Les cookie walls : une pierre d’achoppement pour la protection des données personnelles (2/2)

Le conseil d’Etat ayant jugé que les cookie walls sont licites, la Commission nationale de l’informatique et des libertés (CNIL) a désormais la tâche délicate de leur donner un cadre légal qui garantisse un équilibre entre la liberté du consentement et la liberté d’entreprendre [1]. Or, dans ses nouvelles lignes directrices sur les "cookies et autres traceurs", la commission adresse aux éditeurs de sites web ce qui semble n’être qu’un appel à la prudence, bien éloigné des règles attendues. Ainsi, elle se borne à constater que l’utilisation des cookie walls "est susceptible de porter atteinte, dans certains cas, à la liberté du consentement (…)" [2]. Cependant, ce faisant, elle ne se défausse pas de sa responsabilité mais indique qu’elle adopte une approche empirique pour mettre à jour progressivement les conditions de cette conciliation. 

En tant qu’autorité administrative indépendante (AAI), la CNIL a pour mission de réguler le domaine de la protection des données personnelles par le conseil (information et accompagnement) et le contrôle (enquêtes et sanctions) [3]. Dans ces deux circonstances, elle sera amenée à apprécier "au cas par cas" [4] la conformité des dispositifs de cookies et à clarifier leur régime juridique. De plus, elle associera les éditeurs de sites web à cette casuistique juridique car ils ont une responsabilité particulière en matière de protection des données personnelles. En effet, d'une part, ils décident librement des moyens qu’ils utilisent pour mettre leurs traitements en conformité avec le règlement général sur la protection des données (RGPD) [5]. Et, d'autre part, ils doivent être en mesure de prouver que leurs choix sont adéquats pour atteindre cet objectif (principe dit d’"accountability") [6]. Ils sont donc co-régulateurs, dans une certaine mesure.

Tout d’abord, les éditeurs de sites web peuvent demander l’avis de la commission sur les cookie walls qu’ils souhaitent créer. Que ce soit individuellement en lui soumettant l’analyse d’impact relative à la protection des données (AIPD) du traitement contenant le dispositif de cookies, au motif qu’il présente un risque résiduel élevé pour la liberté du consentement des internautes [7]. Ou, collectivement, si les éditeurs de sites web d’un secteur décident de se doter d’un code de conduite contenant des dispositions relatives aux cookie walls. Un tel code devant alors être soumis à l’approbation de la CNIL [8].

Ensuite, la commission peut se prononcer sur la conformité des cookie walls dans le cadre de son contrôle a posteriori des traitements de données personnelles. Elle entamera alors une discussion avec l’éditeur de site web contrôlé et pourra l’orienter dans sa recherche d’une solution qui respecte la réglementation.

Enfin, si l’éditeur persiste à ne pas rentrer dans les clous, elle devra argumenter l’éventuelle décision de sanction.

Ce sont donc autant d'opportunités pour l'AAI de préciser les règles applicables aux cookie walls.

Par ailleurs, la CNIL pourra s’appuyer sur l'intention des législateurs européen et français, ainsi que sur la doctrine pour déterminer les conditions dans lesquelles les cookie walls sont acceptables. Celles-ci en distinguent quatre, que la commission pourra retenir ou pas :

1/ Le recours au cookie wall permet à l’éditeur d’atteindre un objectif légitime [9]. Par exemple, il a pour but de financer un site offrant des services non-marchands.

2/ Il existe des alternatives raisonnables, disponibles et accessibles qui permettent d’obtenir le même service [10]. Par exemple, l’internaute peut accéder au même site web contre le paiement d’une somme raisonnable ; ou il peut utiliser un service similaire accessible librement sur un autre site web.

3/ La personne qui refuse de donner son consentement ne subit pas un préjudice significatif en conséquence [11].

4/ L’internaute n’est pas contraint à accepter le cookie wall pour obtenir l’exécution d’un contrat qui, par ailleurs, le lie à l’éditeur du site web (pratique dite du "couplage" qui entraîne une présomption d’illégalité des cookies) [12].

