# LA PRIVATISATION DES DONNÉES PERSONNELLES
Par Cécile Bonzon, Eléna Antoine, Juliette Aït Tadrart-Veniger et Lauraine Khampraseuth
### Sommaire:
[TOC]
## Introduction
::: success

De nos jours nous vivons dans une ère ou nous sommes de plus en plus dans un réseau interconnecté les uns avec les autres, avec une utilisation fréquente d’outils numériques. Chaque utilisation numérique transmet des données personnelles, (l’heure de connexion, le nom, l’âge, une adresse IP, une photographie…) Ces données personnelles sont des informations liées directement à une personne physique identifiable.[1](/72rjZCulSvKpVIpQwdPZGw)) Elles sont alors collectées puis conservées par des programmes qui peuvent par la suite être utilisées. Certaines entreprises exploitent ces données pour élaborer des stratégies et viser plus précisément les personnes. Un des exemples le plus représentant est celui de la publicité. A la suite d’une visite ou d’un achatsur un site de jeux vidéo, l’utilisateur va après coup recevoir plus de publicités dans ce domaine.

Cette exploitation des données numériques ouvre sur de nombreux débats. En effet, l’utilisation des données est une ressource très précieuse pour les entreprises, et de nombreuses personnes s’efforcent à lui confier une valeur économique. Mais ces données personnelles sont-elles bien protégées ? Toutes données à comportement personnel possèdent un « statut protecteur renforcé »[2](/a7bZAoqqT0WvVE2c7mAMZg) depuis la création du RGPD (Règlement Général sur la Protection des Données). Son objectif est d’accorder aux individus la maitrise des flux de données qui lui son propre. Toutefois l’exploitation des données numériques provoque certaines craintes dont celle de l’espionnage. Le problème vient avant tout de l’accès restreint du nombre d’entreprises à ces données, ce qui favorise une privatisation par les géants du web.

Nous allons donc nous demander quelles sont les différentes positions fasse à cette privatisation des données personnelles ? Nous allons également nous questionner sur l’existence de solutions alternatives.

Pour répondre à cette problématique nous allons procéder en quatre parties. Tout d’abord nous allons nous focaliser sur les arguments en faveur de cette privatisation puis ensuite aux arguments en sa défaveur. Bien évidemment les propos analysés sont à nuancer car il n'est en rien une dualité simpliste du pour ou contre. Dans cette même deuxième partie nous allons traiter de propriété d’usage alternatif puis enfin dans la dernière partie nous allons étudier l’aspect juridique.
:::

## I- La privatisation des données au centre de l'optimisation de la société
La data est omniprésente, et avec l’apparition de nombreux objets connectés aussi bien sur le lieu de travail que dans l’espace privé, elle est discutée sous de nombreux angles. Pourtant rares sont les médias qui abordent le problème que suscite le vide juridique laissé par la propriété de celle-ci. Tandis que les GAFAM (Google, Apple, Facebook, Amazon et Microsoft) tendent à s’approprier les données personnelles de leurs utilisateurs, la monétisation de ces données semble constituer un scénario futur de plus en plus vraisemblable.

Pour l’instant l’internaute se déplace dans ce que l’on peut nommer « un pseudo marché » pour le moins asymétrique puisqu’il donne ses données en échange de services en apparence gratuits. Une prise de conscience vis-à-vis de l’illusion que représente cette gratuité et de la réelle valeur des données personnelles se dessine peu à peu.
La valeur des données n’est pas toujours facilement calculable, la donnée augmente de valeur selon le nombre de données auxquelles elle est reliée, ce qui en fait une valeur contextuelle(**1**). Par exemple l’achat d’un berceau donne des informations à propos des consommations futures d’un foyer. Prise individuellement, cette donnée peut avoir de la valeur pour les annonceurs publicitaires de produits visant les nouveau-nés. Mais la lecture d’une seconde donnée pourrait mettre en lumière que l’achat du berceau est un cadeau pour un ami. Chaque nouvelle acquisition de données augmente la valeur de l’ensemble déjà recensé.

Afin de posséder le plus de données possibles, différentes entreprises défendent les avantages d’une privatisation des données, dans une vision mélioriste de la société actuelle.

