1 Protection technique des donn é es personnelles de l ’ internaute Kamel REZGUI Facult é de droit de Tunis, le 26 f é vrier 2008

2 Introduction « Attaqu é e de toutes parts, la vie priv é e n ’ a jamais é t é, en même temps, aussi revendiqu é e, exig é e, d é fendue » Denis Duclos, Le Monde Diplomatique

3 Cadre g é n é ral Les atteintes à la vie priv é e des personnes viennent de divers facteurs: fichage, vid é osurveillance, paparazzi … Sur Internet, le ph é nom è ne est d ’ autant plus manifeste avec l ’ irruption de l ’ informatique et des r é seaux Les objectifs invoqu é s pour justifier le traitement des DP sont principalement:: la facturation, l'am é lioration du service rendu aux clients, la tenue de statistiques ainsi que le contrôle de s é curit é Les navigations sur le net laissent n é cessairement des traces pouvant être r é cup é r é es par des acteurs int é ress é s

4 Divers facteurs augmentent les risques d ’ atteinte à la vie priv é e des personnes : –le caract è re ouvert du r é seau Internet –Le foisonnement des traitements transfrontaliers des donn é es –l ’ Internet marchand appr é hend é comme un espace de marketing et de publicit é… Face à ces risques, un imp é ratif essentiel accompagne les é changes é lectroniques: la confiance

5 Diverses solutions sont apport é es aux dangers potentiels et r é els que repr é sente Internet pour les donn é es personnelles Trois types de solutions sont d é velopp é s: –La solution juridique –La solution de l ’ autor é gulation –La solution technique, objet de l ’é tude

6 Difficult é s d ’ ordre terminologique Avant le propos, il faut noter l ’ impr é cision des contours des termes - cl é s de l ’é tude: les notions d ’ internaute, de donn é es personnelles, et de protection technique La notion d ’ internaute: –Les textes juridiques ne la consacrent pas express é ment; ils emploient plutôt le terme d ’ utilisateur –Internaute, personne physique –L ’ internaute – utilisateur: Conception large de l ’ internaute Exhaustivit é Mais impr é cision quant aux droits et obligations de l ’ internaute

7 –L ’ internaute – abonn é : Conception restreinte de l ’ internaute Simplicit é de l ’ identification de l ’ internaute Cette conception ne renseigne pas sur l ’ utilisateur effectif d ’ Internet La notion de donn é e personnelle ( DP ): –Cons é cration par le droit tunisien Chapitre VI de la loi sur le commerce é lectronique du 9 ao û t 2000 (certification é lectronique ) article 9 nouveau de la constitution ( loi constitutionnelle du 1 juin 2002 ) Loi organique n° 2004 – 63 du 24 juillet 2004 sur la protection des donn é es personnelles

8 –Rapprochement par rapport aux notions de: donn é e nominative, renseignement personnel … –Nature: un aspect du droit à la vie privée qui englobe « tout ce qui se rattache à l'identité personnelle, familiale d'une personne ainsi qu'à son image » –D é finition: « toutes les informations quelque soit leur origine ou leur forme et qui permettent directement ou indirectement d ’ identifier une personne physique ou la rendent identifiable » ( article 4 loi organique n° n° 2004 – 63 ) –Illustrations sur Internet: les donn é es de connexion, ou de trafic …

9 Notion de protection technique des DP –Techniques am é liorant la protection des DP ou Privacy Enhancing Technology (PET) –« syst è mes et ses services d'information et de communication qui r é duisent la collecte et l'utilisation de donn é es à caract è re personnel et facilitent le respect des r è gles de protection des donn é es » –Toute technologie, dispositif ou composant –Objet : r é duire, voire supprimer, la production de DP –Objectifs: contrôler l ’ acc è s à ses donn é es personnelles et leur usage –Deux types de mesures: Mesures de type organisationnel Mesures individuelles prises par l ’ internaute

10 Probl é matique Quelle place tiennent les m é canismes techniques dans le dispositif de protection des donn é es personnelles de l ’ internaute ? Et quel type de rapport entretiennent - t - ils avec les autres modes de protection, notamment les m é canismes juridiques? Si les m é canismes techniques sont n é cessaires à la protection des DP ( I ), ils ne sont pas pour autant suffisants ( II )

