Externalités classiques et « externalités boomerang »

6Un premier classement analytique consiste à distinguer les risques selon le type d’externalité créée par la divulgation et l’exploitation de données personnelles. Une interdépendance entre agents économiques A et B est appelée externalité (Pigou, 1920 ; Meade, 1952) dès lors que l’action des agents A a des effets (positifs ou négatifs) sur des agents B (leur utilité ou leur profit) et que ces effets ne sont pas pris en compte par le marché. Dans ce cas, les décisions individuelles fondées sur les mécanismes de prix sont biaisées, car elles ne reflètent pas les coûts ou avantages sociaux qu’elles génèrent. Il faut donc un mécanisme de correction : taxes ou subventions étatiques, normes fixées par les pouvoirs publics, intégration de B par A amenant celui-ci à tenir compte des effets de son action sur B, négociations entre A et B déterminant des compensations… Ces mécanismes visent tous à internaliser l’externalité, à ce que l’effet produit par les agents A sur les agents B soit pris en compte par eux au moment où ils décident de leur action. Leur efficacité dépend de la qualité de l’ajustement de la correction opérée et du coût de leur mise en œuvre.

7Un dommage créé par la divulgation ou l’exploitation de données personnelles représente une externalité négative. Il faut toutefois distinguer dans ce cas deux types d’externalités négatives. Le premier type implique de pouvoir séparer clairement deux types d’agents A et B. L’action des agents A entraîne des effets négatifs sur les agents B. C’est l’exemple des spammeurs qui créent de la désutilité pour les internautes en les inondant de messages. Le cas est alors analogue à celui de la pollution de l’environnement physique. Le problème est de trouver une solution efficace dissuadant A de polluer B. Si le problème posé par ces externalités unidirectionnelles est simple, la solution est plus difficile à mettre en œuvre dans un univers informationnel que dans un univers physique.

8Le problème se complique lorsqu’il n’est plus possible de distinguer clairement deux groupes d’agents, les émetteurs et les récepteurs d’externalités. C’est le cas lorsque les individus en viennent à « se polluer » eux-mêmes en s’exposant sur les RSN. Prenons le cas désormais classique d’un individu A livrant des informations sensibles sur lui-même dans le cadre d’un RSN, informations utilisées ensuite par un employeur B pour le licencier ou ne pas le recruter. Il y a bien une externalité négative consécutive à l’action de B sur A, mais cette action est entièrement alimentée par l’exposition de A sur le RSN, B n’étant que le médiateur d’un effet boomerang. Le problème ici n’est pas seulement l’effet négatif de B sur A, mais l’effet négatif créé par l’ensemble de l’interaction A-B-A. Il y a bien externalité, car l’effet passe par l’action d’un tiers (B), mais cette action (B-A) n’existe que sous condition d’une autre, d’intention complètement différente, que l’on peut écrire A-A’ si l’on considère que l’individu parle à ses semblables (A’) dans un réseau numérique, ou dans une version plus narcissique, A-A si l’on considère qu’il parle avant tout à lui-même en plaçant son intimité sous le regard des autres.

9L’« externalité boomerang » s’apparente à une greffe opérée par un tiers sur un matériau informationnel autodéclaré par l’individu via ses relations à lui-même ou à autrui. La gestion de ce type d’externalité est plus délicate, car il ne s’agit plus de dissuader un agent A polluant un agent B, mais de dissuader l’agent A de donner à l’agent B des informations pouvant être exploitées contre lui. Si la nature de l’externalité est d’être un effet boomerang, l’agent B n’étant que le médiateur intéressé de cet effet, il faut bien agir sur la source de l’externalité, à savoir, paradoxalement, sur celui qui en est la victime. Nous verrons que le fait d’agir sur B laisse entier le problème. Le retour négatif fait à l’individu n’étant que l’exploitation de données sensibles livrées par lui, volontairement ou involontairement, on voit mal comment bloquer l’externalité sans tarir cette source. On voit encore plus mal comment tarir cette source sans tuer l’internet actuel. D’où l’impasse structurelle que nous développerons dans la dernière section.

Observabilité des sources des externalités, observabilité de leurs effets

10Un problème essentiel posé par les externalités négatives causées par la divulgation ou l’exploitation de données personnelles tient à leur plus ou moins grande visibilité. Moins les externalités sont visibles, plus difficile est la maîtrise que peuvent en avoir les individus et les réglementateurs. Il y a un problème de visibilité des sources, mais également des effets des externalités.

