Navigation – Plan du site

AccueilNumérosVol. 8, N° 1-2VariaProtection des données personnell...

Varia

Protection des données personnelles et TIC au cœur des enjeux de société et de la mondialisation : les mécanismes d’un contrôle distribué

Brigitte Juanals

Résumés

Cet article traite du sujet de la protection des données personnelles dans ses relations avec les TIC dans les sociétés contemporaines. La finalité est la construction d’une approche critique et communicationnelle portant sur le statut et l’utilisation des données personnelles à l’ère numérique. Elle s’appuie sur la contextualisation apportée par des travaux empiriques consacrés aux phénomènes d’industrialisation et de marchandisation de ces données. Dans un double mouvement, nous analysons la déstabilisation du contexte règlementaire par les innovations technologiques, et, en retour, l’utilisation de ces technologies comme moyen d’application des règlementations selon des principes organisationnels décrits dans les textes industriels. Ces textes et ces technologies sont replacés dans le contexte de l’internationalisation de la communication et des marchés, en vue de faire apparaître les mécanismes d’un contrôle distribué et les affrontements socioéconomiques concernant la protection des données personnelles.

Haut de page

Texte intégral

1La question de la protection de la vie privée se trouve au cœur des enjeux et des débats sociopolitiques contemporains. Les pratiques de collecte, de conservation et d’exploitation d’informations relatives à des individus font partie des modes d’administration des populations (Desrosières, 2000 ; Foucault, 2004) et des caractéristiques des « sociétés de contrôle » (Deleuze, 2003). De plus, la mondialisation des modes de production et de diffusion de l’information, associée à l’internationalisation croissante des marchés, a favorisé une forte concurrence entre les industriels des supports et des communications (Bouquillion et Combès, 2007). A l’ère de la « globalisation de la surveillance » (Mattelart, 2005), tant policière que marketing, les technologies de l’information et de la communication (TIC) ont contribué à généraliser, dans les secteurs privé et public, les pratiques de prélèvement et d’utilisation des données privées et des traces liées aux individus.

2Dans les environnements informatisés et électroniques, la traçabilité, d’abord appliquée à des objets dans le secteur industriel, s’est ensuite étendue à d’autres types d’entités pouvant être reliées à des êtres vivants. La notion de traçabilité a émergé et s’est développée dans les systèmes d’information au cours du XXe siècle. Elle s’est progressivement conjuguée aux pratiques d’identification et de suivi des personnes ; ces dernières sont décrites par des « données » de nature diverse (Juanals, 2009). Indissociables des TIC, les enjeux résident désormais dans les modes de protection des données personnelles mis en œuvre dans la société. Ils se matérialisent dans un ensemble de textes, de techniques, d’acteurs, de politiques et de pratiques en interrelation.

3La finalité de cet article est la construction d’une approche critique et communicationnelle portant sur le statut et l’utilisation des données personnelles à l’ère numérique dans les sociétés contemporaines. Cette approche s’appuie sur des investigations de terrain qui sont présentées ici sous la forme de travaux déjà menés ou en cours, d’exemples ou de pistes de recherche.

4Dans cette perspective, nous présenterons la complexité de l’objet d’étude. Elle tient à ses aspects constitutifs et à la spécificité apportée par l’utilisation généralisée des systèmes informatisés conjuguée à la numérisation des données. L’approche critique et communicationnelle visant sa compréhension et son analyse est construite à l’aune de cette complexité. Le présent article s’appuie sur l’étude des évolutions conjointes des technologies et des textes de régulation. Nous ferons apparaître le rôle central de ces textes dans les mécanismes communicationnels du « contrôle distribué » qui est en train de se mettre en place dans les organisations. Dans un double mouvement, nous analyserons la déstabilisation du contexte règlementaire par les innovations technologiques, et, en retour, l’utilisation de ces technologies comme moyen d’application des règlementations selon des principes organisationnels décrits dans les textes industriels. Enfin, nous situerons les textes et les technologies dans le contexte de la mondialisation de la communication et des marchés, de manière à faire apparaître les modes de régulation et les affrontements idéologiques et socioéconomiques concernant la protection des données personnelles.

1. Pour une approche critique et communicationnelle de la protection des données personnelles

5Devant l’ampleur et la complexité du sujet, nous avons adopté une démarche critique nous permettant de construire une analyse et une compréhension globale des enjeux et des débats sociopolitiques liés à l’objet d’étude de la protection des données personnelles. Une telle démarche s’inscrit dans les travaux récents et les « déclinaisons critiques » de la recherche en communication (Kane, George, 2012 ; Mattelart, 2013 ; Mœglin, 2012). Notre approche privilégie l’analyse des implications sociopolitiques, des enjeux idéologiques, des affrontements et des controverses. Elle s’appuie sur la contextualisation apportée par des travaux empiriques consacrés aux phénomènes d’industrialisation et de marchandisation des données personnelles.

1.1.La protection des données personnelles dans l’espace public contemporain : un construit social et politique complexe

6Dans la sphère publique contemporaine, nous étudions le sujet de la protection des données personnelles comme un construit social et politique en débat dans l’espace public contemporain. Du fait de sa nature hybride, il est porteur d’enjeux de nature autant politique, juridique, règlementaire, qu’industrielle ou économique. Il fait l’objet de nombreuses discussions qui mobilisent une grande diversité d’acteurs institutionnels et privés, ainsi que la société civile.

7Nous considérons le sujet de la protection des données personnelles comme étant inscrit dans un « champ de forces » (Chateauraynaud, 2011) international au sein duquel sont imbriqués des éléments hétérogènes. Il peut s’agir de textes de régulation (des lois, des règlements, des normes techniques et d’organisation), d’artefacts technologiques (des matériels et des logiciels), d’intérêts et de modèles industriels et socioéconomiques, de discours médiatiques, de pratiques d’entreprises ou de pouvoirs publics. Les pratiques des institutions et des organisations publiques ou privées concernant la sécurité des données et la mise en œuvre de politiques nationales et supranationales sont centrales.

8L’une des dimensions idéologiques prégnante de ce champ se trouve dans la notion francophone de régulation – à distinguer du terme anglais regulation qui désigne la règlementation. La régulation est associée aux textes et aux institutions en charge du contrôle de la protection des données personnelles. Cette notion désigne « l'ensemble des dispositifs et institutions en charge d'exprimer cette nouvelle forme de politiques publiques (regulatory systems) » (Frison-Roche, 2004, p. 129). Reposant sur le principe du libéralisme de marché et l’existence de secteurs économiques globalisés, elle constitue un aspect essentiel du contexte de l’économie de marché et de la mondialisation : « fixée sur un système de marché, tout à la fois requise et mise en difficulté par la globalisation, la régulation est synonyme d’équilibre entre les pouvoirs et de reconstruction des rapports de force. Le droit peut tout entier jouer ce rôle dans son rapport avec l’économie mais, si l’on recherche une définition à l’intérieur même du système juridique, elle visera l’appareillage juridique qui construit des secteurs économiques sur un équilibre entre la concurrence et d’autres impératifs hétérogènes. » (ibid., p. 126) Dans ce système, les « organismes qualifiés » ne disposent pas tous de pouvoir règlementaire – en d’autres termes, il peut s’agir d’organisations qui ne sont pas des autorités publiques et relèvent, pour partie d’entre elles, du droit privé. La régulation englobe plusieurs sens qui « s’enchâssent », à savoir « l’organisation de l’exercice du pouvoir public par son titulaire, puis le rééquilibrage des rapports de force, puis l’organisation permanente de secteurs économiques qui ne sont pas laissés au seul principe de concurrence. […] Dans le même temps, si le régulateur est tout entier guidé par la construction d’équilibres à la fois intrinsèques et artificiellement créés du secteur, le système vise à protéger celui qui a le moins les moyens d'y jouer le jeu, par exemple le consommateur. » (ibid., p. 129).

9Bien qu’ils soient partie intégrante du concept de régulation, les principes de contrôle de la concurrence et de protection du plus faible semblent être des principes difficiles à maintenir dans la réalité complexe constituée par l’imbrication des législations nationales, européennes et internationales, et par l’intervention de « régulateurs » aux statuts juridiques différents (cf. section 2.1). Ces « textes de régulation » sont parfois discutés et contestés par des actions citoyennes au travers de pratiques qui constituent des formes collectives renouvelées de l’activité démocratique (cf. section 3.1). Cette « contre-démocratie » (Rosanvallon, 2006), entendue comme une démocratie des pouvoirs indirects essaimés dans la société, est susceptible d’exercer une action de surveillance et de critique ; la question est de savoir si elle peut aller jusqu’à la résistance (Cardon, Granjon, 2010) envers les pouvoirs en place.

  • 1 Projet ANR LYRICS (2012-2014), Protection de la vie privée dans le contexte des services mobiles sa (...)

