{"id":134814,"date":"2019-06-24T10:30:27","date_gmt":"2019-06-24T10:30:27","guid":{"rendered":"https:\/\/dievolkswirtschaft.ch\/2019\/06\/pichonnaz-07-2019fr\/"},"modified":"2023-08-24T00:04:54","modified_gmt":"2023-08-23T22:04:54","slug":"pichonnaz-07-2019fr","status":"publish","type":"post","link":"https:\/\/dievolkswirtschaft.ch\/fr\/2019\/06\/pichonnaz-07-2019fr\/","title":{"rendered":"Donn\u00e9es personnelles et objets connect\u00e9s : quels d\u00e9fis ?"},"content":{"rendered":"

Dans la soci\u00e9t\u00e9 num\u00e9ris\u00e9e, chaque consommateur produit de tr\u00e8s nombreuses donn\u00e9es. Celles-ci sont souvent r\u00e9colt\u00e9es, agr\u00e9g\u00e9es et r\u00e9utilis\u00e9es pour rendre toutes sortes de services. C\u2019est d\u00e9j\u00e0 le cas aujourd\u2019hui, non seulement lors de l\u2019usage de nos smartphones et de nombreuses applications, mais aussi pour divers v\u00e9hicules automobiles qui envoient des informations en continu aux constructeurs. D\u00e8s lors, les consommateurs peuvent-ils encore avoir la ma\u00eetrise de toutes les donn\u00e9es qu\u2019ils produisent quotidiennement\u00a0? C\u2019est toute la question de la \u00ab\u00a0ma\u00eetrise des donn\u00e9es\u00a0\u00bb (ou \u00ab\u00a0Datenhoheit\u00a0\u00bb)[1]<\/a>.
\n
\nLe r\u00e8glement de l\u2019Union europ\u00e9enne sur la protection des donn\u00e9es (RGPD)<\/a>[2]<\/a> vise \u00e0 prot\u00e9ger les personnes physiques lors du traitement de donn\u00e9es \u00e0 caract\u00e8re personnel. Il exige que le traitement de ce type d\u2019informations soit consenti pour une ou plusieurs finalit\u00e9s sp\u00e9cifiques, sauf si des int\u00e9r\u00eats sup\u00e9rieurs et l\u00e9gitimes (d\u2019ordre priv\u00e9 ou public) permettent de s\u2019en passer.
\n
\nLe champ d\u2019application du RGPD europ\u00e9en ne se recoupe pas totalement avec l\u2019actuelle loi f\u00e9d\u00e9rale sur la protection des donn\u00e9es (LPD)<\/a>, puisque cette derni\u00e8re prot\u00e8ge non seulement les personnes physiques, mais aussi les personnes morales. Pour que le traitement soit licite, la LPD exige en revanche \u00e9galement le consentement de la victime ou des int\u00e9r\u00eats pr\u00e9pond\u00e9rants de la personne qui traite des donn\u00e9es personnelles. N\u00e9anmoins, \u00ab\u00a0en r\u00e8gle g\u00e9n\u00e9rale, il n\u2019y a pas atteinte \u00e0 la personnalit\u00e9 lorsque la personne concern\u00e9e a rendu les donn\u00e9es accessibles \u00e0 tout un chacun et ne s\u2019est pas oppos\u00e9e formellement au traitement\u00a0\u00bb[3]<\/a>. Le RGPD est notoirement plus restrictif, ce qui a justifi\u00e9 la mise en \u0153uvre d\u2019une r\u00e9forme de la LPD en\u00a02017[4]<\/a>. On peut n\u00e9anmoins affirmer que la personne physique est bien prot\u00e9g\u00e9e dans la LPD\u00a0: d\u00e8s qu\u2019elle fait l\u2019objet d\u2019un traitement de \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb, elle doit soit donner son consentement, soit avoir eu un comportement qui laisse pr\u00e9sumer un tel consentement (avant tout rendre les donn\u00e9es accessibles \u00e0 chacun) pour que le traitement soit licite. <\/p>\n