11Il est plus ou moins facile d’identifier la source d’émission de l’externalité. Prenons le cas du spamming qui constitue une des nuisances majeures du Net. Les spammeurs sont le plus souvent difficiles à détecter et à sanctionner, protégés par une succession d’écrans informatiques et/ou juridiques. Il n’est pas toujours facile non plus d’identifier la source de la divulgation de son adresse, sachant que l’on a pu la laisser à plusieurs commerçants et que ceux-ci ont pu revendre leur fichier d’adresses. Dans certains cas, la source est identifiable, mais inatteignable en raison de l’extraterritorialité juridique. Nous verrons plus loin que le développement des RSN rend plus difficile encore l’identification des sources.

12Les effets des externalités négatives sont d’autre part plus ou moins visibles. Ils sont visibles dans le cas du spam puisque l’avalanche de courriels non désirés fait perdre immédiatement du temps aux individus et amenuise leur capacité d’attention pour d’autres tâches. Les effets sont tout autant visibles quand des employés font l’objet de sanctions pour avoir critiqué leur employeur auprès de leurs « amis » au sein d’un réseau social. Mais d’autres externalités sécrètent des effets à visibilité très réduite, soit parce qu’ils sont inobservables, soit parce qu’ils sont différés dans le temps. Les pratiques discriminatoires des recruteurs sont par exemple difficiles à déceler et à prouver sur une base individuelle (Weichselbaumer, 2003 ; Bertrand et Mullainathan, 2004). L’obtention d’une information via un moteur de recherche peut en dire long sur la personnalité d’un candidat et conduire à un refus d’entretien d’embauche qui sera justifié par une autre cause (qualifications insuffisantes). Dans la même veine, citons les pratiques de discrimination par les prix des commerçants en ligne, où la disposition à payer des clients fidèles, supposée plus élevée, les pénalise par rapport aux clients anonymes. La différence de prix est parfois affichée (ainsi celle entre anciens et nouveaux abonnés d’un opérateur), mais elle peut être aussi masquée. L’information collectée sur les clients sert à construire des offres commerciales dont l’élément différenciant n’est pas toujours connaissance commune. Enfin, les effets peuvent être observables, mais différés dans le temps, ce qui revient à les rendre inobservables dans l’horizon temporel limité des individus, celui au sein duquel ils balancent avantages et coûts de leur action pour prendre des décisions. C’est l’exemple abondamment cité de l’adolescent qui peut se mordre les doigts, quinze ans après, d’avoir laissé diffuser en ligne les photos de soirées arrosées. Ou encore celui d’un candidat à un poste dans l’industrie nucléaire auquel on opposera une position antinucléaire rendue publique il y a dix ans sur le Net et mémorisée depuis lors sur les serveurs des moteurs de recherche.

13En croisant l’(in)observabilité des sources et des effets des externalités négatives liées à la divulgation ou l’exploitation des données personnelles, on obtient quatre grandes catégories d’externalités résumées dans le tableau 1.

Tableau 1

Les types d’externalités

Effets observables Effets inobservables Forte identification (ou atteinte) de la source zone A Ex. : exploitation abusive de bases de données personnelles par des administrations ou entreprises nationales zone C Ex. : discrimination par les prix à la suite d’informations personnelles livrées à une entreprise sous juridiction nationale (entreprises commerciales, banques…) Faible identification (ou atteinte) de la source zone B Ex. : spamming ; exploitation de bases de données personnelles par des entreprises off shore ; croisement de fichiers administratifs zone D Ex. : discrimination à l’embauche par les recruteurs ; données sensibles stockées sur des serveurs tiers aux effets potentiellement différés

Les types d’externalités

14On distingue quatre zones de régulation distinctes : une zone théoriquement sous contrôle (A), une zone très critique (D) et deux zones problématiques (B et C).

15La zone théoriquement sous contrôle est celle visée par les législations de type Informatique et Libertés. Elle oppose un émetteur identifié (et atteignable) d’effets négatifs liés à la détention de bases de données personnelles et les victimes possibles de ces effets, ceux-ci étant relativement observables. La loi soumet tout émetteur potentiel de ces effets à des normes visant à limiter les dommages qu’il pourrait créer (droit de rectification des données, délais de conservation…). L’effectivité du contrôle se heurte toutefois à des problèmes pratiques. D’une part, les individus n’ont pas nécessairement la capacité ou ne sont pas incités à remplir le rôle que leur assigne la réglementation (par exemple, la demande de rectification de leurs données). D’autre part, l’agence de réglementation peut éprouver des difficultés à vérifier le respect des normes prescrites.

16Les zones B, C et a fortiori D posent des problèmes plus redoutables : si la source est mal identifiée ou non atteignable, le droit ne peut guère contrôler la production d’externalités négatives. De même, l’inobservabilité des effets rend difficile l’imputation du dommage créé à un agent et la sanction qui en découle.

