Données Personnelles

Dans son Cahier IP de mai 2014, la CNIL s’est intéressée au corps humain comme nouvel objet connecté, notamment au respect électronique de l’individu à travers ses données et plus particulièrement au respect de son corps par les objets connectés. Alors que la Magna Carta prévoit l’Habeas Corpus, la CNIL soumet l’idée d’un Habeas Data pour protéger les données de santé.

Avec la multiplication des objets connectés liés au quantified self, on voit se décupler la quantité de données de santé des particuliers. A la différence des données personnelles classiques, les données de santé revêtent un caractère sensible. En effet, ces données touchent non seulement l’individu mais aussi sa famille à cause des liens génétiques. Aussi, ces données peuvent être la source de discrimination en fonction de l’état de santé de l’individu.

La CNIL met en avant le fait que, bien que les données de santé soient très encadrées en France et en Europe, elles ne font pas l’objet d’une définition précise. Alors que certains préféreraient une définition large laissant une marge d’interprétation au juge, d’autres souhaitent favoriser une définition claire pour plus de sécurité juridique. Le projet de règlement européen sur les données personnelles, qui est actuellement en discussion, prévoit la définition suivante : « toute information relative à la santé physique ou mentale d’une personne, ou à la prestation de service de santé à cette personne ». Une gradation du caractère sensible des données est aussi une option proposée, afin de traiter les données de manière moins binaire que « sensible » ou non.

On voit apparaître un paradoxe entre la valeur commerciale des données liées au Big Data et le principe d’extrapatrimonialité du corps humain. Des restrictions d’usage semblent devoir être imposées notamment pour interdire la commercialisation des données de santé. Il faut établir des principes éthiques et fondamentaux pour limiter les atteintes.

Enfin, la CNIL propose de distinguer les applications à visée médicale (offrant un diagnostic, un traitement ou un moyen de prévention) des applications non-médicales. Cela permettrait d’offrir plus de sécurité à l’individu aussi bien d’un point de vue physique que virtuel. Cela met en lumière la complexité de la gestion des données de santé qui touchent non seulement les données personnelles mais aussi la vie privée et le droit à la dignité de l’individu.

Du fait de leur caractère particulier, la Commission européenne a recommandé, le 12 mai 2009, le recours à des Privacy Impact Assessments pour les applications de quantified self. Cela pourrait prévoir un degré d’exigence plus élevé en matière de sécurité des données et d’information des personnes.

Dreyfus vous accompagne en auditant vos collectes de données et vous aide à mettre en place des politiques de confidentialité conformes aux règlementations française et européenne.

En moins d’une décennie, Facebook s’est hissé au sommet des media sociaux et des réseaux, ses actions atteignant un pic en 2012 avec une capitalisation de 104 milliards de dollars. Dans le monde actuel toujours plus numérique, Facebook est bien plus qu’un réseau social, il est une forme d’identité et de communauté au sein de laquelle les individus fondent et racontent leurs expériences hypermodernes.

Facebook, évoluant dans une société qui évolue très vite obsolète et tournée vers la technologie, a contribué à engager une discussion au sujet de laquelle les philosophes, anciens comme modernes, qui vivaient dans un monde bien différent du nôtre, ont lutté pendant des siècles: le croisement des intérêts privés et publics.

Le gouvernement américain est actuellement en conflit avec Facebook au sujet du contenu de centaines de comptes d’utilisateurs. Invoquant le 4ème amendement, qui est le droit constitutionnel d’être libre de toutes recherches déraisonnables, Facebook estime que la confidentialité de données de 381 personnes, incluant des photos qu’ils ont « liké » et des messages privés serait violée.

En première instance, un juge de New-York privilégiait les intérêts publics sur les intérêts privés et décidait que Facebook n’avait aucun droit de contester les mandats de perquisition car elle agit comme un dépositaire de données en ligne, et n’est pas la cible actuelle de l’enquête pénale. S’agissant de l’enquête elle-même, les procureurs américains ont cherché à intenter des poursuites contre certains fonctionnaires accusés d’avoir fraudé le système de sécurité sociale en produisant de faux certificats d’invalidité. Selon Joan Vollero, une porte-parole du bureau du Procureur de Manhattan, près de 1.000 personnes auraient fraudé le gouvernement pour un montant de plus de 400 millions de dollars. Les preuves pour cette plainte provenaient des photos Facebook présentant les fonctionnaires supposés handicapés participant à toute sorte de sport, pêche en haute mer et sports nautiques.