L\u2019enjeu des donn\u00e9es anonymis\u00e9es<\/h2>\n


\nLa LPD d\u00e9finit les donn\u00e9es personnelles comme \u00e9tant \u00ab\u00a0toutes les informations qui se rapportent \u00e0 une personne identifi\u00e9e ou identifiable\u00a0\u00bb[5]<\/a>. Le RGPD adopte une approche similaire consid\u00e9rant que les \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb comprennent \u00ab\u00a0toute information se rapportant \u00e0 une personne physique\u00a0\u00bb qui \u00ab\u00a0peut \u00eatre identifi\u00e9e, directement ou indirectement, notamment par r\u00e9f\u00e9rence \u00e0 un identifiant, tel qu\u2019un nom, un num\u00e9ro d\u2019identification, des donn\u00e9es de localisation, un identifiant en ligne, ou \u00e0 un ou plusieurs \u00e9l\u00e9ments sp\u00e9cifiques propres \u00e0 son identit\u00e9 physique, physiologique, g\u00e9n\u00e9tique, psychique, \u00e9conomique, culturelle ou sociale\u00a0\u00bb[6]<\/a>. Partant, un processus d\u2019anonymisation de la r\u00e9colte de donn\u00e9es pourrait permettre d\u2019\u00e9chapper au RGPD\u00a0; toutefois, c\u2019est justement certaines caract\u00e9ristiques personnelles qui int\u00e9ressent l\u2019exploitation des donn\u00e9es (ou \u00ab\u00a0data mining\u00a0\u00bb en anglais) et le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel. L\u2019anonymisation compl\u00e8te est d\u00e8s lors souvent incompatible avec le but recherch\u00e9.
\n
\nAvec l\u2019entr\u00e9e en vigueur du RGPD, des fen\u00eatres se sont ouvertes sur nos smartphones, ordinateurs et tablettes pour nous permettre de consentir au traitement de toutes sortes de donn\u00e9es \u00e0 caract\u00e8re personnel. Le consentement constitue ainsi l\u2019une des sources de protection. Il est d\u2019ailleurs possible \u2013\u00a0en th\u00e9orie du moins\u00a0\u2013 de retirer \u00e0 tout moment son consentement[7]<\/a>. Le RGPD prot\u00e8ge \u00e9galement les personnes physiques en imposant des exigences de protection pour les donn\u00e9es r\u00e9colt\u00e9es[8]<\/a>\u00a0: ces devoirs n\u00e9cessitent des mesures techniques et organisationnelles appropri\u00e9es (\u00ab\u00a0privacy by design\u00a0\u00bb ou \u00ab\u00a0respect de la vie priv\u00e9e d\u00e8s la conception\u00a0\u00bb en fran\u00e7ais). Le RGPD impose par d\u00e9faut un traitement limit\u00e9 aux donn\u00e9es n\u00e9cessaires au vu de la finalit\u00e9 sp\u00e9cifique. Une fois adapt\u00e9e au niveau de protection europ\u00e9en, la LPD conf\u00e8rera elle aussi une ma\u00eetrise de ses donn\u00e9es \u00e0 tout un chacun. <\/p>\n

