1 L’évaluation des personnes est une finalité ancienne du traitement des données personnelles, notamment par voie automatique, qui a toujours retenu l’attention de la CNIL. Cette évaluation peut prendre des formes différentes (pas seulement la notation), objectives et subjectives, quantitatives et qualitatives. Le sujet intéresse de nombreuses dispositions de la loi du 6 janvier 1978 Informatique, fichiers et libertés, modifiée en 2004, et d’autres domaines du droit (droit civil et droit social par exemple), et peut déboucher sur des infractions pénales.

2 Citons pour commencer l’article 10, alinéas 2 et 3 (l’alinéa 1 concernant les décisions de justice) de la loi : « … aucune autre décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destinées à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

3 Ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée ».

4 Curieusement ces dispositions ne s’appliquent qu’aux traitements automatisés de données personnelles ; les fichiers manuels y échappent, ce qui est absurde ; que faut-il entendre aussi précisément par « seul fondement », « produisant des effets juridiques », « profil de l’intéressé »…? On voit bien l’insuffisance de la portée de cet article par rapport à la variété des formes, des finalités, des modes de diffusion de l’évaluation, de la notation.

5 Pour sa part, l’article 39 alinéa 5 permet à toute personne d’interroger le responsable du traitement pour obtenir « les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l’égard de l’intéressé ». Ceci peut s’appliquer à un traitement automatisé d’aide à la décision comportant un module d’évaluation, de notation, de la personne concernée.

6 Sur la base des dispositions de la loi du 6 janvier 1978 modifiée par la loi du 8 août 2004, la CNIL comme le juge ont eu à se pencher sur le traitement d’évaluation, de notation des personnes en plusieurs occasions.

7 I – La CNIL a eu à connaître de diverses affaires litigieuses se répartissant entre secteurs et finalités variés, lui donnant l’occasion d’élaborer une doctrine, des recommandations, en particulier à propos des listes d’exclusion, des « listes noires »  [1]. Ceci peut concerner :

8

• la gestion du personnel, des ressources humaines (évaluation du travail et des comportements, des potentiels personnels, de l’adéquation au poste de travail…) ;
• la gestion de la clientèle : estimation des risques, marketing, profilage, ciblage, segmentation comportementale, scoring, etc. (ex : liste noire pour les naturistes indélicats  [2] ; conducteurs de véhicules de location indélicats en 2003 ; liste noire de locataires en 2003…) ;
• l’évaluation de la qualité professionnelle  [3].

9 Les exigences de la CNIL sur les listes noires peuvent être résumées :

10

• les listes noires ne peuvent être secrètes. Leur transparence impose l’information des intéressés sur les finalités qui doivent être légitimes, proportionnées et précises, et permettre l’exercice du droit d’opposition. L’information doit être assurée lors de la collecte des données, lors de la survenance du fait pouvant donner lieu à fichage puis au moment du fichage ;
• pas de « pilori électronique » : la mise en œuvre et l’accès au traitement doivent être limités à un secteur donné précis (liste fermée) et aux seuls professionnels de ce secteur. Par exemple, faute d’avoir payé son abonnement au téléphone on ne peut écarter la candidature d’une personne à un logement. Le principe de sectorisation a été confirmé par le Conseil d’État dans un arrêt du 28 juillet 2004 concernant un traitement d’auteurs d’impayés locatifs accessible sur Internet ;
• respect de la loi pour les conditions de figuration (article 6) : collecte loyale et licite des données, finalités déterminées, licites, explicites, légitimes, données exactes, adéquates, pertinentes, mises à jour, proportionnées, création de mécanismes de contrôle et de médiation ;
• garantie du droit à l’oubli (ex : suppression de l’inscription dès la régularisation de la situation pour les impayés) ;
• assurer la confidentialité et la sécurité des données : absence de divulgation portant atteinte au respect de la vie privée, à la considération de la personne par des moyens techniques et humains ; contrôle des risques d’homonymie.

