• 1 Loi n° 2018-166 du 8 mars 2018 relative à l'orientation et à la réussite des étudiants, JORF n° 005 (...)
• 2 Loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure, (...)
• 3 Voir X. Cabannes et C. Lequesne, Intelligence artificielle et finances publiques (fiscalités, finan (...)
• 4 Loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant div (...)
• 5 J.-M. Mis, Pour un usage responsable et acceptable par la société des technologies de sécurité, rap (...)
• 6 B. Bayard, La privacy comme Business Model, Lettre d’information de la Chaire Valeurs et politiques (...)
• 7 V. par exemple Célia Zolynski et Nicolas Anciaux, « Empowerment et Big Data sur données personnelle (...)

2En effet, de la numérisation des procédures publiques, Parcoursup1 par exemple, aux systèmes de surveillance automatisés utilisés de façon pérenne2, comme la détection des infractions fiscales par une surveillance des réseaux sociaux3, ou à titre « expérimentale »4, un creusement s’effectue entre les attentes du grand public et des décideurs. Ce décalage de vision était jadis principalement justifié par l’inexpertise5 des citoyens vis-à-vis à des questions technologiques. Mais ce prétendu creuset se réduit et aujourd’hui, la collaboration des citoyens à la création de nouveaux dispositifs technologiques est souhaitable à bien des égards : outre son aspect démocratique, replacer l’utilisateur final au centre de la technologie invite celui-ci à davantage accorder sa confiance au dispositif développé et aux traitements de données personnelles occasionnés. Au-delà de l’acquisition de cette fidélité, les éléments communicationnels autour de cette collaboration permettent de se démarquer de(s) (éventuels) concurrents6. Enfin, cette collaboration renoue avec l’esprit du RGPD d’« encapacitation » de la personne concernée7 allant au-delà de la seule prise en compte de son consentement ou de l’exercice de ses droits.

• 8 Art. 11 du Traité sur le fonctionnement de l’Union européenne, voir égal. Art. 9 Règlement (CE) n°  (...)
• 9 Ci-après « CEDH ».

3D’ailleurs, la collaboration du grand public à l’installation d’une innovation n’est pas inédite. Le droit de l’environnement prévoit de tels mécanismes8. En ce sens, la Cour européenne des Droits de l’Homme9 se prononce en faveur d’un droit à l’information préalable pour faciliter la consultation, voire la contestation, des résidents mitoyens à une installation suspectée d’être dangereuse pour l’environnement.

• 10 Sur la différence entre l’information quérable et l’information portable, voir Benoit Tabaka, « De (...)
• 11 C.S. Canada, Ressources Strateco inc. c. Procureure générale du Québec, 2017 CanLII 2679 (QC CS).
• 12 Voir Art. 32-1, V° du Code des postes et des communications électroniques prévoyant une consultatio (...)

4Pour autant, si des obligations d’information ou de consultation du public existent déjà en droit de l’environnement, « information », « consultation » et « collaboration » ne sont pas synonymes. En effet, ils correspondent à des niveaux distincts d’implication du public. L’information est le niveau le plus faible, il signifie que le responsable de traitement ne fait que fournir des renseignements sur le projet de traitement de données personnelles prévu. En d’autres termes, le responsable de traitement n'est tenu qu’à une obligation d’information portable10. La consultation suppose une implication supérieure. Elle signifie que le responsable de traitement interroge une communauté de personnes concernées sur le bien-fondé du traitement envisagé. En aucun cas, le responsable de traitement n’est lié aux réponses fournies par le public. Quant à la collaboration, c’est le stade le plus important d’implication du public. Elle signifie que le public est directement associé à la définition préalable du projet. Ceci implique donc une information détaillée et une prise en compte des réponses fournies par le public. L’exigence de collaboration existe, par exemple, en droit canadien au travers de la notion d’acceptabilité sociale. L’arrêt Ressources Strateco inc.11 rendu par la Cour Suprême du Canada invite « les parties(à) construi(re) ensemble les conditions minimales à mettre en place pour qu’un projet, programme ou politique s’intègre harmonieusement, et à un moment donné, dans son milieu naturel et humain ». Mais cette obligation de collaboration active canadienne diffère totalement de la consultation publique française institutionnalisée par les articles L131-1 et s. du CRPA, ne se contentant que de définir les seules conditions de prise en compte du public à l’élaboration d’un projet ou d’un acte porté(e) par l’administration publique ou par des acteurs privés sur l’espace public12. La principale différence se situe sur la valeur normative à accorder à l’avis exprimé par le citoyen : par hypothèse, un avis n’est pas contraignant.

