Source: http://iris.sgdg.org/actions/lsi/apl/avis-cnil.html
Timestamp: 2019-06-19 09:38:10+00:00

Document:
LSI - APL - Avis CNIL
Délibération N°01-018 du 3 mai 2001 portant avis sur
le projet de loi sur la société de l'information
NB. Texte mis en ligne le 12 juin 2001 par IRIS, qui a pu se le procurer
Voir aussi les remarques d'IRIS sur cet avis
Saisie pour avis par le garde des Sceaux et le secrétaire d'Etat à l'Industrie, le 30 mars 2001, du projet de loi sur la société de l'information.
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret d'application du 17 juillet 1978,
Le projet de loi sur la société de l'information aborde plusieurs sujets concernant Internet qui correspondent aux débats de fond que le développement du réseau suscite depuis plusieurs années dans l'ensemble des pays développés.
Ainsi, la protection des données personnelles et de la vie privée, qui faisait encore figure d'exception au moment de l'adoption de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, est devenue la règle commune en Europe. En outre, les préoccupations que l'usage grand public ou commercial du réseau ont par ailleurs suscitées, à peu près dans les mêmes termes partout dans le monde, ont fait d'Internet un puissant vecteur de transmission de la culture européenne de protection des données personnelles. Aussi la CNIL est-elle très attentive aux choix auxquels le projet de loi procède et qui auront, à n'en pas douter, un écho particulier compte tenu de l'influence française en ce domaine.
Ainsi, en est-il tout particulièrement pour l'usage, policier ou commercial, qui peut être fait de données personnelles qui relèvent par nature de notre vie privée et qui sont traditionnellement protégées par le secret de nos correspondances, le secret des choix audiovisuels ou l'inviolabilité de notre domicile. Il en est de même pour la diffusion d'une information personnelle sur le réseau international qui concerne non seulement les internautes mais toute personne dont le nom figure sur le net.
En effet, les protocoles de communication utilisés par Internet produisent des "traces" sur notre comportement ou nos habitudes qui sont détenues par des tiers, intermédiaires techniques, tels que les opérateurs de communication, les fournisseurs d'accès et les hébergeurs de sites. Le volume des fichiers ainsi constitués et les possibilités d'exploitation des informations qu'ils comportent sont sans précédent. Aussi la question de l'utilisation qui peut être faite de telles données est-elle d'abord un débat sur la liberté dans une société numérique. Ce débat met naturellement en jeu, voire en conflit, non seulement les nécessités d'ordre public et le respect de la vie privée mais aussi la liberté du commerce et de l'industrie, ses exigences et les limites qu'imposent les capacités inédites de "ciblage", de "profilage" et de "pistage".
La capacité de diffusion des informations sur le réseau est également sans précédent. On ne peut que se réjouir de l'élargissement considérable du périmètre de la liberté d'information et de l'accès aux savoirs qui en résulte. Cependant la technologie n'est pas neutre : il n'y a pas de commune mesure entre l'affichage d'un document à la porte d'un tribunal ou d'une mairie et sa diffusion sur Internet. Avec Internet, toute information diffusée en clair devient accessible depuis quelque endroit du monde que ce soit, sans que la profusion des informations disponibles ne constitue même une limite puisque les moteurs de recherche permettent de la retrouver dans l'instant. Cette possibilité technique de diffuser, dupliquer, récupérer, à l'échelle du monde, toute information disponible sur le réseau renouvelle sans doute les termes du débat sur la portée des mesures de publicité qui doivent entourer certaines informations lorsque ces dernière revêtent un caractère nominatif. C'est la raison pour laquelle, au-delà de l'avis que le Gouvernement a, en particulier, demandé à la Commission sur les dispositions du projet relatives à la publicité non sollicitée et à la conservation des données de connexion, la CNIL fera part de ses réflexions sur les dispositions du Titre Ier du projet relatives à l'accès à l'information.
(articles 17, 18 et 19 du projet de loi)
Les informations relatives à l'usage que l'on fait du téléphone ou d'Internet sont de celles qui touchent le plus intimement à notre vie privée : les personnes que l'on appelle, quand, d'où (avec le téléphone mobile), notre navigation sur Internet, les services que nous utilisons et les sites que nous consultons, l'heure exacte de nos communications ou de nos connexions, leur durée.
Le projet, qui vise les données de connexion dont disposent les opérateurs de téléphonie mais aussi les fournisseurs d'accès à Internet(1), pose le principe d'un effacement ou d'une anonymisation de "toute donnée technique relative à une communication lorsque celle-ci est achevée", transposant ainsi l'article 6 de la directive 97/66. Deux exceptions sont cependant ménagées pour prévoir, d'une part, que certaines données nécessaires à la facturation ou au paiement de prestations pourront être conservés jusqu'à la fin de la période au cours de laquelle la facture peut être légalement contestée, d'autre part et surtout, que certaines données pourront être conservées pendant une durée maximale d'un an, "pour les besoins de la recherche et de la poursuite des infractions pénales et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l'autorité judiciaire de ces données".
En évoquant, dans un même article, les données dont la conservation est justifiée par les nécessités de la facturation - ces données étant alors accessibles à la police judiciaire selon le droit commun - et celles dont la conservation, sans utilité pour l'internaute ou l'opérateur de télécommunication, sera prescrite par la loi à des fins exclusivement policières - c'est-à-dire, pris ensemble, le droit commun et l'exception - la présentation retenue par le projet de loi a pour effet d'estomper le caractère inédit du dispositif retenu. Cet effet ne peut qu'être renforcé par l'apparent parallélisme qui est établi entre les modalités de conservation des données dans les deux hypothèses, pourtant bien distinctes : référence, dans les deux cas, à une durée de conservation d'un an(2), renvoi, dans les deux cas, à un décret en conseil d'Etat pris après avis de la CNIL, référence commune aux dispositions de la loi du 6 janvier 1978.