11 Plan de la pr é sentation I – Une protection technique des DP n é cessaire –I - 1 Fondements de la protection technique –I - 2 Efficacit é de la protection technique –I - 3 Diversit é des m é canismes de protection technique II – Une protection technique des DP insuffisante –II -1 Limites de la protection technique –II - 2 Compl é mentarit é de la protection juridique avec d ’ autres modes de protection –II - 3 Encadrement juridique de la protection technique

12 I – Une protection technique des DP n é cessaire I -1 Fondements de la protection technique des DP I – 2 Efficacit é de la protection technique des DP I - 3 Diversit é des m é canismes de protection technique des DP

13 I-1 Fondements de la protection technique des DP Les DP ont besoin d ’ être prot é g é es sur Internet en tant que flux d ’ informations par la machine elle-même Fonctions vitales de tout syst è me d ’ information y compris les syst è mes informatiques: confidentialit é, int é grit é, imputabilit é et disponibilit é des donn é es … D é veloppement de techniques de plus en plus sophistiqu é es à même de porter atteinte à la vie priv é e de l ’ internaute, augmentant le besoin d ’ une protection technique de ces donn é es

14 Ces techniques sont utilis é es soit dans des traitements visibles par l ’ internaute soit à l ’ occasion de traitements invisibles par lui Les traitements de DP visibles par l ’ internaute: –Renseignements personnels recueillis lors de la participation de l ’ internaute dans certaines activit é s en ligne ( Newsgroups chats, lancement d ’ une commande d ’ achat en ligne, un concours de jeux, de Lotto ou de casino en ligne … ) –Les annuaires en ligne contenant des informations nominatives collect é es à partir de bases de donn é es ou de supports même papiers ( r é pertoires t é l é phoniques, diverses pages d ’ informations … )

15 –Des logiciels vont assurer le rep é rage des adresses é lectroniques et des renseignements personnels, leur indexation, puis leur int é gration dans des bases de donn é es comportementales qui seront souvent c é d é es –Atteintes aux principes: d ’ information pr é alable, du caract è re loyal du traitement, de confidentialit é, de finalit é, droit d ’ acc è s et droit d ’ opposition … Les traitements de DP invisibles par l ’ internaute: –Des op é rations de collecte et de traitement des renseignements personnels r é alis é es à l ’ insu de l ’ internaute

16 –Les cookies: « Des fichiers é mis par un serveur à destination du disque dure de l ’ ordinateur de l ’ internaute dans lesquels& peuvent être retrac é s des renseignements pertinents pour son commanditaire sur les comportements de l ’ utilisateur d ’ Internet » Ces « mini - bases de donn é es » constitue une source d ’ atteinte à la vie priv é e de l ’ internaute et à son autod é termination sur les donn é es qui la concerne

17 –Les « fichiers log » Ces fichiers contiennent les donn é es de connexion des internautes issues des traces laiss é es par la machine utilis é e par ces derniers qui est identifi é e par une adresse IP Ils comportent les donn é es suivantes: Adresse IP machine, logiciel utilis é, sites et pages visit é s, date et heure de connexion, … Nature juridique: les donn é es de connexion sont – elles des DP ? Ils permettent l ’ identification indirecte de l ’ internaute

18 I – 2 Efficacit é de la protection technique des DP Les sources d ’ efficacit é de ce mode de protection se trouvent dans ses caract é ristiques: –Caract è re endog è ne des solutions techniques: solutions int é gr é es aux machines, logiciels et protocoles de communication –Caract è re volontaire du recours aux solutions techniques: une auto - protection –D é passement des contraintes nationales de la r é glementation –Des solutions à la fois pr é ventives et curatives –Verrouillage du traitement et des é changes ne respectant pas certaines exigences …

19 I - 3 Diversit é des m é canismes de protection technique des DP Les politiques de protection technique des DP de l ’ internaute –La politique d ’é conomie de donn é es: saisir, stocker et traiter le moins possible de DP –La politique de non - production de donn é es: ne saisir, ne stocker, ni traiter aucune donn é e personnelle: traitement totalement anonyme

20 Les principaux types de solutions techniques: –L ’ anonymisation des traitements modification des donn é es personnelles impossibilit é d ’é tablir une corr é lation avec une personne physique d é termin é e ou d é terminable –La pseudonymisation des traitements modification des donn é es personnelles une r è gle de correspondance permettant de corr é ler le traitement avec une personne physique

