Protéger nos données persos sur le Web ? Bon courage M. Hollande !

François Hollande regarde son smartphone dans les studios de Martinique première, le 4 juillet 2011 (Patrick Coppée/AFP)

En 1679, l’Angleterre veut limiter les emprisonnements arbitraires et adopte un des premiers textes protégeant les droits de l’homme, l’Habeas corpus. Aujourd’hui, certains veulent adapter ce droit vieux de 350 ans au monde numérique. François Hollande en a fait discrètement la promesse pendant la campagne présidentielle.

Mieux encadrer la biométrique et les fichiers policiers, mais aussi toutes les traces (statuts sur les réseaux sociaux, « J’aime », photos, achats, commentaires, blogs...) qu’on laisse sur Internet, c’est l’objectif de cet « habeas corpus numérique ». William Bourdon, responsable du pôle libertés publiques au sein de l’équipe de campagne de François Hollande, détaille :

« L’idée c’est que face à un certain nombre de menaces et de risques liés aux nouvelles technologies, la loi érige une forme de bouclier pour éviter les dérapages ou l’arbitraire. »

Rue89 a identifié (au moins) trois grandes inquiétudes autour de la protection de ces données, deux remèdes... et une double difficulté pour cet « habeas corpus numérique ».

On n’est plus propriétaire de ses données

La plupart du temps, lorsqu’on poste des photos ou des « J’aime » sur les réseaux sociaux, on en abandonne toute propriété. Tout le monde ne veut – ou ne peut – pas contrôler ses données personnelles (ni lire les 40 000 caractères de la politique de confidentialité de Facebook).

Ainsi, 28% des utilisateurs américains de Facebook postent en mode public, de manière visible à tout utilisateur connecté sur Internet. Et même lorsqu’on demande à Facebook de supprimer des contenus, il les conserve quand même en mémoire (ou rassemble des informations sur des internautes qui n’y sont pas inscrits).

Il est impossible de retirer de Facebook les commentaires qu’on y a laissés, les photos qu’on y a postées. Impossible aussi d’empêcher Twitter de réutiliser ou de revendre ce qu’on y poste. Impossible de récupérer tout ce qu’on a posté sur un réseau social pour le transférer – par exemple – sur un autre.

Pour Louise Merzeau, chercheuse au sein du projet de recherche Prodoper (« Protection des données personnelles »), les acteurs économiques sont devenus « des prestataires d’identité numérique », les seuls à avoir la main sur notre identité en ligne :

« Les acteurs économiques risquent d’être les seuls à même de réunir les traces qu’on a laissées. Si on ne fait rien, on s’achemine vers une privatisation marchande de nos données personnelles. »

Des données de plus en plus lucratives

Aujourd’hui, nos photos de famille et nos vidéos préférées sont – souvent malgré nous – au cœur de tout un environnement économique. De Google à Facebook, des entreprises s’appuient sur nos relations, de nos interactions et de nos pérégrinations sur le Web pour gagner de l’argent. Selon un adage bien connu :

« Sur Internet, si vous ne payez rien, c’est que vous êtes le produit. »

Pour Isabelle Falque-Perrotin, la présidente de la Commission nationale informatique et liberté (Cnil), les données personnelles sont tout simplement le « carburant du numérique ».

On ne sait pas ce qu’on fait avec nos données

Charles Népote, directeur au sein de la Fing, un think tank dédié au numérique, du programme de recherche « Identités actives », qui a étudié la question des données personnelles :

« Il y a une asymétrie entre les organismes qui collectent des données, et les individus qui les fournissent, et qui ne connaissent pas leur destination ou leur usage, qui ont du mal à y avoir accès. »

Autre problème, ces données sont pour la plupart détenues par un petit nombre de grands acteurs – essentiellement étrangers –, donc très centralisées, pour Anne-Marie Kermarec, directrice de recherche à l’Institut national de recherche en informatique et en automatique (Inria) :

« Les données sont centralisées entre les mains de grosses compagnies, telles Google et Facebook. Cette évolution n’ayant pas été envisagée du point de vue législatif, les garanties en matière de confidentialité apportées par ces sociétés sont relativement faibles, voire inexistantes. »

Faciliter l’accès à nos propres données

L’habeas corpus devrait donc faciliter l’accès et la modification de ces données laissées sur Internet et redonner du pouvoir aux citoyens, de la même manière qu’il le fera pour les fichiers policiers.

