fil-educavox-color1

Le projet de règlement européen devrait consacrer le principe d’un “droit à l’oubli” numérique. Dans ce contexte, la CNIL a lancé une consultation auprès des internautes et des professionnels afin de cerner ce que pourraient être les contours d’un tel droit. Les réflexions rapportées ci-dessous sont les réponses que j’ai adressées dans le cadre de cette consultation. Afin que mes propos soient compréhensibles, j’ai reproduit certains fragments du texte adressé par la CNIL. À ce stade de la réflexion, ils doivent être considérés comme des pistes et non comme la position officielle de la CNIL.

Le droit à l’oubli numérique sur Internet
[...] Le droit à l’oubli numérique sur internet serait la possibilité offerte à chacun de maîtriser ses traces numériques et sa vie – privée comme publique – en ligne. [...] Il est nécessaire de trouver un équilibre entre le droit à l’oubli d’une part, et la nécessité de se ménager des preuves, le devoir de mémoire et la liberté d’expression d’autre part, comme le prévoit d’ailleurs le projet de règlement européen présenté par la Commission européenne le 25 janvier 2012 et actuellement en cours de discussion. [...]
LM : Je dirais plutôt que l’inscription d’un droit à l’oubli dans la loi aiderait les usagers à maîtriser leurs traces numériques (il ne constitue pas en lui-même un moyen de maîtriser…).
Je suis par ailleurs réticente à l’usage de l’expression “devoir de mémoire”, qui renvoie selon moi à des contextes historiques précis (génocides, amnésies collectives…), non généralisables à l’ensemble des situations quotidiennes encadrées par le projet de règlement. J’estime à ce titre qu’il serait plus pertinent de parler de “fabrique de mémoire”, celle-ci devant être considérée comme le produit d’une activité sociale plutôt que comme un devoir moral.
1. Pistes de réflexion pour améliorer l’effectivité d’un droit à l’oubli sur Internet
a/ L’élaboration d’un référentiel standard
La CNIL s’interroge sur l’opportunité de créer un référentiel standard relatif aux durées maximales de conservation des données, selon les différentes finalités des traitements.
[...] Par exemple, il pourrait être envisagé qu’une page personnelle d’un réseau social, restée inactive durant une période préalablement définie dans ce référentiel (exemple : durant deux ans) puisse être automatiquement supprimée par le responsable du site, après avoir averti l’internaute que, sauf action de sa part, son profil sera supprimé. [...]
LM : Je ne crois pas beaucoup dans la possibilité d’établir un référentiel des finalités possibles de traitement des traces. Outre que cela verrouille par avance l’exploitation des traces, cela suppose une capacité d’anticipation qui me paraît loin d’être implantée dans les usages.
La solution préconisée paraît par ailleurs confondre durée de conservation et durée de publication. Or c’est l’un des points de tension où se joue la confiance ou la défiance des usagers dans les plateformes qui gèrent et publient leurs données : l’utilisateur devrait avoir la garantie que les données qu’il a lui-même décidé de retirer de son espace de publication ne sont pas conservées par la plateforme et qu’elle n’en fera plus usage – sauf mention explicite d’une fonction d’archivage. Ici, une obligation légale de rétrocession complète des données – et ce, quelles que soient les CGU – pourrait s’avérer utile.
L’exemple évoqué renvoie enfin à une autre distinction qui me paraît fondamentale : celle qu’il faudrait introduire entre les traces actives et les traces désactivées. Selon moi, ce n’est pas parce qu’un compte n’est plus actif qu’il faudrait nécessairement le supprimer et retirer les données qu’il contient de tout espace en ligne. Il me paraît plus important d’insister sur l’idée qu’une trace peut être accessible sans être pour autant activable dans n’importe quel contexte. Autrement dit, je préconiserais plutôt l’instauration de “friches numériques” : espaces où les données sont encore consultables mais marquées comme désactivées par l’usage (donc à ne pas exploiter par copie, commentaire, data mining ou traitement statistique). En ce sens chaque plateforme pourrait avoir à préciser le délais au-delà duquel les données qu’elle accueille passeraient en friche en cas de non activité. Mais je ne crois pas que ce soit à la loi de le fixer.
b/ Une meilleure maîtrise de la publication des données
La Commission s’interroge également sur la mise à disposition d’outils permettant aux internautes de mieux maîtriser la publication de leurs données.
Il pourrait s’agir, par exemple, d’offrir aux utilisateurs des fonctionnalités leur permettant :
– de définir une date de « péremption » de leurs publications ;
– de gérer leurs propres publications en leur offrant directement la possibilité de les modifier ou de les supprimer. [...]
