Internet et le droit à l'oubli numérique Quels enjeux ? Quelles régulations ?

Depuis l'été 2009, les pouvoirs publics réfléchissent en ordre dispersé à la traçabilité informatique des personnes et à un « droit à l'oubli numérique ». Ces initiatives publiques et politiques ont un dénominateur commun : le traditionnel espoir français d'exporter nos choix de société. Mais que serait donc ce “droit” à l'oubli numérique ? Un droit à l'anonymat qui s'acquiert par le temps ? Ou le droit de supprimer à tout moment ce que nous avons été ou exprimé et que nous n'assumons plus ? Depuis les pharaons d'Égypte, nous savons que deux correspondants distants l'un de l'autre doivent, pour communiquer entre eux, s'identifier l'un à l'autre. Soit par le vecteur de leurs échanges (1), soit personnellement (2). Aujourd'hui plus que jamais, laisser des traces de nos actions (l'accès à un site internet, un clic de souris), de nos opinions, de nos recherches et de nos déplacements, est inhérent à toute communication informatique, que celle-ci résulte d'un téléphone, d'un ordinateur, d'une carte bancaire, de transport, etc.
L'enjeu du droit à l'oubli numérique est donc indéniablement un enjeu de démocratie et de libertés pour toutes les sociétés humaines utilisatrices de l'informatique. Un enjeu capital, siège d'intérêts publics et économiques divergents. Or, ce qui agite les pouvoirs publics français en 2010 est aux antipodes de ce qui avait engagé la société civile, dès 1974 (3), à mener une réflexion de fond consacrée en 1978 par l'adoption de la loi « Informatique & Libertés ». Ce n'est plus l'État qui inquiète – puisqu'il nous protège –, mais la “world company”.
Abordons ce changement tel qu'on nous le présente.
1. Raccourcir la mémoire des opérateurs publicitaires À lire ces initiatives publiques, il semblerait que les vrais enjeux de démocratie sont ceux que les Français ressentent comme des dangers, pour peu qu'on les invite à en débattre, en particulier la traçabilité commerciale des internautes par les fournisseurs de services en ligne : sites internet, moteurs de recherche, réseaux sociaux, régies publicitaires, sociétés de mesure d'audience.
Les procédés utilisés pour permettre de compter le nombre de visiteurs d'un site ou de clics sur un contenu éditorial ou publicitaire, se concentrent le plus souvent autour des fichiers « cookies » (en franco-québécois, les « témoins de connexion »). Ces fichiers accompagnent un contenu affiché par l'ordinateur de l'internaute et sont enregistrés dans un espace dédié de son ordinateur. Ainsi, l'entreprise émettant un cookie peut ultérieurement reconnaître l'ordinateur qui le contient, lorsque celui-ci accédera à d'autres contenus mis en ligne par cette même entreprise.
1.1. Une régulation mondiale de la traçabilité fonde l'économie numérique d'aujourd'hui La régulation mondiale de l'usage des cookies date de 1994. D'origine américaine (4), elle a été adoptée sous la pression des premiers internautes outre-Atlantique.
Elle impose aux logiciels de navigation sur internet de permettre à l'internaute d'accepter ou de refuser, de manière temporaire ou permanente, l'implantation d'un cookie dans son ordinateur. L'objectif est de protéger la vie privée des internautes, que les cookies soient associés ou non à des données personnelles fournies par ailleurs. On protège ainsi la vie privée d'internautes qu'on ne connaît pas nécessairement, mais dont on peut suivre la navigation.
L'économie numérique s'est fondée sur cette régulation mondiale des cookies, dont les principes ont été repris par la Directive 2002/58 « Données personnelles et communications électroniques ». Or, il ne saurait y avoir d'économie – numérique ou non – sans comptabilité.
