« Nul ne sera l’objet d’immixtions arbitraires dans sa vie privée, sa famille, son domicile ou sa correspondance ni d’atteintes à son honneur et à sa réputation. Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes ».
Article 12 de la Déclaration universelle des droits de l’homme de l’Organisation des Nations unies
Bien que la Déclaration des droits de l’homme de 1943 contienne une référence à la vie privée, l’application de ce principe à Internet n’a gagné en importance que récemment. Les générations antérieures ne pouvaient pas imaginer que le paysage numérique actuel pèserait autant sur la définition de la vie privée. Les définitions de la vie privée dans le monde physique et dans le monde numérique ne sont pas les mêmes. Avant la révolution numérique, le plus grand risque d’atteinte à la vie privée venait des autorités alors en position privilégiée pour recueillir et stocker de grandes quantités de données sur les individus. À la suite de l’essor des services numériques en ligne que nous utilisons quotidiennement, ce sont désormais les entreprises qui les gèrent qui recueillent des quantités considérables d’informations à notre sujet.
Les anciennes législations qui ciblaient principalement les organisations gouvernementales et certaines entreprises, comme les banques et les compagnies d’assurances, se sont avérées inadaptées au nouveau monde numérique. Ce besoin évident de meilleure réglementation a mené à la création de règles comme le RGPD dans l’Union européenne.
De meilleures réglementations ont été adoptées dans la plupart des pays du monde, mais gardez à l’esprit qu’elles sont, dans certains cas, complètement ignorées. La Chine, par exemple, a adopté des lois souvent mises à mal par les autorités elles-mêmes. Et même quand ces lois sont respectées par les gouvernements, elles incluent souvent des exceptions destinées à certaines agences de renseignement pour des raisons de sûreté de l’État.
Les pays de l’UE ont fait un grand pas en avant dans la protection de la vie privée de leurs citoyens. Penchons-nous plus en détail sur le RGPD et comparons-le à la réglementation étasunienne en la matière.
Le RGPD
La réglementation de l’UE sur la vie privée, le RGPD (Règlement général sur la protection des données), vise à protéger les droits à la vie privée des citoyens de l’UE. Le but premier du RGPD est de fournir un cadre de référence aux entreprises qui stockent ou contrôlent des données sur les citoyens de l’UE. À terme, le RGPD garantira aux individus des droits renforcés en matière de vie privée en définissant la façon dont les données confidentielles doivent être traitées et en établissement des peines relatives aux violations de ces règles.
Le RGPD est une réaction à l’essor des services qui stockent et traitent vos données en ligne. Les réglementations sur la vie privée sont encore fragmentées à l’heure actuelle. Avec le RGPD, l’UE peut désormais se targuer de posséder le cadre réglementaire sur la vie privée numérique le plus complet et protecteur du monde.
Tous les citoyens de l’UE bénéficient de ces droits, même si les services qu’ils utilisent ne sont pas basés dans l’Union : la réglementation concerne tous les services qui offrent des services au sein de l’UE ou à ses citoyens.
Le RGPD définit huit droits des utilisateurs. Les voici :
Le droit à l’information : vous avez le droit de connaître les données qui sont stockées et leur utilisation.
Le droit d’accès : vous avez le droit de voir les informations qu’un service stocke à votre sujet.
Le droit de rectification : vous avez le droit de corriger les données qu’un service stocke à votre sujet.
Le droit à l’effacement ou « droit à l’oubli » : vous avez le droit d’exiger d’un service qu’il efface les données qu’il stocke à votre sujet.
Le droit à la limitation du traitement : vous avez le droit d’exiger l’arrêt du traitement de vos données dans certains cas.
Le droit à la portabilité des données : vous avez le droit de recevoir les données conservées par un service, à des fins d’usage personnel ou pour les envoyer à un autre service.
Le droit d’opposition : vous avez le droit de vous opposer au traitement de vos données, vous avez notamment le droit de vous opposer au suivi des cookies.
Le droit d’échapper aux décisions automatisées : vous avez le droit de ne pas faire l’objet d’une décision fondée sur un traitement automatisé, y compris le profilage.