LM : Concernant les informations publiées dans des espaces semi-privés, comme dans les réseaux sociaux conversationnels, l’utilisateur devrait en effet avoir davantage la main sur la publication de ses données, et pouvoir déclencher de lui-même à tout instant leur retrait.
Je ne pense pas en revanche qu’il faille instaurer pour ce faire une durée de péremption définie a priori. Je doute en effet que les utilisateurs aient une idée claire de la durée pendant laquelle ils souhaitent voir leurs données publiées au moment où ils conversent en ligne, et je pense que la diversité des situations et des usages est incompatible avec l’instauration d’une règle générale.
Concernant les informations diffusées dans des espaces publics, comme des articles de presse ou des blogs, je pense en revanche qu’il serait dangereux de permettre aux individus de supprimer eux-mêmes les données qui les concernent. Soit ils considèrent qu’il y a diffamation ou préjudice et ils peuvent alors recourir à la loi pour demander un droit de réponse ou intenter des poursuites. Soit les informations publiées ne leur causent pas de préjudice au moment de leur publication et il n’y a pas de raison de leur appliquer une sorte de droit de repentir comme peut l’exercer un auteur sur son œuvre.
Outre les possibilités actuellement en vigueur en matière d’anonymisation et de suppression en cas d’exercice du droit d’opposition pour motif légitime, il pourrait être envisagé qu’un internaute puisse avoir accès à son message afin de pouvoir agir seul pour le modifier et/ou le supprimer.
Pour ce faire, un guide de bonnes pratiques pourrait être élaboré par la CNIL, après consultation des différents acteurs concernés.
LM : Tout dépend dans quel espace de publication on se trouve – réseau conversationnel semi-privé ou espace de publication ouvert à caractère éditorial (même si le propre d’Internet est d’engendrer des espaces hybrides et que cette distinction n’est sans doute pas aisée à faire dans tous les cas).
Concernant le guide de bonnes pratiques, je n’en vois guère ici l’utilité. C’est par les dispositifs plutôt que par les prescriptions que les usages se forment.
c/ Le « droit à l’oubli numérique » et la presse en ligne
[...] La CNIL réfléchit actuellement aux différentes dérogations, juridiques et techniques, qui permettraient de garantir « la cessation de la diffusion » des données à caractère personnel prévue par l’article 17 du règlement. On peut ainsi envisager l’application, cumulative ou pas, des possibilités suivantes :
- l’anonymisation de l’identité du titulaire du droit et, s’il y a lieu, l’effacement des éléments permettant de l’identifier (fonction, ville, etc.) ;
– la désindexation du ou des articles concernés dans les moteurs de recherche afin qu’ils n’apparaissent plus dans les résultats d’une recherche faite sur la base de l’identité du titulaire du droit à l’oubli ;
– la définition concertée d’une durée au-delà de laquelle les articles diffusés en ligne devraient être versés dans un fonds d’archives accessible en ligne mais uniquement sur abonnement.
LM : Dans le cas où les informations publiées par le passé nuisent gravement à la réputation actuelle du titulaire et lui apportent un préjudice durable, on pourrait envisager qu’il puisse demander le retrait de l’article des bases indexées par les moteurs de recherche et sa migration dans une archive accessible seulement sur demande.
Je ne vois pas en revanche en quoi l’abonnement ouvrirait ici un droit d’accès spécifique : ce n’est pas une question commerciale, mais une question de légitimité de la demande en fonction de la finalité visée (comme pour la communication de certains documents non rendus publics, mais susceptibles d’être communiqués à des fins d’étude et de recherche).
Reste à déterminer selon quels critères et par qui serait défini le niveau de préjudice ouvrant droit à une telle désindexation. Cela devrait en tout état de cause demeurer exceptionnel, sous peine d’aggraver considérablement les risques de désinformation au cas où chacun pourrait réécrire ou raturer son/l’histoire à loisir. Cette forme de retrait relève donc à mon sens plutôt de la déontologie des journalistes et éditeurs que d’un droit à accorder systématiquement à toute personne.
d/ La possibilité d’agir auprès de l’hébergeur du site
Il pourrait être ajouté dans le projet de règlement européen la possibilité de s’adresser à l’hébergeur du site de publication ou à tout acteur de diffusion de la donnée visée pour obtenir l’anonymisation ou la suppression des données en l’absence de réponse du responsable du traitement initial.
LM : Si la proposition peut sembler relever du bon sens pour résoudre des situations de blocage dues à la non disponibilité de l’éditeur, j’y suis néanmoins hostile par principe. Je pense en effet qu’il est crucial de maintenir dans la loi, pour toutes les situations, une différence entre les prérogatives, obligations et droits de l’éditeur et celle de l’hébergeur. Sinon, c’est alimenter une confusion qui me paraît nuire gravement à la circulation des contenus sur Internet.
