A – Une expertise fondée sur l’exposition de soi

Le principe même du quantified self relève d’une exposition constante de soi et d’éléments relevant de la vie privée, de l’intimité corporelle d’une personne12. Ce sont des éléments relatifs à la vie privée qui permettront directement d’alimenter les différents capteurs inclus dans les objets connectés : la divulgation de données personnelles devient une condition nécessaire à l’existence du service lui-même13. L’utilisateur d’un objet connecté s’engage avec le quantified self sur la voie de l’auto-mesure en cherchant à mesurer son activité pour la quantifier. Ce soi-quantifié repose sur l’idée de répétition et de routinisation du processus car la mesure, pour être pertinente, doit s’insérer dans un ensemble plus vaste permettant de définir des évolutions et éventuelles améliorations14.

Le fonctionnement même du quantified self soulève évidemment la question du paradoxe de la vie privée, paradoxe en vertu duquel la crainte réelle de la révélation massive de données relatives à la vie privée n’empêche pas les internautes de se dévoiler de plus en plus15. Alors que ces craintes – exacerbées par les révélations d’Edward Snowden sur la surveillance réalisée par la NSA16 – concernant la vie privée et l’identité numérique des internautes n’ont jamais été aussi fortes qu’actuellement, l’utilisation d’objets connectés porteurs de risques de dissémination de données probablement inégalés est en augmentation constante17. D’autant que la protection de la vie privée des individus est malmenée par des données qui peuvent être créées directement, ou indirectement, par l’utilisation même des services en cause18 : en dehors des données qu’il crée volontairement, l’utilisateur va laisser des traces numériques en utilisant un service19.

C’est pour répondre à ces différentes problématiques que le concept du Privacy by Design a été développé20. Ce concept part du principe que, pour être effective, la protection de la vie privée doit être intégrée directement en amont de la mise en service d’un outil présentant des risques potentiels pour la vie privée21. S’appuyant sur l’insuffisance du cadre légal, le Privacy by Design présente un caractère préventif et une forme de régulation ex ante, inscrite dans la technologie elle-même, dans le but d’éviter des risques de fuite informationnelle22. L’article 29 du projet de loi pour une République numérique adopté en Conseil des ministres le 9 décembre 2015 entend conférer à la Commission nationale informatique et libertés (Cnil) un rôle de soutien au Privacy by Design, pour le développement de la protection intégrée de la vie privée dès la conception23. Cependant, bien que prometteur en apparence, ce concept peine à trouver de réelles applications pratiques24. Il pourrait dès lors être complété par le Privacy by Using, qui consiste en un processus de régulation par les individus eux-mêmes et ce, par une accumulation d’apprentissages25. Destiné à pallier l’obsolescence rapide des standards de protection de la vie privée, le Privacy by Using permet aux individus de faire une utilisation éclairée de leurs données personnelles leur permettant en particulier de se prémunir contre les risques d’exploitation de leurs données par des tiers.

B – L’exploitation des données par des tiers

Les données recueillies sont agrégées par des tiers, entreprises privées, qui vont conserver, analyser et exploiter les éléments recueillis par les individus via leurs objets connectés. Qu’il s’agisse directement des constructeurs d’objets connectés ou de développeurs d’applications aux fins d’analyse des données, celles-ci finissent par échapper à la maîtrise des individus26. Alors que le quantified self permet la création de bases de données élargies construites autour d’éléments récoltés directement par des opérateurs privés – Apple, Google et Samsung ont tous les trois créé des plates-formes relatives aux données captées par les objets connectés27 – les utilisateurs font désormais face à la centralisation de leurs données en se retrouvant sous la surveillance d’un tiers (le concepteur d’une application par exemple)28.

Les données personnelles des individus deviennent des ressources pour les entreprises : celles-ci permettent aux opérateurs des plates-formes susmentionnées d’offrir des services ciblés et personnalisés, ou encore, de les vendre à des tiers à des fins publicitaires et commerciales29. Dès lors, si la quantification de soi semble correspondre à un mouvement de contrôle de l’activité et des données associées, le modèle économique qui est mis en place repose en fait sur une monétisation par des tiers des données générées d’une part, et sur une centralisation de ces mêmes données d’autre part30. Or contrairement à ce qui a pu être préconisé, la centralisation des données ne permet pas de garantir un niveau de sécurité satisfaisant : on rend accessible en un même endroit de nombreuses données relatives à une même personne, soumettant ainsi des pans entiers de vie privée à un risque de divulgation31.

