Un droit à la limite. L’avènement de la protection des données en Europe

Le 11 décembre dernier, je suis intervenu lors de la semaine DATA–SHS de la Plateforme universitaire de données Grenoble Alpes (PUD–GA) avec une présentation intitulée Un droit à la limite. L’avènement de la protection des données en Europe dont le support est disponible ici. Je remercie sincèrement les organisateurs (Frédéric Gonthier et Max Béligné) de m’avoir permis de faire une présentation un peu différente de celles que j’ai pu faire jusqu’à présent en la matière.

And now for something completely different

Always look on the bright side of life

Les interventions que je fais régulièrement sur la protection des données (comme le lendemain à Lyon) sont orientées vers la mise en conformité des traitements en SHS. Elles consistent donc à passer en revue les définitions et principes de la réglementation (traitement, données à caractère personnel, finalité, proportionnalité, responsable de traitement, inversion de la charge de la preuve, pseudonymisation,…) et leur mise en œuvre dans les traitements de données.

Au départ, j’essayais d’élargir le propos en introduisant des éléments à la fois plus historiques et contextuels. Mais le fait est que les parties applicatives ont fini par prendre le pas, faute de temps (ces parties s’étant elles–mêmes étoffés). Le fait est aussi qu’au début, rares étaient ceux qui avaient tout simplement entendu parler de protection des données. Rentrer in media res dans le vif du sujet était donc un peu abrupte.

Un propos plus introductif s’est toutefois révélé rapidement de moins en moins nécessaire après l’entrée en vigueur du RPGD le 25 mai 2018 et peut–être surtout (bizarrement) depuis septembre 2019 lorsque l’ANR a demandé l’élaboration d’un plan de gestion des données (PGD) pour les projets financés.

Rares sont donc ceux qui n’ont, aujourd’hui, jamais au moins entendu parler de la réglementation. Ce qui a rendu un propos introductif moins nécessaire (et surtout moins demandé). Ce qui est dommage car ces aspects sont loin d’être accessoires et leur absence prive les présentations d’éléments nécessaires pour la compréhension et donc la maîtrise opérationnelle du sujet.

La présentation à la semaine DATA–SHS de la PUD–GA m’a donc donné, une fois de plus, l’occasion de sortir de ces sentiers un peu (re)battus. Une fois de plus, car en 2019, j’avais participé à l’inauguration de la plateforme avec une présentation proposant une lecture plus épistémologique de l’application de la réglementation insistant notamment sur les liens entre les principe de proportionnalité et de pertinence d’une part et le principe de parcimonie d’autre part notamment considérés d’un point de vue statistique (AIC, BIC,…) d’autre part.

Il s’est agit cette fois d’aborder la protection des données et, plus généralement, le traitement de données personnelles dans la longue durée.

Die Zukunft beginnt in der Vergangenheit : les traitements de DCP dans la longue durée

Registres paroissiaux —source : Archives départementales du Nord

La présentation part de l’observation de l’ancienneté millénaire des traitements de DCP qui contraste avec une caractérisation (juridique mais aussi, par exemple, statistique) finalement très récente. Ce n’est en effet qu’à partir de la seconde moitié des années 1960 qu’un cadre juridique distinct (p.ex de la « vie privée » ou de la « privacy »), applicable va brusquement se dessiner au travers d’élaborations nationales et internationales croisées.

Si on trouve des exemples de traitements de DCP en différents lieux et temps, l’Europe va commencer à se distinguer à partir de la fin du bas Moyen–Âge par des inscriptions aux registres toujours plus nombreuses, extensives, intensives, intrusives et, surtout, indispensables. Et ça dans de très nombreux domaines (c–à–d pas seulement par « l’État » —au sens régalien—).

La multiplication de ces inscriptions marque notamment des relations sociales où le contrat, le conventionnement, les droits et, plus généralement, le droit vont prendre une part toujours croissante.

Mais pour pouvoir contracter, il faut avoir une personnalité juridique. Et pour avoir une personnalité juridique, il faut avoir une identité et donc un identifiant (nom ou autre) qui doit être conservé et protégé. Un large éventails de dispositions vont ainsi être conçues et mises en œuvre pour s’assurer de l’unicité et de l’authenticité de l’identité des personnes dont la PdD est une incarnation parmi d’autres. Pour paraphraser Foucault, il faut protéger les identités.