17De quels outils dispose-t-on pour traiter le problème des risques et des dommages ? Les formes de régulation des problèmes créés par la détention et l’exploitation de données personnelles sont très variées. Il nous faut examiner cette diversité et la confronter aux problèmes ci-dessus énoncés afin d’en préciser les limites.

Groupe 1 : Les régulations ex ante orientées vers les exploitants

24Ce type de régulations ex ante consiste à émettre des règles collectives plus ou moins contraignantes, que leur émetteur soit une institution publique ou privée. Dans le cas de la réglementation publique, l’État définit des règles de protection de la vie privée auxquelles doivent légalement se conformer les exploitants de données personnelles. Théoriquement, la charge du coût de protection (respect des normes) est supportée par ces derniers et le niveau de protection corrélé positivement aux sanctions prévues par la loi (amendes, publicisation de l’infraction, compensations éventuelles, etc.). Cette approche est généralement retenue en Europe, tandis qu’aux États-Unis, elle est davantage sectorielle, ne concernant que certains types d’exploitation (données financières, sur les mineurs…). Inspirée des principes non impératifs de Fair Information Practices définies en 1973 par la FTC aux États-Unis, la loi française « Informatique et Libertés » confère aux individus un ensemble de prérogatives opposables aux exploitants privés et comprenant les droits à l’information, d’accès, de rectification et d’opposition à l’exploitation de leurs données.

25Plus récemment, le principe de « prise en compte du respect de la vie privée dès la conception » (privacy by design) a fait l’objet de résolutions et propositions à l’échelle internationale. Basée sur l’idée du « code is law » énoncée par Lawrence Lessig (1999), la protection de la vie privée dès la conception consiste à prévenir les risques d’exploitation abusive des données personnelles sans entraver l’innovation et les fonctionnalités des services en ligne (neutralité technologique). Les entreprises productrices ou utilisatrices des TIC devraient intégrer ces règles dans le design des technologies, de leurs pratiques d’affaires, des services en ligne, des infrastructures de réseaux, de matériel, etc., et les appliquer tout au long de la chaîne de collecte et d’exploitation des données.

26Des institutions privées comme des syndicats professionnels ou des certificateurs privés peuvent également émettre des règles collectives non impératives, suivies par des exploitants volontaires, telle la labellisation des firmes s’engageant à respecter une politique de confidentialité précise. La labellisation connaît deux variantes selon qu’elle repose sur l’action d’entreprises et d’associations professionnelles ou d’organisations issues de la société civile? [2]. Dans un cas, les règles collectives s’appliquent à des problèmes comme la qualité des services ou la déontologie des pratiques. Dans l’autre, les règles sont produites par des tiers certificateurs définissant des labels garantissant un type spécifique de comportement d’exploitation? [3]. Les certificateurs privés se différencient par le prix d’adhésion à la procédure de certification et les exigences en matière de contrôle et de protection des données.

Groupe 2 : Les régulations ex post orientées vers les exploitants

27Cette régulation s’applique une fois que le dommage a eu lieu. L’enjeu est de faire payer les exploitants jugés fautifs et non pas de contraindre tous les exploitants dont l’activité présente des risques en matière de vie privée. Il s’agit typiquement des règles de responsabilité reposant sur les autorités judiciaires. Dans cette perspective, le régime juridique du caveat emptor fait peser la charge de la protection sur les consommateurs, puisque les exploitants ne sont pas légalement tenus de s’engager sur leurs méthodes de collecte et d’exploitation des données personnelles. En revanche, s’ils affichent une politique de confidentialité sur leur site, ils sont légalement tenus de respecter leurs engagements contractuels. L’autorité judiciaire intervient uniquement en cas de plaintes des individus. La sanction peut varier : amendes et dommages et intérêts (logique double de réparation et de dissuasion), publicisation des condamnations (dissuasion par la réputation négative).

28La régulation ex post par le marché est une autre solution consistant à ne soumettre les entreprises à aucune contrainte légale et à laisser jouer les acteurs du marché (stratégies de différenciation au mieux-disant, promesse d’une protection supérieure des données personnelles) ou la société civile et les médias (alertes auprès des individus afin d’affecter la réputation des exploitants malveillants).