En tout état de cause, comment prétendre à la sauvegarde de la vie privée alors que les services utilisés – proposés gratuitement de manière générale ou sur la base d’un modèle freemium32 – reposent justement sur un échange réciproque entre données de la part d’un utilisateur et expertise de la part d’une application33 ?

Les instruments utilisés dans le cadre du quantified self sont en eux-mêmes destinés à favoriser une révélation de la vie privée et de l’intime ; la protection juridique ou techno-juridique mise en œuvre ne permet pas d’apporter une réponse précise à ces problématiques nouvelles.

A – Le quantified self, « impensé » des textes

Les données issues du quantified self sont, comme toutes les données personnelles, concernées par la loi informatique et libertés de 1978. Ces données – soumises à un traitement automatisé – entrent donc dans le champ de l’article 2, alinéa 2 de cette loi. Un régime juridique protecteur devrait donc en théorie pouvoir s’appliquer aux données en question. Celui-ci, porté par des principes qui sont énoncés à l’article 6 de cette même loi comprend, en particulier, un principe de finalité déterminé, un principe de proportionnalité et enfin, un principe d’exactitude des données récoltées.

Ces principes sont difficilement conciliables avec le fonctionnement du quantified self. Ainsi, le phénomène du big data, qui correspond à la récolte continue de données potentiellement identifiantes via les objets connectés, est incompatible en soi avec le principe de finalité34. Ensuite, comment envisager le respect d’un principe de proportionnalité alors qu’il s’agit justement ici de réaliser des mesures de façon continue et que c’est cette « imprévisibilité » des résultats qui est recherchée ? Enfin, comment envisager un principe de pertinence et d’exactitude des données alors que les objets connectés ne sont pas à l’abri d’éventuelles erreurs dans les mesures qu’ils vont établir35 ? Le consentement – préalable nécessaire à toute collecte de données – soulève également des questions : envisagé à l’article 7 de la loi, celui-ci doit faire face à des conditions générales d’utilisation qui sont souvent peu claires pour l’individu et à des éléments techniques qui ne permettent pas toujours de garantir son recueil36. Force est de constater que les principes dégagés par la loi informatique et libertés ainsi que les pouvoirs de contrôle qui sont confiés à la Cnil ne semblent plus en phase avec la réalité technologique permise par les objets connectés. Conscients de ces problématiques, les auteurs du projet de loi pour une République numérique prévoient de renforcer les pouvoirs de la Cnil, mais aussi de mettre à la charge des opérateurs diverses obligations. Une obligation de loyauté visant à une meilleure information des utilisateurs serait couplée à celle de portabilité des données, permettant aux utilisateurs de récupérer et de transférer aisément leurs données.

Les objets connectés brouillent les frontières entre le domaine du bien-être et celui de la santé37. Il est difficile de savoir si la donnée recueillie par les différents capteurs est une donnée de santé ou non ; d’ailleurs le régime juridique applicable aux objets connectés à l’heure actuelle ne prend pas encore en compte cette distinction38. Dès lors, la protection associée aux données de santé par l’article 8 de la loi informatique et libertés n’aura pas toujours vocation à s’appliquer, la protection associée aux bases de données sanitaires non plus. En France, qu’il s’agisse du PMSI (Programme de médicalisation des systèmes d’information) ou du SNIIRAM (Système national d’information inter-régimes de l’Assurance maladie), une protection – technique et légale39 – renforcée est assurée à ces bases de données40. Les données individuelles nominatives qui sont recueillies sont anonymisées et dé-identifiées, les noms et adresses n’y figurent plus et le numéro de sécurité sociale (le NIR) est remplacé par un identifiant propre pour éviter tout risque de ré-identification41. De même, les objets connectés n’entrent pas dans le champ de la directive 93/42/CEE relative aux dispositifs médicaux dès lors que les constructeurs ne leur ont pas attribué une finalité médicale.