Les termes de ce débat ne sont pas nouveaux, ni inédits en matière de nouvelles technologies. Ce fût d'ailleurs une des intuitions des législations de protection des données personnelles et de la vie privée, au premier rang desquelles figure la loi française du 6 janvier 1978 et la Convention du 18 janvier 1981 du Conseil de l'Europe pour la protection des données personnelles, que d'avoir prévu que l'informatisation de nos sociétés allait permettre la collecte, le stockage, la conservation et le traitement de données de plus en plus nombreuses sur nos comportements les plus intimes (l'usage d'une carte bancaire, la nature et le montant de nos achats, le lieu où l'on se trouve à tel moment, l'heure d'une connexion, le lieu d'où l'on passe un appel depuis un mobile, le passage à tel péage d'autoroute, etc.). Les nouvelles technologies contribuent à créer de nouveaux gisements de données qui constituent, pour la police, autant d'éléments de preuves aisément accessibles, lui offrant ainsi des possibilités d'investigation sans précédent.
Aussi, ayant pressenti que les capacités de stockage et de traitement de l'information pourraient se développer quasiment sans connaître de limites techniques - ce qui est précisément advenu - le législateur a-t-il souhaité définir, dès les premiers balbutiements de la société numérique, des garanties destinées à prévenir toute rupture de l'équilibre entre les droits du citoyen et les prérogatives de l'Etat.
S'agissant des opérateurs de téléphonie (fixe ou mobile), les données générées par nos communications (qui on appelle ? quand ? pendant combien de temps ? où ? d'où ?) sont fondamentalement liées à la facturation qui est d'ailleurs très largement déterminée par elles. Ces données sont évidemment particulièrement sensibles, mais nul ne met en cause la légitimité de leur conservation aussi longtemps que la facture peut être contestée. Sans doute la téléphonie mobile a-t-elle apporté une information supplémentaire par rapport aux informations "plus classiques" liées à la téléphonie fixe : notre localisation lorsque nous passons ou recevons un appel depuis un portable.
S'agissant de ceux des fournisseurs d'accès à Internet dont la tarification du service est liée à un forfait, les données dont la conservation est justifiée par une nécessité de facturation sont plus limitées dans la mesure où le tarif des connexions à Internet est toujours celui d'une communication locale, quels que soient la distance du serveur auquel l'abonné se connecte, la nature du site Web consulté ou l'identité du destinataire d'un message électronique.
La CNIL a déjà appelé de ses voeux(3) une harmonisation de la durée de conservation de telles données. En effet, jusqu'à présent seul l'opérateur historique était tenu, en conséquence des dispositions de l'article L126 du code des P et T, de ne les conserver que pendant une durée d'un an, les règles de droit commun en matière de prescription des créances civiles autorisant les opérateurs entrants à conserver ces informations pendant le délai ordinaire de prescription, soit 5 ans, durée qui pouvait, à tous égards et compte tenu en particulier de la sensibilité des informations en cause, paraître tout à la fois excessive et susceptible de provoquer des atteintes injustifiées à la vie privée des personnes.
La Commission s'interroge toutefois sur la rédaction proposée pour l'article L32-3-3 nouveau §III du code des postes et télécommunications (article 17 du projet) qui évoque l'hypothèse d'une transmission de ces données de facturation à des tiers. Outre l'apparente contradiction entre une telle hypothèse et les garanties ci-dessus rappelées, une telle précision pourrait paraître sans réelle portée dans la mesure où la référence faite à la loi du 6 janvier 1978 suffit à autoriser une telle transmission dès lors qu'elle serait justifiée par la finalité de facturation ou de recouvrement.
Certes, le projet précise que les données ainsi conservées "ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit". Mais cette rédaction, qui se borne à un constat exclusivement technique, si elle n'est pas inexacte, pourrait cependant donner à penser que de telles données sont anodines. Or, elles ne le sont nullement dans la mesure où, comme le précise le projet par ailleurs, elles portent notamment "sur l'identification des personnes utilisatrices des services fournis par l'opérateur de télécommunication".
Concrètement, il s'agit de faire obligation aux fournisseurs d'accès de conserver ce que l'on nomme les "adresses IP" des ordinateurs connectés aux services accessibles par Internet, adresses qui constituent l'équivalent d'un numéro minéralogique que le fournisseur d'accès attribue à l'ordinateur utilisé par l'abonné, soit de manière permanente, soit à chacune de ses connexions. La conservation de cette adresse IP permet d'identifier tout ordinateur connecté au réseau (et donc la personne physique titulaire de la ligne) et ses heures de connexion. Certes, à elle seule, la conservation de ces informations ne permet pas d'identifier l'activité de l'internaute. Mais si le projet de loi prescrit la conservation de telles données, c'est précisément pour associer à un comportement sur Internet une identité précise. La technologie d'Internet (c'est-à-dire le protocole de communication entre ordinateurs distants) permet déjà à certains robots de récupérer l'ensemble des adresses IP des ordinateurs connectés ; la conservation des données de connexion par les fournisseurs d'accès permettra d'identifier individuellement leurs utilisateurs ou tout au moins la personne physique titulaire de la ligne. De même, le rapprochement des données devant être conservées par les fournisseurs d'accès avec celles dont la loi du 1er août 2000 a prescrit la conservation aux hébergeurs de sites, permettrait d'identifier, non pas seulement les personnes ayant rendu un contenu accessible sur Internet, mais beaucoup plus généralement les internautes s'étant bornés à consulter tel ou tel site.
Ces quelques précisions techniques donnent la mesure de ce qui est en cause dans le projet de loi: l'absolue et inédite transparence de notre activité d'internaute lorsque pourtant nous nous abstenons de mettre un contenu à la disposition du public via le réseau.
