Compte Rendu de l’audition de l’association Mnemosine au Sénat
J’étais invité ce matin au Sénat à m’exprimer en tant que président de l’association Mnemosine sur la proposition de loi n° 93 (2009-2010) visant à mieux garantir le droit à la vie privée à l’heure du numérique. Ce billet est un premier compte rendu rapide de la réunion.
Contexte : la proposition de loi 2009/93 fait suite au rapport d’information n°441. Elle a été présentée à la Présidence du Sénat le 6 novembre 2009 par les sénateurs Anne Marie Escoffier et Yves Detraigne , auteurs du rapport d’information 441. Le sénateur Catherine Morin Desailly a été nommé comme rapporteur le 6 Décembre 2009. La discussion au sénat se tiendra le 28 Février, pour un examen le 23 Mars.
Déroulement de la réunion : l’association Mnemosine a été présentée rapidement, et j’ai remis cette plaquette de présentation. Puis nous sommes passés à l’audition sur la proposition de loi. En fin d’audition, je suis revenu sur l’association, car cette loi éclaire très bien l’action de Mnemosine.
Audition de la Proposition de Loi.
Mon avis a été demandé sur les articles 1,2 et 6.
ARTICLE 1. Cet article modifie l’article L312-9 du code de l’éducation nationale. Il comporte deux modifications essentielles : il rend obligatoire la formation des enseignants les technologies et à l’usage de l’informatique. Il demande aux enseignants de sensibiliser les élèves à la protection des données personnelles et à la vie privée.
Mon avis : sur la forme , la définition de “données personnelles” devrait être explicitée. Par exemple un renvoi à la CNIL, article 2, serait peut être opportun. Sur le fond, je ne conteste pas qu’une formation dispensée aux enseignants serait utile. J’attire cependant l’attention du législateur sur l’Alinéa 3: ” [Les élèves] sont informés des sanctions encourues en cas de manquement au délit de contrefaçon”. Cet enseignement porte actuellement sur le dispositif Hadopi. Je met en garde le sénat sur ce point : ces lois sont perçues majoritairement par le corps enseignant comme l’affrontement de deux mondes, celui de la propriété intellectuelle et celui la culture de la diffusion de l’information. C’est un débat qui n’est pas prêt de se tarir, qui est en pleine exploration juridique et mutation technologique, parce que fondamentalement, il n’est ni compris, ni maîtrisé. Une formation obligatoire sur ce point peut entraîner une levée de bouclier du corps enseignant, très attaché à la liberté d’expression. Tout du moins, cela va complexifier les modalités de mise en œuvre de la formation.
ARTICLE 2. Cet article met l’adresse IP sous la protection de la CNIL, en la déclarant comme donnée à caractère personnel. Cela aurait pour conséquence de placer la collecte des adresses IP à fins de traçage sous accord préalable de la CNIL. Est visée la constitution de fichiers par des organismes comme la SACEM – SDRM – SPPF – SCPP (décision de la CNIL octobre 2005, annulée par le conseil d’état en Mars 2007).
Mon avis. Partagé. D’un côté, si la question est : l’adresse IP est-il un moyen d’identification de l’internaute, il n’y a aucun doute. Même s’il n’est pas fiable avec l’IPv4, il devrait le devenir avec l’IPv6 (avec un bémol : l’adresse IP peut être détournée par des techniques de tunelling). Cependant ce débat me semble mal posé techniquement. De plus, je me demande si la CNIL aura les moyens de traiter ce sujet.
Tout d’abord se pose le problème du droit applicable, particulièrement dans le cadre du cloud computing : par exemple que faire pour le cas Facebook, qui collecte des données personnelles via des services hébergés par un fournisseur de cloud computing, Amazon, et qui transmet l’adresse IP et des données personnelles à des tiers afficheur publicitaire ? De manière générale, les informations personnelles sont susceptibles d’être envoyées sur plusieurs data center de la planète en même temps. Quelle juridiction est compétente ?
Au delà du problème du droit applicable se pose la question de l’application du droit. Tout service accédé via Internet stocke les adresses IP d’une manière ou d’une autre. Même si la CNIL voit ses moyens renforcés par la Proposition de Loi, il me paraît difficile pour cette administration de surveiller l’ensemble des pratiques de la toile. Toujours dans ce registre, l’arsenal de la CNIL ne me semble pas adapté à des contrevenants off shore : que faire si une société obéissant à une loi plus permissive est située à Taïwan ? La seule réponse répressive (et efficace) est le filtrage par Internet. Je fais remarquer ainsi au législateur que cette proposition de loi, en apparence soucieuse de nos libertés fondamentales, risque d’être une bonne promotion de la loi LOPPSI 2 qui va être présentée au sénat bientôt.
