Données à caractère personnel de l`internaute et

UNIVERSITÉ DE MONTPELLIER I
CENTRE DU DROIT DE LA CONSOMMATION ET DU MARCHÉ
(UMR 5815 CNRS Dynamique du Droit)
MASTER 2 PROFESSIONNEL CONSOMMATION ET
CONCURRENCE
Données à caractère personnel de l'internaute et
conditions générales d'utilisation
Par
Jordan ROUQUET
Mémoire réalisé sous la direction de Madame Agnès ROBIN
Maître de conférences à la faculté de droit de Montpellier
Année universitaire 2013 / 2014
Je tiens tout d’abord à remercier Messieurs Malo DEPINCÉ et le professeur Daniel
MAINGUY pour cette année riche en enseignements.
Je remercie également Madame Agnès ROBIN pour ses conseils et sa disponibilité.
Une pensée toute particulière à Madame Sophie DELCOURT-VERNAY pour sa
patience et son écoute.
Merci à mes camarades avec lesquels j’ai partagé une excellente année.
Merci enfin à Célia pour son soutien indéfectible.
Sommaire
Sommaire.....................................................................................................................................1
Introduction..................................................................................................................................3
Titre 1 – Le cadre juridique de protection de l’internaute en matière de données à caractère personnel...........................................................................................................................................8
Chapitre 1 – L’identification de la donnée à caractère personnel..............................................8
Section 1 – La donnée à caractère personnel : une nomenclature imprécise et évolutive.....8
Section 2 – La profusion des données à caractère personnel sur l’Internet ........................18
Chapitre 2 – Un professionnel responsable de la collecte et du traitement des données........26
Section 1 – Le professionnel qualifié de responsable du traitement des données...............26
Section 2 – L'utilisation des données à caractère personnel par un professionnel..............32
Titre 2 – Les conditions générales d'utilisation comme outil de protection de l'internaute.........34
Chapitre 1 – Un encadrement des relations entre l’internaute et le professionnel...................34
Section 1 – Les modalités de conclusion d'un contrat en ligne par un internaute................34
Section 2 – Le recueil du consentement de l'internaute......................................................37
Chapitre 2 – Un rappel limité des droits de l’internaute par les conditions générales d’utilisation.........................................................................................................................................41
Section 1 – Les droits reconnus aux internautes rarement mobilisés..................................41
Section 2 – Les conditions générales d’utilisation : un outil perfectible.............................45
Conclusion..................................................................................................................................48
Bibliographie..............................................................................................................................49
1
« Si je regarde suffisamment vos messages et votre localisation, et que j'utilise une
intelligence artificielle, je peux prévoir où vous allez vous rendre. Montrez-nous 14
photos de vous et nous pourrons vous identifier. Vous pensez qu'il n'y a pas quatorze
photos différentes de vous sur Internet ? Il y en a plein sur Facebook ! Le monde n'est
pas prêt pour la révolution technologique qui s'annonce, en effet il produit aujourd'hui
autant de données en deux jours qu'entre l'aube de la civilisation et 2003. La seule
manière de gérer ce problème est une vraie transparence, et la fin de l'anonymat. Dans
un monde où les menaces sont asynchrones, il est trop dangereux qu'on ne puisse pas
vous identifier d'une manière ou d'une autre. Nous avons besoin d'un service
d'identification personnel. Les gouvernements le demanderont. »
Eric Schmidt, PDG de Google (2001-2011)
2
Introduction
Par cette déclaration, Eric Schmidt annonçait la fin imminente de l’anonymat sur
Internet. Une inquiétante révélation pour certains, la suite logique des mutations de
notre société du fait de l’abondance des nouvelles technologies pour d’autres, la place
de la vie privée des internautes et plus particulièrement de la protection de leurs données
personnelles est aujourd’hui plus que jamais au cœur de l’actualité. Chaque individu est
en mesure d’apprécier l’impact que les nouvelles technologies ont sur notre quotidien,
aussi bien dans notre manière de communiquer, de travailler et plus largement de
s’épanouir. Courriels, réseaux sociaux, achats en ligne, moteurs de recherche,
smartphones1, sites de rencontre, les journées de millions d’individus sont désormais
rythmées l’utilisation ces nouveaux outils qui n’a cessé de s’accroître au fur et à mesure
que les ordinateurs et Internet s’installaient au sein des foyers. Du fait de leur place
prédominante qu’ils occupent et de leur impact sur les relations entre les individus, ces
nouveaux outils sont souvent décriés et suscitent de nombreuses interrogations : Quelle
est la frontière entre l’espace privé et l’espace public sur Internet ? Est-on surveillé de
chacun de nos faits et gestes ? À qui profitent les informations laissées par l’internaute
lors de ses navigations ?
Une véritable prise de conscience des internautes face aux enjeux et
conséquences d’un monde toujours plus connecté semble émergée. Ainsi, selon une
étude menée par la société Ipsos pour la Commission nationale informatique et libertés
(CNIL) en octobre 20082, 71% des sondés jugeaient que le niveau de protection de leur
vie privée sur Internet était insuffisante. La Caisse des dépôts et consignations (CDC) et
l’Association de l’économie numérique (ACSEL) publiaient quant à elles en 2013 leur
1
Que l’on traduit par « téléphones intelligents » ou « ordiphone », ils désignent une catégorie de
téléphones possédant des fonctions similaires à celles des ordinateurs.
2
http://www.ipsos.fr/ipsos-public-affairs/actualites/2008-10-14-protection-donnees-privees-francais-sinquietent
3
troisième baromètre de confiance des Français dans le numérique 3. Il est ressorti de
cette étude que 92% des sondés jugeaient que la conservation des données personnelles
devait être limitée dans le temps et 40% percevaient l’utilisation abusive de leurs
données comme un risque.
Une législation abondante
Les problématiques et enjeux entourant la protection des données à caractère
personnel sont apparues concomitamment au développement croissant des systèmes
informatiques et de l’Internet grand public. C’est à partir des années 1970 que certaines
institutions ont débuté leurs travaux sur ces questions. L’Organisation de coopération et
de développement économique (OCDE) rendait ainsi une recommandation le 23
septembre 19804 tandis que le Conseil de l’Europe établissait la Convention 108 5 le 28
janvier 1981. Ces deux initiatives étaient ainsi la preuve d’une prise de conscience de
l’importance grandissante des enjeux relatifs aux données personnelles des individus,
cependant leur portée restait néanmoins limitée de par leur nature, la recommandation
de l’OCDE n’ayant pas de valeur contraignante et la Convention 108 du Conseil de
l’Europe étant facultative. Ces textes ont néanmoins joué un rôle primordial en
établissant certains grands principes6 qui constituent, aujourd’hui encore, le socle
inamovible de la protection des internautes face à l’utilisation de leurs données
personnelles : une collecte et un traitement loyal et licite, une finalité déterminée et
légitime, une durée de conservation limitée, une sécurité accrue.
La France n’a pas été en reste face à ce mouvement puisque, dès 1978, était
adoptée la loi Informatique et Libertés7 en réponse à l’opposition de l’opinion publique
3
http://www.cnil.fr/linstitution/actualite/article/article/la-protection-des-donnees-personnelles-unesource-de-preoccupation-des-internautes-selon-le-3e/
4
Recommandation du Conseil concernant les lignes directrices régissant la protection de la vie privée et
les flux transfrontières de données de caractère personnel
5
Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère
personnel
6
Convention 108 du Conseil de l’Europe, article 5 intitulé « Qualité des données »,
7
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
4
au projet SAFARI8 initié par le gouvernement de l’époque. Ce projet du ministère de
l’Intérieur avait pour objectif de centraliser les près de « 100 millions de fiches réparties
dans 400 fichiers »9, recueillant et traitant ainsi une quantité immense d’informations
sur près de 52 millions de français. La loi Informatique et Libertés, votée à l’heure où
l’Internet grand public n’en était encore qu’à ses balbutiements, avait donc comme
objectif principal d’encadrer l’appropriation et le traitement des données dites
« nominatives » par les administrations publiques. Pour autant le législateur, très
certainement prévoyant quant aux évolutions des systèmes informatiques, incluait déjà
dans le champ d’application de cette loi les personnes morales de droit privé. Par
ailleurs, la rédaction de cette loi comportait déjà les grandes lignes et principes qui
encadrent toujours aujourd’hui la collecte des données à caractère personnel avec
notamment un mécanisme de déclaration et d’autorisation auprès de la Commission
Nationale de l’Informatique et des Libertés (CNIL), une interdiction des collectes
frauduleuses, déloyales ou illicites des données10 ainsi que la reconnaissance de droits
mobilisables par les individus. C’est également par cette loi que la Commission
Nationale de l’Informatique et des Libertés (CNIL) fut créée et dont les pouvoirs ont été
élargis au fur et à mesure des réformes engagées en la matière.
Il faut attendre 1995 pour que la Communauté Européenne adopte une directive 11
en matière de protection des données personnelles des individus. Les propos
préliminaires de la directive précisaient ainsi que les « systèmes de traitement de
données sont au service de l'homme; qu'ils doivent, quelle que soit la nationalité ou la
résidence des personnes physiques, respecter les libertés et droits fondamentaux de ces
personnes, notamment la vie privée, et contribuer au progrès économique et social, au
développement des échanges ainsi qu'au bien-être des individus ». Au même titre que
les travaux supranationaux et nationaux évoqués précédemment, la Communauté
Européenne s’est alors attachée, à travers cette directive, à imposer un cadre restrictif
8
Système Automatisé pour les Fichiers Administratifs et le Répertoire des Individus
Le Monde, 21 mars 1974, « Safari ou la chasse aux français », Philippe Boucher
10
Loi n°78-17 du 6 janvier 1978, article 25
11
Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de
ces données
9
5
aux responsables de traitement de ces données et à reconnaître certains droits aux
individus quant à la collecte et l’utilisation de leurs données. En tant que directive,
l’objectif de la Communauté Européenne était ainsi d’établir un socle commun de
protection des individus face au traitement de leurs données à caractère personnel pour
l’ensemble des Etats membres de l’Union Européenne12. Tardivement transposée en
droit français par une loi du 6 août 200413, la loi Informatique et Libertés du 6 janvier
1978 se voyait ainsi modifiée afin de prendre notamment en compte les évolutions des
réseaux de communication.
La Charte des droits fondamentaux de l’Union européenne 14, adoptée le 7
décembre 2000, est également venue consacrer un article 8 intitulé « Protection des
données à caractère personnel ». Ce texte a une importance particulière depuis
l’adoption du Traité sur l’Union européenne depuis 2009 puisque son article 6 a reconnu
à la Charte des droits fondamentaux de l’Union européenne une valeur juridique
identique à celle des traités. Loin d’être ancrée, la législation en matière de donnée à
caractère personnel évolue régulièrement et se voit agrémentée de nouveaux textes,
parfois sur des points plus spécifiques15. Au cœur de l’actualité, le Parlement
européenne étudie actuellement une proposition de règlement relatif à la protection des
personnes physiques à l’égard du traitement de leurs données à caractère personnel.
Bien que l’adoption de ce règlement ait plusieurs fois été repoussée, son existence
témoigne d’une préoccupation grandissante autour des questions relatives aux données
personnelles des individus.
12
Anciennement Communauté Européenne avant l’entrée en vigueur du traité de Lisbonne le 1er décembre
2009.
13
Loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des
traitements de données à caractère personnel
14
2000/C 364/01
15
Il est possible de citer comme exemple le « Paquet Télécom » qui comprend deux directives
(2009/136/CE et 2009/140/CE) ainsi que le règlement n°1211/2009 et dont le but était de réformer les
textes existants en matière de communications électroniques.
6
Quels sont les modalités de la protection dont bénéficie l'internaute face à
l'utilisation de ses données personnelles ? Les conditions générales d'utilisation
assurent-elles à cette protection une pleine efficacité ?
Indéniablement, l'internaute bénéficie d'un cadre juridique protecteur quant à
l'utilisation de ses données personnelles par des professionnels (Titre 1) mais les
conditions générales d'utilisation ne semblent pas être un outil suffisamment adapté
pour lui assurer une pleine efficacité (Titre 2).
