Un droit à la limite. L’avènement de la protection des données en Europe

On reproduit ici, avec son accord, l’intervention réalisée par Thomas Soubiran (11/12/2023) à l’occasion de la semaine DATA–SHS de la Plateforme universitaire de données Grenoble Alpes (PUD–GA).

And now for something completely different

Always look on the bright side of life

Les interventions que je fais régulièrement sur la protection des données (comme le lendemain à Lyon) sont orientées vers la mise en conformité des traitements en SHS. Elles consistent donc à passer en revue les définitions et principes de la réglementation (traitement, données à caractère personnel, finalité, proportionnalité, responsable de traitement, inversion de la charge de la preuve, pseudonymisation,…) et leur mise en œuvre dans les traitements de données.

Au départ, j’essayais d’élargir le propos en introduisant des éléments à la fois plus historiques et contextuels. Mais le fait est que les parties applicatives ont fini par prendre le pas, faute de temps (ces parties s’étant elles–mêmes étoffés). Le fait est aussi qu’au début, rares étaient ceux qui avaient tout simplement entendu parler de protection des données. Rentrer in media res dans le vif du sujet était donc un peu abrupte.

Un propos plus introductif s’est toutefois révélé rapidement de moins en moins nécessaire après l’entrée en vigueur du RPGD le 25 mai 2018 et peut–être surtout (bizarrement) depuis septembre 2019 lorsque l’ANR a demandé l’élaboration d’un plan de gestion des données (PGD) pour les projets financés.

Rares sont donc ceux qui n’ont, aujourd’hui, jamais au moins entendu parler de la réglementation. Ce qui a rendu un propos introductif moins nécessaire (et surtout moins demandé). Ce qui est dommage car ces aspects sont loin d’être accessoires et leur absence prive les présentations d’éléments nécessaires pour la compréhension et donc la maîtrise opérationnelle du sujet.

La présentation à la semaine DATA–SHS de la PUD–GA m’a donc donné, une fois de plus, l’occasion de sortir de ces sentiers un peu (re)battus. Une fois de plus, car en 2019, j’avais participé à l’inauguration de la plateforme avec une présentation proposant une lecture plus épistémologique de l’application de la réglementation insistant notamment sur les liens entre les principe de proportionnalité et de pertinence d’une part et le principe de parcimonie d’autre part notamment considérés d’un point de vue statistique (AIC, BIC,…) d’autre part.

Il s’est agi cette fois d’aborder la protection des données et, plus généralement, le traitement de données personnelles dans la longue durée.

Die Zukunft beginnt in der Vergangenheit : les traitements de DCP dans la longue durée

Registres paroissiaux —source : Archives départementales du Nord

La présentation part de l’observation de l’ancienneté millénaire des traitements de DCP qui contraste avec une caractérisation (juridique mais aussi, par exemple, statistique) finalement très récente. Ce n’est en effet qu’à partir de la seconde moitié des années 1960 qu’un cadre juridique distinct (p.ex de la « vie privée » ou de la « privacy »), applicable va brusquement se dessiner au travers d’élaborations nationales et internationales croisées.

Si on trouve des exemples de traitements de DCP en différents lieux et temps, l’Europe va commencer à se distinguer à partir de la fin du bas Moyen–Âge par des inscriptions aux registres toujours plus nombreuses, extensives, intensives, intrusives et, surtout, indispensables. Et ça dans de très nombreux domaines (c–à–d pas seulement par « l’État » —au sens régalien—).

La multiplication de ces inscriptions marque notamment des relations sociales où le contrat, le conventionnement, les droits et, plus généralement, le droit vont prendre une part toujours croissante.

Mais pour pouvoir contracter, il faut avoir une personnalité juridique. Et pour avoir une personnalité juridique, il faut avoir une identité et donc un identifiant (nom ou autre) qui doit être conservé et protégé. Un large éventails de dispositions vont ainsi être conçues et mises en œuvre pour s’assurer de l’unicité et de l’authenticité de l’identité des personnes dont la PdD est une incarnation parmi d’autres. Pour paraphraser Foucault, il faut protéger les identités.

La multiplicité et la multiplication des traitements de DCP est dans les faits aussi le moyen de la reconnaissance et de l’exercice de droits et ne se limite donc pas à la seule surveillance des populations.

