La protection des données personnelles face aux nouvelles exigences de sécurité

Partie II : Les contrepoids à l'évolution fondés sur un principe de sauvegarde des droits fondamentaux.

Certes, le système français fait montre d'une certaine tendance à assimiler des exigences exogènes, plus ou moins novatrices, dans son édifice juridique en matière de données personnelles, il faut tout de même observer que ces évolutions se trouvent encadrées par un ensemble de principes qui ont pour objet de maintenir une exigence fondamentale, à savoir la sauvegarde des libertés et droits fondamentaux présentant un lien direct ou indirect avec la question des données personnelles. Autrement dit, la France tend à construire un système juridique qui puisse "absorber" les mutations qui l'affectent sans qu'elles n'aient pour incidence de compromettre la préservation de ce principe, considéré comme la "pierre angulaire" de cet édifice juridique. Dans cet ordre d'idées, on observe que le système juridique français assure le respect des libertés fondamentales se rapportant aux données personnelles à l'appui de conditions tenant à la nature des données et à la nécessité du traitement ( A ), et à cet égard on peut avancer que le traitement des données à caractère personnel fait l'objet d'un contrôle élargi et protéiforme. ( B )

A. Le respect des libertés fondamentales garanti par des conditions substantielles relatives au traitement.

Il s'agit ici de montrer qu'en dépit des ajustements mis en oeuvre en France dans le corpus juridique des données personnelles, la sauvegarde des droits fondamentaux exige que le traitement de ces données soit conditionné par des considérations tenant à sa licéité. Et de ce point de vue, on observe que la construction du système français s'articule autour de principes qui visent à encadrer le traitement tant au regard de la nature des données susceptibles de faire l'objet de ce traitement, qu'au regard de sa nécessité et de sa proportionnalité.

Chapitre 1 : La licéité du traitement liée à la nature des données traitées.

Tout d'abord, on peut considérer que le respect des libertés fondamentales constitue la "pierre angulaire" du système juridique français en matière de données personnelles, à la lumière notamment du principe essentiel prévu au titre de l'article premier de la loi dite "informatique et libertés" selon lequel il ne peut être porté atteinte « ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »35(*) Il ressort manifestement de cette dispostion que la "clef de voûte" de l'édifice juridique consacré à la question des données personnelles consiste à préserver la préeminence des libertés et des droits fondamentaux. Certes, cet article vise explicitement l'informatique dans cette perspective, toutefois il convient d'analyser l'économie générale de ce dispositif, or l'article 2 rappelle expréssement que l'ensemble de ce régime juridique s'applique généralement aux traitements automatisés ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers.

Il est essentiel de retenir que le fondement majeur de ce cadre normatif, la ratio legis pour ainsi dire, réside dans la protection des libertés et droits fondamentaux dès lors que le traitement des données personnelles implique une incidence sur ces droits fondamentaux soit en raison de l'objet même de ces types de données ou en raison de leur connexité avec d'autres droits ou libertés. Et à ce propos, on peut voir que ce principe est assuré essentiellement par l'encadrement de la nature des données qui peuvent faire l'objet d'un traitement.

La question des données sensibles permet de mettre en évidence la portée de ce principe fondamental visant à la protection des droits fondamentaux à raison de la nature des données à caractère personnel. Tout d'abord, on peut observer une certaine résistance du système juridique à admettre le traitement de données subjectives. Le traitement doit se limiter autant que possible à l'utilisation de données que l'on pourrait qualifier d'objectives. Et quand bien même un traitement aurait eu lieu sur des données faisant apparaître certains aspects de la personnalité de l'individu concerné, il ne saurait être question de pouvoir s'en servir pour fonder une quelconque décision produisant des effets juridiques. L'article 10 prend en considération sans doute à juste titre le cas de figure de la décision juridictionnelle car elle peut impliquer dans une certaine mesure d'apprécier le comportement d'une personne. C'est pourquoi, cet article exclut tout à fait la possibilité de rendre une décision de justice à l'appui d'éléments issus d'un traitement de données personnelles de nature à évaluer certains aspects de la personnalité de l'individu concerné. De même, toute décision qui comporterait des effets juridiques ne peut être fondée sur des éléments issus d'un tel traitement de données. Ce principe rejoint tout à fait la réticence à admettre le traitement des données sensibles, c'est à dire celles ayant trait aux origines raciales ou ethniques, aux opinions politiques, philosophiques ou religieuses, ou à l'appartenance syndicale des personnes, ou encore celles relatives à la santé ou à la vie sexuelle de celles-ci.36(*) Étant donné le lien étroit de ces informations avec la personnalité de l'individu, du moins pour certaines d'entre elles, le droit restreint largement la possibilité d'opérer un traitement de telles données dans l'optique de préserver le respect de l'intimité de la vie privée des individus.