Groupe 3 : Les régulations ex ante orientées vers les individus

29Il s’agit d’inciter les individus à adopter des comportements prudentiels vis-à-vis des activités exploitant des données personnelles susceptibles de leur causer des préjudices. Les campagnes de prévention visent ainsi à prescrire certains types de comportements en matière de divulgation de données personnelles sensibles. Ces prescriptions passent par le relais des individus ayant une autorité morale comme les parents ou les enseignants. La prévention consiste aussi à subventionner la production et l’adoption de technologies protectrices de la vie privée afin de donner aux individus un moyen d’exclure techniquement l’accès à leurs informations personnelles ou d’en contrôler les utilisations (technologies de « transparence »). L’octroi de droits de propriété exclusifs aux individus sur leurs données personnelles constitue une autre solution possible, mais non pratiquée. Un large débat a eu lieu aux États-Unis sur la forme juridique que pourraient prendre de tels droits exclusifs : droits de possession ou nouvelle forme droit de propriété intellectuelle (Samuelson, 2000).

Groupe 4 : Les régulations ex post orientées vers les individus

30Elles s’exercent une fois que le dommage a eu lieu. Dans une certaine mesure, le « droit à l’oubli numérique » joue ce rôle? [4]. Préconisé dans un rapport du Sénat (Détraigne et Escoffier, 2009) et ayant donné lieu depuis à une charte signée par certains exploitants, il consiste à donner aux individus la capacité de faire effacer des données personnelles les concernant. Outre une durée légale de détention maximum de ces données par leurs exploitants, tout individu aurait le droit de faire supprimer les informations le concernant, dès lors qu’il estime qu’elles lui occasionnent effectivement ou potentiellement un préjudice. Ce droit s’appliquerait à des situations très différentes : du cas emblématique d’un individu ayant commis un crime pour lequel il a déjà subi une sanction à celui de la photo compromettante mise en ligne par des « amis » indélicats.

31L’autorégulation par les réseaux sociaux en ligne constitue une autre forme de régulation basée sur la capacité des individus à communiquer rapidement entre eux. Similaire à l’autorégulation par le marché, elle leur conférerait une capacité de dissuasion tant vis-à-vis des entreprises exploitant les données que des individus aux comportements malveillants. Le Web relationnel créerait une sorte d’« équilibre de la terreur » dissuadant les comportements générateurs d’externalités négatives. Ainsi, une nouvelle fonctionnalité non respectueuse de la vie privée provoque généralement une chaîne de réactions collectives des individus pouvant affecter l’image de l’exploitant ou du service en cause.

Trois critères d’efficacité

33Chacune des formes de régulation présente des avantages et des inconvénients bien identifiés par la littérature économique (Hahn et Layne-Farrar, 2001 ; Romanosky et Acquisti, 2009). Deux critères sont utilisés de manière classique en économie du droit et de la réglementation pour comparer les solutions institutionnelles afin de réguler les activités engendrant des externalités négatives (Shavell, 1984). Nous leur ajouterons un troisième critère.

34Un premier critère consiste à prendre en compte les coûts de transaction associés à chaque forme de régulation. Ils comprennent les coûts d’information des agents, de définition et d’écriture des règles, de fonctionnement des institutions, de surveillance et de détection des comportements non conformes aux règles. Ils incluent également les coûts de coordination entre les agents – administrations, exploitants, individus – pour définir des institutions publiques ou privées dont l’objectif est de définir les règles et en surveiller l’application. Les coûts d’une forme de régulation donnée sont inégalement distribués entre les institutions, les exploitants et les individus. Cette distribution caractérise une forme de régulation (certaines font reposer les coûts surtout sur les institutions, d’autres sur les agents privés), mais ce qui importe socialement est la somme des coûts. Est efficace une forme de régulation qui, à niveau de performance donné, minimise les coûts de transaction que sa mise en œuvre implique.

35Un deuxième critère d’efficacité porte sur la propension des agents à adopter des comportements conformes aux objectifs d’une régulation donnée? [5]. Chaque régulation délègue un rôle à chaque type d’intervenant (institutions, exploitants, individus). Pour que la régulation atteigne ses objectifs, chacun doit remplir le rôle qui lui est assigné. Mais il n’a pas nécessairement la capacité (financière ou cognitive) ou l’incitation à le faire. Si tel est le cas, la régulation ne peut atteindre l’objectif qu’elle s’est fixée. Les comportements des individus et des entreprises varient selon leur perception, leur niveau d’information et de compétences, leur solvabilité, mais également la nature de l’activité considérée et le bénéfice que chacun en retire. La propension à adopter des comportements conformes aux objectifs d’une régulation donnée diffère donc d’un agent à l’autre aboutissant à un système d’incitations et à des résultats différents en matière de bien-être social.