Herman Hollerith devant une de ses tabulatrices (début du ⅩⅩe siècle) —source : techstory.in

La protection des données est souvent vue comme la conséquence de développements techniques de l’informatique et aux traitements de données extensifs et intensifs qu’elle permet. Les traitements extensifs de DCP (portant sur des millions de personnes voir l’intégralité d’une population) sont toutefois largement antérieurs à leur automatisation.

De plus, l’automatisation des traitements de DCP est aussi antérieur à l’informatisation avec notamment le développement de la mécanographie à partir de la fin du ⅩⅠⅩe siècle. Dès les années 1930, de grandes « banques de données » sont déjà rendues possibles par la conception de moyens mécanographiques pour les interroger (SQL PREQUEL).

Avant les années 1950, le traitement de DCP apparaît déjà déjà comme un des moteur de l’avènement de l’âge des automates (et non pas l’inverse). Les fins précédent ici clairement les moyens.

L’informatisation a certes conduit à l’adoption des premières législations. Toutefois, ces processus législatifs ont sans doute été moins provoqués par la mise en œuvre de traitements extensifs que par la centralisation permise par les machines (qui, là encore, avait commencé avant même la commercialisation premiers ordinateurs grâce à la mécanographie). Sans les machines, les administrations publiques et privées se sont montrées capables de mettre en œuvre de procédures de papier d’une redoutable efficacité. Le Ministerium für Staatssicherhei (Stasi —1953–1990—) n’utilisait pas d’ordinateurs.

Chronologie de la protection des données (1966–1983)

Les travaux législatifs commencent aux États–Unis avec le Special Subcommittee on Invasion of Privacy du Congrès (1966) suivi par la RFA, la Suède, le Royaume–Uni ou encore la France. Et, dès 1970, une première législation est adoptée dans le Land de Hesse suivi par une demi–douzaine de textes législatifs adoptés entre 1973 et 1978 en Europe et aux États–Unis.

La question est aussi abordée en parallèle par différentes instances internationales (Conseil de l’Europe, OCDE). Et, après cette première vague de législations nationales, les instances internationales vont prendre de plus en plus de poids dans l’élaboration et la mise en œuvre de la PdD en Europe avec la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel —dite Convention 108— du Conseil de l’Europe (1981) et, plus tard, la directive 95/46/CE sur la protection des données personnelles de 1995.

Les travaux ont donc rapidement abouti et débouché sur des législation présentant de nombreux traits communs du moins dans leur principes. Ces législations et leur application différent en effet encore d’un pays à l’autre et ça, y compris parmi les États membres de l’UE.

L’histoire de ces travaux dessine aussi le caractère singulier de la PdD dont les principes sont issus d’un code bonne conduite conçu par et pour des informaticiens mais affecté d’une charge normative et élevé depuis au rang de droit fondamental de l’Union européenne.

En créant un droit à la limite, la réglementation touche aussi aux limites du droit. Limites non intrinsèques au droit (ou même de part la nature des faits visés) mais de par l’approche adoptée qui vise principiellement à encadrer les traitements.

Cette réglementation par règles directrices est parfois qualifiée de « libérale » mais cet esprit si particulier de la loi provient peut être avant tout du fait que, dans les années 1970 ou plus récemment avec le RGPD, les parties prenantes dans son élaboration ne remettent fondamentalement pas en cause le traitement de DCP et son automatisation et en acceptent plus ou moins explicitement leur nécessité au–delà des divergences de points de vue.

Qui aujourd’hui cherche vraiment à sortir de la Matrice (Pagerank ou autre) ?

Et, au regard de ce qu’on peut couramment entendre ou lire, l’ironie de cette histoire est que la première commission parlementaire qui traita de la question fut la conséquence d’un projet de « sciences sociales ».

Pour de plus amples informations, le support de la présentation est disponible ici.



Citer ce billet
Frédéric Gonthier (2024, 20 mars). Un droit à la limite. L’avènement de la protection des données en Europe. PROGEDO. Consulté le 12 avril 2024, à l’adresse https://doi.org/10.58079/w1xb

Frédéric Gonthier

Professeur de science politique (Sciences Po Grenoble, Université Grenoble Alpes, Pacte-CNRS) et animateur du Département Opinion et Enquêtes Sociopolitiques de PROGEDO

Vous aimerez aussi...

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search