Un colosse aux pieds d\u2019argile<\/h2>\n


\nLa multiplication des consentements donn\u00e9s par les consommateurs, via la conclusion de contrats ou par le biais d\u2019un consentement sp\u00e9cifique, a cr\u00e9\u00e9 une situation pr\u00e9occupante. En effet, personne n\u2019est en mesure de d\u00e9terminer aujourd\u2019hui \u00e0 quelles fins il a d\u00e9j\u00e0 donn\u00e9 son consentement pour l\u2019usage de donn\u00e9es \u00e0 caract\u00e8re personnel.
\n
\nCette situation produit deux ph\u00e9nom\u00e8nes\u00a0: d\u2019une part, le sentiment d\u2019avoir largement consenti \u00e0 l\u2019usage de donn\u00e9es \u00e0 caract\u00e8re personnel tend \u00e0 banaliser l\u2019octroi du consentement, voire am\u00e8ne \u00e0 le consid\u00e9rer comme une chicane inutile par nombre d\u2019utilisateurs\u00a0; d\u2019autre part, la tentation est grande de se pr\u00e9occuper avant tout des donn\u00e9es personnelles sensibles, pour lesquelles un consentement expr\u00e8s et des devoirs d\u2019annonce sp\u00e9cifiques sont requis. Le r\u00e9sultat est ainsi d\u2019affaiblir largement la protection envisag\u00e9e pour les donn\u00e9es \u00e0 caract\u00e8re personnel \u00ab\u00a0ordinaire\u00a0\u00bb.
\n
\nPrenons l\u2019exemple des objets interconnect\u00e9s. \u00c0 l\u2019horizon\u00a02025, pas moins de 22\u00a0milliards de ces objets devraient \u00eatre utilis\u00e9s \u00e0 travers le monde[9]<\/a>. Pour les consommateurs, l\u2019Internet des objets (IdO) repr\u00e9sente de nouvelles fonctionnalit\u00e9s et de nouveaux modes d\u2019agir au quotidien qui devraient faciliter la vie de chacun. Fantastique opportunit\u00e9 de personnaliser les biens et les services de toutes sortes (consommation courante, \u00e9nergie, sant\u00e9, etc.), l\u2019IdO repr\u00e9sente toutefois aussi des d\u00e9fis pour le consommateur et ses droits.
\n
\nLa mise en r\u00e9seau de l\u2019IdO pr\u00e9sente d\u2019abord des risques pour les entreprises, notamment celui d\u2019ouvrir des br\u00e8ches dans la s\u00e9curit\u00e9 informatique, qui peuvent permettre \u00e0 des pirates d\u2019atteindre des donn\u00e9es essentielles de l\u2019entreprise, mais aussi bien s\u00fbr des donn\u00e9es personnelles de consommateurs. Pour ces derniers, le traitement de donn\u00e9es (\u00ab\u00a0data management\u00a0\u00bb en anglais) doit \u00eatre consenti et surtout connu. C\u2019est l\u00e0 un enjeu difficile. Pour augmenter la confiance dans les objets interconnect\u00e9s, les consommateurs doivent \u00eatre suffisamment inform\u00e9s du fonctionnement du traitement des donn\u00e9es. Il faut d\u00e8s lors assurer un r\u00e9gime d\u2019information et de protection ad\u00e9quat du consommateur\u00a0; or, cette information devrait aussi passer par des choix. <\/p>\n