10Le rôle de communication joué par les médias et les TIC intervient notamment dans la compréhension du sujet et les informations d’actualité s’y rapportant, dans les orientations idéologiques et les débats, ainsi que dans la médiatisation des pratiques des organisations. Selon nous, cette dimension communicationnelle pourrait également participer de la construction des modes de protection des données personnelles. Ce postulat, qui est exploré dans des travaux en cours1, s’appuie sur la conception de l'espace public et le principe de Publicité de Jürgen Habermas (1993). L’hypothèse posée est que l’action communicationnelle (1987) et le mode de rationalité qui la fonde introduisent la possibilité d’une négociation discursive des normes et des valeurs. Les médias et les TIC pourraient ainsi jouer un rôle de médiation et de stimulation des discussions publiques. Toutefois, ils sont situés dans le contexte de l’espace public contemporain, dans lequel l’action stratégique et la rationalité instrumentale propre aux logiques de marché et au développement industriel sont très présentes. Ce contexte est notamment caractérisé par l’essor de la communication, les « relations publiques généralisées » et les logiques industrielles des entreprises (Miège, 2007, 2010 ; Pailliart, 1995). De plus, les travaux critiques sur la « société de l’information » soulignent les dangers d’un déterminisme technologique et d’une « vision idéaliste » portés par les discours d’accompagnement des TIC (George, 2008, p. 3) dans leur propension à masquer les stratégies industrielles et économiques des acteurs propres à l’économie capitaliste.

1.2. Le développement de la traçabilité des données personnelles dans le processus d’informatisation et d’industrialisation de l’information

11Considéré comme l’un des droits fondamentaux de l’être humain, le droit à la protection de la vie privée est établi à un niveau international dans la Déclaration universelle des droits de l'homme (article 12) de 1948, à un niveau européen dans la Convention européenne des droits de l'Homme (article 8) de 1953, et, en France, dans la Déclaration des droits de l'homme et du citoyen de 1789. Toutefois, la notion de « vie privée » est difficile à appréhender en raison de son flou définitionnel et de la quantité d’études dont elle fait l’objet dans différentes disciplines – notamment en droit public et privé, en économie ou en philosophie politique (Rochelandet, 2010, p. 7-36). Le droit de privacy défendu aux États-Unis et qui fait l’objet de tant de controverses se rapporte, dans le contexte des changements technologiques (l’introduction de la photographie) et médiatiques (le développement de la presse) de la fin du XIXe siècle, à la préservation de la tranquillité d’esprit et non à la protection de contenus produits (Warrrein et Brandeis, 1890). Il constitue en cela un « droit de la personnalité attaché à sa non-violation » qui amène à sanctionner la publicisation d’éléments relatifs à une personne sans son accord (Rochelandet, 2010, p. 26 ; Meulders-Klein, 1992). Au sein des nombreux débats défendant des positions souvent antagonistes, les trois dimensions transversales qui se dégagent de la notion de « vie privée » sont le secret, la quiétude et l’autonomie. « La vie privée, conçue tant comme une capacité que comme la situation qui en résulte, ou encore comme une protection légale, recoupe ces dimensions » (Rochelandet, 2010, p. 7-8).

12De manière indissociable, la surveillance (Bentham, 1977 [1787] ; Foucault, 1975) et, dans le cadre du développement de l’État et de l’administration, la collecte et l’exploitation de données relatives à des individus se sont développées progressivement avec la croissance démographique et la révolution industrielle ; elles relèvent des politiques de contrôle des populations concernant leur déplacement, leur sécurité, leur santé ou leur éducation (Foucault, 2004 [1978-1979]). La traçabilité des données s’est étendue avec l’utilisation des systèmes informatisés et électroniques. Depuis la seconde guerre mondiale, l’introduction des cartes perforées, puis l’informatisation des fichiers contenant des données administratives et commerciales ont décuplé les possibilités de traitement de ces données et de leur croisement. La notion de traçabilité est apparue au début des années 1960 dans des manuels militaires américains en tant que définition de bonnes pratiques de mesure dans le secteur industriel ; elle est devenue, à partir des années 1990, un outil de l’assurance-qualité des processus et des produits (Viruega, 2005, p. 15-23). Dans l’évolution des normes techniques de l’ISO (International Standards Organization), le terme « entité » a remplacé celui de « produit ». Dans les versions actuelles des normes de management de la qualité, une entité peut désigner un produit, un étalonnage ou une collecte de données (ibid, p. 26-29). Aujourd’hui, « l’utilisation de la traçabilité sur des personnes porte à les assimiler de manière implicite à des objets que l’on immatricule, que l’on décrit, et dont on surveille les parcours à l’aide de standards et de normes. La participation des individus aux systèmes d’information a généré, entre autres conséquences, une réification de l’humain dans toutes ses dimensions – son identité, ses caractéristiques physiques, cognitives, culturelles, sociales, ses pratiques… – et tend à lui appliquer les mêmes modalités de traitement qu’à des produits. Quelles qu’en soient les finalités (politiques, administratives, éducatives, commerciales…), ces systèmes offrent le support et la technologie à même de recueillir, d’enregistrer et d’analyser toutes les traces liées à la description et aux activités de leurs utilisateurs. » (Juanals, 2009, p. 5)

13Depuis l’accroissement de l’information numérique à une échelle internationale, ces pratiques font émerger, en imbrication avec les évolutions techniques, des préoccupations éthiques et politiques portant sur la protection de la vie privée au travers des modalités de protection des données personnelles. En particulier, le recours à la notion de donnée personnelle ouvre la possibilité d’établir une liste et de faire une description des caractéristiques attachées à un individu.

1.3. La protection des données personnelles : un sujet complexe à l’intersection d’une pluralité de secteurs d’activité et de cadres règlementaires

14La complexité du sujet vient notamment de son caractère interdisciplinaire et de la sophistication croissante des technologies en développement continu dans la société. La compréhension des caractéristiques techniques des artefacts que nous utilisons au quotidien nécessite des connaissances en informatique, en électronique, en mathématiques et en sciences du génie. A l’intérieur de ces disciplines, des sous-domaines tels que l’ingénierie des systèmes d’information, la sécurité de l’information, la cryptographie ou les télécommunications constituent autant de spécialités. De plus, la protection de la vie privée est un sujet autant technique que politique, juridique et économique. Des économistes s’intéressent aux mécanismes de régulation des législations et des institutions et aux relations qu’ils entretiennent avec les marchés. Des juristes spécialisés en droit privé, en droit public et en droit européen analysent l’hétérogénéité et les articulations des différentes législations (nationales, européennes et internationales). Des ingénieurs développent des matériels ou des logiciels en prenant en compte conjointement des contraintes règlementaires de vie privée et des besoins de sécurité de l’information stockée dans des dispositifs techniques miniaturisés. Cette hyperspécialisation rend difficile une vision globale des problèmes qui se posent. C’est la raison pour laquelle nous recherchons une compréhension – autant sociale que socioéconomique et idéologique – des modes d’appropriation, des politiques, des technologies et des artefacts.

  • 2 Les sujets cités ont fait l’objet de conférences internationales annuelles des Commissaires à la pr (...)

15La protection des données personnelles dans les environnements informatisés se situe à l’intersection de plusieurs cadres juridiques : le cadre règlementaire de la protection des données personnelles, la gestion des données et la sécurité de l’information dans les systèmes d’information, la sécurité des réseaux publics de télécommunication. De ce fait, il convient de les envisager de manière conjointe. Les aspects juridiques relatifs à la protection de la vie privée sont régulés en partie au travers du choix des données personnelles utilisées, associées à leurs modes techniques de traitement et d’utilisation. La question de l’utilisation des données comportementales ou informationnelles du public par des organisations privées ou publiques dans des finalités diverses – commerciales, marketing, politique – pose problème. La complexité provient de la diversité, voire des divergences, des politiques règlementaires en fonction des contextes législatifs (national, européen ou international) auxquels sont rattachées les organisations. De plus, les règlementations diffèrent en fonction du type d’action, des divers domaines d’application concernés (médecine, transport, protection de l’enfance, gestion de crise, protocoles de télécommunication)2 et du public (tels que les enfants, les salariés, les clients ou les abonnés de services en ligne) considérés.

16Au final, les organisations publiques ou privées doivent inscrire leurs politiques et leurs pratiques dans le respect des textes juridiques et techniques existants. Quant au public, il est confronté à des problèmes de sécurité technique et de protection juridique de ses données personnelles qui sont régis par des textes qu’il connaît souvent peu et sur lesquels il n’a pas été consulté. La confiance des usagers des services et des artefacts numériques concernant l’utilisation commerciale ou gouvernementale de leurs données personnelles est une question sociale et politique. Elle fait partie d’un « nouveau profil de risque [« la série de menaces et de dangers caractéristique de la vie sociale moderne »] amené par l’avènement de la modernité » (Giddens, 1994, p. 116). Auparavant gérées de manière anonyme dans des sphères d’usage variées, une quantité croissante de transactions quotidiennes – utiliser des transports en commun, visiter des lieux culturels, écouter de la musique ou regarder un film à son domicile, faire des achats de toutes natures, rechercher de l’information… – sont aujourd’hui centrées sur l’identification.

1.4. Le terrain d’analyse des évolutions règlementaires et normatives et des débats associés

  • 3 Projet ANR LYRICS (2012-2014), Protection de la vie privée dans le contexte des services mobiles sa (...)
  • 4 Comités de l’ISO : TC 223, Sécurité sociétale. JTC1 (CEI-ISO), Technologies de l’information ; le J (...)

