Pas propriétaires, mais maîtres de nos données - Valérie Peugeot

Titre : Valérie Peugeot : « Nous ne sommes pas propriétaires, mais maîtres de nos données “

Intervenants : Valérie Peugaot - Caroline Broué -

Lieu : France Culture - Émission Les Matins du samedi

Date : février 2018

Durée : 40 min

Écouter ou télécharger le podcast

Licence de la transcription : Verbatim

NB : transcription réalisée par nos soins. Les positions exprimées sont celles des intervenants et ne rejoignent pas forcément celles de l'April.

Statut : Transcrit MO

Description

Un projet de loi sur la protection des données personnelles était en débat cette semaine à l'Assemblée nationale. Comment protéger les millions de données que nous produisons chaque jour ? Le regard de la spécialiste et chercheuse Valérie Peugeot.

Transcription

Caroline Broué : L’Assemblée nationale a entamé mardi l’examen d’un projet de loi présenté comme essentiel par le gouvernement et objet d’un relatif consensus chez les députés. Il concerne l’avenir numérique et notamment la protection des données personnelles. Bonjour Valérie Peugeot.

Valérie Peugeot : Bonjour.

Caroline Broué : Bienvenue dans ces Matins du samedi. Vous êtes chercheuse à Orange Labs, directrice de l’association Vecam qui, depuis une vingtaine d’années, s’occupe des enjeux sociétaux du numérique et vous également membre de la CNIL, Commission nationale de l’informatique et des libertés, qui fête, cette année d’ailleurs, ses 40 ans. Juste pour une tentative de définition parce que c’est très important de commencer par parler de ce qu’on connaît : quand on parle de la protection des données personnelles, précisément, de quoi parle-t-on, Valérie Peugeot ?

Valérie Peugeot : Eh bien on parle de tout un ensemble de règles qui sont censées permettre à l’individu de rester maître de ses données.

Caroline Broué : Toutes ses données ?

Valérie Peugeot : Ses données qui envahissent le monde aujourd’hui, puisque aujourd’hui nous les générons, nous les créons par, j’ai presque envie de dire, chacun de nos actes du quotidien : quand nous nous déplaçons ; quand nous échangeons sur les réseaux sociaux ; quand nous téléphonons ; quand nous allons dans un supermarché ; quand nous prenons notre métro quotidien ou notre bus quotidien, eh bine nous générons des informations qui racontent des choses sur nous, sur notre environnement.

Caroline Broué : Nos centres d’intérêt, nos goûts.

Valérie Peugeot : Sur nos centres d’intérêt, effectivement sur nos goûts, mais aussi, et ça c’est très important, des choses qui concernent notre entourage parce que les données sont éminemment sociales. C’est-à-dire que quand on est sur un réseau social par exemple, on interagit avec des tiers, avec des amis, des connaissances, et les données que nous générons, eh bien elles parlent de ces interactions entre les humains. Donc ces données sont à la fois profondément intimes et tout à fait sociales.

Caroline Broué : Oui, c’est ce qui fait dire au chercheur Antonio Casilli qu’il n’y a rien de plus collectif qu’une donnée personnelle aujourd’hui, Valérie Peugeot.

Valérie Peugeot : C’est un peu le paradoxe, c’est-à-dire qu’aujourd’hui la donnée personnelle telle que la définit le droit, elle se raccroche à l’individu à partir du moment où elle permet d’identifier ou potentiellement d’identifier un individu. Quand on dit identifier ça ne veut pas dire la raccrocher nécessairement au nom de la personne, mais simplement être en capacité de reconnaître cette personne. Donc déjà c’est un champ très large, mais aujourd’hui le débat porte sur le fait que les données sont agrégées et sont commercialisées sur des places de marché, notamment dans le monde de la publicité en ligne. Ce n’est pas le seul mais c’est un des mondes où les données personnelles une fois anonymisées et agrégées font l’objet d’un marché, sont sur un marché.

Caroline Broué : Selon une récente étude de l’institut CSA, 85 % des Français se disent préoccupés par la protection de leurs données personnelles. Est-ce qu’ils ont raison ?

Valérie Peugeot : C’est effectivement une question qui monte de plus en plus dans l‘espace public et on ne peut que s’en réjouir parce qu’il est indispensable que chacun d’entre nous, nous prenions conscience que le choix des outils que nous utilisons, par exemple, va pouvoir plus ou moins mettre en fragilité nos données personnelles. Donc il y a une nécessité d’une forme de responsabilisation des individus dans la manière dont ils se comportent sur les services numériques.