• 13 CEDH, « Environnement et convention européenne des droits de l’homme », Fiche thématique environnem (...)
• 14 Ci-après « CEPD », organisme européen regroupant toutes les autorités nationales de contrôle des Et (...)
• 15 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protectio (...)

5Parce qu’il s’agit d’un domaine qui, à l’instar du droit de l’environnement13, concerne directement le droit à la vie privée, la consécration d’obligations d’information, de consultation et même de collaboration du public à la création de nouveaux dispositifs technologiques, est souhaitable en droit du numérique. Pourtant, de telles obligations peinent à se développer. Bien que poussé par la doctrine du Comité européen pour la protection des données14, le Règlement Général pour la Protection des Données15 ne mentionne cette collaboration que dans son considérant 99. Cette mention explicite offre néanmoins une assise juridique pour essayer de développer une collaboration entre un responsable de traitement de données personnelles et un public cible.

• 16 Télécom Paris de l’Institut Polytechnique de Paris.
• 17 Les sociétés privées sont la SNCF, Nokia et Orange.
• 18 Pour celles-ci nous renvoyons le lecteur à nos écrits précédents et en cours de publication.
• 19 La Sol.DRC CONNECT réalise des opérations intragroupes en fournissant des solutions de services lié (...)
• 20 Les promesses et menaces effectuées par ce protocole de télécommunication génèrent des controverses (...)
• 21 Sur la protection des métadonnées comme étant des données personnelles CJUE, 21 décembre 2016, C‑20 (...)
• 22 Les différentes études portant relative à l’impact de la 5G sur la protection des données personnel (...)

7Ce projet entend mettre en place une collaboration entre le département SES d’une Ecole16 et des acteurs privés17 afin d’effectuer des expérimentations. Le projet Living Lab 5G (ci-après « LL5G ») constitue un laboratoire privilégié tant pour l’observation des innovations industrielles que pour éprouver la capacité d’évolution des stratégies juridiques intégrant l’usager.(ici : la 5G dans la gare de Rennes). Ce projet se situe dans un contexte de l’ouverture à la concurrence du secteur ferroviaire et dans le cadre du « Plan de relance » porté par la Banque Publique d’investissement (BPI) au lendemain de la crise sanitaire. La Sol.DRC CONNECT de la Direction du Numérique de la SNCF pilote, en collaboration avec Nokia et Orange, ce projet de recherche industriel18 répondant à une volonté de valorisation servicielle ferroviaire. Il poursuit trois objectifs distincts. Le premier objectif est le développement de services facturables liés à la 5G19. La seconde ambition du projet LL5G est l’institution d’une plateforme d’expérimentation, un « Living Lab » pour des applications autour de la 5G au travers de l’élaboration d’un écosystème local reposant, théoriquement, sur des accords de partenariats avec des PME et des centres de formation académique. Le troisième objectif poursuivi par le projet LL5G est d’aboutir à une acceptabilité sociale de la 5G, cette technologie étant particulièrement contestée20 notamment, car elle optimiserait la collecte des données personnelles21 à l’insu de ses utilisateurs22.

• 23 N. Cuzacq, « Quelle place peut-on octroyer aux parties prenantes dans le puzzle de la gouvernance d (...)
• 24 V. Infra II.A.2. sur les problématiques liées à la compréhension d’icônes standardisées.
• 25 R. E. Freeman, J. McVea, « A Stakeholder Approach to Strategic Management », Cambridge, 2001, pp. 2 (...)
• 26 Dans ce sens v. N. Cuzacq, « Quelle place peut-on octroyer aux parties prenantes dans le puzzle de (...)
• 27 V. CEDH sur l’article 8 en matière environnementale, CEDH, Brânduşe, 7 avril 2009, req. 6586/03.