36Un troisième critère nous semble essentiel à prendre en compte également, à savoir la capacité de la régulation à arbitrer entre, d’un côté, les libertés fondamentales des individus et les impératifs sociaux comme l’ordre public et, de l’autre, la nécessité de préserver l’innovation, non restreinte ici à la technologie, mais élargie à toute forme de changements socio-économiques (nouvelles pratiques ou organisation sociale). Théoriquement, les régulations ex post sont supposées plus favorables à l’innovation. L’analogie avec le débat réglementation sectorielle versus droit de la concurrence aide à le comprendre : selon les économistes libéraux, il vaut mieux laisser faire le marché et donc le processus d’innovation et de sélection, quitte à corriger après coup les éventuels dysfonctionnements telles les ententes restreignant la concurrence. Cependant, le contexte nous apparaît différent avec les données personnelles : une fois créé, le dommage devient irréversible, car portant sur un bien immatériel, non rival et donc non maîtrisable. Cette dimension est devenue cruciale avec l’avènement des RSN.

Comparaison des solutions mises en place depuis les années 1970

37Les formes de régulation oscillent entre État et marché et combinent des règles publiques (a minima le droit commun) et privées. Comparer l’ensemble des régulations évoquées plus haut dépasserait le cadre de cet article? [6]. Nous nous concentrons ici sur deux cas polaires, l’État (normes réglementaires) et le marché, et une forme hybride, l’autorégulation. L’analyse de ces cas permet de jauger leur efficacité relative.

Quels sont les problèmes nouveaux ?

56Ils tiennent à ce que les informations personnelles ne sont plus seulement livrées par les individus à un autre groupe d’agents dans le cadre d’une transaction commerciale et administrative. Elles sont aussi divulguées par les individus en s’exposant sur les RSN et plus généralement comme sous-produit de leur pérégrination sociale sur le Net. Dans un précédent travail (Rallet et Rochelandet, 2010), nous avons distingué l’exposition de soi ex ante de l’exposition de soi ex post. La première désigne la divulgation par les individus eux-mêmes de données à caractère sensible sur les RSN. La seconde est l’ensemble des informations sur soi laissées volontairement ou involontairement sur le Net, informations à partir desquelles il est possible de reconstituer tout ou partie de la personnalité d’un individu. L’exposition ex post n’implique pas nécessairement l’exposition ex ante, même si elle est d’autant plus forte que celle-ci est importante.

57Trois conséquences en résultent sur 1) la nature des informations divulguées, 2) le contrôle de la source d’émission et 3) le périmètre de circulation des informations.

58Tout d’abord, des informations infiniment plus sensibles que celles données à l’occasion d’une transaction administrative ou commerciale sont livrées. Car elles n’ont pas de limites a priori, contrairement à celles fixées par l’objet de la transaction administrative ou commerciale. Dans l’exposition ex ante, ce sont les individus qui fixent eux-mêmes les limites de leur exposition. Très variable d’un individu à l’autre, l’exposition de soi répond à une nécessité commune : le dévoilement par les individus de caractéristiques personnelles est un input nécessaire aux services du Web relationnel. Au-delà du narcissisme et de l’identification de soi dans le regard des autres, phénomènes qui ne sont pas nouveaux, mais auxquels le Web donne une ampleur nouvelle, le dévoilement de caractéristiques personnelles est l’ingrédient nécessaire à la réalisation des services d’appariement fournis par les RSN. C’est pourquoi le dévoilement de soi n’est pas seulement un phénomène générationnel, mais tient à la nature du web relationnel. Dans le cas de l’exposition ex post, la sensibilité des informations ne vient pas tant de chacune des traces de soi laissées sur le Net que de la capacité à les recouper pour produire un jugement pertinent sur la personnalité de l’individu. Le rapprochement de deux informations a priori anodines peut engendrer une information de grande valeur. Le décloisonnement des divers aspects de la vie d’un individu permet de reconstituer sa personnalité – ou des traits significatifs de celle-ci – qu’il était seul à connaître. Les informations ainsi produites ont une très grande valeur, car elles permettent de mieux prédire les comportements. Le web relationnel vient se substituer aux moyens très coûteux ou peu efficaces employés jusqu’ici pour saisir la personnalité des individus (graphologie, détectives privés…).

59Il est ensuite plus difficile de contrôler la source d’émission, or ce contrôle est ce sur quoi agit la régulation. Dans le cas d’externalités classiques, il s’agit de contrôler l’usage par un agent B de l’information livrée par un agent A dans le cadre d’une transaction entre A et B. Dans le cas des « externalités boomerang » qui prévalent dans le web relationnel, le problème est plus complexe, car il est très difficile d’empêcher des agents de type B d’exploiter des informations sensibles que les agents de type A font circuler entre eux ou des traces qu’ils laissent. Cette exploitation n’est pas la contrepartie d’un contrat, mais une opportunité créée par la circulation de données personnelles au sein d’une plate-forme sociale pour des raisons étrangères à celles qui fondent l’opportunité. Pour limiter les dommages, il faut agir non sur l’exploitant qui est dans son droit (comme le patron qui obtient la condamnation de propos diffamants tenus à son encontre par un groupe d’« amis » sur Facebook) ou hors de portée du droit (l’exploitation se fait à l’insu de la victime comme dans le cas de discriminations à l’embauche), mais sur le processus de génération des informations qui rendent possible cette exploitation. Dans le cas d’externalités boomerang, il faut ultimement agir sur la divulgation des données personnelles par les individus eux-mêmes. Or celle-ci est une dimension essentielle du web relationnel.