À défaut de pouvoir constater un nombre de visiteurs uniques, de clics, de pages visitées, les acteurs de l'économie numérique ne pourraient mesurer et s'adapter à leur audience, ni constater l'exécution d'un contrat entre eux : l'éditeur d'un site internet, la régie publicitaire chargée de remplir des espaces publicitaires et l'annonceur, qui paie pour que ses publicités soient diffusées, vues et lui apportent des visiteurs.
À cet égard, les fichiers cookies sont devenus un véritable instrument monétaire de l'internet. Ils font qu'un fait technique sur internet, si insignifiant soit-il (une connexion, un clic) peut devenir un fait économique entre des acteurs de l'économie numérique (deux entreprises, ou une entreprise et un internaute).
1.2. En Europe et en France, des démarches de régulation en ordre dispersé En mars 2009, la Cnil a publié un rapport sur « La publicité ciblée en ligne ». Elle y constatait, en substance, (i) que la publicité est le « carburant de l'économie numérique », (ii) que les données qui permettent d'adapter la publicité aux internautes ne sont pas nécessairement identifiantes, (iii) que les principaux acteurs sont américains et… (iv) qu'il faudrait donc (sic) contraindre les entreprises

françaises à recueillir l'accord exprès des internautes à voir s'afficher des publicités adaptées à leurs centres d'intérêt.
Emboîtant le pas de la Cnil, huit associations professionnelles coordonnées par l'Union française du marketing direct ont entrepris d'élaborer à partir du mois de juillet 2009, une analyse du cadre juridique des technologies de ciblage publicitaire et des recommandations pratiques sur leur utilisation. Les résultats de ces travaux ont été présentés en mars 2010 au Sénat, à la Cnil, puis au secrétaire d'État à l'Économie Numérique, Madame Nathalie Kosciusko-Morizet.
Parallèlement, le Forum des droits sur l'internet, présidé par la vice-présidente de la Cnil, a dégagé des recommandations sur la régulation de la publicité ciblée sur internet. Les synthèses du Forum sont très similaires à celles dégagées par les membres du groupe de travail coordonné par l'Ufmd.
Tant mieux. La co-régulation entre pouvoirs publics et acteurs privés serait résolument en marche, si le Sénat n'était pas venu jeter une pierre législative dans un jardin éthique encore en pousse. Le 23 mars 2010, il a adopté en première lecture une proposition de loi « visant à mieux garantir le droit à la vie privée à l'heure du numérique » déposée en novembre 2009 par les Sénateurs Yves Détraigne et Anne-Marie Escoffier, auteurs d'un rapport publié en mai 2009 sur ce même sujet. Saisissant l'opportunité d'une régulation nouvelle des cookies qu'offrait l'Union européenne, le Sénat a ainsi débattu d'une Directive 2009/136 du 25 novembre 2009 modifiant la Directive 2002/58 précitée. L'article 5.3 modifié de cette Directive requiert l'accord des internautes (« opt-in ») à l'utilisation de cookies, tout en rappelant que le droit d'accepter ou de refuser (« opt-out ») les cookies s'exerce à travers les logiciels de navigation.
Le débat au Sénat fut précipité et jalonné de rebondissements. La sagesse des sénateurs ne retint pas les thèses les plus contraignantes.
Il faut dire qu'il n'y avait pas urgence : le consensus européen adopté en novembre 2009 au prix de formules antinomiques ne devra être intégré en droit national par les États membres que d'ici mai 2011. Ce consensus offre aux États membres la possibilité de s'aventurer dans des interprétations nationales incompatibles entre elles au sein du marché intérieur, ni dans le reste du monde.
Les acteurs français de l'économie numérique, qui affrontent une concurrence économique et une diversité juridique intra-européenne et mondiale, n'ont certainement pas besoin de ce type d'aventure supplémentaire.
2. Consultons la société civile d'abord Le gouvernement a souhaité reprendre l'initiative à l'issue du débat au Sénat. Madame Kosciusko-Morizet a ainsi relancé le thème du droit à l'oubli numérique qu'elle avait initié lors d'un colloque en novembre 2009. La méthode se veut participative : il s'agit d'ouvrir une place d'expression publique (5) aux internautes.