La multiplicité et la multiplication des traitements de DCP est dans les faits aussi le moyen de la reconnaissance et de l’exercice de droits et ne se limite donc pas à la seule surveillance des populations.

Herman Hollerith devant une de ses tabulatrices (début du ⅩⅩe siècle) —source : techstory.in

La protection des données est souvent vue comme la conséquence de développements techniques de l’informatique et aux traitements de données extensifs et intensifs qu’elle permet. Les traitements extensifs de DCP (portant sur des millions de personnes voir l’intégralité d’une population) sont toutefois largement antérieurs à leur automatisation.

De plus, l’automatisation des traitements de DCP est aussi antérieur à l’informatisation avec notamment le développement de la mécanographie à partir de la fin du ⅩⅠⅩe siècle. Dès les années 1930, de grandes « banques de données » sont déjà rendues possibles par la conception de moyens mécanographiques pour les interroger (SQL PREQUEL).

Avant les années 1950, le traitement de DCP apparaît déjà déjà comme un des moteur de l’avènement de l’âge des automates (et non pas l’inverse). Les fins précédent ici clairement les moyens.

L’informatisation a certes conduit à l’adoption des premières législations. Toutefois, ces processus législatifs ont sans doute été moins provoqués par la mise en œuvre de traitements extensifs que par la centralisation permise par les machines (qui, là encore, avait commencé avant même la commercialisation premiers ordinateurs grâce à la mécanographie). Sans les machines, les administrations publiques et privées se sont montrées capables de mettre en œuvre de procédures de papier d’une redoutable efficacité. Le Ministerium für Staatssicherhei (Stasi —1953–1990—) n’utilisait pas d’ordinateurs.

Chronologie de la protection des données (1966–1983)

Les travaux législatifs commencent aux États–Unis avec le Special Subcommittee on Invasion of Privacy du Congrès (1966) suivi par la RFA, la Suède, le Royaume–Uni ou encore la France. Et, dès 1970, une première législation est adoptée dans le Land de Hesse suivi par une demi–douzaine de textes législatifs adoptés entre 1973 et 1978 en Europe et aux États–Unis.

La question est aussi abordée en parallèle par différentes instances internationales (Conseil de l’Europe, OCDE). Et, après cette première vague de législations nationales, les instances internationales vont prendre de plus en plus de poids dans l’élaboration et la mise en œuvre de la PdD en Europe avec la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel —dite Convention 108— du Conseil de l’Europe (1981) et, plus tard, la directive 95/46/CE sur la protection des données personnelles de 1995.

Les travaux ont donc rapidement abouti et débouché sur des législation présentant de nombreux traits communs du moins dans leur principes. Ces législations et leur application différent en effet encore d’un pays à l’autre et ça, y compris parmi les États membres de l’UE.

L’histoire de ces travaux dessine aussi le caractère singulier de la PdD dont les principes sont issus d’un code bonne conduite conçu par et pour des informaticiens mais affecté d’une charge normative et élevé depuis au rang de droit fondamental de l’Union européenne.

En créant un droit à la limite, la réglementation touche aussi aux limites du droit. Limites non intrinsèques au droit (ou même de part la nature des faits visés) mais de par l’approche adoptée qui vise principiellement à encadrer les traitements.

Cette réglementation par règles directrices est parfois qualifiée de « libérale » mais cet esprit si particulier de la loi provient peut être avant tout du fait que, dans les années 1970 ou plus récemment avec le RGPD, les parties prenantes dans son élaboration ne remettent fondamentalement pas en cause le traitement de DCP et son automatisation et en acceptent plus ou moins explicitement leur nécessité au–delà des divergences de points de vue.

Qui aujourd’hui cherche vraiment à sortir de la Matrice (Pagerank ou autre) ?

Et, au regard de ce qu’on peut couramment entendre ou lire, l’ironie de cette histoire est que la première commission parlementaire qui traita de la question fut la conséquence d’un projet de « sciences sociales ».

Pour de plus amples informations, le support de la présentation est disponible ici.



Cite this blog post
Thomas Soubiran (2024, January 25). Un droit à la limite. L’avènement de la protection des données en Europe. NUMA. Retrieved June 19, 2024, from https://doi.org/10.58079/vo7o

You may also like...

Leave a Reply

Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.

Search OpenEdition Search

You will be redirected to OpenEdition Search