2. Proposition d’amélioration au niveau des systèmes de référencement
Le droit à l’effacement des données pourrait être complété par :
– une obligation juridique de déréférencement sans délai à la charge des moteurs de recherche, dès lors que l’internaute aurait obtenu l’effacement de l’information initiale ;
– la possibilité pour l’internaute de gérer l’indexation de ses données. [...]
LM : Je ne crois pas du tout à la possibilité de contraindre les moteurs de recherche au déréférencement en dehors du cadre clairement délimité des archives de presse ou des sites administrés par un comité de rédaction capable de décider du retrait d’un article en archive désindexée (voir ci-dessus).
Les résultats des moteurs sont le reflet de la présence numérique des individus : à charge pour eux d’assumer la dimension publicatoire de nombre de leurs activités en ligne et de prendre une part plus active dans la construction des contours de cette présence.
Imposer une simplification et une normalisation des paramétrages permettant de régler la visibilité de ses données, en particulier sur les réseaux sociaux, est en effet une nécessité.
Les plateforme devraient avoir l’obligation :
- d’afficher beaucoup plus clairement les choix mis à la disposition de leurs utilisateurs,
- d’assurer une plus grande stabilité de ces paramétrages,
- d’adopter des réglages par défaut qui garantissent la protection maximale et non l’inverse.
Une fois encore, le principe d’une désindexation décidée par l’usager me paraît en revanche à la fois impossible à mettre en œuvre et peu souhaitable. Mieux vaut œuvrer à expliquer le principe même du référencement et à responsabiliser toujours davantage les individus dans leurs pratiques publicatoires.
3. La portabilité des données
Le projet de règlement prévoit d’instaurer un droit à la portabilité, qui devrait permettre à chacun d’obtenir d’un responsable de traitement la copie des données qui le concernent, dans un format électronique structuré couramment utilisé et permettant leur réutilisation. Le droit à la portabilité pourrait toutefois concourir au droit à l’oubli chaque fois que son exercice serait assorti d’une demande d’effacement des données conservées par le responsable du traitement initial.
LM : Le droit à la portabilité est essentiel : plus que l’effacement des données, c’est cette possibilité offerte aux utilisateurs d’administrer eux-mêmes leur profil pour exploiter comme ils l’entendent leurs propres traces qui corrigera les effets abusifs ou intrusifs de la captation des données personnelles.
Autres suggestions pour assurer l’effectivité du droit à l’oubli
LM : Je suggèrerais qu’il soit ajouté au projet de règlement la nécessité de mieux garantir la distinction entre identification et authentification.
Si je considère que le principe d’un effacement des données est souvent inapplicable ou dangereux, je pense en revanche que les usagers devraient pouvoir préserver beaucoup plus souvent leur anonymat ou leur pseudonymat, quand bien même ils doivent authentifier leur connexion ou fournir des informations personnelles (sur leurs habitudes, leurs préférences ou leurs parcours) afin de personnaliser leurs transactions. Autrement dit, l’écart entre authentification et identification devrait être davantage garanti : s’il est légitime de devoir prouver qu’on a bien les droits pour accéder à des information protégées, engager une transaction marchande, bénéficier d’un service spécifique, etc., il n’est en revanche pas normal de devoir s’identifier en toute circonstance, pour simplement consulter des contenus.
Ces demandes abusives d’identification de la part des sites devraient être davantage contrôlées et poursuivies.
C’est à cette condition qu’on pourra alors inciter les utilisateurs non pas tant à se protéger qu’à partager leurs données en toute confiance, sachant qu’ils ne livreront que ce qui leur est à eux-mêmes utile.
→ Voir l’émission 14h42 consacrée au droit à l’oubli
Conditions de réutilisation
cc-by-nc-sa-58ba-1a861
Sauf mention contraire, les textes et photos de ce blog sont de Louise Merzeau et sont sous licence Creative Commons.
Vous pouvez les reproduire et les communiquer à condition :
• de citer l’auteur
• de ne pas en faire d’utilisation commerciale
• de les rediffuser selon les mêmes conditions CC BY-NC-SA
Dernière modification le lundi, 05 janvier 2015
An@é

L’association, fondée en 1996, à l’initiative de la création d’Educavox en 2010, en assure de manière bénévole la veille et la ligne éditoriale, publie articles et reportages, crée des événements, valorise les innovations, alimente des débats avec les différents acteurs de l’éducation sur l’évolution des pratiques éducatives, sociales et culturelles à l’ère du numérique.