Le cadre juridique protecteur qui concerne les activités d’hébergement des données de santé recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins n’est donc pas, a priori, applicable aux données issues du quantified self, même si in fine le juge reste seul maître de la qualification qui sera appliquée. En tout état de cause, même si tel était le cas, un doute subsiste quant à l’efficacité des mesures, dont on sait qu’elles ne constituent pas des garanties absolues contre les risques de ré-identification. Certains procédés semblent plus efficaces que d’autres42 : mais aucun n’est totalement infaillible43. Plusieurs expériences ont d’ailleurs eu l’occasion de montrer les limites des procédés envisagés44. En outre, l’extraterritorialité des moyens de stockage accroit encore les risques de perte de maîtrise des données.

B – L’extraterritorialité des moyens de stockage

Favoriser le cloud computing comme moyen de stockage des données récoltées est un facteur de risque supplémentaire pour la vie privée des individus. Moyen technique permettant le stockage à distance des informations, le cloud est à l’heure actuelle le principal standard en matière d’archivage des données. Pourtant, c’est la question de la destination finale des données qui est en cause45. Il devient en effet délicat de savoir avec certitude par où la donnée transite, et où elle est finalement stockée46. Le cloud soulève donc des interrogations quant à la compétence territoriale des juridictions en cas de litige et introduit une couche de complexité supplémentaire à un problème déjà complexe.

Les informations stockées et centralisées dans le cloud peuvent être soumises à différentes législations en fonction de leur localisation. Déterminer à l’avance de quelle juridiction relèvent les litiges portant sur les informations stockées devient difficile. Les procédés de quantified self que nous avons abordés jusqu’à présent sont généralement le fait d’entreprises américaines, ou basées aux États-Unis. Or les problématiques relatives à la compétence territoriale des tribunaux sont parmi celles ayant soulevé le plus de questions, sachant que la majorité des entreprises américaines traitant des données personnelles insèrent dans leurs contrats d’utilisation une clause conférant compétence juridictionnelle aux tribunaux du comté de Santa Clara en Californie. La jurisprudence française a certes commencé à se prononcer sur le caractère abusif de cette clause47, mais c’est surtout la Cour de justice de l’Union européenne qui a provoqué un séisme en la matière avec l’invalidation de la décision 2000/520 de la Commission européenne, dite « Safe Harbor », selon laquelle les États-Unis disposaient d’un niveau satisfaisant de protection des données personnelles48. En effet, selon la directive 95/46/CE, un transfert de données à caractère personnel vers un pays tiers de l’Union européenne est en principe interdit, sauf si le pays de destination assure un niveau de protection suffisant des données personnelles. L’objet du « Safe Harbor » était de reconnaître le niveau de protection adéquat attaché au transfert de données personnelles entre l’Europe et les États-Unis. La CJUE, dans un arrêt de Grande chambre en date du 6 octobre 2015, a constaté que la Commission n’a pas recherché si les États-Unis assuraient effectivement une protection adéquate et a donc invalidé la décision 2000/52049. Si toutes les conséquences de cette décision sur le long terme ne sont pas encore perceptibles, celle-ci montre bien le climat de méfiance qui règne en matière de transferts internationaux de données et révèle une faible sécurisation juridique de l’explosion de la mise en données de l’activité humaine. La Cnil, certes vigilante, n’est pas suffisamment armée pour canaliser efficacement cette dispersion. Le G29 travaille depuis maintenant trois ans à l’adoption d’un règlement européen visant à mieux encadrer les pratiques. Longtemps freiné par les enjeux économiques colossaux soulevés par la libéralisation des données, le projet semble aujourd’hui sur le point d’aboutir. À l’instar du projet de loi pour une République numérique, il entend notamment renforcer les sanctions contre les contrevenants aux principes et mesures de protection de la vie privée. C’est in fine une solution d’équilibre qui devra être trouvée, permettant aux innovations technologiques de se développer de façon sereine en limitant les atteintes à la protection de la vie privée qui seront susceptibles de se développer.