L’accord sur le transfert des données personnelles vers les Etats-Unis peut-il aboutir ?

Après l’échec du « Safe Harbor » et celui du « Privacy Shield », un nouvel accord se fait attendre entre l’Union européenne et les Etats-Unis sur le transfert des données à caractère personnel. Si le processus est incontestablement en cours, il suscite des réserves qui compromettent son aboutissement.

Par Emmanuelle Mignon, avocat associé, et Gaël Trouiller, avocat, August Debouzy

(Article paru le 26-06-23 dans EM@ n°302. Le 03-07-23, les Etats-Unis ont déclaré avoir « rempli leurs engagements » pour la protection des données UE-US. Le 10-07-23, la Commission européenne a publié sa décision d’adéquation)

En mars 2022, la Commission européenne avait annoncé qu’un accord politique entre sa présidente Ursula von der Leyen et le président des Etats-Unis Joe Biden avait été trouvé (1) : une première traduction juridique de cet accord, intitulé « Data Privacy Framework » (DPF) est alors née, le 7 octobre 2022, du décret présidentiel américain – Executive Order n°14086 – sur « le renforcement des garanties relatives aux activités de renseignement sur les transmissions des Etats-Unis » (2).

Après l’annulation du « Privacy Shield »
Sur le fondement de cet Executive Order (EO), la Commission européenne a publié, le 13 décembre 2022 (3), un projet de décision d’adéquation du système étasunien de protection des données au droit de l’Union européenne (UE). Celui-ci a fait l’objet d’un avis consultatif du Comité européen de la protection des données (CEPD) du 28 février dernier. Cet avis reconnaît que l’EO apporte de « substantielles améliorations », mais souligne cependant que des écueils subsistent et que des clarifications du régime américain demeurent nécessaires (4). Plus critique, le Parlement européen, dans sa résolution du 11 mai 2023, « conclut que le cadre de protection des données UE–Etats-Unis ne crée [toujours] pas d’équivalence substantielle du niveau de protection [et] invite la Commission à ne pas adopter le constat d’adéquation » (5).
Epicentre du DPF, l’EO n°14086 de Joe Biden a pour objet d’instaurer des garanties juridiques afin de prendre en considération le droit de l’UE, en particulier l’arrêt « Schrems II » de 2020. On se souvient que, par cet arrêt, la Cour de justice de l’UE (CJUE) avait jugé que :
Le « Privacy Shield » instituait des limitations au droit à la protection des données à caractère personnel – protégé par les articles 7 et 8 de la Charte des droits fondamentaux de l’UE – méconnaissant les exigences de nécessité et de proportionnalité découlant de l’article 52 de cette même Charte. Etait en particulier visée la collecte « en vrac » de données des citoyens européens opérée par les services de renseignement étasuniens en application : de la section 702 du Foreign Intelligence Surveillance Act (FISA) de 2008, qui autorise les services de renseignement américains à adresser à un fournisseur de services de communications électroniques des directives écrites lui imposant de procurer immédiatement au gouvernement toute information ayant pour objet d’obtenir des renseignements (métadonnées et données de contenu) se rapportant à des personnes étrangères susceptibles de menacer la sécurité des EtatsUnis ; de l’Executive Order n°12333 de 1981, qui permet aux services de renseignement américains d’accéder à des données « en transit » vers les Etats-Unis, notamment aux câbles sous-marins posés sur le plancher de l’Atlantique, ainsi que de recueillir et de conserver ces données.
Le « Privacy Shield » ne fournissait pas de voie de contestation devant un organe offrant aux citoyens européens, dont les données sont transférées vers les EtatsUnis, des garanties substantiellement équivalentes à celles requises par l’article 47 de la Charte des droits fondamentaux de l’UE consacrant le droit à un recours effectif (6). Pour répondre aux attentes du droit de l’UE, l’EO n°14086 de Biden instaure des principes devant guider les services de renseignement américains lorsqu’ils traitent de données à caractère personnel. A cet égard, les services de renseignement doivent : respecter la vie privée et les libertés civiles indépendamment du lieu de résidence et de la nationalité des personnes dont les données sont collectées (en particulier, cette collecte ne pourra être opérée qu’à condition d’être « nécessaire » et « proportionnée » à la priorité en matière de renseignement alléguée) ; poursuivre des objectifs limitativement définis par l’EO, comme la protection contre le terrorisme ou l’espionnage, et s’écarter, en toute hypothèse, de ceux expressément exclus tels que l’entrave à la liberté d’expression.

L’Executive Order de Biden
L’EO de Biden prévoit, en outre, un mécanisme de recours à double niveau. En premier lieu, les citoyens européens pourront saisir, par l’intermédiaire d’une autorité publique désignée à cet effet, l’officier de protection des libertés publiques – Civil Liberties Protection Officer (CLPO) – d’une plainte. Ce dernier adoptera alors, s’il estime que les garanties conférées par l’EO n’ont pas été respectées, les mesures correctives appropriées comme la suppression des données illicitement récoltées. En second lieu, un appel de la décision du CLPO pourra être interjeté devant la Cour de révision de la protection des données – Data Protection Review Court (DPRC) – spécialement créée par l’EO. Elle sera composée de membres nommés en dehors du gouvernement américain et ayant une certaine expérience juridique en matière de données à caractère personnel et de sécurité nationale. La décision de cette Cour sera rendue en dernière instance et revêtue d’un caractère contraignant.