L’idée pourrait être – par exemple – de simplifier le téléchargement de l’intégralité des données postées sur un réseau social, de s’assurer de leur suppression, ou de l’établissement d’un droit au « transfert » des données d’un réseau à un autre.

Séparer l’identité en ligne et hors ligne

Mais William Bourdon veut aller plus loin et « découpler l’identité numérique et l’identité civile. »

L’idée d’une telle séparation n’est pas nouvelle, et porte un nom : l’hétéronymat. Pour ses défenseurs, les services sur Internet n’ont pas besoin de connaître notre réelle identité. On doit pouvoir s’identifier, ne communiquer qu’une fraction pertinente de son identité réelle pour utiliser Internet.

Charles Népote estime qu’on peut utiliser Internet « sans identification » et « personnaliser sans identifier » :

« Par exemple, si on va dans un café tous les jours, plus besoin de parler au serveur, il nous prépare ce qu’on prend d’habitude, il n’a pas besoin de connaître notre nom. On a un service personnalisé et ses avantages sans avoir à s’identifier. »

Pour Louise Merzeau, il faut apporter une « garantie à l’utilisateur d’une forme d’anonymat, et au fournisseur de service une garantie d’authentification ».

En filigranne, l’idée est de donner aux internautes une plus grande liberté. Charles Népote :

« Je veux pouvoir me constituer des vies numériques complètement étanches, pourquoi pas de façon très riche. C’est très différent du pseudo, dont l’usage est limité dans le temps. On considère que l’hétéronymat est un pseudo plus riche et très cohérent dans le temps pour créer une véritable identité numérique. »

De nombreuses personnalités sur Internet prennent la parole d’autant plus librement que leur identité est inconnue. Pourtant, ils ne sont pas anonymes et leur expertise (ou leur talent) est reconnu, de Maître Eolas en passant par Jaddo ou Camille.

Une mesure encore floue

Pour le moment, on en sait peu sur la manière dont cet habeas corpus s’appliquera (William Bourdon n’a pas pu nous donner davantage de précisions et le ministère de la Justice n’a pas répondu à nos sollicitations).

Pour certains, comme Charles Népote, il est peut-être encore trop tôt pour une telle réforme :

« Je ne suis pas sûr que le sujet ait été assez discuté pour qu’on ait des réponses. Ce serait intéressant qu’il y ait une consultation, voire une corédaction, un consensus entre industriels et pouvoirs publics. »

Louise Merzeau considère également qu’il faut « impliquer les acteurs économiques » du Web :

« Si on réforme sous un angle sécuritaire, ça ne marchera pas. Il faut que tous les acteurs aient un intérêt. »

Seule chose certaine : ce sera fait par une « loi », précédée par « un processus de consultation », et devrait se traduire par un renforcement des pouvoirs de la Cnil.

D’autres textes à prendre en compte

Toute nouvelle législation sur les données personnelles devra en tout cas s’accomoder de la loi informatique et liberté de 1978, qui prévoit déjà un droit d’accès et de modification des données collectées par des tiers.

Mais cela reste un « droit peu connu et insuffisamment utilisé », selon la présidente de la Cnil. C’est toujours mieux qu’aux Etats-Unis, où un tel droit n’existe même pas.

Le problème de l’identité sur Internet ne date évidemment pas des réseaux sociaux. En 2000, à l’occasion du débat sur une loi qui menacait l’anonymat sur Internet, on demandait déjà « plusieurs identités virtuelles garanties par la loi », pour pouvoir être :

« Avocat le jour, drag-queen la nuit. »