Réponse à la CNIL
Le projet de règlement européen devrait consacrer le principe d’un « droit à l’oubli » numérique. Dans ce contexte, la CNIL a lancé une consultation auprès des internautes et des professionnels afin de cerner ce que pourraient être les contours d’un tel droit. Les réflexions rapportées ci-dessous sont les réponses que j’ai adressées dans le cadre de cette consultation. Afin que mes propos soient compréhensibles, j’ai reproduit certains fragments du texte adressé par la CNIL. À ce stade de la réflexion, ils doivent être considérés comme des pistes et non comme la position officielle de la CNIL.
version pdf du texte reproduit ci-dessous
Le droit à l’oubli numérique sur Internet
[…] Le droit à l’oubli numérique sur internet serait la possibilité offerte à chacun de maîtriser ses traces numériques et sa vie – privée comme publique – en ligne. […] Il est nécessaire de trouver un équilibre entre le droit à l’oubli d’une part, et la nécessité de se ménager des preuves, le devoir de mémoire et la liberté d’expression d’autre part, comme le prévoit d’ailleurs le projet de règlement européen présenté par la Commission européenne le 25 janvier 2012 et actuellement en cours de discussion. […]
LM : Je dirais plutôt que l’inscription d’un droit à l’oubli dans la loi aiderait les usagers à maîtriser leurs traces numériques (il ne constitue pas en lui-même un moyen de maîtriser…).
Je suis par ailleurs réticente à l’usage de l’expression « devoir de mémoire », qui renvoie selon moi à des contextes historiques précis (génocides, amnésies collectives…), non généralisables à l’ensemble des situations quotidiennes encadrées par le projet de règlement. J’estime à ce titre qu’il serait plus pertinent de parler de « fabrique de mémoire », celle-ci devant être considérée comme le produit d’une activité sociale plutôt que comme un devoir moral.
1. Pistes de réflexion pour améliorer l’effectivité d’un droit à l’oubli sur Internet
a/ L’élaboration d’un référentiel standard
La CNIL s’interroge sur l’opportunité de créer un référentiel standard relatif aux durées maximales de conservation des données, selon les différentes finalités des traitements.
[…] Par exemple, il pourrait être envisagé qu’une page personnelle d’un réseau social, restée inactive durant une période préalablement définie dans ce référentiel (exemple : durant deux ans) puisse être automatiquement supprimée par le responsable du site, après avoir averti l’internaute que, sauf action de sa part, son profil sera supprimé. […]
LM : Je ne crois pas beaucoup dans la possibilité d’établir un référentiel des finalités possibles de traitement des traces. Outre que cela verrouille par avance l’exploitation des traces, cela suppose une capacité d’anticipation qui me paraît loin d’être implantée dans les usages.
La solution préconisée paraît par ailleurs confondre durée de conservation et durée de publication. Or c’est l’un des points de tension où se joue la confiance ou la défiance des usagers dans les plateformes qui gèrent et publient leurs données : l’utilisateur devrait avoir la garantie que les données qu’il a lui-même décidé de retirer de son espace de publication ne sont pas conservées par la plateforme et qu’elle n’en fera plus usage – sauf mention explicite d’une fonction d’archivage. Ici, une obligation légale de rétrocession complète des données – et ce, quelles que soient les CGU – pourrait s’avérer utile.
L’exemple évoqué renvoie enfin à une autre distinction qui me paraît fondamentale : celle qu’il faudrait introduire entre les traces actives et les traces désactivées. Selon moi, ce n’est pas parce qu’un compte n’est plus actif qu’il faudrait nécessairement le supprimer et retirer les données qu’il contient de tout espace en ligne. Il me paraît plus important d’insister sur l’idée qu’une trace peut être accessible sans être pour autant activable dans n’importe quel contexte. Autrement dit, je préconiserais plutôt l’instauration de « friches numériques » : espaces où les données sont encore consultables mais marquées comme désactivées par l’usage (donc à ne pas exploiter par copie, commentaire, data mining ou traitement statistique). En ce sens chaque plateforme pourrait avoir à préciser le délais au-delà duquel les données qu’elle accueille passeraient en friche en cas de non activité. Mais je ne crois pas que ce soit à la loi de le fixer.
b/ Une meilleure maîtrise de la publication des données
La Commission s’interroge également sur la mise à disposition d’outils permettant aux internautes de mieux maîtriser la publication de leurs données.