Le premier argument avancé en ce sens, est celui d’une meilleure efficacité et rentabilité globale. Les données, dans lesquelles se retrouvent les données personnelles, quand elles sont exploitées par des programmes informatiques adaptés, représentent un outil idéal pour réduire les risques d’accidents, de gaspillage, de perte ou de dysfonctionnement.
Par exemple, la moitié des aliments sont gaspillés, non pas pour des raisons économiques mais à cause du manque d’informations utiles au réajustement rapide des circuits de redistribution. Il en va de même pour l’essence gaspillée lors de la recherche d’un emplacement libre pour garer son véhicule, un système recueillant les informations pourrait palier ce problème.

En devenant la propriété des entreprises, ces données serviraient donc l’optimisation des secteurs concernés en permettant une meilleure efficacité des services offerts. Cette optimisation s’étend également sur le plan humain : lié aux membres du personnel et aux futures recrues, cet accès aux données signifierait pour l’entreprise une amélioration de la gestion des compétences et de la mobilité interne, un tri ciblé des CV, une réduction du turn over (**2**) ou encore une plus grande anticipation des métiers et des compétences.(**3**)

Suivant la devise « Sharing is Caring » tiré du roman dystopique The Circle, l’usage des données privées résulterait en une transparence complète promettant une meilleure performance individuelle et collective. (**4**) C’est sur ce modèle de performance que se basent notamment des assurances de voitures américaines, en adaptant leurs prix selon les données recueillies par les smartphones des conducteurs et donnant des informations sur leur aptitude à conduire correctement, les mauvais conducteurs se voyant parfois même interdits de souscrire à l’assurance.(**5**) Une prise de conscience de l’impact économique positif ou négatif pour le conducteur aboutirait logiquement à une diminution des prises de risque au volant.

Sur un plan individuel, la privatisation des données, en croisant ces dernières, permettrait de proposer un contenu publicitaire plus pertinent et plus proche des envies et des besoins de l’utilisateur. Ce même utilisateur pourrait également acheter des données à moindre prix sur certaines plateformes, comme c’est déjà le cas aujourd’hui avec Facebook, pour cibler un public potentiellement intéressé par les services et produits qu’il propose.
Générant ainsi une source importante de revenus financiers, il semble logique pour de nombreux experts de rendre aux individus la liberté de monnayer leurs données, tout en mettant en avant les avantages de l’accès aux données pour le bien commun. Dans ce discours libéral, la propriété des données reviendrait aux individus, libres d’en exploiter les revenus.

Par ailleurs, portée à son extrême, l’utilisation des objets connectés fabriqués à usage personnel nuit à la mise en réseau des données et diminue leur potentiel. Si un nombre restreint de grandes entreprises n’ont pas accès à une majorité de données collectées, on risque de s’éloigner du but d’optimisation recherché à l’origine pour se limiter à un profit individuel. Même si l’utilisation des données dans un cadre individuel peut avoir un avantage, il reste bien inférieur à celui généré par leur mise en réseau.

Enfin quel que soit l’équilibre atteint, que la balance penche plutôt du côté des technophobes ou de celui des GAFAM, la société ne peut se passer d’un cadre législatif pour structurer la gestion des datas. Si des scandales tel que celui de Cambridge Analytica ont ces dernières année plus concernés les entreprises, l’augmentation de la gestion des données par les individus eux-mêmes pourraient engendrer de nouvelles problématiques. Une analogie évidente est celle de l’impression 3D, qui a permis une avancées technique énorme dans la vie quotidienne de nombreux foyers et qui pourtant s’est également vue utiliser à des fins moins heureuses en amenant avec elle la possibilité par exemple d’imprimer des armes (**6**) et de les mettre en circulation sans aucun contrôle préalable.

En conclusion, l’utilisation des données peut permettre une croissance économique énorme et une optimisation des conditions de vie d’un nombre important de personnes. Pour autant la technophobie latente de certains individus pourrait mener à un ralentissement de ce progrès. Quelle que soit la dynamique empruntée il faut légiférer pour protéger chaque membre de la société tout en continuant à améliorer son fonctionnement.