Il est déjà possible aux autorités de l'Etat, dans les conditions prévues par la loi du 1er août 1991 relative au secret des correspondances émises par la voie des télécommunications, de procéder à des interceptions de communications sur Internet, comme elles peuvent le faire pour les communications téléphoniques, ce qui résulte d'ailleurs clairement de l'article 52 du projet de loi. De telles interceptions, placées sous le contrôle du juge ou d'une autorité indépendante, permettent déjà d'identifier les comportements délictuels ou criminels.
Le projet de loi n'a donc pas pour objet de rechercher un moyen de substitution à une technique qui ne serait pas applicable à Internet - l'interception est possible sur Internet - mais à étendre les possibilités dont devraient disposer les autorités publiques, en ajoutant aux moyens traditionnels dont elles disposent déjà (les interceptions de communication), des moyens nouveaux que la technologie et les protocoles de communication permettent de mettre en oeuvre (le rapprochement et l'analyse des données de connexion).
Il convient de mettre en regard des impératifs d'intérêt public, qui méritent donc d'être nuancés, la liberté personnelle : celle de consulter un site Internet sans avoir le sentiment d'être sous surveillance, celle de pouvoir adresser un message électronique, comme on adresse un courrier postal ou un appel téléphonique, non pas avec un sentiment particulier de liberté, tant celle-ci nous paraît acquise, mais sans calcul ni préoccupation. Le développement du minitel en France a suscité, en termes de libertés personnelles, des débats de même nature que ceux qui sont aujourd'hui abordés, s'agissant d'Internet. Ne convenait-il pas de se prémunir contre certains des usages "inconvenants" de la télématique, de veiller au respect de l'ordre public et d'une certaine civilité par les kiosques ? Le choix a pourtant été fait de ne pas lier la facturation à la nature des services offerts et de renoncer à installer une "mémoire vive"(4) dans les terminaux de sorte que la nature des services consultés par les usagers ne soit ni conservée, ni traitée. Et nul n'avance qu'en procédant ainsi l'Etat se serait désarmé face à certaines formes de délinquance. Il s'agissait, à l'heure d'une technologie jusqu'alors inédite, de s'en tenir aux principes fondamentaux de protection de la vie privée des personnes qui président également à l'accès aux services de communication audiovisuelle : en cette matière, le secret de ses choix, dans une société de libertés, devrait demeurer la règle et les exceptions très rigoureusement pesées.
Le dernier intérêt en cause, qui ne se situe pas sur le terrain des libertés mais qui mérite sans doute d'être évoqué, est celui des fournisseurs d'accès eux-mêmes, acteurs sans lesquels les connexions à Internet ne seraient pas possibles. Sans doute les contraintes d'une catégorie de professionnels ne sauraient-elles dicter ce que commande l'intérêt général. Cependant, c'est sur eux que pèsera, techniquement et financièrement, l'obligation de conserver pendant de longues durées les données de connexion. Les estimations les plus sérieuses évaluent le nombre de pages Web consultées par jour, en France, à 4 ou 5 milliards. S'agissant des messages électroniques, l'Association des fournisseurs d'accès précise que les abonnés des professionnels qu'elle fédère auraient envoyé, pour la seule journée du 3 janvier 2001, 3.600.000 messages. De tels volumes donnent incontestablement la mesure de l'obligation qui leur serait faite s'ils étaient tenus de conserver pendant une durée d'un an trace de l'ensemble des connexions et du coût que représenterait, alors, la recherche de celles des données qui pourraient, les cas échéant, être utiles à une enquête. Il serait à craindre que le coût final d'une telle obligation soit reporté sur les internautes.
Cependant, l'hypothèse d'un tri entre des données à caractère technique qui sont rassemblées dans des fichiers dits "fichiers log" peut paraître assez peu réaliste d'autant qu'un tel dispositif reviendrait à ajouter à la contrainte faite aux opérateurs de conserver des données sans utilité pour eux une deuxième contrainte consistant à leur demander de procéder à une sélection a priori entre les données produites par la technologie. D'autre part et surtout, l'obligation ainsi instituée dérogeant au droit commun, sa portée et ses modalités de mise en oeuvre paraissent devoir être déterminées par le législateur. Il est en tout cas permis de s'interroger sur le point de savoir si un renvoi aussi général au pouvoir réglementaire, fût-ce après avis de la CNIL, offre les garanties de précision et de clarté exigées dans une matière qui touche aux libertés individuelles et publiques, étant observé qu'il ne s'agit plus, comme dans la loi du 1er août 2000, de permettre l'identification d'auteurs de contenus diffusés sur Internet mais toutes les personnes se connectant à Internet.
La Commission croit devoir souligner que, selon le témoignage recueilli auprès de ses homologues européens, ceux des Etats-membres ayant prévu une obligation de conservation de ces données pendant une durée maximale de cet ordre ne paraissaient pas avoir rencontré de problèmes particuliers en matière de lutte contre la délinquance par le réseau.
Par ailleurs, dans une résolution législative portant avis du Parlement européen sur le projet d'action commune relative à la lutte contre la pornographie enfantine sur Internet(5), cette Assemblée a estimé qu'une durée de conservation des données de trafic de trois mois pouvait être adaptée.
Enfin, la commission européenne, saisie pour avis par la Belgique d'un projet de loi de réforme du code pénal qui retenait, notamment, une durée de conservation des données d'appels et d'identification des utilisateurs d'au moins douze mois, et qui renvoyait à des arrêtés royaux le soin d'arrêter les durées de conservation précises en fonction des services utilisés, a émis un avis circonstancié estimant que l'obligation ainsi définie était insuffisamment précise au regard des exigences européennes, qu'elle constituait une restriction excessive à l'exercice des activités économiques et une atteinte non justifiée aux principes de protection des données personnelles.