Cela étant écrit, l’inconvénient majeur de cette démarche empirique de la CNIL est qu’elle maintient les éditeurs de sites web dans l’insécurité juridique aussi longtemps que les critères de légalité des cookie walls ne sont pas officiellement dégagés. Et, en conséquence, elle les expose au risque d’être sanctionnés.

Dès lors, la solution la plus sage pourrait encore être d’attendre patiemment que le législateur européen adopte le règlement ePrivacy et statue définitivement sur le régime juridique des cookie walls à cette occasion [13]. En espérant qu’il ne tarde plus trop à se prononcer.

Sources :

[1] Voir notre billet précédent : « Les cookie walls : une pierre d’achoppement pour la protection des données personnelles » (1/2)

[2] CNIL, délibération n°2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n°2019-093 du 4 juillet 2019; article 2. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3nEQUI7>.

[3] France, loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; dite « loi Informatique et Libertés » (telle que modifiée au 1er janvier 2020. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/2IRQob5>.

[4] CNIL, ibidem [2], article 2.

[5] Union Européenne, règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données); article 5, 2. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/36UZ7Bv>. 

[6] Union Européenne, RGPD, ibidem, article 5, 2.

[7] Union Européenne, RGPD, ibidem, article 36.

[8] Union Européenne, RGPD, ibidem,  article 40.

[9] Union Européenne, directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques); considérant 25 de la directive ePrivacy. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3fhHHT2>.

[10] ALIX Pascal. Il est plus facile pour un chameau (de passer par le chas d’une aiguille que pour les responsables de traitement d’obtenir un consentement libre et éclairé au dépôt et à la lecture de cookies tiers). Légipresse (site web), octobre 2020, para. I. E. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3pVGSoa>.

[11] LALLET Alexandre, rapporteur public, conclusions sous CE, 19 juin 2020, Association des agences conseil en communication et autres, n°434684, p. 10. Disponible en ligne : [consulté le 20/11/2020] <https://bit.ly/3lOKZQv>.

[12] LALLET A., ibidem p. 8.

[13] En ce sens voir ALIX P., ibidem [9], para. I. E.

Les cookie walls : une pierre d’achoppement pour la protection des données personnelles (1/2)

Le 17 septembre 2020, la Commission nationale de l’informatique et des libertés (CNIL) a adopté la version corrigée de ses lignes directrices sur les "cookies et autres traceurs" [1]. Cette révision est la conséquence d’un arrêt du conseil d’Etat (CE), rendu le 19 juin précédent, par lequel il a recadré la commission sur l’exercice de ses compétences d’autorité régulatrice de la protection des données personnelles [2] [3].

Plus spécifiquement, la haute juridiction a annulé pour excès de pouvoir l’interdiction générale et absolue d’utiliser des cookie walls que la CNIL opposait aux éditeurs de sites web [4]. En effet, le juge administratif a constaté qu’il n’est pas possible de proscrire définitivement ces dispositifs sur la base de la seule interprétation du règlement général sur la protection des données (RGPD) [5]. Et, par conséquent, il en a conclu que la commission avait créé une règle inédite au lieu de simplement clarifier le droit existant.

Ainsi, les cookie walls étant licites, il incombe désormais à la CNIL de dégager le régime juridique de leur utilisation. Ces nouvelles lignes directrices sont le premier jalon qu’elle pose sur cette voie semée d’embûches.

Initialement, la CNIL s’était alignée sur la position du Comité européen de la protection des données (CEPD) qui interprète strictement l’article 4, 11) du RGPD, aux termes duquel le consentement doit être libre pour être valide [6]. En l’occurrence, le comité estime que la menace de se voir refuser l’accès à un site web constitue, à elle seule, une contrainte suffisante pour que la personne concernée se sente obligée d’accepter le cookie wall et, en conséquence, qu’elle vicie son consentement. Cela quel que soit le préjudice réel qui aurait résulté de l’éventuel déni d’accès.

