La mémoire d’éléphant d’internet… Et le respect de la vie privée ?

The World Wide Web is watching you, semblerait-il. Vos données personnelles se retrouvent sur des sites où vous n’aimeriez pas qu’elles soient, votre comportement sur le net est suivi à la trace au moyen de cookies, et des publicités très ciblées (et très inopportunes) apparaissent pendant que vous surfez. La limite entre ce qui est autorisé et ce qui est interdit en matière de protection de la vie privée sur internet est sensible et ténue. Les publicitaires et les agences de communication ont aussi beaucoup de mal à la distinguer.
Le sujet n’a pas fini de faire parler : depuis qu’internet fait partie de notre quotidien (et pour les digital natives, il ne s’agit même pas d’un choix), nos données sont ramassées à la pelle. Il suffit de fouiller un petit peu pour trouver facilement des informations sur notre identité, ce que nous aimons faire et quand nous le faisons… Mais il se peut que l’on puisse également retrouver des informations que nous n’aimerions pas voir divulguées sur internet. C’était le cas de l’Espagnol Mario Costeja González qui avait porté plainte contre Google en 2010 pour violation de sa vie privée. Pourquoi ? Parce que le moteur de recherche géant montrait encore et toujours un article de journal datant de 1998 dans lequel on pouvait lire que ce monsieur avait alors dû vendre sa maison pour cause de difficultés financières. Une information désormais obsolète selon l’intéressé, qui a donc saisi le tribunal espagnol, qui s’est tourné à son tour vers la Cour de Justice de l’Union européenne.

« Le droit à l’oubli ne signifie pas que l’on peut faire effacer ce qu’on veut : des photos de gens soûls à une fête ne seront pas nécessairement supprimées. »

Suite à cela, la Cour de justice a pris un arrêté en mai 2014, reconnaissant « le droit à l’oubli » et précisant que les citoyens européens avaient bel et bien le droit de demander à des moteurs de recherche, tels que Google, d’effacer certains résultats de recherches les concernant. « Le droit à l’oubli existe depuis longtemps dans la législation sur la vie privée. Mais depuis l’arrêt de 2014, il est beaucoup plus clair, » expliquent Sean Van Ginderdeuren et Moana Colaneri, tous deux avocats auprès du bureau d’avocats Koan Lorenz. « En premier lieu, l’arrêt confirme que la législation européenne est bel et bien valable pour Google. Il fournit en effet des services à des citoyens européens, ce qui le soumet aux directives européennes sur le respect de la vie privée et ce qui l’oblige à examiner toute demande de suppression.  Deuxièmement, l’arrêt confirme que Google modifie ses données et que, en tant que responsable des données, il doit respecter certaines obligations. Un fait contesté par le géant de la recherche qui affirmait qu’il ne faisait que rediriger vers d’autres sites. »

Un règlement européen

Quant à savoir si Google est désormais obligé de donner suite à chaque demande de suppression, c’est une autre histoire. « Il y a bien sûr des conditions qui sont liées, » précisent les avocats. L’arrêt veut en effet que chaque demande de suppression soit soumise à une analyse au cas par cas. « Le droit à l’oubli ne signifie pas que l’on peut faire effacer ce qu’on veut : des photos de gens soûls à une fête ne seront pas nécessairement supprimées. De plus, le droit à l’oubli ne peut bien sûr pas être utilisé comme censure. Les droits fondamentaux, tels que celui de la liberté d’expression et le droit à l’information, restent de vigueur et ne peuvent pas être écartés sans raison légitime. » Une réflexion est donc nécessaire, mais vers quelle instance se tourner ? Cela n’est pas toujours clair pour le citoyen. « Si vous avez un problème lié à des données sur internet, le plus simple est de s’adresser au propriétaire du site où se trouvent les données. Vous vous adressez à Google dans les cas où il vous redirige vers d’autres sites. Si vous êtes confrontés à un refus et que vous n’êtes pas d’accord, vous pouvez toujours demander conseil à la Commission vie privée. Attention : vous ne pouvez pas imposer vous-même de sanctions. Ce que la Commission vie privée va faire, c’est examiner la situation et vous donner un avis. Si vous souhaitez toujours que des mesures soient prises, vous pouvez saisir les tribunaux. » Pour avoir une idée de la fréquence à laquelle il reçoit de telles demandes, Google a établit un rapport de transparence. On peut y lire que depuis mai 2014, dans notre pays, plus de 9.000 de ces demandes ont été introduites. Il y en a eu en moyenne 300.000 en Europe. « Ce rapport ne manque pas d’intérêt, mais il est malheureusement incomplet. Google ne donne pas certaines informations, telles que les raisons qui motivent ces demandes. S’agit-il de criminels qui veulent empêcher que leur passé ne remonte à la surface, ou bien s’agit-il de gens qui veulent faire effacer des photos de vacances gênantes ? » La prochaine étape sera celle du règlement européen. « À l’heure actuelle, nous avons encore une directive » détaillent Sean Van Ginderdeuren et Moana Colaneri. « Cela signifie qu’il existe une mosaïque de systèmes judiciaires différents qui traitent la protection de la vie privée de façons différentes. Certains pays y accordent plus d’importance que d’autres. Mais lorsque nous aurons un règlement, la législation sur la vie privée sera appliquée de la même façon en Europe et elle sera enfin harmonisée. »

