La loi de 2004 arrive avec six ans de retard

Sous couvert de transposer la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel, le Parlement adoptait, en 2004, une refonte de la loi de 1978 opérant un véritable renversement de perspectives.

• 50 ans d’histoire de la CNIL : de Safari au bourbier du Health Data Hub

Cette refonte de 2004 avait d’ailleurs fait bondir Louis Joinet (premier directeur de la CNIL) et Raymond Forni, ancien vice-président de la Commission de 1998 à 2000. La France aurait dû transposer cette directive depuis 1998 (elle avait donc six ans de retard) et elle fut le dernier pays de l’Union européenne à le faire.

L’État s’immunise contre les sanctions de la CNIL…

Entre autres choses, le projet de loi revenait, en effet, à retirer à la CNIL ses pouvoirs de sanction dès lors que c’est l’État qui serait pris en flagrant délit d’infraction, et libéralisait la création de fichiers portant sur l’ensemble de la population.

De plus, il donnait un délai courant jusqu'en 2010 (soit un délai de six ans) aux fichiers policiers et de renseignement (dont plusieurs étaient alors « hors la loi », et truffés d'erreurs) pour qu'ils se mettent en conformité, et s’avèrent « adéquats, pertinents, exacts, complets et, si nécessaire, mis à jour ». Un comble, pour une loi initialement créée pour encadrer le fichage policier.

Le projet retirait en outre à la CNIL le fait d’autoriser, ou non, « les traitements de données à caractère personnel mis en œuvre pour le compte de l’État et portant sur des données biométriques nécessaires à l’authentification et au contrôle de l’identité des personnes ». Il faisait de même pour les traitements tendant à « faciliter le développement de l’administration électronique » et ayant recours au numéro de sécurité sociale, anticipant donc la future carte d’identité biométrique, ainsi que le dossier médical partagé.

… et s'émancipe de son avis « conforme »

Le gouvernement avait également fait adopter un amendement retirant à la CNIL ses « pouvoirs de contrôle sur place et sur pièce » des « traitements intéressant la sûreté de l’État », en pratique les fichiers les plus sensibles de la DST et de la DGSE… « à la demande de services de renseignements étrangers » et au nom de la règle du tiers service, qui impose qu’un service de renseignement destinataire d’informations émanant d’un autre service de renseignement ne peut les retransmettre à un autre service (i.e. service tiers) qu’avec l’accord du service émetteur.

De plus, la loi de 2004 mettait fin aux « avis conformes » de la CNIL, qui constituait jusque-là son principal (contre-)pouvoir. En effet, et selon la loi de 1978, en cas d'avis défavorable de la Commission, le gouvernement ne pouvait passer outre que par un décret pris sur avis conforme du Conseil d'État. Sa seule possibilité de passer en force était de créer le traitement par une loi.

Or, et depuis 2004, le gouvernement n'est plus tenu de respecter l'avis de la CNIL, ni même d'en tenir compte. Sa seule obligation est uniquement de le publier au Journal Officiel.

La CNIL et le camouflet du fichier des « gens honnêtes »

Ce qui permit, par exemple, à Bernard Cazeneuve de décider, par simple décret – sans communiqué, dossier de presse ni débat parlementaire – de centraliser les empreintes digitales de l'ensemble des détenteurs d'une carte nationale d'identité dans le fichier des titres électroniques sécurisés (ou fichier TES). Une décision prise avant même de recevoir l'avis (négatif) de la CNIL (qui préconisait l'inscription des empreintes digitales dans la seule puce électronique, sans fichage centralisé), mais aussi avant même de le lui avoir demandé.

• • Au Journal officiel, un fichier biométrique de 60 millions de « gens honnêtes »

• • Fichier TES : de sa publication au Journal officiel à sa validation par le Conseil d’Etat

Et ce, quand bien même le Conseil constitutionnel avait pourtant, précédemment, censuré un projet similaire, porté par Claude Guéant et Nicolas Sarkozy. À l’époque, le motif était qu'il avait « porté au droit au respect de la vie privée une atteinte qui ne peut être regardée comme proportionnée au but poursuivi ». Une telle mesure était donc contraire à la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Un « fichier des gens honnêtes » justifié, au demeurant, par le fait d'économiser quelques « équivalents temps-plein » de postes de fonctionnaires. Ces derniers étaient en effet jusque-là payés pour la maintenance d'une « application obsolète » appelée FNG ou Fichier national de gestion, mise en service en 1987. La maintenance informatique (en langage « cobol ») était devenue délicate, et ne permettait pas de transmission numérisée, mais uniquement papier, entre les mairies et les services préfectoraux.

En résumé : la loi de 2004 permit au gouvernement de décider de centraliser dans un seul et même fichier les empreintes digitales de la quasi-totalité de la population, malgré un avis négatif de la CNIL, et une précédente censure du Conseil constitutionnel, au motif qu'un tel fichage serait « disproportionné », pour... économiser quelques postes de fonctionnaires.

Et ce, alors que la « proportionnalité » est pourtant l'un des cinq grands principes des règles de protection des données personnelles et donc de la loi « relative à l’informatique, aux fichiers et aux libertés ».

« Il faut sauver la loi informatique et libertés »

La refonte de la loi avait à l'époque fait bondir Louis Joinet et Raymond Forni, ancien vice-président de la CNIL et considéré comme le « père inspiré » de la loi Informatique et libertés.