7
Titre 1 – Le cadre juridique de protection de l’internaute en
matière de données à caractère personnel
Les pouvoirs publics, conscients des dangers encourus par les individus face à
une utilisation déraisonnée de leurs données personnelles, ont rapidement tenté d’en
encadrer la collecte et le traitement. Cependant, pour que l’internaute soit protégé,
plusieurs conditions doivent être réunies. La donnée doit tout d’abord recouvrir un
caractère personnel (chapitre 1) et, bien que cette identification soit loin d’être aisée sur
Internet, conditionne les obligations mises à la charge du professionnel responsable du
traitement (chapitre 2).
Chapitre 1 – L’identification de la donnée à caractère personnel
Du fait de l’évolution croissante des nouvelles technologies et des outils de
communication, l’internaute est devenu le principal concerné par la collecte de ses
données par différents acteurs. A ce titre, toute un cadre législatif a été mis en place pour
encadrer ces pratiques mais son champ d’application est limité. Pour bénéficier d’une
telle protection, la donnée de l’internaute doit présenter un caractère personnel (section
1), notion particulièrement imprécise et d’autant plus polysémique lorsqu’elle est
appliquée aux supports électroniques (section 2).
Section 1 – La donnée à caractère personnel : une nomenclature imprécise et évolutive
Face à l’imprécision de textes en la matière, tant au niveau national qu’européen,
il est utile de tenter de délimiter les contours de la notion aussi bien vis à vis de sa
nature (§1) que de son titulaire (§2).
8
§1. Une protection non limitée aux données de l’internaute
Si les textes n’ont pas toujours admis une définition commune, faute d’avoir eu
pour objectif de s’appliquer aux mêmes données, la donnée à caractère personnel
semble aujourd'hui être appréhendée de la même manière tant par les autorités
nationales qu’européennes (A). Pour autant, ses contours restent imprécis et sources de
difficultés (B).
A – Une définition commune des données à caractère personnel
La loi Informatique et Libertés de 1978, telle qu’initialement rédigée,
mentionnait les données « nominatives16 » et les définissait comme les « informations
qui permettent, sous quelque forme que ce soit, directement ou non, l’identification des
personnes physiques auxquelles elles s’appliquent, que le traitement soit effectué par
une personne physique ou par une personne morale ». Suite à la transposition de la
directive de 1995 en droit français par la loi du 6 août 2004, et dans un souci de
cohérence des textes et d’harmonisation à l’échelle de l’Union Européenne, la donnée
nominative fut remplacée par celle de donnée à « caractère personnel ». On retrouve
ainsi les termes employés à la fois par la recommandation de l’OCDE du 23 septembre
1980, par la Convention 108 du Conseil de l’Europe du 28 janvier 1981 et par la
directive européenne de 1995. Cette directive vient quant à elle définir la donnée à
caractère personnel comme « toute information concernant une personne physique
identifiée ou identifiable (personne concernée); est réputée identifiable une personne
qui peut être identifiée, directement ou indirectement, notamment par référence à un
numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son
identité physique, physiologique, psychique, économique, culturelle ou sociale »17. Suite
à la transposition de cette directive par la loi du 6 août 2004, la nouvelle rédaction de
16
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 4
Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de
ces données, article 2
17
9
l'article 2 de la loi Informatique et libertés reprend une définition quasi identique. Une
précision supplémentaire a cependant été ajoutée : « Pour déterminer si une personne
est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre
son identification dont dispose ou auxquels peut avoir accès le responsable du
traitement ou toute autre personne ». Nous le verrons par la suite, cet ajout est loin
d'être anecdotique.
1) La distinction entre données nominatives et données à caractère personnel
Une partie de la doctrine18 déplore la confusion généralement commise entre la
notion de donnée à caractère personnel et celle de donnée nominative. Les données dites
nominatives, c’est-à-dire celles qui concernent directement le patronyme d’un individu,
restent des éléments majeurs en la matière, cependant nul doute que de nouvelles formes
de données à caractère personnel se sont multipliées (données de géolocalisation,
données de santé, etc.) et que le régime de protection trouve également à s’appliquer. La
modification de l'article 2 de la loi Informatique et libertés doit s'expliquer par les
évolutions techniques et technologiques en matière de collecte de données. A ce titre, la
directive de 1995 écartait une limitation aux seules données nominatives puisque étaient
mentionnées
comme exemples
les
données relatives à
l’identité physique,
physiologique, psychique, économique, culturelle ou sociale de l’individu.
2) La vie privée et les données à caractère personnel
Les notions de « données à caractère personnel », de « vie privée » ou
« d’intimité » sont trop souvent utilisées de manière indifférenciée19, il paraît pourtant
nécessaire de réaffirmer leur caractère distinct même si elles s'avèrent parfois
complémentaire. Les contours de la notion de vie privée sont fluctuants, récents et
parfois sujets à débat. Le droit français a consacré le droit au respect de la vie privée par
18
Jessica EYNARD dans son ouvrage « Les données personnelles : Quelle définition pour un régime de
protection efficace ? », Michalon
19
L’une des raisons de cette confusion s'explique par la traduction du terme anglais « privacy » qui est à
la fois traduit en français par « vie privée » et « intimité ».
10
une loi de 197020 venant insérer dans l’article 9 du Code civil le principe ainsi énoncé :
« Chacun a droit au respect de sa vie privée ». Le champ d’application de ce texte n’a
jamais été précisément défini ou limité, ce qui permet en pratique aux juges de le
modeler en fonction des évolutions de la société 21 et des intérêts en balance. Il est
également fait mention de la vie privée dans plusieurs textes à valeur nationale ou
supranationale : l’article 12 de la Déclaration universelle des droits de l’homme,
l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des
libertés fondamentales, l’article 7 de la Charte des droits fondamentaux de l’Union
européenne. Face à l’accroissement des problématiques spécifiques aux données à
caractère personnel, la nécessité d’établir un cadre juridique précis s'est faite sentir.
3) Le cas particulier des données sensibles
Bien que ne figurant pas expressément dans la loi Informatique et libertés, son
article 8 est venu consacrer une protection accrue pour les données à caractère personnel
dites sensibles. Cet article pose ainsi l’interdiction de collecter ou de traiter des données
faisant apparaître directement ou indirectement « les origines raciales ou ethniques, les
opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des
personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci »22. Il s’agit
donc ici de données dont la divulgation est susceptible d’avoir un impact important sur
la vie privée des personnes concernées, c’est la raison pour laquelle leur traitement est
encadré de manière plus strict même s’il existe certaines dérogations précisées par
l’article 8 de la loi Informatique et libertés. Une de ces dérogations à l'interdiction de
collecter ces données doit être soulignée du fait de son importance particulière, elle
concerne « les traitements pour lesquels la personne concernée a donné son
consentement exprès »23. Cette dérogation, appliquée à Internet, représente très
certainement un danger pour l’internaute et ce pour deux raisons. La première concerne
20
Loi n°70-643 du 17 juillet 1970 tendant à renforcer la garantie des droits individuels des citoyens
A titre d’exemple, le droit à la vie privée a été mobilisé en matière de secret médical (Cour d'appel de
Paris 13 mai 1996 ; Cour de cassation 1ère chambre civile, 16 juillet 1997, Bull n°249), de protection de
l’image ou encore du domicile.
22
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 8-I
23
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 8-II-1°
21
11
certaines informations dévoilées de leur plein gré par les internautes sur les différents
réseaux sociaux, sans pourtant y être invités par des professionnels, et qui constituent
des données dites « sensibles ». En ne faisant pas attention et en ne contrôlant pas les
critères de diffusion des informations qu'ils publient, les internautes peuvent rendre
publiques certaines données sensibles les concernant. Ces données ainsi renseignées
directement par l’internaute, et même s’il n’a pas conscience de leur degré de visibilité,
peuvent être considérées comme ayant été divulguées avec son consentement exprès et
donc pouvant faire l’objet d’une collecte et d’un traitement par un professionnel.
Le réseau social Facebook, très souvent critiqué pour sa politique de gestion de
la vie privée de ses utilisateurs, semble avoir fait un pas vers une plus grande protection
des données à caractère personnel. Depuis le 22 mai 2014, les paramètres par défaut
pour la confidentialité des publications des nouveaux inscrits a évolué, ils sont
désormais réglés de manière à ce que la première publication de l’utilisateur ne soit
visible que par ses « amis »24 et non plus publiquement. De plus, une note explicative
apparaît désormais à l’écran pour que ces nouveaux utilisateurs soient informés des
différents degrés de visibilité de leurs publications.
Cette dérogation pose également la question de la nature du consentement de
l’internaute. Si l’article 8 de la loi Informatique et Libertés indique que la personne
concernée doit donner son « consentement exprès » pour que la dérogation s’applique, il
n’indique cependant pas quelles sont les formes valables pour recueillir ce
consentement. Cette question doit en réalité s’apprécier plus globalement et concerne
l’existence ou non d’un droit au consentement de l’internaute quant à la collecte et le
traitement de ses données ainsi que ses modalités25.
24
25
Les « amis » sont les membres qu’un utilisateur de Facebook accepte d’ajouter à son réseau.
Point sur lequel des développements sont consacrés dans la deuxième partie de cette étude.
12
B – Des imprécisions sources de difficultés
Si les textes précédemment cités s’attachent à définir assez largement les
contours de la notion de donnée à caractère personnel, son périmètre n’est pas
clairement défini. En effet, les législations ne donnent pas d’exemples précis, ni même
de liste indicative des données à caractère personnel appréhendées, mais se limitent
plutôt à établir un cadre général englobant la notion. On peut ainsi retenir que la
définition de la donnée à caractère personnel s’articule autour de deux points : la donnée
à caractère personnel est une information relative à une personne physique et cette
personne doit être identifiée ou identifiable. Il convient une nouvelle fois de replacer
l’adoption de la loi Informatique et Libertés dans un contexte où le fichage de données à
caractère personnel était principalement mené par des administrations publiques.
L’absence de précision dans la lettre des textes en vigueur est par conséquent
tout autant profitable que source de difficultés aussi bien pour l’internaute que pour les
professionnels de l’Internet. Si elle permet en effet de ne pas limiter le champ
d’application de cette protection à des exemples énumérés qui, du fait des évolutions
croissantes en matière de nouvelles technologies, seraient rapidement obsolètes, elle
entraîne néanmoins un certain manque de lisibilité.
1) Une donnée relative à une personne physique
Une donnée est donc considérée comme ayant un caractère personnel si elle est
relative à un individu, identifié ou identifiable. L’une des difficultés tient tout d’abord
dans la détermination du lien entre l’information et l’individu auquel elle se rattache. En
réalité, ce lien s’apprécie en fonction de l’utilisation qui sera faite de la donnée. A titre
d’exemple, en matière de contrats conclus en ligne, on peut considérer qu’un site
internet recueillant de manière indifférenciée les habitudes de paiement en ligne de ses
cocontractants dans un but d’améliorer ses services ne constituera pas une donnée à
caractère personnel tant le lien entre l’internaute et la donnée est distendu. En revanche,
13
si le responsable de ce site internet recueille ces mêmes informations dans le but
d’adapter des offres particulières à destination des internautes ayant auparavant déjà
réalisé un achat, le lien entre l’information et l’individu semble alors bien plus strict. Il
faut donc bien comprendre que l’étude de la nature même de la donnée est loin d’être
anecdotique puisque l’identification d’une donnée à caractère personnel conditionne
l’application d’un régime contraignant pour le professionnel notamment en termes
d’obligations et de formalités déclaratives.