11 Bien entendu, les traitements automatisés doivent faire l’objet des formalités préalables auprès de la CNIL, ce qui peut exiger un régime d’autorisation. Comme le montre l’affaire du centre naturiste hélio-marin René Oltra du Cap d’Agde, la CNIL peut autoriser (autorisation du 12 juin 2008) la mise en œuvre d’un traitement automatisé de données personnelles comportant une liste d’exclusion de clients naturistes ne respectant pas le règlement intérieur à la condition de respecter les recommandations de la commission en la matière, de préciser la finalité et les modalités d’information des personnes, d’utiliser des critères objectifs, pertinents et proportionnés d’évaluation, d’établir une liste fermée qui ne donne pas lieu à diffusion et accès libre à des tiers. Il n’y a donc pas impossibilité de principe de créer des modes d’évaluation et de notation conformes au droit de la protection des données personnelles qui offre un équilibre possible entre les besoins légitimes du responsable du traitement et les droits des personnes concernées. On observera d’ailleurs qu’en passant par exemple par le droit social et non par la loi de 1978 modifiée, on aboutit à des exigences identiques de la part du juge  [4].

12 II – On assiste actuellement à la relance du débat sur la légalité des traitements de données personnelles tendant à l’évaluation, à la notation, à l’appréciation des caractéristiques objectives et subjectives des personnes physiques (les personnes morales sont aussi évaluées, notées…) en raison de deux faits :

13 1/ la loi de 1978 a connu des évolutions de fond lors de la transposition de la directive 95/46/CE du 24 octobre 1995 par la loi du 6 août 2004, spécialement avec l’introduction du principe au consentement préalable au traitement des données personnelles par la personne concernée (article 7), sauf exceptions prévues (1°, 2°, 3°, 4°) ou sauf si l’emporte « la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés de la personne concernée ». Ce 5° de l’article 7 donne lieu à une interprétation, une appréciation, une application délicate et difficile puisqu’il s’agit de trouver l’équilibre de l’équilibre. L’affaire Note2Be est importante à cet égard : c’est la première fois que l’on voit apparaître la question de la légitimité du traitement et de la balance de l’intérêt entre un responsable du traitement et la personne concernée. Pour les avocats, il y a là une porte qui doit donc s’ouvrir pour permettre à toute personne de contester le fait d’être mise d’office dans un traitement car on a négligé que devaient l’emporter ses intérêts propres.

14 2/ Le contexte Internet et web 2.0 modifie les finalités des traitements, les risques pour les droits des personnes et provoque la diffusion généralisée et ouverte à tous des évaluations et notations. Sur Internet tout le monde est incité à évaluer et noter tout le monde sur n’importe quoi, n’importe comment, à titre principal ou accessoire, pour informer, faire de l’argent, « attirer le gogo » ou multiplier les clics (y compris les organes de presse – évaluation des articles et de leurs auteurs). En France c’est le juge, et non la CNIL, qui a connu, à titre principal un contentieux s’inscrivant dans le nouveau contexte décrit, concernant le site Note2be.com. À l’image de sites étrangers, les élèves et étudiants inscrits affectaient à leur insu grâce à un logiciel, une note unique chiffrée aux enseignants identifiés, classés par établissements d’enseignement et disciplines à partir de l’évaluation quantitative de six rubriques (intéressant, clair, disponible, équitable, respecté, motivé) ; parallèlement un forum de discussion non modéré permettait à l’élève de publier des commentaires explicatifs ou autres. L’accès au site était gratuit. Des enseignants et des syndicats indignés ont saisi le juge et la CNIL. Assignée en référé devant le tribunal de grande instance de Paris, la SARL Note2be.com – qui a déclaré antérieurement le site à la CNIL – se voit enjoindre le 3 mars 2008 par voie d’ordonnance de suspendre la publication des notes d’évaluation et de modérer le forum de discussion ; des indemnités provisionnelles sont allouées. Le juge des référés, contrairement à la CNIL, a estimé qu’en l’espèce il n’y avait pas violation de la vie privée par la divulgation de l’affectation de l’enseignant dans un établissement précisé. Mais c’est autour du principe du consentement préalable au traitement prévu par l’article 7 de la loi contrebalancé par l’intérêt légitime du responsable du traitement prévu au point 5° dudit article que le débat s’est cristallisé. Estimant que le site a une vocation marchande, la notation-hameçon des enseignants ayant pour but d’attirer les clics pour vendre de la publicité (forme dissimulée de détournement de finalité), constatant la façon partielle, trop subjective de notation reposant sur des critères flous, observant l’absence de contrôle parental pour les élèves mineurs inscrits et la mauvaise organisation du système de notation, le juge conclut que l’absence de consentement préalable des enseignants les obligerait à une surveillance constante du site pour exercer leurs droits légitimes d’accès, de contestation, d’opposition ; ceci représenterait alors « une obligation disproportionnée relativement à l’intérêt du service actuellement présenté par l’exploitant du site ». En résumé, le juge des référés estime que l’intérêt légitime des enseignants à défendre leurs droits l’emporte sur l’intérêt légitime du responsable du traitement à exploiter un site de notation des enseignants sans leur consentement préalable  [5].