17Notre analyse s’appuie sur un socle empirique inscrit dans l’actualité des évolutions règlementaires et normatives et des débats qu’elles suscitent. Il est constitué par la mise en relation des textes (actes législatifs, normes et standard techniques) et des stratégies des acteurs en ce qui concerne leur utilisation des données personnelles à des fins politiques ou économiques. Plusieurs types d’organisations interviennent dans l’élaboration de la règlementation sur la protection des données personnelles en vue de promouvoir leurs modèles conceptuels ou les intérêts qu’elles représentent. Il peut s’agir d’organisations institutionnelles ou techniques (françaises, européennes, internationales), d’agences de normalisation, de groupes d’intérêt industriels ou d’industriels. Les textes incluent les actes législatifs publics et les modes de régulation secondaire constitués par les normes et les standards techniques ou de management. Leur sélection (présentée dans la section 2.1) résulte d’un travail d’observation3 mené depuis 2010 dans des comités de normalisation dans le domaine de la sécurité sociétale et de la sécurité de l’information4.

18Nous avons engagé une étude portant sur les descriptions et les évolutions de la notion de « donnée personnelle » telle qu’elle est décrite dans les textes, en relation avec les débats idéologiques et socioéconomiques qu’elle suscite. Nous en présentons un extrait dans la section 2 (ci-après). Sur le plan méthodologique, une analyse conceptuelle est centrée sur les variations sémantiques (Juanals, Minel, 2012 ; Lafréchoux, Juanals, Minel, 2012 ; Juanals, Lafréchoux, Minel, 2012) de cette notion et sur les conséquences qui en découlent concernant les modes de traitement et d’utilisation de ces données par les entreprises et les pouvoirs publics. Ces aspects descriptifs et de traitement sont mis en relation avec les acteurs qui émettent des positions institutionnelles ou des points de vue divergents. Les conflits liés à l’exploitation marchande des données personnelles et à leur propriété font apparaître des clivages idéologiques et socioéconomiques profonds. A l’heure actuelle, une controverse idéologique s’est engagée concernant l’exploitation marchande des données personnelles par les entreprises. Dans ce domaine, les intérêts économiques et les pratiques commerciales des multinationales américaines, notamment le « GAFA » (Google, Amazon, Facebook, Apple), entrent en confrontation avec des conceptions humanistes qui réfutent le statut de bien marchand implicitement attribué aux données personnelles et considèrent leur protection comme un droit humain fondamental.

19De manière indissociable, l’attention est portée sur la dimension communicationnelle des actes législatifs, des normes et standards industriels en vue de faire apparaître les mécanismes de régulation et le pouvoir performatif de ces textes. Ces textes portent des « normes d’action communicationnelle » (Miège, 2004, p.155-157 ; Carré, 2005) de comportement ou d’action dans la recommandation ou l’imposition de modèles conceptuels et organisationnels, de formatages techniques et de procédures. Les descriptions qui y sont attachées sont en relation directe avec les définitions, les modes de traitement et d’usage des données personnelles. Dans un espace international, la diffusion des textes et des formatages qui y sont préconisés sur le plan de la protection de données personnelles s’opère selon les mécanismes d’un « contrôle distribué » sur les organisations ; cela signifie que les actes législatifs d’application volontaire ou obligatoire sont relayés par des modes de régulation secondaire incarnés par des textes normatifs – tels que des normes de management et des normes techniques –, des standards ou des labels (cf. section 2.3).

2. La déstabilisation du contexte règlementaire par les innovations des technologies de l’information et de la communication

20Les innovations récentes des TIC ont déstabilisé le contexte règlementaire de la protection des données personnelles. Parmi ces innovations, on compte notamment l’internet des objets, les outils de communication nomades, la géolocalisation, l’accès mobile à l’internet, les technologies sans contact ou encore les logiciels de gestion des réseaux sociaux. Les pratiques sociales du public se sont greffées sur ces innovations techniques ; parmi celles fréquemment rencontrées, figurent la connexion fréquente à l’internet et la communication en situation de mobilité, les communautés de réseaux sociaux associées à la mise en visibilité de la vie privée et professionnelle de leurs usagers, ou encore l’échange et le partage d’information via des logiciels accessibles en ligne – tels que des plateformes de réseau social, des forums, des blogs, des microblogs ou des wikis. Ces évolutions ont amené les organisations à modifier leurs pratiques de prélèvement et d’exploitation des données privées de leurs clients ; elles ont conduit les instances de régulation à adapter les textes d’encadrement de ces pratiques (cf. sections 2.1 et 2.2).

2.1. L’articulation de types de textes et de territoires d’application différents

21L’encadrement juridique sur la protection de la vie privée dans le contexte des innovations technologiques récentes est en train d’évoluer. En particulier, les évolutions technologiques liées à la conjonction de l’internet des objets et de l’internet mobile sont considérées par la Commission nationale de l’nformatique et des libertés (CNIL) française comme des « menaces » pour les libertés fondamentales : « À court terme, l’enjeu principal sera de parvenir à préserver nos libertés fondamentales, notamment d’expression et d’aller et venir, dans un contexte du développement technologique accéléré et de traçabilité. Les menaces se matérialisent plus précisément dans les capacités de communication des objets de notre quotidien, en particulier de nos smartphones, qui peuvent être géolocalisés en permanence. Ainsi, de nouveaux usages sont régulièrement inventés tels que le paiement sans contact ou les multiples applications reposant sur l’internet mobile. » (CNIL, 2011, p. 26) Les évolutions récentes concernent les puces RFID, les dispositifs de géolocalisation, l’informatique en nuages... Elles se combinent à l’apparition du Web participatif (« Web 2.0 »). De manière plus large, la CNIL prévoit une étude prospective concernant « l’écosystème des Smartphones et les transformations des usages » : « On assiste à un véritable "boom" de ces "terminaux" avec près de 297 millions de smartphones vendus dans le monde en 2010 Étude Gartner), et à une explosion des usages (suivi des activités, paiement sans contact, géolocalisation, etc.). Il est essentiel de s’intéresser au positionnement et d’identifier des acteurs clés (Apple, Google, Nokia, Microsoft...), les risques émergents (récupération de données, failles de sécurité), ainsi que les impacts potentiels sur la vie privée. » (ibid., p. 43) Dans le domaine de l’accès mobile, les fabricants de matériels nomades, les concepteurs d’applications et de navigateurs Web pour mobile, ou encore les opérateurs de télécommunication vendeurs d’abonnements pour appareils mobiles utilisent les informations personnelles des possesseurs de téléphone portable – parfois à leur insu.

22Confrontées aux évolutions technologiques et à la mondialisation, les institutions doivent adapter les règlementations afin de réguler les pratiques des organisations relatives à l’exploitation des données personnelles de leurs clients. La tâche est ardue car ce sujet est lié à des contextes législatifs (droit positif, droit anglo-saxon, droit coutumier, droit islamique) et règlementaires locaux ; de plus, elles sont difficiles à maintenir à jour en raison des évolutions constantes (Poletti, 2011). Parmi les publications, plusieurs textes récents illustrent l’articulation entre des évolutions juridiques et des évolutions dans les domaines des technologies et des pratiques : faisant suite à la « RFID Recommendation » (2009) pour la protection de la vie privée dans la procédure de « Privacy and Data Protection Impact Assessment », la Commission Européenne a publié en 2011 deux textes législatifs dans le cadre de son projet de révision en profondeur de la Directive 95/46 portant sur la protection des données personnelles. Ces nouveaux textes ont mis en avant l'obligation d'une approche « Protection de données dès la conception » prévoyant l’adoption de la méthode « Privacy by Design » (PbD) pour tout développement de produit ou de service qui peut avoir à gérer des données personnelles. Ils ont été suivis par le projet de Règlement européen (25 janvier 2012) qui répond, entre autres, au besoin d’adapter le cadre législatif aux évolutions technologiques et aux pratiques de collecte et d’échange de données en forte augmentation. À un niveau mondial, les « conférences internationales des commissaires à la protection des données personnelles » (International Conferences of Data Protection and Privacy Commissioners) ont pour finalité d’harmoniser les niveaux de protection et d’adopter des mesures communes (résolution de Madrid de novembre 2009), mais également de prendre en compte les évolutions technologiques majeures (comme par exemple la « Resolution on Radio-Frequency Identification », nommée « Résolution de Sydney », 2003).

  • 5 Ce travail est mené dans le cadre du projet ANR LYRICS (2012-2014), op. cit. Le corpus est en cours (...)

23Nous avons engagé la construction du corpus par le recensement préalable5 des textes à prendre en compte par des organisations françaises (publiques ou privés). Les textes qui structurent progressivement l’appropriation sociale des technologies sont de plusieurs types : des actes législatifs européens, des lois nationales et leur jurisprudence associée, des normes internationales, européennes ou nationales (normes techniques et de management), des standards industriels privés ou associatifs, des référentiels. De plus, sa nature interdisciplinaire nécessite le recours à des textes autant juridiques que techniques – informatiques, électroniques et relatifs aux réseaux de télécommunication. Les textes qui font explicitement mention de la protection des données personnelles selon des aspects juridiques ou organisationnels entrent en interaction avec des problèmes techniques de sécurité de l’information dans des environnements informatisés. En raison de la mondialisation de la communication et de l’interconnexion des marchés, les territoires d’application et les entreprises concernées par ces textes sont autant nationaux, européens qu’internationaux.

