WOW !! MUCH LOVE ! SO WORLD PEACE !
Fond bitcoin pour l'amélioration du site: 1memzGeKS7CB3ECNkzSn2qHwxU6NZoJ8o
  Dogecoin (tips/pourboires): DCLoo9Dd4qECqpMLurdgGnaoqbftj16Nvp


Home | Publier un mémoire | Une page au hasard

 > 

La protection des données personnelles face aux nouvelles exigences de sécurité

( Télécharger le fichier original )
par Sami Fedaoui
Université de Rouen - Master 2 Droit public approfondi 2008
  

Disponible en mode multipage

Bitcoin is a swarm of cyber hornets serving the goddess of wisdom, feeding on the fire of truth, exponentially growing ever smarter, faster, and stronger behind a wall of encrypted energy

UNIVERSITÉ DE ROUEN

Faculté de droit, des sciences économiques et de gestion.

Année académique 2007- 2008.

Master II Recherche, Mention droit public approfondi, spécialité Systèmes juridiques et protection des droits.

Mémoire

La protection des données personnelles face aux nouvelles exigences de sécurité.

Mémoire soutenu publiquement le 10 juin 2008

Jury de soutenance :

Teresa GARCÍA-BERRIO

Guillaume TUSSEAU

Sous la direction du professeur Teresa GARCÍA-BERRIO

Présenté par Sami FEDAOUI

Les opinions exprimées dans ce mémoire sont propres à leur auteur et n'engagent en rien la responsabilité de l'université de Rouen.

Introduction

Si l'État constitue le produit d'une évolution historique dans l'organisation de la communauté humaine, il est également la figure à même de produire un ordre social dont l'objet est de réguler ce qui précisement ne peut être régulé par la sphère privée. Pour reprendre la célèbre formule de Max Weber, l'Etat dispose et agit fondamentalement comme le détenteur du "monopole de la violence physique légitime"1(*), ce qui est sans doute la traduction d'un transfert à l'État par la communauté humaine d'une incertitude originelle relative à la sécurité.2(*) Certes l'État ne provient pas exclusivement de cette incertitude, il n'en demeure pas moins qu'il constitue une solution viable à celle-ci. On observe ainsi que les considérations sécuritaires sont dans une certaine mesure cosubstantielles à l'existence de l'État.3(*) Le problème pour l'État consiste néanmoins à "justifier son existence" non seulement par cette question anthropologique de la sécurité mais également par son retrait de la sphère privée, espace privilégié de liberté et d'intimité, du moins prétendue comme tel. Partant, il est intéressant de voir que c'est en matière de données à caractère personnel que l'on retrouve de manière très significative la tension entre ces deux tendances.

Les données personnelles sont en effet des informations qui permettent d'identifier individuellement, de manière directe ou indirecte, une personne physique.4(*) Il s'agit donc de données qui portent sur des éléments qui caractérisent une personne, et qui sont ainsi susceptibles d'affecter la vie privée de celle-ci.5(*) Dès lors, ces données étant ainsi considérées, on peut comprendre que l'exigence d'une certaine protection de ces données se heurte à une autre exigence, celle consistant à les mettre à la dispostion de l'État dans une certaine mesure, afin que les autorités publiques puissent assurer efficacement le maintien de la sécurité. Et même si ces considérations ne sont pas nécessairement inconciliables, il est clair que l'on est en présence de deux mouvements dont la vocation respective est bien différente puisque l'une privilégie l'intérêt de la personne tandis que l'autre tend à mettre cet intérêt "en suspens" au profit d'un intérêt sans doute plus général tenant à la sécurité. Cette notion de sécurité peut, en plus, être largement entendue et recouvrir la securité des individus comme celle de l'État lui-même. On voit bien qu'il est tout à fait possible de décliner sous plusieurs angles l'étude sur les données personnelles compte tenu de l'ampleur des enjeux, mais aussi de la relative incertitude autour des discours et des concepts concernant cette problématique.

