Protection des données personnelles sur les médias sociaux: comment l'union européenne peut-elle réguler les pratiques ?

II. LA LÉGISLATION EUROPÉENNE : UN MOYEN EFFICACE POUR PROTÉGER LES DONNÉES ET LA VIE PRIVÉE DES UTILISATEURS SUR LES RÉSEAUX

SOCIAUX ? 23

A) LES AUTORITÉS CHARGÉES DE LA PROTECTION DES DONNÉES PERSONNELLES 23

1. Spécificité européenne par rapport aux Etats-Unis 23

2. La CNIL . exemple d'une autorité indépendante européenne 24

3. Le Groupe de travail Article 29 sur la protection des données, ou G29 25

B) LA CHARTE DE CONFIDENTIALITÉ DE FACEBOOK EST-ELLE CONFORME À LA LÉGISLATION

EUROPÉENNE ' 26

1. Europe vs Facebook . comment un étudiant a mis à jour les violations de la vie privée

perpétrées par le plus puissant des réseaux sociaux 26

2. Facebook en flagrant délit de non-respect de la législation européenne 28

3

3. Une réinterprétation de la charte en fonction de la législation européenne guère plus

satisfaisante 29

CONCLUSION 31

BIBLIOGRAPHIE 33

ANNEXES 38

5

Introduction

Conceptualiser la vie privée

"Si je décide de participer à un réseau social, je vais être cristallisé, englué par les informations que j'aurais confiées à l'âge de 21 ans. Dans dix ans, on vous les ressortira. Vous êtes tracé car vous perdez la possibilité d'évoluer. On a le droit, à 20 ans, de dire une connerie, ce n'est pas pour autant qu'on doit vous la rapporter toute votre vie"¹. Cette citation du sénateur et ancien président de la CNIL et du groupe Article 29 Alex Turk représente bien les inquiétudes liées au succès que rencontrent les réseaux sociaux depuis le début des années 2000.

Le besoin d'intimité remonte à des temps extrêmement anciens. La plupart des sociétés, qu'elles soient primitives ou modernes, ont développé des moyens pour se protéger des regards extérieurs. Avant même que les technologies apparaissent, les hommes ont placé entre eux des limites, associées à des règles, des coutumes et des tabous, créé une distinction entre ce qui relève du public et du privé². Le terme explicite de "vie privée" apparaissait pour la première fois dans un article des juges de la Cour Suprême Américaine Samuel Warren et Louis Brandeis, en 1890³. Ils y définissaient le droit à la vie privée comme le "droit d'être laissé seul".

Depuis, le droit à la vie privée a été reconnu comme droit de l'Homme essentiel, et a pris sa place dans des traités internationaux et les constitutions de nombreux Etats. L'article 8, paragraphe 1 de la Convention Européenne des Droits de l'Homme signée en 1950 entre les Etats membres du Conseil de l'Europe, lui donne une importance fondamentale, en déclarant que "toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance"⁴. Pour la première fois, le droit à la vie privée est reconnu comme droit fondamental de la personne humaine.

1 TURK Alex, "Réseaux sociaux en ligne. Attention, vous êtes tracés !", Le Télégramme, 20 Décembre 2008

2 DECEW J. Wagner, In Pursuit of Privacy: Law, Ethics and the Rise of Technology, Ithaca, Cornell University Press, 1997, 208 pages, p.12.

3 WARREN S.D and BRANDEIS L.D., The right to privacy: the implicit made explicit, Cambridge Massachussets, Harvard Law Review, 1890, 98 pages, 193Ð220.

4 Convention Européenne de Sauvegarde des Droits de l'Homme, article 8 "droit au respect de la vie privée et familiale", paragraphe 1

6

Cependant, il est intéressant de constater que ce que l'on entend exactement par "vie privée", n'est toujours pas clairement défini. Dès lors, comment savoir quand ce droit peut être invoqué ? La vie privée n'est pas un concept fixe, et ne saurait être considéré indépendamment d'un certain contexte. Ainsi, selon Daniel Solove, il est impossible d'établir une définition unique du concept de vie privée⁵. Plutôt que d'essayer de conceptualiser la vie privée, il faudrait adopter une approche pragmatique, et tenter de la comprendre dans des situations bien précises, contextuelles : "mon approche diverge des acceptations traditionnelles de la vie privée, qui cherchent à la conceptualiser en des termes génériques, comme une catégorie standard. En d'autres termes, je suggère une approche qui conceptualise la vie privée par le bas, plutôt que par le haut, depuis des contextes particuliers, plutôt qu'à partir de quelque chose d'abstrait"⁶. Cette vision des choses permettrait de concrétiser les discussions autour de la vie privée, et ainsi mettre en place une politique de protection plus efficace.