24La construction du corpus constitue donc une étape importante qui nécessite l’identification des textes et des acteurs majeurs. Selon une approche socio-pragmatique (Chateauraynaud, 2011) adaptée au thème en construction et aux controverses dont nous traitons, le terrain et les acteurs sont privilégiés pour le constituer. Nous envisageons ce corpus comme une « archive dynamique » (ibid.) faisant l’objet de révisions continues au fur et à mesure de la progression de la recherche et des aspects spécifiques que nous souhaitons étudier. A l’heure actuelle, il est composé d’une cinquantaine de textes dont notamment : la Déclaration universelle des droits de l’homme (Nations unies, 1948) ; la Convention européenne des droits de l’homme (Conseil de l’Europe, 1950) ; la Convention 108 pour la protection des individus en ce qui concerne le traitement automatique des données personnelles (Conseil de l’Europe, 1981) ; 13 textes de l’Union européenne (directives européennes, recommandations, avis, textes de travail) ; 10 textes de standards internationaux et européens sur la sécurité des réseaux publics de communications et la sécurité de l’information dans les systèmes d’information ; 11 projets de normes ISO sur la gestion de l’identité numérique en cours d’écriture ; la loi Informatique et Liberté 78-17 du 6 janvier 1978 et de ses 10 versions ultérieures, en particulier celle de 2004 ; les textes français de référence sur la sécurité des réseaux publics de communications et la sécurité de l’information dans les systèmes d’information qui incluent la Loi pour la confiance dans l’économie numérique (LCEN), le Code des Postes et Communications Electroniques (CPCE), la norme NF ISO 26000:2010 concernant les lignes directrices relatives à la responsabilité sociétale.

2.2. La protection des données personnelles dans la réforme règlementaire européenne, entre droit fondamental et biens marchands

25Quels sont les éléments constitutifs des données à caractère personnel ? Peuvent-elles être considérées à la fois comme un droit fondamental et un bien marchand ? Afin d’illustrer notre démarche, nous prenons l’exemple du cadre règlementaire européen en cours de réforme. L’Union Européenne a produit plusieurs textes, associés à différents niveaux de contrainte, concernant la règlementation de la protection des données personnelles. Le texte définitif qui en sera issu est prévu pour 2014 et entrera en vigueur deux années plus tard. Les enjeux sociopolitiques sur la protection des données personnelles résident dans les définitions, les modes de traitement des données et leurs usages, ainsi que dans les cadres organisationnels définis.

  • 6 Directive 95/46/CE du Parlement européen et du Conseil, du 24/10/1995, relative à la protection des (...)
  • 7 Proposition de Règlement du Parlement Européen et du Conseil relatif à la protection des personnes (...)

26L’acte législatif central est la directive 95/46/CE6 dont la fonction est d’harmoniser, au sein des États membres de l’Union, la protection assurée à toute personne de ses données à caractère personnel, quel que soit le lieu où sont opérés les traitements. Chaque pays devant élaborer des lois afin de déterminer comment appliquer les objectifs de cette directive européenne, ses grands principes se retrouvent dans un ensemble de textes européens ou nationaux, ce qui complique leur application. La définition des données personnelles est restée générale et a nécessité des adaptations sectorielles ou technologiques – telles que la directive e-privacy (97/66/EC) adoptée par le Parlement et le Conseil en 1997, révisée en 2002 (2002/58/EC) pour les communications électroniques et en 2009 (2009/136/EC) pour les risques de perte ou de vol de fichiers. Dans son projet de Règlement européen7 publié le 25 janvier 2012, la Commission Européenne a exprimé la nécessité de faire évoluer le cadre juridique, autant en raison du besoin de pallier la fragmentation juridique actuelle, que de « la rapide évolution des technologies » et de « l’augmentation spectaculaire » du partage et de la collecte de données.

27Ce texte mêle de manière indissociable la protection des libertés et des droits fondamentaux des personnes physiques avec la finalité économique. Il caractérise de manière précise les données personnelles et leur traitement (considérants n° 23 et 24, articles 4.1., 4.2, 4.3). Il stipule que la « protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental » mais aussi que « le traitement des données devrait contribuer à la réalisation d'un espace de liberté, de sécurité et de justice et d’une union économique, au progrès économique et social, à la consolidation et à la convergence des économies au sein du marché intérieur, ainsi qu’au bien-être des personnes. » (considérants n°1 et 2) Les aspects positifs de ce projet de règlement comportent notamment, pour la personne dont les données font l’objet d’un traitement, le principe d’un « traitement loyal et transparent » des données avec un droit d’accès, de rectification ou d’effacement, et de réclamation (considérant n°48, article 11), et le principe du « consentement explicite » (considérant n°24). Il instaure le droit d’une personne de faire rectifier des données à caractère personnel la concernant, le « droit à l’oubli numérique » (considérant n°53, p. 28) et le droit à la portabilité des données autorisant la personne concernée à transférer ses données d’une application à une autre (l’exemple donné est celui d’un réseau social) (considérant n°55).

  • 8 AEDH, en ligne (consultation 26/02/2013) : <http://www.aedh.eu, consulté le 10/04/2014. Section : « (...)
  • 9 AEDH, Communiqué de presse du 17/10/2012, <http://www.aedh.eu/plugins/fckeditor/userfiles/file/Comm (...)
  • 10 Groupe de travail institué par l’article 29 de la directive du 24 octobre 1995 et formé par les 27 (...)
  • 11 Groupe de travail « article 29 » sur la protection des données, Avis 01/2012 sur les propositions d (...)
  • 12 « If identification requires a disproportionate amount of time, effort or material resources, the n (...)

28La publication du projet de Règlement européen et de son communiqué de presse (ibid.) a suscité des débats. L’Association européenne pour la défense des droits de l’homme (AEDH)8 s’insurge contre « l’approche exprimée par la Commission européenne de considérer la protection des données personnelles comme un moyen pour atteindre la croissance économique, plutôt que comme un droit fondamental » 9. Pour sa part, le G2910 a exprimé un point de vue favorable tout en formulant des demandes de modifications concernant notamment la définition et les modes techniques d’identification d’une personne physique11. Sur l’initiative du Royaume Uni, l’Union Européenne a proposé en juin 2012 un amendement12 modifiant la notion d’identification indirecte qui défend que, « si l’identification nécessite une quantité disproportionnée de ressources de temps, d’effort ou de matériel, la personne concernée ne doit pas être considérée comme identifiable ». Cet amendement ouvre la voie à la légalisation du traitement massif des données, lequel, avec les modes d’identification par les adresses IP et les témoins de connexion, fait partie des enjeux cruciaux de l’identification sur l’internet.

29Ces débats font apparaître les divergences entre les institutions européennes qui promeuvent ces textes au sein même de l’Union européenne. Il n’existe pas de conception européenne unifiée de la protection des données personnelles mais une construction controversée selon des motifs idéologiques, juridiques et économiques. En étant indissociables des modes de traitement des données personnelles, les TIC jouent un rôle central dans ces débats.

3. Les conséquences de la « régulation » dans un espace international et concurrentiel

30Du fait qu’ils traitent de l’identité et de la sécurité des personnes, les textes de régulation touchent aux libertés fondamentales et aux prérogatives régaliennes. Toutefois, dans le contexte d’un marché international et concurrentiel, les données personnelles et leurs modes de protection sont devenus des enjeux autant industriels et commerciaux que politiques. Les stratégies industrielles et les actions d’influence jouent un rôle notable dans l’édition de ces textes. Au final, leur pouvoir de contrainte est lié à leur nature, aux organisations qui les éditent et à leur agencement.

3.1. La confrontation des acteurs dans le contexte du libéralisme de marché

31Les acteurs qui interviennent dans la définition des modes de régulation sont appelés des « organismes qualifiés » : il s’agit, non seulement des instances juridiques démocratiquement élues à des niveaux international, européen ou national, mais également des ONG de normalisation, des associations ou des lobbies industriels. Cette situation est la conséquence du système de « régulation » (cf. section 1.1) mis en place et qui est caractéristique de l’économie de marché et de la mondialisation ; elle est aussi due à la dimension technique et informatique du sujet. En concevant des systèmes techniques de repérage et de description des usagers et en édictant des normes visant à les réguler, les instances de normalisation et le secteur privé bénéficient, de fait, d’un privilège d’État. En particulier, les thèmes portant sur l’identité numérique auraient dû rester en dehors des domaines de compétence de l’ISO qui est une ONG internationale relevant du droit privé et dont les missions consistent en l’élaboration de normes majoritairement techniques.

  • 13 Le Conseil général de l'économie, de l'industrie, de l'énergie et des technologies (CGEIET) est un (...)

32Dans le cadre juridique français, les instances nationales regroupent le Parlement, la CNIL et le Conseil général de l’industrie, de l’Énergie et des Technologies13. A un niveau européen, les acteurs institutionnels sont le Conseil de l’Europe, la Commission européenne et le groupe de travail G29 institué par l’article 29 de la directive du 24 octobre 1995 sur la protection des données et la libre circulation de celles-ci. Les 27 États membres de l’Union et les pays de l’Espace économique européen (Islande, Liechtenstein, Norvège) ont une loi « Informatique et Libertés » et une autorité de contrôle indépendante.