Cependant, cette position intransigeante est incompatible avec la lettre et l’esprit de la directive européenne dite "ePrivacy" [7] qui réglemente l’utilisation des cookies et a été transposée en France dans plusieurs textes, dont la loi Informatique et Libertés [8]. En effet, à l’occasion de l’adoption de ces normes, les législateurs européen et français ont reconnu que l’accès à un site web peut être subordonné à la condition que l’internaute accepte l’installation de cookies sur son terminal, si ceux-ci sont utilisés "à des fins légitimes" [9]. Ce faisant, ils ont entendu autoriser l’un des modèles économiques de l’Internet, dit « troc 2.0 », qui permet aux éditeurs de sites web de financer les services qu’ils offrent "gratuitement" aux internautes : ils se rétribuent en exploitant les données personnelles des utilisateurs pour pouvoir leur présenter de la publicité ciblée payée par des annonceurs.

Ces deux positions traduisent des conceptions de la nature juridique des données personnelles qui se sont développées en parallèle et s’opposent fondamentalement, bien qu’elles soient ancrées dans la réalité de l’Internet.

D’un côté, il y a les tenants de l‘extra-patrimonialité qui souhaitent que les données personnelles soient mises hors commerce. Cela, d’une part, pour permettre aux individus d’en garder la maîtrise et, d’autre part, parce que ces derniers seraient en position de faiblesse par rapport à ceux qui exploitent leurs données. C’est pourquoi ils mettent aussi en avant la protection de la liberté de consentement et de la liberté d’accès à l’information [10].

De l’autre, se trouvent ceux qui privilégient le fait que l’exploitation commerciale des données personnelles est un moteur de croissance économique et de progrès scientifique. Quant à eux, ils insistent sur le respect de la liberté contractuelle et de la liberté d’entreprendre [11].

Etant donnée l’importance des conséquences juridiques et économiques de l'arbitrage à faire entre ces deux positions, il doit être rendu au niveau politique de l’Union européenne [12]. De fait, la solution devrait être donnée par le projet de règlement qui doit remplacer la directive ePrivacy. Cependant, ce dernier est en discussion depuis avril 2016 et le débat semble s’être enlisé [13].

Dès lors, en annulant l’interdiction des cookie walls, le CE a imposé la mission particulièrement complexe, délicate et précaire de palier cette incertitude à la CNIL. Mais c’est une tâche pour laquelle sa qualité d’autorité administrative indépendante (AAI) la prédispose. En quelque sorte…

A suivre.

________________________________________

[1] CNIL, délibération n°2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n°2019-093 du 4 juillet 2019. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3nEQUI7>.

[2] CE, 19 juin 2020, Association des agences conseil en communication et autres, n°434684, para.10. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3fhoUYf>.

[3] Pour une analyse du « recadrage » de la CNIL par le CE, voir : METALLINOS Nathalie. La CNIL ne peut pas prononcer d'interdiction générale de la pratique des « cookie walls ». Communication Commerce électronique, septembre 2020, n° 9, comm. 66. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/35LHc0s>.

[4] CNIL, délibération n°2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs). Article 2. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/2UIcBuy>. 

[5] Union Européenne, règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/36UZ7Bv>.

[6] CEPD, déclaration sur la révision de la directive ePrivacy et son incidence sur la protection de la vie privée et la confidentialité des communications électroniques, 25 mai 2018. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/2UGiZm0>.

[7] Union Européenne, directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques). Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3fhHHT2>.

[8] France, loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; dite « loi Informatique et Libertés » (telle que modifiée au 1er janvier 2020. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/2IRQob5>.

[9] LALLET Alexandre, rapporteur public, conclusions sous CE, 19 juin 2020, Association des agences conseil en communication et autres, n°434684, p. 6. Disponible en ligne : [consulté le 20/11/2020] <https://bit.ly/3lOKZQv>. 

[10] CEPD, ibidem [6].

[11] Commission européenne, Impact Assessment Accompanying the document Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications). SWD(2017) 3 final, 10 janvier 2017. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/3kHhWNi>.

[12] LALLET A., ibidem [9], p. 13.