2) Un individu identifié ou identifiable
L’article 2 de la loi Informatique et libertés précédemment cité, et tel que
modifié par la loi du 6 août 2004, pointe à lui seul une autre difficulté majeure : le
caractère identifiable d’un individu doit s’apprécier au regard des moyens dont dispose
la responsable du traitement pour réaliser l’identification. On comprend dès lors que
l’appréciation du caractère personnel d’une donnée est nécessairement casuistique
puisqu’en matière de contrats ou d'utilisation de services en ligne, objet de cette étude,
une donnée pourra s’avérer ou non personnelle en fonction des moyens dont dispose le
professionnel. L’identification et l’appréciation des moyens dont dispose le
professionnel de l’Internet pour identifier l’individu à travers la donnée collectée est
donc source d'insécurité pour l'internaute. Cet élément est loin d’être théorique puisque
le régime légal établi par la loi Informatique et libertés entraîne un certain nombre
d’obligations à la charge du professionnel, notamment en termes de déclarations
préalables au traitement des données auprès de la Commission nationale de
l’informatique et des libertés mais aussi en termes de respect des droits reconnus aux
internautes. Faute de précisions, les conditions générales d'utilisation présentent une
première lacune puisqu'elles ne permettent pas à l'internaute d'apprécier le risque que
ses données soient collectées et traitées par un professionnel.
14
§2. L’internaute comme titulaire de données personnelles
La donnée à caractère personnel a nécessairement un lien particulier avec son
titulaire pour être qualifiée comme telle, l'identification du titulaire de la donnée est dès
lors primordiale. Si l’internaute n’est pas expressément visé par les textes en vigueur
(A), il en est aujourd’hui le bénéficiaire principal (B).
A – Un bénéficiaire indirectement visé par le régime de protection
L’une des questions centrales est donc celle de l’identification de la personne
protégée face à l’utilisation de ses données à caractère personnel. Ici encore, l’enjeu est
majeur puisqu’une part de l’effectivité de tout cadre légal instituant une protection tient
à la définition des individus pouvant s’en prévaloir. Les textes en la matière, tant
d’origine interne qu’européenne, n’ont pas vocation à protéger uniquement l’internaute
face à l’utilisation de ses données à caractère personnel sur l’Internet, c’est la raison
pour laquelle on ne trouve pas de définition de l’individu appréhendé comme un
« internaute ».
La rédaction initiale de la loi Informatique et Libertés ne comportait pas de
précision particulière sur la personne protégée vis-à-vis du traitement de ses données à
personnelles. À la suite de la transposition de la directive de 1995 en droit français par
la loi du 6 août 2004, l’article 2 de la loi Informatique et Libertés a été complété par un
cinquième alinéa précisant que la « personne concernée par un traitement de données à
caractère personnel est celle à laquelle se rapportent les données qui font l’objet du
traitement ». L’internaute n’est donc pas précisément visé par les textes mais son
bénéfice ne doit pas laisser de doute. Le recours à une définition non limitative a pour
intérêt d’élargir le champ d’application de la loi et de lui assurer ainsi une pleine
efficacité malgré les évolutions techniques et technologiques. De plus, il semblait
primordial que les textes ne créent pas de distinctions qui auraient été préjudiciables à
15
leur efficacité. Ainsi, les utilisateurs26 de services en ligne sont susceptibles de
bénéficier de cette protection visant à encadrer le traitement de leurs données à caractère
personnel.
B – L’internaute comme principal bénéficiaire du régime de protection des
données à caractère personnel
1) Un bénéficiaire légitime
L’internaute n’était pas le sujet initialement appréhendé par les textes relatifs à la
protection des données à caractère personnel, notamment la loi Informatique et Libertés
de 1978. Cependant, nul doute qu’il en est aujourd’hui le bénéficiaire principal. Un
internaute peut se définir comme un individu naviguant sur l’Internet, il s’agit de
l’utilisateur de services proposés sur l’Internet. Ce dernier a en effet recours à de
nombreux services lors de ces différentes navigations : courriels, réseaux sociaux,
moteurs de recherche, achats en ligne, etc. La pluralité des services ainsi proposés et la
diversité de leur nature conduisent à retenir une définition large de la notion
d’internaute.
Sans même en avoir toujours conscience, l’internaute est constamment en
rapports avec d’autres individus, professionnels ou non, lors de ses différentes
navigations sur la toile. La captation des internautes est généralement le premier souci
de ces différents acteurs qui sont constamment en recherche d’effectivité et
d’anticipation des attentes des internautes. Dans ce contexte, les données à caractère
personnel représentent donc un enjeu considérable. Du fait de l’explosion de
l’utilisation des réseaux informatiques et mobiles, ainsi que du nombre d’internautes en
France27, le premier risque de fichage et d’utilisation abusive des informations sur les
individus pèse aujourd’hui sur les internautes.
26
Le terme « utilisateur » renvoie généralement à l’internaute qui a contracté avec le professionnel pour
bénéficier d’un service.
27
43,2 millions de français « connectés » en 2013 selon une étude Médiamétrie publiée le 20 février 2014
16
2) Une distinction nécessaire entre internautes et consommateurs
On observe parfois une confusion entre les notions d’internaute et de
consommateur, voire même désormais l’utilisation de plus en plus fréquente du terme
de « cyberconsommateur ». La loi Hamon28 du 17 mars 2014 a établi, en droit français,
une définition générale de la notion de consommateur comme étant « toute personne
physique qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale,
industrielle, artisanale ou libérale ». La jurisprudence et certains textes avaient déjà
retenu cette définition avant qu'elle ne soit consacrée par la loi Hamon. Les législations
en vigueur en matière de protection des données à caractère personnel ne se sont, pour
le moment, jamais limitées aux consommateurs. Tout individu personne physique,
professionnel, non-professionnel ou consommateur, bénéficie ainsi du régime légal qui
vise à encadrer la collecte et le traitement de ses données à caractère personnel. Cette
solution est satisfaisante puisque, nous le verrons, les internautes ne sont pas toujours
placés dans un rapport contractuel avec un professionnel et ce d’autant plus concernant
l’utilisation de leurs données à caractère personnel qu'ils ne maîtrisent pas le plus
souvent. Le responsable du traitement des données à caractère personnel n’est pas non
plus nécessairement un professionnel au sens légal du terme, ce peut très bien être un
webmaster29 d’un forum qui serait tenté de revendre par la suite certaines informations
collectées.
La notion de « cyberconsommateur » reflète quant à elle une réalité juridique et
économique du fait de l’accroissement des achats conclus en ligne. Pour autant, elle ne
saurait véritablement satisfaire aux problématiques relatives aux données à caractère
personnel au risque en effet d’être trop restrictive et refléter une certaine
méconnaissance face à la multiplicité des acteurs aujourd’hui présents sur la toile et des
services proposés : professionnels de la vente en ligne (Amazon, etc), blogueurs vivant
de leur activité, particuliers passionnés, etc.
28
Loi n°2014-344 du 17 mars 2014 relative à la consommation
Traduit en français par l’expression « administrateur de site », terme désignant la personne responsable
de la gestion d’un site Internet.
29
17
Section 2 – La profusion des données à caractère personnel sur l’Internet
Du fait des avancées techniques et technologiques, Internet est devenu le terreau
fertile des informations personnelles des individus : centres d’intérêt, habitudes
d’achats, opinions, réseaux de connaissances, etc. Si une grande partie de ces
informations sont directement issues de renseignements émis par l’internaute lors de ses
souscriptions à différents services (§1), une autre part, loin d’être négligeable, échappe
quasi-totalement à son contrôle (§2).
§1. Les données renseignées par l’internaute
L’une des difficultés majeures, déjà évoquée précédemment, tient en réalité en
l’absence de précisions par les textes quant au périmètre couvert par la définition de
« donnée à caractère personnel ». En pratique, il convient d’opérer une distinction entre
les données renseignées par l’internaute et celles issues de ses navigations30.
Contrairement à une idée répandue, les données personnelles des internautes ne
sont pas uniquement collectées par les professionnels à leur insu. Sans parfois en avoir
véritablement conscience, les internautes s’avèrent souvent eux-mêmes très peu
soucieux de ce qu'ils communiquent en ligne. C'est d'ailleurs l'une des critiques
régulièrement évoquées à l'encontre d'une trop grande protection des internautes quant à
l'utilisation de leurs données personnelles : puisque l'internaute ne se soucie guère de ce
qu'il met en ligne, n'est-il pas surprotégé ? Le comportement des internautes semble
cependant évoluer comme le révèle le baromètre sur la confiance des Français dans le
numérique31. Ainsi, 35% des internautes sondés déclaraient accepter de communiquer
des informations sur leur vie personnelle, contre 49% lors du premier baromètre publié
30
Les conditions générales d'utilisation du site internet Amazon sont par exemple assez explicites sur ce
sujet. Elles marquent en effet la distinction entre les informations « communiquées » par l'internaute et les
informations « collectées automatiquement ». Voir annexe.
31
Voir supra, http://www.acsel.asso.fr/2013/erosion-de-la-confiance-des-francais-dans-les-services-enligne/
18
en 2009. Preuve d’une véritable prise de conscience des dangers d’une divulgation
incontrôlée de leurs données, 47% des sondés disaient donner volontairement de fausses
informations en ligne.
Le constat reste, quoi qu'il en soit, inchangé : une très grande partie des données
à caractère personnel faisant l’objet d’un traitement par un professionnel sont
directement issues d’informations renseignées par l’internaute. Le professionnel a en
effet généralement recours à des formulaires dont les champs doivent être complétés par
l’internaute : nom, prénom, date de naissance, adresse e-mail, adresse physique, numéro
de téléphone portable. En pratique, ces formulaires doivent le plus souvent être
complétés afin de garantir l’inscription sur le site internet du professionnel. Ces
informations vont alors constituer la base du « compte personnel » ou « espace
personnel » avec lequel l'internaute sera amené à s'identifier lors de ses navigations sur
le site. Sur la quasi-totalité des sites internet, l’internaute est invité à remplir une
première partie de ces champs après avoir consulté les conditions générales d’utilisation
du site en question. Sur les sites Amazon, Facebook ou encore LinkedIn par exemple 32,
l’internaute est invité à consulter les conditions générales d’utilisation par le biais d’un
renvoi opéré par un ou plusieurs liens hypertextes. Ces conditions générales
d’utilisation viennent préciser les modalités de recueil et d’utilisation des données à
caractère personnel directement ou indirectement émises par l’internaute. Une fois
l'inscription de l'internaute effectuée, ce dernier est alors invité à compléter son profil et
ce notamment sur des critères parfois très précis qui peut varier en fonction du service
proposé par le professionnel.
Sur le réseau social LinkedIn par exemple, orienté dans l'élaboration de réseaux
professionnels, les informations qui doivent être renseignées concernent notamment les
expériences professionnelles de l'individu, ses diplômes obtenus, ses activités
personnelles ou encore sa situation professionnelle (en poste, en recherche). A l’opposé,
un site de vente en ligne, comme Amazon ou Cdiscount, invitera son utilisateur à
32
Annexe I – Exemples d'inscription
19
renseigner des informations sur le type de produits habituellement recherchés, sur ses
préférences en termes de moyens de paiement et de livraison, etc. On constate dès à
présent que le caractère personnel de la donnée peut être très fluctuant en fonction du
service utilisé par l’internaute.
§2. Les données de connexion et de navigation
Au-delà des données directement renseignées par l'internaute, le professionnel
est très souvent en mesure de collecter et de traiter un certain type de données qui
échappent au contrôle de l'internaute : les données de connexion et de navigation. Au fur
et à mesure des connexions qu'il effectue sur des sites internet, l’internaute laisse un
grand nombre de données qu’il n'a pourtant pas directement renseigné.
Les données de connexion et de navigation forment une catégorie de données
assez techniques. Ces données ne permettent pas en principe d'identifier directement
l'internaute, au sens de déterminer précisément son identité. Il n’empêche pourtant que
ces données représentent une mine d'informations exploitables et très importantes pour
un professionnel : habitudes et fréquences de connexion, types de terminaux utilisés
pour accéder au site internet, etc. Il convient également de rappeler que la loi
Informatique et libertés protège l'individu s'il peut être indirectement identifié. Le
recoupement de plusieurs de ces données laissées par l'internaute et qui n’ont pas, a
priori, de caractère personnel peuvent en réalité permettre au professionnel d’établir un
profil détaillé.
Classiquement, on retrouve parmi les données de connexion et de navigation
trois grandes familles : les cookies (A), l'adresse IP (B) et les données de géolocalisation
(C).