  • 14 Le JTC1 (Joint Technical Committe 1) est un comité technique influent qui crée des standards sur le (...)

33Peu médiatisé, le processus de normalisation industrielle internationale en matière de management de l’identité numérique constitue pourtant un enjeu politique sociétal. Le secteur de la normalisation industrielle est composé de représentations nationales (les agences nationales de normalisation), européennes et internationales – dont l’OIN (Organisation internationale de normalisation, ISO en anglais), la CEI (Commission électrotechnique internationale, IEC en anglais) et l’UIT (Union internationale des télécommunications, ITU en anglais). Au sein de l’ISO, principal organisme international de normalisation technique, les travaux et les projets de normes sur le thème de la protection des données personnelles sont principalement développés dans le groupe de travail ISO/IEC JTC114/SC 27/WG 5, Identity Management and Privacy Technologies ; le WG5 est rattaché sous-comité 27 (SC 27) dédié aux techniques de sécurité des technologies de l’information. A cet égard, les compétences des experts (en majorité des informaticiens et des ingénieurs) font courir le risque d’une position « technicienne » sur la question. De plus, la représentation d'intérêts dans les comités est caractérisée par une surreprésentation de certaines catégories d'acteurs (schématiquement des fournisseurs, des instances gouvernementales, des cabinets d’audit représentant leurs intérêts propres ou ceux de leurs mandants). D’autres catégories sont sous-représentées – en général les utilisateurs finaux, les consommateurs et les petites et moyennes entreprises. En dernier lieu, la représentativité internationale des ONG de normalisation pose question : dans la composition des comités techniques de l’ISO, en dépit de l’arrivée récente de pays asiatiques (Chine, Japon, Corée), les pays occidentaux restent les plus représentés, laissant largement de côté les pays africains et sud-américains.

34Toutefois, l’observation des terrains et des pratiques révèle que les univers institutionnels ne sont pas étanches les uns aux autres. Les projets européens – tels que le réseau d’excellence FIDIS, Future of Identity in the Information Society ou PICOS, Privacy and Identity Management for Community Services –, associent des partenaires industriels et universitaires. Dans le JTC1/SC27 de l’ISO, certains experts du groupe de travail WG5 sont des membres de la CNIL ou participent à des projets européens – en particulier ABC4Trust. De plus, le WG5 entretient des relations avec d’autres comités techniques (biométrie, finance, sécurité sociétale), avec d’autres organismes de normalisation (UIT-T), avec des projets européens (FIDIS est impliqué dans le projet de norme 24760- A framework for identity management du WG 5) ou avec des groupes d’intérêt industriels (tel que le projet sur la biométrie du consortium Liberty Alliance), ainsi qu’avec les conférences internationales des Commissaires à la protection des données et à la vie privée. Des groupes d’intérêt industriels produisent également des standards sectoriels axés sur la sécurité de l’information et la protection des données des utilisateurs. Ces industriels sont en grande partie issus de secteurs de la sécurité de l’information, des industries de la communication (opérateurs de téléphonie mobile, fabricants de matériels et de logiciels), des banques et des cartes à puce. Ils participent également au processus de normalisation afin de promouvoir leurs standards techniques en normes internationales ; à titre d’exemple, Microsoft (technologie U-Prove) et NEC (système de signature numérique de groupe) sont membres du JTC1/SC27 de l’ISO.

  • 15 Fontanella-Khan J., « Brussels fights US data privacy push », Financial Times (London), 10 février (...)

35Dans ces environnements industriels concurrentiels, la dimension démocratique des processus de vote peut poser problème. Dans le domaine de la normalisation internationale de la sécurité sociétale, une recherche (ANR NOTSEG) portant sur la communication d’influence des lobbies anglais et américain a remis en question, au moyen d’une analyse textuelle statistique et qualitative, l’affichage institutionnel du fonctionnement dit de « consensus » dans la production de normes dans le domaine de la sécurité sociétale. En comparant les normes nationales représentées par les experts des comités avec les normes internationales en cours de rédaction, nous avons montré à plusieurs reprises de fortes similitudes entre une norme nationale et la norme internationale du domaine (Juanals, Minel, 2013). Il est à noter que ces pratiques d’influence s’exercent tout autant au sein des instances démocratiquement élues. Un exemple récent est celui du vote de la future loi sur la protection des données personnelles en février 2013 à Bruxelles, au cours duquel des lobbyistes américains ont déstabilisé le processus démocratique de l’Union européenne afin de réduire l’étendue de la nouvelle législation en matière de protection des données personnelles. A cet égard, le Financial Times a relaté15 la pression exercée par plusieurs entreprises (notamment Amazon, Apple, Facebook, Google, Yahoo et eBay), avec l’aide de l’administration Obama, sur les parlementaires européens afin de réduire l’étendue de la nouvelle législation en matière de protection des données personnelles.

36Ce constat justifie l’intérêt qu’il y a de considérer les médias, les associations et la société civile comme des moyens d’information et de pression sur les organisations ; ces dernières peuvent craindre que des atteintes à leur réputation soient nuisibles à leurs activités. A titre d’exemple, citons une analyse réalisée par des collectifs militants, dont la Quadrature du cercle, sur le travail parlementaire concernant le vote de la future loi sur la protection des données personnelles en février 2013 à Bruxelles. Au moyen d’une plateforme collaborative (LobbyPlag) permettant de comparer les textes des amendements des lobbyistes avec les textes proposés par les eurodéputés, cette analyse a révélé plusieurs reprises intégrales d’amendements de lobbyistes dans le texte européen. Ces résultats ont été relayés dans la presse. Sur ce même sujet, une coalition d'organisations de défense des libertés individuelles a lancé en avril 2013 une campagne et un site internet, nakedcitizens.eu, afin de dénoncer les actions de lobbying des entreprises américaines qui menacent le projet de nouvelle règlementation européenne. Ces organisations citoyennes, dont Access, Bits of Freedom, Digitale Gesellschaft, EDRI (European Digital Rights), La Quadrature du Net, Open Rights Group, et Privacy International, proposent aux citoyens de contacter leurs représentants au Parlement européen pour les sensibiliser à la protection des données personnelles. Les cérémonies des « Big Brother Awards » organisées par l’association Privacy France16 s’inscrivent dans une perspective similaire de publicisation et de pression sur les entreprises et les institutions. Toutefois, dans la réflexion sur le renforcement des modes de protection, la demande récente de l’AEDH remet d’une autre manière le public au centre du débat : elle porte sur « la sensibilisation des citoyens européens aux enjeux relatifs à leurs données personnelles afin de donner tout son sens au principe de consentement explicite » (op. cit., note 10). En effet, dans les modes de protection, il importe de prendre davantage en considération l’éducation et la responsabilisation des usagers du Web et de l’internet des objets en matière de divulgation et de diffusion de leurs données personnelles.

3.2. Les mécanismes d’un contrôle distribué dans l’application des textes

37Les futurs actes législatifs européens (un règlement et une directive) sont appelés à jouer, en combinaison avec d’autres types de textes, un rôle structurant croissant dans l’espace public et dans les organisations. Ces énoncés « performatifs » (Austin, 1972) possèdent un pouvoir de contrainte susceptible d’exercer une influence sur les pratiques. Le degré de performativité des contraintes énoncées dans ces textes est, en premier lieu, lié à leur nature juridique et aux organisations qui les éditent ; en second lieu, il est dû aux agencements de ces textes et à leurs interactions. La mise en œuvre de ce que nous nommons un « contrôle distribué » se matérialise au travers d’un ensemble de règlementations et de textes de régulation secondaire : les actes législatifs, d’application générale ou contraignante, font référence pour leur application à d’autres types de textes qui peuvent être des normes (issues du processus de normalisation), des standards privés, des référentiels ou des labels. Ces derniers sont d’application volontaire mais peuvent devenir d’application obligatoire dans des textes règlementaires ; ils sont également utilisés dans des clauses de contrat privé. Ces observations vont dans le sens des travaux de J.R. Taylor et E. Van Every menés à l’intérieur des entreprises. En étudiant les propriétés performatives des textes, il décrit leur capacité d’action comme un « agencement textuel » (textual agency). L’autorité se matérialise sous la forme d’un phénomène distribué dans des textes hybrides et fragmentés (Taylor & Van Every, 2010). Issus de l’univers de l’entreprise, ces modes d’organisation se retrouvent aujourd’hui à l’échelle de la société.

  • 17 Des dérogations à cette disposition sont prévues dans le « safe harbour » négocié entre l’Union eur (...)

38Dans l’Union européenne, les actes législatifs portent des niveaux de contrainte différents. Si la directive reste d’application générale afin d’être adaptée aux différences culturelles et juridiques nationales, le règlement est en revanche un acte législatif contraignant qui doit être mis en œuvre dans son intégralité et s’appliquera dans les vingt-sept États Membres. Le futur règlement sur la protection des données personnelles souligne la nécessité d’une « application rigoureuse des règles » (op. cit., considérant n°6). De plus, les autorités de contrôle nationales sont habilitées à infliger des sanctions pénales (article 78) et administratives (article 79) applicables en cas de violation de ce règlement. La régulation des flux transfrontaliers vers des pays tiers est conditionnée par « un niveau de protection adéquat », c’est-à-dire conforme aux règles européennes de protection des données personnelles. Les accords de l’OMC stipulent que la Commission européenne peut refuser l’accès à son territoire aux acteurs économiques qui ne respectent pas les règles européennes sur la protection des données personnelles (articles 25 et 26)17.