[13] GAVANON Isabelle et LE MARECLE Valentin. Consentement en matière de cookies : le CEPD clarifie sa position dans des nouvelles lignes directrices. Dalloz actualité (site web), 15 mai 2020. Disponible en ligne : [consulté le 19/11/2020] <https://bit.ly/333C7in>.

"Cookie walls", l'interdiction de la CNIL se heurte au Conseil d'Etat

En juillet 2019, la CNIL avait émis une ligne directrice interdisant les « cookie walls », pratique qui bloque l’accès au contenu d’un site internet en cas de refus des cookies par l’internaute. Par une décision du 19 juin 2020, le Conseil d’Etat a jugé que l’interdiction des « cookie walls » par une ligne directrice de la CNIL était illégale. Cet épisode judiciaire illustre les différends opposant la CNIL et les éditeurs de sites sur l’interprétation du RGPD. 

Le 4 juillet 2019, la CNIL a adopté un plan d’action sur le ciblage publicitaire concernant la protection juridique des internautes confrontés à l’acceptation de cookies lors de la consultation de sites internet. Dans le contexte du renforcement des droits des internautes posé par le Règlement Général sur la Protection des Données (RGPD), entré en vigueur en mai 2018, plusieurs lignes directrices ont été retenues, visant à renforcer les modalités pratiques du recueil du consentement aux cookies. Les traceurs de connexion permettent en effet aux éditeurs de sites d’obtenir des données relatives aux internautes qui peuvent ensuite être revendues pour mettre en place des publicités personnalisées. [1]

Suite à la contestation des mesures posées par la CNIL par des associations et syndicats professionnels du secteur publicitaire, de l’e-commerce et des médias, le Conseil d’Etat a annulé, par une décision du 19 juin 2020, l’interdiction générale des « cookie walls » posée par la CNIL. Le Conseil d’Etat a en effet censuré la recommandation de la CNIL estimant que l’accès à un site internet ne pouvait jamais être soumis à l’acceptation de cookies. Le Conseil d’Etat a motivé sa décision en arguant du fait que des lignes directrices sont un instrument de droit souple et ne peuvent donc pas poser d’interdiction générale [2]. L’avocat des associations requérantes a estimé que « cette décision du Conseil d’Etat est un retour à l’esprit d’équilibre du RGPD qui ne prévoit pas d’interdiction de principe » [3]. 

La CNIL a fait savoir qu’elle prenait acte de la décision du Conseil d’Etat. En revanche, les autres recommandations voulues par la CNIL en juillet 2019 sont confirmées par le Conseil d’Etat [4] :
-    Le refus du consentement ou le retrait du consentement des internautes aux traceurs de connexion doit pouvoir être réalisé facilement ;
-    Les sites utilisant des traceurs de connexion doivent mettre en place une information spécifique sur les différentes finalités des traceurs consentis par l’internaute ;
-    Les internautes doivent pouvoir connaître l’identité des responsables de traitement qui déposent les cookies.
-    La charge de la preuve du consentement valide de l’internaute repose sur ces mêmes responsables de traitement.

Bien que cette décision du Conseil d’Etat puisse être considérée comme un désaveu pour la CNIL, le Conseil d’Etat n’est pas intervenu pour juger de la légalité ou de l’illégalité sur le fond des « cookie walls », mais bien de l’illégalité de les interdire par un acte de droit souple (par une ligne directrice en l’occurrence). La question reste donc en suspens. Les lignes directrices émises par la CNIL seront prochainement précisées pour aboutir à un guide pratique proposant des modalités concrètes de recommandations aux éditeurs de site pour le recueil du consentement aux cookies. Cette prochaine étape devrait intervenir en septembre 2020.