Il pourrait s’agir, par exemple, d’offrir aux utilisateurs des fonctionnalités leur permettant :
– de définir une date de « péremption » de leurs publications ;
– de gérer leurs propres publications en leur offrant directement la possibilité de les modifier ou de les supprimer. […]
LM : Concernant les informations publiées dans des espaces semi-privés, comme dans les réseaux sociaux conversationnels, l’utilisateur devrait en effet avoir davantage la main sur la publication de ses données, et pouvoir déclencher de lui-même à tout instant leur retrait.
Je ne pense pas en revanche qu’il faille instaurer pour ce faire une durée de péremption définie a priori. Je doute en effet que les utilisateurs aient une idée claire de la durée pendant laquelle ils souhaitent voir leurs données publiées au moment où ils conversent en ligne, et je pense que la diversité des situations et des usages est incompatible avec l’instauration d’une règle générale.
Concernant les informations diffusées dans des espaces publics, comme des articles de presse ou des blogs, je pense en revanche qu’il serait dangereux de permettre aux individus de supprimer eux-mêmes les données qui les concernent. Soit ils considèrent qu’il y a diffamation ou préjudice et ils peuvent alors recourir à la loi pour demander un droit de réponse ou intenter des poursuites. Soit les informations publiées ne leur causent pas de préjudice au moment de leur publication et il n’y a pas de raison de leur appliquer une sorte de droit de repentir comme peut l’exercer un auteur sur son œuvre.
Outre les possibilités actuellement en vigueur en matière d’anonymisation et de suppression en cas d’exercice du droit d’opposition pour motif légitime, il pourrait être envisagé qu’un internaute puisse avoir accès à son message afin de pouvoir agir seul pour le modifier et/ou le supprimer.
Pour ce faire, un guide de bonnes pratiques pourrait être élaboré par la CNIL, après consultation des différents acteurs concernés.
LM : Tout dépend dans quel espace de publication on se trouve – réseau conversationnel semi-privé ou espace de publication ouvert à caractère éditorial (même si le propre d’Internet est d’engendrer des espaces hybrides et que cette distinction n’est sans doute pas aisée à faire dans tous les cas).
Concernant le guide de bonnes pratiques, je n’en vois guère ici l’utilité. C’est par les dispositifs plutôt que par les prescriptions que les usages se forment.
c/ Le « droit à l’oubli numérique » et la presse en ligne
[…] La CNIL réfléchit actuellement aux différentes dérogations, juridiques et techniques, qui permettraient de garantir « la cessation de la diffusion » des données à caractère personnel prévue par l’article 17 du règlement. On peut ainsi envisager l’application, cumulative ou pas, des possibilités suivantes :
– l’anonymisation de l’identité du titulaire du droit et, s’il y a lieu, l’effacement des éléments permettant de l’identifier (fonction, ville, etc.) ;
– la désindexation du ou des articles concernés dans les moteurs de recherche afin qu’ils n’apparaissent plus dans les résultats d’une recherche faite sur la base de l’identité du titulaire du droit à l’oubli ;
– la définition concertée d’une durée au-delà de laquelle les articles diffusés en ligne devraient être versés dans un fonds d’archives accessible en ligne mais uniquement sur abonnement.
LM : Dans le cas où les informations publiées par le passé nuisent gravement à la réputation actuelle du titulaire et lui apportent un préjudice durable, on pourrait envisager qu’il puisse demander le retrait de l’article des bases indexées par les moteurs de recherche et sa migration dans une archive accessible seulement sur demande.
Je ne vois pas en revanche en quoi l’abonnement ouvrirait ici un droit d’accès spécifique : ce n’est pas une question commerciale, mais une question de légitimité de la demande en fonction de la finalité visée (comme pour la communication de certains documents non rendus publics, mais susceptibles d’être communiqués à des fins d’étude et de recherche).
