• 1 Voir par exemple, la loi Informatique et Libertés en 1978, la directive (UE) 95/46/CE de 1995, ou d (...)
• 2 CEDH, Glukhin, 4 juil. 2023
• 3 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protectio (...)
• 4 Le RGPD prévoit : le droit à la transparence et modalités d’exercice des droits (art.12), le droit (...)
• 5 Définie par l’art. 4 (1) sous « données à caractère personnelles ».

1La numérisation croissante de notre société et la nécessité de protéger les individus aussi bien dans le monde « réel » que dans le monde « virtuel » sont à l’origine de l’adoption de nouvelles normes juridiques1. Ainsi, la Charte des droits fondamentaux de l’Union européenne de 2000 vient enrichir la liste des droits fondamentaux. Elle reconnaît notamment dans son article 8 le droit à la protection des données personnelles, droit qui n’était qu’indirectement reconnu par la jurisprudence de la Cour européenne des droits de l’Homme (CEDH) par son rattachement au droit au respect à la vie privée2. Ce droit à la protection des données personnelles s’exerce dans les conditions prévues par la directive (CE) 1995/46/CE de 1995, remplacée depuis 2016 par le règlement général (UE) sur la protection des données (RGPD)3. À cet égard, le texte opère un changement de paradigme par la consécration du principe de responsabilité, conduisant à une quasi-suppression du contrôle ex ante par les autorités de contrôle nationales en matière de protection des données personnelles (ACN) au bénéfice d’un contrôle principalement ex post. Dans le même temps, le RGPD octroie de nouveaux droits4 à la personne concernée5, à savoir la personne à laquelle se rapporte une information, dont le droit à la portabilité des données. Il renforce également les droits déjà accordés, en particulier le droit à la transparence, qui porte sur les informations devant être fournies à la personne concernée tout au long du cycle de vie de ses données.

• 6 Art. 4, point 7 du RGPD.
• 7 V. la sanction prononcée à l’encontre de la société Meta par l’Autorité de contrôle irlandaise le 2 (...)
• 8 Proposition de règlement du Parlement européen et du Conseil établissant des règles de procédure su (...)

2Lors des négociations portant sur son contenu, le RGPD a été présenté comme une promesse de rééquilibrage des intérêts des personnes concernées, d’une part, et des responsables de traitement, d’autre part. Les activités de plus en plus intrusives de ces responsables de traitements (Rossi, 2020), définis comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres détermine les finalités et les moyens du traitement6 », ainsi que l’omniprésence du « capitalisme de surveillance » questionnent cependant l’effectivité réelle du RGPD. Les effets engendrés par la mise en place du marché unique numérique européen, initialement réalisé pour faciliter la libre circulation des services numériques, sont supposés être contrebalancés par la reconnaissance de droits fondamentaux numériques spécifiques. En pratique, et nonobstant des sanctions pécuniaires de plus en plus élevées pouvant atteindre 1,2 milliard d’euros7, les ACN sont confrontées à un véritable défi portant sur la mise en œuvre de garanties effectives face à la multiplication et à la complexification des systèmes d’information combinés au développement de l’intelligence dite artificielle. Consciente des difficultés rencontrées, la Commission européenne a proposé le 4 juillet 2023 l’adoption de nouvelles règles pour renforcer l'application du RGPD dans les situations transfrontalières8. Mais cette proposition est-elle suffisante pour assurer une réelle protection des citoyens et résidents de l’UE ? Ne vaudrait-il pas mieux, ne vaudrait-il pas la peine, en parallèle, d’accorder aux personnes concernées un droit à l’altération des données qui viendrait compléter leurs possibilités de contrôle, qui en pratique sont réalisées principalement au moment de la collecte des données par un mécanisme de consentement ?

• 9 La Charte des droits fondamentaux de l’Union européenne distingue en effet le droit au respect de l (...)

7Cette altération peut être exercée pour dissimuler son identité réelle ou préserver ses préférences (culturelles, sexuelles, etc.), ses origines (raciales, ethniques, etc.) ou ses convictions (religieuses, politiques, etc.) afin d’échapper, par exemple, au profilage commercial ou au suivi étatique. En ce sens, la possibilité même de fournir des données personnelles altérées constitue une garantie pour la sauvegarde du droit à la protection des données personnelles ou du droit au respect de la vie privée9, mais aussi de la liberté d’expression, de manifestation, de déplacement ou à la mise en œuvre de l’interdiction de toute discrimination. Dans certains cas, cependant, l’objectif poursuivi par le droit à l’altération des données pourrait être détourné, par exemple pour profiter d’avantages commerciaux ou de prestations sociales non destinées à la personne concernée. Il importe donc que ce droit soit exercé de façon loyale par la personne concernée.