20
A – Les cookies
La CNIL définit le cookie comme une information déposée sur le disque dur de
l’internaute par le serveur du site visité33. A lui seul, le cookie contient en réalité
plusieurs données qui permettent au responsable du site internet visité de cerner les
habitudes de l’internaute qui navigue sur son site. Ils permettent également de faciliter
cette navigation en retenant par exemple le type d’informations les plus consultées par
ce l'internaute ou encore ses informations lui permettant de se connecter à son espace
personnel. Si le cookie a donc initialement pour but de faciliter la navigation de
l’internaute, il s’est très vite avéré être un formidable outil d’informations pour le
professionnel et peut, à ce titre, parfois s’avérer très intrusif pour l’internaute34.
Conscients des risques encourus en cas de dérive dans l’utilisation des cookies,
les autorités européennes et nationales sont intervenues en la matière, tout d’abord par
deux directives et un règlement du 24 novembre 2009, l’ensemble étant évoqué comme
le « Paquet Télécoms ». La directive du 12 juillet 200235 a ainsi été modifiée dans un
souci d’assurer une meilleure information et protection de l’internaute. Auparavant, les
internautes devaient être tenus informés qu’un cookie était installé sur leur ordinateur et
ces derniers devaient pouvoir s’y opposer. En pratique cependant, cette information était
transmise à l’internaute par le biais de clauses présentes dans les conditions générales
d’utilisation. Transposées en droit interne français par une ordonnance du 24 août
201136, l’article 32 II de la loi Informatique et libertés de 1978 a ainsi été modifié :
désormais l’utilisateur d’un service de communications électroniques doit être informé
de manière claire et complète de « la finalité de toute action tendant à accéder, par voie
33
http://www.cnil.fr/vos-droits/vos-traces/les-cookies/
Les conditions d’utilisation de Google telles que mises à jour le 21 mars 2014 précisent par exemple :
« Nos partenaires et nous-mêmes utilisons différentes technologies pour collecter et stocker des données
lorsque vous accédez à un service Google, par exemple en envoyant un ou plusieurs cookies ou
identifiants anonymes sur votre appareil. Nous utilisons également des cookies et des identifiants
anonymes lorsque vous interagissez avec les services que nous proposons à nos partenaires, comme
des services de publicité ou les fonctionnalités Google qui peuvent apparaître sur d'autres sites. »
35
Directive 2002/58/CE du Parlement Européen et du Conseil du 12 juillet 2002 concernant le traitement
des données à caractère personnel et la protection de la vie privée dans le secteur des communications
électroniques
36
Ordonnance n°2011-1012 du 24 août 2011 relative aux communications électroniques
34
21
de transmission électronique, à des informations déjà stockées dans son équipement
terminal de communications électroniques, ou à inscrire des informations dans cet
équipement » ainsi que des « moyens dont il dispose pour s’y opposer » et doit avoir
exprimé son accord après avoir reçu cette information.
Le Groupe de travail « Article 2937 » dans son avis du 22 juin 201038 précisait
ainsi que ces informations devaient être « aisément accessibles et extrêmement
visibles » et ne « pas être cachées dans des conditions générales et/ou dans des
déclarations sur la politique de confidentialité ». C’est donc, en principe, une mesure
d’opt-in qui a ainsi été mis en place, le consentement de l’internaute devant être
recueilli avant l’installation du cookie sur le terminal, au détriment d’un opt-out39 moins
protecteur. La CNIL donne également quelques exemples 40 de mécanismes pouvant être
utilisés pour recueillir le consentement de l’internaute : une bannière en haut d’une page
web, une zone de demande de consentement en surimpression sur la page, des cases à
cocher lors de l’inscription à un service en ligne. En tout état de cause il convient de
préciser que ces nouvelles mesures restent assez limitées puisqu'elles ne concernent en
effet pas tous les types de cookies, notamment ceux qui sont strictement nécessaires à la
fourniture du service. De plus, les paramètres par défaut des navigateurs internet ne
permettent pas toujours à l’internaute d’exprimer son consentement a priori comme la
loi l'impose pourtant.
37
Souvent désigné par son acronyme « G29 », le groupe de travail Article 29 est un organe consultatif
européen réunissant les « CNIL » européennes. Il tient son nom de l’article 29 de la directive 95/46/CE.
38
Avis 2/2010 sur la publicité comportementale en ligne
39
Mécanisme d’opt-out : le consentement de l'internaute est présumé, ce dernier doit donc manifester son
souhait que les cookies ne soient pas installés sur son terminal.
40
http://www.cnil.fr/vos-obligations/sites-web-cookies-et-autres-traceurs/que-dit-la-loi/
22
B – L'adresse IP
L'adresse « IP », pour « Internet Protocol », est le numéro attribué par le
fournisseur d'accès à Internet et sous lequel un ordinateur est relié à l’Internet. Cette
adresse contient une indication de la zone géographique de l'ordinateur. L'adresse IP
présente une double difficulté technique qui vient conditionner sa nature de donnée à
caractère personnel. L'adresse IP peut tout d'abord être fluctuante pour un même
terminal, elle peut être amenée à différer selon différents facteurs et notamment les
paramétrages opérés par le fournisseur d'accès à Internet. La deuxième difficulté tient au
fait que l'adresse IP permet, par principe, d'identifier le terminal et non la personne qui
l'utilise. Pour autant cette seconde difficulté doit être écartée et ce pour des raisons
précédemment évoquées : l'adresse IP ne permet certes pas en elle-même de déterminer
directement l'individu mais elle peut donner des informations qui, après recoupement
avec d'autres données comme les historiques de recherches, peuvent permettre
d'identifier indirectement l'individu. A ce titre l'adresse IP devrait donc être considérée
comme une véritable donnée à caractère personnel et donc être appréhendée par le
régime de protection établi par les textes en vigueur. Par ailleurs, le fournisseur d'accès
à Internet est toujours en mesure de relier l'adresse IP à l'identité de son client qui lui est
contractuellement lié, l'anonymat de l'internaute n'est donc jamais parfaitement assuré.
Cette incertitude entourant le caractère personnel de l'adresse IP n'est pas restée
théorique, les juridictions françaises ont eu à se prononcer sur la question et ce
notamment par deux arrêts de la Cour d'appel de Paris de 200741. Par ces arrêts, la Cour
d'appel a ainsi retenu que l'adresse IP « ne permet pas d'identifier le ou les personnes qui
ont utilisé l'ordinateur » et qu'elle ne constituait « en rien une donnée indirectement
nominative relative à la personne dans la mesure où elle ne se rapporte qu'à une
machine, et non à l'individu qui utilise l'ordinateur ». Ainsi étaient donc pointées les
difficultés précédemment évoquées. Il convient cependant ici de préciser que ces deux
arrêts de la Cour d'appel de Paris concernaient des échanges illégaux de fichiers
41
CA Paris, 27 avril 2007, 13ème chambre, section B et CA Paris, 15 mai 2007, 13ème chambre, section A
23
musicaux protégés par le droit d'auteur et que les traitements, non déclarés auprès de la
CNIL, avaient permis d'identifier les individus participants à ces échanges.
La CNIL n'a pas tardé à réagir face au danger que constituait la méconnaissance
de la véritable nature de l'adresse IP. C'est dans une communication du 2 août 2007 42
qu'elle a ainsi tenu a préciser que l'ensemble des autorités de protection des données des
États membres de l'Union européenne avait rappelé dans un avis du 27 juin 2007 que
« l'adresse IP attribuée à un internaute lors de ses communications constituait une
données à caractère personnel ». Aujourd'hui encore la question n'est pas véritablement
tranchée même si les décisions43
44
et opinions en faveur de la reconnaissance du statut
de donnée à caractère personnel se sont multipliées. Doit-on pour autant attendre une
consécration par les textes du caractère personnel de l'adresse IP ? Cela ne semble pas
nécessaire puisqu'en pratique la définition d'une donnée à caractère personnel telle que
posée par l'article 2 de la loi Informatique et libertés suffit à écarter toute incertitude :
l'adresse IP peut être une donnée à caractère personnel indirecte si les moyens du
professionnel lui permettent d'identifier l'internaute au-delà du terminal utilisé. Cette
simple possibilité devrait, selon le principe de précaution, suffire de facto à admettre la
pleine efficacité du régime de protection des données à caractère personnel pour les
adresses IP. Il est difficilement concevable en effet qu'un traitement d'une adresse IP ne
soit pas soumis au cadre légal restrictif selon l'idée que la personne ne pourrait pas être,
éventuellement, identifiée.
42
« L'adresse IP est une donnée à caractère personnel pour l'ensemble des CNIL européennes », 2 août
2007, www.cnil.fr
43
TGI Bobigny, 15ème chambre, 14 décembre 2006 : « L'adresse IP constitue une donnée à caractère
personnel en ce qu'elle permet d'identifier une personne en indiquant sans doute possible un ordinateur
précis ».
44
TGI Saint Brieuc, 6 septembre 2007 : « L'adresse IP est, au sens strict, l'identifiant d'une machine
lorsque celle-ci se connecte sur l'Internet et non d'une personne. Mais, au même titre qu'un numéro de
téléphone n'est, au sens strict, que celui d'une ligne déterminée mais pour laquelle un abonnement a été
souscrit par une personne déterminée, un numéro IP associé à un fournisseur d'accès correspond
nécessairement à la connexion d'un ordinateur pour lequel une personne déterminée a souscrit un
abonnement auprès de ce fournisseur d'accès. L'adresse IP de la connexion associée au fournisseur d'accès
constituent un ensemble de moyens permettant de connaître le nom de l'utilisateur. »
24
C – Les données de géolocalisation et les appareils connectés
La géolocalisation est un procédé permettant de positionner un objet ou une
personne sur une carte à l'aide des coordonnées géographiques transmises par un
terminal. Ces données peuvent intéresser un professionnel car elles sont notamment
révélatrices des habitudes d'utilisation d'un internaute. De plus, en recoupant ces
données avec d'autres informations récoltées, le professionnel peut être en mesure
d'affiner ses offres pour chaque type de clients, par exemple pour ceux se trouvant dans
sa zone de chalandise s'il possède des points de vente physiques. Si l'adresse IP est
considérée comme étant l'outil le plus « communicatif » de données de géolocalisation,
la multiplication des nouveaux appareils connectés, avec à leur tête les smartphones, fait
aujourd'hui peser bien plus de risques pour les individus. De plus en plus d'appareils
connectés sont commercialisés : montres, véhicules, pèse-personnes, imprimantes, etc.
Ces nouveaux biens qui tendent à s'implanter durablement dans notre quotidien font
naître toute une série d'interrogations concernant les données à caractère personnel : Ces
appareils créent-ils des données personnelles ? Les propriétaires de ces biens sont-ils
informés de la destination des données ainsi enregistrées ? Autant de questions sur
lesquelles le législateur sera nécessairement amené à se pencher.
25
Chapitre 2 – Un professionnel responsable de la collecte et du
traitement des données
Cibler les besoins de l’internaute, anticiper ses attentes, personnaliser l’offre qui
lui est proposée, sont autant de raisons pour lesquelles les professionnels de l’Internet
sont plus que jamais tentés de collecter et d’analyser les données personnelles des
internautes. Une fois identifié (section 1), le responsable du traitement doit respecter
certains principes qui encadrent l'utilisation qui sera faite des données personnelles des
internautes (section 2).
Section 1 – Le professionnel qualifié de responsable du traitement des données
Le régime de protection des données à caractère personnel de l’internaute ne se
limite pas, comme il a été précédemment évoqué, à un rapport entre un professionnel et
un consommateur. En pratique, l’internaute a très rarement conscience de l’intérêt que
représentent ses données pour un professionnel et encore moins de l’identité de la
personne qui traite ses données (§1). Ce responsable doit cependant respecter certains
principes qui encadrent la collecte et le traitement des données (§2).
§1. L'identification du professionnel responsable du traitement
De part la définition large retenue par la loi Informatique et libertés, le
professionnel titulaire d'un site internet peut être appréhendé comme un responsable du
traitement de données (A). Son identification par l'internaute est cependant loin d’être
aisée tant la transmission des données sur l’Internet est rapide et diffuse (B).