Des frictions avec le droit de l’UE
Les points persistants de friction avec le droit de l’UE qui sont mis en avant par ceux qui sont hostiles à l’adoption du DPF sont les suivants :
La collecte « en vrac » de données à caractère personnel, bien qu’encadrée par l’EO de Biden, n’est pas entièrement prohibée et ne nécessite pas une autorisation préalable indépendante. Le recours à cette méthode peut poser une sérieuse difficulté de compatibilité avec le droit de l’UE. En effet, la CJUE voit dans la collecte généralisée et non différenciée des données une incompatibilité avec le principe de proportionnalité (7), à tout le moins lorsqu’une telle collecte ne fait l’objet d’aucune surveillance judiciaire et n’est pas précisément et clairement encadrée (8). Or, cet encadrement pourrait, au cas présent, faire défaut dans la mesure où il est très largement extensible par la seule volonté du Président américain qui est habilité par l’EO à modifier, secrètement, la liste des motifs sur le fondement desquels il peut être recouru à cette technique de surveillance (9).
Il n’est pas acquis, faute de définition dans l’EO, que les caractères « nécessaire » et « proportionné » des collectes de données aient la même signification que celle – exigeante – prévalant en droit européen.
L’indépendance des organes de recours peut être mise en doute, bien que le système instauré par l’EO comprenne des garanties supérieures à celles antérieurement attachées au médiateur – l’Ombudsperson – du Privacy Shield. En particulier, le CLPO et la DPRC sont organiquement rattachés au pouvoir exécutif américain, n’appartiennent pas organiquement au pouvoir judiciaire et pourraient alors ne pas pouvoir être qualifiés de tribunal au sens de l’article 47 de la Charte des droits fondamentaux de l’UE. L’EO institue toutefois des garanties fonctionnelles d’indépendance à ces deux instances. Ainsi, le directeur du renseignement national ne pourra pas intervenir dans l’examen d’une plainte déposée auprès du CLPO et il lui est interdit de révoquer ce dernier pour toute mesure prise en application de l’EO. Quant à la DPRC, ses membres – qualifiés de juges – ne pourront pas recevoir d’instructions du pouvoir exécutif, ni être limogés à raison des décisions qu’ils prendront. A cet égard, on peut s’interroger mutatis mutandis sur la portée de certaines des garanties apportées par le droit des Etats membres en matière de contrôle des activités de surveillance. L’équilibre n’est pas simple à trouver, mais, s’agissant de la France, le caractère secret de la procédure de contrôle devant le Conseil d’Etat suscite à tout le moins des interrogations.
Enfin, d’autres règlementations américaines comme le Cloud Act – régissant la communication de données dans le cadre d’enquêtes judiciaires – n’entrent pas dans le champ de l’EO. Leur application, qui n’est donc pas tempérée par les garanties instituées par ce dernier, pourrait se révéler incompatible avec le niveau de protection des données à caractère personnel en droit de l’UE. Il y a lieu toutefois de souligner que les dispositions du Cloud Act s’inscrivent dans le cadre de l’activité judiciaire des autorités américaines (poursuites et répression des infractions pénales et administratives), qui doit être clairement distinguée des activités de renseignement. Le Cloud Act offre en pratique des garanties qui n’ont rien à envier à celles du droit de l’UE et du droit des Etats membres (10).Ces points de vigilance, non-exhaustifs, devront être scrutés avec attention tout au long de l’examen du processus d’adoption de la décision d’adéquation. Après le CEPD et le Parlement européen, c’est au tour du comité composé des représentants des Etats membres de l’UE d’émettre prochainement un avis sur le projet de la Commission européenne. A supposer qu’il y soit favorable à la majorité qualifiée de ses membres, la décision d’adéquation pourra alors être adoptée. Si la Commission européenne s’est initialement affichée plutôt confiante sur l’avènement du DPF (11), celui-ci pourrait évidemment se retrouver grippé par une contestation de la décision d’adéquation devant le juge européen qui a déjà été annoncée par ses adversaires. En cas de succès de ce recours, l’avenir serait alors bien incertain dans la mesure où les Etats-Unis semblent être arrivés au bout de ce qu’ils sont prêts à concéder pour parvenir à un accord transatlantique sur le transfert des données qui ne se fera pas au prix d’un affaiblissement de la conception qu’ils se font de leur sécurité nationale.

Vers une 3e annulation par la CJUE ?
Il est peu de dire qu’une éventuelle annulation par la CJUE de la future troisième décision d’adéquation après celles relatives aux « Safe Harbor » (décision « Schrems I » de 2015) et au « Privacy Shield » (décision « Schrems II » de 2020), cristalliserait, de part et d’autre de l’Atlantique, des positions politiques et juridiques certainement irréconciliables. Surtout, cela prolongerait la situation d’incertitude juridique dans laquelle sont plongés les acteurs économiques qui peuvent se voir infliger de lourdes sanctions en cas de transferts transatlantiques irréguliers de données, à l’image de la société Meta condamnée, le 12 mai 2023, à une amende record de 1,2 milliard d’euros par le régulateur irlandais. @

Mineurs, réseaux sociaux et sites pornos : contrôle de l’âge et risques sur la vie privée

Alors qu’une procédure de l’Arcom s’éternisent devant la justice contre cinq sites web pornographiques (Pornhub, Ttukif, xHamster, Xnxx, et Xvideos), le contrôle de l’âge – pour interdire aux mineurs l’accès à ces contenus pour adultes ou l’inscription sur les réseaux sociaux – pose problème.

