Protection de l’information Quelle évolution juridique internationale?

L’information est une ressource à valoriser et à protéger. Comment s’organise sa protection juridique en France et ailleurs ? Quels sont les enjeux majeurs de l’évolution de cette protection ?

L’information est une matière précieuse

Dans notre économie numérique, les termes d’information¹ et données² ont des significations différentes mais les deux appellations sont indifféremment utilisées, y compris dans les textes de loi, pour désigner cette matière précieuse.

Le développement du big data se caractérise³ par l’accélération de la vitesse de traitement, la reconnaissance de la valeur des données et l’augmentation de leur volume. Le phénomène des objets connectés, du canapé⁴ à la voiture, devrait décupler les données circulantes.

L’appropriation des données peut être physique ou intellectuelle. Sur le plan historique, le premier moyen de propriété intellectuelle date du 18^e siècle, quand plusieurs pays prirent des mesures visant à permettre aux auteurs de contrôler la publication de leurs écrits. Parmi les pays précurseurs, on compte ainsi la Norvège, le Danemark, l’Espagne et la France⁵. Les droits d’auteur se sont appliqués ensuite à toute forme de création artistique : peinture, théâtre, logiciels, etc.

Conjointement, le développement historique de certains droits humains s’articule autour des données : droit à l’information, liberté d’expression, respect de la vie privée, etc.

Même si la Cour de Cassation considère parfois que l’information peut être identifiée comme un bien⁶, l’analyse juridique de la donnée ne se résume pas uniquement à la propriété intellectuelle, mais intègre également les droits fondamentaux.

Les acteurs du marché de la donnée sont multiples : entreprises, individus (sujets, utilisateurs, consommateurs, etc.), collectivités publiques et naturellement les Etats, pour lesquels la maîtrise des données est enjeu de souveraineté.

L’usage et la protection des données apparaissent parmi les questions majeures de notre siècle.

Sur le plan géopolitique, il existe différentes approches juridiques, notamment le régime du droit continental dans l’Union Européenne ou celui dit de Common law pour les pays anglo-saxons. Le système continental favorise une conception personnaliste des données (priorité à la protection du consommateur et la vie privée) et le droit anglo-saxon porte une vision  économiste de marchandisation des données.

Les enjeux dépassent le strict cadre économique pour des questions de souveraineté nationale : gouvernance de l’internet, coopération avec les hébergeurs, préservation des secteurs industriels sensibles, secret des affaires, résilience des infrastructures vitales, etc.

Quelle évolution des modèles ?

Les développements technologiques, la concurrence en matière de contrôle des réseaux et l’accroissement de la menace de cybercriminalité font évoluer les règles juridiques nationales et internationales⁷.

Les 4 tendances majeures de protection des données, selon la doctrine, sont les suivantes :

1.    L’obligation croissante de sécurisation : outre l’intérêt des organisations à sécuriser leur système d’information, les législateurs européens et français contribuent au renforcement de la sécurité de l’information. Les nouvelles exigences en termes de protection, l'extension du pouvoir de l'État en matière de contrôle et de sanctions, et les obligations de notification d'incidents sont destinés à favoriser la sécurité. En France, ce principe de notification⁸ s’applique auprès d’autorités publiques (CNIL⁹, ANSSI¹⁰), voire auprès des personnes concernées¹¹. De plus, la directive sur le secret des affaires¹² et sa transposition en droit français par la loi du 30 juillet 2018¹³ harmonisent la protection des informations¹⁴ ayant une valeur économique et faisant l’objet de protection. D’autres propositions de règlements européens contraindront les organisations à plus de sécurité : le paquet cybersécurité¹⁵, le futur règlement e-privacy¹⁶, etc. ;

2.    La reconnaissance de la protection des données personnelles : au delà de la sécurité des données, les règles montrent une évolution volontariste au profit des droits des personnes. La loi pour une République numérique¹⁷ et l’évolution de la loi Informatique et Libertés du 20 juin 2018¹⁸, en application du Règlement¹⁹ européen de protection des données personnelles (RGPD), représentent des signaux forts. Le RGPD renforce les droits des personnes résidant au sein de l’Union Européenne, quel que soit le siège de l’entreprise traitant les informations, et le montant des sanctions peut s’élever jusqu’à 4 % du CA mondial d’un groupe ;

