La protection des données sur internet est un des défis majeurs de ce début de XXIème siècle. Sont énormes tant le volume que la qualité des données que l’on peut facilement récolter sur tout un chacun, sans qu’il s’en rende compte, parfois même sans qu’il ne les ait lui-même rendu accessibles. En outre, ces masses de données sont souvent traitées par des entreprises sises hors de nos frontières, sur lesquelles notre droit national n’a guère de prise. Droit national qui perd toute portée lorsque ce sont d’autres Etats, souvent avec la complicité des multinationales de l’internet, qui collectent des données de citoyens suisses sans limites ni scrupules.

Ce n’est que trop lentement que la classe politique prend acte de ces défis. Si elle ne le fait pas vite, ce seront les pratiques d’autres pays ou d’entreprises privées qui établiront les standards.

Il faut, par exemple, mettre un terme aux pratiques de facebook, qui modifie régulièrement ses conditions générales, laissant à chaque fois le soin aux utilisateurs de corriger eux-mêmes leurs paramètres.

Il nous faut de meilleurs instruments juridiques pour protéger la sphère privée sur la Toile. Un internaute se connecte ici sur Facebbook, le 31 janvier 2013. (Agence : Reuters / Regis Duvignau)

Notre législation sur la protection des données se base sur de bons principes. Ils peuvent même s’appliquer en dehors de nos frontières. Cela a été confirmé par l’arrêt du tribunal fédéral sur « google street view ». Mais pour que les citoyens puissent les faire appliquer efficacement, il faut de nouveaux instruments.

Cela commence par l’action en justice collective, la «class action» anglo-saxonne. En effet, une personne dont la protection des données a été violée n’aura souvent pas les ressources pour aller affronter seule une multinationale. Le traitement illicite de données bénéficie donc d’une impunité presque totale. En revanche, le risque d’une action en justice concertée de milliers de victimes aura un fort effet dissuasif.

Mais il ne s’agit pas seulement de mieux faire valoir des droits existants. Les nouvelles réalités numériques exigent aussi de nouveaux droits.

Le droit à l’oubli numérique s’impose comme l’un des principaux. Ce droit ne doit pas être une simple obligation d’effacer les informations portant atteinte à la personnalité, mais il doit également s’appliquer aux moteurs de recherche et les obliger de ne plus référencer les informations litigieuses.

La multiplication des pillages de données nécessite que les consommateurs soient informés directement et immédiatement des failles de sécurité, des données concernées ainsi que des mesures prises par l’hébergeur pour y mettre fin. Ce droit doit notamment permettre aux lésés de déposer une action collective, ce qui en augmenterait l’effet préventif.

La question de la protection des données ne doit en outre plus seulement se poser une fois qu’une nouvelle technologie ait révélé de nouveaux problèmes. Elle doit plutôt être garantie à l’origine, par l’introduction du concept de « respect de la vie privée dès la conception » (privacy by design). En outre, lorsqu’une entreprise modifie ses règles de confidentialité, elle devrait être obligée de garantir par défaut le plus haut niveau de protection (privacy by defaut). Il faut, par exemple, mettre un terme aux pratiques de facebook, qui modifie régulièrement ses conditions générales, laissant à chaque fois le soin aux utilisateurs de corriger eux-mêmes leurs paramètres, espérant ainsi les décourager par des barrières techniques et procédurales quasi-kafkaïennes.

Cette liste de quelques pistes est malheureusement loin d’être exhaustive. Géolocalisation, big data, surveillance de masse, stockage dans les nuages, etc. sont autant de nouveaux défis qui ne semblent guère intéresser le législateur. Il risque fort d’être débordé s’il ne prend pas rapidement le problème à bras le corps. Faute de quoi, la sphère privée sera reléguée au rang des notions archéologiques.