Caroline Broué : Surtout qu’il y a peut-être une différence entre le droit et la pratique, Valérie Peugeot, en la matière ?

Valérie Peugeot : Entre le droit et la pratique il y a un écart, mais effectivement la CNIL est là pour veiller à ce que cet écart ne se creuse pas. C’est la responsabilité, cette fois-ci, du législateur et d’une autorité comme la CNIL de vérifier à ce que les services qui collectent nos données respectent le droit, soient en conformité, c’est-à-dire sécurisent les données, permettent à l’utilisateur de donner son consentement dans des conditions claires, lisibles, compréhensibles. Il y a tout une série de règles aujourd’hui, règles qui sont en train de se renforcer, ça c’est un point très important, puisque, à partir du 25 mai prochain, s’en vient un règlement qui s’appelle le RGPD, le règlement général de protection des données, qui, je dirais, revisite et renforce notre loi informatique et libertés qui, effectivement, fête ses 40 ans cette année ; donc c’est une loi qui a montré sa robustesse : 40 ans dans un contexte de transformation profonde du point de vue technologique c’est, quand même, je dirais une performance, donc il était temps aussi de la revisiter un petit peu et c’est ce que fait ce règlement européen qui va non seulement conforter les principes qui sont dans la loi de 1978, mais qui va aussi accorder un certain nombre de droits supplémentaires à l’individu.

Caroline Broué : Alors pourquoi, Valérie Peugeot, à l’Assemblée nationale maintenant ? Justement pour se mettre en conformité avec le règlement qui va s’appliquer en mai ?

Valérie Peugeot : Tout à fait. Le règlement juridiquement s’applique directement dans le droit européen, mais il était nécessaire de toiletter notre loi pour incorporer ce règlement dans notre droit. Et surtout, ce règlement prévoit un certain nombre de marges de manœuvre pour les États. C’est-à-dire qu’il y a un socle commun qui s’impose à tous les membres de l’Union européenne, mais il y a également un certain nombre de petites marges de manœuvre où les États ont le choix d’appliquer de façon plus ou moins on va dire renforcée le droit. Et donc cette loi, tout ce débat qui vient d’avoir lieu cette semaine à l’Assemblée nationale, avait pour objet de regarder ces marges de manœuvre et de décider dans quelle mesure la France allait les utiliser ou pas.

Caroline Broué : Est-ce que ces marges de manœuvre s’appliquent par exemple à la question de la majorité numérique puisque je crois que le règlement européen fixe cette majorité numérique à 16 ans, mais que précisément il autorise les États membres à l’abaisser jusqu’à 13 ans. C’est le cas en Espagne et en France : on a baissé la majorité numérique à 15 ans, c’est un exemple de ça qu’il s’agit.

Valérie Peugeot : Tout à fait. C’est un exemple, un très bon exemple. Effectivement, par défaut, l’âge de 16 ans était prévu, c’était l’âge qui avait été suivi à la fois en l’occurrence par la CNIL et d’autres et l’Assemblée a choisi de l’abaisser à 15 ans.

Caroline Broué : Parce que c’est l’âge auquel on rentre au lycée a dit la rapporteure du projet.

Valérie Peugeot : Le débat est un peu compliqué et souvent déplacé. Il est compliqué parce qu’effectivement, d’un enfant à un autre, la maturité par rapport au numérique varie considérablement : certains enfants, à 13 ans, sont tout à fait en état d’avoir conscience de leurs choix, de la manière d’agir sur les réseaux sociaux notamment ; d’autres, il faudra attendre 16 ans. La question n’est pas là. La question c’est vraiment comment est-ce qu’on contrôle qu’un enfant a vraiment l’âge qu’il dit avoir au moment où il se connecte sur un service ? Et là c’est très compliqué de vérifier ça.

Caroline Broué : Et surtout du coup ça veut quoi, du coup, la majorité numérique ? Ça veut dire qu’il est responsable lui-même de ce qu’il met comme données sur Internet ?