Il convient donc de poser un cadre de réflexion qui permettrait d'étudier certains points essentiels de la protection des données à caractère personnel afin de percevoir le mouvement systèmique à l'oeuvre, et à cet égard on doit préciser que notre étude porte sur le "modèle français" en la matière. La protection des données personnelles en France a connu un développement important dans les années 70, la France ayant adopté le 6 janvier 1978 la loi relative à l'informatique, aux fichiers et aux libertés. Même si de nombreux aménagements ont été mis en oeuvre depuis lors, ce dispositif constitue le socle du système français de protection des données personnelles avec notamment la création de la Commission nationale de l'informatique et des libertés, autorité administrative indépendante chargée principalement de contrôler le respect des normes en matière de traitement des données à caractère personnel.

Tout d'abord, une des questions que l'on peut se poser est celle de savoir s'il existe ou non un fondement juridique de sécurité qui pourrait être invoqué dans le cadre du système normatif français des données personnelles, et surtout de savoir comment il peut être appréhendé. De ce point de vue, le concept de sécurité comme principe central de l'existence de l'État, tel qu'on l'a degagé, demeure une hypothèse d'ordre anthropologique et doit ici être tenue comme telle, autrement dit on ne peut conférer à cette idée une quelconque portée juridique qui appuierait valablement un ensemble de normes et d'énoncés. Dans la sphère juridique, on peut observer que la sécurité ne joue tout au plus que comme un paradigme de la "politique juridique" mais n'existe pas en tant que véritable principe juridique. Et il en est ainsi en ce qui concerne plus précisement les données personnelles, mais on ne peut pour autant exclure la notion de sécurité des dispositifs juridiques dans ce domaine, ne serait-ce qu'en raison de la dimension paradigmatique de celle-ci. Dans ce domaine, les normes mises en oeuvre prennent en compte ce souci de la sécurité, c'est ainsi que la puissance publique peut soutenir dans son activité de police que certaines circonstances d'éspèce justifiaient une atteinte à la protection des données personnelles. Ceci conformément à une tradition française qui admet que la préservation de l'ordre public peut tout à fait être un motif de restriction de certaines libertés publiques ou individuelles, d'ailleurs le texte même de certaines dispositions régissant le traitement des données personnelles s'inscrit dans ce sens.6(*)

Mais la sécurité ne doit pas être seulement comprise comme fondement des mécanismes juridiques car il s'agit aussi d'un facteur d'impulsion de ces mesures, et c'est sans doute sur ce point que l'exigence de sécurité déploie le plus activement ses effets. Ceci revient à dire que traiter la sécurité uniquement sous l'angle des normes juridiques positives conduirait à omettre un point important en ce que la sécurité est ouvertement invoquée dans le discours "métajuridique". Ainsi il est presque inutile de s'interroger ici sur la validité juridique du principe de sécurité, car il suffit de se placer sur un autre niveau d'analyse, certes plus politique, pour découvrir que la sécurité est un élément très présent et qui exerce une certaine influence sur le choix des règles positivées. C'est en ce sens que l'on peut parler du paradigme de la sécurité comme l'une des valeurs de références dans l'orientation de ces choix.

Par ailleurs, le cas des données personnelles n'est plus considéré comme un "univers clos" dans lequel le droit au respect de l'intimité de la vie privée empêche toute intrusion extérieure. Ceci s'explique avant tout parce qu'il devient de plus en plus difficile de tracer des frontières étanches et bien délimitées alors que le développement fulgurant des nouvelles technologies de l'information et de la communication, notamment de l'Internet, favorise au contraire l'échange d'informations de toute nature sur un réseau démultiplié. Ceci conduit à renforcer l'aspect "mercantile" de ces données même s'il n'est pas question en l'état actuel d'en faire de véritables marchandises. C'est d'ailleurs dans ce contexte qu'est intervenue la directive communautaire de 1995 dont l'intitulé est assez significatif puisqu'il mentionne la "libre circulation de ces données".7(*) D'autre part, on constate que les données personnelles constituent un instrument qui peut servir à la lutte contre la délinquance et la criminalité. En effet, l'analyse des risques potentiels pour la sécurité, l'instruction des enquêtes judiciaires, ou encore la coopération policière et judiciaire entre plusieurs États nécessitent que puissent être traités des fichiers contenant des informations, en l'espèce des données à caractère personnel. Certes, la directive précitée ne vise pas ce type de traitement des données, elle exclue le maintien de la sécurité de son champ d'application, mais on peut considérer que ses dispositions exercent une certaine influence sur cette question dans la mesure où elle s'inspire essentiellement de la Convention 108 du Conseil de l'Europe de 1981. Et la France a transposé cette directive dans son ordre interne, moins pour répondre à l'objectif fixé de garantir un niveau élevé de protection, que pour mettre en conformité ses normes s'agissant des flux transfrontaliers de ces données.