Lorsqu'on étudie le droit au respect de la vie privée dans différents contextes, on peut voir que celui-ci est d'avantage un moyen plutôt qu'une fin. Bien que présenté comme un droit fondamental, ce n'est pas que pour-soi que le droit à la vie privée doit être protégé. Ainsi que l'écrit la chercheur Antoinette Rouvroy dans un article au journal Médiapart, "la vie privée n'est pas un droit fondamental parmi d'autres, elle est la condition nécessaire à l'exercice des autres droits et libertés fondamentaux"⁷. La liberté d'opinion, de circulation et de réunion, les libertés politiques, syndicales, ou encore de culte, ne pourraient être exercées sans droit à la vie privée.

Dès lors, le concept de respect de la vie privée ne semble être qu'une autre manière d'aborder un même droit fondamental, celui de la liberté individuelle et du respect de la personne humaine. Il est un pré-requis pour une société démocratique, en ce qu'il est un droit indissociable de la notion de liberté. L'Union Européenne doit donc oeuvrer pour protéger ce droit fondamental, et harmoniser les mesures prises pour cela dans les Etats Membres. Voilà pourquoi le droit à la vie privée est désormais inscrit dans la Charte Européenne des Droits Fondamentaux, au Titre II

5 SOLOVE Daniel J., "Conceptualizing privacy", California Law Review, n°90, 2002, 70 pages, 1096

6 Traduction personnelle, originellement "My approach diverges from traditional accounts of privacy that seek to conceptualize it in general terms as an over-arching category with necessary and sufficient conditions. In other words, I suggest an approach to conceptualize privacy from bottom up rather than the top down, from particular contexts rather than in the abstract", in SOLOVE Daniel J., "Conceptualizing privacy", California Law Review, n°90, 2002, 70 pages, 1092

7 ROUVROY Antoinette, "repenser le sens du droit à la protection de la vie privée dans la société de surveillance : une urgence démocratique", mediapart.fr, octobre 2008, http://blogs.mediapart.fr/edition/sciences-et-democratie/article/ 141008/repenser-le-sens-du-droit-a-la-protection-de-la-v

7

"Libertés", Article 7 "Respect de la vie privée et familiale" : "Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications".

La vie privée comprend traditionnellement le domicile, la vie familiale et la correspondance, comme le montrent les textes officiels précédemment cités. À l'intérieur de ces domaines, les individus sont libres de mener leur existence comme ils le souhaitent. Lors des dernières décennies, la sphère privée a peu à peu intégré les données personnelles, définies par la CNIL comme "toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un nom, un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres"⁸. Ces données circulent aujourd'hui très facilement par le biais de l'informatique, lors de nos activités quotidiennes : lorsque nous nous rendons à la banque, chez le médecin, que nous réservons un billet d'avion, et désormais, sur les réseaux sociaux. La question de la vie privée aujourd'hui, ne saurait être considérée indépendamment des données personnelles.

L'OCDE a dès 1980 dessiné de nouveaux principes pour protéger les données personnelles des individus. Le but n'était pas seulement de protéger la vie privée, mais surtout de permettre que les disparités entre les lois nationales n'interrompent pas la circulation de ces données entre les pays. Les principes de l'OCDE ont formé la base de la directive sur la protection des données personnelles 1995/46/CE, première mesure adoptée dans la législation européenne pour protéger les données des citoyens.

Les nouveaux défis liés aux évolutions technologiques rapides de ces dix dernières années

Durant les trente dernières années, le développement d'Internet a ouvert de nouvelles opportunités pour l'Europe et les Européens, tant d'un point de vue de l'activité économique, que de l'information, des échanges sociaux, et de la liberté d'expression. Mais c'est réellement depuis le début des années 2000, date d'émergence des sites dits "médias sociaux", qu'Internet pose de nouveaux enjeux en matière de protection de la vie privée et des données personnelles.

Le but premier de ces sites est de se constituer un réseau de contacts. Après la création de son "profil", l'internaute peut prendre contact avec d'autres utilisateurs du réseau, qu'il connaît réellement ou non. Le premier réseau social (l'une des formes de média social) était le site

8 Commission Nationale de l'Informatique et des Libertés, Canevas législatif « Informatique et libertés », Paris, 13 décembre 2006 : http://www.cnil.fr/fileadmin/documents/approfondir/dossier/international/Francophonie/Canevas-legislatif.pdf

8

Friendster, fondé en 2002 par Jonathan Abrams. Celui-ci était fondé sur le principe des cercles d'amis, et permettait aux internautes de regrouper en un même endroit leurs relations, échanger des messages avec ces personnes, ainsi que des contenus multimédias (photos, vidéos, musique...).