Enfin, les conditions dans lesquelles de telles données personnelles pourraient être saisies ou accessibles dans le cadre d'une procédure judiciaire mériteraient sans doute d'être précisées compte tenu de la nature particulière de telles données qui ne sont pas conservées par les personnes concernées par la communication, mais par un tiers (le fournisseur d'accès). En effet, le projet de loi, en son état, ne parait subordonner un tel accès à ces données à aucune condition tenant à la gravité de l'infraction recherchée et donne à penser que ces données pourraient être consultées ou saisies dans le cadre d'une enquête préliminaire qui se caractérise, pourtant, par le fait qu'à ce stade l'infraction n'est pas patente et ne permet pas à la police judiciaire de procéder à des saisies ou perquisitions, sans l'accord exprès des personnes concernées.
(articles 25 et 26 du projet de loi)
Le Titre III "Du commerce électronique" comporte un chapitre II relatif à la publicité par voie électronique qui institue une obligation de transparence à l'égard des consommateurs par l'identification claire et non équivoque de la nature publicitaire des messages électroniques de publicité non sollicitée ainsi que des offres promotionnelles telles que les rabais, primes, cadeaux, concours ou jeux. Cette obligation est tout à fait satisfaisante.
Le projet de loi introduit par ailleurs dans le code de la consommation un article L121-15-3 nouveau faisant obligation aux personnes physiques ou morales utilisant la messagerie électronique des internautes pour leur adresser des messages publicitaires qu'ils n'ont pas sollicités de "veiller" à ce que de tels messages "ne soient pas adressés à des personnes physiques qui ne souhaitent pas recevoir ce type de communication et qui se sont inscrites à cet effet dans des registres d'opposition". Le projet de loi renvoie à un décret en conseil d'Etat le soin de fixer les conditions de fonctionnement de tels registres.
Aussi convient-il que la règle de droit qui sera posée en la matière puisse prévenir toute dérive. En n'évoquant que la seule publicité commerciale, et en faisant obligation aux internautes ne souhaitant pas être sollicités de s'inscrire sur des registres d'opposition, le projet de loi dans sa rédaction actuelle pourrait laisser penser que serait régulier tout envoi de message non sollicité, quelle qu'en soit la nature, à l'égard d'une personne, quel qu'en soit l'âge, qui ne se serait pas inscrite dans un registre d'opposition. Une telle manière de voir, si elle devait prospérer, pourrait avoir des effets tout à fait désastreux, compte tenu notamment du nombre de jeunes adolescents disposant d'une adresse électronique.
Par ailleurs, la prospection électronique tire sa force des caractéristiques particulières d'Internet qui doivent être prises en compte au moment de légiférer sur le sujet. En effet, à la différence de la prospection traditionnelle, dans laquelle l'expéditeur supporte entièrement les frais de prospection (qu'elle soit postale, téléphonique ou par télécopie), la prospection électronique est quasiment à coût nul pour le prospecteur. Il est possible de se procurer sur Internet pour des sommes modiques des CD-Rom concernant jusqu'à 60 millions d'adresses électroniques. Les frais de production et de communication des messages sur Internet sont, grâce à la numérisation et aux possibilités de duplication immédiate qu'autorise la technologie, sans commune mesure avec les coûts élevés que nécessitent les envois postaux (fabrication de maquette, coût du papier, mise sous pli, affranchissement). Or, jusqu'à présent, le législateur, national ou européen, a toujours considéré que plus le coût de la prospection était faible pour le commerçant, plus les risques d'abus étaient réels, comme l'ont manifesté, tour à tour, la prospection téléphonique par automate d'appels (dans les années 80) et surtout la prospection par télécopie (dans les années 90).
C'est la raison pour laquelle l'Union européenne s'est accordée pour limiter l'usage de telles formes de prospection en subordonnant l'utilisation des automates d'appels et, désormais, de la télécopie à des fins de prospection au consentement de la personne concernée : sans consentement, ces modalités de prospection sont irrégulières.
Enfin, et surtout, le problème traité par le projet de loi ne se limite pas aux inconvénients qui s'attacheraient à la seule réception d'un message non sollicité par l'internaute. Il ne peut y avoir sur Internet d'envoi de messages que s'il y a eu précédemment collecte automatisée des adresses électroniques des internautes, c'est-à-dire, constitution de véritables bases de données dont l'ampleur a été soulignée ci-dessus. Telle est la pratique de certains opérateurs qui n'hésitent pas à lancer des robots sur Internet afin de récupérer toutes les adresses électroniques disponibles sur les espaces publics d'Internet. Dès lors, l'adresse électronique utilisée, et éventuellement le "profil" de son titulaire tel qu'il peut être déduit des échanges que l'internaute considéré a pu librement avoir sur tel sujet particulier dans un forum de discussion, sont conservés, à son insu dans une base de données, à des fins commerciales ou de prosélytisme, par un tiers avec lequel il n'a jamais eu de contact. Soutenir que la mise en place de registres d'opposition constituerait une mesure suffisante revient à espérer qu'en évitant d'alarmer l'internaute, ce dernier n'exercera aucun des droits qui lui sont pourtant reconnus à l'égard des traitements de données personnelles le concernant : les données le concernant continueront à être traitées et, le cas échéant, cédées à des tiers mais, tenu dans l'ignorance du fait, il ne disposera plus d'aucun moyen de demander la radiation de ses coordonnées des fichiers dans lesquels elles figurent.
Sans doute la directive européenne 2000/31 dite "Commerce électronique", prévoit-elle la mise en place de tels registres d'opposition. Mais, contrairement à ce que soutiennent certains groupes professionnels, cette directive n'a aucunement entendu choisir entre les deux solutions qui ont été passionnément discutées sur le sujet, la première consistant à permettre que toute prospection électronique soit possible à l'égard des personnes qui n'auraient pas manifesté, par un geste positif, leur refus d'en recevoir (dite "opt out"), la deuxième soutenant au contraire que, compte tenu de ses caractéristiques, la prospection par courrier électronique était une des plus intrusives qui soient dans le monde du commerce et qu'il convenait, comme pour la publicité par automates d'appels ou par télécopie, d'en subordonner l'usage aux seules personnes qui y avaient consenti (dite "opt in"). En effet, l'article 7 de la directive concernée n'évoque que "les Etats membres qui autorisent les communications commerciales non sollicitées", signifiant ainsi clairement que le choix d'autoriser ou non de telles formes de publicité relevait du niveau national et n'était nullement imposé par la législation communautaire. La rédaction de cet article fait en outre une référence expresse aux "autres exigences prévues par le droit communautaire" parmi lesquelles figure la directive "protection des données personnelles" du 24 octobre 1995, le considérant 30 du texte européen précisant par ailleurs que "la question du consentement du destinataire pour certaines formes de communications commerciales non sollicitées n'est pas traitée par la présente directive". Dès lors aucun argument tenant aux exigences communautaires n'impose à la France d'arrêter un tel dispositif.