Sources:

[1] CNIL. « Cookies et autres traceurs : la CNIL publie de nouvelles lignes directrices ». Cnil.fr. [En ligne]. 18 juillet 2019. [Consulté le 30 juin 2020]. Disponible sur : < https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-de-nouvelles-lignes-directrices >

[2] Conseil d’Etat. « Le Conseil d’État annule partiellement les lignes directrices de la CNIL relatives aux cookies et autres traceurs de connexion ». conseil-etat.fr. [En ligne]. 19 juin 2020. [Consulté le 30 juin 2020]. Disponible sur : < https://www.conseil-etat.fr/actualites/actualites/le-conseil-d-etat-annule-partiellement-les-lignes-directrices-de-la-cnil-relatives-aux-cookies-et-autres-traceurs-de-connexion >

[3] DEBES, Florian. « La CNIL mise en difficulté sur les “ cookie walls” ». lesechos.fr. [En ligne]. 14 juin 2020. [Consulté le 30 juin 2020]. Disponible sur : < https://www.lesechos.fr/tech-medias/hightech/la-cnil-mise-en-difficulte-sur-les-cookie-wall-1214538 >

[4] CNIL. « Cookies et autres traceurs : le Conseil d’État rend sa décision sur les lignes directrices de la CNIL ». Cnil.fr. [En ligne]. 19 juin 2020. [Consulté le 30 juin 2020]. Disponible sur : < https://www.cnil.fr/fr/cookies-et-autres-traceurs-le-conseil-detat-rend-sa-decision-sur-les-lignes-directrices-de-la-cnil >

Exercer sa citoyenneté numérique dans le respect des droits et libertés: la CNIL explore les civic tech

Dans la septième livraison des Cahiers IP. Innovation & Prospective, (Civic tech, données et Demos), la CNIL se penche sur l'usage croissant des technologies numériques (technologies civiques, civic tech) à des fins de participation et de représentation politiques. Mettant en garde contre le solutionnisme technologique, elle explore quelques pistes susceptibles de créer un environnement de confiance pouvant permettre à tout citoyen d'exercer sa citoyenneté numérique sans que ses droits et libertés ne soient enfreints.

Les initiatives qui se donnent pour objectif l'intensification de la participation citoyenne à la vie de la cité via les nouvelles technologies numériques rencontrent un vif succès. En 2018, le think tank "Décider ensemble" a même lancé un observatoire dédié à ces technologies à visée citoyenne. Ces civic tech témoigneraient ou seraient l'expression d'une certaine insatisfaction, ou plus gravement, d'une méfiance à l'égard des mécanismes "traditionnels" de participation et de représentation politiques. En France, le nombre d'internautes à participer aux consultations en ligne ne cesse de progresser, 51% en 2019 selon la CNIL. La commission classe ces initiatives en trois catégories, même si la réalité de leurs activités invite plutôt à relativiser leurs différences. D'un côté, les gov tech qui sont des initiatives des pouvoirs publics en vue d'améliorer leur fonctionnement grâce à ces technologies; de l'autre, les pol tech qui sont des outils numériques électoraux des structures partisanes; et, enfin, les civic tech qui sont des initiatives d'acteurs associatifs et privés dont l'ambition est d'amplifier l'engagement citoyen. Dans tous les cas, il s'agit d'entrer en interaction avec l'usager ou le citoyen par l'entremise des nouvelles technologies numériques.

Au-là de ces délimitations, la CNIL a tenu à rappeler que les technologies ne sont jamais politiquement neutres, et qu'un outil technique ne saurait être une panacée pour traiter les dysfonctionnements d'un système socio-politique. "L'outil en soi ne fait pas démocratie" avait rappelé Clément Mabi, lors d'une émission radiophonique[1], et la technique est simplement un instrument aux mains d'acteurs sociaux poursuivant des buts pas toujours concordants. Le solutionnisme technologique serait de croire que ces technologies à visée citoyenne vont résoudre le malaise démocratique actuel. La question de leur pertinence réelle à combler les attentes de leurs acteurs les plus impliqués, souvent de jeunes urbains diplômés [2], fait l'objet de débat parmi les politistes et les sociologues. Tout en rendant compte de ces discussions, la CNIL, attire l'attention sur le risque réel de détournement des données personnelles collectées dans le cadre des initiatives. La question de la confiance devient alors d'une importance cruciale si l'on tient à ce que ces technologies contribuent à vitalité démocratique, deviennent réellement des espaces d'information, de discussion et de délibération sur des sujets d'intérêt public. Face à cet impératif de favoriser un environnement de confiance, la CNIL a procédé a quelques propositions.

