CR du séminaire Protection des données et recherche du 10/11/2020 : Julien Rossi — « Aux origines du droit à la protection des données à caractère personnel : une idéologie individualiste ? »

Le séminaire Protection des données et recherche du 10/11/2020 a accueilli Julien Rossi qui est maître de conférence à l’UCO et chercheur associé au Costech de l’Université de Compiègne. Sa présentation avait pour titre Aux origines du droit à la protection des données à caractère personnel : une idéologie individualiste ? Issue de sa thèse soutenue en juillet dernier, elle portait sur l’histoire du droit de la protection des données personnelles (PdD) et des politiques publiques associées à partir des années 1960. Adoptant une approche généalogique (au sens de M. Foucault), la présentation s’est aussi attachée à analyser le rôle du discours et des idéologies dans la formation de ces instruments de l’action publique. En effet, la thèse reprend —tout en la nuançant— l’idée notamment formulée par C. Bennett et C. Raab (Bennett et Raab, 2003) que la réglementation serait l’expression d’un paradigme « libéral » de la PdP.

Ce qui suit reprend une partie de la présentation en la complétant d’éléments provenant de la thèse et de (González Fuster, 2014) ainsi que d’autres sources citées dans le texte.

La généalogie du droit de la protection des données à caractère personnel

Convergences réglementaires

À partir du début des années 1970, différents États ont adopté des lois réglementant le traitement de données à caractère personnel (DCP) et ce à commencer par l’Allemagne, d’abord au niveau fédéré —Land de Hesse en 1970 (Hessische Datenschutzgesetz)— rapidement suivi par d’autres Länder puis au niveau fédéral en 1977 (Bundesdatenschutzgesetz) ainsi que par la Suède (Datalag) en 1973, les États–Unis (Privacy Act) en 1974 ou encore la France (loi informatique et libertés—Lil) en 1978.

Au de–là de la co–incidence temporelle de leur adoption, différents auteurs ont noté que ces réglementations présentent de nombreuses similarités —du moins dans les principes qu’elles mettent en œuvre— et cela alors que qu’elles ont été élaborées dans des contextes nationaux et des traditions juridiques différentes. Parmi ces traits communs retrouve par exemple la place centrale conférée dans les textes à ce que l’on appelle aujourd’hui1 le principe d’autodétermination informationnelle et le recueil du consentement éclairé des personnes au traitement des données les concernant ainsi que les principes de limitation de la finalité et du traitement, de proportionnalité ou encore l’obligation de sécurité du responsable de traitement (Privacy by design).

La co–incidence dans le temps et les similarités observables entre les dispositions adoptées ne sont pas fortuites. À partir des années soixante, les administrations publiques et les entreprises commencent à s’équiper d’ordinateurs et les possibilités de conservation et de croisement des informations inédites que l’informatique procure fait alors craindre pour les libertés publiques. Mais au de–là de cette communauté de situations, la convergence des réglementations nationales peut aussi être reliée au fait que les réflexions menées au niveau national étaient connues dans d’autres pays et que ces textes ont souvent été rédigés par des personnes (juristes et hauts fonctionnaires) ayant pris part à des conférences internationales notamment organisées sous l’égide d’organisations internationales telles que l’OCDE et le Conseil de l’Europe. Leurs travaux aboutiront d’ailleurs par la suite à l’adoption de textes comme la Recommandation sur les lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel de l’OCDE du 23 septembre 1980 ainsi que la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (ou Convention 108) du Conseil de l’Europe ouverte à la signature le 28 janvier 1981.

L’émergence de la protection des données au niveau national et international

L’histoire de ces échanges internationaux commence aux États–Unis au milieu des années soixante. À cette époque, le gouvernement mais aussi les entreprises étasuniennes2 s’étaient déjà dotés de nombreux ordinateurs. Des voix commencèrent alors à se faire entendre pour manifester leurs craintes face aux conséquences sociales de ces équipements et, plus généralement, face à la surveillance de masse permise par les développements techniques des années d’après–guerre. Le souvenir (et parfois l’expérience) du McCarthyisme est encore frais et les fichiers visant à surveiller ou profiler commencent déjà à se multiplier.