Les experts, les entreprises et les régulateurs n'ont qu'à bien se tenir : le peuple des internautes va pouvoir demander, en substance, que les pouvoirs publics français fassent respecter dans le monde entier les principes dégagés en 1978 par la loi « Informatique et Libertés », dont le « principe de finalité », selon lequel la durée de conservation d'une donnée doit être proportionnée à la finalité pour laquelle on la traite. Les suites de ce débat public devraient déboucher prochainement sur l'élaboration d'une charte sur le droit à l'oubli numérique, qui traiterait de deux problématiques distinctes.
2.1. Publicité ciblée et internet : quel oubli des traces des internautes ? La régulation des fichiers cookies sera effectuée par la transposition en France de la Directive 2009/136. Les internautes français ne sont pas condamnés à ne voir que des publicités qui ne les intéressent pas. Ils ont des droits, mais ils les ignorent. Sur ce point, la transparence et la pédagogie sont essentiels, tout le monde en convient. Il faudra réguler avec discernement pour être efficace et pertinent dans un environnement mondial. Mais proclamer ne suffira pas. Pour avoir raison devant l'Histoire ou nos hypothétiques frontières juridiques, il faudra convaincre.
2.2. Le droit de suppression : effacer l'histoire quand elle ne nous convient plus ? La mémoire des réseaux et l'exhibitionnisme des internautes interrogent chacun : comment protéger la vie privée de personnes qui l'étalent sur des espaces publics auprès d'« amis » qu'ils ne connaissent pas toujours ? Ce sujet soulève la question de la confiance et de la conscience de l'environnement qui nous entoure.
D'aucuns se prennent à imaginer que chacun devrait pouvoir obtenir l'effacement d'une information, d'une opinion qu'il n'assume plus d'avoir partagée en ligne ou de voir publiée à son égard. Il est heureux qu'on souhaite encore en France permettre à chacun de contrôler l'usage de ses données personnelles et de sa sphère privée. Mais il est dangereux de promouvoir l'idée que le révisionnisme serait une solution à l'évolution de chacun.
Exiger la modification d'une information au motif qu'elle nous porterait désormais préjudice, reviendrait à laisser à chacun le droit de modifier la mémoire que les autres ont de lui. Imaginons un instant un homme politique qui nierait avoir eu ou écrit tel ou tel propos et exigerait, quelques mois ou années après leur publication, que l'on ne s'en souvint pas, au nom de son droit à l'oubli.
Ce qui frappe ici, c'est l'oubli par les régulateurs français de leur influence, tant sur la règle que sur les territoires. Leur paradoxe consiste à envisager d'imposer aux acteurs français de l'internet des règles franco-françaises nouvelles, au motif que ces règles devraient être respectées par tel ou tel géant californien du web.
Est-ce vraiment le modèle français qu'on exporte ? Ou l'économie numérique française qu'on éreinte ? Chacun peut défendre sa vision du droit à l'oubli. Mais depuis Jacques Fauvet en 1998 (6), on n'a pas su mieux résumer ce que l'informatique change fondamentalement : « avant l'informatique, l'oubli était inhérent à la mémoire humaine. Depuis l'informatique, l'oubli doit faire l'objet d'un choix social ». Ce choix social passe par un débat sérieux qui ne doit être laissé ni à de soi-disant experts informatiques, ni aux conversations du café du commerce. Or, le sujet se prête si bien aux dérives démagogiques de tous bords, qu'il doit impérativement être conçu dans son environnement européen et mondial. En tenant compte d'une diversité d'enjeux qui nécessitera du temps avant d'aboutir à formuler des règles générales. Avec volontarisme aussi, c'est-à-dire sans vouloir “faire un coup” seul dans l'hexagone. Sauf à vouloir vraiment se tromper de cible.