À chacun de ces droits sont adossées des exceptions et des provisions, mais, dans l’absolu, ils vous donnent la possibilité de décider si un service est autorisé à stocker des données à votre sujet – et s’il l’est, de contrôler leur utilisation et de demander leur suppression.
Le RGPD définit les données selon deux catégories, les données d’identification et les données à caractère personnel sensibles. Comme nous l’avons évoqué dans le dernier chapitre, les données d’identification sont les données qui vous sont rattachées personnellement, comme une adresse. Les données à caractère personnel sensibles révèlent vos données biométriques, votre code génétique, des données concernant votre santé, vos convictions philosophiques, vos opinions politiques, votre origine raciale ou ethnique. Si un service stocke et utilise des données à caractère personnel sensibles, il est soumis à des mesures plus strictes en matière de consentement et de protection contre les utilisations non autorisées.
Le RGPD a suscité de nombreuses controverses. De nombreuses pressions ont été exercées pour ajouter des amendements à la réglementation, mais le cœur de son contenu ne sera probablement pas modifié. Les sanctions en cas de violation du RGPD ont également causé beaucoup de discussions. Elles peuvent s’élever jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé étant retenu.
Les lois sur la protection de la vie privée aux États-Unis
Même si cela évoluera peut-être un jour, les États-Unis n’ont pour le moment pas de réglementation unifiée comme c’est le cas de l’UE avec le RGPD. Le pays s’appuie donc sur un ensemble de réglementations qui s’appliquent aussi bien au niveau fédéral que dans les États. L’idée d’adopter une réglementation semblable au RGPD n’est pas entièrement écartée aux États-Unis, mais des organisations comme Privacy for America, un groupe de lobbying regroupant des acteurs de l’industrie, font en sorte de protéger les besoins des entreprises du secteur. Certains appellent de leurs vœux la création d’une agence de protection des données qui serait responsable de l’application des lois de protection de la vie privée aux États-Unis. Ces différences ne veulent pas pour autant dire que le pays n’est pas doté de lois sur la vie privée. La plupart des problèmes que connaissent les États-Unis en la matière sont liés au patchwork de réglementations et de lois qui s’appliquent au niveau fédéral et au niveau des États.
Le plus grand obstacle à l’adoption d’une loi semblable au RGPD réside dans les différences entre le pays et l’UE. Les États-Unis mettent en avant les droits des États – les réglementations fédérales y sont vues comme des violations du droit des États à se gouverner eux-mêmes. À terme, une solution finira très certainement par être trouvée. Néanmoins, le résultat pourrait être assez différent de ce que l’on a dans l’UE.
Certains États ont une vision bien plus stricte de la vie privée de leurs citoyens que l’État fédéral. Par exemple, le CCPA (California Consumer Privacy Act ou « loi sur la vie privée des consommateurs de Californie » en français) comprend pratiquement les mêmes droits que le RGPD. Le CCPA protège tous les Californiens et c’est considérable, car cet État est la cinquième économie mondiale.
Le bouclier de protection des données UE-États-Unis
L’UE et les États-Unis se sont accordés sur un mécanisme de simplification des transferts de données entre parties qui protège la vie privée de façon mutuellement acceptable. Les entreprises étasuniennes qui souhaitent transférer des données entre les États-Unis et l’UE doivent certifier qu’elles adhèrent aux principes du bouclier de protection.
Le bouclier de protection des données n’est pas une réglementation, c’est un accord. Cela signifie que les entreprises étasuniennes qui violent le RGPD ne peuvent pas être sanctionnées, à moins qu’elles violent les règles de la Federal Trade Commission (« Commission fédérale du commerce » en français). Le bouclier ne protège pas tous les droits à la vie privée du RGPD. Il convient de noter que l’accord précédent, les principes de la « sphère de sécurité » (Safe Harbour Privacy Principles en anglais), a été invalidé par la cour de justice de l’UE. Le bouclier de protection des données pourrait donc un jour connaître le même sort.