En ce qui concerne le niveau de protection des données, on peut dire que la France a mis en oeuvre un ensemble de normes plutôt rigoureuses sur ce plan, ou à tout le moins similaires à celles élaborées par les institutions communautaires.

C'est pourquoi on peut penser qu'il est plus intéressant de centrer nos interrogations sur la dynamique systémique en France en matière de traitement des données personnelles, et c'est en ce sens que l'on est conduit à examiner l'impact des exigences sécuritaires, en tenant compte de l'"environnement européen" au sens large. Cela implique que l'on s'appuie sur les outils pertinents que nous fournit l'appareil juridique français, que ce soit ou non en réponse aux instruments juridiques élaborés à l'échelle européenne. Plus précisement, ce sont principalement les textes adoptés depuis 1978 et aussi l'activité de la CNIL face à la pratique du traitement des données personnelles qui peuvent nous éclairer sur ces tendances. Et dans une moindre mesure la jurisprudence et la doctrine peuvent également apporter des précisions importantes.

Autrement dit, il ne s'agit pas d'analyser la protection des données personnelles en tant que telle mais de mettre en évidence le mouvement de l'ensemble de ce système. Dès lors, il est clair que notre étude n'a pas pour objet de recenser la multitude de règles et de principes régissant la matière mais au contraire de dégager les traits directeurs à la base de la construction de ce système. Et dans cette optique, il faut retenir que notre analyse ne peut prétendre à l'exhaustivité car, comme on l'a vu précedemment, la question des données personnelles a la particularité de transcender les catégories traditionnelles du droit, et dépasse même les frontières de l'univers juridique dans une certaine mesure. Pour ainsi dire, notre analyse de la protection des données personnelles dans l'ordre juridique français est en quelque sorte une analyse des logiques qui président au système.

Dès lors, au vu de ces différents éléments témoignant de l'importance du paradigme sécuritaire et de la perspective libérale imprimée au sein de l'espace européen, notamment par l'Union Européenne, il devient difficile pour la France d'isoler son système juridique en matière de données à caractère personnel. C'est ainsi que l'on peut se poser la question des interactions et de la réception de ces paramètres en France, et donc de l'évolution qu'induit ou non ces impacts. Dans quelle mesure la protection des données personnelles se trouve-t-elle affectée par les considérations sécuritaires ? Plus exactement, face à l'ensemble d'exigences relativement nouvelles, peut-on dire que la protection des données, socle fondateur du système depuis 1978, demeure le principe consolidé et effectivement garanti ?

On peut considérer que le système français en matière de données personnelles fait oeuvre d'une certaine évolution dans la mesure où il tend à adapter ses instruments juridiques à des exigences qui proviennent essentiellement de la Communauté européenne, et plus générallement d'une dynamique ambiante prônant un renouveau paradigmatique. Mais il n'en demeure pas moins qu'en France l'évolution à l'oeuvre ne peut être qualifiée de véritable révolution puisqu'elle n'implique pas de métamorphoses profondes des principes qui sous-tendent ce système. Dès lors, si on peut avancer que les différents ajustements mis en oeuvre dans le domaine des données personnelles traduisent une certaine évolution de ce système ( I ), on peut également considérer qu'il n'est pas pertinent d'y voir une révolution en ce sens que ces aménagements ne remettent pas en cause les fondements propres au système français en matière de données personnelles. ( II )

Partie I : Le processus d'ajustement du modèle français à des exigences exogènes.

Une analyse du système français en matière de données personnelles nous conduit à observer une certaine évolution, à défaut d'une mutation, qui se traduit par un mouvement d'ajustement des règles juridiques face à des exigences auxquelles le système accorde une importance accrue. De ce point de vue, on peut parler d'une réevaluation du régime juridique du traitement des données personnelles dont la France entend se prévaloir à l'aune des exigences émergentes, notamment de la Communauté européenne, point de référence majeur. Et à cet égard, ce sont essentiellement l'intégration communautaire et ses implications en termes de liberté de circulation ( A ), et le paradigme de la garantie de la sécurité par la maîtrise du risque et de l'incertain qui déplacent les lignes jusqu'alors établies en France dans ce domaine des données relatives aux personnes. ( B )