Le droit français considère que le respect des libertés et des droits fondamentaux, notamment le droit à l'intimité de l'individu dans sa vie privée, nécessite que l'on soumette les traitements de données à une condition de licéité se rapportant à la nature même des données qui s'inscrivent ou non dans ce cadre. Ceci est significatif avec les opinions politiques, philosophiques ou religieuses car elles portent directement sur la dimension subjective de la personnalité des individus, et ne pas apporter une quelconque restriction au traitement de ces types d'informations affecterait la vie privée et l'intimité qu'elle implique mais également la liberté de conscience et d'opinion car leur traitement est susceptible d'altérer, voire de réduire la portée de ce droit inaliénable.37(*)

S'agissant des autres types d'informations, notamment des origines raciales ou ethniques, il est vrai qu'il est difficile d'y voir des données qu'il convient d'encadrer sur des considérations tenant à l'intimité de la vie privée, celles-ci ne correspondant pas vraiment à la catégorie des données subjectives propres aux aspects de la personnalité. C'est bien la raison pour laquelle, le principe posé à l'article premier envisage le respect des droits fondamentaux plus largement que sous l'acception de la vie privée. Dès lors, on peut penser que ces données sont considérées comme étant sennsibles sur le fondement d'autres exigences fondamentales telles que l'égalité devant la loi sans distinction de race ou d'origine.38(*) A cet égard, la jurisprudence du Conseil constitutionnel est très significative dans la mesure où le juge suprême développe un raisonnement juridique dans le prolongement logique de ce principe.39(*) Le juge constitutionnel estime en effet dans le considérant 29 de cette décision, que « si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1^er de la Constitution, reposer sur l'origine ethnique ou la race », ce qui montre bien la prégnance de ce principe dans le système juridique français.

C'est ainsi que si les évolutions présentées précédemment ont remanié des points juridiques en vue notamment d'une libre circulation des données, elles ne sont pas de nature à compromettre outre mesure la "pierre angulaire" du régime français au sens où il existe un contrepoids à cette tendance à travers l'encadrement du traitement eu égard à la nature des données qu'il vise. La tendance libérale imprimée à la question des données personnelles se fond dans les limites ainsi mises en oeuvre. Autrement dit, certaines catégories de données sont considérées par essence exclues du traitement sous peine d'illicéité dudit traitement. Ainsi, en principe, les données sensibles ne peuvent faire l'objet d'un traitement, qu'il soit automatisé ou non, ce qui signifie qu'en règle générale ne peuvent figurer des éléments mentionnant les informations énumérées à cet effet.

Par ailleurs, dans le même esprit, cet encadrement ne fait pas obstacle à la possibilité de traiter de telles données dites sensibles car ce traitement peut s'avérer nécessaire dans des hypothèses particulières, et de ce point de vue une liste limitative prévoit des exceptions qui permettent de collecter et de traiter celles-ci.40(*) Or si l'on se place à ce niveau d'analyse, on retrouve encore un certain encadrement visant à faire prévaloir le respect des libertés et des droits fondamentaux.

En effet, on observe que la nécessité d'une autorisation est maintenue par le système français à l'égard de ces traitements présentant un risque d'atteinte aux droits fondamentaux. Il s'agit d'une condition de licéité de ce type de traitement prévue au titre des articles 25 et 26 de la présente loi. Plusieurs modalités de cette condition d'autorisation auprès de la CNIL sont mises en place, mais il faut retenir l'idée selon laquelle tout traitement de données sensibles justifié par la finalité même du traitement en cause telle que prévue par l'une des exceptions figurant ici, doit faire l'objet d'une autorisation préalable. Cette condition instituant une protection renforcée est significative de l'importance accordée en France à l'encadrement de ces traitements à risque et ce, en vue de garantir autant que possible la sauvegarde des droits fondamentaux.

Au vu de l'ensemble de ces points, on peut avancer que les évolutions à l'oeuvre au sein du modèle juridique français en matière de données personnelles n'ont pas eu d'incidences majeures sur la "pierre angulaire" de celui-ci, à savoir la nécessaire sauvegarde des droits fondamentaux. En toute hypothèse, on peut affirmer que ces évolutions ne compromettent en aucune mesure la préeminence de ce principe central car des garanties jouant comme contrepoids des ajustements mis en place permettent d'assurer le maintien de cette exigence fondamentale. Et de ce point de vue, la restriction de la licéité du traitement quant à la nature des données s'y rapportant est un paramètre, pour le moins, important et qui doit être souligné. Aussi doit-on relever un autre paramètre qui rejoint et confirme notre propos, il s'agit de l'encadrement du traitement des données personnelles à raison de la nécessité et la proportionnalité du traitement.

* 35 Principe posé par la loi de 1978, et maintenu comme tel par la loi de 2004

* 36 Loi n° 2004-801, art. 8, paragraphe 1.

* 37 Rappelons que l'article 10 de la Déclaration des droits de l'homme et du citoyen prévoit que «nul ne peut être inquiété pour ses opinions, même religieuses».

* 38 Il s'agit d'un principe énoncé aux termes de l'article premier de la Constitution française de 1958.

* 39 Cf notamment une décision récente du 15 novembre 2007, n° 2007-557 DC.

* 40 Cette possibilité repose sur le principe selon lequel certains traitements, au regard de leur finalité même, exigent de traiter de telles données.