10L’exigence de consultation est difficile à mettre en œuvre en raison de l’absence de consensus autour des parties devant être consultées. En effet, la consultation des « parties prenantes » et/ou des « parties intéressées » est perçue comme une mesure alternative collective à une consultation individuelle de chaque prospect. Même si certains auteurs soulignent un risque d’instrumentalisation communicationnelle23, les bénéfices de cette consultation sont consensuellement reconnus, car elle notamment garantirait une « communication contextuelle », et donc pertinente24, des informations reçues dans le cadre du projet en cause. Pour autant, le cadre de cette consultation ne fait pas l’objet d’une définition doctrinale uniforme. En science de la gestion25, les « parties prenantes » correspond à une notion intégrant « les parties intéressées » dans son spectre. Serait donc partie prenante, toute personne (in)directement impliquée dans la distribution d’un produit, c’est-à-dire tant le conseil d’administration d’une entreprise ou ses salariés, que les clients ou l’Etat. En droit de l’environnement, la définition doctrinale est moins consensuelle : là où la majorité souscrit à la définition des chercheurs gestionnaires26, une minorité qualifiée renvoie à ceux directement intéressés, voire impactés27, par un événement ayant un impact écologique.

• 28 Décret relatif au comité consultatif des parties prenantes du réseau ferroviaire et des gares insti (...)
• 29 9°) du décret n° 2019-1385.

11Dans le cadre du projet LL5G, la consultation des parties prenantes pouvait être envisagée sur le fondement de l’article L2111-15-1 du Code des transports. En effet, celui-ci dispose qu’est « institué au sein de la société SNCF Réseau un comité consultatif des parties prenantes du réseau ferroviaire et des gares » consulté par le conseil d'administration de la société SNCF Réseau dans des conditions prévues par décret, et au sein duquel peuvent siéger des « représentants des usagers des services de transport ». Cependant, le décret n° 2019-1385 du 17 décembre 201928 limite la représentativité des usagers aux seuls des représentants d’associations en environnement, d’usagers à mobilité réduite et « d'autres parties prenantes (…) qualifiées dans le domaine des mobilités, de la transition écologique et solidaire ou de l'aménagement du territoire »29. L’exclusion de la majorité des utilisateurs finaux neutralise l’intérêt recherché par le LL5G d’inclure des échantillons d’usagers représentatifs.

• 30 Avant le RGPD, les lignes directrices sur les Data Protection Officers du 13/12/2016, les Lignes di (...)
• 31 Voir infra B.
• 32 Art. 80 du RGPD permettant la création d’une action collective pour réparer un préjudice lié aux do (...)
• 33 F. Sudre (dir.) Droit européen et international des droits de l’homme, PUF, 14^e éd., pp. 1013, spéc (...)

12Dans ce sens, les lignes directrices du Comité européen de protection des données n’imposent guère plus la consultation d’un échantillon représentatif d’usagers30. En effet, l’organe européen distingue les « parties prenantes », correspondant à tous les acteurs de l’écosystème dans lequel s’inscrit le traitement de données personnelles, des « parties intéressées », groupements de personnes physiques sollicitées pour recueillir leur avis préalablement au déploiement des traitements ou lors d’un processus de standardisation31. Néanmoins, ces « parties intéressées » ne sont que des associations ou des collectifs de personnes, et non des individus dont les profils diversifiés permettraient de constituer un panel représentatif d’usagers. Bien que cohérente avec l’esprit du RGPD32, cette vision collectiviste questionne non seulement la vision personnaliste des droits humains33, mais neutralise surtout l’intérêt d’une consultation, que ce soit de manière générale, et dans le cas du projet LL5G en particulier.

• 34 CEPD, Lignes directrices 1/2019 relatives aux codes de conduite et aux organismes de suivi au titre (...)
• 35 M. Dulong de Rosnay, la Mise à disposition des œuvres et des informations sur les réseaux, PARIS II (...)

15Créer un Code de bonnes conduites pour les applications du LL5G constituait initialement une expérimentation permettant à la SNCF d’innover en matière de données personnelles. En effet, le COC permettait d’élaborer une politique de valorisation de ces données cohérente tout en consolidant une « politique maison » contractuelle en matière de données personnelles. Plus encore, l’article 40 du RGPD et les lignes directrices 1/2019 du CEPD34 insistent sur la nécessité concertation collective préalable à la rédaction d’un COC : « Un projet de code doit contenir des informations sur l'étendue de la consultation effectuée. Le considérant 99 du GDPR indique que lors de l'élaboration d'un code (ou de sa modification/extension), une consultation doit avoir lieu avec les parties prenantes concernées, y compris les personnes concernées, lorsque cela est possible avec les parties prenantes concernées, y compris les personnes concernées, dans la mesure du possible. À ce titre, les propriétaires de codes doivent confirmer et démontrer qu'un niveau approprié de consultation a eu lieu avec les parties prenantes concernées lors de la soumission du code pour approbation ». Cet outil correspond, en pratique, à une réponse concertée et pertinente d’un secteur à des problèmes qui y sont signalés. Cet instrument de Soft Law défend une approche écosystémique justifiant la participation des parties intéressées. Néanmoins, l’effectivité de la participation de la société civile à l’élaboration de normes privées est traditionnellement insatisfaisante35.