Dans une tribune intitulée « Il faut sauver la loi informatique et libertés », ils déploraient que cette refonte de la loi de 1978 interviennent sur fonds d'inflation sécuritaire post-attentats du 11 septembre 2001 : « Ces deux dernières années ont été mises à profit pour créer le plus grand nombre de fichiers à des fins sécuritaires de notre histoire, le plus souvent sans se soucier des avis de la CNIL ».

Louis Joinet et Raymond Forni reconnaissaient, certes, que la loi de 1978 devait être dépoussiérée et allégée, de sorte de l'adapter à l'informatisation croissante de la société. Mais aussi au fait que la majeure partie des fichiers informatisés étaient depuis créés et maintenus par des entreprises privées, contrairement à ce qui était le cas en 1978.

« Une Commission désormais tenue dans l’ignorance »

Ils n'en déploraient pas moins une forme d'exonération des responsables de fichiers de toute formalité dès lors qu'ils aient désigné un « "correspondant à la protection des données" dont les attributions et les garanties d’indépendance sont entourées d’un flou juridique inquiétant ».

« À l’évidence, cette niche à exonérations risque d’être fort attractive pour de nombreuses entreprises face à une Commission désormais tenue dans l’ignorance de la création de milliers de fichiers », précisaient-ils, alors que cette refonte « favorisera les grands groupes auxquels est ainsi offerte la possibilité légale d’échapper au contrôle de la CNIL ».

En tout état de cause, ce renversement de perspectives de la CNIL fut suivi d'effets bien concrets en termes d'inflation sécuritaire : en 2011, le nombre de fichiers policiers avait ainsi « augmenté de 169 % depuis l'arrivée de Nicolas Sarkozy au ministère de l'Intérieur, en 2002 », puis son élection à la présidence de la République, en 2007. Et « plus de la moitié des 70 fichiers » alors recensés avaient été créés sous son autorité.

De plus, lorsque la loi d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI 2) fut adoptée, en 2011, c’était la 42e loi sécuritaire adoptée par le Parlement depuis 2002.

Les arguments d’Alex Türk, alors président de la CNIL

Ce projet de refonte de la loi de 1978 avait, par ailleurs, été porté par Alex Turk, alors sénateur divers droite, membre de la CNIL depuis 1992, dont il venait aussi et surtout de prendre la présidence. Il justifiait ce retournement de perspectives au motif que la CNIL était « débordée » et « envahie sous la paperasse », que l’avis conforme de l'autorité sur les fichiers de police n’avait « jamais utilisé en 20 ans », et qu'elle obtenait, en contrepartie, des pouvoirs d’enquête, d’investigation et de sanctions administratives et financières renforcés… mais ne visant que les seules entreprises privées.

Et ce, alors même qu'il estima pourtant que la « vague sécuritaire » apparue dans la foulée des attentats du 11 septembre 2001 « pourrait bien submerger » les autorités de protection de données personnelles : « ces politiques liées aux nouvelles exigences de sécurité publique » étaient susceptibles de constituer ce qu'il qualifia (en gras) de « choc de civilisation ».

« La difficulté majeure », poursuivait Alex Türk, vient de ce que, « aujourd’hui, l’informatique est devenue une informatique de "confort" indispensable dans tous les actes de la vie quotidienne (pour se contacter, se localiser, s’informer, se sécuriser…). Mais nos concitoyens se préoccupent-ils de la traçabilité et de la surveillance potentielle de leurs déplacements, de leurs comportements, de leurs relations ? (…) Pouvait-on prévoir que l’on pourrait être identifié à distance par son passeport ou encore que l’on pourrait rechercher un passé judiciaire sur internet "grâce" aux formidables capacités d’investigation dans la vie privée qu’offrent aujourd’hui les moteurs de recherche ? ».

Quoi qu’il en soit, les prises de position d'Alex Türk faisaient alors débat, au point d'être plusieurs fois nommé aux Big Brother Awards [ndla : dont je faisais partie], ces récompenses ironiques décernées aux personnalités ou entreprises remarquées pour leur mépris des libertés individuelles ou leur promotion du contrôle des citoyens, « notamment en 2003, 2004 et 2005 "pour l'ensemble de son œuvre", ainsi qu'en 2010 pour son usage de la novlangue », comme le rappelle Wikipédia.

La novlangue du sénateur et président de la CNIL

Alex Türk avait aussi voté pour la LOPPSI 2 qui, entre autres choses, visait à remplacer le mot « vidéosurveillance » par celui de « vidéoprotection », au motif que le premier serait « inapproprié » car le terme de « surveillance » pouvait « laisser penser à nos concitoyens, à tort, que ces systèmes pourraient porter atteinte à certains aspects de la vie privée ». Un vote que le président de la CNIL avait justifié en avançant que cela rendrait plus facile l’installation de systèmes de vidéosurveillance par les maires « de gauche ».

Reconnaissant qu'il s’agissait « avant tout de communication politique », il expliqua en effet que « les maires de gauche que je rencontre – j’en rencontre autant que de maires de droite – reconnaissent que le terme "vidéoprotection" passe mieux auprès de leurs administrés », et que « si cette expression permet d’aider les maires qui ont fait le choix, comme c’est leur droit, de recourir à un tel système, je ne vois pas pourquoi on les empêcherait de l’utiliser ».

Il avait également voté pour la loi HADOPI et ce, malgré l'avis défavorable de la CNIL qu'il présidait. Un vote qu'il justifia par le fait que la CNIL « n’émet pas d’avis favorable ou défavorable »… une conséquence directe de la refonte de la loi de 2004 qui, depuis, a en effet réduit la CNIL à ne plus pouvoir émettre que des avis « consultatifs » en réponse aux projets émanant de l'État.