1baromaitre

#4LE MAÎTROPÔLE
2 Loi relative à la protection des
personnes physiques à l’égard des
traitements de données à caractère
personnel et modifiant la loi n°
78-17 du 6 janvier 1978 relative à
l’informatique, aux fichiers et aux
libertés.
3 Selon l’article 2 de la loi
informatique et libertés.
4 L’objet principal de cette directive
est d’harmoniser les normes
des différents états membres en
matière de protection des données
personnelles et ainsi de faciliter
la libre-circulation des données
légitimement collectées, à des fins
majoritairement commerciales.
de ces données, les comparer avec celles partagées
par ses proches, puis les communiquer
sur son réseau social s’il le souhaite. Or, ces
données peuvent échapper au contrôle de
l’utilisateur ou encore à sa connaissance. Pire
encore, elles peuvent être utilisées à des fins
de publicité ciblée, de vente de service, être
mise à la disposition de tiers ou encore faire
l’objet d’une monétisation.
Ces données ont un caractère personnel au
sens de l’article 2 de la Loi du 6 aout 2004 2 ,
définissant la notion comme étant « toute information
relative à une personne identifiée
ou identifiable ». Classiquement, les données
à caractère personnel étaient le nom, la date
de naissance, le numéro de sécurité sociale
ou encore une plaque d’immatriculation.
Aujourd’hui, la technologie a franchi un cap.
Au même titre que les données biométriques,
celles récoltées via les objets connectés
doivent être comprises sous le même vocable
de données à caractère personnel. Les
données personnelles correspondent à toute
information relative à une personne physique
identifiée ou identifiable, directement
ou indirectement, par référence à un élément
qui lui est propre 3 .
À partir du moment où ces données font
l’objet d’un traitement, elles tombent sous le
joug de la loi du 6 Janvier 1978 qui règlemente
leur traitement. Les données récoltées
sont enregistrées, conservées, organisées et
peuvent être utilisées à des fins diverses. Un
ensemble d’obligations s’imposent au responsable
du traitement, qui doit :
––
Assurer la sécurité des fichiers par
des mesures physiques, logiques et adaptées
à la nature des données et aux risques
présentés par le traitement afin d’utiliser les
informations suivant la finalité pour laquelle
elles ont été collectées,
––
Informer les personnes notamment
de la collecte des données mais aussi du respect
de la finalité du traitement des données,
––
Assurer la confidentialité des données
(Peine prévue à l’article 226-22 du Code
Pénal),
––
Solliciter une autorisation de la
CNIL pour les données qui présentent des
risques particuliers d’atteinte aux droits et
aux libertés (Peine prévue à l’article 226-16
du Code Pénal),
––
Fixer une durée raisonnable de
conservation des données en fonction de
l’objectif du fichier.
Certaines données doivent cependant bénéficier
d’une protection renforcée, c’est le
cas des données de santé et des données bancaires.
En effet, ces renseignements sensibles
doivent s’insérer dans un corps de règles,
de protection et de procédures d’agrément
existantes (faire appel à un hébergeur des
données de santé par exemple).
Les objets connectés sont également dotés
de leur propre adresse IP (Internet Protocol)
afin de permettre une communication
Machine to Machine (M2M). Le régime lié à
l’adresse IP est encore flou car cette dernière
n’est pas officiellement considérée comme
étant une donnée à caractère personnel, mais
comme un moyen indirect d’identification
de la personne. Selon la CNIL, cette identification
indirecte est amplement suffisante
et la future réforme de la Directive 95/46/
CE 4 devrait surement apporter une réponse à
cette question ô combien centrale.
La CNIL et le G29, qui réunit l’ensemble
des CNIL européennes, travaillent à un avis
commun sur les objets connectés. Bien que
ne disposant pas de force contraignante, cet
avis sera certainement accueilli très favorablement
par les partisans de la protection des
données personnelles, naturellement par les
avocats et les correspondants informatique
et liberté et enfin, le législateur français y
trouvera surement une source de réflexion
pour légiférer en la matière.
Les objets connectés sont le support privilégié
d’un quotidien maîtrisé et intelligent.
Leur prolifération n’est que la conséquence
de la demande croissante d’une population
connectée désireuse d’innovations. Ils représentent
donc un enjeu important et soulèvent
des questions nouvelles. « La vie privée peut
être une anomalie » ; cette phrase de Vint
Cerf, Chief Internet Evangelist chez Google,
est révélatrice des risques engendrés par ces
nouvelles pratiques. Gageons que le droit
saura y répondre.
Sarah Benchegra
& Maxime Ramos Guerrero
52 | LE BAROMAÎTRE #4 - AEA PARIS