Les références à l’éthique

7 7. Normes éthiques. Le renvoi à l’éthique se manifeste par l’encouragement à l’élaboration de codes de conduite en matière de traitement des données à caractère personnel. Les références à ces codes sont diverses : c’est le cas s’agissant de l’exigence de conformité des traitements de données pesant sur les responsables du traitement, en matière de sous-traitance ou s’agissant des transferts de données vers un pays tiers à l’Union européenne. Ils sont « destinés à contribuer à la bonne application du (RGPD), compte tenu de la spécificité des différents secteurs de traitement et des besoins spécifiques des micro, petites et moyennes entreprises » [25]. Ils ont donc pour objet de décliner le régime des traitements de données à caractère personnel, sans pouvoir y déroger, à des secteurs d’activité déterminés, en tenant compte de la spécificité de ces derniers. Ainsi, ils doivent comprendre les modalités d’application des exigences de loyauté et de transparence du traitement, l’appréciation des intérêts légitimes du responsable du traitement, les conditions de la collecte des données à caractère personnel, les mesures prises pour assurer la conformité du traitement par défaut et dès la conception, les mesures prises pour assurer la sécurité du traitement, les modalités de notification des violations de données à caractère personnel aux autorités de contrôle, les modalités du transfert de données à caractère personnel vers un pays tiers, les modalités de la pseudonymisation ou de l’exercice par les personnes concernées de leurs droits [26]. Cela dit, ils doivent tenir compte des spécificités du secteur d’activité. Ainsi, les finalités poursuivies, les bases juridiques adéquates, la nature et les catégories de données collectées, la durée de la conservation des données sont autant d’éléments qui pourront figurer dans les codes de conduite. Un premier code de conduite a été approuvé concernant l'activité de fourniture de service d'hébergement de données en nuage [27]. De manière remarquable, il développe, obligation par obligation des responsables du traitement, la manière de les appliquer.

8 8. Institutionnalisation de l’éthique. Un mouvement d’institutionnalisation de l’éthique des données à caractère personnel émerge par ailleurs. La loi pour une république numérique a confié à la CNIL la mission de conduire « une réflexion sur les problèmes éthiques et les questions de société soulevées par l’évolution des technologies informatiques et numériques » [28]. Elle a mené différents travaux en envisageant les questions éthiques liées aux données. Ainsi, la CNIL a initié des travaux concernant l’éthique de l’intelligence artificielle abordant par exemple la qualité, la quantité et la pertinence des données collectées, les discriminations algorithmiques ou le risque d’exclusion [29], ou les civic tech, s’interrogeant sur les interactions entre l’exploitation des données et la démocratie [30].

9 Plus récemment, en décembre 2019, a été créé à l’initiative du Premier ministre, dans le cadre du Comité consultatif national d’éthique, un comité national pilote d’éthique du numérique. Outre la publication d’un manifeste pour une éthique du numérique qui a vocation à guider [31], le comité a rendu de nombreux avis et publié un bulletin de veille à l’occasion de la crise sanitaire sur le lien entre numérique et pandémie. Ses travaux ne portent pas spécifiquement sur les données à caractère personnel, mais plus largement sur les outils numériques, par exemple les agents conversationnels [32], les véhicules autonomes [33] ou les outils de télémédecine [34]. Le CNPEN aborde toutefois la question du traitement des données à caractère personnel comme ce fut le cas dans son premier bulletin de veille à propos de la crise sanitaire, s’interrogeant sur les enjeux éthiques de la collecte de données personnelles dans le cadre du suivi numérique [35].

