, des diagnostics mdicaux, de l'administration de soins ou de traitements, ou la gestion de service de sant, et qui est mis en uvre par un membre d'une profession de sant. Il est dress contradictoirement procs-verbal des vrifications et visites menes en application du prsent article. IV.- Pour les traitements intressant la sret de l'Etat et qui sont dispenss de la publication de l'acte rglementaire qui les autorise en application du III de l'article 26, le dcret en Conseil d'Etat qui prvoit cette dispense peut galement prvoir que le traitement n'est pas soumis aux dispositions du prsent article.

Chapitre VII : Sanctions prononces par la Commission nationale de l'informatique et des liberts Article 45
I. - La Commission nationale de l'informatique et des liberts peut prononcer un avertissement l'gard du responsable d'un traitement qui ne respecte pas les obligations dcoulant de la prsente loi. Elle peut galement mettre en demeure ce responsable de faire cesser le manquement constat dans un dlai qu'elle fixe.

- 152 -

Si le responsable d'un traitement ne se conforme pas la mise en demeure qui lui est adresse, la commission peut prononcer son encontre, aprs une procdure contradictoire, les sanctions suivantes : 1 Une sanction pcuniaire, dans les conditions prvues par l'article 47, l'exception des cas o le traitement est mis en uvre par l'Etat ; 2 Une injonction de cesser le traitement, lorsque celui-ci relve des dispositions de l'article 22, ou un retrait de l'autorisation accorde en application de l'article 25. II. - En cas d'urgence, lorsque la mise en uvre d'un traitement ou l'exploitation des donnes traites entrane une violation des droits et liberts mentionns l'article 1er, la commission peut, aprs une procdure contradictoire : 1 Dcider l'interruption de la mise en uvre du traitement, pour une dure maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionns au I et au II de l'article 26, ou de ceux mentionns l'article 27 mis en uvre par l'Etat ; 2 Dcider le verrouillage de certaines des donnes caractre personnel traites, pour une dure maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionns au I et au II de l'article 26 ; 3 Informer le Premier ministre pour qu'il prenne, le cas chant, les mesures permettant de faire cesser la violation constate, si le traitement en cause est au nombre de ceux qui sont mentionns au I et au II de l'article 26 ; le Premier ministre fait alors connatre la commission les suites qu'il a donnes cette information au plus tard quinze jours aprs l'avoir reue. III. - En cas d'atteinte grave et immdiate aux droits et liberts mentionns l'article 1er, le prsident de la commission peut demander, par la voie du rfr, la juridiction comptente d'ordonner, le cas chant sous astreinte, toute mesure de scurit ncessaire la sauvegarde de ces droits et liberts.

Article 46
Les sanctions prvues au I et au 1 du II de l'article 45 sont prononces sur la base d'un rapport tabli par l'un des membres de la Commission nationale de l'informatique et des liberts, dsign par le prsident de celle-ci parmi les membres n'appartenant pas la formation restreinte. Ce rapport est notifi au responsable du traitement, qui peut dposer des observations et se faire reprsenter ou assister. Le rapporteur peut prsenter des observations orales la commission mais ne prend pas part ses dlibrations. La commission peut entendre toute personne dont l'audition lui parat susceptible de contribuer utilement son information. La commission peut rendre publics les avertissements qu'elle prononce. Elle peut galement, en cas de mauvaise foi du responsable du traitement, ordonner

- 153 -

l'insertion des autres sanctions qu'elle prononce dans des publications, journaux et supports qu'elle dsigne. Les frais sont supports par les personnes sanctionnes. Les dcisions prises par la commission au titre de l'article 45 sont motives et notifies au responsable du traitement. Les dcisions prononant une sanction peuvent faire l'objet d'un recours de pleine juridiction devant le Conseil d'Etat.

Article 47
Le montant de la sanction pcuniaire prvue au I de l'article 45 est proportionn la gravit des manquements commis et aux avantages tirs de ce manquement. Lors du premier manquement, il ne peut excder 150 000 Euros. En cas de manquement ritr dans les cinq annes compter de la date laquelle la sanction pcuniaire prcdemment prononce est devenue dfinitive, il ne peut excder 300 000 euros ou, s'agissant d'une entreprise, 5 % du chiffre d'affaires hors taxes du dernier exercice clos dans la limite de 300 000 euros. Lorsque la Commission nationale de l'informatique et des liberts a prononc une sanction pcuniaire devenue dfinitive avant que le juge pnal ait statu dfinitivement sur les mmes faits ou des faits connexes, celui-ci peut ordonner que la sanction pcuniaire s'impute sur l'amende qu'il prononce. Les sanctions pcuniaires sont recouvres comme les crances de l'Etat trangres l'impt et au domaine.

Chapitre VIII : Dispositions pnales Article 50 Les infractions aux dispositions de la prsente loi sont prvues et rprimes par les articles 226-16 226-24 du code pnal. Article 51
Est puni d'un an d'emprisonnement et de 15 000 euros d'amende le fait d'entraver l'action de la Commission nationale de l'informatique et des liberts : 1 Soit en s'opposant l'exercice des missions confies ses membres ou aux agents habilits en application du dernier alina de l'article 19 ; 2 Soit en refusant de communiquer ses membres ou aux agents habilits en application du dernier alina de l'article 19 les renseignements et documents utiles leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparatre ; 3 Soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu'il tait au moment o la demande a t formule ou qui ne prsentent pas ce contenu sous une forme directement accessible.