🗊

**1** BELLANGER, Pierre (2015), Les données personnelles une question de souveraineté, Le Débat, n°183, p.14-25.
**2** Anglicisme employé dans le milieu économique signifiant le taux de renouvellement du personnel d’une entreprise.
**3** https://www.mondedesgrandesecoles.fr/la-revolution-du-big-data/?fbclid=IwAR2RPTBbkQl_-9yJel9FazElHjEbe_3Us7I_xY_P6OLF19Hc08jVA90EyhQ, consulté le 15/01/2021
**4** Sources : https://www.lesechos.fr/idees-debats/cercle/donnees-personnelles-et-libre-arbitre-une-question-de-rythme-132814, consulté le 16/01/2021
**5** https://www.frenchweb.fr/comment-une-start-up-americaine-dassurance-auto-a-atteint-une-valorisation-de-365-milliards-de-dollars/374692, consulté le 16/01/2021
**6** https://www.3dnatives.com/armes-imprimees-en-3d-08092020/, consulté le 17/01/2021

## II- Vers une réappropriation des données personnelles : entre technophobie et "contre-faire"

Depuis quelques décennies, nous vivons dans un réseau interconnecté les uns avec les autres; l’idée de connecter toutes les entités entre elles qu’elles soient humaines ou non-humaines croît de façon exponentielle. L’Homme connecte ainsi des objets, des infrastructures voire même des végétaux afin que ces derniers émettent des informations, « datas » lisibles et compréhensibles pour l’être humain. Le développement des réseaux de communication, la numérisation des informations se retrouvent donc au coeur de la société, facilitant un panel large d’activités humaines passant des transferts de flux économiques aux informations personnelles et ce, pour un coût très faible et une rapidité sans pareil. Selon la sociologue et ingénieur texturgiste Christine Browaeys, les objets connectés deviennent interactifs et collaboratifs, créant ainsi des environnements artificiels qui nous aident de manière proactive et réactive; on parle de l’Internet des Objets (IoT). En effet, grâce à l’intelligence artificielle et aux puissances de calculs, les objets connectés ont la capacité de mener l’exécution rapide et simultanée d’une multitude de tâches. Ces objets connectés déferlent dans toutes les sphères (professionnelles et personnelles) : on les retrouve dans le domaine de la domotique (produits électroménagers, enceintes portables, réfrigérateur, télévision...) dans la surveillance (serrures, détecteurs de fumée...) ou divers autres domaines : les montres, voitures, lunettes... Dans cette partie, nous tenterons de porter l’analyse au-delà de la dichotomie simpliste « pour ou contre » la privatisation des données personnelles mais plutôt d’engager une réflexion sur les différentes formes de détournement (aux usages privatises des données personnelles) par les citoyen.ne.s.

Bien que le nombre d’objets connectés ne cessent de croître (d’ici 2030, 100 milliards d’objets seront connectés à Internet)(**1**) il est intéressant de se pencher sur la manière dont la sécurité des données personnelles est réalisée. Selon une étude menée par HP Fortify dès 2014, la sécurité de dix des objets connectés les plus en vogue du moment, présentaient en moyenne 25 vulnérabilités par objet trouvée (Chadi Hantouche, 2016). On observe ainsi qu’un risque pèse lourdement sur la confidentialité des données des utilisateurs et leur sûreté. Au-delà des objets connectés, la question se pose également au niveau des géants du numérique tel que Facebook, Google, Apple, Amazon, Microsoft etc. On constate que les datas sont au centre d’enjeux géopolitiques et socio-techniques et qu’une régulation du cyberespace(**2**) est plus que nécessaire afin de tenter de contrôler ou du moins « autonomiser » les individus pour les libérer d’une surveillance malveillante. En opposition à cette vision « précautionniste », Gérald Bronner dans *La peur au coeur de notre quotidien technologique(**3**) propose de revenir sur le terme de technophobie, notion qui n’est pas récente : les craintes que le développement du chemin de fer a suscité en France le rappellent. Il souligne également la manière dont les « délibérations collectives sont plus favorables à l’émergence des stéréotypes que les délibérations individuelles (Argote et coll., 1986) », rapprochement intéressant à faire avec les actions collectives citoyennes (cf Fablab, tiers-lieu, makerspaces, hackerspaces ?).