A. L'intégration communautaire comme vecteur de "libéralisation" des informations.

On peut observer que la France s'inscrit dans la dynamique de l'intégration communautaire, laquelle prend une dimension de plus en plus importante dans la production des normes juridiques. C'est dans ce cadre que la France est conduite à redéfinir certains aspects de son système de traitement des données à caractère personnel au regard des exigences de l'intégration, et notamment en ce qui concerne la suppression des entraves à leur libre circulation. Aussi peut-on constater dans ce domaine, un véritable impact du principe de libre circulation des données, avec une transposition ou une assimilation de ce principe à travers certaines déclinaisons.

Chapitre 1 : Les données personnelles face au principe de libre circulation.

Certes, les données personnelles constituent une catégorie particulière d'informations dans la mesure où elles sont susceptibles d'affecter la vie privée des individus, il n'en demeure pas moins qu'elles ont une portée informative et à ce titre doivent pouvoir être l'objet de transferts, notamment au sein de l'espace de la Communauté européenne dans lequel le principe de liberté de la circulation des personnes, des marchandises et des capitaux constitue un élément fondamental à la base de la construction européenne. L'intégration communautaire fonctionne en effet essentiellement autour de ce principe de libre circulation. Or, la Communauté européenne considère que la circulation des données personnelles est en quelque sorte "accessoire" à celle des personnes et des marchandises au sens où elle y est nécessairement attachée, et dès lors limiter ou resteindre le transfert des données c'est "par ricochet" limiter la libre circulation des personnes et des marchandises. On retrouve clairement ce type de raisonnement aux termes des dispositions de la directive communautaire de 1995, ce texte affirme explicitement que le marché intérieur a vocation à intensifier les relations économiques entre les différents opérateurs publics ou privés, c'est pourquoi il convient de garantir une fluidité suffisante dans la circulation de données à caractère personnel afin de ne pas créer une restriction des activités commerciales entre les États membres, certaines données étant des informations nécessaires à toute transaction d'ordre commercial.8(*) Cette directive a donc pour objet d'inciter à la simplification et à l'ouverture des appareils juridiques étatiques aux flux transfrontaliers des données personnelles, en particulier dans l'espace intracommunautaire.

Et on peut observer que ces considérations n'ont pas été sans incidences à l'égard de la France qui s'efforce de s'approprier ces exigences provenant de la logique intégrative de la Communauté européenne. En ce sens, un processus d'ajustement se met en oeuvre en France afin de retranscrire cet impératif de libéralisation des données dans son système. Sur ce point, on doit souligner un alignement du système français en matière de traitement des données personnelles sur le modèle communautaire tel que développé à travers la directive précitée. En effet, à l'instar de ce que prévoit ladite directive, on constate que la tendance générale qui se met en oeuvre en France suit un mouvement à double sens, à savoir la réduction des contraintes et des obligations liées au traitement des données personnelles et l'assurance de transparence au profit de la personne concernée face au traitement des données la concernant.9(*)