10 L’exploitation des marges nationales laissées par le RGPD aux États membres a également été l’occasion d’une institutionnalisation de l’éthique en matière de données à caractère personnel. C’est le cas s’agissant des traitements de données dans le domaine de la santé [36] et plus particulièrement ceux qui sont réalisés à des fins de recherche, d’étude ou d’évaluation. Ils ne peuvent être mis en œuvre que dans une finalité d’intérêt public et sont soumis à une autorisation de la CNIL, sauf à être conformes à une méthodologie de référence [37] établie par la CNIL en concertation avec la plateforme nationale des données de santé [38] et sous réserve pour le responsable du traitement de procéder à une déclaration attestant de la conformité de son traitement de données à une telle méthodologie. Dans ce contexte, la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé a créé un Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) en remplacement du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES). L’ajout d’une référence à l’« éthique » dans la dénomination du comité se prolonge d’un point de vue substantiel s’agissant de ses missions et par l’extension de l’objet de l’avis qu’il doit rendre, qui porte dorénavant sur la « pertinence scientifique et éthique du projet »  [39]. À cet égard, le comité peut être saisi à un double titre. Tout d’abord, il peut être saisi par la CNIL, par le ministère de la Santé et même s’autosaisir, sur le caractère d’intérêt public des traitements de données mis en œuvre [40]. Ensuite, il rend un avis sur les demandes d’autorisation pour procéder aux traitements de données faites auprès de la CNIL relatifs à des études ou à des évaluations ainsi qu'à des recherches n'impliquant pas la personne humaine [41]. Lorsque la recherche implique la personne humaine, c’est un comité de protection des personnes qui est amené à se prononcer. Cet avis sur le traitement de données envisagé comprend un volet éthique. La composition du CESREES est d’ailleurs censée permettre l’expression d’une position éthique sur le projet de traitement de données, elle doit en effet refléter « la diversité des compétences dans le domaine des traitements concernant la santé et à l'égard des questions scientifiques, éthiques, sociales et juridiques ». Quelles sont alors les fonctions de l’éthique en droit des données à caractère personnel ?

Les fonctions de l’éthique

11 9. Pluralité de fonctions. Par essence, l’éthique remplit une fonction axiologique. Cette fonction est limitée dans l’hypothèse où le droit des données à caractère personnel fait référence à l’éthique. L’éthique est en effet appelée au soutien des valeurs protégées par le droit des données à caractère personnel comme la protection des personnes concernées ou la libre circulation des données, du moins dans l’Union [42]. C’est le cas des codes de conduite qui doivent prendre en compte les spécificités du secteur d’activité et des besoins des acteurs des traitements de données pour décliner les exigences du droit des données à caractère personnel. La référence à l’éthique est également le moyen d’intégrer d’autres valeurs au droit des données à caractère personnel. Un exemple en est donné, s’agissant des traitements de données à caractère personnel dans le domaine de la santé, par l’avis du CESREES qui porte sur la « pertinence éthique » du traitement de données. Autre fonction classiquement associée à l’éthique, celle qui consiste à susciter la confiance des tiers ou l’honorabilité d’une activité [43]. Elle fait écho à l’un des objectifs poursuivi par le RGPD qui est de « susciter la confiance qui permettra à l'économie numérique de se développer dans l'ensemble du marché intérieur » [44]. Elle se manifeste par exemple par la pratique des politiques de confidentialité ou l’établissement de codes de conduite en matière de données à caractère personnel. Deux fonctions plus spécifiques sont par ailleurs associées à l’éthique en droit des données à caractère personnel.

12 10. Fonction de conformité. L’éthique contribue au respect de l’exigence de conformité, qui pèse sur les responsables du traitement, en application de laquelle ils doivent mettre en œuvre des mesures techniques et organisationnelles pour s’assurer que le traitement de données est effectué conformément aux règles qui lui sont applicables et être en mesure de démontrer la conformité du traitement [45]. La conformité du traitement de données doit être assurée dès la conception et par défaut, ce qui implique une intégration organisationnelle et technique du droit des données à caractère personnel [46].

13 Les codes de conduite approuvés constituent un outil permettant au responsable du traitement de démontrer la conformité de leurs traitements de données [47]. Ces derniers, en tant qu’ils déclinent les dispositions applicables au traitement de données à un secteur d’activité, facilitent leur intégration et corrélativement permettent de démontrer la conformité du traitement de données [48]. De la même manière, en cas de sous-traitance, l’application par le sous-traitant d’un code de conduite approuvé permet de démontrer qu’il présente des garanties suffisantes pour assurer la conformité du traitement de données [49]. Pour autant, les codes de conduite doivent respecter différentes exigences afin de garantir la conformité de leur contenu au RGPD, mais aussi pour s’assurer leur effectivité. Ainsi, ils font l’objet d’une approbation par l’autorité de contrôle, selon une procédure qui varie selon la portée géographique du code et selon qu’ils portent sur des activités de traitement menées dans plusieurs États membres [50] ou non [51]. La Commission peut même leur conférer une application générale au sein de l’Union [52]. Les codes de conduite doivent comprendre les mécanismes permettant à un organisme agréé de procéder au contrôle du respect de leurs dispositions par le responsable du traitement ou les sous-traitants [53], ce contrôle pouvant évidemment être réalisé par l’autorité de contrôle compétente. En définitive, l’éthique contribue à assurer l’effectivité de la protection des données à caractère personnel et le respect des règles applicables aux traitements de données [54].