Depuis, cette pratique a connu un fulgurant développement, et les médias sociaux tiennent aujourd'hui une place prépondérante dans l'utilisation d'Internet, et dans le quotidien des utilisateurs : de multiples services se sont développés, avec chacun leur spécificité : les réseaux sociaux, tels que Facebook, LinkedIn, ou Myspace, permettent de garder contact avec ses amis, et d'échanger du contenu avec eux. Les blogs ou microblogs, tels que Blogger, Wordpress, Twitter ou Tumblr, permettent de partager ses opinions, pensée du jour, photos, ou autres intérêts. D'autres encore, tels que Flickr ou Youtube, sont exclusivement destinés à mettre en ligne ses photos ou vidéos. Mais tous ces sites se regroupent en un point : ils permettent d'échanger, avec ses amis ou sa famille, et plus largement, avec l'extérieur. En effet le succès de ces sites repose sur un esprit de collaboration en ligne. Se créent alors de véritables "communautés" autour d'intérêts communs. En ce sens, ces nouveaux services révolutionnent les pratiques de communication.

Ainsi que le constate Jean-Marc Manach dans son ouvrage La vie privée, un problème de vieux cons ? "il en résulte un changement radical : tout le monde échange avec tout le monde ; courriers électroniques, blogs, microblogs, réseaux sociaux assurent à tous un accès à tous. En contrepartie tous se préparent à accueillir le regard de tous. Et ce regard est de moins en moins perçu comme négativement, comme une intrusion dans l'espace propre à l'individu. Bien au contraire, chacun aspire à attirer le plus grand nombre de regards, car leur nombre atteste de la réussite de celui qui les reçoit"⁹. Si les utilisateurs semblent de plus en plus enclins à dévoiler leur intimité sur Internet, et semblent peu gênés du regard des autres utilisateurs sur ce qu'ils publient, on observe parallèlement que le succès des médias sociaux amène de nouvelles inquiétudes, ayant trait au traitement même de ces données. Selon un sondage Eurobaromètre, la plupart des utilisateurs européens d'Internet se méfient de la transmission de leurs données personnelles via Internet : 82% des utilisateurs considèrent que la transmission des données via le web "n'est pas suffisamment sûre"¹⁰. 64% des répondants se disent alors "soucieux quant au traitement approprié de leurs données personnelles par les organismes qui les détiennent"¹¹. Pourtant ces inquiétudes

9 MANACH Jean-Marc, La vie privée, un problème de vieux cons ? Paris FYP éditions, 2010, 224 pages, p.39

10 Enquête Flash Eurobaromètre, "La protection des données au sein de l'Union européenne, perceptions des citoyens", Février 2008, Bruxelles, p.7

11 Ibidem, p. 6

9

n'empêchent pas les utilisateurs de continuer à publier des contenus en ligne, ainsi que le montre le graphique "are you in control of your personnal data ? "(annexe 2). Il est frappant de constater que 75% des utilisateurs européens souhaiteraient avoir la possibilité de supprimer définitivement leurs données quand ils le souhaitent. Dès lors, ce que semblent craindre les utilisateurs, ce n'est pas l'intrusion de ces nouveaux services dans leur vie privée, puisqu'ils choisissent ce qu'ils y publient. Ce qui semble gêner les utilisateurs, c'est la perte de contrôle sur leurs données personnelles une fois que celles-ci sont publiées, et l'utilisation qui en est faite par les organismes les détenant.

Le succès de ces nouveaux services de socialisation, associé au problème de la persistance des informations publiées en ligne, pose donc un nouveau défi pour l'Europe. Les enjeux sont extrêmement forts pour l'Union européenne, qui considère le droit à la vie privée et à la protection des données personnelles comme un droit fondamental, et l'inscrivait dès 1950 dans la Convention Européenne des Droits de l'Homme. Il semble y avoir aujourd'hui une véritable nécessité de préciser l'application des principes de la protection des données personnelles, définis dans la Directive 95/46/CE, aux nouvelles technologies.

Ces réseaux reposent sur le principe du "cloud computing", ou "informatique en nuage", qui consiste à déporter les données et ressources sur des serveurs distants du système de stockage physique de l'utilisateur. Dans son rapport "étude comparative sur les différentes approches des nouveaux défis en matière de protection de la vie privée, en particulier à la lumière des évolutions technologiques", la Commission Européenne définit cette pratique assez justement comme étant "un type d'informatique dans lequel les données de l'utilisateur ainsi que les applications qu'il utilise ne sont plus installées sur l'ordinateur personnel (PC) de l'utilisateur mais hébergées sur des serveurs et mises à sa disposition via des navigateurs sur l'Internet"¹². Cela a pour conséquence que l'utilisateur ne connaît pas la localisation physique de ses données, et ne peut y avoir un accès direct. De plus en plus de services, y compris les réseaux sociaux, ont aujourd'hui recourt à ce type de stockage. Dès lors, les utilisateurs ont une perte de contrôle sur leurs informations et leurs données. Cela crée de nouveaux défis pour la législation européenne : comment protéger les internautes de l'utilisation faite de leurs données, lorsqu'on n'y a qu'un accès limité ? La législation existante n'est pas à jour en la matière, et semble là encore devoir évoluer pour s'adapter aux évolutions technologiques.

