Faudrait-il introduire le droit de tout individu à «ne pas être localisé/ tracé» (identification RFID) ? Les utilisateurs des technologies de l’information et de la communication devraient- ils avoir le droit de rester anonymes ? Que convient-il d’encadrer ? Le « droit à la protection des données« , ou bien le « droit au respect de la vie privée » ?

A l’occasion de la Journée de protection des données, le Conseil de l’Europe lance une consultation sur la modernisation de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (dite Convention 108) adoptée il y a 30 ans et qui, « à l’heure actuelle, reste dans ce domaine le seul instrument juridique contraignant sur le plan international, à vocation universelle« , et susceptible d’être appliqué dans le monde entier.

Conscience démocratique de l’Europe, le Conseil de l’Europe regroupe 47 pays et a pour objectif de « défendre les droits de l’homme, la démocratie pluraliste et la prééminence du droit« . La Convention européenne des droits de l’homme et des libertés fondamentales, adoptée en 1950, en étant « le premier instrument juridique international garantissant la protection des droits de l’homme« .

Comme le rappelle le Conseil, la Convention 108 fut « le premier instrument international contraignant qui a pour objet de protéger les personnes contre l’usage abusif du traitement automatisé des données à caractère personnel, et qui réglemente les flux transfrontaliers des données :

Outre des garanties prévues en ce qui concerne le traitement automatisé des données à caractère personnel, elle proscrit le traitement des données « sensibles » relatives à l’origine raciale, aux opinions politiques, à la santé, à la religion, à la vie sexuelle, aux condamnations pénales, etc… , en l’absence de garanties offertes par le droit interne. La Convention garantit également le droit des personnes concernées de connaître les informations stockées à leur sujet et d’exiger le cas échéant des rectifications.

Seule restriction à ce droit : lorsque les intérêts majeurs de l’Etat (sécurité publique, défense, etc…) sont en jeu.

La Convention impose également des restrictions aux flux transfrontaliers de données dans les Etats où n’existe aucune protection équivalente.

Informatique et libertés 2.0

30 ans après l’adoption de la Convention 108, la consultation lancée dans le cadre de son projet de modernisation regorge de questions stimulantes, révélatrices des nouveaux enjeux, perspectives ou écueils auxquels nous devons aujourd’hui faire face (les passages grassés le sont dans le document d’origine) :

La notion de « protection des données » doit-elle faire l’objet d’une approche « technologiquement neutre« , ou bien faut-il la décliner en fonction des technologies impliquées ?

En 1980, la Convention n’avait pas prévu que des personnes physiques seraient engagées, à titre personnel et privé, dans de vastes traitements de données : faut-il exclure de son champ d’application ce qui relève les « activités exclusivement personnelles ou domestiques« , de type web 2.0 ?

La Convention 108 devrait-elle aborder la question du juste équilibre entre la protection des données à caractère personnel et la liberté d’expression (nouveau concept de la presse et du journalisme dans le contexte du Web 2.0.) ?

Les traitements de données reposant de plus en plus sur des services et technologies décentralisés, « la définition de maître de fichier doit être revue (mais) peut-il y avoir plusieurs maîtres de fichier pour un seul fichier ? »

Faut-il introduire une nouvelle notion de « sous-traitement » de données personnelles, responsabiliser les fabricants des équipements techniques, et pas seulement ceux qui utilisent leurs technologies ?

Le consentement doit-il être préalable à tout traitement, « condition nécessaire à satisfaire un traitement loyal et licite avant toute autre action« , ou uniquement lié au « principe de transparence et à l’obligation d’informer » ?

Les données à caractère personnel étant « généralement utilisées à des fins qui vont bien au-delà de celles initialement prévues« , faut-il introduire « une référence expresse à la compatibilité nécessaire entre l’utilisation des données et le but initial de leur collecte » ?

La notion de « données sensibles » (relatives aux origine raciale ou ethnique, aux opinions politiques, philosophiques ou religieuses, à l’appartenance syndicale, la santé ou la vie sexuelle), qui ne peuvent en principe être recueillies et exploitées qu’après un consentement explicite, devrait-elle être élargie aux numéros d’identification nationaux, aux données biométriques ou biologiques, dans la mesure où elles sont de plus en plus traitées et exploitées tant par des acteurs publics que privés ?

Les données relatives aux enfants devraient-elles bénéficier d’un régime particulier ?

Les « données de connexion« , de trafic et de localisation, de plus en plus exploitées tant dans le public que dans le privé, devraient-elles faire l’objet de règles particulières, dans la mesure où elles peuvent révéler les mouvements, orientations, préférences et relations  ?

Faut-il mettre en place des systèmes de responsabilisation, ainsi qu’une obligation de prouver que des mesures efficaces ont été prises pour garantir le plein respect de la protection des données ?

Faut-il étendre la notion de sécurité des données afin d’y inclure « un droit pour les personnes concernées d’être informées des violations de la sécurité des données » les concernant, mais également de mettre en place des « systèmes de responsabilisation ainsi qu’une obligation de prouver que des mesures de sécurité efficaces ont été prises pour garantir le plein respect de la protection des données ? »

Devrait-on appliquer le principe du « respect de la vie privée dès la conception » (Privacy by Design, en VO) afin de « prendre en compte la question de la protection des données dès le stade de la conception d’un produit, d’un service ou d’un système d’information » ?

Et si l’on ne limitait pas le droit d’accès aux données, pour l’élargir « à l’origine des données, c’est-à-dire la personne qui est à l’origine de la communication » ? Et si oui, « ce droit devrait-il également couvrir l’accès à la logique du traitement ? »

Devrait-on introduire des recours collectifs dans la Convention ?

Doit-on entièrement réexaminer la notion de « flux transfrontières de données » à l’heure d’Internet, où les données circulent instantanément à travers les frontières ? Serait-il utile de fixer des règles minimales internationalement reconnues pour garantir le respect de la vie privée sans considération des frontières ? Quel pourrait en être le contenu ?

Le Conseil nous invite à lui envoyer réactions, réflexions et commentaires sur tout ou partie des points évoqués ici, « ou sur toute autre question pertinente qui est selon vous importante dans le contexte de la protection des données de demain« , par courriel avant le 10 mars 2011 à l’adresse suivante : data.protection@coe.int.