Cela fait un an que la Commission nationale de l’informatique et des libertés (Cnil) a publié – le 9 juin 2021 – huit recommandations pour « renforcer la protection des mineurs en ligne » (1), dont une – la septième – s’intitule « Vérifier l’âge de l’enfant et l’accord des parents dans le respect de sa vie privée ». Car la question du contrôle de l’âge est complexe et difficile à mettre en œuvre au regard de la protection de la vie privée et du principe de l’anonymat. Or, 44 % des 11-18 ans déclarent avoir déjà menti sur leur âge pour utiliser les réseaux sociaux (2). Et quelle proportion des mineurs ont déclaré être majeurs sur les sites web à caractère pornographique ?

Vérifier l’âge : pas de procédé fiable (PEReN)
Vérifier l’âge de l’internaute reste encore à ce jour un problème car les solutions de contrôle sont soit facilement contournables (déclaration qui peut être mensongère, vérification par e-mail inefficace, …), soit portant atteinte à la protection des données et à la vie privée (reconnaissance faciale jugée disproportionnée, utilisation des données recueillies à des fins commerciales ou publicitaires, …). A ce jour, les réseaux sociaux – le plus souvent interdits aux moins de 13 ans (voire moins de 16 ans dans certains autres pays européens comme l’Allemagne), et les sites web pornographiques interdits aux moins de 18 ans – ne savent pas vraiment comment procéder pour être irréprochables dans le contrôle de l’âge de leurs utilisateurs.
A Bercy, le Pôle d’expertise de la régulation numérique (PEReN) – rattaché à la Direction générale des entreprises (DGE) et placé sous l’autorité conjointe des ministres chargés de l’Economie, de la Culture et du Numérique (3) – a publié le 20 mai dernier une étude à ce sujet. « Détection des mineurs en ligne : peut-on concilier efficacité, commodité et anonymat ? », s’interroge cette entité interministérielle. Son constat : « Aujourd’hui, pratiquement aucun service en ligne n’utilise de procédé fiable permettant de vérifier l’âge. Malgré leur multiplicité, peu de méthodes sont à la fois faciles à mettre en œuvre, peu contraignantes et respectueuses de la vie privée des utilisateurs, performantes et robustes face à des tentatives de fraude ». Le PEReN, qui est dirigé par Nicolas Deffieux (photo), fait aussi office de task force au service notamment de l’Arcom (Autorité de régulation de la communication audiovisuelle et numérique), au moment où celle-ci – du temps du CSA (Conseil supérieur de l’audiovisuel) – a mis en demeure le 13 décembre 2021 cinq sites web pornographiques et les a enjoints de se mettre en conformité avec les nouvelles dispositions du code pénal. Faute d’avoir obtempéré dans les temps (ultimatum de quinze jours), les cinq plateformes incriminées – Pornhub, Ttukif, xHamster, Xnxx, et Xvideos – se retrouvent devant la justice, à l’initiative de l’Arcom, dans le cadre d’une procédure « accélérée » qui s’éternise (4).
Selon NextInpact, la présidente du tribunal judiciaire de Paris a considéré le 24 mai dernier comme « caduque » l’assignation adressée par l’Arcom aux fournisseurs d’accès à Internet (FAI) afin qu’ils bloquent les cinq sites pornos. Raison de cette annulation : l’Arcom n’a informé le tribunal de cette assignation que le jour même de l’audience, au lieu de la veille au plus tard (5). L’Arcom doit donc réassigner les FAI, ce qui reporte l’audience de quelques semaines. Toujours selon NextInpact, les avocats des sites pornos réclament le dépôt d’une question prioritaire de constitutionnalité devant le Conseil constitutionnel et d’une question préjudicielle à la Cour de justice de l’Union européenne (CJUE).
Tandis que le Conseil d’Etat, lui, a été saisi de l’annulation du décret d’application du 7 octobre 2021 portant sur les «modalités de mise œuvre des mesures visant à protéger les mineurs contre l’accès à des sites diffusant un contenu pornographique » (6). Ce décret menace les FAI contrevenants à des sanctions pénales de « trois ans d’emprisonnement et de 75.000 euros d’amende lorsque ce message [à caractère violent, incitant au terrorisme, pornographique] est susceptible d’être vu ou perçu par un mineur » (7). Surtout que « les infractions (…) sont constituées y compris si l’accès d’un mineur aux messages (…) résulte d’une simple déclaration de celui-ci indiquant qu’il est âgé d’au moins dix-huit ans » (8). Cette dernière disposition introduite dans le code pénal découle de la loi du 30 juillet 2020 visant à protéger les victimes de violences conjugales.

Vie privée : ne pas enfreindre le RGPD
Il y a donc péril judiciaire dans le porno. D’autant qu’une deuxième procédure, distincte de celle de l’Arcom, suit son cours en référé déposé devant le tribunal judiciaire par deux autres associations – La Voix de l’enfant et e-Enfance – sur la base de la loi « Confiance dans l’économie numérique » (loi LCEN de 2004). Son visés les mêmes sites pornos que dans la première affaire, mais avec MrSexe, IciPorno, YouPorn et RedTube (soit neuf au total). Or, à ce jour, l’absence de procédés fiables pour contrôler l’âge des internautes sans porter atteinte à la vie privée – et en respectant au niveau européen le règlement général sur la protection des données (RGPD) – rend la situation compliquée pour les réseaux sociaux et les sites pornos. « Les procédés techniques visant à vérifier la majorité d’âge ne sauraient conduire au traitement de données biométriques au sens de l’article 9 du RGPD, compte tenu de la nature particulière de ces données et du fait que le recueil du consentement de la personne concernée ne pourrait être considéré comme libre s’il conditionne l’accès au contenu demandé », avait mis en garde la Cnil dans son avis du 3 juin 2021 sur le projet de décret « Protéger les mineurs » (devenu le décret du 7 octobre 2021).