Parmi les publications de l’époque exprimant ces craintes, on peut notamment citer les livres du journaliste Vance Packard (The Naked Society—1964), de l’ancien détective de l’agence Pinkerton Myron Brenton (The Invaders of Privacy—1964), de l’informaticien pionnier de la sécurité des systèmes d’information Willis Ware (Security and Privacy in Computer Systems—1967, précédé par un rapport interne pour la Rand Corp., Future Computer Technology and its Impact—1965) et peut–être surtout celles du professeur de droit public à l’Université de Columbia Alan Westin (Privacy and Freedom—1967, Databanks in a Free Society—1972). A. Westin (1929 – 2013) a en effet consacré une large part de sa carrière à la défense de la privacy et largement contribué au paradigme « libéral » de la protection des données en adoptant un perspective très utilitariste de la question, en particulier pour le traitement de DCP par les entreprises . Westin a notamment développé une approche reposant sur le choix dit rationnel où les individus négocient la protection de leur données sur le marché. Et il fut donc un des premiers à faire de l’information le cœur de la régulation des rapports entre personnes concernées et responsables de traitement.

En 1966, à la suite d’un rapport du Social Science Research Council (SSRC) déplorant l’éparpillement des données produites, un projet appelé National Data Center fut conçu. L’annonce de ce projet conduisit alors la Chambre des représentants à se saisir de la question en mettant en place une commission d’enquête parlementaire, le Special Subcommittee on Invasion of Privacy du Committee on Government Operations dont les auditions se déroulèrent du 26 au 29 juillet 1966. La commission entendit notamment V. Packard et discuta des travaux de A. Westin (sans qu’il soit auditionné).

On notera, en passant, la similarité avec les événements ayant précédés l’adoption de la Lil. De façon immédiate, l’élaboration de la loi est en effet la conséquence d’un projet de base de données du ministère de l’intérieur (Safari) dont la révélation de l’existence conduisit à la mise en place d’une commission parlementaire —la Commission informatique et liberté— dirigée par le haut fonctionnaire Bernard Tricot dont les travaux débouchèrent sur la rédaction de la loi du 6 janvier 1978. À la différence de la France, les travaux de la commission ne débouchèrent toutefois pas immédiatement sur des mesures législatives3. Mais les débats ainsi que différentes décisions judiciaires que la question avait suscité aux États–Unis furent toutefois repris en Europe comme en témoigne différentes personnes interrogées dans le cadre de la thèse.

Il est à noter qu’un autre pays contribua fortement à la définition des principes aujourd’hui acceptés de la protection des données mais sans pour autant adopter de loi dans la foulée. Il s’agit du Royaume–Uni où la première législation en la matière (Data Protection Act) ne fut adoptée qu’en…1984 essentiellement pour ce conformer à la Convention 108 du Conseil de l’Europe. Pourtant, en 1970, le Home Office désigna un comité (Committee on Privacy) dirigé par l’avocat et homme politique travailliste Kenneth Younger suite à plusieurs propositions de loi relatives à la protection de la privacy. Il rendit son rapport en 1972.

Un groupe de travail sur les ordinateurs fut constitué en son sein qui lui–même sollicita la British Computer Society (BCS), une organisation professionnelle britannique regroupant des informaticiens. Cette dernière constitua à son tour un groupe de réflexion sur la protection de la vie privée, qui remit un rapport au comité Younger en mars 1971. Inspiré notamment par Westin, c’est par ce groupe de travail que la régulation du traitement de DCP par la mise en œuvre d’un ensemble de principes fut explicitement formulée pour la première fois. Et, si ces idées ne se traduisirent pas immédiatement d’effets au Royaume–Uni4, elle intégrèrent, via la participation des délégations britanniques, d’abord deux résolutions du Conseil de l’Europe en 1973 et 1974, puis la Recommandation sur les lignes directrices de l’OCDE et la Convention 108 du Conseil de l’Europe sous une forme révisée. On retrouve aussi leur trace aux États–Unis.

Au début des années 1970, W. Ware se vit ainsi confier la présidence d’une commission chargée de remettre un rapport sur la protection de la vie privée par le Department of Health, Education and Welfare. Ce rapport, connu sous le nom de « rapport HEW », du nom de son commanditaire, fut rendu en juillet 1973. Il fut notamment rédigé par Arthur Miller qui était professeur de droit à Harvard, et, à l’instar d’Alan Westin, l’un des juristes théoriciens du paradigme « libéral » de la vie privée. Tout en ce faisant l’écho des audition de 1966, elle semble aussi s’inspirer du rapport Younger notamment dans le principe de Fair Information. Ce rapport inspira ensuite la rédaction du Privacy Act adopté l’année suivante.