Reste à déterminer selon quels critères et par qui serait défini le niveau de préjudice ouvrant droit à une telle désindexation. Cela devrait en tout état de cause demeurer exceptionnel, sous peine d’aggraver considérablement les risques de désinformation au cas où chacun pourrait réécrire ou raturer son/l’histoire à loisir. Cette forme de retrait relève donc à mon sens plutôt de la déontologie des journalistes et éditeurs que d’un droit à accorder systématiquement à toute personne.
d/ La possibilité d’agir auprès de l’hébergeur du site
Il pourrait être ajouté dans le projet de règlement européen la possibilité de s’adresser à l’hébergeur du site de publication ou à tout acteur de diffusion de la donnée visée pour obtenir l’anonymisation ou la suppression des données en l’absence de réponse du responsable du traitement initial.
LM : Si la proposition peut sembler relever du bon sens pour résoudre des situations de blocage dues à la non disponibilité de l’éditeur, j’y suis néanmoins hostile par principe. Je pense en effet qu’il est crucial de maintenir dans la loi, pour toutes les situations, une différence entre les prérogatives, obligations et droits de l’éditeur et celle de l’hébergeur. Sinon, c’est alimenter une confusion qui me paraît nuire gravement à la circulation des contenus sur Internet.
2. Proposition d’amélioration au niveau des systèmes de référencement
Le droit à l’effacement des données pourrait être complété par :
– une obligation juridique de déréférencement sans délai à la charge des moteurs de recherche, dès lors que l’internaute aurait obtenu l’effacement de l’information initiale ;
– la possibilité pour l’internaute de gérer l’indexation de ses données. […]
LM : Je ne crois pas du tout à la possibilité de contraindre les moteurs de recherche au déréférencement en dehors du cadre clairement délimité des archives de presse ou des sites administrés par un comité de rédaction capable de décider du retrait d’un article en archive désindexée (voir ci-dessus).
Les résultats des moteurs sont le reflet de la présence numérique des individus : à charge pour eux d’assumer la dimension publicatoire de nombre de leurs activités en ligne et de prendre une part plus active dans la construction des contours de cette présence.
Imposer une simplification et une normalisation des paramétrages permettant de régler la visibilité de ses données, en particulier sur les réseaux sociaux, est en effet une nécessité.
Les plateforme devraient avoir l’obligation :
– d’afficher beaucoup plus clairement les choix mis à la disposition de leurs utilisateurs,
– d’assurer une plus grande stabilité de ces paramétrages,
– d’adopter des réglages par défaut qui garantissent la protection maximale et non l’inverse.
Une fois encore, le principe d’une désindexation décidée par l’usager me paraît en revanche à la fois impossible à mettre en œuvre et peu souhaitable. Mieux vaut œuvrer à expliquer le principe même du référencement et à responsabiliser toujours davantage les individus dans leurs pratiques publicatoires.
3. La portabilité des données
Le projet de règlement prévoit d’instaurer un droit à la portabilité, qui devrait permettre à chacun d’obtenir d’un responsable de traitement la copie des données qui le concernent, dans un format électronique structuré couramment utilisé et permettant leur réutilisation. Le droit à la portabilité pourrait toutefois concourir au droit à l’oubli chaque fois que son exercice serait assorti d’une demande d’effacement des données conservées par le responsable du traitement initial.
LM : Le droit à la portabilité est essentiel : plus que l’effacement des données, c’est cette possibilité offerte aux utilisateurs d’administrer eux-mêmes leur profil pour exploiter comme ils l’entendent leurs propres traces qui corrigera les effets abusifs ou intrusifs de la captation des données personnelles.
Autres suggestions pour assurer l’effectivité du droit à l’oubli
LM : Je suggèrerais qu’il soit ajouté au projet de règlement la nécessité de mieux garantir la distinction entre identification et authentification.
Si je considère que le principe d’un effacement des données est souvent inapplicable ou dangereux, je pense en revanche que les usagers devraient pouvoir préserver beaucoup plus souvent leur anonymat ou leur pseudonymat, quand bien même ils doivent authentifier leur connexion ou fournir des informations personnelles (sur leurs habitudes, leurs préférences ou leurs parcours) afin de personnaliser leurs transactions. Autrement dit, l’écart entre authentification et identification devrait être davantage garanti : s’il est légitime de devoir prouver qu’on a bien les droits pour accéder à des information protégées, engager une transaction marchande, bénéficier d’un service spécifique, etc., il n’est en revanche pas normal de devoir s’identifier en toute circonstance, pour simplement consulter des contenus.