14 11. Fonction d’harmonisation. Les codes de conduite remplissent également une fonction d’harmonisation de l’application du RGPD dans le secteur d’activité qu’ils recouvrent. C’est le cas dans le champ d’application du code de conduite, à savoir les responsables du traitement appartenant à l’association ou l’organisation à l’origine de l’élaboration d’un code de conduite. Le code de conduite peut être approuvé au sein d’un État membre ou à l’échelle de l’Union européenne. Lorsque le code de conduite ne porte pas sur des activités de traitement menées dans plusieurs États membres [55], l’approbation est confiée à une autorité de contrôle nationale. Inversement, lorsque le code de conduite porte sur des activités de traitement menées dans plusieurs États membres, une procédure adaptée d’approbation s’applique : l’autorité de contrôle compétente soumet le projet de code, sa prorogation ou sa modification, au comité européen de la protection des données qui rend un avis qui, s’il est positif, est transmis à la Commission [56]. Celle-ci peut alors décider que le code sera d’application générale dans l’Union [57], ce qui permet à d’autres responsables du traitement ou sous-traitants du secteur de s’y soumettre, contribuant à l’harmonisation de l’application du RGPD dans l’Union. Plus encore, des responsables du traitement ou des sous-traitants, qui n’entrent pas dans le champ d’application du RGPD, peuvent s’y référer à l’occasion d’un transfert de données vers un pays tiers pour fournir des garanties appropriées afin d’offrir un niveau de protection équivalent des données à caractère personnel [58], sous réserve que la législation de l’État de destination permette d’atteindre un niveau de garantie équivalent [59].

Les manifestations

16 13. Anticiper de nouvelles questions. Les réflexions éthiques en matière de données à caractère personnel accompagnent l’émergence de nouveaux outils ou de nouveaux usages.

17 Une première illustration peut être donnée s’agissant de l’utilisation des données. La Commission européenne a formulé une proposition de règlement sur la gouvernance des données afin de favoriser le partage des données [60]. Pour cela, est notamment proposée la consécration d’un cadre juridique applicable aux prestataires et aux services de partage de données afin de susciter la confiance des fournisseurs et des utilisateurs des données. Sans attendre, des plateformes de partage de données ont établi des normes éthiques afin de guider leur activité et susciter la confiance des utilisateurs. C’est le cas par exemple de la plateforme « Occitanie data » qui se fixe trois objectifs : agir dans l’intérêt général en offrant des services innovants, créer un cadre de confiance éthique et souverain autour de la science des données et accompagner et organiser la transformation numérique de manière compatible avec la transition écologique [61]. Différentes valeurs sociales sont poursuivies : la bienfaisance, l’innovation soutenable, la solidarité, mais aussi le respect de l’autonomie individuelle. Quant aux données, des règles sont censées guider leur réutilisation : la qualité des données pour éviter des biais dans leur réutilisation, la robustesse des algorithmes, leur transparence et leur auditabilité.

18 Une deuxième illustration peut être donnée à propos du déploiement du big data en santé qui se développe, permis par l’accroissement des capacités de stockage et de traitement des données. Cette question a donné lieu à un avis du Comité consultatif national d’éthique. Celui-ci estime que le big data conduit à « renouveler la réflexion éthique dans le domaine de la santé » [62]. Pour mener à bien cette réflexion, il s’appuie sur les « principes éthiques qui fondent la déontologie médicale », à savoir le respect de la personne, la justice, la pertinence et la bienfaisance [63]. À l’aune de ces principes, le CCNE cherche à trouver un point d’équilibre entre la protection des personnes et l’utilisation du big data à des fins de recherche et d’innovation en santé. De manière très intéressante, le CCNE aborde la question du lien entre la personne et ses données, faisant le constat d’une circulation accrue des données et du risque de perte de maîtrise des personnes sur leurs données. À ce propos, il s’interroge sur la pertinence du consentement comme instrument de protection alors que le traitement de données a une dimension « trop grande pour être appréhendé par l’individu » [64]. Le CCNE promeut en conséquence un changement de logique s’agissant de la transparence et du consentement des personnes concernées en passant d’une logique « de contrôle exhaustif a priori à une logique d’intervention et de contrôle a posteriori fondée sur une recherche d’intelligibilité et de responsabilisation, qui exige des responsables du traitement une loyauté de comportement vérifiable » [65]. Dans le même temps, le CCNE s’inquiète des blocages des traitements massifs des données qui pourraient résulter de l’exercice par les personnes concernées de certains de leurs droits, de la circulation insuffisante des données pour permettre l’innovation en santé [66] et de la nécessaire maîtrise humaine sur les traitements algorithmiques des données numériques en santé [67].