Sur un autre registre, la théoricienne du féminisme cyborg Donna Haraway affirme que « la libération nécessite que l’on construise la conscience de l’oppression et des possibles qui en découlent, qu’on les appréhende en imagination(**4**) »; cela peut se traduire - pour le techno-récit du transhumanisme - par le fait que la société, oppressée par l’idée d’un Big Brother(**5**), doit fédérer et consolider les consciences afin de se libérer de l’emprise des entreprises datavores.
Construire la conscience passe par l’idée et la volonté commune de réguler les entreprises, perçues trop souvent comme peu soucieuses de la confidentialité et de la sécurité des données qu’elles détiennent. Cette forme d’approche (jugée précautionniste voire craintive par Gérald Bronner) repose sur les institutions considérées comme élément de choix permettant d’excercer un réel pouvoir de régulation auprès des géants du numériques et des autres entreprises; c’est l’exemple de la CNIL, Commission Nationale de l’Informatique et des Libertés crée en 1978 à travers la loi Informatiques ou papiers, aussi bien publics que privés. Elle veille à la protection des données personnelles en s’assurant que l’informatique soit au service des citoyen.ne.s et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’Homme, ni à la vie privée, ni aux libertés individuelles ou publiques(**6**). Néanmoins il est intéressant de se questionner sur l’étendue de son champ d’action : cible-t-elle tous les acteurs du numériques dont les géants (GAFAM) ou se suffit-telle à sanctionner les « malfrats » dits les pirates du Web, ce qui est déjà beaucoup.

Une autre approche, plus mélioriste et pragmatique à ce techno-récit du transhumanisme et du Big data propose de re-interroger le rapport que nous entretenons avec les objets connectés et donc les technologies. Dans cette démarche, il est question de souligner la capacitation des citoyen.ne.s à déjouer ou contourner l’effet de « citoyen.ne capté.e » en « citoyen.ne capteur », de passer du « soi quantifié/calculé » en « nous quantifiant ». Cette voie, contrairement à la première, mène davantage les citoyen.ne.s vers la formation d’une culture publique de la sécurité informatique les rendant plus sensibles voire alertes quant aux objets connectés. Nous avons pour habitude de nous méfier de ce que nous ne connaissons pas ou peu, cette participation active et inclusive permet donc pour les citoyen.ne.s de se familiariser et de démystifier leur rapport aux objets connectés (capteurs de données, algorithmes, puissance de calculs, etc.). C’est précisément ce que la sémiologue et chercheuse Laurence Allard présente dans L’engagement du chercheur à l’heure de la fabrication numérique personnelle(**7**) en se posant la question : « Dans quel monde voulons-nous être connecté ? ». Plutôt qu’une injonction à repousser toutes formes de technologie, elle propose de repenser l’ère numérique dans lequel nous évoluons avec les objets connectés. De cette réflexion vient la notion du « contre-faire »; les citoyen.ne.s, par l’action collective fabriquent leur propres objets connectés, c’est une manière de reprendre le contrôle sur les données générées.

« *Un citoyen capteur, qui devrait être à la fois producteur et interprète de ses propres données – données dont il doit pouvoir rester maître dans le cadre d’un scénario socio-technique sécurisé qui ne peut profiter qu’à l’intelligence collective environnementale* » (Laurence Allard, 2015).

Initié par les mouvements maker et hacker, la fabrication numérique personnelle suppose l’idée d’un design ouvert et participatif conçu hors des standards de la production industrielle de masse(**8**). Dans cette logique de production autonome, les citoyen.ne.s - par le biais des Fablabs, hackerspaces, makerspaces, espaces de critique de l’organisation sociale, etc. - déjouent ainsi les produits industriels standards et se tiennent maître de l’objet sur lequel ils peuvent contrôler leurs données. Initialement, les Fablabs ont été initié et soutenu par le MIT dans le but de provoquer une rencontre entre chercheurs et étudiants amenant ainsi les deux parties vers un projet commun basé sur la « recherche- projet » face à des enjeux socio-techniques ou politiques. Selon Camille Bosqué, l’évolution actuelle de fabrication numérique personnelle a évolué vers un « design diffus » démocratisé; les individus explorent et conçoivent librement leur fabrication. Ce design diffus impliquent de « se situer hors du marché de masse, de proposer un changement d’échelle et de taille dans la manière de produire et de faire ensemble et d’agir aux frontières de l’industrie capitaliste dans une exploration d’autres possibilités d’invention et d’innovation ». Comme le rappelle Neil Gershenfeld, le physicien à l’origine du concept de Fablab, ces structures ont été initié dans un objectif d’empowerment(**9**) pour conduire les citoyen.ne.s du monde à « devenir les protagonistes de la technologie, plutôt que ses spectateurs » (Gershenfeld, 2005). Le concept de Fablab (makerspace, hackerspace, community center, etc.) constitue des espaces privilégiés de réflexion et de création en engageant des enjeux sociaux, politiques, culturels ou économiques variés.