  • 18 Le Monde.fr avec AFP, 2013, « Règles de confidentialité de Google : l'UE prête à l'affrontement », (...)

39Toutefois, la mondialisation de la communication et le développement du Web social ont mis directement en confrontation des conceptions divergentes, notamment celles de l’Europe et des États-Unis. Les règlementations se heurtent à l’écueil de l’extraterritorialité juridique. La localisation des sièges sociaux et des serveurs des entreprises dans des pays dont les législations sont moins contraignantes, comme dans le cas de Facebook (Rallet et Rochelandet, 2011, p. 14) en est l’exemple. Quant aux sanctions pécuniaires, elles peuvent être considérées comme un risque financier par certaines entreprises et, à ce titre, être intégrées à leurs prévisions budgétaires (Dumont, 2011, p. 59). La conception américaine de la protection des données personnelles est fondée sur l’idéologie libérale de la libre circulation de l’information (free flow of information). Elle repose sur la régulation du marché, donc sur l’autorégulation, en association avec des législations et des réglementations établies selon une approche sectorielle ou contractuelle. De ce fait, les pratiques commerciales et de marketing des entreprises américaines, pour lesquelles les données personnelles sont des biens marchands exploitables, sont en opposition avec le cadre législatif européen. Le contentieux en cours entre la multinationale américaine Google et les vingt-sept autorités européennes en est un exemple récent ; ces dernières ont engagé en février 2013 une action répressive associée à l’évocation de sanctions pécuniaires suite à l’absence de réponse satisfaisante de la part de Google concernant les règles de sa nouvelle politique de confidentialité18. Mise en place le 1er mars 2012, elle résulte du regroupement des informations issues de ses nombreux services récemment fusionnés (notamment la messagerie électronique Gmail, le réseau communautaire Google+, les services de données et les informations contenues sur les applications des téléphones de la marque Androïd).

40Dans le domaine complexe de la protection des données personnelles, les actes législatifs et les règlementations d’application obligatoire sont complétés par des modes de régulation secondaire. Dans la réforme européenne en cours, le projet de Règlement s’appuie de manière explicite (articles 23 et 30) sur ces modes de régulation secondaire. Ce sont les normes et les standards spécifiques aux sciences du génie et aux technologies de l’information qui sont utilisés pour définir les modes de protection des données personnelles ; ils sont issus d’une hybridation entre des normes techniques et des normes de management (qui sont des normes d’organisation dérivées des processus industriels de qualité). Ils décrivent et véhiculent les modes conceptuels et opératoires via des formatages techniques, des modes d’organisation, des procédures ou des normes comportementales. Ils permettent d’évaluer le niveau de protection des données assuré par les responsables du traitement de ces données ou par des sous-traitants. Des normes de certification (garantissant le niveau adéquat de conformité des activités d’une organisation) et des normes de bonnes pratiques sont produites par les ONG de normalisation dans les domaines de la sécurité de l’information dans des systèmes d’information et sur des réseaux de télécommunication (série ISO/IEC 27x). Des standards sont également édités par des agences de normalisation européenne telles que l’ENISA (European Network and Information Security Agency) ou l’ETSI (European Telecommunications Standards Institute). Il existe également des standards privés, des référentiels ou des labels en matière de protection des données. Citons le projet de norme ISO/IEC 29100 (A privacy framework), le standard « Do not track » du World Wide Web Consortium, le label européen EuroPriSe (the European Privacy Seal). Ces standards restent d’application volontaire, excepté lorsqu’ils sont repris dans des textes règlementaires pouvant les rendre d’application obligatoire ; on peut également les retrouver dans des clauses de contrat. Dans la réforme européenne en cours, le projet de Règlement s’appuie de manière explicite (article 23 sur la « Protection des données dès la conception et protection des données par défaut », et article 30 sur la « Sécurité des traitements ») sur ces modes de régulation secondaire. Des actes délégués destinés à préciser d'éventuels critères et exigences supplémentaires applicables sont prévus en vue de « favoriser le respect » du règlement et de « faciliter son application » (considérant n°77) dans des conditions uniformes à l’ensemble des secteurs, produits et services.

41Dans le cadre du système de marché et de la globalisation, il résulte que l’application des actes législatifs européens reposera sur l’agencement de textes de statuts juridiques différents issus tout autant d’instances démocratiquement élues que d’ONG de normalisation et d’entreprises. Les limites des modes de régulation apparaissent dans les difficultés à maîtriser les conséquences de l’association de textes hétérogènes. La difficulté est accrue par le fait que les normes font l’objet de révisions régulières et qu’elles peuvent avoir une portée très générale.

3.3. Les technologies de l’information comme moyen d’application des règlementations, des normes et des standards

42Si les évolutions des TIC ont contribué aux évolutions des règlementations, des normes et des standards, elles figurent aussi parmi les moyens utilisés pour engager au respect de ces textes. En effet, ces technologies sont utilisées dans l’application des règlementations selon les principes organisationnels et techniques décrits dans les textes industriels.

43Le concept de « médiation socio-technique », formulé dans la sociologie de la traduction (Akrich, 1993 ; Latour, 1993) et des usages (Jouet, 1993), permet de penser de quelle manière les objets techniques portent l’organisation sociale et politique dont ils sont issus. Formatés selon les principes des textes industriels édités par des entités autant publiques que privées, les matériels et les logiciels sont les médiateurs socio-techniques chargés de porter les conceptions nationale, européenne ou internationale de la protection des données personnelles. En particulier, la réforme européenne met en avant l’obligation d’une approche « Protection de données dès la conception » (Privacy by Design) pour tout développement de produit ou de service susceptible de gérer des données personnelles. Cet ensemble préventif de mesures techniques et organisationnelles est basé sur le principe de « code is law » énoncé par Lawrence Lessig (1999).

  • 19 L’identification se rapporte à un individu ; l’authentification tient au niveau de confiance accord (...)

44Des préoccupations hybrides croisent de manière indissociable des techniques et des principes de gestion de la vie privée. Elles concernent, par exemple, l’information permettant l’identification personnelle, la détention légale d’information ou la mise en œuvre technique des modes d’identification-authentification. Les controverses sont nombreuses, tenant notamment à la garantie de l’information via un « tiers de confiance » dans des systèmes techniques de confiance ou aux modes d’identification et d’authentification19. A cet égard, la biométrie est une technique considérée comme possédant un niveau d’authentification fort mais posant un problème insoluble en cas de compromission des données ; ceci amène à débattre de sa nature relevant techniquement de l’authentification mais théoriquement de l’identification. Les problèmes techniques de sécurité de l’information font référence au vol de données ou à l’usurpation d’identité ; les réponses à ces problèmes reposent sur l’alliance de solutions techniques et de modèles organisationnels.

45Au final, les outils et les techniques utilisés pour la description et la représentation des données personnelles dans les systèmes techniques sont également utilisés pour porter la performation des pratiques dans les organisations et dans l’espace public.

Conclusion et ouvertures de recherche

46Dans cet article, nous nous sommes attachés à montrer l’intérêt d’une approche critique et communicationnelle pour l’analyse des modes de protection des données personnelles dans les sociétés contemporaines. Malgré leur statut de droit humain fondamental, ces données ont été absorbées par la mondialisation, l’industrialisation et la marchandisation de l’information. En cours de développement, ce domaine suscite des affrontements de nature politique, idéologique et économique. Les textes de régulation et les technologies forment désormais un couple soudé du fait d’une médiation sociotechnique prégnante via des outils informatisés et des réseaux de télécommunication. Un vaste terrain de recherche est ouvert tant dans l’analyse des conceptions culturelles et idéologiques de la vie privée, dans les évolutions conjointes des politiques de régulation et des développements technologiques, que dans les stratégies de communication et d’influence des entreprises et des pouvoirs publics, ou dans les conséquences de l’articulation des industries de la culture et de la communication dans ce domaine. De plus, la participation des médias, des associations et des populations à la construction de ces modes de protection reste une dimension à approfondir.

47La sensibilité au risque qui s’est développée dans les sociétés occidentales (Beck, 2003) a généré, comme réponse, une propension à davantage de sécurité. En lien avec l’intelligence économique, les préoccupations de sécurité se traduisent par des politiques reposant sur des modes d’organisation, des procédures, des outils et des comportements issus des normes techniques et de management. Désormais, le développement des techniques et des pratiques afférentes à l’identification et à la traçabilité des flux informationnels s’appliquent autant à des objets qu’à des personnes. Le développement de l’intelligence économique, du marketing et des technologies n’est pas suffisant pour expliquer ce quadrillage systématique et ces modes de traitement des traces mis en œuvre par les États et les entreprises. Il a fallu en effet que l’intelligence économique et le marketing, en se concentrant sur les données considérées comme des matériaux, des substances informationnelles ou marchandes à exploiter, se combinent au risque et à la sécurité. L’appropriation symbolique et sociale de la technologie a changé ; elle légitime des politiques de surveillance et de contrôle, d’une part, et de stratégies commerciales, d’autre part, de plus en plus sophistiquées et de plus en plus interventionnistes.