• 10 Clarifying Lawful Overseas Use of Data Act ou CLOUD Act (H.R. 4943).

9La personne dispose ainsi d’une marge de manœuvre réduite lors de la contractualisation de ses droits et libertés (Fabre-Magnan, 2018). Rappelons que cette adhésion contractuelle ne lie que les parties au contrat, excluant théoriquement les tiers de leurs rapports (Frumer, 2001). Théoriquement, puisque la doctrine juridique étas-unienne dite de la « tierce partie » (Third Party Doctrine) considère que les personnes communiquant volontairement des informations à des tiers, tels que les banques, les opérateurs de télécommunications ou les plateformes en ligne, ne jouissent pas d’une attente raisonnable en ce qui concerne la confidentialité de leurs informations. Toute entreprise états-unienne de ce type peut ainsi transmettre des informations fournies par les utilisateurs aux forces de l’ordre étas-uniennes (Kerr, 2009). Le Cloud Act10, adopté 2018, s’appuie d’ailleurs sur cette doctrine pour l’étendre aux citoyens ou résidents de l’UE.

• 11 CNIL - Commission Nationale de l'Informatique et des Libertés, 26 nov. 2021, décis. MED-2021-134, J (...)

10L’injection volontaire de données altérées par la personne concernée constitue donc un moyen de limiter le partage et le recoupement de ses données personnelles dans un contexte de concurrence économique globale caractérisé par l’omniprésence de la quantification, catégorisation et qualification. Alors même que les plateformes numériques et l’intelligence artificielle génèrent d’immenses quantités de données brutes, systématiquement partagées (Fahey, 2022), parfois même exploitées11 ou achetées (Kerr, 2021), les traitements de données personnelles peuvent être déployés en amont de tout contrôle des ANC ou sans réelle concertation avec le public (Keller, 2022). Au-delà de ces considérations, l’autonomisation numérique de la société questionne la notion même d’État de droit (Hochmannn, 2019 ; Krenc, 2021 ; Tréguer 2021), de la neutralité de ses gardiens et des outils de sauvegarde de la Constitution (Jan, 2015).

• 12 Délibération CNIL n° MEDP-2021-002 du 6 déc. 2021 prise à l’encontre de la société CLEARVIEW AI.

15Le droit à l’altération des données trouve sa source principale dans le principe de l’autodétermination informationnelle. Deux tendances doctrinales peuvent ici être retenues. Il s’agit, d’une part, des droits fondamentaux déjà reconnus, générateurs d’un nouveau droit spécifique individuel (Türk, 2020), manifestations des grands principes qui s’inscrivent dans le RGPD (Poullet et Dinant, 2004) ; d’autre part, de la « souveraineté » d’un individu « souhaitant échapper à un […] déterminisme aliénant » (Rossi, 2020, p. 126). Lors des négociations débouchant sur l’adoption du RGPD, le consentement a été présenté comme une contrepartie accordée à la personne concernée permettant de contrebalancer l’allégement des formalités préalables imposées au responsable du traitement, et tout particulièrement aux acteurs industriels (Rossi, 2020). Ce fondement de licéité du traitement, prévu par l’article 6 §1, a) du RGPD, traduit une vision libérale fondée sur la prééminence accordée au libre choix individuel et qui, par son exercice, se rapproche d’une situation dans laquelle se forme un contrat (Solove, 2013). Cette vision contractualiste de l’exercice des droits et libertés de la personne se manifeste principalement au travers de l’encadrement du traitement des catégories particulières de données personnelles prévues par l’article 9 du RGPD12, pour lesquels le consentement est systématique.

• 13 Prévu par l’article 6§1, b) du RGPD.
• 14 TGI Paris, jugement du 9 avr. 2019, UFC - Que Choisir, condamne la politique de données personnelle (...)
• 15 Art. 1110 al. 2 du Code civil. 