60Enfin, le périmètre de circulation des données personnelles est à géométrie variable. Dans le cas d’externalités classiques, il est a priori connu. Il est constitué de l’agent ayant collecté les données et de ses éventuels partenaires (commerciaux ou administratifs). Naturellement, les pratiques occultes de l’agent l’amènent bien souvent à élargir le cercle au-delà du périmètre officiel (croisement officieux de fichiers administratifs, revente cachée de fichiers commerciaux). Mais il n’en demeure pas moins qu’il existe un périmètre officiel que la régulation veille à faire respecter. Dans le cas du web relationnel, tout internaute devient le dépositaire potentiel de toute donnée personnelle ayant à un moment donné transité par le réseau. Les filtres de confidentialité mis à la circulation d’informations au sein des RSN sont extrêmement poreux (un ami du premier cercle peut toujours donner une information sensible à un ami du second cercle n’y ayant pas accès) et peu fiables (un ami proche peut exfiltrer une information sensible vers un exploitant). Ces traces peuvent être stockées sur des serveurs, être même retirées de la circulation et réapparaître plus tard. L’information numérique étant un bien non rival et persistant dans le temps, le web relationnel donne la possibilité à chaque internaute de détenir des informations sensibles sur d’autres internautes, dès lors qu’il s’en donne les moyens. Nous appelons « fuite informationnelle » l’impossibilité structurelle de confiner des informations au sein d’un périmètre défini au sein du Web relationnel.

61À l’ère du web relationnel, la régulation des données personnelles et de la vie privée doit ainsi affronter trois difficultés supplémentaires : les informations divulguées sont plus sensibles, leur émission est plus difficilement contrôlable, leur circulation est très pervasive.

L’impuissance de la régulation

62La régulation est relativement impuissante par rapport à ces difficultés. Reprenons les trois types de régulation censés traiter ces difficultés et empruntés aux divers registres de la régulation évoqués plus haut : la régulation publique, la régulation marchande, l’autorégulation.

63La régulation publique entend traiter le problème au travers du « droit à l’oubli numérique » (cf. plus haut). Mais elle se heurte au phénomène de fuite informationnelle et à l’impossibilité de confiner l’information divulguée au sein d’un périmètre donné. La non-rivalité et la persistance de l’information numérique dans le contexte d’interactions décentralisées où chacun peut la détenir et la remettre en jeu quand bon lui semble ne permettent pas de garantir l’effacement des données. L’effectivité de ce droit est donc très faible, même s’il donne un pouvoir d’intervention plus grand aux individus.

64Une solution réglementaire alternative serait la « privacy by design » (cf. plus haut). L’objectif serait de confiner l’information en prévenant les risques de fuites et donc d’exploitations préjudiciables des données. Plus précisément, en faisant porter la charge sur les entreprises, en particulier les exploitants, un des avantages de cette solution serait de pallier la faible propension des individus à adopter des PETs et autres comportements prudentiels. Comme l’indique avec optimisme Ann Cavoukian, promotrice de ce principe, « si l’individu ne fait rien, sa vie privée demeure toujours intacte »? [11]. Or, appliquée aux RSN, cette solution fait justement l’impasse sur le comportement actif des individus en matière de divulgation de données personnelles. Ce comportement pourrait être amplifié par l’illusion du contrôle (Brandimarte, Acquisti et Loewenstein, 2011) que la « privacy by design » instillerait dans les perceptions des individus, et ce d’autant plus qu’un des principes énoncés – la « privacy embedded into design » – stipule que l’intégration de la protection de la vie privée dans le système ne doit pas en diminuer les fonctionnalités. Dans le cas des RSN, les paramètres par défaut ne doivent pas désinciter les individus à s’exposer et à interagir, ce qui est l’utilité principale de ces réseaux et… la principale source de fuite informationnelle ! Dans le cas des RSN, il serait ainsi plus judicieux de parler de « no privacy by design », les individus devant paramétrer eux-mêmes les règles de confidentialité. La « privacy by design » apparaît comme une chimère techniciste de plus, où tout problème technologique peut être solutionné par la technologie elle-même.