12 Commission Européenne, Direction Générale Justice, Liberté et Sécurité, "étude comparative sur les différentes approches des nouveaux défis en matière de protection de la vie privée, en particulier à la lumière des évolutions technologiques", Contrat N° JLS/2008/C4/011 - 30-CE-0219363/00-28, rapport final, Bruxelles, Janvier 2010, 71 pages, p.5

10

L'Europe face à des entreprises d'envergure mondiale

D'autre part, l'Europe se trouve dans son combat pour la protection des données personnelles face à des acteurs de taille. Les réseaux sociaux ne sont plus aujourd'hui que de simples sites internet, ce sont des entreprises qui sont de véritables géants économiques : le chiffre d'affaires de Facebook, réseau rassemblant le plus de succès, s'élève à 1,7 milliards de dollars. Or, ces réseaux reposent sur un principe : la gratuité d'utilisation. L'internaute n'a pas à payer pour s'inscrire à ces services, et c'est ce qui explique en partie leur succès. Dès lors, comme le montre l'infographie "How social sites make money" (annexe 3), 77% des réseaux sociaux tirent leurs revenus de la publicité.

Les réseaux sociaux sont aujourd'hui une mine d'or pour les annonceurs : les utilisateurs, lors de leur inscription, et tout au long de leur utilisation, fournissent en plus de leurs coordonnées des informations sur leurs centres d'intérêts, goûts musicaux, littéraires ou cinématographiques, ainsi que leur sexe, ville, date de naissance, opinions politiques ou religieuses, ou encore leurs préférences sexuelles. Ainsi, les utilisateurs transmettent volontairement aux entreprises des données que celles-ci n'auraient normalement pas le droit de récolter : en France par exemple, la loi de 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, dispose dans son article 8 qu'Òil est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celle-ci"¹³. Or ces informations peuvent être publiées sur les réseaux sociaux. Ces données acquièrent donc une valeur considérable, car elles permettent aux annonceurs publiant sur les réseaux sociaux de mettre en place des publicités ciblées, correspondant aux centres d'intérêts des utilisateurs. Les réseaux sociaux sont des entreprises comme toutes les autres, soumises à des logiques de concurrence et de profit, et n'hésitent donc pas à monnayer les données de leurs utilisateurs.

L'adaptation de la législation européenne à ces nouveaux enjeux est particulièrement importante, dans la mesure où ces nouveaux médias rencontrent un succès particulièrement fort en Europe : elle est devenue le continent qui comporte le plus d'usagers de Facebook avec 205

13 loi de 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, Loi 78-17, 16 janvier 1978, Chapitre II : Conditions de licéité des traitements de données à caractère personnel, Section 2 : Dispositions propres à certaines catégories de données, article 8 Modifié par Loi n2004-801 du 6 août 2004 - art. 2 JORF 7 août 2004

millions de membres, évinçant l'Amérique du Nord et ses 203 millions d'utilisateurs. En moyenne, un internaute européen est membre de deux réseaux sociaux. Selon le sondage eurobaromètre "Attitudes on Data Protection and Electronic Identity in the European Union" (annexe 1), 54% des utilisateurs se disent "inconfortables" à l'idée que leurs données fassent l'objet d'une utilisation pour de la publicité ciblée. Cependant, 58% considèrent qu'il n'existe pas d'alternative pour bénéficier d'un service gratuit. L'Union européenne, en limitant ces pratiques, répondrait donc aux attentes de ses citoyens. 90% se prononcent d'ailleurs en faveur d'une harmonisation de la législation entre les Etats membres. Il est donc nécessaire que l'Union européenne oeuvre pour réguler les pratiques de ces entreprises, la plupart du temps Américaines, et qui agissent selon les lois américaines, telles que le Patriot Act permettant au gouvernement d'accéder aux données de tous les utilisateurs.

Face à tous ces enjeux, il convient de nous poser les questions suivantes : dans quelle mesure l'Union européenne peut-elle protéger les données personnelles et la vie privée des utilisateurs sur les médias sociaux ? La législation existante en la matière, permet-elle toujours de relever pleinement et efficacement ces défis ? D'autre part, quel pourrait-être l'intérêt d'une législation européenne par rapport aux législations nationales en vigueur dans les Etats membres ?

Nous nous demanderons tout d'abord si la législation européenne est un moyen suffisant de protection des données personnelles. Puis dans un second et dernier temps, nous nous interrogerons sur l'efficacité réelle de cette législation pour protéger les droits des utilisateurs.