Double anonymat préconisé par la Cnil
Dans sa délibération parue au J.O. le 12 octobre de la même année (9), la Cnil écarte aussi le recours à la carte d’identité : « Serait considérée comme contraire aux règles relatives à la protection des données la collecte de justificatifs d’identité officiels, compte tenu des enjeux spécifiques attachés à ces documents et du risque d’usurpation d’identité lié à leur divulgation et détournement ».
Quoi qu’il en soit, l’article 8 du RGPD interdit l’utilisation de données personnelles des enfants âgés de moins de 13 à 16 ans, selon les Etats membres. La France, elle, a retenu l’âge de 15 ans. Ainsi, en-dessous de cet âge légal, la loi « Informatique et Libertés » impose – conformément au RGPD – le recueil du consentement conjoint de l’enfant et du titulaire de l’autorité parentale (10). Si la préoccupation première était de ne pas exposer les mineurs de 13 à 16 ans à de la publicité ciblée sur les réseaux sociaux, lesquels sont censés avoir mis en place des procédés de vérification de l’âge (11), cette obligation concerne désormais les sites web à caractère pornographique.
A noter que les jeux d’argent et de hasard en ligne (comme les paris sur Internet) sont également soumis au contrôle préalable de l’âge. Au niveau européen, la Commission européenne soutient l’initiative euConsent qui vise à mettre en place des systèmes de vérification de l’âge et de consentement parental qui soient interopérables, sécurisés et ouverts à l’échelle paneuropéenne – conformes à la certification eIDAS (12). Dans le consortium euConsent se côtoient Facebook, Google, les associations européennes respectivement des opérateurs télécoms historiques Etno et des fournisseurs d’accès à Internet EuroIspa, ou encore des organisations de protection de l’enfance. Le futur Digital Services Act (DSA), législation sur les services numériques, va introduire à son tour une interdiction de la publicité ciblée pour les mineurs.
Le contrôle de l’âge va se renforcer sur Internet, mais les méthodes de vérifications laissent à désirer. Le PEReN a classé dans son étude les solutions selon le mode de preuve employé (voir aussi tableau ci-dessous) :
• Le contrôle de l’âge, à l’aide d’un document portant l’identité et la date de naissance de la personne, à l’aide d’un document dont toutes les parties identifiantes auraient été supprimées avant tout traitement, ou enfin par les parents (contrôle parental) ;
• L’estimation algorithmique de l’âge sur la base du contenu publié ou utilisé par l’utilisateur sur le site ou bien à partir de données biométriques (voix, images, vidéos, …) ;
• Le déclaratif se basant uniquement sur les déclarations des internautes.
Le PEReN estime « primordial que la vérification de l’âge ne soit pas directement opérée par la plateforme ou le service en ligne afin de réduire le risque de croisement ou de réutilisation des données collectées lors de la vérification ». Il préconise alors « un mécanisme de tiers, voire de double tiers, [qui] peut être mis en place pour la transmission du résultat de la vérification précisément afin de minimiser ce risque ». Ainsi, ce mécanisme de doubletiers constitue une mise en œuvre possible du double anonymat recommandé par la Cnil, laquelle – en partenariat avec un laboratoire de l’Ecole polytechnique et le PEReN – a développé un prototype de ce mécanisme de vérification de l’âge par double anonymat pour en démontrer la faisabilité technique. D’après le PEReN « cette preuve de concept [devait] être rendue disponible fin mai ».
Contacté par Edition Multimédi@, son directeur général Nicolas Deffieux nous indique que la Cnil est maître des horloges. Le prototype est en effet entre les mains de Vincent Toubiana, qui y dirige le laboratoire d’innovation numérique (Linc). « Notre calendrier a été décalé et je n’ai actuellement aucune date de publication prévue », nous précise ce dernier. @

Charles de Laubier

Les associations de consommateurs veillent à ce que le Data Act mette les utilisateurs au centre

Les particuliers sont les principaux générateurs de données numériques provenant de leurs terminaux et objets connectés. Au-delà de leurs données personnelles, ils doivent avoir le contrôle sur l’ensemble des data qu’ils produisent. Afin que l’économie des données leur profite à eux aussi.

« En tant qu’initiateurs d’une grande partie de ces données, grâce à leur utilisation d’appareils connectés et de services numériques, les consommateurs doivent garder le contrôle sur la façon dont les données – qu’ils ont aidé à générer – sont partagées et avec qui. Ces données sont utiles pour toutes sortes de services dans l’économie, dont les consommateurs pourraient également bénéficier, tels que les fournisseurs de services concurrents ou un plus large choix de services après-vente, y compris la réparation et l’entretien », a prévenu Monique Goyens (photo), directrice générale du Bureau européen des unions de consommateurs (Beuc).