Haut de page

Bibliographie

Akrich M., 1993, « Les formes de la médiation technique », Réseaux, n° 60, pp. 87-98. <http://www.persee.fr/web/revues/home/prescript/article/reso_0751-7971_1993_num_11_60_2368>, dernière consultation le 10 avril 2014.

Association européenne pour la défense des droits de l’homme (AEDH), site web, <http://www.aedh.eu>, dernière consultation le 10 avril 2014.

Association européenne pour la défense des droits de l’homme (AEDH), 2012, « La protection des données personnelles doit rester un droit fondamental », Communiqué de presse du 17/10/2012, <http://www.aedh.eu/plugins/fckeditor/userfiles/file/Communiqu%C3%A9%20donn%C3%A9es%20personnelles%2017_10%20FR.pdf>, dernière consultation le 10 avril 2014.

Beck U., 2003, La société du risque. Sur la voie d’une autre modernité, Paris, Flammarion.

Bentham J., 1977 [1787], Le panoptique, précédé de « L’œil du pouvoir. Entretien avec Michel Foucault », postface de M. Perrot, Paris, Pierre Belfond, coll. « L’échappée ».

Big Brother Awards France, site web, 2000-2014, <http://bigbrotherawards.eu.org>, dernière consultation le 10 avril 2014.

Bouquillion P., Combes Y. (dir.), 2007, Les industries de la culture et de la communication en mutation, Paris, L’Harmattan.

Cardon D., Granjon F., 2010, Médiactivistes, Paris, Presses de Sciences Po.

Carré D., 2005, « Apports de la problématique communicationnelle à la compréhension des processus de la diffusion des techniques », Actes du groupe de travail, Sociologie de la communication, XVIIe congrès international des sociologues de langue française : <http://w3.aislf.univ-tlse2.fr/gtsc/DOCS_SOCIO/FINITO_PDF/Carre_rev.pdf>, dernière consultation le 10 avril 2014.

Chateauraynaud F., 2011, Argumenter dans un champ de forces. Essai de balistique sociologique, Paris, Edition Pétra.

COMMISSION européenNE, 2013, « Communication from the Commission to the European Parliament and the Council on the Functioning of the Safe Harbour from the Perspective of EU Citizens and Companies Established in the EU », Brussels, 27.11.2013, COM(2013) 847 final, <http://ec.europa.eu/justice/data-protection/files/com_2013_847_en.pdf>, dernière consultation le 10 avril 2014.

COMMISSION européenne, 2012, Proposition de Règlement relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), COM(2012) 11 final, Bruxelles, le 25.1.2012, <http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_fr.pdf>, dernière consultation le 10 avril 2014.

commission européenne, 1995, Directive 95/46/CE du 24/10/1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, J0 n° L 281 du 23/11/1995 p. 0031–0050, <http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:fr:HTML>, dernière consultation le 10 avril 2014.

Conseil général de l'économie, de l'industrie, de l'énergie et des technologies (CGEIET), site web, <http://www.cgeiet.economie.gouv.fr/>, dernière consultation le 10 avril 2014.

Contrôleur européen à la protection des données personnelles (CEPD), site web, <http://www.edps.europa.eu/EDPSWEB/edps/lang/fr/Cooperation/Intconference>, dernière consultation le 10 avril 2014.

Deleuze G., 2003, « Post-scriptum sur les sociétés de contrôle », dans Pourparlers (1972-1990), Paris, Minuit, pp. 240-247.

Dembosky A., Fontanella-Khan J., 2013, « US tech groups criticised for EU lobbying » Financial Times (London), 4 février 2013, <http://www.ft.com/cms/s/0/e29a717e-6df0-11e2-983d-00144feab49a.html#ixzz2KmpJTTu9>, dernière consultation le 10 avril 2014.

Desrosières A, 2000, La politique des grands nombres : histoire de la raison statistique, Paris, La Découverte.

Dumont B., 2011, « La régulation à l’échelle communautaire. Une analyse économique des instruments et institutions de la protection des données au sein de l’UE », Réseaux, vol. 3, n° 167, pp. 49-73.

Fontanella-Khan J., 2013, « Brussels fights US data privacy push », Financial Times (London), 10 février 2013, <http://www.ft.com/intl/cms/s/0/903b3302-7398-11e2-bcbd-00144feabdc0.html#axzz2Kmnnv7xr>, dernière consultation le 10 avril 2014.

Foucault M., 2004, Sécurité, Territoire, Population et Naissance de la biopolitique, Cours au Collège de France (1978-1979), Paris, Seuil/Gallimard.

Foucault M., 1975, Surveiller punir. Naissance de la prison, Paris, Gallimard.

George E., 2008, « En finir avec la « société de l’information ? », tic&société, vol. 2, n° 2, <http://ticetsociete.revues.org/497>, dernière consultation le 10 avril 2014.

Giddens A., 1994, Les conséquences de la modernité, Paris, L’Harmattan.

Groupe de travail « article 29 » sur la protection des données, site web de la Commission européenne, <http://ec.europa.eu/justice/data-protection/article-29>, dernière consultation le 10 avril 2014.

Groupe de travail « article 29 » sur la protection des données, 2012, Avis 01/2012 sur les propositions de réforme de la protection des données, Réf. 00530/12/FR WP 191, 23 mars 2012, <http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_fr.pdf#h2-1>, consulté le 10/04/2014.

Groupe de travail « article 29 » sur la protection des données, 2012, Opinion 08/2012 providing further input on the data protection reform discussions, Réf. 01574/12/EN, WP199, 05 Octobre 2012, >http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_fr.pdf#h2-1>, dernière consultation le 10 avril 2014.

Habermas J., 1993, L’espace public. Archéologie de la publicité comme dimension constitutive de la société bourgeoise, traduction de Strukturwandel der Öffentlichkeit, Paris, Payot.

Habermas J., 1987, Théories de l'Agir Communicationnel, Paris, Fayard.

Jouet J., 1993, « Pratiques de communication : figures de la médiation », Réseaux, n° 60, pp. 99-120. <http://www.persee.fr/web/revues/home/prescript/article/reso_0751-7971_1993_num_11_60_2369>, dernière consultation le 10 avril 2014.

Juanals B., 2012, « A communicational analysis of international management standards in societal security », dans Communiquer dans un monde de normes. L'information et la communication dans les enjeux contemporains de la mondialisation, actes du colloque international CMN2012, ICA /GERIICO/SFSIC, 7-9 mars 2012, Roubaix, France, <http://hal.univ-lille3.fr/view_by_stamp.php?halsid=85mo0emga2lvcatcsgcssvh7k0&label=CMN2012&langue=fr&action_todo=browse_byDate&orderby=ordre_date&submit=1&begin_at=30>, dernière consultation le 10 avril 2014.

Juanals B., 2009, « La traçabilité dans les systèmes d’information : un questionnement politique sur la gouvernance des populations », Communications & Langages, n° 160, pp. 49-61.

Juanals B., Minel J.-L., 2013, « Construction d’une approche interdisciplinaire et expérimentale pour l’analyse de la communication d’influence », dans Bernard F. (coord.), dossier thématique « Méthodes expérimentales en communication », Journal for Communication Studies, vol. 6, n° 1, pp. 169-184, <http://www.essachess.com/index.php/jcs/article/view/202>, dernière consultation le 10 avril 2014.

Juanals B., Minel J.-L., 2012, « Monitoring the Standardization Writing Process, Theoretical Choices and Methodological Tools », Journal on Systemics, Cybernetics and Informatics, vol. 10, n° 4, pp. 17-23.

Kane O, George E., « Introduction. Déclinaisons critiques de la recherche en communication. Une cartographie oscillante entre émancipation, objectivité, globalité et réflexivité », dans Kane O, George E. (dir.), Où [en] est la critique en communication ?, actes du colloque international, 2013, <http://www.gricis.uqam.ca/actes/acfas2012/articles/introduction.pdf>, dernière consultation le 10 avril 2014.

Lafréchoux M., Juanals B., Minel J.L., 2012, « KONTRAST : création d’un glossaire contrastif à partir d’un corpus de normes internationales », in JADT 2012, Liège, pp. 563-575.

LA Quadrature du net, site web, 2008-2014, <http://www.laquadrature.net/fr>, dernière consultation le 10 avril 2014.

Le Monde.fr-AFP, 2013, « Règles de confidentialité de Google : l'UE prête à l'affrontement », Le Monde (Paris), 18.02.2013, <www.lemonde.fr/technologies/article/2013/02/18/regles-de-confidentialite-de-google-l-ue-prete-a-l-affrontement_1834382_651865.html>, dernière consultation le 10/04/2014.

Latour B., 1993, Petites leçons de sociologie des sciences, Paris, La Découverte.

Lessig K., 1999, Code and Other Laws of Cyberspace, New York, Basic Books.

Mattelart A., 2007, La globalisation de la surveillance. Aux origines de l’ordre sécuritaire, Paris, La Découverte.