Coordinations internationales

Ce qui précède permet d’esquisser sommairement les circulations transatlantiques et européennes des réflexions sur le traitement de DCP à partir de la seconde moitié des années 1960. Les craintes apparues aux États–Unis eurent en effet leur pendant dans d’autres pays comme l’Allemagne, les Pays–Bas, la Suède, le Royaume–Uni ou la France. Cependant, comme on peut le voir, les débats dans chaque pays n’ont pas eu lieu de façon indépendante. D’abord par la connaissance des débats étasuniens. Mais aussi par la mise en place de lieux de rencontre sous l’égide d’organisations internationales.

Ainsi, en 1968, l’Assemblée parlementaire du Conseil de l’Europe adopta une résolution s’inquiétant des risques que certaines nouvelles techniques faisaient peser sur le droit à la vie privée. Différents groupes d’experts furent mis en place à partir de 1970 qui aboutirent aux résolutions de 22 (1973) et 29 (1974). Un autre comité d’expert fut crée en 1976 dont les travaux aboutirent à la Convention 108.

De façon concurrente (dans tous les sens du terme), l’OCDE créa elle aussi différents groupes d’experts, à commencer par le Computer Utilization Group qui rendit son rapport en 1971. La démarche de l’OCDE se distingue toutefois en ce qu’elle est sans doute moins motivée par les risques d’atteintes aux libertés que par la crainte que l’arrivée de législation nationale comme celle du Bundesland Hesse ne constituent un frein au échanges de données internationaux (comme le montre le nom complet de la Recommandation). Plusieurs séminaires furent ensuite organisés entre 1974 et 1979 et leurs travaux aboutirent à la Recommandation de 1980.

La liste des représentants des États à ces groupes d’experts dessine ce que C. Bennett (Bennett, 1992) qualifie de policy community formée notamment de Spiros Simitis pour l’Allemagne, Jan Freese et Peter Seipel pour la Suède, Louis Joinet pour la France, Paul Sieghart pour le Royaume–Uni, Michael Kirby pour l’Australie, Stefano Rodotà pour l’Italie, auxquels on peut ajouter Hans Peter Gassman à l’OCDE et Frits Hondius5 au Conseil de l’Europe. Or, les participants à ces réunions étaient des personnes qui avaient participé aux réflexions voire à l’élaboration des législations au niveau national ou qui allaient y prendre part par la suite. Ainsi Louis Joinet qui représenta la France dans différents groupes d’experts constitués par le Conseil de l’Europe ou l’OCDE dès le début des années 1970 fut en parallèle chargé de la rédaction technique de la Lil .

Frise chronologique radiale de l’élaboration de la PdD
Note : les dates sont tirées de la thèse et d’autres sources mais certaines sont encore approximatives faute d’informations supplémentaires en dehors de l’année.

Un paradigme libéral

Au travers cette généalogie, la démarche adoptée visait aussi à retrouver les traces d’un paradigme libéral dans les travaux des différentes commissions et groupes de travail qui avaient conduit à l’établissement des grands principes de la protection des données.

Dans cette perspective, les principes de la protection des données trouveraient leur source dans les écrits du philosophe John Stuart Mill . Mill y défend l’existence d’une sphère privée protégeant l’individu du regard de l’État et d’Autrui. L’individu doit en effet pouvoir poursuivre ce qui constituerait son but ultime : maximiser son utilité ce qui nécessite entre autre de pouvoir exercer son libre–arbitre à l’abri de pressions extérieures.

Cette conception se traduirait dans la réglementation par l’importance accordée au contrôle de l’utilisation des données par la personne concernée et, le cas échéant, consentir ou non à leur traitement. Mais, si on retrouve chez certains auteurs tels que A. Westin ou A. Miller des raisonnements similaires, la référence explicite à Mills reste rare (elle apparaît toutefois dans les auditions du Special Subcommittee on Invasion of Privacy).