Ces demandes abusives d’identification de la part des sites devraient être davantage contrôlées et poursuivies.
C’est à cette condition qu’on pourra alors inciter les utilisateurs non pas tant à se protéger qu’à partager leurs données en toute confiance, sachant qu’ils ne livreront que ce qui leur est à eux-mêmes utile.
→ Voir l’émission 14h42 consacrée au droit à l’oubli
Je suis en train de vous écouter dans l’émission 12h42.
Vous n’avez pas la moindre idée de ce dont quoi vous causez et encore moins de la vraie vie des vrais gens en chair et en os.
Lisez ça :
http://icyp.fr/2011/12/24/nemrod34-gagne-en-appel-contre-overblog/
Lisez bien tout, et suivez TOUS les liens inclus.
Et demandez d’en savoir plus à M. Manach.
Manifestement, les abus dont vous parlez relèvent de la diffamation et tombent à ce titre sous le coup de la loi. Cela n’entre donc pas dans le cadre du droit à l’oubli dont il est question ici.
Par ailleurs, je ne suis pas un robot : je suis autant dans la vraie vie que vous…
Comment pouvez-vous écrire « manifestement » après avoir passé moins de dix minutes à lire ce billet ?
Franchement : quand vous parliez de boîtes d’e-reputation tout à l’heure, avez-vous seulement la moindre idée de combien ça coûte ?
Et je m’arrête là, parce ça ne m’intéresse pas de discuter avec vous.
Bonne soirée.
Bonjour Louise,
Merci pour ces réflexions auxquelles je souscris dans l’ensemble!
Pour rebondir sur le débat dans le 14h42, je me demande si la question n’est pas moins celle des données personnelles, que du contexte (principalement algorithmique ?) dans lequel ces données deviennent information (et l’identité, un document) ?
Le cas de « mme X » est d’ailleurs représentatif : la question ne semblait pas pour elle de ne pas assumer son passé, mais de voir que Google (ce théâtre de nos vies numériques -pour prendre une allusion goffmanienne) agence ce dit passé, produisant ainsi des stigmates-sceaux d’approbations allant à l’encontre de sa propre stratégie de mise en scène de soi.
La problématique ne repose plus sur des questions de « personal branding » (ou « d’e-réputation » au sens de nettoyage) voire de retrait d’information, que d’éducation aux fonctionnements algorithmiques. Voire même au référencement naturel comme tu le laisse transparaitre dans ton billet.
Pour prendre une analogie je dirai que plutôt que de vouloir demander le retrait d’un livre (i.e. traces personnelles) d’un rayonnage (Google, RSN, etc.), ne vaut mieux-t-il pas réfléchir à l’avance à comment celui-ci va être indexé afin de gérer son emplacement, sa visibilité, son accessibilité, etc. ?
Enfin, il me semble que la CNIL (mais pas que) mélange parfois des notions bien différentes : diffamation, indexation, donnée, information, visibilité, référencement, etc. Ce qui amène parfois les individus les plus en détresse (et le commentaire précédent le montre bien) à développer une attente plus juridique et « immédiate » que ce que les prérogatives de la CNIL lui permettent de mettre en place… Et à l’heure du CSA comme régulateur du web, ceci m’inquiète un peu…
Désolé pour le long commentaire, et au plaisir d’échanger là-dessus (ça m’inspire un billet de blog d’ailleurs) :))
@Camille
Entièrement d’accord avec tes réflexions. Il faut déporter le débat sur le droit à l’oubli de la problématique de l’effacement à celle de l’indexation et de ce que Bernhard Rieder appelle la « distance informationnelle ».
Quant au danger qu’il y a de demander à la Cnil de tout rég(u)ler, en confondant ce qui relève de l’infraction pure et simple des effets pervers mais parfaitement « normaux » de l’indexabilité des individus, c’est aussi ce que j’essaie de pointer.
Je cours de ce pas lire ton billet 😉