26
A – Le professionnel titulaire d'un site internet comme responsable du
traitement
Le responsable du traitement est défini par l’article 3 de la loi Informatique et
libertés comme « la personne, l’autorité publique, le service ou l’organisme qui
détermine ses finalités et moyens ». On constate ainsi tout d’abord que l’utilisation d’un
terme généraliste permet en réalité de recouvrir des situations variées : le traitement de
données à caractère personnel peut aussi être opéré par un professionnel, classiquement
défini comme celui qui propose à la vente des biens ou services, mais également par une
administration ou bien encore par une personne privée n’agissant pas dans le cadre
d’une activité professionnelle à proprement parlé.
La question de l'identification du responsable du traitement est directement liée à
celle du traitement en question. A ce titre, l'article 2 de la loi Informatique et libertés
définit le traitement comme « toute opération ou tout ensemble d'opérations portant sur
de telles données, quelque soit le procédé utilisé, et notamment la collecte,
l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification,
l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion
ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi
que le verrouillage, l'effacement ou la destruction ». Cette liste, énumérative mais non
limitative comme l'indique l'utilisation du terme « notamment », permet une nouvelle
fois d'élargir le champ d'application de la loi Informatique et libertés et ainsi la
protection dont doit bénéficier l'internaute face à l'utilisation de ses données à caractère
personnel. En pratique, la simple collecte, même au profit d'une autre personne,
constituera donc un traitement susceptible d'être appréhendé par les textes.
Au vu des éléments précédemment exposés, il apparaît que le responsable du
traitement des données à caractère personnel d'un internaute n'est pas toujours un
professionnel dans sa définition classique. Il convient de rappeler ici que l’explosion des
utilisations par des particuliers des divers services proposés sur la toile a eu pour
conséquences de multiplier les problématiques relatives aux traitements des données des
27
internautes délivrées de leur plein gré ou à leur insu. L'une des nombreuses particularité
de l'Internet tient à la multiplicité de ses acteurs comme il a été précédemment évoqué :
les rapports qu'entretiennent les internautes avec les différents acteurs de la toile ne
peuvent se résumer en des rapports entre consommateurs et professionnels. Un
particulier, blogueur ou responsable d'un forum par exemple, pourra ainsi être amené à
collecter des informations qu'il traitera dans le but d'améliorer de sa structure ou qu'il
monnaiera à des régies publicitaires afin d'obtenir une rémunération : il s'agit bien là de
traitements tels qu'appréhendés par la loi. Cependant, dans le cadre de notre étude où il
est question de l'efficacité des conditions générales d'utilisation d'un site internet dans la
protection de l'internaute, les responsables du traitement concernés sont principalement
les professionnels mettant en ligne des sites internet dans le cadre de leur activité.
B – Un responsable difficilement identifiable par l'internaute
Bien que le responsable du traitement soit légalement tenu de respecter certaines
obligations quant au traitement des données à caractère personnel qu'il utilise, l'une des
difficultés majeures pour l'internaute consiste tout d'abord à identifier ce responsable du
traitement. Les conditions générales d'utilisation devrait en principe pouvoir pallier à
cette difficulté car, comme le dispose l'article 32 de la loi Informatique et libertés, la
personne dont les données font l'objet d'un traitement doit être informée au préalable,
par le responsable du traitement, de « l'identité du responsable du traitement et, le cas
échéant, celle de son représentant »45. Si cette obligation d'information n'est déjà pas en
soit suffisante pour assurer une véritable protection de l'internaute, point sur lequel des
développements spécifiques sont consacrés dans cette étude, elle semble également
parfois très éloigné des véritables enjeux entourant les collectes et traitements des
données personnelles des internautes.
45
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 32-I-1°
28
§2. Les principes encadrant les traitements des données à caractère personnel de
l'internaute
Afin d'assurer une protection des individus face aux traitements de leurs données
à caractère personnel, les textes sont venus consacrer des principes qui visent à les
encadrer. La collecte des données doit ainsi être loyale et licite (A), sécurisée (B) et
soumise à une autorisation préalable (C).
A – Une collecte loyale et licite des données
Les données doivent être collectées et traitées de manière loyale et licite, telle est
la lettre de l'article 6 de la loi Informatique et libertés. Ce double principe de loyauté et
de licéité ne peut se résumer à cette seule expression, il faut en effet comprendre qu'elle
recouvre elle-même plusieurs obligations que le responsable du traitement se doit de
respecter.
1) Le respect du principe de proportionnalité
Les données doivent être collectées par le responsable du traitement pour des
finalités « déterminée, explicites et légitimes »46 et ne doivent pas être traitées
« ultérieurement de manière incompatible avec ces finalités ». Les textes précisent
également que les données doivent être « adéquates, pertinentes et non excessives au
regard des finalités pour lesquelles elles sont collectées et de leurs traitements
ultérieurs »47, il s'agit donc là d'un encadrement de la collecte de données de l'internaute
par le principe de proportionnalité. La collecte et le traitement des données à caractère
personnel d'un internaute sont donc en principe doublement limités par les finalités
poursuivies par le responsable du traitement. L'identification de la finalité du traitement
des données à caractère personnel mis en place par un professionnel est donc
primordiale. Cette finalité vient en effet à la fois encadrer la mise en place de ce
traitement et la nature des données qui en seront l'objet. En principe, les données
46
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 6-2°
Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 6-3°
47
29
recueillies par le professionnel ne devraient pas être utilisées pour d'autres finalités que
celles qui ont été initialement établies, la pratique est parfois toute autre.
2) La limitation de la durée de conservation des données
La conservation des données collectées par le responsable du traitement ne doit
pas en principe excéder une « durée nécessaire aux finalités pour lesquelles elles sont
collectées et traitées ». Cette limitation de la durée de conservation des données doit en
principe permettre d’éviter l’accumulation de données et la tentation de les utiliser pour
d’autres finalités. Le non-respect de cette limitation est sanctionné au titre de l’article
226-20 du Code pénal par cinq ans d’emprisonnement et 300.000€ d’amende.
D’un point de vue technique, on peut s’interroger sur la réalité de l’effacement
des données à la fin de la durée de conservation. En effet, la sauvegarde des données
récoltées par le responsable du traitement est possible et difficilement vérifiable. De
plus, ce responsable du traitement peut avoir recours à plusieurs serveurs répartis dans
différents lieux, la preuve que des données ont été effacées sur un serveur ne signifie
pas forcément qu’elles l’ont été sur d’autres terminaux ou supports.
B – L'obligation de sécurité à la charge du responsable du traitement
L'obligation de sécurité qui pèse sur le responsable du traitement vis à vis des
données collectées représente certainement une des contraintes les plus importantes
prévue par la loi Informatique et libertés. Au titre de son article 34, le responsable du
traitement est en effet tenu de prendre « toutes les précautions utiles pour préserver la
sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées,
ou que des tiers non autorités y aient accès ». Les attaques menées par des
cybercriminels ayant pour but de récolter les informations personnelles des internautes
se sont multipliées ces dernières années, notamment contre de grands groupes 48. Les
48
Orange reconnaissait ainsi le 6 mai 2014 avoir été victime d'une intrusion dans ses serveurs, près d'1,3
30
techniques de ces cybercriminels n'ont de cesse de s'améliorer : phishing49,
détournement de sites internet, attaques menées contre les serveurs de stockage, etc. La
mise en place de mécanismes visant à assurer une sécurité optimale est donc
primordiale. Au titre de l'article 226-16 du Code pénal, le responsable du traitement qui
n'a pas mis en œuvre de telles mesures encourt cinq ans d'emprisonnement et 300.000
euros d'amende.
Les moyens mis en œuvre par les professionnels pour sécuriser les informations
collectées sont donc toujours perfectibles. Une ordonnance de 2011 50 a renforcé
l'obligation de sécurité qui pèse sur le responsable du traitement, complétant ainsi la loi
Informatique et libertés d'un article 34 bis : le fournisseur de services de
communications électroniques accessibles au public doit désormais avertir sans délai la
CNIL et la personne concernée lorsqu'une violation est portée à ses données à caractère
personnel. Il s'agit donc là d'avertir les internautes qui pourront ainsi prendre les
mesures nécessaires en cas de vol de leurs données.
C – Une déclaration préalable obligatoire auprès de la Commission nationale
de l'informatique et des libertés
Si cette étude n'a pas pour objet de présenter l'ensemble des modalités que doit
mettre en œuvre un responsable de traitement de données à caractère personnel, il
convient toutefois de rappeler l'obligation principale qui pèse sur ce dernier et le rôle
primordial de la CNIL en la matière. Le responsable doit, préalablement à la mise en
place du traitement des données, procéder à une déclaration auprès de la CNIL en
indiquant notamment les finalités du traitement, le type de données à caractère
personnel faisant l'objet du traitement ainsi que la durée de conservation 51 de ces
millions de clients et prospects ont ainsi été concernés.
49
Le phishing, ou « hameçonnage » en français, est une technique utilisée par les cybercriminels qui
consiste à communiquer aux internautes de faux courriels en utilisant les signes distinctifs d'une société
dont ils sont clients ou d'une administration. Les clients sont alors amenés à se rendre sur de faux sites
internet où il leur sera demandé de communiquer des informations personnelles : données bancaires,
photocopie de documents officiels, etc.
50
Ordonnance n°2011-1012 du 24 août 2011 relative aux communications électroniques
51
L'article 6-5° de la loi Informatique et libertés dispose que la durée de conservation des données ne doit
pas excéder une durée « nécessaire aux finalités pour lesquelles elles sont collectées et traitées ».
31
données. Au titre de l'article 226-16 du Code pénal, il convient de préciser que le nonrespect par un professionnel de son obligation de déclaration préalable est puni de cinq
ans d'emprisonnement et de 300.000 euros d'amende.
Section 2 – L'utilisation des données à caractère personnel par un professionnel
§1. La marchandisation des données
La collecte de données à caractère personnel par un professionnel est très
certainement l’outil le plus performant mis à sa disposition pour établir un fichage
précis de ses clients actuels mais également potentiels. En théorie, le professionnel doit
au préalable de tout traitement de données, établir sa finalité, ce qui devrait donc limiter
les utilisations détournées des données issues d’une collecte. En pratique cependant, le
professionnel sera généralement tenté d’établir la finalité la plus large possible pour
collecter le plus de données. Au titre de l’article 226-21 du Code pénal, le responsable
du traitement qui détournerait les informations de leur finalité qui a été déclaré auprès
de la CNIL s’expose à une peine de cinq ans d’emprisonnement et 300.000€ d’amende.
Le détournement de finalité est un risque bien réel et son contrôle est loin d’être
aisé. Sauf à opérer des contrôles inopinés et de manière très régulière, rien ne permet en
effet de prouver que le responsable du traitement respecte bien les finalités déclarées, ni
même la durée de conservation limitée. En effet, une fois les données collectées, le
responsable du traitement peut être tenté de sauvegarder ces informations sur d’autres
supports afin d’en garder une trace. Les données des internautes représentent
aujourd’hui une véritable valeur marchande, de nombreux sites internet d’ailleurs à se
financer quasi uniquement grâce à elles52. Les professionnels intéressés par les
informations contenues dans les fiches clientèles ne manquent pas, avec en premier lieu
les annonceurs publicitaires.
52
On estime que 85% des revenus du site Facebook proviennent de la publicité. Si Facebook s’est
toujours défendu de vendre les données de ses utilisateurs à des tiers, elles constituent l’intérêt principal
pour les publicitaires.
32
§2. La prospection commerciale par voie électronique et le marketing ciblé
Un internaute est très souvent sollicité par un professionnel par le biais de
courriels, il n’est pas rare que ces sollicitations n’aient pas été consenties et on parle
alors de spam53. Pour endiguer cette pratique, la loi pour la confiance en l’économie
numérique du 22 juin 2004 a créé l’article 34-5 du Code des postes et des
communications électroniques. Cet article pose ainsi une interdiction de la prospection
directe au moyen notamment d’un courrier électronique utilisant les coordonnées d’une
personne physique qui « n’a pas exprimé son consentement préalable à recevoir des
prospections directes par ce moyen ». Ce consentement doit s’entendre comme « toute
manifestation de volonté libre, spécifique et informée par laquelle une personne accepte
que des données à caractère personnel soient utilisées à fin de prospection directe ».