La commission encourage les porteurs des initiatives civic tech à bien penser les usages pour calibrer la collecte de données. Elle les invite à s'aligner sur les obligations du RGPD en la matière. L'idéal étant de minimiser la collecte de données tout en recueillant des informations suffisantes. Le pseudonymat constitue une autre mesure d'équilibre permettant la protection de l'intimité en ligne. Si l’authentification peut paraître nécessaire dans certains cas, elle ne devrait pas signifier pas pour autant identification. Le recours à des outils de gestion décentralisée de l'identité qui empêcherait d'accéder à l'identité de la personne doit être envisagé. En outre, les plateformes de civic tech ont l'obligation faire preuve de complète transparence dans la collecte des données. Les interfaces doivent  être pensées de manière à ce que l'utilisateur soit correctement informé de ses droits, et ait la possibilité de les actionner. La commission propose un design en ce sens [3], et recommande une évaluation du risque relatif aux données personnelles par le biais de l'outil PIA (Privacy Impact Assessment) [4]. Cet outil aide les organismes à mieux respecter les règles relatives à la protection des données du RGPD. La CNIL exige également d'éviter de recourir aux applications de réseaux sociaux pour s'authentifier sur les plateformes puisqu'il y a un risque de renvoi des données vers d'autres acteurs qui ne partagent pas les mêmes préoccupations que les acteurs des civic tech. Tout comme les institutions publiques devraient éviter d'utiliser ces plateformes, dont elles n'ont aucune maîtrise de leur modèle économique, comme outil d'échange et de mobilisation citoyenne. Même si elles peuvent en faire usage comme canal de diffusion d'informations, ou pour susciter des débats. Enfin, compte tenu de la diversité des acteurs des civic tech, et en l'absence de chartes régulant ce secteur, la commission préconise l'élaboration d'un code de conduite à adhésion volontaire mais contraignant. Toutes ces pistes soulevées par la CNIL devraient permettre d'exercer sa citoyenneté sur les plateformes numériques en préservant ses droits.




[1] Clément MABI sur France Culture dans l'émission La Méthode scientifique, "Civic Tech: vers une démocratie numérique?", diffusée le 09 décembre 2019. (Disponible en podcast, consultée le 17 janvier 2020).
[2] CARDON, Dominique. Culture numérique. Paris: Les Presses de Sciences Po, 2019, p. 277.
[3] Les conseils de la CNIL en ce qui concerne le design d'une interface respectueuse du RGPD: https://design.cnil.fr/
[4]. Analyse d'impact relative à la protection des données (le terme Data Protection Impact Assessment utilisé dans le RGPD équivaut à la PIA): https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd

La reconnaissance faciale s'implante au sein des services publics

Le ministère de l'intérieur et l'Agence Nationale des Titres Sécurisés (ANTS) ont pour projet de déployer une application de reconnaissance faciale : ALICEM (Authentification en Ligne CErtifiée sur Mobile). Concernant la demande de deux lycées, à Nice et à Marseille, qui souhaitaient intégrer la reconnaissance faciale à l'entrée, la CNIL a refusé cette mise en place et suggère d'utiliser des moyens moins intrusifs.

L'application est actuellement en phase de test, environ 10 millions de personnes se sont prêtées au jeu. Cette dernière peut être définie comme le sésame numérique pour les services de l'administration publique. Cependant, un projet d'une telle envergure entraîne forcément l'inquiétude des défenseurs de la vie privée. [1] [2] 

L’objectif d’Alicem est de permettre aux Français qui le souhaitent de protéger leur identité sur internet et de s’identifier de manière sécurisée quand ils font leurs démarches en ligne.  