17Encore convient-il que ce consentement se traduit par une « manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement » (art. 4(11) du RGPD). Ces conditions impliquent notamment que la personne soit informée des éventuels risques pour ses droits et libertés pour qu’elle puisse consentir en connaissance de cause. Ainsi, le consentement est supposé lutter contre l’asymétrie informationnelle existant entre le responsable de traitement et la personne concernée (Groupe de travail Article 29, 2018). De surcroît, cette exigence de formalisme préalable, et par extension pour l’exécution contractuelle13, est souvent assimilée par la jurisprudence14 comme une transposition du régime du droit de la consommation à celui des données personnelles (Netter, 2019). L’objectif est le même : protéger la partie considérée comme « faible » face à une entité cherchant à se défausser de ses responsabilités par le recours systématique aux contrats d’adhésion, c’est-à-dire à des contrats comprenant un ensemble de clauses non négociables, déterminées à l'avance par l'une des parties15.

• 16 Respectivement visés par les articles 15 et 16 du RGPD.

18L’exigence de transparence, objet spécifique de la section 1 du chapitre III du RGPD, est d’autant plus importante que l’information de la personne concernée, portant notamment sur les conditions de traitement de ses données personnelles, les entités ou personnes procédant à ce traitement, conditionne l’étendue du contrôle susceptible d’être exercé une fois ses données collectées. Ainsi, comment la personne concernée pourrait-elle exercer auprès du responsable de traitement son droit d’accès à ses données personnelles et son droit de les (faire) rectifier16 sans avoir connaissance de l’existence même de leur traitement ? Comment pourrait-elle retirer son consentement, ou exercer ses droits à l’effacement de ses données (ou « droit à l’oubli ») et à la portabilité de ses données ? La personne concernée disposerait ainsi de possibilités d’intervention tout le long du cycle de vie de ses données personnelles. Elle pourrait utiliser son droit à l’altération des données à tout moment en exerçant son droit de rectification.

• 17 (a) le principe licéité, loyauté, transparence, (b) le principe de limitation des finalités, (c) le (...)

20L’article 5 §1du RGPD soumet le responsable du traitement à six principes directeurs17. Parmi ceux-ci, nous n’en retiendrons pour notre démonstration que trois, à savoir :

• 19 Qui doit être distingué des « autres » « intérêts » mentionnés par le RGPD, c’est-à-dire à des fins (...)

22Ces stratégies individuelles adoptées par la personne concernée peuvent être considérées comme des mesures visant à protéger les « intérêts légitimes de la personne concernée19 » (Groupe de travail Article 29, 2018, p. 36), notamment ses intérêts monétaires ou ses motivations individuelles. Cette autoprotection fonde une possibilité de choix au bénéfice de la personne concernée, visant à contrebalancer le pouvoir discrétionnaire de certaines personnes responsables de traitement.

• 20 CEDH, Gaskin c. Royaume-Uni, 7 juil. 1989, série A no 160, p. 16, § 39.

24Le droit à l’autodétermination informationnelle implique la possibilité, pour la personne concernée, de définir elle-même les informations qu’elle souhaite partager en fonction de différents contextes dans lesquels elle évolue, qu’il s’agisse de contextes familial, professionnel, associatif, et cetera. Cette possibilité de se présenter aux autres comme elle l’entend constitue un vecteur d’approfondissement du droit au respect de la vie privée. La Cour européenne des droits de l’Homme (CEDH) précise, en effet, que « l'article 8 protège un droit à l'identité et à l’épanouissement personnel et celui de nouer et de développer des relations avec ses semblables et le monde extérieur20 ». Établir et garantir les conditions permettant à la personne d’agir librement à l’abri des regards s’avèrent donc primordial. Pour cela, l’utilisation de pseudonymes constitue une solution intéressante qui est pratiquée par 86 % des utilisateurs disposant d’au moins un pseudonyme pour accéder à des services en ligne, 53 % d’entre eux en disposant de plusieurs (Médiamétrie, 2023). Ce même sondage souligne qu’un tiers des personnes sondées recourt à une fausse identité pour accéder à certains services.

• 21 Règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juill. 2014 sur l’identificati (...)
• 22 Art. 5 du règlement eIDAS, précité.
• 23 Art. 32, §1, point e) du règlement eIDAS, précité.

25Cependant, les textes juridiques ne reconnaissent pas un droit au pseudonymat, refusant ainsi un réel choix quant aux identités alternatives que la personne souhaite mettre en avant (Levallois, 2020). À cet égard, le règlement (UE) sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (règlement eIDAS21 ) précise simplement que « sans préjudice de l’effet juridique donné aux pseudonymes en droit national, l’utilisation de pseudonymes dans les transactions électroniques n’est pas interdite22 ». Ainsi, un pseudonyme peut être utilisé et figuré dans un certificat de signature électronique, c’est-à-dire sur un document contractuel. Cependant, son utilisation doit être clairement indiquée à la partie utilisatrice en cas d’emploi de signatures électroniques qualifiées23.