65La régulation marchande est fondée sur l’autodiscipline de firmes menacées d’entamer leur réputation sur le marché en cas d’utilisation abusive des données collectées. Outre ses limites déjà mentionnées, la régulation marchande s’expose à une difficulté intrinsèque dans le cas du web relationnel. En effet, la divulgation et la collecte de données à caractère personnel ne sont plus les produits dérivés d’une transaction commerciale, mais les inputs nécessaires aux services d’appariement proposés. Le développement de ces services passe par la divulgation d’une masse croissante d’informations à caractère personnel. Aussi, loin de limiter la divulgation de ces informations, les RSN s’efforcent au contraire d’élargir la sphère de leur diffusion en manipulant les paramètres de contrôle. En modifiant périodiquement comme Facebook les paramètres de confidentialité par défaut, ils déplacent de facto les normes de confidentialité vers plus d’ouverture. Même si le réseau social doit, de temps en temps, battre en retraite, le changement des paramètres par défaut habitue les individus à trouver normal le déplacement du curseur vers plus d’ouverture. Il est vain d’attendre des firmes qui proposent des services fondés sur l’exploitation de données relationnelles à caractère personnel d’autolimiter cette exploitation. On voit cependant des firmes comme Google développer leur communication autour du fait qu’elles seraient davantage protectrices des données personnelles des utilisateurs de leurs services. Il s’agit d’un positionnement marketing dû à ce que le business de Google n’est pas directement fondé, à l’opposé de Facebook, sur l’exploitation de données relationnelles à caractère personnel (exposition ex ante)? [12]. Comme moteur de recherche, Google est cependant un des agents principaux de la capacité à exploiter les données de l’exposition ex post? [13]. La récente amende infligée par la CNIL à Google pour avoir capturé illégalement des données personnelles à l’aide de voitures dédiées à son service de navigation Street View montre par ailleurs les limites de cette firme à se faire passer pour un parangon de vertu en matière de respect de la vie privée.

66L’autorégulation par les individus n’est pas plus convaincante. Certes, les effets réseaux permettent aux individus d’exercer un contrepouvoir face aux firmes tentées d’exploiter de manière abusive les données à caractère personnel. Les individus auraient ainsi entre les mains un puissant outil de dissuasion des comportements malveillants de la part des exploitants. Ce pouvoir est incontestable, car les firmes dont le développement repose sur des effets positifs de réseau craignent que les mêmes effets, mais de sens inverse, n’aboutissent à leur faire redescendre la spirale de leur succès. Un même « équilibre de la terreur » dissuaderait les membres d’un réseau social de s’aventurer dans des comportements malveillants à l’encontre d’autres membres dans la mesure où ils pourraient faire l’objet de représailles. Cela est vrai aussi. Mais la protection ainsi apportée présente des failles importantes.

67Du côté de la relation firme/individus, la firme est capable d’instrumenter le rapport des individus à ses comportements malveillants. Car ces comportements (par exemple, un déplacement insidieux du paramétrage par défaut) accompagnent de nouveaux services dont l’utilité immédiate s’avère bien supérieure aux possibles et lointaines conséquences négatives. Celles-ci paraissent d’autant plus improbables que les individus sont soumis à une « illusion du contrôle » (Brandimarte, Acquisti et Loewenstein, 2011). En effet, ce qui importe aux individus est moins ce sur quoi porte le contrôle des données personnelles que l’existence d’un contrôle. Or, au travers de la variabilité périodique des paramétrages de confidentialité et du débat qu’il engendre, les réseaux sociaux attestent de l’existence d’un contrôle possible des individus sur leurs données. Le point est qu’il n’y a en vérité aucun contrôle, car les individus ne maîtrisent pas l’usage de leurs données par des tiers (fuite informationnelle). En focalisant l’attention sur le contrôle de la divulgation des données (est-ce que je divulgue publiquement ou dans un cercle restreint ma religion ?), le débat sur les paramétrages de confidentialité occulte l’impossible contrôle des individus sur l’usage de leurs données par d’autres (qui peut empêcher un de mes amis de transmettre l’information sur ma religion à un tiers ?). Pour cette même raison (la fuite informationnelle), la crédibilité de la dissuasion entre pairs sur un réseau est affaiblie. L’information sensible peut être exfiltrée du réseau à l’insu de celui qui en est victime et exploitée hors du réseau qui l’a révélée. Lorsqu’elle reste à l’intérieur du réseau, elle peut donner lieu à un buzz préjudiciable à l’individu, une descente aux enfers, bien loin des supposées vertus auto-équilibrantes des réseaux de pairs. L’autorégulation offre bien un cadre de protection, un parapluie contre l’exploitation malveillante de données à caractère personnel, mais ce parapluie est singulièrement percé.