En conclusion de cette partie, on peut constater que les technologies du numérique peuvent provoquer des angoisses collectives quant aux données personnelles que les objets connectés et les géants du numériques manipulent. Plutôt que d’entretenir le récit et la peur du Big Brother qu contrôleraient nos données personnelles, certain.e.s citoyen.ne.s s’orientent vers une approche mélioriste et pragmatique dans l’objectif de « devenir les protagonistes de la technologie, plutôt que ses spectateurs ». C’est dans des espaces comme les Fablabs, tiers-lieu ou makerspaces - que les citoyen.ne.s se ré-approprient leurs données en fabriquant des objets connectés en détournant les normes industrielles de la production de masse et en agissant à leurs échelles (*empowerment* technologique). Cett approche qui vise à détourner la privatisation des données personelles par les grandes entreprises s'oppose au maintien d’une sorte de complaisance dégressive et fataliste qui encourage à l’inaction.

🗊

**1** https://www.coverjack.fr/la-5g-linternet-des-objets-connectes
**2** Ensemble de données numérisées constituant un univers d’information et un milieu de communication, lié à l’interconnexion mondiale des ordinateurs
**3** Bronner, Gérald. « La peur au cœur de notre quotidien technologique », Sylvain Delouvée éd., Les peurs collectives. ERES, 2013, pp. 87-102.
**4** Haraway Donna, « Manifeste Cyborg : Science, technologie et féminisme socialiste à la fin du XXe siècle [1] », Mouvements, 2006/3-4 (no 45-46), p. 15-21. DOI : 10.3917/mouv.045.21. URL : https://www.cairn.info/revue-mouvements-2006-3-page-15.htm
**5** Personnage de fiction du roman 1984 de George Orwell. L'expression « Big Brother » est depuis utilisée pour qualifier toutes les institutions ou pratiques portant atteinte aux libertés fondamentales et à la vie privée des populations ou des individus.
**6** https://www.cnil.fr/fr/cnil-direct/question/la-cnil-cest-quoi
**7** Allard, Laurence. « L’engagement du chercheur à l’heure de la fabrication numérique personnelle », Hermès, La Revue, vol. 73, no. 3, 2015, pp. 159-167.
**8** Camille Bosqué. La fabrication numérique personnelle, pratiques et discours d’un design diffus : enquête au coeur des FabLabs, hackerspaces et makerspaces de 2012 à 2015. Art et histoire de l’art. Université Rennes 2, 2016. Français
**9** Autonomisation ou capacitation : octroi de davantage de pouvoir à. Des individus ou à des groupes pour agir sur les conditions sociales, économiques, politiques ou écologiques auxquelles ils.elles sont confronté.e.s

## III- Les communs
Nous avons constaté que les services numériques que nous utilisons nous engagent, volontairement ou involontairement, dans un aspect de production et qu’il est assez difficile d’en sortir. Une propriété d’usage alternatif a alors été imaginée dans laquelle nos activités sociales peuvent être menées, sans être régies à des fins économiques. Ainsi la protection sociale des données personnelles nécessite une construction de « Communs numériques, basés sur des logiciels libres. » [1](/yNxvwL5KRWiMrl_1gDm8zQ) La protection sociale est un dispositif de précaution collective qui accorde aux individus de faire front aux potentiels problèmes sociaux, économiques ou
politiques. La logique est qu’en protégeant les personnes, nous protégeons également la société. Cette autre alternative est donc la discussion collective dans le but de vaincre les dominations des grandes plateformes à visées économiques.