• 36 Lignes directrices AIPD.
• 37 E. de Marco, INtroduction of the data protection reFORM to the judicial system (Inform), Project eu (...)
• 38 C. Levallois-Barth, J., AIPD : le cas des voitures connectées, note supra.
• 39 Voir CNIL, AIPD : Publication d’une liste de traitements pour lesquels une analyse est requise , 6 (...)

17Réalisée antérieurement à la mise en œuvre des traitements, cette procédure interne codifiée par l’article 35 du RGPD impose au responsable de traitement d’identifier et d’atténuer les hauts risques pour les données personnelles générés par lesdits traitements36. La doctrine est divisée sur la définition même des risques. Là où un premier mouvement estime que l’ensemble des droits et libertés (in)directement affectés par le traitement doit être pris en compte37, un second mouvement invite à se concentrer sur l’unique impact direct sur les données personnelles38. Cette indétermination des risques à considérer offre au responsable de traitement un pouvoir discrétionnaire quant à l’étendue de la réalisation de l’AIPD. Cette discrétion s’étend tant à l’identification des risques et à l’appréciation de leur gravité et de leur probabilité qu’à l’adéquation des mesures d’atténuation correspondantes. Ainsi, en dehors des exceptions textuelles justifiant la communication de l’AIPD à l’autorité nationale de contrôle39, le responsable de traitement n’est guère tenu par une obligation de communication institutionnelle qu’en cas de risques résiduels.

• 40 Au sens définis par l’article 4§8 du RGPD, c’est-à-dire l’entreprise apportant les moyens technique (...)
• 41 V. conférence C3S-CVPI, 18 nov. 2021, disponible https://www.youtube.com/watch ?v =N1YFGHX_Lvo, (de (...)
• 42 T.A. Paris, 2 novembre 2023, Association Ouvre-boîte, n° 2120895.

18Néanmoins, les lignes directrices du CEPD décrivent la procédure pour la réalisation d’une AIPD. Elles obligent le responsable de traitement à contacter, lors de l’instruction de l’AIPD, les parties prenantes - entendues comme les fournisseurs de technologies et les éventuels sous-traitants40 - puis lors la clôture de cette instruction, les parties intéressées - c’est-à-dire le délégué à la protection des données de l’organisation et « les personnes concernées ou de leurs représentants ». Officieusement, la CNIL fait souvent grief aux responsables de traitement de ne pas suffisamment consulter le grand public dans cette procédure tout en reconnaissant qu’une AIPD est susceptible d’être couverte par le secret des affaires41. La publicité de cette AIPD divulguerait, selon eux, les risques parmi lesquelles les différentes failles de sécurité informatique créant ainsi des vulnérabilités techniques. Cette dernière raison a d’ailleurs été admise par le juge administratif pour refuser la communication du code source de la plateforme Parcoursup42. Cet arrêt légitime ainsi l’argumentation de certains participants du LL5G de refus de communiquer des spécifications techniques nécessaires à la réalisation d’une AIPD. De ce fait, la participation du public a été neutralisée dans le projet LL5G.

• 43 Voir par exemple, en droit étasunien Fair Information Practice (1973), en droit européen Article 8 (...)
• 44 M. Fabre-Magnan, L’institution de la liberté, Paris, PUF, 2018, p. 350.
• 45 OCDE, Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data du 23 S (...)
• 46 Directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l'égard d (...)
• 47 CJUE, Schrems c. Data Protection Commissioner, 6 octobre 2015, C 362/14 relative à l’espionnage sys (...)
• 48 Groupe de travail « Article 29 », « Lignes directrices sur la transparence », 2018, WP 260, (ci-apr (...)
• 49 CNIL, Délib. SAN – 2019-001 du 21 janvier 2019 qui ouvre cette voie.
• 50 Voir par exemple C.C., Déc. 2021-834 DC, 20 janvier 2022, Loi relative à la responsabilité pénale e (...)