3.    L’évolution de la protection par les droits d’auteur : depuis les années 1990, le développement de la technologie numérique s'accompagne d’un mouvement de remise en question de la légitimité du droit d’auteur, du fait notamment de l’explosion du téléchargement illégal de contenus. La recherche d’un équilibre entre les revendications des internautes et les aspirations légitimes des auteurs et producteurs engendre aujourd’hui des formes de rémunération diversifiées (comme par exemple, sur Youtube la rémunération au nombre de vues) ;

4.    La confrontation des souverainetés numériques : le développement de la puissance économique de quelques acteurs du numérique, l’évolution de la cybercriminalité, l’arme des fuites de données²⁰ et la lutte pour le cyberespace dépassent les frontières. Les grandes transformations liées au numérique remettent en question certains équilibres internationaux.

Et demain, à qui profitera le clic ?

Cette évolution datacentrique bouleverse quelques organisations²¹ et crée de nouveaux défis. Comment permettre le développement du big data tout en évitant la monopolisation des données et l’atteinte à la vie privée ? Quels seront les modèles de gouvernance des données ?

L’Etat français a été l’un des premiers, en 2014²², à se doter d’un administrateur général des données, et en 2017, d’un ambassadeur pour le numérique²³. Nommé à ce poste le 24 octobre 2018, Henri Verdier participera aux négociations multilatérales impliquant internet, qu’il s’agisse de sa gouvernance, de la liberté d’expression, de la propagande terroriste, de la cybersécurité ou encore de la propriété intellectuelle. Ces échanges se feront avec les autres États et les grandes entreprises du numérique.

Dans les organismes publics et les entreprises, la fonction de CDO (chief data officer) se renforce pour exploiter la richesse des données. Et aux côtés des fonctions de RSSI (responsable de la sécurité des systèmes d’information) ou CISO (information security officer), d’autres missions se développent : data scientist, data minor, data protection officer, privacy officer, etc.

Le développement économique des activités datacentriques sera conditionné non seulement par la mise en valeur de la donnée mais également par la confiance des utilisateurs. Cette confiance semble conditionnée essentiellement par la sécurité des données et le respect de la vie privée.

____________________________

¹Elément de connaissance susceptible d’être représenté à l’aide de conventions, pour être conservé, traité ou communiqué (dictionnaire Larousse).
² Représentation conventionnelle d’une information en vue de son traitement (dictionnaire Larousse).
³  3V : volume, vitesse et variété des données.
⁴  Canapé connecté Marty imaginé par Havas Media Group en collaboration avec la créatrice Loève Saint- Ourens.
⁵ En France, en 1777, Beaumarchais fonde la première société d’auteurs.
⁶  C.Cass. crim., 20 mai 2015, n° 14-81.336.
⁷  Aux quatre vents du monde, Mireille Delmas-Marty, éd. Seuil, 2016.
⁸  Loi n°78-17 modifiée du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Loi n°2013-1168 de programmation militaire du 13 décembre 2013 ; directive 2016/1148 du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union.
⁹  Commission nationale de l’informatique et des libertés.
¹⁰  Agence nationale de sécurité des systèmes d’information.
¹¹  Articles 33 et 34 du Règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données  caractère personnel et à la libre circulation de ces données.
¹² Directive 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d'affaires) contre l'obtention, l'utilisation et la divulgation illicites.
¹³  Loi n°2018-670.
¹⁴  Le secret des affaires, Sabine Marcellin et Thibault du Manoir de Juaye, éd. LexisNexis, 2016.
¹⁵  Projet de règlement et recommandation pour un cadre européen de réponse aux crises cyber.
¹⁶  Proposition de règlement sur la vie privée et les communications électroniques.
¹⁷  Loi n°2016-1321 du 7 octobre 2016 pour une République numérique
¹⁸  Loi n° 2018-493 relative à la protection des données personnelles.
¹⁹  Règlement européen 2016/679 précité.
²⁰ Pierre Gastineau et Philippe Vasset, Arme de déstabilisation massive. Enquête sur le business des fuites de données, LGDJ, 2017.
²¹  A qui profite le clic ? Judith Rochfeld et Valérie-Laure Benabou, éd. Odile Jacob, 2015.
²² Décret n° 2014-1050 du 16 septembre 2014 instituant un administrateur général des données
²³ Novembre 2017.