L\u2019importance d\u2019un choix plus ouvert<\/h2>\n


\nLes donn\u00e9es personnelles pr\u00e9sentent certes un int\u00e9r\u00eat pour les entreprises technologiques \u2013\u00a0et autres\u00a0\u2013 d\u00e9sireuses d\u2019am\u00e9liorer la fiabilit\u00e9 et la s\u00e9curit\u00e9 des produits interconnect\u00e9s qu\u2019elles produisent\u00a0; elles ont toutefois aussi une valeur \u00e9conomique. Ainsi, les entreprises utilisent d\u00e9sormais l\u2019IdO pour connecter le consommateur directement au producteur. Cela permet un retour plus rapide sur la satisfaction des consommateurs et sur l\u2019automatisation des processus de contr\u00f4le, par exemple pour des contrats de maintenance standardis\u00e9s. Cette approche offre en outre la possibilit\u00e9 d\u2019anticiper les tendances de consommation et les choix des consommateurs.
\n
\nLe choix du produit passera dor\u00e9navant \u00e9galement par le choix du type de transfert et de traitement des donn\u00e9es. Pour pouvoir jouer son r\u00f4le dans la concurrence qui va se d\u00e9velopper entre tous les acteurs \u00e9conomiques, notamment dans le domaine de la \u00ab\u00a0maison intelligente\u00a0\u00bb (\u00ab\u00a0smart home\u00a0\u00bb en anglais), le consommateur devrait \u00eatre d\u00fbment inform\u00e9 sur de nouveaux \u00e9l\u00e9ments. Il importera par exemple de savoir comment les b\u00e9n\u00e9fices de la collecte, de l\u2019agr\u00e9gation et de l\u2019utilisation de donn\u00e9es seront (re)distribu\u00e9s\u00a0: le consommateur b\u00e9n\u00e9ficiera-t-il des avantages \u00e9conomiques li\u00e9s \u00e0 l\u2019agr\u00e9gation des donn\u00e9es\u00a0? Sera-t-il prot\u00e9g\u00e9 efficacement contre les abus\u00a0? En Suisse, la r\u00e9forme en cours de la LPD est essentielle. Elle n\u2019interviendra toutefois pas avant\u00a02020 et l\u2019on peut se demander s\u2019il sera encore assez t\u00f4t pour infl\u00e9chir les axes du d\u00e9veloppement.
\n
\nIl est toutefois indispensable de mener une r\u00e9flexion sur la meilleure mani\u00e8re d\u2019organiser le choix du consommateur en lien avec les objets interconnect\u00e9s. Doit-il avoir la possibilit\u00e9 de d\u00e9cider \u00e0 qui les donn\u00e9es seront transmises\u00a0? Doit-il pouvoir disposer de plusieurs mod\u00e8les\u00a0? Si son v\u00e9hicule est interconnect\u00e9, peut-il exiger que les donn\u00e9es soient non seulement transmises au constructeur, mais aussi \u00e0 une association priv\u00e9e comme le Touring Club Suisse (TCS) ou l\u2019Automobile Club de Suisse (ACS)\u00a0? En outre, il faudrait adopter des dispositifs techniques et les encadrer juridiquement afin de veiller au respect de la r\u00e9tention limit\u00e9e de donn\u00e9es ou de favoriser un r\u00e9gime de collecte restreinte au minimum n\u00e9cessaire. On ne saurait ignorer \u00e0 cet \u00e9gard la mise en place d\u2019un syst\u00e8me de gestion collective des diff\u00e9rends par des actions collectives et la m\u00e9diation collective des diff\u00e9rends[10]<\/a>, comme le propose l\u2019avant-projet de r\u00e9forme du code de proc\u00e9dure civile[11]<\/a>. <\/p>\n

La dimension collective des donn\u00e9es \u00e0 caract\u00e8re personnel<\/h2>\n


\nSi l\u2019on veut que le march\u00e9 repose sur un principe de concurrence o\u00f9 les consommateurs peuvent jouer leur r\u00f4le, il faut probablement prendre conscience que la protection des donn\u00e9es personnelles rev\u00eat aujourd\u2019hui une dimension collective dont il convient de tracer les contours. En prenant des mesures pour favoriser la possibilit\u00e9 de choix du consommateur, notamment en lien avec la mise \u00e0 disposition \u00e0 des tiers des donn\u00e9es collect\u00e9es sur un objet interconnect\u00e9, on pourrait \u00e9viter que les consommateurs perdent toute ma\u00eetrise sur leurs donn\u00e9es.
\n
\nLe consentement ponctuel et binaire (\u00ab\u00a0oui\u00a0\u00bb ou \u00ab\u00a0non\u00a0\u00bb) n\u2019est en effet plus en mesure d\u2019assurer un \u00e9quilibre entre utilit\u00e9 des donn\u00e9es, appropriation des profits et construction d\u2019un r\u00e9gime fond\u00e9 sur la confiance des utilisateurs. Il est donc temps d\u2019appr\u00e9hender la dimension plus collective des donn\u00e9es.<\/p>\n