Pour satisfaire à cette obligation de recueil du consentement de l’internaute, les
professionnels doivent avoir recours au mécanisme d’opt-in qui se manifeste le plus
souvent par une case à cocher lors de l’inscription au service ou de la conclusion d’un
contrat en ligne. En cochant cette case, l’internaute manifeste ainsi son consentement
exprès à recevoir les courriels du professionnel54.
La pratique du marketing ciblé n'a cessé de croître sur Internet, elle consiste à
proposer à l'internaute des produits ou publicités individualisés qui s'appuient le plus
souvent sur ses données de navigations, principalement les cookies55 et les données de
géolocalisation, ou sur l'historique de recherches saisies56. Concrètement, un internaute
qui a navigué sur le site internet d'une compagnie aérienne dans le but d'acheter un billet
verra apparaître par la suite, sur un autre site, une bannière publicitaire présentant les
tarifs pour ce même vol. Le marketing ciblé est souvent ressenti par les internautes
comme une intrusion dans leur vie privée et leur laisse le sentiment d'être épiés.
53
SPAM : courriel indésirable dont le contenu consiste le plus souvent à promouvoir un professionnel ou
ses produits.
54
Voir annexe, exemple du site internet de la SNCF
55
Voir supra
56
Amazon a ainsi développé une section « recommandations » qui présente aux utilisateurs les produits en
lien avec ceux issus de leurs dernières recherches et achats. Les utilisateurs peuvent choisir de désactiver
cette option dans les paramètres de leur compte.
33
Titre 2 – Les conditions générales d'utilisation comme
outil de protection de l'internaute
Les conditions générales d'utilisation d'un site internet constituent le socle sur
lequel s'établit la relation entre l'internaute et le professionnel (chapitre 1). Ces
conditions générales doivent préciser certaines mentions essentielles mais se trouvent
souvent insuffisantes au regard des droits reconnus à l'internaute quant à l'utilisation de
ses données (chapitre 2).
Chapitre 1 – Un encadrement des relations entre l’internaute et le
professionnel
Malgré leur forme dématérialisée et leur modalité d’acceptation spécifique, les
conditions générales constituent un véritable lien contractuel entre l’internaute et le
professionnel responsable de son site Internet, à condition cependant qu'elles soient
connues et acceptées.
Section 1 – Les modalités de conclusion d'un contrat en ligne par un internaute
Pour protéger l'internaute lorsqu'il conclut un contrat sur Internet, la législation a
nécessairement dû s'adapter en imposant au professionnel de faire figurer des mentions
obligatoires sur son site internet (1§) et en adaptant les règles de conclusion des contrats
au support numérique (§2).
1§. Les mentions obligatoires devant figurer sur un site internet
Pour prendre en compte les évolutions techniques et les enjeux relatifs à
l’utilisation de services et la conclusion de contrats en ligne, le Code civil français a été
modifié par la loi pour la confiance dans l'économie numérique du 21 juin 2004 57 ainsi
57
Loi n°2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN)
34
que l'ordonnance du 16 juin 200558. Ces textes ont introduit de nouvelles obligations à la
charge des professionnels responsables de site internet. L’article 6 de la loi LCEN du 21
juin 2004 impose ainsi aux professionnels de faire figurer certaines mentions 59 sur leur
site, notamment les noms, prénoms, domiciles et numéros de téléphone si le
professionnel est une personne physique ou la dénomination et le siège social s’il s’agit
d’une personne morale60. Les professionnels dont l’activité consiste à pratiquer le
commerce électronique sont tenus de faire figurer des informations complémentaires 61.
Ces informations figurent le plus souvent dans les conditions générales de vente ou
d’utilisation du site internet. Le professionnel qui propose ou non des ventes en ligne
s'expose à une peine d'un an d'emprisonnement et de 75.000€ d'amende pour les
personnes physiques, 375.000€ pour les personnes morales, s'il ne fait pas apparaître ces
mentions obligatoires.
§2. Une législation encadrant la conclusion de contrats en ligne
Les évolutions du monde numérique incitent constamment le législateur a adapté
les textes existants en matière de conclusion de contrats. Du fait de son support
dématérialisé, l'obligation d'information du professionnel s'est ainsi vue renforcée (A)
mais concerne essentiellement les professionnels de la vente en ligne et leurs conditions
générales de vente (B).
A – Une obligation d’information du professionnel
Les articles créés suite à l'adoption de la loi pour la confiance dans l'économie
numérique, notamment les 1369-1 et suivants du Code civil, ont eu pour but de mettre
en place un véritable cadre législatif spécifique aux contrats conclus en ligne d'encadrer
les différentes étapes de conclusion d'un contrat sous forme électronique : information
58
Ordonnance n°2005-674 du 16 juin 2005 relative à l’accomplissement de certaines formalités
contractuelles par voie électronique
59
http://vosdroits.service-public.fr/professionnels-entreprises/F31228.xhtml
60
Loi n°2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN), article 6-III
61
Loi n°2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN), article 19
35
des contractants, modalités de conclusion du contrat électronique et conditions de
forme. À ce titre, le nouvel article 1369-1 du Code civil reconnaît une véritable valeur
juridique aux conditions contractuelles communiquées par voie électronique par le
professionnel. Le professionnel est également tenu, au titre du droit commun, à une
obligation d'information envers son cocontractant consommateur. Cette obligation
d'information du professionnel a d'abord été développée par la jurisprudence avant
d'être consacrée par le législateur dans l'article L111-1 du Code de la consommation. La
lettre de cet article permet de comprendre l’inadaptation des textes aux nombreuses
situations où l'internaute est un simple utilisateur d'un service proposé par un site
internet. En effet, l'article L111-1 du Code de la consommation reste ancré dans un
schéma classique de conclusion d'un contrat : « Avant que le consommateur ne soit lié
par un contrat de vente de biens ou de fourniture de services, le professionnel
communique au consommateur, de manière lisible et compréhensible, les informations
suivantes [...] ».
La lecture de ces textes montre que ces dispositions ont pour objectif
d'appréhender la conclusion de contrats électroniques à titre onéreux. En réalité, il
s'agissait ici d'adapter les règles régissant la conclusion des contrats au regard du
support spécifique que constitue l'Internet. Si cette législation est donc satisfaisante pour
encadrer les rapports entre un professionnel et un internaute qui réalise des achats de
biens ou de services sur Internet, elle ne concerne cependant pas les situations, pourtant
nombreuses, où l'internaute est un simple l'utilisateur d'un service. C’est à ce titre que
les conditions générales d’utilisation doivent être dissociées des conditions générales de
vente, les premières ne s’inscrivant pas dans un rapport de vente.
B – Une distinction entre conditions générales de vente et conditions
générales d’utilisation
Les textes précédemment évoqués concernent donc les conditions générales de
vente qui doivent obligatoirement être communiquées et acceptées par l’internaute
lorsque celui-ci procède à un achat en ligne. Les conditions générales d’utilisation se
36
différencient des conditions générales de vente : les premières viennent encadrer la
conclusion d’un contrat de vente tandis que les secondes viennent préciser les modalités
de fonctionnement du service. Ce sont les conditions générales d’utilisation qui
permettent à l’éditeur d’un site internet de communiquer, notamment, les informations
relatives à la collecte de données à caractère personnel ou encore l’application des droits
d’auteur. Cet éditeur n’est cependant pas légalement contraint d’obtenir le consentement
de l’internaute aux conditions d’utilisation qu'il met en place, même s’il cherchera le
plus souvent à matérialiser leur acceptation.
Section 2 – Le recueil du consentement de l'internaute
Le professionnel va mettre en place des mécanismes lui permettant
communiquer et de recueil le consentement de l'internaute (§1). Une difficulté va
cependant émerger et concerne le cas où l'internaute n'a pas expressément consenti aux
conditions générales d'utilisation (§2).
§1. Les différents modes de communication et d'acceptation des conditions générales
d'utilisation
L’internaute doit en en principe prendre connaissance des conditions générales
d’utilisation du site sur lequel il s’inscrit, et notamment des développements qui sont
consacrés à l'utilisation de ses données personnelles. Les modalités de communication
et d'acceptation des conditions générales d'utilisation ne semblent pourtant pas être
suffisamment protectrices de l’internaute. On retrouve ainsi deux formes de
communication et d’acceptation des conditions générales d’utilisation : le browse-wrap
agreement (A) et le click-wrap agreement (B).
37
A – Le browse-wrap agreement
La technique du browse-wrap agreement correspond au recours, par le
professionnel, à des liens hypertextes renvoyant à d’autres pages internet et notamment
aux conditions générales d’utilisation. On retrouve ainsi le plus souvent ce type de liens
en bas de page, généralement en petits caractère et noyés parmi d’autres liens renvoyant
à d’autres informations comme une FAQ 62, certaines mentions légales ou encore des
précisions afin de contacter le professionnel responsable du site internet. Cette pratique
est très contestée puisque l'internaute n'est pas en mesure de prendre véritablement
connaissance des conditions générales d'utilisation qui trouvent à s'appliquer.
B – Le click-wrap agreement
A l’inverse de la technique du browse-wrap agreement, le click-wrap agreement
implique une action positive de la part de l’internaute. On retrouve cette forme
d’acceptation des conditions générales d’acceptation sur de nombreux sites internet
d’envergure internationale : Facebook, Amazon, LinkedIn à titre d’exemples. En
pratique, cette acceptation se manifeste de deux manières : soit une case à cocher
indiquant à l’internaute qu’il a pris connaissance des conditions générales d’utilisation
et les accepte, soit un lien sur lequel l’internaute doit cliquer pour poursuivre son
inscription et qui indique que ce dernier a pris connaissance et accepte les conditions
générales d’utilisation. Si cette technique semble plus satisfaisante pour la
communication des conditions générales d'utilisation, on constate en pratique que les
internautes ne prennent généralement pas le temps de les consulter.
62
FAQ pour « Frequently Asked Questions » (traduction française : Foire aux questions) : synthèse des
questions les plus récurrentes et des réponses associées.
38
§2. La portée juridique d'une simple visite d'un site Internet par un internaute
Il est en réalité très fréquent qu'un internaute ne soit jamais amené à
expressément consentir aux conditions générales lorsqu'il navigue sur un site internet.
Les exemples les plus probants en la matière sont très certainement les moteurs de
recherche avec à sa tête Google, leur utilisation n'est soumise à aucune acceptation
expresse par les internautes. Pourtant il s'agit bien d'un service auquel ont recours ces
internautes et, à ce titre, les conditions générales d'utilisation viennent régir la relation
entre le professionnel et l'utilisateur du service. À titre d'exemple, les conditions
générales d'utilisation du site internet Yahoo prévoient ainsi dans leur point n°2 intitulé
« Acceptation des conditions générales d'utilisation » : « En utilisant les Services
Yahoo, vous vous engagez à respecter les présentes Conditions Générales
d'utilisation »63.
Les tribunaux français ont déjà été saisis quant à la question de la valeur d'un
engagement d'un internaute résultant d'une simple visite d'un site internet. Dans une
affaire opposant la compagnie aérienne Ryan Air et l'agence de voyage en ligne Opodo,
la Cour d'appel de Paris avait ainsi considéré que « le simple fait de se rendre sur un site
internet afin de consulter celui-ci sans encore présenter une quelconque demande telle
qu'une commande ou une réservation ne saurait engager l'internaute dans des liens
contractuels avec la société propriétaire de ce site »64. Si cette décision semble aller
vers une plus grande protection de l'internaute, il convient de la replacer dans son
contexte particulier en ce qu'elle concernait un litige commercial opposant deux
entreprises. Dès lors, sa transposition au cadre particulier des données à caractère
personnel ne semble pas pour le moment avérée.