Tout d'abord, rappelons que l'évolution à l'oeuvre sous l'impulsion de la Communauté européenne et de la dynamique de l'intégration consiste à favoriser les flux transfrontaliers des données personnelles, c'est à dire appliquer aux informations, ou plus précisement aux données à caractère personnel le principe de liberté de circulation. Dans cette perspective, on peut observer que la France agit en faisant en sorte d'assimiler les mesures dégagées par la Communauté, ou du moins certaines mesures qu'elle entend s'approprier pour conférer à son règime juridique les ajustements nécessaires. L'illustration la plus significative de cette tendance est sans doute la suppression des entraves à la libre circulation des données car pour que les données puissent ainsi transiter, il convient avant tout d'exclure ou de limiter ce qui est de nature à bloquer ou à restreindre une telle liberté. Or, c'est précisement l'un des objets principaux de la directive qui vise notamment à encadrer l'obligation de notification préalable à l'autorité de contrôle. C'est dans ce sens que s'inscrit son article 18 qui ne prévoit aucunement l'absence d'obligation pesant sur le responsable du traitement des données, mais qui atténue cette obligation dans la mesure où elle peut tout à fait faire l'objet d'une simplification ou même d'une dérogtion dès que certaines conditions sont réunies. Il s'agit bien ici d'une norme qui, en raison de l'exigence de libre circulation à laquelle la Communauté entend aboutir, s'attache à développer un système de notification qui ne devienne pas un "mécanisme d'obstruction", et c'est pourquoi elle estime que la notification doit présenter un caractère obligtoire jusqu'à une certaine mesure. En substance la Communauté estime qu'il est important de réduire considérablement cette obligation de notification dès lors qu'il s'agit pour le responsable du traitement d'utiliser des données personnelles qui, en raison de leur nature et de l'objet du traitement dont il est question, ne sont pas susceptibles de porter une atteinte à l'un des droits ou libertés protégés par l'autorité de contrôle. Dans un tel cas de figure, il reviendrait simplement à ce responsable de traitement la charge de préciser « les finalités des traitements, les données ou catégories de données traitées, la ou les catégories de personnes concernées, les destinataires ou catégories de destinataires auxquels les données sont communiquées et la durée de conservation des données. »10(*) Il est clair que cette mesure s'inscrit dans la logique de l'intégration communautaire qui vise à favoriser le développement d'un marché unique au sein d'un espace sans frontières dans lequel la circulation des personnes, des biens et des services s'exerce librement dans la mesure du possible. Un allégement des formalités préalables au traitement de données personnelles est en effet un élément qui permet d'atténuer les obstacles qui s'opposent à la souplesse des flux transfrontaliers de telles données, lesquelles portent sur une personne envisagée ici comme un opérateur économique. Il est en effet difficile de concevoir la réalisation d'échanges commerciaux ou d'activités économiques sans un échange minimum de données à caractère personnel qui permettent aux agents économiques de s'identifier mutuellement.

C'est dans cette perspective bien particulière que la France fait montre d'une certaine évolution dans le régime juridique qu'elle confère au traitement des données personnelles. Et cette évolution consiste précisement en une appropriation des exigences ainsi développées par la dynamique de l'intégration communautaire, c'est à dire ici l'idée selon laquelle la libre circulation des données, exigence fondamentale pour l'achévement d'un marché unique, suppose un assouplissement du règime juridique du traitement des données personnelles. On observe que la France s'est attachée à transcrire cette exigence dans son système juridique et ce, notamment à travers l'intervention du législateur en 2004. La loi du 6 août 2004 traduit clairement l'ajustement du régime juridique du traitement des données personnelles à la tendance imprimée par la directive communautaire de 1995. Cet ajustement ayant notamment pour objet de remanier le mécanisme de contrôle préalable à l'exercice de traitements de données, en l'espèce des formalités requises auprès de la CNIL en vue de satisfaire une telle demande. C'est ainsi que l'article 24 de la loi du 6 janvier 1978, tel qu'il résulte de la nouvelle loi de 2004, intègre explicitement la mesure issue de l'article 18 de la directive précitée. Et elle ne manque pas de bien préciser qu'il s'agit des « catégories les plus courantes de traitements de données à caractère personnel, dont la mise en oeuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés », ce qui témoigne de sa tendance à l'assimilation de l'exigence communautaire puisqu'elle détermine clairement le principe selon lequel dans une telle hypothèse, une simplification de l'obligation de déclaration s'impose.11(*) C'est pourquoi elle enjoint la CNIL d'élaborer des normes visant à garantir cet assouplissement procédural, et dans ce cadre le législateur français reprend largement les différentes lignes directrices jugées incontournables aux termes de la directive, telles que les finalités du traitement ou encore la durée de conservation des données. Dans le prolongement de sa logique de réception des exigences communautaires, la France admet également que le traitement puisse faire l'objet d'une dispense d'obligation de déclaration, permettant au responsable dudit traitement de se soustraire à toute formalité préalable auprès de la CNIL.12(*) Il revient encore à la CNIL de fixer les types de traitements de données personnelles auxquels elle n'attache aucune obligation de déclaration.