Valérie Peugeot : Ça veut dire qu’il peut s’inscrire sur un service en ligne sans avoir besoin de demander le consentement de ses parents. 15 ans c’est assez cohérent parce que c’est un âge qu’on retrouve dans d’autres domaines. Donc il y a une espèce d’évolution du droit pour converger vers 15 ans comme une espèce d’âge de la maturité plus générale, même si ce n’est pas vrai dans tous les domaines. Après, ce qui est compliqué, c’est à la fois de, je dirais, vérifier que l’enfant qui prétend avoir 15 ans a bien 15 ans. Donc ça veut dire que dans le parcours d’inscription il faut qu’il y ait toute une série d’alertes, que ce soit très clair, etc. Et puis, surtout, ce qui est encore plus compliqué, c’est dans le cas où l’enfant n’a pas cette majorité numérique comme vous l’appelez, eh bien de savoir si les parents, eux, donnent cette autorisation en connaissance de cause. Bien souvent les parents sont moins conscients que les enfants de la complexité de la protection de sa vie privée en ligne. Donc, en fait, il y a tout un travail de pédagogie qu’on doit adresser, qu’on va diriger aussi bien vers les parents que vers les enfants. Et puis de vérifier, bien sûr, que c’est bien le parent qui dit oui et pas l’enfant qui se cache derrière un pseudo parent. Donc vous voyez que c’est une problématique très compliquée et on a cristallisé le débat sur l’âge, mais ce n’est pas le cœur du débat.

8’ 30

Caroline Broué : Valérie Peugeot, il y a d’autres mesures qui sont prises, bien sûr, dans cette loi qui prévoit d’ailleurs de nouveaux droits comme un droit à l’information, un droit à la portabilité et un contrôle des entreprises qui était a priori, qui passe a posteriori, c’est-à-dire ?

Valérie Peugeot : Le droit à l’information existait déjà ; j’insiste sur ce point. Il y a toute une série de droits qui étaient là, encore une fois, depuis 40 ans dans le droit français.

Caroline Broué : Qui sont renforcés, en l’occurrence.

Valérie Peugeot : Le droit à la portabilité, avant de répondre à votre question, j’insiste sur ce point, il est très important. C’est un nouveau droit qui va permettre à l’individu de récupérer les données qu’il a générées par ses actes sur un service, donc voilà, et de récupérer ses données soit pour les utiliser pour lui-même, point très important, soit pour les emmener dans un autre service. Et ça, c’est un changement radical parce que ça veut dire qu’on sera moins prisonnier d’un certain nombre de services qui sont aujourd’hui sur le Web en situation d’oligopoles ou de monopoles et qu’on peine à quitter parce qu’on sait qu’on va perdre toute cette histoire. C’est-à-dire que pendant des années on va poster des informations ou des photographies, etc., sur un service et puis le jour où on n’est plus content de ce service eh bien on reste là parce que nos données sont là. Or, en permettant à l’individu de bouger d’un service à l’autre, c’est aussi une manière non seulement de renforcer ses droits, mais c’est aussi une manière de remettre de la concurrence. Et ça c’est un point très important parce qu’une des problématiques liées à la vie privée c’est le fait que dans un monde monopolistique, oligopolistique, les acteurs ont tendance à faire un peu ce qui leur chante, alors que si vous remettez de la concurrence eh bien le fait d’offrir un service plus protecteur de la vie privée devient un avantage concurrentiel. Ça veut dire qu’à ce moment-là l’individu, entre deux services je dirais de qualité équivalente, va avoir tendance à aller vers le service le plus protecteur. Pour répondre à votre question.

Caroline Broué : Sur le contrôle des entreprises a posteriori.

Valérie Peugeot : Sur le contrôle des entreprises. Effectivement, jusqu’ici on était plutôt dans une logique de responsabilité en amont. C’est-à-dire que l’entreprise ou l’organisation – n’oublions pas que ce ne sont pas que les entreprises privées, ce sont aussi des organismes publics – devait effectuer un certain nombre de démarches auprès de l’autorité protectrice des données, la CNIL en France. Donc une déclaration en ligne lorsqu’on crée une base de données toute simple et lorsqu’on est amené à manipuler des données dites sensibles, comme des données de santé par exemple, eh bien à ce moment-là une procédure plus lourde qui consiste à demander une autorisation à la CNIL. Bon ! Aujourd’hui, ces démarches qui étaient jugées complexes, bureaucratiques, qui avaient tendance à générer un engorgement à la Commission, elles sont déportées effectivement vers l’organisation qui doit fait ce travail en interne pour vérifier qu’elle en conformité avec le droit. Mais cette vérification peut être parfois assez complexe avec ce qu’on appelle des PIA [Privacy Impact Assessment] en anglais, des études d’impact, qui est une procédure pour vérifier qu’on est vraiment conforme aussi bien du point de vue juridique que du point de vue technique, c’est-à-dire la manière dont on sécurise les données ; est-ce qu’il y a des mots de passe suffisamment solides ? Est-ce que les serveurs sur lesquels sont hébergées ces données sont bien sécurisés ? Est-ce que les personnes qui ont accès à ces données sont en nombre limité ? Est-ce que les données sont collectées, je dirais, de façon proportionnelle ? Voilà, toute une série de règles à la fois juridiques et techniques, le contrôle doit se faire en amont, au sein de l’organisation.