21 Exemples de m é canismes techniques de protection DP –L'anonymisation par une fonction de hachage Calculer une valeur numérique à partir des données directement ou indirectement nominatives Valeur substituée aux données à partir desquelles elle a été calculée. –L'anonymisation automatique après un certain temps excédant celui nécessaire à la réalisation des finalités du traitement –Les procédés de chiffrement notamment asymétrique empêchant le piratage des DP –Les logiciels de filtrage de contenu

22 –Les procédés anti-cookies, qui bloquent les cookies placés sur le PC de l’internaute –Les solutions anti-spams ( syst è mes: opt in / opt out ) –La plate-forme: pr é f é rences relatives à la protection de la vie priv é e (Platform for Privacy Preferences ou P3P), permettant aux internautes d'analyser les politiques de confidentialit é des sites web et de les comparer avec leurs pr é f é rences contribue à garantir que la personne concern é e consente en toute connaissance de cause au traitement –La signature é lectronique –La certification é lectronique –La labellisation et le r é f é rencement des sites …

23 II – Une protection technique des DP insuffisante II -1 Limites de la protection technique II - 2 Compl é mentarit é de la protection technique avec d ’ autres modes de protection II - 3 Encadrement juridique de la protection technique

24 II – 1 Limites de la protection technique des DP Insuffisance de la technique à elle seule d ’ assurer une protection efficace des DP: –La technique est une arme à double tranchant ( selon ses usages ) –Son application exclusive ne garantie pas le respect des principes r é gissant la vie priv é e –Des produits con ç us en ignorance de leurs cons é quences sur les libert é s publiques –Des solutions con ç ues en dehors des instances repr é sentatives: probl è mes de l é gitimit é politique –« Le mod è le lex informatica souffre de l'absence d'un d é bat politique de l'int é rêt public et de la pression commerciale pour une architecture technologique qui maximise la collecte de donn é es et la dataveillance »

25 II - 2 Compl é mentarit é de la protection technique avec d ’ autres modes de protection Probl é matique g é n é rale de la r é gulation des é changes sur Internet, de la gouvernance d ’ Internet La protection technique repr é sente l ’ un des trois modes de r é gulation des é changes int é ressant les DP –R é gulation technique –R é gulation juridique ( r é gulation politique ) –Auto-r é gulation par la communaut é des internautes, par le march é ( r é gulation é conomique ): Safe Harbor Principles …

26 Limites de chacun des modes de r é gulation des é changes relatifs aux DP –R é gulation technique: limites d é j à vues –R é gulation juridique: Caract è re dissuasif voire prohibitif des sanctions juridiques: « paradigme de suspicion » V. Gautrais Caract è re transnational des traitements de DP Un droit de plus en plus participatif: consultations, livres verts … –Auto – r é gulation: Absence de transparence dans le march é des DP Les entreprises ne se soucient pas trop de la protection DP D é faut d ’ une approche globalisante int é grant l ’ Int é rêt g é n é ral …

27 Limites d ’ une approche autosuffisante qu ’ elle soit technique, juridique ou d ’ autor é gulation L ’ efficacit é de la protection des DP r é side dans la compl é mentarit é entre les trois modes de r é gulation

28 II - 3 Encadrement juridique de la protection technique des DP Illustration du mod è le de compl é mentarit é : le droit au secours de la technique Le droit de la s é curit é des DP, un outil dans un dispositif: le droit de la s é curit é des r é seaux –R é gime juridique de la correspondance priv é e ( code des t é l é coms, loi n° 2001 – 1 ) –Infractions p é nales t é l é matiques ( loi n° ) –La s é curit é des r é seaux devient un souci public national ( un service public en Tunisie: l ’ ANSI, Loi n° ): intervention technique de l ’É tat –Une r é glementation sp é ciale: audit de la s é curit é, cryptage ( Décret n° ), mesures de protection technique des oeuvres …

29 Principe de s é curit é et de confidentialit é des DP (articles 18 et 19 de loi organique n° n° 2004 – 63 sur la protection des DP ) –Obligation à la charge du responsable du traitement –D é finition l é gislative des pr é cautions à prendre –Obligation de r é sultat? Responsabilit é du responsable du traitement des DP –Fondement de la responsabilit é civile: faute? –Nature de la responsabilit é : civile: article 20 loi organique n° 2004 – 63 et p é nale: article 94 de la même loi organique

30 Principe de neutralit é technologique du droit Effectivit é de la protection technique: –Protection juridique des dispositifs techniques –De la n é cessit é de r è gles juridiques prot é geant les mesures techniques contre le contournement ?

31 MERCI DE VOTRE ATTENTION