19 Une réflexion éthique a également pu être menée à propos d’une autre évolution technologique, permise par le recours à des outils algorithmiques d’intelligence artificielle, à savoir les véhicules autonomes. Le comité national pilote d’éthique du numérique a mis en avant, dans un avis, les tensions engendrées du point de vue des données personnelles : liberté de déplacement des utilisateurs versus protection de la vie privée et des données à caractère personnel des tiers mais aussi choix de l’utilisateur de recourir à un véhicule autonome et collecte à cette occasion de ses données à caractère personnel. Surtout, est identifié le risque « d’une surveillance généralisée et permanente ». D’où la proposition d’un régime adapté de protection des données à caractère personnel [68].

20 14. Promouvoir un modèle économique alternatif. L’économie du numérique repose sur l’exploitation des données. Un modèle économique reposant sur l’exploitation des données est même apparu avec le développement des grandes plateformes en ligne : il tient à la fourniture de services et de contenus numériques sans contrepartie pécuniaire, la contrepartie se trouvant dans la fourniture de données par les personnes concernées. Cela correspond au modèle économique des principales plateformes en ligne, notamment les moteurs de recherche, les réseaux sociaux ou certains services de partage de contenu [69]. C’est ce qui a conduit le législateur européen à s’en emparer en introduisant un régime pour les contrats de fourniture de contenus ou services numériques [70]. Pensons aussi à la pratique développée par certains éditeurs de sites consistant à proposer une option entre l’acceptation de cookies et une formule payante à l’occasion de laquelle les données collectées sont réduites [71], la validité d’une telle pratique dépend de la préservation de la liberté du consentement de la personne concernée, ce qui suppose qu’elle dispose « d'une véritable liberté de choix » ou qu’elle soit « en mesure de refuser ou de retirer son consentement sans subir de préjudice » [72]. La base juridique des opérations de traitement des données est en général le consentement de la personne concernée en raison du profilage réalisé à fins publicitaires, de la personnalisation du service ou de la transmission des données à des tiers. Ces pratiques, qui reposent sur l’exploitation des données à caractère personnel et l’économie de l’attention, sont contestées en raison des risques qu’elles font courir aux personnes concernées – atteinte au respect de leur vie privée, à l’autonomie individuelle, à la liberté d’aller et venir – et pour l’effectivité de la protection de leurs droits. Émergent d’autres modèles économiques qui ont pour objectif d’assurer une meilleure protection des personnes concernées en limitant la collecte et l’exploitation de leurs données. Une société comme Apple met ainsi en avant l’absence de cession des données à caractère personnel à des tiers comme argument commercial. D’autres organisations développent des services numériques ne reposant pas sur le traitement de données à caractère personnel. L’exemple le plus fameux est certainement Wikipédia, mais il en existe d’autres comme le service de la société Citykomi qui propose des solutions d’information pour les collectivités ou les entreprises et qui ne traite aucune donnée à caractère personnel, la personnalisation du service ne repose pas sur l’analyse des données, mais sur la configuration du service réalisée par l’utilisateur. Peut-on voir derrière ces choix une éthique des données à caractère personnel qui consiste à ne les traiter que lorsqu’il n’existe pas d’autres alternatives techniques ? Ils traduisent en tout cas un autre équilibre entre les intérêts des personnes concernées et ceux des responsables du traitement que celui qui est permis par le droit des données à caractère personnel.