Lionel Maurel, directeur adjoint scientifique à l’Institut National des Sciences Humaines et Sociales du CNRS, explique dans son texte, Pour une protection sociale des données personnelles, que dans cet environnement, il est préférable d’instaurer une protection sociale des données personnelles tout en conservant les conditions de travail humain pour les individus engagés professionnellement dans leur production. Ces deux mesures communes dans la production et l’organisation des données s’appuient sur un pari de solidarité, dans la coordination des pratiques non professionnelles et des pratiques professionnelles (les personnels des plateformes). La conversation collective représente un élément majeur pour la formation de relation numérique. Elle permet de visualiser et débattre sur les problèmes et déséquilibres dans la société et de mettre en place des solutions collectives. Ainsi le mouvement des communs encourage à contribuer à l’élaboration du progrès social et des capacités numériques particulières ou communes, dans le but de s’impliquer dans la gestion de nos pratiques numériques. Dans cet objectif, des associations vont se former pour proposer des solutions alternatives. C’est le cas pour l’association Framasoft, qui est une association d’éducation populaire dont l’idéologie est de vivre dans « un monde numérique
émancipateur »[2](/27WIm0PnTi-XCFFbhfzdJA). Son projet est de mettre en place de nombreux logiciels libres à disposition de tous mais également de favoriser le partage. Ainsi cela permet la transmission des connaissances et compétences. En lien avec le réseau des communs, l’association Framasoft met tout en œuvre pour détenir les outils nécessaires pour lutter contre les modifications numériques actuelles.

Lionel Maurel explique par la suite que caractériser les données d’intérêt général, c’est « ne pas laisser s’échapper le caractère profondément politique de leur usage ».[3](/860nR9XUR1GmzNZodk18iQ) Il s’agit d’intégrer le caractère sociétal dans nos pratiques. L’utilisation de la donnée comme une propriété est un usage de « volonté du bien » c’est-à-dire le désir d’exploitation. Il oppose « volonté du bien » et « volonté du lien ». La « volonté du lien » traduit avant tout nos pratiques en direction d’un lien avec les autres, la société (services connectés). Cette « volonté du lien » qui privilégie l’aspect social, nécessite d’être entretenue et pour cela il faut mettre en place collectivement une organisation des liens numériques. Gérer en commun les pratiques permettrait de rétablir la liberté de nos actions numériques.

## IV - Contexte juridique
Pour pouvoir mieux appréhender les enjeux de la privatisation des données personnelles il est nécessaire de rappeler sa qualification ainsi que son carde juridique, avec ses règlements, mais également les droits et les obligations qu’elles génèrent. Afin d’expliquer et de comprendre au mieux l’aspect juridique des données personnelles, il nous a paru pertinent de commencer par le cadre juridique en France puis nous tourner vers l’Union Européenne.

### a) Cadre juridique des données personnelles en France
Tout d’abord il est important de définir ce que sont les données personnelles en France. L’Article 2 de la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, nous indique : « *Constitue un fichier de données à caractère personnel tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.* » De façon plus claire, ce sont toutes les informations se rapportant à une personne physique **identifiée ou identifiable.**

Comme par exemple :
• nom, prénom ;
• adresse personnelle ;
• courriel;
• numéro de carte d’identité ;
• adresse de protocole internet (IP) ;
• données détenues par un hôpital/médecin, qui permettraient d’identifier de manière unique une personne.
• plaque d’immatriculation
• mais aussi la voix ou l’image

Par contre comme nous l’indique la CNIL « des coordonnées d’entreprises (par exemple, l’entreprise « Compagnie A » avec son adresse postale, le numéro de téléphone de son standard et un courriel de contact générique « [e-mail] ») ne sont pas, en principe, des données personnelles. »[1](/xg2Sy8o_RQeYxA_MgpcpVw)

En France les données sont protégées par plusieurs instruments juridiques comme la loi Informatique, fichiers et libertés de 1978, mais aussi par des règlements européens comme le RGPD. De plus nous disposons d’une autorité administrative qui est chargée de la protection des données à caractère personnel (DCP), appelée la CNIL. Elle a pour objectif de faire appliquer le droit de la protection des DCP.