• 24 Tel que définis par la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 rela (...)

26Des stratégies d’altération des données peuvent également être mises en place lorsqu’un individu remplit un formulaire pour la création de son compte utilisateur afin d’accéder à un service de la société de l’information24. Ce type de service se base sur des contrats d’adhésion ne requérant aucune signature électronique. Il se fonde généralement sur une pluralité de traitements de données personnelles présentant des finalités et des conditions de licéité différentes (Levallois-Barth et Keller, 2021). Ainsi, ces services peuvent recourir alternativement à trois des sept conditions de licéité posées par l’article 6-1 du RGPD, à savoir :

• 25 Notamment les fournisseurs de téléphonie pouvant toujours tracer l’utilisateur.
• 26 Pour le secteur bancaire, voir la loi n°90-614 du 12 juil. 1990 relative à la participation des org (...)
• 27 Id.
• 28 Voir par exemple pour Facebook, Standards de la communauté https://m.facebook.com/communitystandard (...)

27S’il est plus difficile, techniquement, pour l’utilisateur d’altérer les données de localisation ou les données techniques générées par son téléphone intelligent ou son ordinateur25, il peut en revanche altérer les données qu’il fournit lui-même lors de la souscription. En effet, le responsable du traitement ne peut pas, à ce stade, vérifier les informations ou l’intégralité des pièces justificatives éventuellement demandées. La personne peut choisir un faux nom et prénom, mentir sur son parcours professionnel, fournir une fausse adresse (physique ou électronique), voire – sous réserve de sanctions pénales26 – transmettre des coordonnées bancaires erronées. En règle générale, ces éléments ne sont contrôlés que lorsque les services sont fournis par des organismes de droit privé faisant l’objet d’un secteur régulé27, par exemple le secteur bancaire. Les « conditions générales d’utilisation »28 des réseaux sociaux prévoient également une telle vérification en cas de suspicion d’abus caractérisés pour prévenir les risques d’usurpation d’identité (Romanet, 2015). Ainsi, certaines conditions générales imposent contractuellement à l’utilisateur de ne pas « mutualiser » son identifiant et mot de passe avec des tiers (Spotify, 2022) ou de ne pas être « un délinquant sexuel condamné » (Meta, 2022).

• 29 Art. 1137 du Code civil.
• 30 Voir Cass. ch. mixte, 7 févr. 2014.

28Antérieurement à la réforme de droit civil de 2016, le juge se référait à la bonne foi du consommateur pour moduler la sanction d’inexécution contractuelle ; les mensonges et autres manœuvres dolosives de la part de ce dernier étaient invoqués par les professionnels pour faire annuler le contrat sur le fondement d’un vice du consentement29. Afin de rétablir un certain équilibre entre les parties d’un contrat d’adhésion, la jurisprudence en droit de la consommation tempère cette obligation de bonne foi de la partie faible30. Le professionnel est ainsi tenu à une obligation de vigilance, voire de diligence, par la vérification de la qualité des données personnelles transmises par le consommateur. Concrètement, la personne concernée peut fournir des données altérées au destinataire des données personnelles au sein de l’entité du responsable de traitement sans que cette altération puisse lui être contractuellement opposée dans le cas de contrats conclus en dehors de secteurs régulés. Cette possibilité ne peut guère s’exercer lorsque le responsable du traitement relève du droit public. En effet, les interactions entre services publics et citoyens requièrent une sincérité des informations.

• 31 Encadrés par l’ord. n°2015-1341 du 23 oct. 2015 relative aux dispositions législatives du code des (...)
• 32 Art. L 200-1 du CRPA.
• 33 Art. L 113-4 du CRPA
• 34 Titre IV : Des atteintes à la confiance publique (Articles 441-1 à 446-4) du Code Pénal.
• 35 CE, 24 mars 2006, Société KPMG.
• 36 Qui est limitée puisqu’elle ne permet pas d’effectuer une remise en l’état antérieur. Toutefois, l’ (...)
• 37 Art. 133-3 du Code pénal.
• 38 Art. L. 241-2 du CRPA.