L’apport

21 15. Éthique des données. Toute réflexion éthique sur les données à caractère personnel fait appel à la distinction entre la vie publique et la vie privée, entre l’individu et le collectif, mais aussi à la tension entre la liberté et l’autonomie des personnes avec l’intérêt général, la sécurité publique, la surveillance, la santé publique, l’innovation ou des préoccupations économiques [73]. Dégager la substance de ce que pourrait être, de manière générale, une éthique des données à caractère personnel est une entreprise délicate tant en raison de la relativité de l’éthique que de la diversité des contextes des traitements de données et de leurs finalités. D’un point de vue substantiel, seules des valeurs très générales peuvent être associées aux données à caractère personnel. Elles font écho aux droits et libertés sous-tendant le droit des données à caractère personnel : droit à la protection des données à caractère personnel, droit au respect de la vie privée, liberté d’aller et venir, liberté d’expression, liberté d’entreprendre. Il peut en résulter des exigences d’ores et déjà promues par le droit des données à caractère personnel mais qui pourraient être renforcées comme la transparence, la minimisation des données traitées, la facilitation de l’exercice des droits des personnes concernées ou la recherche du consentement des personnes concernées là où il n’est pas requis pour la mise en œuvre du traitement de données. Tout cela renforcerait l’autodétermination informationnelle des personnes concernées. À cela, peut s’ajouter une éthique procédurale consistant à faire participer les personnes potentiellement concernées par un traitement de données à caractère personnel à la détermination de ses caractéristiques. Cette démarche n’est pas inconnue du droit des données à caractère personnel. À l’occasion de la réalisation d’une analyse d’impact, le responsable du traitement est en effet incité à demander l’avis des personnes concernées ou de leurs représentants au sujet du traitement envisagé [74]. Cela dit, c’est davantage à l’aune des évolutions attendues en matière de traitement de données à caractère personnel qu’une réflexion éthique peut être développée.

22 16. Évolutions : big data et intelligence artificielle. Le développement du big data et l’intelligence artificielle impliquent le traitement de grandes masses de données qui mettent à l’épreuve le droit des données à caractère personnel. Ni le RGPD, ni la loi du 6 janvier 1978 révisée ne prévoient de régime spécifique à ces types de traitements de données. Tout au plus, la prise de décision automatisée est-elle encadrée [75], la réutilisation des données dans certaines finalités est-elle facilitée [76] et l’exigence de transparence des traitements de données est-elle en mesure d’appréhender les transferts de données [77]. L’insuffisance de ce régime trouve une réponse dans une proposition de règlement visant à encadrer les systèmes d'intelligence artificielle [78]. Elle cherche à apporter des garanties supplémentaires en interdisant certains usages des systèmes d’intelligence artificielle et en consacrant une approche par le risque pour les systèmes à haut risque, associée notamment à des règles de gouvernance des données d’entraînement, de validation et de test, et à un contrôle humain. Cela fait écho à des préoccupations éthiques. Dans le contexte du big data et de l’intelligence artificielle, la préservation de la liberté des personnes, de leur égalité ou l’intervention d’une personne humaine à l’occasion de la contestation d’une prise de décision automatisée sont des exigences d’ordre éthique. Plus généralement, l’éthique des données pourrait consister à renforcer la protection des personnes concernées, par exemple en instaurant un consentement dynamique des personnes concernées, qui pourrait être révisable au fur et à mesure du temps, et une information périodique et évolutive des personnes concernées en fonction de l’utilisation qui est faite de leurs données. De la même manière, pourrait être prévue la nécessité de pouvoir identifier toute personne à partir de ses données, par exemple au moyen de métadonnées liées aux données ou de la technologie blockchain afin de garantir l’effectivité de son information et de ses droits.

23 17. Conclusion. En définitive, loin de révéler une quelconque crise du droit des données à caractère personnel, l’éthique ne lui est pas non plus antagoniste. Elle contribue à assurer la confiance des personnes concernées par des traitements de données à caractère personnel, la conformité de ces derniers au droit des données à caractère personnel et l’harmonisation de l’application de celui-ci. Elle remplit aussi des fonctions d’anticipation des difficultés nouvelles, conséquences de l’évolution des technologies numériques et de la nécessité de compléter le droit positif pour assurer la protection des personnes concernées par des traitements de données [79]. Cela dit, si les données à caractère personnel et leurs usages constituent assurément un terrain fertile pour les réflexions d’ordre éthique et une source d’inspiration pour le législateur, la densification normative du droit des données à caractère personnel relègue aussi l’éthique dans l’ombre du droit positif ou au rang de simple instrument de son application.