Ces vues libérales sont distinctes du libéralisme économique. Ainsi, les économistes de l’École de Chicago tels que Richard Posner ou George Stigler se sont, dès les années 1970, opposés à toute forme de régulation du traitement de DCP. Reprenant les théories néoclassiques, ils voyaient dans la protection des données une source d’asymétrie constituant un obstacle à l’optimalité du marché .

Le paradigme libéral de la protection des données a ainsi fait dès les années 1970 l’objet de nombreuses critiques d’inspiration diverses (marxistes, féministes, foucaldiennes,…). Toutefois, les principes qu’il aurait inspiré sont aujourd’hui largement acceptés comme en témoigne les négociations préalables à l’adoption du RGPD. Ainsi, l’intense activité de représentation d’intérêt de la part d’entreprise du numérique à laquelle donna lieu les négociations ne porta pas tant sur les principes que sur leur application et le nécessaire « équilibre » à trouver entre activité économique et respect des droits des personnes.

Discussion

Note : ce qui suit ne reprend pas la discussion mais en développe certains points.

La présentation est issue d’un des trois terrains de la thèse (les deux autres portant respectivement sur les négociations préalables à l’adoption du RGPD et la « privacy » dans la production des standards techniques du Web). Cette partie retrace l’histoire de l’émergence de la notion de PdD en complétant des travaux préalables sur la question. Elle permet ainsi de relier certaines congruences observables entre les réglementations adoptées à cette époque et par la suite à la mise en place de réseaux internationaux s’étant constitués à l’époque autour de la régulation des traitements de DCP ainsi que la diffusion d’un paradigme libéral à travers eux. Cette histoire amène toutefois un autre questionnement.

Dès le milieu des années 1970, c.–à–d. une fois adoptées les résolutions 22 et 29 du Conseil de l’Europe, la question de la réponse juridique à la multiplication des enregistrements concernant les personnes physiques semble avoir trouvé sa réponse, du moins du point vue des participants aux réflexions. Leurs travaux ont en effet permis de distinguer DCP et PdD de la notion considérée comme trop vague de vie privée et donné un contenu normatif à la protection sous la forme d’un ensemble de principes à respecter. D’autre part, au travers de ces principes, la perspective libérale notamment développée par A. Westin parait avoir triomphé. Sur le principe du moins.

Car, même si les principes étaient d’inspiration libérale, il n’est pas sûr que leur application aient toujours suivi la même inspiration. Ainsi, malgré les accords internationaux, les mêmes principes vont déboucher sur des usages très différents d’un pays à l’autre. Aux États–Unis, le Privacy Act ne couvre que les traitements du secteur public. Pour le privé, la régulation est sectorielle et a été mis en place progressivement6 sans constituer un ensemble homogène. Aucune autorité administrative spécifique en charge du traitement de DCP n’a donc été crée et, dans les faits, se sont des agences fédérales sectorielles comme la FTC (Federal Trade Commission) ou la FCC (Federal Communications Commission) jouent parfois un rôle similaire7

À l’opposé, la France n’a pas limité la réglementation au secteur public —même s’il est resté le principal concerné pendant plus d’une décennie comme le montre les analyses de la doctrine de la Cnil (Soubiran, 2019)—. Elle a de plus appliqué les principes de la façon la moins libérale qui soit en mettant en place un régime d’autorisation préalable où tous les traitements de DCP devaient être autorisés par la Cnil avant leur mise en œuvre.

De plus, la définition de ce que recouvrent les DCP et donc le champ d’application même de la réglementation varient fortement à la fois dans les textes et les décisions des autorités judiciaires et administratives. Ainsi, la notion couramment employée aux États–Unis de personally identifiable information a des contours sans doute moins clairement définis et moins extensifs que celle de DCP. Là encore, la France a, au contraire, adopté dès le départ une définition large de DCP —bien que d’abord limitée aux données nominatives8—. D’autre part, l’application du principe de traitement loyal aux États–Unis peut se révéler beaucoup plus fluctuante qu’en Europe, notamment au grès des présidences9.

Au final, une communauté des principes n’exclue donc pas de fortes différences pratiques et doctrinales. Ces différences se sont d’ailleurs manifestées encore récemment avec l’invalidation du « Privacy shield » par la CJUE près de cinq ans après l’invalidation du « Safe Harbor » qui l’avait précédé. Et si, en France, la PdD est aujourd’hui sans doute plus proche de ce qu’avait envisagé Westin, c’est à la suite d’actes législatifs successifs de l’UE qui ont notamment conduit à progressivement supprimer presque complètement toute autorisation préalable. La communauté de principes ne semble donc pas suffisante pour totalement rendre compte des convergences observables entre réglementations —pour la PdD du moins.