Data de 398 millions d’internautes de l’UE
Monique Goyens a ainsi interpellé le 23 février dernier la Commission européenne qui présentait ce jour-là sa proposition de règlement sur les données, baptisé Data Act, dont l’objectif est de favoriser une « économie des données » dans les Vingt-sept, et de préciser « qui peut utiliser et les données générées dans l’UE dans tous les secteurs économiques et accéder à ces données ». Le texte lui-même de ce projet de règlement sur les données est un document de 64 pages (1), dont la traduction dans d’autres langues est en cours. Mais le Beuc, qui est basé à Bruxelles et qui fête cette année ses 60 ans, met en garde l’Union européenne contre la mise en place d’un cadre législatif ne mettant pas les utilisateurs – en l’occurrence les 398 millions d’internautes européens, selon l’Internet World Stats (2) – au cœur de cette « libéralisation » de la data. « Par exemple, illustre concrètement Monique Goyens, les données générées par un réfrigérateur intelligent devraient pouvoir être transmises à un concurrent ou être consultées par un service tiers si le consommateur le souhaite. Ces données peuvent inclure les paramètres du réfrigérateur, des informations sur le contenu du réfrigérateur, la façon dont il interagit avec d’autres appareils intelligents dans la maison, ou sur la façon dont le réfrigérateur est utilisé ou peut être défectueux ». Autrement dit, le Data Act ne doit pas seulement favoriser l’exploitation par des tiers des masses de données, le plus souvent générées par les Européens des Vingt-sept, mais aussi les rendre utiles et bénéfiques pour les utilisateurs eux-mêmes. « La loi sur les données est un élément important du puzzle pour s’assurer que les données peuvent être consultées équitablement dans toutes les industries tout en donnant aux utilisateurs le plein pouvoir de décider ce qui arrive aux données qu’ils génèrent. Il est essentiel que les consommateurs décident ce qui arrive aux données qu’ils génèrent, quand ils les partagent et avec qui », insiste la directrice générale du Beuc. Quant au droit de portabilité des données, il doit pouvoir être simplement exerçable par chaque consommateur qui le souhaite lorsqu’il veut passer d’un prestataire de services numériques à un autre : réseau social, cloud, plateforme de contenus, logiciel, etc. Et surtout le Data Act prévoit d’étendre ce droit de « mobilité numérique » au-delà des données personnelles. En effet, le RGPD (3) limite ce droit aux données à caractère personnel. Le Data Act, lui, renforcera ce droit à la portabilité de la data à toutes les données, à caractère personnel ou non.
Dans une lettre adressée le 16 février à Margrethe Vestager, vice-présidente de la Commission européenne, en charge notamment du numérique, le Beuc plaidé pour que « le consommateur soit au centre de la proposition de règlement sur les données ». Car Monique Goyens et la cosignataire du courrier (4), Ursula Pachl, directrice générale adjointe du Beuc, reprochent à l’exécutif européen que « les discussions sur l’accès aux données sont souvent dominées par des considérations d’entreprise à entreprise et d’entreprise à gouvernement ». Alors que, insistent-elles, ce sont les consommateurs eux-mêmes qui jouent un rôle central dans l’économie des données ; ce sont eux qui fournissent et génèrent d’énormes quantités de données grâce à leur utilisation d’appareils connectés et de services numériques ; eux encore qui permettent à une myriade de services en ligne de prospérer et d’innover grâce à l’accès à leurs données d’utilisateur. « En d’autres termes, résument les deux signataires, ces données sont essentielles du point de vue de la concurrence, du choix du consommateur et de l’innovation. La loi sur les données doit suivre l’approche centrée sur l’humain décrite dans la communication de la Commission européenne intitulée “Une stratégie européenne pour les données” (5) ».

Les quatre exigences du Beuc
Dans ce courrier adressé en copie au commissaire européen chargé du marché intérieur, Thierry Breton, le Beuc estime que le Data Act devrait intégrer quatre éléments favorables aux consommateurs : • S’assurer que les consommateurs contrôlent les données générées par leurs appareils connectés et les services associés. Lorsque les consommateurs sont à l’origine des données, ils devraient pouvoir décider librement et contrôler quand et avec qui partager leurs données. • Un droit amélioré de portabilité des données ne devrait pas se limiter aux données à caractère personnel, comme c’est actuellement le cas avec le RGPD, et devrait être beaucoup plus facile à exercer qu’il ne l’est aujourd’hui dans ce dernier. • Prendre des mesures de protection visant à empêcher l’accumulation et l’exploitation supplémentaires de données de tiers par les entreprises qui gardent le contrôle (gatekeeper). Il s’agit d’un élément clé du Digital Markets Act (DMA) qui doit être réaffirmé dans le Data Act afin d’assurer une économie des données ouverte, concurrentielle et saine. • S’assurer que les consommateurs ont accès à tous les recours et mécanismes de recours nécessaires si leurs droits ne sont pas respectés, y compris ceux prévus par la directive sur les actions représentatives [appelées aussi actions de groupe, ou class action (6), ndlr].