Doit-on dès lors considérer que la simple visite d'un site internet par un
internaute présume de son acceptation des conditions générales d'utilisation ? La
réponse reste pour le moment ouverte. Conférer une véritable valeur contractuelle à des
63
https://info.yahoo.com/legal/eu/yahoo/utos/fr-fr/
CA Paris, pôle 5, ch.2, 23 mars 2012, n°10/11168, Sté Ryanair Lld. c/ Sté Opodo
64
39
conditions générales qui n'ont pas été expressément acceptées par l'internaute représente
une situation très peu protectrice pour ce dernier. Si la législation en matière de données
à caractère personnel a prévu une obligation d'information à la charge du professionnel,
la question est de savoir si une simple communication par les conditions générales
d'utilisation est suffisante. lorsqu'on constate les habitudes des internautes qui sont peu
enclins à consulter les conditions générales qui trouvent à s'appliquer.
40
Chapitre 2 – Un rappel limité des droits de l’internaute par les conditions
générales d’utilisation
Afin de garantir une protection efficace de l'internaute quant au traitement de ses
données par les professionnels et pour pallier aux difficultés précédemment évoquées,
les textes lui ont reconnu plusieurs droits (section 1) qu'il doit être en mesure de mettre
en œuvre. Pour autant, la connaissance et les modalités de recours à ces droits sont très
souvent limitées et les conditions générales d'utilisation ne permettent pour le moment
pas de pallier à ces difficultés, preuve qu'il s'agit d'un outil perfectible (section 2).
Section 1 – Les droits reconnus aux internautes rarement mobilisés
L'internaute dispose de droits qu'il peut mobiliser a priori (§1) ou a posteriori
(§2) pour contrôler l'utilisation faite de ses données par un professionnel. Pourtant, faute
de précisions par les conditions générales d'utilisation, ces droits sont rarement
mobilisés.
§1. Les droits de l’internaute pour contrôler a priori l’utilisation de ses données
Les conditions générales d'utilisation permettent au professionnel de satisfaire à
son obligation d'information à l'égard de la personne concernée par le traitement de ses
données (A) mais s'avèrent limitées pour assurer une efficacité au droit d'opposition (B).
A – Un droit à l'information distinct du droit au consentement préalable
L'internaute doit en principe, au titre notamment de l'article 32 de la loi
Informatique et libertés, être informé par le responsable du traitement de plusieurs
éléments : l'identité du responsable du traitement, la finalité poursuivie par le traitement,
le caractère obligatoire ou facultatif des réponses, les conséquences éventuelles d'un
défaut de réponse, les destinataires des données, etc. En théorie, ce droit à l'information,
41
ou obligation d'information si l'on se place du côté du responsable du traitement des
données à caractère personnel, doit permettre à l'internaute d'être éclairé quant à
l'utilisation qui sera faite de ses données.
C'est à ce stade que les conditions générales d'utilisation sont particulièrement
importantes. C'est en effet elles qui, sur les sites internet sur lesquels navigue
l'internaute, contiennent les informations qui doivent lui être transmise. C'est pour cette
raison que la simple visite d'un site internet ne doit pas valoir acceptation des conditions
générales d'utilisation : l'internaute qui navigue sur un site internet, voir qui utilise le
service proposé, n'a généralement pas cherché à prendre connaissance de ces conditions
et n'est dès lors pas informé des modalités de traitement qui vont s'appliquer à ses
données personnelles.
Le professionnel responsable du traitement de données doit en principe recueillir
le consentement de la personne concernée, c'est l'article 7 de la loi Informatique et
libertés qui le prévoit. Cependant, contrairement au cas particulier des cookies qui a été
précédemment évoqué65, le recueil du consentement préalable de l'internaute peut être
écarté si le traitement de données à caractère personnel répond à l'une des cinq
conditions énoncées par l'article 7 de la loi Informatique et libertés. La plus critiquée de
ces conditions est la dernière66 : « La réalisation de l'intérêt légitime poursuivi par le
responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître
l'intérêt ou les droits et libertés fondamentaux de la personne concernée. » Les contours
de cette exception sont pour le moins très incertains, comment peut-on délimiter l'intérêt
légitime poursuivi par le responsable du traitement et où se trouve la limite à ne pas
franchir avec les droits et libertés de la personne ?
65
Voir supra
Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 7-5°
66
42
B – Un droit d'opposition
Comme son nom l'indique, le droit d'opposition consiste à permettre à
l'internaute de s'opposer au traitement de ses données à caractère personnel. L'article 38
de la loi Informatique et libertés dispose ainsi que « toute personne physique a le droit
de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la
concernant fassent l'objet d'un traitement ». L'efficacité de ce droit d'opposition doit
s'apprécier au regard du droit d'information précédemment évoqué : comment
l'internaute peut-il exercer son droit d'opposition s'il n'a pas au préalable été
correctement informé que ses données à caractère personnel faisaient l'objet d'une
collecte ? A ce titre, ce droit semble déjà être restreint. De plus, la collecte de données à
caractère personnel d'un internaute pouvant avoir lieu dès les premières secondes de sa
navigation sur un site internet, l'exercice du droit d'opposition intervenant préalablement
à cette collecte semble presque illusoire. Les conditions générales d'utilisation ne
permettent pas d'assurer une pleine efficacité au droit d'opposition. Il faudrait en effet
que l'internaute soit amené à consulter ces conditions dès le début de sa navigation sur
le site internet et que son droit d'opposition se manifeste par le refus de ces conditions.
Le droit d'opposition dont bénéficie en principe l'internaute se trouve également
doublement limité par les textes : l'internaute ne peut s'opposer au traitement de ses
données que s'il justifie de « motifs légitimes » et sa gratuité n'est assurée que dans le
cas où les données collectées sont utilisées à des « fins de prospection ». La CNIL
indique67, de manière assez paradoxale, que l'appréciation du caractère légitime du motif
invoqué relève du responsable du fichier. L'article 38 de la loi Informatique et libertés
ne donnant pas plus de précisions ni d'exemples sur ces motifs légitimes invocables, la
situation dans laquelle se trouve l'internaute ne semble pas lui être particulièrement
favorable.
67
http://www.cnil.fr/vos-droits/vos-droits/le-droit-dopposition/
43
§2. Des droits mobilisables a posteriori par l'internaute
Certainement pour pallier à une efficacité limitée des droits mobilisables a priori
par les internautes, les textes leur ont également reconnu des droits dont ils peuvent user
après que le professionnel ait collecté leurs informations : un droit d'accès (A) et un
droit de rectification (B).
A – Un droit d'accès
Le droit d’information de l’internaute quant à l’utilisation de ses données à
caractère personnel se trouve assez limité en pratique. Ce dernier bénéficie cependant
du droit d’accès au titre de l’article 39 de la loi Informatique et libertés qui dispose que :
« Toute personne physique justifiant de son identité a le droit d’interroger le
responsable du traitement de données à caractère personnel […] » et ce afin d’obtenir
certaines informations. L’internaute est donc en principe en mesure de demander au
professionnel responsable du traitement à ce que lui soient notamment communiqués
l’existence ou non qu’un traitement de ses données est réalisé 68 ainsi que les finalités de
ce traitement69. L’internaute peut également demander au professionnel à ce que lui
soient communiquée une copie des données à caractère personnel qui la concernent.
Au titre de l'article 31 de la loi Informatique et libertés, l'internaute peut
également demander à la CNIL que lui soit communiquée la liste des traitements
automatisés appliqués par une entreprise. La CNIL indique ainsi sur son site internet
qu'il est possible d'obtenir cette liste en leur faisant parvenir un « courrier ou un fax » et
que la personne intéressé doit indiquer « le numéro SIREN et la raison sociale du
déclarant pour faciliter la recherche »70.
68
Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 39-I-1°
Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 39-I-2°
70
http://www.cnil.fr/nuage/tag/formalites-declaratives/ « Comment obtenir la liste des fichiers déclarés à
la CNIL ? »
69
44
B – Un droit de rectification
L’internaute est en principe en mesure de demander au responsable du traitement
que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à
caractère personnel qui le concernent71. Le recours au droit de rectification est
cependant limité aux données inexactes, incomplètes, équivoques, périmées ou dont la
collecte, l’utilisation, la communication ou la conservation est interdite. Le responsable
du traitement doit alors justifier qu’il a bien procédé aux opérations exigées par
l’individu.
Une nouvelle fois, l’efficacité de ce droit est en pratique assez limitée pour
l’internaute. Si ce dernier peut exiger que le responsable d’un site internet qui a collecté
et traité ses données procède à leur rectification, encore faut-il qu’il ait été véritablement
averti que ses données avaient fait l’objet d’une telle collecte. De plus, si l’internaute a
bien été averti de collecte, il ne connaît généralement ni la nature exacte des données
collectées, ni l’utilisation qui peut en être faite. De ce fait, le droit de rectification ne
parait pas satisfaisant pour assurer une véritable protection de l’internaute.
Section 2 – Les conditions générales d’utilisation : un outil perfectible
Les conditions générales d'utilisation ne sont donc pour le moment pas l'outil le
plus adapté pour assurer à l'internaute une véritable connaissance des utilisations faites
de ses données et des droits dont il dispose. Deux pistes peuvent cependant être
envisagées dans le but d'améliorer cet outil avec tout d'abord un renforcement de
l'information des internautes (§1) et imposant aux responsables de traitement de
recueillir le consentement exprès des internautes (§2).
71
Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 40
45
§1. Un renforcement de l'information des internautes
Les conditions générales d'utilisation d'un site internet ont, certes, le mérite
d'exister et de constituer un support informatif pour l'utilisateur mais ne permettent
cependant pas de le protéger efficacement. La législation en matière de protection des
données à caractère personnel ne semble pas assez adaptée aux différents supports qui
ont émergé suite aux développement sans cesse croissant des nouvelles technologies et
des réseaux de communication. Plusieurs lacunes peuvent ainsi être pointées du doigt
avec en premier lieu l'identification complexe pour l'internaute des acteurs susceptibles
d'utiliser ses données. De plus, malgré le fait que le responsable du traitement soit tenu
d'une obligation d'information à l'égard de l'internaute, cette obligation devrait être
renforcée sur plusieurs points et notamment sur la détermination précise du responsable
ainsi que des finalités du traitement.
Les droits dont disposent les internautes 72 sont généralement méconnus. Le
manque de précisions des conditions générales d'utilisation n'est pas la seule explication
de ce phénomène, cette méconnaissance s'explique également par le fait que l'accès aux
conditions générales d'utilisation n'est pas toujours aisée car souvent noyée parmi divers
liens situés en bas de page. Il est également possible de pointer la difficulté que les
internautes ont pour mettre en œuvre leurs droits, notamment d'opposition, d'accès et de
rectification. Il conviendrait à ce titre d'imposer aux professionnels la mise en place de
structures adaptées (formulaires, adresse électronique spécifique, etc) pour que les
internautes puissent exercer ces droits.
§2. Vers une obligation de recueil du consentement de l'internaute
Face aux lacunes que présentent les conditions générales d'utilisation pour
assurer une information complète de l'internaute quant à l'utilisation de ses données, la
solution ne serait-elle pas de créer une obligation pour le responsable du traitement de
72
Voir supra
46
recueillir le consentement de l'internaute ? Comme il a été précisé précédemment,
l'article 7 de la loi Informatique et libertés fait aujourd'hui plutôt état d'exception que de
principe. La Commission européenne étudie actuellement une proposition de
règlement73 qui a pour but de renforcer le contrôle des citoyens sur leurs données
personnelles. Le considérant 25 de cette proposition de règlement, tel qu'amendé le 12
mars 2014, prévoit ainsi que « le consentement devrait être donné de manière explicite,
selon toute modalité appropriée permettant une manifestation de volonté libre,
spécifique et informée, consistant soit en une déclaration soit en un acte non équivoque
qui résulte du choix de la personne concernée, garantissant qu'elle consent bien en
toute connaissance de cause au traitement des données à caractère personnel. » Le
texte poursuit en précisant que cet acte non équivoque pourrait consister à « cocher une
case lorsqu'elle consulte un site internet ou en toute déclaration ou tout comportement
indiquant clairement dans ce contexte qu'elle accepte le traitement proposé de ses
données à caractère personnel. » A la lecture de ce considérant, il semble que l'objectif
soit donc de promouvoir le mécanisme d'opt-in pour recueillir le consentement de
l'internaute sur le traitement de ses données à caractère personnel.