Il s'agit également d'une solution pour s’identifier en ligne et accéder à France Connect, le portail qui réunit tous les services numériques de l’Etat (exemples : le site des impôts, le compte Ameli de l'assurance maladie ou encore la plateforme ANTS). [1] 

Ce projet réveille l'enjeu de la protection des données et l'attente aux libertés individuelles.  L'association la quadrature du net a déposé un recours devant le Conseil d’État pour demander l’annulation du décret n° 2019-452 du 13 mai 2019 autorisant la création de l’application mobile puisqu'elle juge que l'on se dirige vers un "monde ultra-contrôlé, où l'utilisation d'un identifiant numérique est à la fois indispensable pour le citoyen et parfaitement traçable par les autorités". [3] 

Afin de minimiser les inquiétudes, l'ANTS assure que la vidéo demandée lors de l'inscription sera supprimée une fois la validation accordée. Puis, pour les prochaines connexions un code à six chiffres sera attribué. [1] 

Les avantages de ce projet : 

• Lutter contre l'usurpation d'identité et criminalité via un canal plus difficile à frauder, 
• Simplification des démarches administratives, 

(l'objectif d'ici 2022 : tous les services doivent proposer des demandes dématérialisées)  

• Assurer la mission de régularisation de certification d'identité. [1] [2] 
• 
  

Le lancement officiel est prévu en fin d'année 2019, actuellement le projet est en attente de la validation de la CNIL (Commission Nationale de l'Informatique et des Libertés) puisque l'application doit respecter l'article 9.1. du Règlement Général sur la Protection des Données (RGPD). Il est également intéressant de suivre le recours réalisé par l'association la quadrature du net. [4] 

Sources : 

[1] Interieur.gouv.fr. "Alicem : la première solution d'identité numérique". 

Disponible en ligne (consulté le 28/10/2019) : 

https://www.interieur.gouv.fr/Actualites/L-actu-du-Ministere/Alicem-la-premiere-solution-d-identite-numerique-regalienne-securisee   

[2] L'express.fr. "Comment fonctionnera Alicem : l'application qui centralisera notre identité numérique" 

Disponible en ligne (consulté le 28/10/2019) : 

https://www.lexpress.fr/actualite/societe/comment-fonctionnera-alicem-l-appli-qui-centralisera-notre-identite-numerique_2104261.html 

[3] Laquadrature.net. "La quadrature attaque l'application Alicem contre la génralisation de la reconnaissance faciale". 

Disponible en ligne (consulté le 28/10/2019) : 

https://www.laquadrature.net/2019/07/17/la-quadrature-du-net-attaque-lapplication-alicem-contre-la-generalisation-de-la-reconnaissance-faciale/ 

[4] Nextinpact.com. "Alicem : biométrie identité numérique sur mobile fait tiquer la CNIL". 

Disponible en ligne (consulté le 28/10/2019) : 
https://www.nextinpact.com/news/107883-alicem-biometrie-identite-numerique-sur-mobile-fait-tiquer-cnil.htm  

Un guide pratique pour mieux encadrer la publication en ligne et la réutilisation des données publiques.

Afin de clarifier les règles relatives à l’ouverture des données publiques en open data, la Commission d’accès aux documents administratifs (CADA) et la Commission nationale de l’informatique et des libertés (CNIL) ont publié un guide pratique de la publication en ligne et de la réutilisation des données publiques le 17 octobre 2019. Cet outil est mis à disposition tant des administrations que des personnes privées pour répondre à leurs interrogations portant sur l’articulation des obligations d’ouverture des données publiques avec celles prescrites par le Règlement général sur la protection des données (RGPD). 

Depuis le 17 octobre 2019, la CNIL et la CADA proposent le téléchargement sur leurs sites Internet d’un guide pratique de la publication en ligne et de la réutilisation des données publiques. Cet outil se présente sous la forme d’un document de vingt-huit pages et réalise une synthèse portant sur les obligations de publication en ligne, le contenu des documents publiés et leurs modalités de diffusion et de réutilisation [1]. Une fiche pratique sur l’anonymisation des documents administratifs a été élaborée en complément de ce guide, mettant ainsi l’accent sur ce procédé qui permet de mettre en ligne des informations publiques sans données personnelles [2]. 