29Dans un contexte de procédures administratives, la personne concernée peut être amenée à fournir des données personnelles relatives notamment à son identité, à son état civil, à sa situation familiale ou à son domicile. Ces informations peuvent, par exemple, conditionner l’accès à certaines formations professionnelles lors de l’utilisation de téléservices31. La personne est alors tenue de déclarer sincèrement ces informations puisque cette interaction est susceptible d’engendrer des actes administratifs unilatéraux décisoires32, c’est-à-dire des actes publics reconnaissant un droit à un usager du service public. Si l’usager ne fournit ni les pièces exigées, ni des justifications concernant sa situation33, sa demande peut être rejetée. À l’inverse, la production de fausses informations constitue le délit d’« atteinte à la confiance publique34 », défini par l’article 441-1 al.1 du Code pénal. Cet article, qui réprime la fourniture de « faux » ou de déclarations mensongères, collectivement regroupées sous l’infraction unique de « faux et usages de faux », sanctionne » toute altération frauduleuse de la vérité, de nature à causer un préjudice et accomplie par quelque moyen que ce soit, dans un écrit ou tout autre support d’expression de la pensée qui a pour objet ou qui peut avoir pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques ». Ainsi, les déclarations fallacieuses entrent dans la catégorie d’« écrit ou de tout autre support d’expression ». Bien qu’en pratique, pour des raisons de sécurité juridique35, le droit obtenu par le biais de la fraude puisse éventuellement bénéficier de l’autorité de la chose décidée, l’usager ne peut en bénéficier qu’une fois qu’est passé le délai de prescription pénale36, c’est-à-dire six ans après la commission de ce délit37. Cependant, tout acte administratif unilatéral frauduleux peut être abrogé ou retiré à tout moment38. Dès lors, le droit à l’altération des données nous paraît difficilement invocable dans le cadre du droit administratif.

• 39 Proposition de règlement des règles harmonisées concernant l’intelligence artificielle, COM(2021)20 (...)
• 40 Art. 1 de la loi n°2010-1192 interdisant la dissimulation du visage dans l'espace public, JORF n°02 (...)
• 41 Selon l’article 2-I de la loi n° 2010-1119 du 11 oct. 2010 interdisant la dissimulation du visage d (...)
• 42 Conseil des Ministres, Communiqué de presse du 19 mai 2010, http://archives.gouvernement.fr/fillon_ (...)
• 43 Notre modification.
• 44 Id.

32La sanction prononcée à l’encontre d’un passant britannique refusant d’ôter son couvre-chef pour révéler son visage à des fins de reconnaissance faciale (The Independant, 2019) questionne l’équilibre à définir entre le respect de la vie privée et la nécessité d’assurer la sécurité des citoyens. Cette question est tout particulièrement abordée lors des discussions actuelles relatives à la proposition de règlement sur l’intelligence artificielle39. Si son article 5 §1 (d) entend interdire « l’utilisation de systèmes d’identification biométrique à distance ‘‘en temps réel’’ dans des espaces accessibles au public à des fins répressives », l’enjeu porte sur l’étendue des exceptions régaliennes. De son côté, le droit français semble s’adapter à l’état de crise « permanent » (Barraud, 2017), notamment, depuis 201040, avec la prohibition de dissimuler son visage dans l’espace public41 « en particulier » par l’emploi du « voile intégral42 ». Ces pratiques constitueraient une remise « en cause (d)es43 règles qui forment le pacte républicain44 ». L'interdiction de la dissimulation ne s'applique pourtant pas dans un certain nombre de cas, notamment si elle est justifiée par des raisons de santé ou des motifs professionnels. Faisant l’objet d’une constante recherche d’équilibre entre la prévention nécessaire aux atteintes à l’ordre public et le droit au respect de la vie privée, la revendication citoyenne de recourir à des technologies dites low-tech questionne l’utilisation de certaines technologies durables, simples et accessibles à tous, car peu onéreuses.

• 45 CE, Ass, 26 oct. 2011, note supra.

33De manière générale, il est admis que l’État puisse pouvoir identifier les personnes dans le cadre de ses différentes missions régaliennes. Cependant, certaines réserves sont émises lors du traitement de données biométriques qui exploitent « des traits du corps humain qu’une personne ne peut pas changer, tout du moins pas facilement, à la différence d’autres attributs numériques qui peuvent être aussi utilisés pour la tracer » (Le Metayer et Castelluccia, 2019, p. 8). Les données biométriques ne pouvant être que difficilement altérées, une faille de sécurité dans la base de données les conservant constitue non pas un simple risque, mais une réelle menace pour la vie présente et future des citoyens. Les arguments en faveur de l’utilisation des données biométriques portent sur la réduction des risques d’erreurs d’identification, la lutte contre la fraude documentaire et la facilitation des démarches effectuées par les usagers. À cet égard, des garanties adéquates sont exigées : le type de données utilisé doit être strictement nécessaire à la finalité poursuivie et leur durée de conservation doit être limitée45. La captation de données biométriques doit, en outre, répondre à une utilité opérationnelle comme l’accès à des infrastructures critiques nécessaires à la continuité de l’État ou la protection de lieux publics sensibles tels que les aéroports (Le Metayer et Castelluccia, 2019).

