Pourquoi convoite-t-on nos données personnelles ?

Le Règle­ment euro­péen sur la pro­tec­tion des don­nées (RGPD) a fêté ses trois ans le 25 mai 2021. Après une année 2020 durant laquelle les outils numé­riques ont été mas­si­ve­ment déployés en rai­son de la pan­dé­mie de Covid-19, ce nou­vel anni­ver­saire éclaire d’une manière plus vive les enjeux liés à la pro­tec­tion de la vie pri­vée et à la sou­ve­rai­ne­té numé­rique euro­péenne. Il est l’occasion, pour la CNIL (Com­mis­sion natio­nale de l’in­for­ma­tique et des liber­tés), de rap­pe­ler en quoi consiste ce cadre règle­men­taire, ce qu’il vient pro­té­ger et ce qui est exac­te­ment « convoité ».

Le pétrole du XXI^ème siècle

Qu’est-ce, tout d’abord, qu’une « don­née per­son­nelle » ? Il ne s’agit pas de don­nées comme les autres, car elles ren­voient à des infor­ma­tions per­met­tant d’identifier une per­sonne, comme son nom, un numé­ro qui lui est asso­cié, ou ses empreintes digi­tales. Il est sou­vent dit que les don­nées per­son­nelles sont le pétrole du XXIème siècle, mais la notion de « ter­reau » semble plus per­ti­nente, tant elles ne valent que par l’utilisation qui en est faite. 

Un exemple clas­sique est celui des traces lais­sées en ligne par les inter­nautes, recueillies lors de leur navi­ga­tion par des cookies ou de leur usage d’objets connec­tés. La connais­sance pré­cise de nom­breux détails – tels que l’âge, la loca­li­sa­tion, les goûts, les com­por­te­ments d’achats, l’état de san­té ou même les pré­fé­rences idéo­lo­giques de leurs poten­tiels consom­ma­teurs – est très pré­cieuse pour les entre­prises, qui peuvent ain­si mieux seg­men­ter leur mar­ché. En quelques années, les don­nées per­son­nelles sont deve­nues des actifs finan­ciers stra­té­giques, qui sus­citent en par­ti­cu­lier l’appétit des GAFAM, comme en témoigne le bond spec­ta­cu­laire de leur chiffre d’affaires du pre­mier tri­mestre 2021 : 23,6 mil­liards de dol­lars de béné­fices nets pour Apple contre 11,2 à la même période l’année der­nière ; 17,93 mil­liards pour Alpha­bet, la mai­son-mère de Google, contre 6,8 en 2020 ; 9,5 mil­liards contre 4,9 l’année pas­sée pour Facebook. 

Un outil pour amé­lio­rer les poli­tiques publiques et la ges­tion de crise

Cepen­dant, et loin de ne ser­vir que des inté­rêts com­mer­ciaux, les don­nées per­son­nelles se révèlent éga­le­ment très utiles pour conduire des poli­tiques publiques effi­caces, tout spé­cia­le­ment en cette période de crise. Par exemple, dès le lan­ce­ment de la cam­pagne de vac­ci­na­tion contre le Covid-19, les Agences régio­nales de san­té ont dis­po­sé d’informations pour suivre quo­ti­dien­ne­ment l’avancée de la cou­ver­ture ter­ri­to­riale. Ain­si, depuis jan­vier, le sys­tème d’information Vac­cin Covid, déve­lop­pé par l’Assurance mala­die, assure au niveau natio­nal la tra­ça­bi­li­té des vac­cins et des étapes de la vac­ci­na­tion, de la pré-consul­ta­tion aux injections. 

L’accès aux don­nées est donc un véri­table enjeu pour l’Union euro­péenne, qui, consciente de sa dépen­dance aux sys­tèmes étran­gers, a fait de leur maî­trise le pilier de sa stra­té­gie de sou­ve­rai­ne­té numé­rique. Plu­sieurs évé­ne­ments majeurs ont mar­qué l’année 2020 en ce sens : l’arrêt Schrems II, ren­du par la Cour de jus­tice euro­péenne en juillet der­nier, qui a inva­li­dé le Pri­va­cy Shield per­met­tant le trans­fert des don­nées vers les États-Unis ; l’engagement de trans­fé­rer dans un délai de deux ans l’hébergement du Health Data Hub vers une solu­tion tech­nique per­met­tant de ne pas expo­ser ces don­nées sen­sibles à d’éventuelles demandes d’accès illé­gales au regard du RGPD ; enfin, le Digi­tal Gover­nance Act, le Digi­tal Ser­vices Act, le Digi­tal Mar­kets Act, et bien­tôt le Data Act (des ini­tia­tives légis­la­tives por­tées par Thier­ry Bre­ton), visent à actua­li­ser le socle juri­dique de notre future éco­no­mie euro­péenne de la donnée.