* Loi du 6 janvier 1978 « Informatique et liberté »
La loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés permet de règlementer la liberté de traitement des données personnelles. La création d’une telle loi aussi tôt en France, placera le pays parmi les trois pays les plus avancés en Europe en matière de protection de données. Ce qui inspirera la Convention du Conseil de l’Europe ensuite. La loi sera ensuite régulièrement modifiée pour s’adapter aux directives européennes mais également aux nouvelles technologies qui changent considérablement nos rapports avec les DCP.

La loi de 1978 est découpée en treize parties. Seulement les trois premières parties vont concerner directement les particuliers.
L’article 1 nous informe que « *L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.* »
Comme nous l’avons vu précédemment l’article 2 définit le cadre des données personnelles. Les DCP sont toutes les informations relatives à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement.
Ce deuxième article défini également ce qui constitue un **traitement de données à caractère personnel** : Ce sont toutes les opérations effectuées sur des DCP, faite de manière automatisée ou manuelles, comme par exemple la collecte, l’enregistrement, la conservation, la modification, la consultation, la diffusion ou l’effacement des données à caractère personnel.[2](/rxwQA5ObQcWD8HQjdhDTBQ)

Exemples :
• gestion du personnel et administration des salaires ;
• consultation d’une base de données de contacts contenant des données à caractère personnel ;
• envoi de courriels promotionnels ;
• publication/affichage d’une photo d’une personne sur un site internet ;
• conservation d’adresses IP ;
• enregistrement de vidéosurveillance.

Dans l’article 3 la loi spécifie quelles sont les obligations d'un responsable de traitement et quels peuvent être les destinataires de ce traitement.

Quelles sanctions sont prévues par la loi?Elle prévoit tout d’abord un avertissement par la CNIL, puis des sanctions pénales en cas de récidive. La loi de 1978 indique également les droits fondamentaux des particuliers par rapport à ses DCP, en quatre droits essentiels : le droit d’information, d’opposition, d’accès et de rectification.

Lors de sa création en 1978, le Parlement instaura également une autorité qui sera chargé de contrôler la bonne application de la loi : la Commission nationale de l’informatique et des libertés (CNIL). C’est d’ailleurs le premier organisme à avoir été qualifié d’autorité administrative
indépendante.

• La CNIL

C’est une autorité administrative indépendante, cela signifie que c’est un organisme public qui va agir au nom de l’État mais sans être placé sous l’autorité du gouvernement ou d’un ministre. Elle est composée de 18 membres qui sont élus ou nommés. Elle se charge de veiller à la protection des DCP, dans les fichiers de traitements informatiques ou
papier, que ce soit dans le domaine public ou bien privé.
Son but est de veiller à ce que l’information soit au service des citoyens et qu’il n’y ai pas d’atteinte à l’identité humaine, ni aux droits de l’hommes, ni à la vie privée, ni aux libertés individuelles ou publiques Elle a des rôles diversifiés, tels qu’alerter, conseiller et informer tous les publics mais elle dispose aussi d’un pouvoir de contrôle et de sanction si nécessaire.[3](/anVAyT61T-6HNmwbSJCyYw)

Étant donnée que la France se trouve dans l’Union Européenne elle est donc soumise aux lois en vigueur, mise en place par l’UE. C’est donc ce que nous allons voir dans la deuxième partie qui suit.

### b) Cadre juridique dans l’union européenne, RGPD

Le Législateur européen c’était inspiré à l’époque de loi la française du 6 janvier 1978, pour la directive 95/46 du 24 octobre 1995. Elle constituait le texte de référence en ce qui concerne la protection DCP. Aujourd’hui cette directive est ancienne car elle fut abrogée le 25 mai 2018 pour laisser place au Règlement général sur la protection des données, appelé RGPD.