21Le RGPD accorde à l’information préalable un rôle central car elle est la condition première de l’encapacitation du public. Ce principe cardinal du droit des données personnelles43présuppose une information relative aux traitements des données personnelles fournie préalablement aux personnes concernées. En d’autres termes, cette information doit éclairer sur les raisons de la collecte, la nature des données collectées, le moyen utilisé, et la durée. Cette communication doit surtout transmettre à la personne concernée les moyens de contester ou limiter cette collecte par l’exercice de ses droits. L’information préalable est alors considérée comme une étape préliminaire à l’expression d’un choix éclairé nécessaire à tout consentement44 et à l’atteinte qui l’accompagne, à savoir en l’espèce l’immixtion dans la vie privée des usagers. Importé en droit européen45 par la directive 95/4646, ce ne sera seulement qu’à partir de l’affaire Schrems de 201547 que cette obligation sera consacrée pour garantir l’exercice des droits aux personnes concernées. L’entrée en vigueur du RGPD consacre cette obligation d’information préalable en requérant sa clarté, sa concision et son adaptation au public visé48. Elle fait également l’objet d’une riche jurisprudence dans des décisions rendues à l’encontre de responsables de traitement de droit privées49 et publics50.

• 51 Portant respectivement sur la collecte directe et indirecte des données personnelles
• 52 CE 19 juin 2020, N° 434684, qui annule les lignes directrices de la CNIL en les considérant comme d (...)
• 53 CJUE, 1 octobre 2019, C 673/17, Planet49 GmbH.
• 54 Cour de cassation Comm

22Mais, les articles 13 et 14 du RGPD51 ne mentionnent que le contenu de l’information et le moment de production de l’information déléguant sa formalisation à l’arbitraire du responsable de traitement52. Concernant le formalisme, le responsable de traitement est seulement tenu de fournir une information limpide sur plusieurs niveaux d’informations, le premier résumant les suivants. Notons toutefois l’indépendance de cette obligation d’information générale face au régime spécial institué par l’article 7 du RGPD relatif au consentement53. En d’autres termes, l’obligation d’information préalable instituée par les articles 13 et 14 ne se limite pas au seul consentement mais, au contraire, elle s’étend à toute collecte de données personnelles54.

• 55 E. Netter, « La transparence en droit européen du numérique », RDA, 2023, p. 103.
• 56 M. von Grafenstein, T. Jakobi, G. Stevens, « Effective data protection by design through interdisci (...)
• 57 Art. 5 §1(a) du RGPD.
• 58 Sur la question de la valeur « contractuelle » des notices d’information V. en droit étasunien, T. (...)
• 59 V. article 4 du Décret n° 2021-543 du 30 avril 2021 pris en application de l'article 113 de la loi (...)
• 60 Com., 25 juin 2013, 12-17.037.
• 61 V. sur cette question voir entre autres, A. Brahmi, « La reconnaissance de la preuve électronique a (...)
• 62 E. Netter, « La transparence en droit européen du numérique », spéc., p. 103.

23Cet objectif de « clarté et de visibilité » affiché par le RGPD soutient l’encapacitation de la personne concernée par le renforcement de la transparence du cycle de vie de ses données personnelles au travers de l’exercice de ses droits55 pour rééquilibrer l’asymétrie d’informations56. Ainsi, cette volonté d’accroître le contrôle de la personne concernée par une information « loyale »57 et par l’offre de moyens d’action associée, se manifeste principalement au travers du formalisme de la production desdites informations, c’est-à-dire concrètement par une information liant le responsable de traitement à son égard. Cette obligation de fourniture d’informations doit donc être interprétée comme un engagement unilatéral du responsable de traitement d’utiliser ces données dans les conditions communiquées58. De surcroît, sa forme écrite, par principe59, conditionne la licéité de la collecte et du traitement60 qualifiant cette obligation légale d’ad validitatem61. Mais le RGPD ne prévoit la mise en œuvre de cette exécution que pour les environnements numériques et non analogiques. Là où l’obligation d’information est aisée via une interface électronique, son exécution dans la réalité physique62 se confronte à des problématiques inédites.