Pro­té­ger les don­nées de la cybercriminalité

Enfin, sans sur­prise, l’accès aux don­nées est source de convoi­tise pour les cyber­cri­mi­nels. En un an de confi­ne­ment, l’ANSSI (Agence natio­nale de la sécu­ri­té des sys­tèmes d’in­for­ma­tion) a vu le nombre d’attaques qua­dru­pler. Si les don­nées ban­caires et de san­té sont clas­si­que­ment visées, toute don­née peut aujourd’hui être ciblée, soit à des fins de nui­sance gra­tuite, soit à des fins de chan­tage. La CNIL, quant à elle, a reçu, dans le cadre du RGPD, près de 3 000 noti­fi­ca­tions de vio­la­tions de don­nées de la part des entre­prises en 2020, contre 2 300 en 2019. 

Le rôle du RGPD et de la CNIL dans la pro­tec­tion des données

Quels sont, jus­te­ment, le rôle du RGPD et de la CNIL dans ce contexte ? Le RGPD s’inscrit dans la conti­nui­té des valeurs huma­nistes de l’Union euro­péenne et encadre le trai­te­ment des don­nées per­son­nelles sur son ter­ri­toire, en met­tant les droits des citoyens au cœur de la régu­la­tion. Il har­mo­nise aus­si les obli­ga­tions deman­dées aux pro­fes­sion­nels et leur per­met de déve­lop­per leurs acti­vi­tés numé­riques en se fon­dant sur la confiance de leurs uti­li­sa­teurs. De cette manière, il est éga­le­ment un ins­tru­ment de cyber­sé­cu­ri­té, indis­so­ciable de la pro­tec­tion des données. 

En tant que régu­la­teur, la CNIL exerce quatre mis­sions : elle informe les per­sonnes de leurs droits, elle accom­pagne les orga­nismes dans leur mise en confor­mi­té, puis en contre­par­tie les contrôle, voire les sanc­tionne, et elle exerce un rôle de veille qui lui per­met de dia­lo­guer avec les éco­sys­tèmes d’innovation du numé­rique, des cher­cheurs aux startups. 

Un pre­mier cas pra­tique pou­vant illus­trer cette action est celui de la publi­ci­té en ligne, sec­teur clé de mise en confor­mi­té depuis 2018, avec plus de 20 % des plaintes annuelles liées au mar­ke­ting. Sans attendre l’adoption du règle­ment ePri­va­cy [qui pro­tège les com­mu­ni­ca­tions pri­vées des citoyens euro­péens de toute ingé­rence], la CNIL a adop­té une démarche de régu­la­tion prag­ma­tique en plu­sieurs étapes, en concer­ta­tion avec les acteurs concer­nés. Deux règles fon­da­men­tales en matière de dépôt de cookies en résultent : la clar­té de l’information et l’égale faci­li­té de les accep­ter ou les refuser.

Un autre champ prio­ri­taire déjà évo­qué est la cyber­sé­cu­ri­té. La CNIL, en com­plé­ment de l’action d’autres acteurs comme l’ANSSI, accom­pagne au quo­ti­dien les entre­prises dans leur bonne hygiène infor­ma­tique qui, outre son carac­tère obli­ga­toire, est deve­nue un consi­dé­rable atout stra­té­gique. Elle met ain­si à dis­po­si­tion sur son site de nom­breuses res­sources péda­go­giques, comme des bonnes pra­tiques en matière de télé­tra­vail à des­ti­na­tion des par­ti­cu­liers et des pro­fes­sion­nels, afin de déployer une culture numé­rique commune. 

Der­nier exemple, celui de l’intelligence arti­fi­cielle. La CNIL est très active dans ce domaine, tant sur les plans juri­dique et infor­ma­tique que de manière pros­pec­tive et éthique. Elle orga­nise annuel­le­ment l’événement « air, Ave­nirs, Inno­va­tions, Révo­lu­tions », pour réflé­chir aux ques­tions de socié­té sou­le­vées par les nou­velles tech­no­lo­gies, dont le rap­port IA et algo­rithmes : per­mettre à l’homme de gar­der la main a décou­lé. Celui-ci met­tait en évi­dence le pano­ra­ma des ques­tions sou­le­vées par l’intelligence arti­fi­cielle et pro­po­sait un cer­tain nombre de recom­man­da­tions, dont les prin­cipes de loyau­té et de vigi­lance, qui s’inscrivent dans une nou­velle géné­ra­tion de garan­ties et de droits fon­da­men­taux à l’ère numé­rique. La CNIL a éga­le­ment publié une contri­bu­tion de méthode au débat com­plexe de la recon­nais­sance faciale, en plus de ses cahiers Inno­va­tion & Pros­pec­tive régu­liers et de sa nou­velle col­lec­tion de livres blancs, dont le pre­mier trai­tait des assis­tants vocaux. 

En tout état de cause, le déve­lop­pe­ment du numé­rique a pro­fon­dé­ment modi­fié notre éco­no­mie, mais aus­si notre l’organisation de nos socié­tés et ins­ti­tu­tions poli­tiques. Inter­net n’étant pas un lieu mais un lien, par lequel s’effectuent d’innombrables trai­te­ments et trans­ferts inter­na­tio­naux de don­nées, c’est fina­le­ment la capa­ci­té des États à faire res­pec­ter leurs règles et leurs droits qui est en jeu. Face à ce défi, la CNIL a voca­tion à contri­buer à une stra­té­gie glo­bale d’affirmation d’une sou­ve­rai­ne­té numé­rique au niveau natio­nal et, plus encore, au niveau européen.