Attendue depuis 2016, la publication de cet outil a pour objectif de répondre aux difficultés rencontrées lors de la diffusion en ligne des données publiques, notamment par les collectivités locales et les petites communes, mais aussi par les petites et moyennes entreprises [3]. La rédaction de ce guide a donc été élaborée après une consultation publique lancée au printemps dernier qui a réuni plus de deux cent vingt contributions et est présentée comme un succès par la CNIL. Celle-ci attire l’attention sur la diversité des participants qui sont tant des acteurs du service public que des professionnels du secteur privé [4]. 

Faisant suite à la publication d’un guide de sensibilisation au RGPD pour les petites et moyennes entreprises en 2018 [5] et à la mise en ligne d’un Mooc consacré au RGPD en mars 2019 [6], ce guide pratique est présenté comme un outil d’accompagnement durable, son contenu étant appelé à être mis à jour régulièrement par le biais de fiches pratiques qui seront réalisées au gré des évolutions légales, doctrinales ou jurisprudentielles portant sur la question de la réutilisation des données publiques [4]. 

Si ce guide s’inscrit dans la politique d’accompagnement de la CNIL, sa publication tend aussi à montrer que la CNIL sera désormais moins tolérante en cas d’abus. « Désormais, nous devons faire passer le message que, sans renoncer à son action d’accompagnement et tout en faisant preuve de discernement dans son action répressive, la CNIL n’hésitera pas à passer aux sanctions. » a ainsi déclaré en juin 2019 Marie-Laure Denis, présidente de la CNIL [3]. Avec l’entrée en vigueur du RGPD en mai 2018, les citoyens sont en effet devenus plus sensibles à la protection de leurs données personnelles. En 2018, la CNIL a ainsi reçu 11 077 plaintes, un nombre record, en hausse de 32% par rapport à 2017 [7].

Sources: 

[1] CNIL/CADA. Guide pratique de la publication en ligne et de la réutilisation des données publiques (« open data »). Cnil.fr [en ligne]. 17 octobre 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.cnil.fr/sites/default/files/atoms/files/guide_open_data.pdf

[2] CNIL/CADA. L’anonymisation des données. Cada.fr [en ligne]. 17 octobre 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.cada.fr/administration/lanonymisation-des-donnees

[3] La Semaine Juridique – Edition générale - n° 23 – 10 juin 2019. Le RGPD a eu un impact direct : le nombre de plaintes auprès de la CNIL a augmenté d’un tiers en un an. Tendancedroit.fr [en ligne]. [consulté le 11 novembre 2019]. Disponible sur : http://www.tendancedroit.fr/wp-content/uploads/2019/06/Entretien.pdf

[4] CNIL. Open data : la CNIL et la CADA publient un guide pratique de la publication en ligne et de la réutilisation des données publiques. Cnil.fr [en ligne]. 17 octobre 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.cnil.fr/fr/open-data-la-cnil-et-la-cada-publient-un-guide-pratique-de-la-publication-en-ligne-et-de-la

[5] Bpifrance Le Lab/ CNIL. Guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises. Les grandes étapes pour protéger les données personnelles de votre entreprise. Cnil.fr [en ligne]. 17 avril 2018 [consulté le 11 novembre 2019]. Disponible sur : https://www.cnil.fr/sites/default/files/atoms/files/bpi-cnil-rgpd_guide-tpe-pme.pdf

[6]  CNIL. La CNIL lance sa formation en ligne sur le RGPD ouverte à tous. Cnil.fr [en ligne]. 11 mars 2019 [consulté le 11 novembre 2019]. Disponible sur :  https://www.cnil.fr/fr/la-cnil-lance-sa-formation-en-ligne-sur-le-rgpd-ouverte-tous

[7] Januel Pierre. CNIL et RGPD : retour sur une année de transition. Dalloz-actualité.fr [en ligne]. 19 avril 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.dalloz-actualite.fr/flash/cnil-et-rgpd-retour-sur-une-annee-de-transition