Des données inexploitées ou verrouillées
« En plus de fournir un cadre dans lequel les données sont accessibles et partagées, la loi européenne sur les données doit compléter les règles existantes en matière de protection des données, de protection des consommateurs et de concurrence. (…) L’UE doit également veiller à ce que la loi sur les données ne finisse pas par renforcer les monopoles des Big Tech sur les données », a prévenu le Beuc (7), qui compte UFC-Que Choisir et le CLCV (8) parmi ses 46 organisations de consommateurs membres de 32 pays (9), donc bien au-delà des Vingt-sept.
La proposition de règlement sur les données s’inscrit dans un contexte où l’on assiste à un « data-boom », dont le volume va exploser et passer de plusieurs dizaines de zettaoctets à plusieurs centaines de zettaoctets d’ici la prochaine décennie. Or une grosse partie de ces gisements de data sont inexploités ou sous-utilisés, en raison de « problèmes juridiques, économiques et techniques ». Par exemple, la Commission européenne affirme que « 80% des données industrielles n’étant jamais utilisées ».
Le Data Act est là pour déverrouiller la situation. « Les nouvelles règles augmenteront le volume de données disponibles en vue de leur réutilisation et devraient générer 270 milliards d’euros de PIB supplémentaire d’ici à 2028 », avancent Margrethe Vestager et Thierry Breton qui ont présenté la proposition. Mais l’utilisateur final sera-t-il au coeur du dispositif comme le souhaitent les organisations de consommateurs fédérées par le Beuc ? C’est ce que tente de mettre en place la proposition du Data Act. Dans ses explications annexées à sa communication du 23 février, la Commission européenne donne un exemple précis : « Lorsque vous achetez un produit “traditionnel”, vous devenez propriétaire de toutes les pièces et de tous les accessoires de ce produit. En revanche, lorsque vous achetez un produit connecté – par exemple, un appareil domestique intelligent ou une machine industrielle intelligente – qui génère des données, il est souvent difficile de savoir qui peut faire quoi avec les données, ou il peut être stipulé dans le contrat que toutes les données générées sont exclusivement recueillies et utilisées par le fabricant ». Le Data Act permettra non seulement aux entreprises mais aussi aux particuliers de mieux contrôler les données qu’ils génèrent à partir de tous les objets connectés en leur possession : terminaux (smartphones, ordinateurs, tablettes, téléviseurs, …), enceintes connectées, appareils électro-ménagers connectés, ou encore objets dits intelligents. Les services de cloud tels que Amazon Web Services, Microsoft Azure, Google Cloud ou encre OVHcloud sont concernés par ce nouveau droit au contrôle des données. Ce contrôle des données sera assorti d’un « droit à la portabilité renforcé » qui permet de copier ou de transférer facilement des données entre différents services en concurrence. « Il sera plus facile de transférer des données et des applications (qu’il s’agisse d’archives photographiques privées ou de l’administration entière d’une entreprise) d’un fournisseur à un autre sans engager de frais, grâce aux nouvelles obligations contractuelles que la proposition présente pour les fournisseurs de services en nuage et à un nouveau cadre de normalisation pour l’interopérabilité des données et des services en nuage », explique la Commission européenne.
L’utilisateur aura en outre la possibilité de partager les données qu’il génère avec d’autres prestataires en vue d’améliorer les services rendus. L’article 3 du Data Act crée une « obligation de rendre accessibles les données générées par l’utilisation de produits ou de services connexes ». L’article 4 donne le « droit des utilisateurs d’accéder et d’utiliser les données générées par l’utilisation de produits ou de services connexes ». Et l’article 5 accorde à l’utilisateur le « droit de partager des données avec des tiers ». Ces dispositions inquiètent d’emblée les entreprises numériques, notamment américaines au sein de la CCIA (10), et les éditeurs de logiciels, dont ceux réunis au sein du BSA (11).

Obligation de partager avec des tiers
En pratique, pour prendre une situation précise, « le propriétaire d’une voiture ou d’une machine pourrait choisir de partager les données produites par leur utilisation avec sa compagnie d’assurances » et « ces données, agrégées auprès de plusieurs utilisateurs, pourraient également contribuer au développement ou à l’amélioration d’autres services numériques, par exemple en ce qui concerne la circulation routière ou les zones à haut risque d’accident ». Cela stimulera le développement d’un éventail plus large de services par des tiers avec lesquels l’utilisateur acceptera de partager des données, généralement pour un meilleur prix ou une meilleure qualité de service. @

Charles de Laubier

Fini les cookies, place aux « intérêts communs »

En fait. Les 3 mars, Google a annoncé qu’il allait abandonner les cookies tiers – utilisés par les annonceurs et publicitaires à des fins de traçage des internautes et de ciblage « personnalisé » – au profit de « centres d’intérêts » de groupes d’individus. Des tests débuteront au second trimestre. Coup de grâce aux mouchards ?

En clair. Demain, on ne dire plus « cookies » mais « cohortes ». Les petits mouchards publicitaires installés – jusqu’alors sans le consentement express des internautes trackés et ciblés – vont bientôt relever de la préhistoire du Web. Controversés depuis longtemps, car portant souvent atteinte à la vie privée des internautes et des mobinautes, les cookies laisseront un goût amer. Et l’obligation récente faite aux sites web et plateformes numériques, notamment en France avec les contrôles et sanctions de la Cnil qui vont démarrer à partir du 1er avril 2021, ne changera rien à l’affaire. Google – déjà épinglé en France (1) – va leur donner le coup de grâce au niveau mondial, en abandonnant les cookies tiers au profit des « cohortes » : ce que les développeurs du Web appellent « FLoC », pour Federated Learning of Cohorts (2). Potentiellement, tous les navigateurs (Chrome de Google, Fixefox de Mozilla, Edge de Microsoft, Safari d’Apple, etc.) peuvent tourner le dos aux cookies pour miser sur les centres d’intérêts sur le Web. La « cohorte » est un groupe d’utilisateurs aux comportements de navigation similaire. Et ce, sans ne plus avoir à identifier les individus un par un mais ensemble de façon non indentifiable. « Pour que l’Internet reste ouvert et accessible à tous, nous devons tous faire davantage pour protéger la vie privée, ce qui signifie la fin non seulement des cookies tiers, mais aussi de toute technologie utilisée pour tracker les personnes qui naviguent sur le Web », a prévenu David Temkin, directeur de gestion de produit « Ads Privacy and Trust » chez Google, dans un post publié le 3 mars (3).
La filiale d’Alphabet ne va plus suivre à la trace les utilisateurs sur non seulement ses propres services mais aussi sur d’autres sites web. Fini les cookies : place aux foules segmentées par audiences anonymes. Il s’agit aussi de restaurer la confiance sur le Web, mise à mal par ces cookies utilisés sans consentement préalable. « Nos tests de FLoC montrent une façon efficace de retirer les cookies tiers de l’équation publicitaire et de cacher les individus au sein de grandes foules de personnes ayant des intérêts communs », explique David Temkin. En avril, Chrome commencera à redonner le contrôle à ses utilisateurs. Puis, à partir du second trimestre, des tests « FLoC » seront menés, à partir du deuxième trimestre, avec des annonceurs publicitaires dans Google Ads. @

Rémunérer les internautes – pour l’utilisation de leurs données personnelles – fait son chemin

Si c’est gratuit, c’est vous le produit ! Mais les internautes ne sont plus dupes : leurs données personnelles sont « l’or noir du XXIe siècle » et ils comptent bien se faire rémunérer pour leur exploitation ou pour visualiser de la publicité. Les start-up de la monétisation des données se multiplient.