Ce règlement est entré en vigueur dans toute l’Union Européenne le 25 mai 2018. Il permet d’instaurer un cadre juridique pour la protection des données personnelles dans l’UE, mais aussi de renforcer les droits de chaque citoyen européen sur la protection de DCP et responsabiliser les acteurs qui traitent ces données.[4](/LUSTGwdsT3CGZnjbWw7YDw) Il va aussi permettre d’harmoniser les règles en Europe en instaurant un cadre juridique aux citoyens et aux professionnels. Ce règlement fait partie d’un cadre appelé « paquet européen de protection des données », qui contient deux textes.

• Le RGPD, applicable dans tous les pays membre depuis le 25 mai 2028.
• Une directive relative aux traitements des données personnelles en matière pénales, qui est applicable après transposition au plus tard le 6 mai 2018. [5](/OZ_16LzmR3-Cjz4HXIScZg)

Suite à ces nouveautés juridiques la France a inscrit la loi relative aux protections des données personnelles le 20 juin 2018. Elle permet de mettrela loi du 6 janvier 1978 en conformité avec le droit européen. Elle a été totalement réécrite pour rendre plus lisible le cadre applicable en ce qui concerne la protection des données. Pour terminer le 29 mai 2019 un décret fut mis en place pour mettre les dispositions règlementaires françaises cohérentes avec le RGPD.

**Qui est concernés par le RGPD ?**

Il s’applique à toutes les entreprises, organismes, associations publics ou privées, qui traitent de données personnelles de personnes physiques se trouvant sur le territoire de l’UE, et cela peu importe la taille ou l’activité de l’organisation. Cela signifie que le critère d’application n’est pas uniquement en fonction du lieu d’établissements de l’organisme traitant les données mais en aussi en fonction de qui l’organisme traite les données. Donc le RGPD s’applique aux entreprises :

• Etablie sur le territoire de l’Union européenne
• Ayant leur siège hors de l’UE mais qui traite des données concernant des citoyens européens.

On peut ajouter que le RGPD va également concerner les sous-traitants, qui traitent les données personnelles pour le compte d’autres organismes.

**Les obligations des entreprises :**

Respecter le principe de protection des DCP imposées par le RGPD, dès la conception de tout projet:
• recenser les traitements mis en œuvre dans un registre
• Avoir la capacité de prouver que les traitements de DCP respectent les règles applicables, notamment via l’adhésion à des codes de conduite et l’obtention d’une certificatif
• Notifier toute violation de DCP par le responsable de traitement et le sous traitant aux autorités et aux personnes concernées
• Réaliser une étude d’impact sur la vie privée pour les traitements à risque
• Désigner un délégué à la protection des données (pour les organismes publics et les entreprises dont l’activité principale les amène à réaliser un suivi régulier des personnes à grande échelle, ou des organismes qui traitent des données dites « sensibles » ou relatives à des condamnations pénales et infractions)
• S’assurer d’informer, de manière claire et concise, la durée de conservation des données, de l’existence de profilage, de leurs droits et des voies de recours disponibles
• Permettre aux personnes dont les données sont traitées d’exercer leurs droits

Toutes ces obligations, nous illustrent une des grandes modifications opérée par le RGPD, qui se tiennent à l’alourdissement des responsabilités encourue en cas de non-respect de ses dispositions. Ce qui a permis en conséquence une vraie prise de conscience des entreprises de la nécessité d’opérer une mise en conformité par rapport aux traitements qu’elles opèrent. Pour vérifier la bonne application du règlement, ce sont des autorités indépendantes de chaque État qui se charge de cette mission. En France c’est la CNIL qui s’occupe de ce contrôle. Il faut savoir qu’avant l’entrée en vigueur de ce règlement la possibilité pour les autorités de contrôle de prononcer des sanctions pécuniaires était très limitée. Mais grâce à l’article 83 du RPGD les sanctions pécuniaires se sont énormément alourdies, pouvant être prononcées par les autorités de contrôle. Cet article prévoit que l’amende peut s’élever à un maximum de «* *10 000 000 d’euros ou […] 2 % du chiffre d’affaires annuel mondial total de l’exercice
précédent, le montant le plus élevé étant retenu ».*

Pour conclure nous pouvons dire que le RGPD a permis une prise de conscience que ce soit chez les opérateurs qui traitent les DCP mais aussi chez les personnes concernées elles-mêmes.

## Cartographie de la controverse autour de la privatisation des données personnelles :