• 63 C. Levallois-Barth, J. Keller, Analyse d'impact relative à la Protection des Données : le cas des v (...)
• 64 Article 13 de la proposition de règlement établissant des règles harmonisées concernant l’intellige (...)
• 65 ACPR, Gouvernance des algorithmes d’intelligence artificielle dans le secteur financier, livre blan (...)
• 66 Règlement (UE) 2022/2065, 19 octobre 2022 relatif à un marché unique des services numériques et mod (...)
• 67 Considérant 45 du Règlement 2022/2065.
• 68 Gloria González Fuster, « How Uninformed is the Average Data Subject ? A Quest for Benchmarks in EU (...)

24Cet objectif s’inscrit dans un contexte législatif numérique européen plus global. En effet, les industriels doivent s’assurer de l’accessibilité de l’information par les destinataires finaux devant apprécier l’impact de ces outils intrusifs63 sur leurs droits fondamentaux. Ainsi, cette question de l’encapacitation des usages du numérique se réactualise au fil des différents textes européens : la proposition de Règlement sur l’Intelligence artificielle prévoit, par exemple, une explicabilité des algorithmes64 devant être adaptée au destinataire final65 et le Digital Service Act66 contraint les fournisseurs de service en ligne à une meilleure explication des effets de leurs conditions générales aux consommateurs67. Mais contrairement au droit des données personnelles, ces textes s’apparentent au droit de la consommation jouissant d’un standard du consommateur type68. L’absence de la consécration d’un tel référentiel par le RGPD contraint les responsables de traitement à déterminer seuls qui sont les parties intéressées pertinentes dans le cadre d’instruments de gouvernance.

• 69 M. von Grafenstein, T. Jakobi, G.r Stevens, « Effective data protection by design through interdisc (...)
• 70 C Brunschiwg, « Multisensory law and therapeutic jurisprudence: how family mediators can better com (...)
• 71 E. Netter, « La transparence en droit européen du numérique », réf. supra.
• 72 A. Acquisti, A. Friedman, R. Telang, « Is there a cost to privacy breaches? », Twenty Seventh Inter (...)
• 73 Daniel Solove, « Privacy self-management and the consent dilemma », Harvard Law Review, vol. 126, N (...)
• 74 A. Rossi, M. Palimirani , « DAPIS: an ontology based data protection icon set », In G. Peruginelli (...)
• 75 CNIL, Délib. 2023-027 du 16 mars 2023 Réf. Supra, qui invite à la création de « dispositifs physiqu (...)
• 76 C.C., 2021-834 DC du 20 janvier 2022, Réf. Supra « une information générale du public sur l'emploi (...)
• 77 H. Habib, et al. , « Toggles, dollar signs and triangles: how to (in)effectively convey privacy cho (...)
• 78 P. Vaillant, E. Bordon, J.-P. Sautot, « La tête de mort est gaie et M. beurk est cool : faut il pou (...)

27L’article 12§7 du RGPD prévoit que les « informations requises par les articles 13 et 14 peuvent être fournies accompagnées d'icônes normalisées ». Les icônes relatives aux informations sont représentées au premier niveau d’information préannonçant donc les stipulations contractuelles. Leur fonction est donc de faciliter la compréhension des personnes concernées, en l’espèce les usagers de la gare de Rennes. Historiquement, les vitraux dans les cathédrales facilitaient alors la communication des valeurs catholiques avec un public néophyte et souvent illettré69. Plus récemment, il a été constaté que les représentations graphiques permettent d’éviter la critique de la « verbocentricité » des politiques de données personnelles70, c’est-à-dire l’exposition à de longues notices sur la vie privée71 suscitant la fatigue72 ou la lassitude du lecteur73. Les icônes faciliteraient la compréhension des enjeux relatifs à la vie privée74 tout en clarifiant la communication du responsable de traitement. Cette vision n’est pas contradictoire avec le droit positif comme l’illustrent les dispositions de l’article 1365 du Code civil relatif à l’écrit juridique défini comme « une suite de lettres, de caractères, de chiffres ou de tous autres signes ou symboles dotés d'une signification intelligible, quels que soient leur support et leurs modalités de transmission ». Ainsi, l’écrit juridique est valide malgré l’emploi de caractères alternatifs à l’alphabet latin. L’alphabet latin peut être substitué par des icônes, et ce, a fortiori, dans les lieux de collectes de données personnelles se situant dans la réalité physique, c’est-à-dire l’espace public. Néanmoins, les icônes ne sont pas le seul moyen. La jurisprudence récente invite le responsable de traitement à innover sur le formalisme de cette information par « tout moyen approprié », en allant du marquage au sol75 à des illustrations sur les murs76. Mais les sciences juridiques77 et cognitives78 conditionnent le recours de cette signalétique à la compréhension du public, c’est-à-dire son accessibilité, culturelle, invitant donc l’équipe de recherches du projet LL5G à impliquer le public dans sa réalisation.