La start-up française Tadata va avoir deux ans en fin d’année. Cet été, la Cnil (1) a clôturé l’enquête qu’elle avait lancée au printemps à son encontre après avoir été « alertée » par l’Internet Society France (Isoc France) en février dernier. Cette association qui représente les internautes dans les instances de la gouvernance de l’Internet en France et dans le monde, a décrété un postulat : les données personnelles procèdent d’un droit fondamental et, à ce titre, elles ne peuvent être vendues ou faire l’objet d’une monétisation.

Cnil pour, gouvernement et CNNum contre
L’Isoc France, présidée par Nicolas Chagny depuis cinq ans, a reproché à la jeune pousse parisienne, fondée fin 2018 par Alexandre Vanadia et Laurent Pomies, de justement proposer à un public de jeunes internautes de gagner de l’argent contre le partage de leurs données personnelles. Et l’association de « regretter l’approche simpliste et opaque du gain d’argent facile et rapide (…) ciblant un public vulnérable ». Tadata se présente comme « la première plateforme de monétisation des données personnelles ». Le sang de l’Isoc France n’avait fait qu’un tour, tout en affirmant constater « des non-conformités » au regard notamment du règlement européen sur la protection des données personnelles (RGPD), avait donc « alerté immédiatement la Cnil selon un principe de précaution, avant la montée en puissance d’un tel service » (2). Mais après quelques mois d’investigation, la Cnil a informé en juillet dernier la société qu’elle avait finalement classé sans suite cette affaire, en clôturant la procédure sans aucune sanction (3), la société s’étant mise en conformité avec le RGPD entre autres aspects juridiques. « La Cnil nous a même invité à participer à des échanges et débats sur la thématique de la monétisation des données personnelles avec ses équipes », indique Christel Monge (photo de gauche), présidente de Tadata, à Edition Multimédi@. Le gendarme des données valide donc un nouveau modèle économique des données, là où le gouvernement est plutôt contre la vente des données personnelles. En mars 2018, à la suite d’un rapport « Mes data sont à moi » du think tank libéral Génération Libre prônant la « patrimonialité des données numériques » et leur rémunération (4), Mounir Mahjoubi, alors secrétaire d’Etat au Numérique, avait déclaré lors d’un débat du Syntec Informatique : « Je suis contre toute propriété et vente des données personnelles ». Quant au Conseil national du numérique (CNNum), dans un rapport de 2017, il avait déjà jugé ce « système patrimonial pour les données à caractère personnel » comme « une proposition dangereuse » (5). Avec ce feu vert explicite de la Cnil, la plateforme Tadata met désormais les bouchées double : elle propose donc aux 15- 25 ans de lui faire part d’informations personnelles de leur choix : centres d’intérêt, habitudes de consommation, besoins actuels, … L’internaute est invité à remplir des formulaires. Ensuite, les annonceurs auxquels sont transmis ces données pourront retenir des profils pour utiliser leurs données, contre de l’argent. L’internaute consentant accepte ainsi de « céder l’exploitation » de ses données personnelles « pour une durée de deux ans, dans le cadre d’une licence d’utilisation concédée aux annonceurs ». L’utilisateur a le choix entre être payé par virement sur un compte bancaire (Iban à renseigner à l’inscription), soit par carte cadeau où seront crédités chaque mois les gains obtenus. Tadata a passé un partenariat avec la société Wedoogift, qui permet aux bénéficiaires de dépenser leurs « cartes cadeaux » – valables chacun un an – dans plus de 500 enseignes physiques, dont des cinémas, et plus de 150 sites Internet. Tadata se positionne implicitement comme un anti- GAFAM qui s’arrogent des droits d’exploitation massive de données en échange de la gratuité de leurs services souvent incontournables et en position dominante. « Tous les jours, les acteurs d’Internet utilisent tes données personnelles à ton insu et se font de l’argent sur ton dos ! Avec Tadata, dis “Stop” : reprends le contrôle de tes données perso et gagne de l’argent avec ! », lance la plateforme de monétisation.

Start-up Tadata, My Data, Polymate, …
En contrepartie de son autorisation, le jeune internaute perçoit une quote-part de la redevance perçue par Tadata en vertu des licences d’utilisation conclues auprès de clients (dont les annonceurs), quote-part qui sera comprise « entre 3 et 5 euros » à chaque licence concédée pour l’utilisation par le client d’une base de données contenant des données à caractère personnel (DCP) du jeune concerné. Tadata n’est pas la seule jeune pousse, loin de là, à vouloir monétiser les données personnelles. Toujours en France, à La Rochelle cette fois, My Data – alias « My Data is Rich » (MDiR) – propose de « transformer vos données en royalties » en se présentant comme un tiers de confiance « pour la collecte, la gestion, la protection et la valorisation de données personnelles », indépendant des GAFAM, qui fait le lien entre les « auteurs de données » (essentiellement les particuliers) et les « consommateurs de données personnelles », à savoir les entreprises et tout organisme. MDiR, qui compte « plusieurs milliers de personnes », redistribue à ces « contributeurs » 50 % des gains engendrés par la valorisation de leurs données. « Nous ne sommes pas vendeur de données mais tiers de confiance. Les données sont pseudonymisées et ne sont identifiées auprès d’une entreprise tierce qu’après un droit d’usage accordé par la personne concernée », explique son président Eric Zeyl à Edition Multimédi@. Il l’assure : cette approche permet à chacun d’être « enfin un acteur éclairé et consentant de l’utilisation de ses données », tandis que les entreprises disposent ainsi de solutions « RGPD by design » pour développer des parcours clients ou prospects « data responsables ». La jeune pousse rocheloise a annoncé miseptembre son rapprochement avec le groupe Doxsa (6).