Mattelart T. (coord.), « Contributions aux recherches critiques sur la communication », Les Enjeux de l'Information et de la Communication, <http://w3.u-grenoble3.fr/les_enjeux/pageshtml/art2013.html#supplement>, dernière consultation le 10 avril 2014.

Meulders-Klein M.-T., 1992, « Vie privée, vie familiale et droits de l'homme », Revue internationale de droit comparé. Vol. 44 n° 4, pp. 767-794, <http://www.persee.fr/web/revues/home/prescript/article/ridc_0035-3337_1992_num_44_4_4572>, dernière consultation le 10 avril 2014.

Miège B., 1997, La société conquise par la communication. La communication entre l’industrie et l’espace public, tome 2, Grenoble, Presses universitaires de Grenoble.

Miège B., 2010, L’espace public contemporain, Grenoble, Presses universitaires de Grenoble.

Mœglin P., 2012, « Une théorie pour penser les industries culturelles et informationnelles ? », Revue française des SIC, n° 1.<http://rfsic.revues.org/130>, dernière consultation le 10 avril 2014.

Pailliart I. (dir.), 1995, L’Espace public et l’emprise de la communication, Grenoble, Ellug.

Poletti B. (dir.), 2011, WG 5 Standing Document 2, « Official Privacy Documents Reference List, 2011, Part 1: Privacy References List », in ISO/IEC JTC 1/SC 27/WG 5 N 59917, Luxembourg, 21/07/2011.

Rallet A., Rochelandet, F., 2011, « La régulation des données personnelles face au web relationnel : une voie sans issue ? », Réseaux, vol. 3, n° 167, pp. 49-73.

Rosanvallon P., 2006, La contre-démocratie : la politique à l’âge de la défiance, Paris, Le Seuil.

Taylor J.R., Van Every E.J., 2010, The Situated Organization: Case Studies in the Pragmatics of Communication Research, Londres, New York, Routledge.

Haut de page

Notes

1 Projet ANR LYRICS (2012-2014), Protection de la vie privée dans le contexte des services mobiles sans contact.

2 Les sujets cités ont fait l’objet de conférences internationales annuelles des Commissaires à la protection des données et à la vie privée. Site du CEPD (Contrôleur européen à la protection des données personnelles), <http://www.edps.europa.eu/EDPSWEB/edps/lang/fr/Cooperation/Intconference>, consulté le 10/04/2014.

3 Projet ANR LYRICS (2012-2014), Protection de la vie privée dans le contexte des services mobiles sans contact, Projet ANR NOTSEG (2010_2013), La formulation en normalisation du concept de sécurité globale.

4 Comités de l’ISO : TC 223, Sécurité sociétale. JTC1 (CEI-ISO), Technologies de l’information ; le JTC1 comporte un groupe de travail sur le management de l’identité numérique ISO/IEC JTC1/SC 27/WG 5, Identity Management and Privacy Technologies.

5 Ce travail est mené dans le cadre du projet ANR LYRICS (2012-2014), op. cit. Le corpus est en cours de constitution.

6 Directive 95/46/CE du Parlement européen et du Conseil, du 24/10/1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. J0 n° L 281 du 23/11/1995 p. 0031–0050, <http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:fr:HTML>, consulté le 10/04/2014.

7 Proposition de Règlement du Parlement Européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), COM(2012) 11 final, Bruxelles, le 25.1.2012, <http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_fr.pdf>, consulté le 10/04/2014. Ce projet de règlement fait suite à une Communication de novembre 2010 de la Commission Européenne, suivi par une Résolution du Parlement européen de juillet 2010 et par les Conclusions de février 2011 du Conseil de l’Union européenne qui ont tous entériné la nécessité d’une réforme des règles existantes en matière de protection des données personnelles.

8 AEDH, en ligne (consultation 26/02/2013) : <http://www.aedh.eu>, consulté le 10/04/2014. Section : « L’AEDH et la protection des données personnelles », <http://www.aedh.eu/-L-AEDH-et-la-protection-des-.html>, consulté le 10/04/2014. L’AEDH regroupe des ligues et associations de défense des droits de l'Homme des pays de l'Union Européenne. Elle est membre associé de la Fédération internationale pour la défense des droits de l'Homme (FIDH).

9 AEDH, Communiqué de presse du 17/10/2012, <http://www.aedh.eu/plugins/fckeditor/userfiles/file/Communiqu%C3%A9%20donn%C3%A9es%20personnelles%2017_10%20FR.pdf>, consulté le 10/04/2014.

10 Groupe de travail institué par l’article 29 de la directive du 24 octobre 1995 et formé par les 27 autorités de contrôle européennes.

11 Groupe de travail « article 29 » sur la protection des données, Avis 01/2012 sur les propositions de réforme de la protection des données, Réf. 00530/12/FR WP 191, 23 mars 2012,Opinion 08/2012 providing further input on the data protection reform discussions», Réf. 01574/12/EN, WP199, 05 Octobre 2012, <http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_fr.pdf#h2-1>, consulté le 10/04/2014.

12 « If identification requires a disproportionate amount of time, effort or material resources, the natural living person shall not be considered identifiable. », Council of the European Union, « Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)  », 22/06/2012, <http://amberhawk.typepad.com/files/blog_june2012_eu-council-revised-dp-position.pdf>, consulté le 10/04/2014, consulté le 10/04/2014.

13 Le Conseil général de l'économie, de l'industrie, de l'énergie et des technologies (CGEIET) est un organisme d'inspection, d'audit et de conseil né de la fusion du Conseil général de l'industrie, de l'énergie et des technologies (CGIET) et de l'Autorité de contrôle prudentiel. Rattaché au Ministère de l’Economie, du Redressement productif et du Numérique, ce service est placé sous l’autorité directe du ministre chargé de l’économie qui en assure la Présidence.

14 Le JTC1 (Joint Technical Committe 1) est un comité technique influent qui crée des standards sur les TIC ; il a été créé conjointement par la CEI (International Electrotechnical Commission) et l’ISO.

15 Fontanella-Khan J., « Brussels fights US data privacy push », Financial Times (London), 10 février 2013, <http://www.ft.com/intl/cms/s/0/903b3302-7398-11e2-bcbd-00144feabdc0.html#axzz2Kmnnv7xr>, consulté le 10/04/2014. Dembosky A., Fontanella-Khan J., « US tech groups criticised for EU lobbying », Financial Times (London), 04 février 2013, <http://www.ft.com/cms/s/0/e29a717e-6df0-11e2-983d-00144feab49a.html#ixzz2KmpJTTu9>, consulté le 10/04/2014. Une analyse du travail parlementaire est réalisée par des collectifs militants, dont la Quadrature du Net, au moyen d’une plateforme collaborative nommée « LobbyPlag ».

16 Privacy France (branche française de l’ONG Privacy International), <http://bigbrotherawards.eu.org>, consulté le 10/04/2014.

17 Des dérogations à cette disposition sont prévues dans le « safe harbour » négocié entre l’Union européenne et les Etats-Unis. Source : Commission européenne, « Communication from the Comission to the European Parliament and the Council on the Functioning of the Safe Harbour from the Perspective of EU Citizens and Companies Established in the EU, Brussels », 27.11.2013, COM(2013) 847 final, <http://ec.europa.eu/justice/data-protection/files/com_2013_847_en.pdf>, consulté le 10/04/2014.

18 Le Monde.fr avec AFP, 2013, « Règles de confidentialité de Google : l'UE prête à l'affrontement », Le Monde (Paris), 18.02.2013, <www.lemonde.fr/technologies/article/2013/02/18/regles-de-confidentialite-de-google-l-ue-prete-a-l-affrontement_1834382_651865.html>, consulté le 10/04/2014.

19 L’identification se rapporte à un individu ; l’authentification tient au niveau de confiance accordé à l’identification Un mot de passe est considéré comme une authentification faible et une carte à puce (permettant un bon niveau de cryptographie) comme une authentification moyenne.

Haut de page

Pour citer cet article

Référence électronique

Brigitte Juanals, « Protection des données personnelles et TIC au cœur des enjeux de société et de la mondialisation : les mécanismes d’un contrôle distribué  »tic&société [En ligne], Vol. 8, N° 1-2 | 1er semestre 2014 et 2ème semestre 2014, mis en ligne le 30 mai 2019, consulté le 29 mars 2024. URL : http://journals.openedition.org/ticetsociete/1475 ; DOI : https://doi.org/10.4000/ticetsociete.1475

Haut de page

Auteur

Brigitte Juanals

Brigitte Juanals est maître de conférences habilitée à diriger des recherches (HDR) en sciences de l'information et de la communication à l’Université Paris-Ouest Nanterre La Défense, chercheuse au laboratoire Modèles, Dynamiques, Corpus, (UMR 7114 du CNRS) et chercheuse associée au Labsic. Ses recherches portent sur la circulation médiatique (par les TIC et les médias) des contenus informationnels, culturels et des connaissances dans les sociétés contemporaines, en interrelation avec les enjeux sociaux, politiques et industriels qui y sont associés. Ses travaux sont situés dans des terrains culturels ou à forts enjeux sociaux.

Haut de page

Droits d’auteur

CC-BY-NC-ND-4.0

Le texte seul est utilisable sous licence CC BY-NC-ND 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.

Haut de page
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search