• 46 Décision n° 2021-976/977 QPC du 25 fév. 2022, M. Habib A. et autre.
• 47 CE, Ass., 21 avril 2021, 393099.
• 48 Cette vision se retrouve, dans le domaine régalien, dans la jurisprudence antérieure de la CJUE ave (...)
• 49 Décision n° 2010-613 DC du 7 oct. 2010, Loi interdisant la dissimulation du visage dans l'espace pu (...)
• 50 Id.
• 51 Id.

34Cependant, les modalités d’application du principe de proportionnalité lors d’une ingérence régalienne dans la vie privée des citoyens font l’objet d’une interprétation divergente et non résolue entre la Cour de Justice de l’Union Européenne (CJUE), la CEDH et les autorités nationales (Gaudin, 2021). Ainsi, le Conseil constitutionnel46 a récemment désavoué le Conseil d’État (Douville et Gaudin)47 en estimant qu’une conservation générale et indifférenciée des données de connexion générées par tous les utilisateurs des services de communication électroniques, quelle qu'en soit la sensibilité et sans considération pour la nature et la gravité des infractions susceptibles d'être recherchées, porte une atteinte disproportionnée au droit au respect de la vie privée. Cet argumentaire de « l’atteinte disproportionnée » peut être transposé à la vidéoprotection48. Si l’analogie peut sembler de prime abord inadéquate, le Conseil Constitutionnel a validé l’interdiction de dissimuler son visage dans l’espace public49, visant à répondre à « l'apparition de pratiques, par une minorité religieuse, jusqu'alors exceptionnelles pouvant constituer un danger pour la sécurité publique et méconnaissant les exigences minimales de la vie en société50 ». Les juges de Montpensier ont ici décidé que le législateur « a adopté des dispositions qui assurent, entre la sauvegarde de l'ordre public et la garantie des droits constitutionnellement protégés, une conciliation qui n'est pas manifestement disproportionnée51 ».

• 52 Portant sur le contexte lié aux attentats terroristes, sur le ratione materiae et son extension à d (...)
• 53 Codifié par la loi n°2022-52 du 24 jan. 2022 relative à la responsabilité pénale et à la sécurité i (...)
• 54 Décision n° 2021-834 DC du 20 janvier 2022 - Loi relative à la responsabilité pénale et à la sécuri (...)

35Bien qu’ouverte à de nombreuses discussions éthiques et juridiques52, la décision du Conseil Constitutionnel fonde les conditions d’installation de caméras sur des aéronefs. Selon l’article L 242-5 du Code de la sécurité intérieure53, une captation d’images est possible dans le cadre d'opérations de police administratives, notamment selon deux hypothèses, respectivement « la sécurité des personnes et des biens dans des lieux particulièrement exposés […] à des risques d'intrusion ou de dégradation » et « la sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public […] susceptibles d'entraîner des troubles graves à l'ordre public ». L’enregistrement doit toutefois être autorisé par une décision écrite et motivée du préfet déterminant la finalité poursuivie et ne pouvant excéder le périmètre géographique strictement nécessaire à l'atteinte de cette finalité. De son côté, le Conseil Constitutionnel a précisé les « garanties particulières » entourant l’utilisation d’appareils « susceptibles de capter, en tout lieu et sans que leur présence soit détectée, des images d'un nombre très important de personnes et de suivre leurs déplacements dans un vaste périmètre54 ». La juridiction suprême exclut ainsi « la captation du son et (l)e(s) traitement(s) automatisé(s) de reconnaissance faciale » ; elle prohibe tout « rapprochement, interconnexion ou mise en relation automatisé avec d'autres traitements de données à caractère personnel ».