Un peu trop loin

On serait même en droit de se demander comment on en est arrivé là, d’où vient cette agitation autour de la sensibilité de la vie privée et de la protection des données ? Mais si on s’y arrête un instant, on s’aperçoit que l’utilisation et le transfert de données va plus loin qu’on ne le pense. Pensez à toutes ces publicités sur mesure qui pullulent sur votre page Facebook. Les cookies permettent de suivre votre comportement sur internet – c’est ce qu’on appelle le profiling – et de déterminer qui vous êtes, souvent dans le but de mieux cibler les publicités auxquelles vous serez exposé à l’avenir. « Le plus problématique, c’est que des entreprises telles que Facebook ne disent pas toujours clairement ce qu’ils font de ces données. Une analyse des conditions générales et de la politique de confidentialité de Facebook – commanditée par la Commission vie privée – révèle que Facebook enfreint bien la loi européenne sur la vie privée. À cet égard, la Commission vie privée est claire : elle veut que Facebook respecte le droit européen, et donc le droit belge, et cela signifie davantage de transparence. » Les entreprises sortent donc de leurs limites. « C’est ainsi que Facebook a récemment acheté WhatsApp. Le problème c’est que des gens qui ne sont pas du tout sur Facebook se retrouvent quand même dans sa base de données, et leurs informations sont utilisées sans qu’ils en aient donné explicitement l’autorisation. Ce n’est évidemment pas ce que nous voulons. » À l’avenir, ce sujet devrait aussi être mieux régi par un règlement européen. En effet, les entreprises ont-elles seulement le droit d’utiliser nos données ? « Oui, mais uniquement à condition que l’utilisateur en ait donné l’autorisation et qu’il puisse lire à quels fins ses données peuvent être utilisées, » insistent les avocats de Koan Lorenz. Les internautes donnent leur autorisation souvent par un ‘opt-in’, c’est à dire en acceptant les conditions d’utilisation et de vente et la politique de confidentialité. « Dans le cas d’un achat en ligne, par exemple si vous achetez des chaussures sur Zalando, d’accord, mais souvent vous devez accepter un ‘opt-in’ juste pour pouvoir utiliser une appli ou consulter un site, et ce n’est pas exactement ce que l’on appelle un consentement libre. »

Une responsabilité partagée

Tout cela semble logique et pourtant les entreprises – tout comme les publicitaires et les agences de communication – ne savent pas toujours ce qu’elles ont le droit de faire ou non. « Elles constatent en effet souvent qu’elles ne savent pas toujours précisément jusqu’où elles peuvent aller. La législation ne suit pas non plus la technologie, il arrive donc qu’elles fassent quelque chose de technologique sans savoir si c’est autorisé ou non. Nous leur conseillons de consulter le site de la Commission vie privée. Pour une entreprise ce n’est peut-être pas toujours intéressant car on y trouve souvent les points de vue les plus stricts, car la loi est la loi, mais au moins vous savez où se trouve la limite. »

« Les entreprises ne savent pas toujours jusqu’où elles peuvent aller.»

D’autre part, on pourrait se demander comment il se fait que nos données soient si accessibles. Est-ce les entreprises qui en font mauvais usage ou bien partageons-nous trop d’informations sur les réseaux sociaux ? « La responsabilité est bien sûr partagée. Certaines personnes choisissent en effet de partager absolument tout sur Facebook, mais les entreprises doivent également traiter ces données avec respect. Il y a bien sûr beaucoup d’entreprises qui gardent vos données dans le seul but de vous proposer un meilleur service sur leur site, sans nécessairement essayer de savoir que vous vous appelez Pierre Dupont et que vous aimez bien telle ou telle chose, mais ce n’est pas toujours le cas. Ce que l’avenir nous réserve sera le fruit d’une négociation entre, d’une part, les intérêts des citoyens et, d’autre part, ceux de la vente en ligne et du e-commerce. »
BDMA et vie privée

Nous avons demandé à Ivan Vandermeersch, secrétaire général de la BDMA (Belgian Direct Marketing Association), comment ses membres doivent aborder la protection de la vie privée.
« Le marketing direct, c’est un marketing respectueux. Nous pensons qu’il n’est possible de construire une relation durable que sur base de la confiance, c’est pourquoi BDMA soumet ses membres à un code déontologique obligatoire. Nous demandons aux entreprises d’être parfaitement transparentes et d’éviter d’être ambigües dans leur communication, tout comme dans leur utilisation des données des utilisateurs. Mais l’utilisateur a également une part de responsabilité : il doit faire l’effort de lire les informations. Nous l’aidons en l’invitant à consulter le site www.mijn-privacy-en-reclame.be/fr . En fait, nous devons nous rendre compte que nous avons affaire à une nouvelle société : la société numérique. La législation peine à suivre le rythme effréné de la technologie. Les inventions ne sont plus développées en plusieurs années, mais en quelques mois, voire en quelques jours. La rapidité est devenue la norme. C’est pour cela que la loi devrait contenir quelques bons principes de base qui peuvent être complétés par une autoréglementation souple, pour comprendre au mieux les aspects techniques en constante évolution. De plus, des parties tierces telles que Facebook, Twitter, LinkedIn, Google, en tant que plateformes internet, récoltent des montagnes de données mais, par respect de l’utilisateur, n’en utilisent pas plus que nécessaire. Il s’agit donc de trouver le bon équilibre entre autorisation et interdiction, entre consommateur et entreprise. Les entreprises ont par ailleurs tout intérêt à respecter la loi, car c’est ainsi qu’elles développent leur crédibilité. Un traitement respectueux des données du client est un investissement dans l’avenir. Et plus les relations sont transparentes, plus elles sont saines. Après tout, it takes two to tango. »