Mais ceci est, bien évidemment, une autre histoire.

Références

Bennett C.J., 1992, Regulating privacy: Data protection and public policy in Europe and the United States, Ithaca, N.Y., Cornell University Press.
Bennett C.J., Raab C.D., 2003, The Governance of Privacy. Policy Instruments in Global Perspective, Aldershot, Ashgate.
Commission Informatique et libertés, 1974, Rapport de la Commission Informatique et libertés, La documentation française, Paris. texte
González Fuster G., 2014, The Emergence of Personal Data Protection as a Fundamental Right of the EU, Dordrecht, Springer.
Hondius F.W., 1975, Emerging data protection in Europe, Amsterdam, Elsevier.
Rossi J., 2020, Protection des données personnelles et droit à la vie privée : enquête sur la notion controversée de « donnée à caractère personnel », thèse de doctorat, Université de technologie de Compiègne. texte
Soubiran T., 2019, Quarante ans de délibérations de la Cnil. Analyse thématique de l’évolution d’un corps de doctrine, à paraître dans les actes du colloque Histoire, langues et textométrie du Pireh. présentation

  1. Ces termes sont en effet en partie anachroniques, le vocabulaire ne s’étant alors pas encore stabilisé. []
  2. Notamment dans le domaine du crédit à la consommation. []
  3. On notera de plus que la commission avait été précédée par d’autres travaux —notamment du Conseil d’État en 1969–70— et d’une proposition de loi déposée en 1970 par le député FNRI du Val–d’Oise Michel Poniatowski —qui d’autre part fut ministre de l’intérieur de 1974 à 1977—. La France était de plus impliquée dans un groupe d’experts du Conseil de l’Europe appelé « Groupe d’experts sur la protection de la vie privée vis–à-vis des banques de données électroniques » (voir infra).
    L’affaire Safari semble donc plutôt avoir précipité les événements à défaut d’être à l’origine de la Lil, cette base de données n’en étant qu’une parmi de nombreuses autres dans l’administration française, à commencer par l’Insee. Ainsi, le premier recensement a avoir été complètement informatisé fut celui de 1968 et, au début des années 1970, l’Institut avait déjà procédé à l’informatisation du RNI (Répertoire national d’identification). C’est aussi le cas de l’administration fiscale dès 1967 (Commission Informatique et libertés, 1974). On peut aussi noter qu’un projet de loi prévoyant la création d’un fichier national de santé a été repoussé en 1970 par le Parlement et ce malgré les précautions pour préserver le secret médical dont avait été assorti le fichier. []
  4. Elles furent toutefois reprises sous la forme d’une charte professionnelle promue par la BCS. []
  5. Frits Hondius qui fut l’auteur d’un des premier ouvrage sur le droit de la protection des données en 1975 (Hondius, 1975). []
  6. On peut notamment citer : The Privacy Protection Act (1980 —protection des journalistes) , The Cable Communications Act (1984) , The Electronic Communications Privacy Act (1986) , The Video Privacy Protection Act (1988) , The Driver’s Privacy Protection Act (1994) , The Health Insurance Portability Accountability Act (1996) , The Children’s Online Privacy Protection Act (1998) , The Gramm–Leach–Bliley Act (1999 —loi dérégulant les secteurs de la banque et de l’assurance contenant des dispositions relatives à la privacy des consommateurs) []
  7. C’est par exemple la FTC qui a condamné Facebook en juillet 2019 à payer une amende de 5 milliards de dollars à la suite de l’affaire Cambridge Analytica. []
  8. Le rapport Tricot note que la Commission Informatique et libertés avait toutefois inclus les données non–nominatives dans ces investigations (Commission Informatique et libertés, 1974). []
  9. Sous la présidence Trump, une loi a ainsi autorisé en 2017 la vente de données de fournisseurs d’accès sans information ou consentement des personnes concernées en contradiction avec une réglementation adoptée par la FCC pendant le mandat de son prédécesseur qui l’avait prohibé. []

Vous aimerez aussi...

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search