ARTICLE 6. J’ai été interrogé plus précisément sur la partie concernant les cookies. Dans la version de la proposition de Loi qui m’a été donnée de lire, le texte stipule que tout cookie installé sur un ordinateur devra faire l’objet d’une information et d’une acceptation préalable de l’utilisateur avant toute installation.
Mon Avis. Cela impose à l’utilisateur un pop-up d’information et un clic d’acceptation. Cela n’est simplement pas gérable et complétement inefficace. Il suffit de faire l’expérience sur un ordinateur pour s’en rendre compte.
Je suggère également au législateur qu’une manière qui pourrait être plus efficace pour contrôler la diffusion de données personnelles par les cookies serait de développer le standards de description qu’ils utilisent. Puis de permettre leur affichage par l’utilisateur via les navigateurs. En effet, actuellement, bien que l’utilisateur puisse afficher quelques informations sur les cookies, l’ensemble des données communiquées à des tiers n’est pas consultable. La raison est, il me semble, que les standards de description utilisés pour les cookies ne sont pas complétement ouverts.
Eclairage de l’action de l’association MNEMOSINE.
Dans une deuxième partie de l’entretien, j’ai illustré l’action de l’association Mnemosine en l’éclairant par les points évoqués.
Je suis revenu tout d’abord sur la notion d’identité numérique. Le débat est profond si l’on prend en compte la notion temporelle, dont on voit apparaître une facette dans le débat sur le droit à l’oubli. Les contenus numériques que le particulier déposent constituent un « habeas corpus » de son identité, parce qu’il est une mémoire qui construit son histoire. Ce qu’on peut appeler un « patrimoine numérique ». Or le patrimoine, juridiquement, est un et indivisible.
Ensuite je suis revenu sur l’émergence d’une nouvelle technologie (pas si nouvelle que ça) qui rend impossible la protection de nos données : le cloud computing. De manière croissante, nous déposons des contenus sur des serveurs distants. Les différentes offres commerciales font que :
1) Nous ne contrôlons plus les accès aux contenus que nous produisons : avant, cela était plus aisé, parce qu’ils se trouvaient sur nos disques durs propriétaires. 2) Ces contenus se trouvent sur des systèmes hétérogènes. Le patrimoine numérique se trouve maintenant divisé.
J’ai remarqué le vide institutionnel existant en terme de protection des données des particuliers : il n’existe aucune institution dont la mission supporterait la préservation de la masse des données des particuliers. Par opposition, le patrimoine numérique national dispose d’institutions dédiés (BNF, INA, IGN,…, UNESCO). La CNIL a une vocation juridique. Les archives sont nationales, leur mission n’inclut pas la conservation de masse.
Dans le contexte actuel, le problème du droit applicable et de l’applicabilité du droit font que les états ont des moyens d’actions très limités dans le cadre du cloud computing.
J’ai ainsi exprimé mon sentiment profond sur le sujet du cloud computing : il y a un risque de rupture du contrat social, et un risque de perte d’indépendance nationale. Rupture du contrat social parce que le législateur ne peux plus me garantir mes libertés fondamentales. D’autre part, le patrimoine numérique du particulier sera bientôt utilisé pour écrire l’histoire, et donc constituer le patrimoine national. Savoir le conserver et le préserver est ainsi une question d’indépendance nationale.
Le projet Mnemosine repose sur ces considérations. Il tente de promouvoir l’émergence d’une solution « de facto » dans lequel le législateur pourra s’exprimer efficacement « de jure » sur les questions de protection des données personnelles. Cela signifie la création d’un système d’information dédié à la gestion des contenus numériques des particuliers, respectant ses libertés fondamentales par des standards ouverts. Cela signifie également la création d’une structure de labellisation à vocation internationale, qui est dans ce projet l’association MNEMOSINE.
Je remarque finalement que cette action précède et s’inscrit parfaitement dans les recommandations n°3 et 9 du rapport 441 de Y Detraigne et ML Escoffier :
“Promouvoir rapidement la création de labels identifiant et valorisant des logiciels, applications et systèmes offrant des garanties renforcées en matière de protection des données personnelles.”
“Soutenir la dynamique en cours tendant à la définition de standards internationaux dans le domaine de la protection des données personnelles.”
