Le data solutionnisme, la protection des données, garante de la démocratie
En effet, chaque avancée, qu’elle soit technologique ou pas, a ses contreparties. L’émancipation d’une société de la donnée n’y échappe pas. A l’heure où nous produisons individuellement 1.7 Méga Octets de données chaque seconde; à l’heure où la donnée numérique sert à créer, valoriser et développer un nombre croissant de nouveaux services; à l’heure où la donnée est devenue centrale, sa protection est au cœur d’un débat socio-économique d’importance. Et ce, d’autant plus que le mouvement va plutôt de manière assez claire vers une augmentation drastique de la collecte notamment dans le cadre du deep learning de l’intelligence artificielle dont on sait que ce sont des dispositifs très gourmands en données.
En 2013 déjà, l’ancien Préposé fédéral à la protection des données et à la transparence, Hanspeter Thür, montait au créneau sur un sujet majeur: le Big Data. L’Argovien s’inquiétait alors de la croissance exponentielle des données privées qui circulent librement sur la Toile et de leur commercialisation. Il nous confiait sans détours qu’il était «temps de clarifier la situation. Beaucoup d’informations commerciales circulent sur Internet. On devrait pouvoir demander à chaque personne si elle accepte que ses données privées transitent sur le réseau, explique-t-il avant d’ajouter: Or la législation actuelle ne le permet pas. La loi sur la protection des données (LPD) n’est plus adaptée à la réalité.»
Sept ans plus tard, la donne n’a presque pas changé. En effet, la loi suisse sur la protection des données date de 1992. Le 15 septembre 2017, le Conseil fédéral approuvait sa révision pour l’adapter aux conditions sociales et technologiques actuelles et l’aligner avec les réglementations plus récentes et modernes en matière de protection des données. Mais c’est finalement en septembre 2020 que le Parlement suisse lève les dernières divergences et adopte la révision totale de la loi pour une entrée en vigueur vraisemblablement en 2022. Que prévoit-elle? Il s’agit tout d’abord «d’accroître la transparence et renforcer les droits des personnes concernées; promouvoir les mesures préventives et la responsabilité personnelle des sous-traitants de données ; renforcer le contrôle de la protection des données ; développer les dispositions pénales», dixit l’administration fédérale.
En somme, il s’agit pour la Suisse de combler au plus vite son retard face au voisin européen. Le 25 mai 2018, le règlement européen sur la protection des données (RGPD) entrait en vigueur dans l’Union européenne. Ce règlement vise ni plus ni moins à redonner le pouvoir aux citoyens de l’UE en matière de données personnelles. Dans les grandes lignes, le RGPD accorde davantage de droits aux particuliers, comme le droit à l’oubli et à la portabilité. En d’autres termes, chaque Européen peut exiger de connaître quelles entreprises collectent ses données, dans quel cadre et à quelles fins. Il pourra décider de transférer ses informations personnelles à la plateforme ou l’entreprise de son choix.
Prenons l’exemple du client d’Amazon qui veut désormais faire ses courses en ligne sur Zalando. Il peut transférer ses données de l’un à l’autre (portabilité) et exiger qu’Amazon efface toutes ses données (droit à l’oubli). Si le règlement donne le pouvoir aux citoyens, il contraint les entreprises à s’assurer du consentement éclairé et informé des individus quant à la collecte et au traitement de leurs données. Pour elles, difficile de s’y retrouver. En particulier les entreprises suisses. Car si le règlement est européen, il concerne aussi les PME comme les multinationales suisses. Mais lesquelles? Pour quels services? Dans quel secteur? Et qu’entend-on par données personnelles? Comment traduire ce changement législatif dans les faits? Quels sont les coûts d’une mise en conformité au règlement européen?
Les questions des entreprises suisses s’entrechoquent et participent au flou entourant la mise en conformité avec le RGPD. Pas de panique! Prenons les choses dans l’ordre. Les critères qui déterminent si votre entreprise est concernée sont «en théorie très simples, souligne Sylvain Métille, avocat lausannois spécialiste de la protection des données, du droit de l’informatique et des technologies. Est-ce que la société exploite un établissement physique dans l’Union européenne? Si ce n’est pas le cas, est-ce qu’elle propose des biens et des services aux Européens?» Ce deuxième critère est sujet à interprétation.
Rédaction – Mehdi Atmani – Flypaper Media _ Illustration – Jérôme Viguet – Cartoonbase SÀRL
