Les réseaux sociaux en ligne et la vie privée

B Le droit applicable aux données à caractère personnel françaises de Facebook en l'absence d'application de la loi Informatique et Libertés

Facebook étant une entreprise américaine dont le siège social est établit en Californie et membre du Safe Harbor, le droit californien et les principes du Safe Harbor lui seraient applicables.

La politique américaine de protection des données à caractère personnel diffère beaucoup de la conception française et européenne : les Etats-Unis n'ont pas adopté au niveau fédéral de loi générale protégeant les données à caractère personnel d'une personne et il n'existe que des lois sectorielles en la matière. S'il est vrai que la constitution de l'Etat de Californie reconnaît expressément le droit au respect de la vie privée⁶⁸, cette garantie n'est pas comparable à la loi Informatique et Libertés⁶⁹.

Pour compenser ce manque de règles protectrices par rapport au droit européen, la Commission Fédérale du Commerce des Etats-Unis (Federal Trade Comission ou FTC) a élaboré le Safe Harbor ou « Sphère de sécurité » qui est une solution d'auto réglementation des entreprises américaines par laquelle les entreprises établies aux Etats-Unis certifient volontairement adhérer à une série de principes relatifs à la protection de données à caractère personnel publiés par la Commission Fédérale du Commerce des Etats-Unis des Etats-Unis⁷⁰.

Les entreprises adhérentes s'engagent à respecter les principes de protection des données à caractère personnel fondés en grande partie sur ceux de la directive du 24 octobre 1995: information des personnes, possibilité de s'opposer au transfert à des tiers ou à une utilisation des données pour des finalités différentes, consentement explicite pour les données sensibles, droit d'accès, sécurité⁷¹.

Dans son article intitulé « Les Safe Harbor Principles-Une protection adéquate ? »⁷², Yves
Poullet met en exergue plusieurs points importants contenus dans le Safe Harbor montrant que

68 Article 1 section 1 de l'Etat de Californie « All people are by nature free and independent and have inalienable right. Among these are enjoying and defending life and liberty, acquiring, possessing, and protecting property, and pursuing and obtaining safety, happiness, and privacy».

69 Experties août-septembre 2008 « Affaire « Bénédicte S. », Variation sur la détermination de la loi applicable à Google » Richard Montbeyre p.296-300.

70 CNIL, guide relatif aux transferts de données à caractère personnel vers des pays non membres de l'Union Européenne juin 2008 p16.

71 Le Monde « Le problème, c'est que ce sont des sociétés américaines » Question à Sophie Tavernier (CNIL) par Cécile Ducourtieux article du 11 novembre 2007.

72 Yves Poullet, « Les Safe Harbor Principles-Une protection adéquate ?», Juriscom.net, 17 juin 2000, texte présenté lors du colloque de l'IFLCA à Paris les 15 et 16 juin 2000.

ce système n'offre pas une protection analogue à celle proposée par la directive du 24 octobre 1995 de la Communauté européenne.

Ces réticences concernent par exemple :

-le champ d'application rationae personae du Safe Harbor, qui ne concerne que les données d'origine européennes, le Safe Harbor ne s'appliquant pas aux données à caractère personnel d'origine américaine. Ce manque d'uniformité peut faire craindre un manque d'effectivité de ce principe, les entreprises américaines devant appliquer une réglementation différente en fonction de l'origine de la donnée⁷³ ;

-l'absence de définition précise des concepts de base tels que la notion de donnée à caractère personnel, de tiers, de consentement ou encore du principe de finalité légitime (qui exige que les données soient traitées pour une finalité déterminée et légitime).

-En outre, le droit d'accès prévu dans le Safe Harbor souffre de nombreuses exceptions⁷⁴.

Malgré la mise en évidence de ces carences de protection, la Commission européenne a adopté une décision d'adéquation le 26 juillet 2000 reconnaissant que les principes du Safe Harbor assurent une protection adéquate pour les transferts de données à caractère personnel⁷⁵.

Facebook est membre du Safe Harbor depuis le 10 mai 2007⁷⁶. Les données des membres français de Facebook, n'étant pas des données d'origine américaine, les données à caractère personnel françaises seraient donc soumises au principe du Safe Harbor.

Si la loi Informatique et Libertés venait à être considérée comme inapplicable, les données à caractère personnel des membres français de Facebook seraient protégées par la loi californienne et par les principes du Safe Harbor. Or, aucun de ces deux régimes n'assure réellement une protection équivalente à la loi Informatique et Libertés.

En raison de l'incertitude quant à l' applicabilité de la loi Informatique et Libertés à Facebook, il est nécessaire qu'une convention internationale relative aux données à caractère personnel, déterminant clairement la loi applicable, soit adoptée. Ce problème a été mis en exergue puisque différentes initiatives voient le jour afin de moderniser la directive

⁷³Yves Poullet, « Les Safe Harbor Principles-Une protection adéquate ?» p.6-7.

74 Yves Poullet, « Les Safe Harbor Principles-Une protection adéquate ?» p.9-10.

75 Décision de la Commission 2000/520/CE du 26 juillet 2000. ⁷⁶ http://web.ita.doc.gov/safeharbor/SHList.nsf/f6cff20f4d3b8a3185256966006f7cde/1c51b941879c2e87852572d 700734dc1?OpenDocument&Highlight=2,facebook

communautaire 95/46/CE du 24 octobre 1995 sur la protection des données à caractère personnel et afin d'établir une norme internationale en la matière.

Dans l'hypothèse oü la loi Informatique et Libertés serait applicable aux sites de réseaux sociaux, il convient d'envisager à présent les atteintes causées par l'entreprise exploitant Facebook qui violerait ses obligations de responsable de traitement (Section 2).