15 Saisie par voie d’appel, la cour de Paris, 14^e chambre, dans un arrêt du 25 juin 2008  [6], a confirmé l’ordonnance attaquée en exigeant cependant la suppression de l’exigence de modération du forum. La cour d’appel ne raisonne plus sur la base de l’article 7, relatif au consentement préalable et à la légitimité du traitement qui pose de délicats problèmes d’appréciations qui placent le juge dans une position subjective et casuelle, mais sur la base de l’article 6 de la loi de 1978 modifiée exigeant une collecte et un traitement loyal et licite de données adéquates, pertinentes, non excessives par rapport à une finalité déterminée, explicite et légitime. Ceci permet une appréciation plus objective. En l’espèce, le juge estime que les principes de l’article 6 ne sont pas respectés : n’importe qui peut noter un professeur, le système « ne limitant pas cette possibilité aux seuls élèves ayant le professeur concerné comme enseignant » ; par conséquent la collecte des données n’est pas loyale (ce qui est réprimé par l’article 226-18 du Code pénal…), et les données ne sont ni adéquates ni pertinentes ; ceci constitue un trouble manifestement illicite que le juge enjoint de faire cesser.

16 La leçon à tirer de cette affaire nous paraît double :

17

• d’une part il faut utiliser les ressources des articles 6 et 7 ensemble ou séparément dans l’ordre convenant le mieux au contexte du contentieux. La mise en avant d’abord, si c’est possible, de l’article 6 présente l’avantage de mener le juge vers des considérations relativement objectives. Mais, si les conditions de l’article 6 sont remplies, on peut argumenter sur la base de l’article 9 en demandant au juge d’arbitrer le conflit de légitimité des droits du responsable du traitement et de la personne concernée ; le consentement préalable pourra être alors requis.
• d’autre part, la cour d’appel, en creux, laisse la porte ouverte à des sites de diffusion de notation sérieusement organisés où le notateur a un lien réel avec le noté lui donnant la possibilité d’évaluer la personne avec des critères transparents, objectifs, adéquats, pertinents, proportionnés, dans le respect des dispositions de la loi de 1978 modifiée, du droit à la vie privée, etc. Il faut trouver l’équilibre entre les libertés d’opinion, d’expression, de communication au public par voie électronique et la protection des droits et libertés fondamentaux des personnes et le droit de la protection des données personnelles. À preuve, le site Note2be.com existe toujours dans une nouvelle version qui répond aux exigences critiques de la CNIL et de la cour d’appel de Paris, tout en manifestant la pauvreté et le manque de fiabilité de son contenu.

18 En conclusion, on dira que si la porte aux traitements et sites d’évaluation-notation reste ouverte, le passage est étroit. Les contraintes sont nombreuses, lourdes et difficiles à manier. Il faudra cumuler la doctrine et les critères d’appréciation de la CNIL exprimés à travers ses recommandations et ses autorisations et la jurisprudence hésitante et débutante élaborée par le juge. Il est certain que les réalités du contexte Internet en livrant à un public sans limite, avec de multiples et graves conséquences les évaluations-notations sérieuses ou farfelues, pour des finalités claires et légitimes ou détournées et inadmissibles compliquent l’évaluation de la légalité du traitement ; au surplus, la CNIL et le juge peuvent aboutir à des résultats différents ou opposés. Mais il est vrai aussi qu’à côté du droit, il faut constater la croissance des exigences du public dont les travers sont facilement exploités sous couvert d’information transparente, de sécurité des rapports sociaux, d’évaluation de la qualité des prestations professionnelles, etc. Il est tellement facile d’évaluer, de noter les autres puisque c’est exercer un pouvoir sur eux de manière anonyme et sans courir le risque d’un retour de flamme… La volonté de nuire, la vengeance, la jalousie, la bêtise, l’appât du gain savent si bien se déguiser avantageusement pour prendre l’apparence de la vertu…

19 J. F.