68Aussi, ces régulations sont impuissantes à traiter efficacement les problèmes nouveaux posés par le web relationnel, à savoir, d’une part, la divulgation croissante de données personnelles comme moteur des services du web et, d’autre part, l’impossibilité à contenir les informations ainsi divulguées dans un périmètre donné. Cela soulève une question intéressante : que faire dans cette situation ?

Que faire ?

69Il est tout d’abord nécessaire de ne pas faire comme si la régulation pouvait traiter efficacement ces problèmes. Or une bonne partie du débat actuel consiste à imaginer une introuvable régulation. Ainsi, le débat sur l’oubli numérique. Cela ne signifie pas qu’il ne faut pas de régulation, mais qu’il convient de savoir que faire lorsque la régulation s’avère structurellement déficiente.

70Trois stratégies comportementales peuvent être tentées : la clandestinité, la contre-information, la multiplication des identités.

71Pour résoudre le problème de la fuite informationnelle, il n’est pas de stratégie plus efficace que la clandestinité totale. Une version plus soft consiste à livrer le moins possible d’informations sur soi dès lors qu’elles peuvent être exposées sur le Net. On réduit alors la possibilité d’une exploitation malveillante faute de données mises en circulation. Cette stratégie est extrêmement difficile à tenir. Car même si l’on réduit au maximum l’exposition ex ante (en refusant par exemple de s’inscrire sur un réseau social, ce qui revient fâcheusement à renoncer aux services qu’il est susceptible de rendre), reste l’exposition ex post, les traces (inintentionnelles dans ce cas) laissées sur le Net à l’occasion d’un travail effectué, d’un hobby pratiqué, d’une pétition signée… À partir du moment où le Net devient un support croissant d’enregistrement des pratiques sociales, il est de plus en plus difficile de ne pas laisser de traces numériques, à moins de refuser toute forme d’expression sociale de soi.

72La stratégie de contre-information consiste à manipuler les exploitants potentiels de données en ne livrant que des informations susceptibles de procurer des bénéfices aux individus qui les divulguent. L’exploitation des données personnelles par un recruteur ou un partenaire professionnel, amical ou sentimental devenant avec le temps connaissance commune, les individus sont incités à filtrer ce qu’ils livrent en se présentant sous un jour favorable. C’est le résultat logique d’un processus d’apprentissage fondé sur l’expérience personnelle acquise et les affaires révélées par les médias. Ces stratégies de manipulation de l’information divulguée se développent. Elles ont une certaine efficacité, non pas tant pour faire croire à des identités positives que pour jeter le doute sur les informations divulguées sur les réseaux sociaux. Car sachant que les individus savent que leurs données à caractère personnel sont utilisées à des fins de recrutement ou de sélection, les exploitants potentiels anticipent la manipulation de l’information. Plongée dans un jeu spéculaire infini, l’information divulguée perd toute crédibilité et devient inutilisable. Le revers de la médaille est de priver les individus des bénéfices attendus de la divulgation de données nécessaires aux services relationnels. C’est pourquoi ils n’ont pas intérêt à trop brouiller les informations sensibles qu’ils livrent. Par ailleurs, ne livrer que des informations contrôlées est une conduite difficile à tenir, car elle s’expose à être prise en défaut par recoupement avec des traces non contrôlées. Les masques peuvent facilement tomber.

73La multiplication des identités est la troisième stratégie possible. Elle est souvent recommandée. Sa forme la plus simple consiste à diviser l’identité en une partie privée et une partie publique. Dans la partie privée, la divulgation des données personnelles est riche en contenu, réalisée sous le nom réel des individus et limitée à un cercle restreint. Dans la partie publique, la divulgation s’effectue sous pseudonyme. La division de l’identité peut aussi prendre la forme d’une partie professionnelle limitée à des informations et des contenus relatifs au travail effectué et d’une partie privée consacrée à la sphère amicale. Dans la multiplication des identités, l’important est de pouvoir les cloisonner. Car sinon l’exploitant peut passer de l’une à l’autre. Or le cloisonnement des identités est très difficile à tenir, car les algorithmes d’indexation peuvent les croiser à partir d’infimes traces communes. On peut ainsi facilement remonter d’un pseudonyme à une identité réelle. La multiplication des identités est une protection illusoire de la vie privée.

74Nous sommes ainsi dans la situation singulière où aucune forme de régulation ne permet de traiter efficacement les problèmes de données à caractère personnel créés par le Web relationnel et où aucune stratégie comportementale ne permet de combler la déficience structurelle de la régulation.