• 79 CEPD, « Lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispo (...)
• 80 Conseil Constitutionnel, 20 janvier 2022, 2021-834 DC, Loi relative à la responsabilité pénale et à (...)
• 81 Lignes directrices Vidéos , spéc. § 113.

30-Tout d’abord, l’icône doit être visible79 ou audible80 en se situant, par exemple, au niveau des yeux pour avertir la personne concernée de son entrée dans une zone de collecte81. Comme nous l’avons vu, cet avertissement peut être effectué sur le sol ou à même l’objet collecteur de données.

• 82 CEPD, « Lignes directrices 6/2020 relatives à l’interaction entre la deuxième directive sur les ser (...)
• 83 Art 12§7 RGPD, égal. CEPD Lignes directrices Vidéos , §112
• 84 CEPD, « Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to (...)

32-L’icône doit présenter clairement et de façon concise82 le traitement83 pour éviter que le destinataire soit submergé d’informations84 ;

• 85 CEPD, « Lignes directrices 6/2020 relatives à l’interaction entre la deuxième directive sur les ser (...)
• 86 Lignes directrices Dark Pattern , §.66, § 43 
• 87 Lignes directrices sur la transparence, note supra, §.10.

33-L’icône doit être « neutre »85, c’est-à-dire inexpressive sur le plan coloriel86 pour ne susciter aucun type sentiment à son lecteur lui laissant le soin de déterminer l’étendue et les conséquences du traitement de données personnelles87 ;

• 88 Lignes directrices Assistants vocaux , 2021, spéc. §.47.
• 89 Lignes directrices DPbD , spéc. §.66.
• 90 C’est-à-dire les publics âgés, enfants, déficients cognitifs, ou pour celles ayant des difficultés (...)
• 91 Lignes directrices sur la transparence, note supra,spéc. §.33.
• 92 Lignes directrices DPbD , spéc. §.66.
• 93 Lignes directrices Dark Pattern , §.61.

34-Les icônes doivent être aisément accessible88 pour la personne concernée89, a fortiori celles associées à l’exercice de ses droits. Cette accessibilité doit être privilégiée par voie orale pour les personnes ayant une difficulté à comprendre l’information90. De plus, la condition d’accessibilité se manifeste par une démarche active de fournir l’information ou sa localisation par des moyens alternatifs91. Pour résumer, la production de l’information doit être contextuelle92 en étant fournie au moment pertinent sous la forme la plus appropriée93.

• 94 H. Tourneux, « La perception des pictogrammes phytosanitaires par les paysans du Nord-Cameroun », C (...)

36Les lignes directrices du CEPD posent de nombreuses conditions pour la réalisation d’une icône utilisée dans un contexte physique. Parmi ces conditions se trouve celle dite de l’intelligibilité imposant à ce qu’un membre moyen du public visé puisse l’interpréter. Le CEPD impose donc au responsable de traitement à rencontrer des publics concernés pour développer un standard de la personne concernée afin de concevoir adéquatement les icônes. En d’autres termes, la représentation graphique doit être adaptée à la compréhension des publics visés pour éviter les contresens. Par exemple, l’incompréhension des agriculteurs camerounais face à la signalétique définie par le Fonds pour l’alimentation et l’agriculture figurant sur les semences paysannes a entraîné de nombreux accidents94.

• 95 La recherche de P. Cage Kelley et al., « Standardizing Privacy Notices : An Online Study of the Nut (...)
• 96 A.-M. Ortloff, M. Windl, V. Schwind, N. Henze, « Implementation and in situ assessment of contextua (...)
• 97 A. Rossi, M. Palimirani, « DAPIS: an ontology based data protection icon set », In G. Peruginelli (...)
• 98 P. C. Kelley, et al., « Standardizing privacy notices: an online study of the nutrition label appro (...)
• 99 A. Rossi, M. Palimirani, note supra ; M. Von Grafenstein et al. , « Privacy Icons as a Component of (...)
• 100 Le panel constitué par P. Cage Kelley, et al., « Standardizing privacy notices : an online study of (...)
• 101 V. Peugeot, C. Mabi et B. Chevallier, « L’innovation contributive renforce-t-elle le pouvoir citoye (...)