Brave rémunère en cryptomonnaie
Autre start-up française du « données contre royalties » : Polymate, basée à Bailly Romainvilliers (en région parisienne) et présidée par Armel Satchivi (photo de droite), qui revendique être le « premier réseau social géolocalisé qui rémunère ses utilisateurs ». Alors que YouTube (Google) ou, plus récemment, TikTok (ByteDance) sont des mégaplateformes qui rémunèrent leurs créateurs et influenceurs en fonction d’un grand nombre d’abonnés à « leur chaîne » ou de volume d’heures diffusées sur le réseau social, Polymate monnaye la data géolocalisée de ses utilisateurs devenus d’office « influenceurs ». « Un tag est une vidéo, une image ou un texte, qui a pour particularité d’être géolocalisé et de n’être visible que dans un rayon de 100 mètres autour de son emplacement. Seuls les autres “Polymaters” situés à proximité pourront ainsi voir, commenter et partager les tags, et contacter leurs auteurs », explique Armel Satchivi à Edition Multimédi@. Seuls les autres Polymaters situés à proximité pourront ainsi voir, commenter et partager les tags, et contacter leurs auteurs. Du côté des navigateurs web cette fois, Brave permet aux utilisateurs de récupérer les tokens – des jetons – générés en l’utilisant et d’obtenir ainsi une rémunération pour les publicités dont ils autorisent l’affichage. La start-up Brave Software a été créée il y a cinq ans maintenant par Brendan Eich, qui fut cofondateur de Mozilla (Firefox) et créateur du JavaScript. Aujourd’hui, le navigateur Brave revendique près de 20 millions de « braves » par mois dans le monde (19 millions en octobre précisément, contre 12 millions en mai dernier). « Votre attention est précieuse. Gagnez de l’argent en visualisant des publicités qui respectent la vie privée, puis donnez à votre tour pour soutenir les créateurs de contenu que vous aimez », explique l’éditeur de ce navigateur open source construit à partir de Chromium de Google. Fini les publicités envahissantes en naviguant sur le Web et fini la vente des données confidentielles à des annonceurs, la plupart du temps sans le consentement explicite de l’internaute. « Avec votre ancien navigateur, vous payiez pour naviguer sur le Web de la manière suivante : votre attention était utilisée pour visualiser des publicités », rappelle la start-up californienne (basée à San Francisco). Avec le système «Brave Rewards », l’attention de l’internaute – « le temps de cerveau disponible », diraient certains – est valorisée sous la forme de jetons baptisés « Basic Attention Token » (BAT), « une nouvelle façon de valoriser l’attention en unissant les utilisateurs, les créateurs de contenu et les annonceurs ». Les jetons BAT constituent une cryptomonnaie qui s’appuie sur une plateforme décentralisée publicitaire – Ad Exchange – basée, elle, sur la blockchain open source Ethereum. Une fois inscrit, le navigateur commence à comptabilité « la quantité d’attention » accordée par l’internaute aux sites web qu’il visite. Explication du mode de fonctionnement : « Vous pouvez supprimer les sites (web) que vous ne souhaitez pas soutenir et offrir des pourboires directement à des créateurs. Toutes ces opérations sont anonymes : personne (pas même l’équipe de Brave) ne peut voir qui soutient quel site (web) », assure la plateforme.
En octobre, Brave Software a indiqué avoir reversé à ce jour quelque 12 millions de dollars à des créateurs de contenus (7) et compte plus d’un demi-million de sites web référents certifiés. Et de préciser : « Des publicités privées sont activées par défaut dans Brave Rewards, et cela vous permet de gagner des jetons BAT à chaque fois que vous visualisez une publicité. (…) Vous pouvez contrôler le nombre de publicités privées que vous souhaitez voir et gagner 70 % du revenu de la publicité que nous recevons de nos annonceurs ». C’est un peu comme accumuler des miles aériens, mais au lieu de voler l’utilisateur navigue ! « En échange de votre attention, vous accumulez des jetons pendant votre navigation. (…) Vous pouvez choisir de visualiser des publicités privées une à cinq fois par heure. Vous pouvez bien sûr aussi désactiver les publicités privées à tout moment ».

La Californie prône la « Data Dividend Tax »
En février 2019, le gouverneur de Californie, Gavin Newsom, a proposé « un “dividende de données” pour partager la richesse générée par les données personnelles avec les utilisateurs qui y ont contribué » (8). Ce projet prône une taxe numérique baptisée Data Dividend Tax (DDT), dont le modèle est présenté dans un rapport écrit par un groupe de travail indépendant. Ce document de 42 pages a été mis à jour le 6 Août dernier (9). Le fait que cet appel soit lancé par l’Etat américain des GAFAM et des Big Tech de la Silicon Valley donne une portée particulière à cette initiative. @

Charles de Laubier