La Commission ne peut, dans ces conditions, que rappeler les conclusions qu'elle a rendues publiques dans son rapport d'ensemble sur le sujet, adopté le 14 octobre 1999(6).
Outre les caractéristiques particulières de la prospection électronique qui ont été rappelées plus haut, la Commission souhaite souligner, qu'à la différence des autres formes de prospection, la prospection par courrier électronique est très "intrusive" et directement ciblée. Une boîte aux lettres électronique, à la différence d'une "boîte aux lettres physique", est directement ouverte sur le monde et dépourvue des "barrières" que constituent un hall d'entrée, un digicode ou une gardienne.
Par ailleurs, ce mode de prospection est coûteux pour les internautes, un récent document d'étude de la commission européenne(7) évaluant à 10 milliards d'euros le coût annuel mondial supporté par eux au titre de la réception de messages non sollicités (le coût étant déterminé en fonction de la durée moyenne de lecture des messages avant effacement).
C'est la raison pour laquelle la pratique du "spam" est vécue, par les internautes mais aussi par les fournisseurs d'accès à Internet dont les installations peuvent être utilisées à leur insu pour dupliquer un même message à des milliers d'exemplaires - encombrant ainsi, au détriment des usagers, le volume de la bande passante et donc la rapidité des connexions - comme une pratique intolérable.
En outre, les acteurs professionnels qui sont nés avec l'Internet et qui perçoivent sans doute mieux que d'autres les attentes et les exigences des internautes à l'égard des bonnes pratiques sont très majoritairement favorables à la solution du "consentement" (opt in) qui, à leurs yeux, présente un considérable avantage en terme de communication commerciale dans la mesure où, à la différence des registres d'opposition (opt out) qui ne permettent de communiquer qu'à partir de souhaits inexprimés, les listes compilées d'adresses de personnes "consentantes" exprimeraient une "multitude de désirs de consommation et de centres d'intérêts précis" à valeur ajoutée marchande beaucoup plus élevée. C'est en tout cas ce qui résulte de l'étude des pratiques les plus récentes aux Etats-Unis à laquelle a procédé la commission européenne(8).
- toute collecte de données opérée dans un espace public de l'internet, sans le consentement des personnes concernées, doit être considérée comme irrégulière et déloyale,
- toute personne (client ou visiteur du site) doit pouvoir s'opposer en ligne à une utilisation commerciale de ses données ou à une cession commerciale des données ainsi collectées à un tiers, à des fins de prospection commerciale.
Une telle manière de voir n'est en rien contraire aux intérêts du commerce électronique puisqu'elle permettrait à tout commerçant en ligne de recourir à la messagerie électronique pour adresser des offres ou propositions nouvelles à l'ensemble de ses clients ou des visiteurs du site, dès lors que ces derniers auraient été préalablement informés, par une mention en ligne, d'une telle éventualité et de leur possibilité de s'y opposer, comme l'exigent d'ailleurs les règles ordinaires de protection des données personnelles et comme le pratique déjà l'ensemble des professionnels dans le monde hors ligne.
La solution préconisée par la Commission interdirait en revanche clairement deux pratiques :
De nombreux organismes de labellisation de sites commerciaux s'engagent déjà à respecter de telles recommandations. Tel est notamment le cas de L@belsite et du Bureau Veritas. On comprend mal que la loi sur la société de l'information ne soit pas mise à profit pour consacrer ces "bonnes pratiques" loin de tout débat, un peu dogmatique, entre le "opt-in" et le "opt-out".
Aussi, un principe général d'interdiction de collecte des adresses électroniques ou de toute autre donnée personnelle à partir des espaces publics de l'Internet, sans le consentement des internautes, devrait-il être posé par la loi. Toute collecte irrégulière d'adresse électronique dans ces conditions devrait être sanctionnée d'une amende par adresse, une disposition de cette nature paraissant mieux adaptée et plus dissuasive que les dispositions générales de l'article 226-18 du code pénal qui sanctionne la collecte frauduleuse ou déloyale d'une peine de cinq ans d'emprisonnement.
Cette proposition n'exclut nullement la mise en oeuvre de registres d'opposition que le projet de loi envisage et dont certains sont déjà mis en oeuvre par des organisations professionnelles. Mais elle leur conférerait, alors, la nature d'ultime "filet de sécurité"qui doit être la leur, comme dans le monde du commerce hors-ligne.
(articles 3 à 6 du projet de loi)
Sous un même intitulé le chapitre II du Titre Ier du projet de loi regroupe des dispositions de nature et de portée différentes : les premières sont principalement destinées à faciliter l'accès du citoyen aux informations détenues par l'Etat ou les collectivités publiques (les données sont alors dites "publiques" parce qu'elles sont collectées ou produites dans le cadre d'une mission de service public) ; les secondes posent un principe général de gratuité et une obligation de mise en ligne sur Internet de l'ensemble des actes et décisions pris dans le cadre d'une mission de service public soumis à une obligation de publicité en vertu de dispositions législatives ou réglementaires (les données sont alors dites "publiques" parce qu'il s'agit de données soumises à un certain régime de publicité).