37Les recherches antérieures sur les privacy icons laissent relativement perplexe, puisque hormis une poignée d’auteurs jouissants de panels réellement représentatifs95, les autres études ne portaient que sur des échantillons peu nombreux96 ou ne ciblant que des catégories socio-professionnelles spécifiques97. Les méthodes de consultation publique sont tout aussi problématiques puisqu’elles se focalisent par la voie de sondages électroniques98 ou par celle d’ateliers de Design au public limité99 et/ou à la représentativité problématique100. Et ce, d’autant que les études en sociologie soulignent que les consultations populaires reflètent surtout les prises de parole de personnes diplômées occultant celles des autres participants101. En d’autres termes, les résultats de la doctrine antérieure sont généralement biaisés.

• 102 Les résultats du sondage seront bientôt mis en ligne.
• 103 L’une des contraintes administratives publiques étant qu’une indemnisation pécuniaire risquait d’ex (...)

38Pour répondre à cette problématique, le projet LL5G a réalisé en 2022 un sondage médiamétrie comprenant 2076 sondés102. Cette étude quantitative balise les problématiques approfondies dans l’étude qualitative constituée de débats ayant lieu à Rennes. Pour cela, des usagers de la gare SNCF sont sollicités pour trouver des participants de différents milieux sociaux, ayant des tranches d’âges et des parcours scolaires différents. Ceux-ci seront de plus indemnisés à hauteur de 180 € en bons cadeaux103 pour trois d’heures de débats. Cette « importante » indemnisation incite tout type de public à participer tout en garantissant une égalité entre les participants.

• 104 V. A. Rossi, M. Palimirani, « DAPIS : an ontology based data protection icon set », note supra qui (...)
• 105 V. par exemple le Platform for Privacy Preferences sous l’égide du W3C, L. Cranor et al., « P3P Dep (...)

39De ces conditions découle un besoin opérationnel traduit par la création d’une ontologie, c’est-à-dire un vocabulaire commun. L’ontologie est l’association d’une icône à sa correspondance sémantique, c’est-à-dire à une notion liée au droit des données personnelles104. Or cette association entre une icône et un texte n’est pas nouvelle comme en témoignent de nombreuses tentatives abandonnées105. Plus pragmatiquement, cette ontologie doit être associée avec les conditions d’accessibilité et d’intelligibilité. La personne concernée doit pouvoir comprendre de façon univoque la signification des icônes.

• 106 M. Simon, « Contre Apple, Google dégaine son Android Privacy Sandbox », Le monde informatique, 17 f (...)

40Cette facilité de compréhension est un enjeu pour les industriels étasuniens développant des services « privacy-friendly »106. Ainsi, Play Store de Google est une plateforme de mise à disposition d’applications qui impose l’affichage de la politique de données personnelles aux développeurs à même la page de la plateforme au travers d’icônes standardisées. Cette ontologie, réalisée unilatéralement par Google, limite la marge de manœuvre du responsable de traitement pour l’affichage des traitements. En effet, la finalité des données personnelles collectées par le responsable de traitement s’avère souvent imprécise du fait de la classification imposée par l’acteur dominant qu’est Google. Cette stratégie permet donc à Google de donner l’apparence de respecter les exigences d’informations requise par le RGPD. Seuls les développeurs d’applications sont alors juridiquement responsables pour le défaut d’information pour les traitements plus intrusifs. Cette ontologie unilatérale peut s’avérer trompeuse pour la personne concernée. Se méprenant sur la signification du vocabulaire employé par la plateforme, l’utilisateur peut accorder plus de droits que voulu.

• 107 Expression empruntée à B. Bayart in La privacy comme business model, note supra.

41Initialement le projet LL5G voulait organiser des débats avec des citoyens locaux sur les différentes itérations du COC, puis de l’AIPD. Malgré une volonté expresse des partenaires industriels, de nombreux obstacles organisationnels et juridiques firent barrage à leur élaboration : la crainte d’une sanction (en cas de non-respect des règles encadrant le COC ou l’AIPD) ou d’engendrer une vulnérabilité informationnelle pour les opérateurs. Ainsi, en France en 2024, la « privacy comme business model »107, c’est-à-dire la prise en compte réelle du droit de données personnelles dans son modèle économique, demeure un marché de niche même si des groupes industriels aspirent à la mettre en œuvre.