Bien que dans cette affaire particulière, qui en est actuellement en appel, la violation du 4ème amendement et la préférence pour les intérêts publics sur les intérêts privés semble justifiée, particulièrement lorsque l’on considère les pertes financières pour le gouvernement, toutes les affaires concernant les recherches numériques et les saisies n’ont pas reçu la même solution. Dans une décision américaine Riley contre Californie (2014) la question était de savoir si une arrestation pouvait permettre, à elle-seule, à un officier de police de rechercher des données disponibles sur le smartphone d’une personne, pouvant inclure son compte Facebook. La décision, qui s’est elle-même rattachée à l’idée de « nouvelle règle pour un nouveau monde » vise à faire prendre conscience que la police ne devrait pas avoir un accès absolu à toutes les informations sur le téléphone portable d’une personne seulement parce que cette personne est en état d’arrestation.

Néanmoins, les faits de ces deux affaires respectives ne se ressemblent pas et l’analyse juridique peut, par conséquent, varier. Dans le cas de la contestation de Facebook de la saisie d’informations d’un utilisateur, il semble, en revanche, que la vie privée d’un individu puisse surpasser le droit pour le public de bénéficier des dépenses publiques, en particulier à la lumière aux montants financiers qui se trouvaient en jeu.

Cette affaire pose, peut-être, une question plus large: Facebook est-il un univers public ou privé ? Facebook changeant continuellement ses réglages de confidentialité pour les utilisateurs et devenant davantage une agence de publicité qu’une plateforme d’échanges, les indicateurs peuvent laisser penser que ceux qui utilisent Facebook sont en fait davantage utilisateurs d’un domaine public.

Néanmoins, les utilisateurs ont besoin d’avoir confiance en Facebook et de savoir que leurs messages privés resteront privés, ce qui n’a pas toujours été vrai.

Comme certains anciens répondent, une vieille solution toujours applicable à ce problème est simplement d’être prudents sur ce que vous révélez sur vous-même sur Internet. Si vous estimez que vos droits à la vie privée ont été violés par un service de média sociaux et/ou par le gouvernement, ou connaissez quelqu’un qui exploite l’un de ses services, des conseils et solutions fiables peuvent vous être apportés par Dreyfus.

Fin mai 2014, la CNIL a publié un Cahier IP sur le thème du corps comme nouvel objet connecté, en se focalisant sur les données personnelles de santé issues des applications et objets de quantified self.

Ce phénomène actuel est défini par la CNIL dans sa publication comme la « quantification de soi. Sous cette expression quelque peu sibylline, sont visées des pratiques variées mais qui ont toutes pour point commun pour leurs adeptes, de mesurer et de comparer avec d’autres des variables relatives à notre mode de vie : nutrition, exercice physique, sommeil, mais aussi pourquoi pas son humeur, etc. »

Les données sont capturées automatiquement par des objets connectés puis traitées en masse. Le développement de cette pratique appelle à la vigilance des utilisateurs vis-à-vis du devenir de leurs données. Ces dernières étant liées à la santé de l’individu, elles ont un caractère sensible. Il n’existe aucune définition de « donnée sensible » mais elles sont énumérées exhaustivement.

La Commission met en avant le décalage entre les politiques de confidentialité présentées et la réalité des pratiques. Il passe trop souvent inaperçu à cause du manque de vigilance et de connaissance des utilisateurs au sujet des données personnelles.

Un mouvement de « client empowerment », donnant ainsi plus de pouvoir et de contrôle au client, permettrait un rééquilibrage de la relation usager/collecteur de données. En effet, la voix des clients est trop souvent négligée par les entreprises. Cet « empowerment » peut aussi permettre la patrimonialisation des données avec le consentement direct du client, ce qui serait très favorable aux courtiers en données.

Bien que la CNIL ne le mentionne pas dans son rapport, une autre solution pour la protection des données des usagers serait d’imposer le concept de « privacy by design » dès la conception des objets connectés. Ce concept propose de faire de la protection de la vie privée de l’utilisateur une caractéristique majeure de l’objet. Ainsi, par défaut, les données recueillies ne seront pas extensivement partagées ou revendues.

Les lois françaises et européennes étant très protectrices des données personnelles, en particulier des données sensibles, la vigilance est de rigueur lors de la collecte de ces données.

Dreyfus vous accompagne en auditant vos collectes de données et vous aide à mettre en place des politiques de confidentialité conformes aux règlementations française et européenne.