Par contre, là où ça change, et c’est le corollaire, enfin c’est ce qui fait l’équilibre général dans l’esprit de ce règlement, c’est que le pouvoir de contrôle et de sanction des autorités protectrices des données est renforcé. Donc si on prend l’exemple de la CNIL, jusqu’en 2016, la CNIL en termes de pouvoir de sanctions pouvait utiliser une amende qui allait jusqu0’à 150 000 euros, ce qui, vous imaginez bien, pour une très grande entreprise du Web c’est à peu près le prix d’un paquet de cigarettes ! Avec la loi République numérique, ce pouvoir de sanction a été renforcé. Et là, on fait un saut, je dirais magistral, puisque la sanction peut se porter jusqu’à 4 % du chiffre d’affaires mondial d’une entreprise. Donc vous imaginez, prenez un géant du Web quelconque !

Caroline Broué : La Google et Facebook n’ont qu’à bien se tenir. C’est peut-être ce qui explique, Valérie Peugeot, que fin janvier Facebook a non seulement confirmé l’acquisition d’une start-up spécialiste de la vérification des données d’identité et qu’elle a publié un message à l’intention de ses internautes leur précisant leurs droits en matière de contrôle de leurs données : désormais on peut supprimer son profil, on peut décider de qui regarde ses massages, on peut rester propriétaire de ses informations. Est-ce que ça veut dire qu’une entreprise comme Facebook, aujourd’hui fait preuve de conciliation parce qu’elle a tout intérêt à le faire, compte-tenu de c que vous venez de nous expliquer ?

Valérie Peugeot : Je vous arrête juste sur un mot on n’est pas propriétaire de ses informations.

Caroline Broué : C’est très important de préciser les choses.

Valérie Peugeot : Oui. C’est un point très important, on y reviendra peut-être tout à l’heure. On est maître de ses données. C’est vraiment cette notion d’autodétermination informationnelle, qui est un terme qui peut paraître un peu barbare, mais c’est vraiment l’idée que la donnée est rattachée à la personne : ce n’est pas un objet, ce n’est pas une chose ; il ne faut pas réifier la donnée, il ne faut pas la chosifier, si je puis dire, pour employer un terme !

Caroline Broué : Sur la conciliation de Facebook et des GAFAM ?

Valérie Peugeot : En fait, ce qui est très intéressant, c’est que tous ces acteurs qui sont régulièrement montrés du doigt en ce moment sur cette question de protection des données personnelles, sont en train de se mettre en ordre de bataille pour pouvoir respecter le fameux règlement dont je parlais tout à l’heure. Pourquoi ? Parce qu’un point très important dans ce règlement c’est qu’il est d’application territoriale. Quand je dis territorial, le critère de territorialité ce n’est pas le fait que l’entreprise soit basée dans un pays européen, mais le fait que l’utilisateur du service soit européen. Donc que vous vous appeliez Facebook, Google ou Baidu si vous êtes acteur chinois, ou Tencent, ou peu importe, où que vous soyez, à partir du moment où vos utilisateurs, vos clients, sont en Europe, le droit s’applique. Et donc ils sont effectivement en train de se mettre en ordre de bataille. Il y a presque un paradoxe parce qu’on a l’impression, par moments, que les acteurs européens qui ont l’impression d’avoir baigné depuis des années dans un droit européen légèrement plus protecteur ont plus de mal à se mettre en route, pour se mettre en conformité avec ce règlement, alors que les acteurs extra-européens s’y activent, je dirais, se mettent en conformité. Et c’est aussi un point, je dirais une forme de soft power de l’Union européenne qui diffuse à l’échelle mondiale ce nouveau socle de droit, qui irradie dans le monde entier. C’est très intéressant de voir ce phénomène se propager un peu partout.

Caroline Broué : Manifestement tout ça va dans le bon sens en tout cas. Valérie Peugeot vous restez avec nous. On vous retrouve dans quelques petites minutes juste après la revue de la semaine de Mélanie Chalandon ; il est 8 heures 31 sur France Culture.

Voix off : France Culture – Les matins du samedi – Caroline Broué

20’ 53

Caroline Broué : Et on retrouve notre invitée de la deuxième heure,