Le souci d'une plus grande accessibilité de l'information administrative et celui de favoriser les activités économiques liées à la valorisation de l'information administrative ne peuvent qu'être partagés. A cet égard le projet de loi prolonge, à l'heure de la société numérique, la volonté de plus grande transparence que le législateur a manifestée en adoptant la loi du 17 juillet 1978 portant diverses mesures d'améliorations des relations entre l'administration et le public, laquelle a d'ailleurs été modifiée récemment, par une loi du 12 avril 2000, dans le souci de mieux harmoniser ses dispositions avec les dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
L'article 4 du projet de loi fait obligation à l'ensemble des services de l'Etat et des établissements publics à caractère administratifs de mettre à la disposition du public, sur des sites web accessibles en ligne gratuitement, les données essentielles qui les concernent parmi lesquelles figure "l'ensemble des actes et décisions [...] qui sont soumis à une obligation de publicité en vertu de disposition législative ou réglementaire".
Il résulte clairement de l'ensemble de ce dispositif que dès lors qu'un acte ou une décision (y compris ceux revêtant un caractère nominatif) sera considéré comme "donnée essentielle", sa mise en ligne obligatoire sera de droit, sauf exception posée par décret en Conseil d'Etat après avis de la CNIL.
Au regard de la protection des données personnelles et de la vie privée, on peut s'interroger sur le point de savoir si, d'une part, dans la généralité de ses termes, l'obligation qui serait faite de diffuser sur Internet toute donnée "publique", y compris des données personnelles, a suffisamment pris en compte les spécificités liées à un mode de diffusion tel qu'Internet et, d'autre part, si la réserve faite, par exception, pour certains actes et décisions, au motif de risques particuliers que leur utilisation pourrait faire peser sur les libertés individuelles, constitue une garantie suffisante.
Ainsi suffit-il d'indexer le nom d'une personne physique sur un moteur de recherche pour obtenir l'ensemble des informations la concernant diffusées sur Internet à partir de sites géographiquement épars ou de nature différente. Ce qui est techniquement possible lorsqu'une recherche documentaire via Internet est entreprise sur Rabelais, l'est aussi lorsqu'il s'agira de se renseigner sur un candidat à l'emploi ou à un logement, sur un voisin ou un proche, sur un demandeur au crédit, et ce, à l'insu des personnes concernées.
Souligner ces caractéristiques techniques manifeste qu'au-delà des "risques particuliers" qu'une telle diffusion d'informations nominatives est susceptible de présenter au regard des libertés individuelles, et qui justifieraient alors le dispositif d'exception par décret en conseil d'Etat pris après avis de la CNIL, la diffusion d'une information se rapportant à une personne physique génère un risque "très ordinaire" mais permanent - dès lors qu'il peut suffire d'une diffusion de quelques minutes sur Internet pour générer la duplication et la conservation de l'information en cause, sans limite contrôlable de durée et sur une multitude de serveurs - de réutilisation des informations à l'insu des personnes concernées et étrangère à la finalité de publicité qui a pu, un instant, être recherchée.
Pour n'évoquer que quelques exemples "d'actes ou de décisions pris au nom d'une personne publique qui sont soumis à une obligation de publicité en vertu de dispositions législatives ou réglementaires" et qui devraient, à suivre le projet de loi, être mis en ligne par les administrations ou collectivités publiques concernées, sauf intervention d'un décret dérogatoire en conseil d'Etat: un jugement portant sur un licenciement pour faute grave, un homicide involontaire, la responsabilité professionnelle d'un praticien, un contentieux fiscal, etc., est naturellement soumis à une obligation de publicité, de même que le rôle des impôts (articles Ll04 et L111 du Livre de procédure fiscale), la liste électorale qui comporte la date de naissance et l'adresse personnelle des personnes (article L28 du code électoral), les bans de mariages qui comportent la profession et le domicile des futurs époux (article 63 du code civil), le cadastre dont la publicité est organisée par l'article 37 du décret de valeur législative du 7 messidor An II, les permis de construire (article R421-39 du code de l'urbanisme).
Mais la publicité jusqu'alors organisée autour de tels actes ou décisions peut poursuivre une finalité particulière ou être assortie de réserves d'usage dont le respect ne pourrait plus être assuré si ces actes et décisions étaient accessibles en ligne. Ainsi la consultation des listes électorales est libre mais il ne peut en être fait une utilisation à des fins exclusivement commerciales, le rôle de l'impôt sur le revenu est consultable à la direction des services fiscaux mais par les seuls contribuables qui relèvent de sa compétence territoriale (le livre des procédures fiscales précisant de surcroît que la publication ou la diffusion par tout autre moyen est interdite sous peine d'amende fiscale), la publicité dont est assortie la délivrance des permis de construire cesse dès la fin du chantier, celle des bans de mariages est exclusivement justifiée par le souci de permettre d'éventuelles oppositions à mariage, celle des décisions de justice par celui de manifester l'impartialité du tribunal et de restituer dans leurs droits toutes les personnes concernées par la décision rendue.
Ces réflexions ne signifient pas qu'il conviendrait pour autant de proscrire toute accessibilité par Internet de telles informations. Ainsi, dans certains cas, la technique peut venir au soutien des précautions à prendre : il pourrait être envisagé, à titre d'exemple, que le cadastre puisse être accessible par Internet dès lors que serait mis en place un système d'accès par cartographie permettant, pour un bien immobilier particulier, d'en connaître le propriétaire. A défaut d'une telle précaution, dont il conviendrait de s'assurer techniquement de l'effectivité, on transformerait un registre de propriétés (à qui appartient cette parcelle que je souhaite acheter ?) en une liste de propriétaires (quels sont les biens que possède Monsieur X ?).