Le fait que la manifestation de volonté doive être spécifique semble indiquer que
le responsable du traitement ne pourra obtenir le consentement de l'internaute en lui
présentant l'ensemble des conditions générales d'utilisation de son site internet. Le
consentement devra en effet porter précisément sur le traitement des données à caractère
personnel. Un dernier point très important est également soulevé par cette proposition
de règlement qui précise qu'il ne saurait y avoir « de consentement tacite, donné par la
simple utilisation d'un service, ou passif ». L'adoption de cette proposition en l'état
permettrait donc, peut-être, aux conditions générales d'utilisation d'acquérir une
véritable légitimité.
73
Proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes
physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données
(règlement général sur la protection des données)
47
Conclusion
L'Internet a souvent été décrit comme une zone de non-droit, un « nouvel
Eldorado » où des millions d'informations étaient accessibles en quelques clics et où
chacun jouissait d'une liberté parfaite. Il n'a pas fallu attendre longtemps avant que la
logique marchande s'implante sur ces nouvelles terres numériques. Aujourd'hui, la
donnée personnelle de l'internaute a une véritable valeur marchande, elle se collecte, se
traite et se monnaie. Les professionnels du numérique ont bien compris l'intérêt de
constituer de grandes bases de données sur leurs utilisateurs pour améliorer leurs
services, anticiper leurs besoins ou développer de nouveaux produits. Il existe
désormais un véritable cadre juridique qui vise à protéger l'internaute contre une
utilisation abusive de ses données. Si cette législation a le mérite d'exister, elle souffre
cependant de nombreuses lacunes et imprécisions que le législateur sera nécessairement
amené à combler dans l'avenir pour assurer une protection plus efficace pour
l'internaute. Parmi ces lacunes, le défaut d'information de l'internaute quant à la collecte
et le traitement de ses données paraît particulièrement flagrant et inquiétant. Les
conditions générales d'utilisation mises en place par un professionnel du numérique
représentent des outils d'information qui ont certes une légitimité, mais qui ne sont pas
exempts de toute remarque. La portée juridique de ces conditions peut ainsi être
améliorée pour permettre aux internautes de mieux contrôler leurs données personnelles
et d'user des droits qui leur sont légalement reconnus.
48
Bibliographie
Ouvrages
DESGENS-PASANAU, G. (2012). La protection des données à caractère personnel : La
loi « Informatique et libertés ». (LexisNexis)
DESGENS-PASANAU, G., NAFTALSKI, F,. REVOL, S. (2013). Informatique et
libertés : enjeux, risques, solutions et outils de gestion. (Lamy)
DREYER, E., HUET, J. (2011). Droit de la communication numérique. (L.G.D.J)
EYNARD, J. (2012). Les données personnelles : Quelle définition pour un régime de
protection efficace ?. (Michalon)
FÉRAL-SCHUHL, C. (2010). Cyberdroit : le droit à l'épreuve de l'Internet. (Dalloz)
FRAYSSINET, J. (2009). LEGICOM Revue thématique de droit de la communication,
n°42. La régulation des données personnelles. (Victoires Éditions)
HOLLANDE, A., LINANT de BELLEFONDS, X. (2008). Pratique du droit de
l'informatique et de l'Internet. (Éditions Delmas)
KAPLAN, D. (2010). Informatique, libertés, identités. (Éditions Fyp)
LACOUR, S. (2008). La sécurité de l'individu numérisé : Réflexions prospectives et
internationales. (L'Harmattan)
LAFFAIRE, ML. (2005). Protection des données à caractère personnel : tout sur la
nouvelle loi « Informatique et libertés ». (Editions d'Organisation)
MATTATIA, F. (2013). Traitements des données personnelles : Le guide juridique.
(EYROLLES)
Articles
LABYOD, BV. (2011). Protection des données personnelles dans un contexte de
publicité ciblée sur internet [en ligne]. http://www.villagejustice.com/articles/Protection-donnees-personnelles,10495.html
LAROUSSI, C. (2012). Opposabilité d'une clause attributive de compétence conclue en
ligne [en ligne]. http://www.village-justice.com/articles/Opposabilite-clauseattributive,12197.html
49
Rapports
Conseil national de la consommation sur la protection des données personnelles des
consommateurs. Rapport du 18 mai 2010.
Groupe de travail « Article 29 ». Avis 2/2010 sur la publicité comportementale en ligne,
juin 2010.
50
Table des matières
Sommaire...........................................................................................................................1
Introduction.......................................................................................................................3
Titre 1 – Le cadre juridique de protection de l’internaute en matière de données à caractère personnel.....................................................................................................................8
Chapitre 1 – L’identification de la donnée à caractère personnel..................................8
Section 1 – La donnée à caractère personnel : une nomenclature imprécise et évolutive..............................................................................................................................8
§1. Une protection non limitée aux données de l’internaute...............................9
A – Une définition commune des données à caractère personnel.................9
1) La distinction entre données nominatives et données à caractère
personnel..................................................................................................10
2) La vie privée et les données à caractère personnel.............................10
3) Le cas particulier des données sensibles.............................................11
B – Des imprécisions sources de difficultés...............................................13
1) Une donnée relative à une personne physique....................................13
2) Un individu identifié ou identifiable...................................................14
§2. L’internaute comme titulaire de données personnelles...............................15
A – Un bénéficiaire indirectement visé par le régime de protection............15
B – L’internaute comme principal bénéficiaire du régime de protection des
données à caractère personnel......................................................................16
1) Un bénéficiaire légitime......................................................................16
2) Une distinction nécessaire entre internautes et consommateurs..........17
Section 2 – La profusion des données à caractère personnel sur l’Internet ............18
§1. Les données renseignées par l’internaute....................................................18
§2. Les données de connexion et de navigation................................................20
A – Les cookies...........................................................................................21
B – L'adresse IP..........................................................................................23
C – Les données de géolocalisation et les appareils connectés..................25
Chapitre 2 – Un professionnel responsable de la collecte et du traitement des données
......................................................................................................................................26
Section 1 – Le professionnel qualifié de responsable du traitement des données...26
§1. L'identification du professionnel responsable du traitement.......................26
A – Le titulaire du site internet comme responsable du traitement..............27
B – Un responsable difficilement identifiable par l'internaute...................28
51
§2. Les principes encadrant les traitements des données à caractère personnel
de l'internaute....................................................................................................29
A – Une collecte loyale et licite des données..............................................29
1) Le respect du principe de proportionnalité..........................................29
2) La limitation de la durée de conservation des données.......................30
B – L'obligation de sécurité à la charge du responsable du traitement........30
C – Une déclaration préalable obligatoire auprès de la Commission
nationale de l'informatique et des libertés....................................................31
Section 2 – L'utilisation des données à caractère personnel par un professionnel..32
§1. La marchandisation des données.................................................................32
§2. La prospection commerciale par voie électronique et le marketing ciblé...33
Titre 2 – Les conditions générales d'utilisation comme outil de protection de l'internaute
.........................................................................................................................................34
Chapitre 1 – Un encadrement des relations entre l’internaute et le professionnel.......34
Section 1 – Les modalités de conclusion d'un contrat en ligne par un internaute....34
1§. Les mentions obligatoires devant figurer sur un site internet.....................34
§2. Une législation encadrant la conclusion de contrats en ligne......................35
A – Une obligation d’information du professionnel...................................35
B – Une distinction entre conditions générales de vente et conditions
générales d’utilisation..................................................................................36
Section 2 – Le recueil du consentement de l'internaute...........................................37
§1. Les différents modes de communication et d'acceptation des conditions
générales d'utilisation........................................................................................37
A – Le browse-wrap agreement..................................................................38
B – Le click-wrap agreement......................................................................38
§2. La portée juridique d'une simple visite d'un site Internet par un internaute39
Chapitre 2 – Un rappel limité des droits de l’internaute par les conditions générales
d’utilisation..................................................................................................................41
Section 1 – Les droits reconnus aux internautes rarement mobilisés.....................41
§1. Les droits de l’internaute pour contrôler a priori l’utilisation de ses données
...........................................................................................................................41
A – Un droit à l'information distinct du droit au consentement préalable...41
B – Un droit d'opposition............................................................................43
§2. Des droits mobilisables a posteriori par l'internaute...................................44
A – Un droit d'accès....................................................................................44
B – Un droit de rectification.......................................................................45
52
Section 2 – Les conditions générales d’utilisation : un outil perfectible.................45
§1. Un renforcement de l'information des internautes......................................46
§2. Vers une obligation de recueil du consentement de l'internaute.................46
Conclusion.......................................................................................................................48
Bibliographie...................................................................................................................49
53
ANNEXES
54
Exemples d'utilisation du mécanisme de click-wrap agreement
55
Exemples d'application de la législation en matière de cookies
56
Mécanisme d’opt-in pour la prospection commerciale par voie électronique
(www.voyages-sncf.com) :
57
Conditions générales d'utilisation d'Amazon mises à jour le 25 septembre 2012,
paragraphes consacrés à l'identification des données à caractère personnel faisant
l'objet d'un traitement
Les informations clients que nous collectons nous aident à personnaliser et à améliorer
continuellement votre expérience d'achat sur Amazon.fr. Nous utilisons ces informations
pour traiter les commandes, livrer les produits et services, traiter les paiements et
communiquer avec vous concernant vos commandes, les produits, les services et offres
promotionnelles, conserver et mettre à jour nos fichiers et ainsi vos comptes chez nous,
mettre à votre disposition du contenu tel que les listes d'envies et les commentaires
clients et recommander des produits et services susceptibles de vous intéresser. Nous
utilisons également ces informations pour améliorer nos boutiques et plates-formes,
prévenir ou détecter les fraudes ou abus sur notre site Internet et permettre à des parties
tierces de fournir des fonctions techniques, logistiques ou autres pour notre compte.
Vous trouverez ci-après les types d'information que nous collectons.

Informations que vous nous communiquez
Nous collectons et enregistrons toutes les informations que vous nous communiquez via
notre site Web ou par d'autres biais. Pour consulter quelques exemples des informations
que nous collectons, veuillez cliquer ici. Vous pouvez choisir de ne pas nous
communiquer certaines informations, cette décision risque néanmoins de vous priver de
nombreux services et fonctionnalités que nous vous proposons. Nous utilisons les
informations que vous nous communiquez, notamment afin de répondre à vos
demandes, de personnaliser vos futurs achats, d'améliorer nos boutiques et de
communiquer avec vous.

Informations collectées automatiquement
À chaque fois que vous entrez en contact avec nous, nous recevons et enregistrons
certains types d'informations. Comme de nombreux autres sites Internet, nous utilisons
notamment des "cookies" et obtenons certains types d'informations lorsque votre
navigateur accède au site Amazon.fr ou à des publicités et autres contenus affichés sur
d'autres sites Internet par Amazon.fr ou pour son compte. Pour consulter quelques
exemples des informations que nous recevons, cliquez ici.

Informations relatives aux appareils portables
Lorsque vous téléchargez ou utilisez des applications créées par Amazon ou ses filiales,
et le cas échéant, vous avez demandé ou consenti à des services de localisation, il se
peut que nous recevions des informations concernant votre localisation et votre appareil
portable, y compris un identifiant unique concernant votre appareil portable. Nous
pouvons utiliser ces informations pour vous fournir des services liés à la localisation,
tels que des résultats de recherche et autres contenus personnalisés. La plupart des
appareils portables vous permettent de désactiver les services de localisation. Pour plus
d'informations sur ce point, veuillez cliquer ici.
58

Informations relatives aux e-mails
Pour optimiser l'utilité et l'intérêt de nos e-mails, si votre ordinateur le permet, nous
recevons fréquemment une confirmation des e-mails envoyés par Amazon.fr que vous
avez ouverts. Nous comparons également notre liste clients aux listes reçues d'autres
sociétés afin d'éviter l'envoi d'e-mails inutiles à nos clients. Si vous ne souhaitez pas
recevoir d'e-mail de notre part, il vous suffit de nous le notifier dans Votre compte.

Informations issues d'autres sources
Nous pouvons également recevoir d'autres informations vous concernant de sources
différentes et les ajouter aux informations de votre compte. Pour consulter des exemples
d'informations que nous recevons de tiers, cliquez ici.
59