  1. Voir notamment CFC (2017). [<\/span>]<\/a><\/li>
  2. Journal officiel de l\u2019Union europ\u00e9enne, L 119, 4\u00a0mai\u00a02016, p. 1. [<\/span>]<\/a><\/li>
  3. Art.\u00a012 al.\u00a03 LPD<\/a>. [<\/span>]<\/a><\/li>
  4. Conseil f\u00e9d\u00e9ral (2017). [<\/span>]<\/a><\/li>
  5. Art.\u00a03 let.\u00a0a LPD<\/a>. [<\/span>]<\/a><\/li>
  6. Art.\u00a04 ch.\u00a01 RGPD<\/a>. [<\/span>]<\/a><\/li>
  7. En vertu de l\u2019art.\u00a07 al.\u00a03 RGPD<\/a>. [<\/span>]<\/a><\/li>
  8. Art.\u00a025 RGPD<\/a>. [<\/span>]<\/a><\/li>
  9. IoT Analytics (2018). [<\/span>]<\/a><\/li>
  10. Pour davantage d\u2019informations\u00a0: CFC (2015). [<\/span>]<\/a><\/li>
  11. Le texte, le rapport et le r\u00e9sultat de la proc\u00e9dure de consultation peuvent \u00eatre consult\u00e9s sur le site de l\u2019Office f\u00e9d\u00e9ral de la justice<\/a>. Voir \u00e9galement CFC (2018). [<\/span>]<\/a><\/li><\/ol>","protected":false},"excerpt":{"rendered":"

    Dans la soci\u00e9t\u00e9 num\u00e9ris\u00e9e, chaque consommateur produit de tr\u00e8s nombreuses donn\u00e9es. Celles-ci sont souvent r\u00e9colt\u00e9es, agr\u00e9g\u00e9es et r\u00e9utilis\u00e9es pour rendre toutes sortes de services. C\u2019est d\u00e9j\u00e0 le cas aujourd\u2019hui, non seulement lors de l\u2019usage de nos smartphones et de nombreuses applications, mais aussi pour divers v\u00e9hicules automobiles qui envoient des informations en continu aux constructeurs. […]<\/p>","protected":false},"author":4879,"featured_media":19569,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"om_disable_all_campaigns":false,"ep_exclude_from_search":false,"footnotes":""},"post__type":[83],"post_opinion":[],"post_serie":[],"post_content_category":[105],"post_content_subject":[],"acf":{"seco_author":4879,"seco_co_author":null,"author_override":"","seco_author_post_ocupation_year":"","seco_author_post_occupation_de":"Professor f\u00fcr Privatrecht und R\u00f6misches Recht, Universit\u00e4t Freiburg, Pr\u00e4sident ad interim der Eidgen\u00f6ssischen Kommission f\u00fcr Konsumentenfragen (EKK)","seco_author_post_occupation_fr":"Professeur de droit priv\u00e9 et de droit romain \u00e0 l\u2019universit\u00e9 de Fribourg, pr\u00e9sident ad interim de la Commission f\u00e9d\u00e9rale de la consommation (CFC)","seco_co_authors_post_ocupation":null,"short_title":"Donn\u00e9es personnelles et objets connect\u00e9s: les d\u00e9fis","post_lead":"Les choix qui s\u2019offrent aux consommateurs concernant le partage et le traitement de leurs informations personnelles avec l\u2019Internet des objets doivent \u00eatre clarifi\u00e9s. Une r\u00e9flexion s\u2019impose pour conserver la ma\u00eetrise de ces donn\u00e9es. L\u2019enjeu a une dimension collective.","post_hero_image_description":"Les montres intelligentes transmettent des donn\u00e9es sensibles aux fabricants.","post_hero_image_description_copyright_de":"Alamy","post_hero_image_description_copyright_fr":"Alamy","post_references_literature":"