Mais le souci de précaution appelle assurément à un strict encadrement de la diffusion sur Internet d'informations nominatives. Ainsi, le Gouvernement a exclu de la diffusion du Journal officiel sur Internet les décrets de naturalisation afin que la publicité dont sont assortis ces décrets, qui s'apparente à une mesure de bienvenue dans la communauté nationale, ne se transforme pas en menace pesant sur les intéressés, par les possibilités de recherche et de capture de telles informations que peut offrir Internet à certains groupes ou officines de leur pays d'origine. Dans le même esprit, la CNIL mène depuis plusieurs mois une large concertation avec les diffuseurs publics et privés de jurisprudence sur Internet afin d'apprécier les mesures propres à éviter tout détournement de finalité des bases de données des décisions de justice, initialement conçues à des fins exclusives de recherche documentaire, mais qui pourraient se transformer aisément, accessibles gratuitement sur Internet en comportant le nom et quelquefois l'adresse des parties, en véritables bases de renseignements sur les personnes.
Pour l'ensemble de ces motifs la Commission souhaite que, s'agissant des données essentielles revêtant un caractère nominatif, le projet puisse inverser le principe (mise en ligne) et l'exception en limitant l'obligation de mise en ligne des données essentielles aux seuls les actes et décisions ne revêtant pas de caractère nominatif, un décret en conseil d'Etat pris après avis de la CNIL pouvant déterminer ceux des actes et décisions à caractère nominatifs qui pourraient obéir au nouveau régime juridique des "données essentielles".
Au demeurant une telle suggestion paraît seule conforme aux dispositions de la directive du 24 octobre 1995 relative à la protection des données personnelles et à la libre circulation de ces données qui n'exclut nullement de son champ d'application les données à caractère personnel revêtant ou ayant revêtu un caractère public, se bornant à ménager quelques exceptions de portée limitée (exception à l'obligation de notification des traitements et exception à l'exigence de subordonner les flux transfrontières de données aux seuls pays disposant d'un niveau de protection adéquat pour les registres qui, en vertu de dispositions législatives ou réglementaires sont destinés à l'information du public et ouverts à la consultation du public). Ces dérogations n'ont ni pour objet ni pour effet de priver les personnes concernées des droits fondamentaux qu'elles tiennent des législations de protection des données personnelles : droit d'opposition à une utilisation commerciale de données, droit de contrôle de la finalité des traitements mis en oeuvre.
Le projet de loi crée une obligation nouvelle aux personnes publiques et aux personnes privées chargées d'une mission de service public : celle de mettre à la disposition du public les données qu'elles collectent ou qu'elles produisent.
- les documents administratifs dont la consultation ou la communication porterait atteinte au secret des délibérations du Gouvernement et des autorités responsables du pouvoir exécutif, au secret de la défense nationale, à la conduite de la politique extérieure de la France, à la sûreté de l'Etat, à la sécurité publique ou à la sécurité des personnes, à la monnaie et au crédit public, au déroulement des procédures engagées devant les juridictions ou d'opérations préliminaires à de telles procédures, à la recherche, par les services compétents, des infractions fiscales et douanières, ou, de façon générale, aux secrets protégés par la loi,
Aussi, suivant en cela les suggestions de la CNIL et du Conseil d'Etat, le législateur a-t-il entendu que l'on ne puisse pas opposer une loi à une autre : le titulaire du droit de communication à l'information administrative est considéré comme un "tiers autorisé" à avoir accès à un traitement, sans que la finalité de ce dernier puisse être opposée à l'exercice de ce droit à la transparence administrative (article 29-1 nouveau de la loi du 6 janvier 1978). Encore convient-il de relever que cet accès ne peut, sur le fondement de ces récentes dispositions, qu'être ponctuel, l'article 10 de la loi du 17 juillet faisant de surcroît interdiction au titulaire du droit de communication de "reproduire, diffuser ou d'utiliser à des fins commerciales les documents ainsi communiqués".
Le problème de coordination entre ces diverses lois serait moins aigu si les informations nominatives étaient exclues du dispositif. Mais, précisément, des informations nominatives peuvent se trouver en cause. Certes, sont considérées comme relevant des exceptions prévues par la loi du 17 juillet 1978 au titre du secret de la vie privée, et à ce titre non communicables à un tiers, la date de naissance, l'âge, la situation familiale, la situation matrimoniale et patrimoniale, l'adresse personnelle, le numéro de téléphone, la formation et les origines professionnelles, le numéro INSEE, les numéros d'immatriculation des véhicules de victimes et de témoins d'accidents.
En revanche, sont communicables, en application de la loi du 17 juillet 1978, l'adresse administrative, l'indice de rémunération, le grade et l'échelon des fonctionnaires et autres agents publics, la liste des commerçants d'une commune avec les montants de la taxe professionnelle acquittée par chacun, la liste des sous-traitants d'un marché public et le montant des interventions effectuées. Aux termes du projet de loi, de tels documents devront désormais être tenus à la disposition du public qui en fait la demande.
Le projet de loi prévoit, certes, qu'une telle mise à disposition devra "s'effectuer dans le respect des règles posées par la loi du 6 janvier 1978", ce qui constitue une utile garantie dans certaines hypothèses où la CNIL subordonne la diffusion de certaines informations statistiques, particulièrement sensibles mais sur de petits échantillons, pour éviter tout risque de ré-identification des personnes, directement ou indirectement par recoupement.
La création d'une instance ad hoc venant s'ajouter aux deux autorités précédemment citées ne contribue pas à clarifier le dispositif dans son ensemble.
Aussi, tout en partageant pleinement l'objectif général poursuivi par le texte et l'intérêt qui s'attache à mettre à profit les possibilités offertes par la numérisation pour renforcer la transparence administrative et assurer un plus efficace partage de l'information entre l'Etat et les diffuseurs privés, dans le respect de la vie privée des personnes, la Commission ne peut-elle que faire part de sa perplexité sur l'articulation des dispositions de l'article 3 du projet avec celles de la loi du 12 avril 2000.
(articles 7 et 8 du projet)
Le projet de loi réaffirme le principe de libre communication des archives publiques quels que soient leur support, leur lieu, leur mode de conservation et réaménage et, de manière générale, raccourcit les délais spéciaux établis pour certains documents présentant un caractère particulier de confidentialité.