• 55 https://cvdazzle.com/

37Outre l’utilisation de parapluies, de chapeaux ou de masques pour dissimuler son visage des systèmes de vidéoprotection, plusieurs projets et initiatives de privacy enhancing clothes (Skinner-Thomson, 2021) – vêtements renforçant la protection de la vie privée – illustrent la possibilité, pour la personne, de complexifier sa reconnaissance faciale. Il doit cependant être noté que ces dispositifs présentent une efficacité relative. Il peut s’agir par exemple de l’utilisation d’un masque imprimé en 3D dans des aéroports (Roberts, 2019) ou de l’apposition de pixels sur un T-Shirt comme dans les manifestations à Hong Kong (Les observateurs, 2019). Le projet Computer Vision Dazzle55 propose pour sa part de se maquiller à l’aide de pigments déformant numériquement les traits, complexifiant ainsi l’appariement d’une image avec un gabarit biométrique conservé dans une base de données par la personne responsable de traitement. De prime abord, ce mécanisme pourrait être analysé comme relevant de l’offuscation, c’est-à-dire du refus d’être identifié, et non de l’altération, c’est-à-dire de la génération de données erronées pour fausser les résultats générés du système d’information. On remarquera ici, toutefois, que l’identification d’une personne à partir d’images captées par une caméra reste possible lorsqu’elle est effectuée par une personne physique, l’altération des données empêchant uniquement l’identification des personnes par des systèmes de vidéoprotection automatisée. Mutatis mutandis, ce raisonnement peut être transposé aux lunettes émettant des rayons infrarouges empêchant la capture d’images par caméra (Reflectables, 2023) ou aux masques de formes lenticulaires (Holmes, 2020) empêchant la reconnaissance automatique de la personne.

• 56 CA Bordeaux, 3^e ch., 15 nov. 2011, Ministère public c/ Cédric M., Preuves insuffisantes d’une attaq (...)

38On peut ici se demander si l’article L 323-2 du Code pénal, réprimant « le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données », trouve à s’appliquer. Ce délit vise les dommages causés volontairement aux données et aux systèmes les hébergeant par une attaque de déni de service. Son application jurisprudentielle est limitée puisque sont exigées l’indisponibilité du système ainsi que la volonté d’entrave56. Or, si l’utilisation de maquillage, de lunettes émettant des lasers, d’un masque de forme lenticulaire ou d’un t-shirt a pour objet d’empêcher l’identification de la personne, le recours à ces subterfuges n’altère en aucun cas l’intégrité du fonctionnement du système informatique utilisé. L’utilisation de ces subterfuges pourrait donc être considérée comme licite. Soulignons que l’article 441-1 du Code pénal n’est pas invocable puisque les procédés employés ne constituent pas une « altération frauduleuse de la vérité, [ayant] pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques ». Effectivement, l’altération des données personnelles ne correspond pas à une déclaration effectuée volontairement auprès d’une administration publique en vue de générer des effets juridiques.

• 57 Art. 4(4) du RGPD.

39Le traçage numérique est utilisé par des entreprises pour surveiller des internautes. Cette technique de marketing numérique aide les marques à analyser le comportement des utilisateurs visitant leur site Internet. Outre le profilage des consommateurs, défini comme « l’utilisation des données personnelles évaluant certains aspects personnels notamment pour analyser ou prédire des éléments la concernant57 », le traçage est utilisé pour gérer des identifiants et des accès configurés en fonction de la localisation du terminal. Pour échapper à cette filature numérique, certains utilisateurs ont recours à des technologies de protection de la vie privée (Privacy Enhancing Technologies ou PET) ou à des réseaux virtuels privés (ci-après VPN). L’emploi de PET est considéré comme légal uniquement dans certains cas.

• 58 Voir dans ce sens les travaux préparatoires de la loi n° 2016-731 du 16 juin 2016 renforçant la lut (...)
• 59 C.C., 10 juin 2009, n° 2009-580 DC, Loi favorisant la diffusion et la protection de la création sur (...)

40Les traitements de données ayant pour finalités du traçage et le profilage d’une personne sont opérés par l’intermédiaire de témoins de navigation (cookies) se présentant sous la forme de fichiers stockés par un serveur dans le terminal de l’utilisateur. Les données personnelles ainsi stockées peuvent être revendues à des tiers (Netter, 2020). Elles peuvent également servir à tracer les accès distants de type Plate-forme en tant que service (CNIL, 2020) ou à déterminer la position géographique de l’utilisateur. La localisation par une plateforme, par exemple, détermine directement le contenu soumis à une licence territoriale : autrement dit, l’utilisateur ne peut visionner que des œuvres dont la diffusion est autorisée sur le territoire sur lequel il se trouve. Outre cet encadrement contractuel, certains contenus en ligne peuvent être prohibés par un État au nom de la protection de l’ordre public (Keller, 2017) dans le respect des conditions d’exemption prévues par le droit européen (Gaudin, 2021). À cet égard, la protection des œuvres couvertes par la propriété intellectuelle figure parmi les missions d’ordre public. En effet, la répression des contrefaçons est considérée comme constituant une mesure essentielle dans la lutte contre le financement du terrorisme (Unifab, 2018) et de la pédopornographie (Kahn, 2020). Ces fléaux, dont la définition juridique reste imprécise, sont avancés comme prétextes pour justifier une intensification de la surveillance d’Internet58. La vision française du droit d’auteur conduit à une (sur)protection des intérêts des ayants-droits, pouvant par exemple conduire à une exploitation contraire à la volonté de l’auteur. Elle s’éloigne de la conception « idéaliste », qui octroie au public des exceptions à cette exploitation exclusive des ayants-droits (Geiger, 2004). En pratique, cette (sur)protection réduit la liberté de recevoir des informations et des idées59.