S'agissant des documents dont la communication porterait atteinte à la protection de la vie privée ou rendrait public une appréciation, un jugement de valeur ou le comportement d'une personne dans des conditions susceptibles de lui nuire, le délai de libre communication est ramené de 60 à 50 ans à compter de la date du document, ou à 25 ans à compter de la date du décès de l'intéressé. Ces mêmes délais s'appliqueraient aux documents judiciaires. S'agissant des mineurs l'ensemble de ces délais serait prolongé à 100 ans à compter de la date du document.
Des possibilités de dérogation sont aménagées permettant la consultation des documents protégés avant l'expiration des délais de libre communication lorsque "l'intérêt qui s'attache à la consultation de ces documents ne conduit pas à porter une atteinte disproportionnée aux intérêts que la loi a entendu protéger". Le bénéficiaire de l'autorisation est alors tenu de ne publier et de ne communiquer aucune information recueillie dans les documents qui soit susceptible de porter atteinte aux intérêts protégés par la loi.
La libéralisation de l'ouverture des archives est considérée comme souhaitable depuis plusieurs années, de nombreux acteurs s'accordant à reconnaître que le dispositif actuel est, au moins dans certains cas, trop restrictif et les dérogations accordées, souvent discrétionnaires(9).
La Commission croit cependant devoir souligner que l'informatisation des documents versés aux archives, les facilités d'exploitation des informations qu'elle permet et les usages possibles de telles exploitations par des tiers devraient appeler à une certaine prudence, hors le cas où les informations seraient traitées à des fins historiques, statistiques ou scientifiques. Mais précisément ces dernières hypothèses ont déjà conduit à modifier la loi du 6 janvier 1978 en autorisant la conservation des informations nominatives au-delà de la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été initialement collectées ou traitées et leur traitement à des fins historiques, statistiques ou scientifiques. La loi du 12 avril 2000 a, en effet, modifié à cette fin l'article 28 de la loi "informatique et libertés". Il résulte, en outre, de cette récente modification législative que tout traitement des données ainsi conservées à des fins autres qu'historiques, statistiques ou scientifiques devra être autorisé, à défaut d'accord exprès des intéressés, par la CNIL ou par décret en Conseil d'Etat sur proposition ou avis conforme de la CNIL.
La deuxième concerne le sens qu'il convient de donner à la notion de "personnes intéressées". S'agit-il uniquement des personnes auxquelles les informations nominatives se rapportent ou, le cas échéant, de leurs ayant-droits ?
En effet, s'agissant tout particulièrement des informations dont le projet de loi précise qu'elles seraient susceptibles de porter atteinte à la protection de la vie privée ou de rendre publique le comportement d'une personne dans des conditions susceptibles de lui porter un préjudice ou encore des affaires portées devant des juridictions, les ayant-droits ne disposent-ils pas d'un droit légitime à ce que de telles informations ne puissent être révélées sans garantie pour la mémoire de leurs parents ou leur tranquillité personnelle ? A cet égard une libre communication, 50 ans après l'établissement du document ou 25 ans après le décès de la personne concernée, illustre le caractère pratique d'une telle interrogation.
Il pourrait certes être soutenu que le régime d'autorisation aménagé par la loi du 12 avril 2000 pour les traitements de données archivées ne poursuivant pas une finalité historique, scientifique ou statistique est suffisant pour prévenir toute dérive. Cependant, aucune disposition du projet ne subordonne la communication des documents ou des traitements automatisés en cause à la délivrance préalable de cette autorisation de traitement. Que deviendraient de telles données, une fois communiquées à un tiers, si l'autorisation de les traiter n'était finalement pas accordée ?
Il lui apparaît en définitive que les risques particuliers d'atteinte à la vie privée des personnes concernées ou à celle de leurs proches devraient conduire à clairement distinguer les délais et les procédures de communication de documents nominatifs, et plus encore de traitements automatisés de données personnelles, versés aux archives, lorsque la demande de communication ou de traitement de ces informations relève de la recherche historique, scientifique ou statistique.
Dans ces cas, une plus grande libéralisation de l'accès aux archives paraît tout à fait légitime sous la réserve qu'aucune information ainsi recueillie ou traitée puisse être diffusée, traitée ou communiquée à un tiers sous une forme individualisée ou susceptible de porter atteinte aux intérêts protégés par la loi. Seuls la notoriété de la personne en cause, le caractère historique ou public des faits devraient justifier une exception à ce dernier principe.
1 Sont donc visés par ce texte les personnes physiques ou morales exploitant un réseau de télécommunications ouvert au public ou fournissant au public un service de télécommunication c'est-à-dire fournissant toute prestation incluant la transmission ou l'acheminement des signaux ou une combinaison de ces fonctions par des procédés de télécommunication.
2 (article L32-3-3 nouveau du code des postes et télécommunications, § II pour les données conservées à des fins de police, article L32-3-3 nouveau, §III et article L32-3-5 nouveau pour les données de facturation)
3 dans une délibération du 27 janvier 2000 portant avis sur un avant projet de loi présenté par le secrétriat d'Etat à l'industrie portant diverses dispositions d'harmonisation communautaire, 20e rapport d'activité pour 1999, p.113 sqq
4 cf. 6ème rapport d'activité de la CNIL pour 1985, p. 66 à 68
5 JO C219 du 30 juillet 1999, p.68 et p.71
6 Rapport "Le publipostage électronique et la protection des données personnelles"adoptée par délibération du 14 octobre 1999-www.cnil.fr
7 "Communications commerciales non sollicitées et protection des données" - Internal Market DG, octobre 2000
8 Rapport déjà cité - Internal Market DG -
9 "Les archives de France" rapport remis par M. Guy Braibant au Premier ministre le 28 mai 1996 - La documentation Française.

References: l'article 6
 l'article 52
 l'article 7
 l'article 226

L'article 4
 l'article 37
 l'article 10
 l'article 3
 l'article 28