• 60 Loi n° 90-1770 sur la réglementation des télécommunications dont l'article 28 instaure un régime de (...)
• 61 Cette affirmation est d'autant plus d'actualité depuis les attentats terroristes du 13 novembre 201 (...)
• 62 Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, JOFR 22 juin 2004, tex (...)

41L’emploi de PET, tels que le protocole de communication Tor ou les VPN, offre à l’utilisateur la possibilité d’altérer ou de masquer les données relatives à sa position géographique. Par exemple, la reconfiguration fictive d’une adresse IP permet de modifier la domiciliation de l’abonné à un service type Netflix et ainsi d’accéder à une proposition de films et de séries différentes, en fonction du territoire étatique ciblé. Tor se définit comme « un réseau informatique superposé, mondial et décentralisé [qui] se compose d'un certain nombre de serveurs, appelés nœuds du réseau […]. Ce réseau permet d'anonymiser l'origine de connexions TCP. Cela peut […] servir à anonymiser la source d'une session de navigation Web ou de messagerie instantanée » (Wikipédia). Outre ces fonctions d’anonymisation permettant de ne pas être localisé, ces PET offrent des fonctionnalités permettant le masquage et/ou le truquage de l’identification du destinataire d’un message ou du contenu de celui-ci. C’est pour ces raisons que ces logiciels étaient initialement assimilés à une arme militaire par la loi du 30 décembre 199060, car considérés comme une source potentielle d’atteinte à la sécurité nationale61. L’utilisation des logiciels de VPN et des protocoles de télécommunications a été assouplie avec l’entrée en vigueur de la Loi pour la Confiance dans l’Économie Numérique en 200462 (Caprioli et Agosti, 2005 ; Le Tourneau, 2014) pour favoriser le développement du commerce électronique.

• 63 Voir https://www.eff.org/privacybadger.
• 64 Voir https://www.torproject.org/.
• 65 Nous remercions l’un des relecteurs pour cette métaphore.

42Considérées depuis longtemps comme la base du Privacy by design (Hustinx, 2009) sans pour autant être explicitement mentionnées par le RGPD, les technologies renforçant la vie privée contribuent à la mise en œuvre du principe de minimisation en limitant la collecte des données personnelles (Spekiermann et Cranor, 2009). De leur côté, les fournisseurs de services les perçoivent comme une contrainte à la réutilisation commerciale des données (FTC, 2012). Alternativement cataloguées sous les nomenclatures de Substitute PETs, de Complementary Privacy-Friendly PETs et de Complementary Privacy-Preserving PETs (Rubinstein, 2011), ces fonctionnalités ne sont toujours pas incorporées d’office dans les produits et services proposés à l’utilisateur. Ce dernier doit donc lui-même installer des modules complémentaires (add-ons) du type Privacy Badger, développé par l’EFF63, ou des logiciels spécifiques comme Tor64. Cette action, impliquant un certain niveau de sensibilisation et de connaissance, concerne uniquement les traitements de données réalisés dans un terminal, par exemple lorsqu’un utilisateur installe un compte Spotify sur son ordinateur. Les modules complémentaires sont en effet inadaptés lorsque le terminal joue le simple rôle d’interface pour accéder à des services en ligne comme YouTube. Néanmoins, les modules et logiciels, conçus pour « générer du bruit informationnel »65, offrent à l’utilisateur des possibilités d’altération très intéressantes. Les données traitées présentent une qualité moindre qui empêcherait un profilage efficace de la personne concernée. Une personne peut, par exemple, avoir besoin d’être identifiée pour accéder à certains services comme Amazon Prime, mais sans pour autant souhaiter divulguer l’intégralité de ses données personnelles.