Dans le même ordre d'idées, on peut voir que l'évolution qui se produit au sein du système français consiste aussi à favoriser la circulation des données à travers une exigence parallèle à l'assouplissement des conditions de traitement des données, il s'agit ici de l'idée selon laquelle l'interessé doit pouvoir exercer un certain encadrement de ce traitement. En effet, cette idée repose sur le postulat selon lequel les données personnelles ne peuvent circuler librement que dans la mesure où les intéressés disposent d'une certaine confiance sur l'utilisation de leurs données.13(*) Ce qui signifie que l'on permette aux individus concernés d'être tenus informés de tout élément utile à propos du traitement de données effectué ou envisagé, c'est une perspective plutôt subtile dans la mesure où elle permet de garantir une certaine transparence dans l'utilisation des données personnelles sans recourir à des mécanismes qui s'exercent a posteriori tel le droit d'accès ou le droit de rectification. La logique privilégiée est celle qui consiste à assurer les moyens de cette transparence, nécessaire à la libre circulation des données, antérieurement au traitement, en vue d'optimiser la confiance des individus impliqués par la circulation des données les concernant.

C'est dans cet esprit que la loi de 2004 a également eu pour objet d'apporter certains aménagements en la matière, et il s'avère que le raisonnement retenu par la France sur ce point suit largement les prescriptions de la directive. On peut donc encore y percevoir une assimilation des exigences qui se rattachent à l'intégration communautaire. Plus précisement on peut relever un point important qui est significatif de cette tendance, il s'agit du droit d'information à la disposition de la personne concernée par le traitement en cause. A cet égard, on peut observer que l'innovation essentielle tient en ce que le corpus juridique élargit substantiellement les informations liées au traitement des données que le responsable est tenu de communiquer à la personne concernée elle-même. Plus exactement, ce sont des informations qui doivent être portées à la connaissance de l'intéressé, qu'il s'agisse de données recueillies directement ou indirectement.

En effet, le système juridique français pose désormais une obligation bien plus détaillée par laquelle le responsable de tels traitements est tenu de délivrer des informations à la personne qui fait l'objet d'une collecte de données la concernant. Alors que cette obligation était déjà prévue dans le cadre des dispositions de la norme fondatrice de 197814(*), elle ne visait que certains points essentiels, pour ainsi dire nécessaires compte tenu de la fonction et de l'objet même de toute collecte de données personnelles. Ainsi par exemple concernant le caractère obligatoire ou facultatif des réponses sollicitées et des conséquences éventuelles pour la personne concernée dans l'hypothèse d'un défaut de réponse, ou encore s'agissant des destinataires des informations. Cette obligation est ainsi maintenue mais elle est surtout substantiellement élargie par l'introduction de nouvelles informations à la charge du responsable du traitement, et on peut relever à cet égard notamment l'obligation d'informer sur l'identité du responsable du traitement, et celle de renseigner sur la finalité poursuivie par le traitement en cause. Ce sont deux prescriptions prévues aux termes de l'article 32, qui consistent à apporter une information transparente au bénéfice de la personne concernée dans la mesure du possible, et à cet effet ces deux nouvelles prescriptions se dirigent sur des points qui peuvent tout à fait lever les obstacles à la communication des données, et par là même à leur circulation, car celle-ci suppose que la personne concernée puisse connaître les conditions d'utilisation des données recueillies. Il s'agit bien du principe auquel tend l'obligation d'indiquer l'identité du responsable dudit traitement ainsi que la finalité à laquelle est destinée ce traitement, les données personnelles recueillies sont ainsi communiquées avec la certitude de connaître des éléments aussi importants que le responsable des actes opérés effectivement au titre du traitement des données personnelles mais également la finalité recherchée par l'utilisation des données, c'est à dire l'objectif précis du traitement. La symétrie qui existe entre la loi française et la directive communautaire est très significative de l'ajustement opéré en France à l'aune des exigences issues du droit de l'intégration communautaire, le parallèle entre l'article 10 de la directive et l'article 32 precité de la loi française révèle l'importance accordée à l'existence d'une information claire et détaillée.

Par ailleurs, l'obligation mise à la charge du responsable du traitement se trouve accompagnée d'un droit à l'information que l'intéressé peut exercer à sa demande dès lors qu'il justifie de son identité. Cet aménagement mis en place confirme l'importance que le système français reconnaît à l'idée selon laquelle l'individu concerné doit pouvoir connaître une série d'éléments afin que la transparence du traitement soit aussi complète que possible. Cette évolution normative peut s'analyser comme la réception du modèle communautaire, en toute hypothèse sur ce point la France s'approprie cette exigence se rapportant à l'information de l'intéressé, laquelle doit être effective. L'article 39 prévoit en effet une liste d'éléments qui, indépendamment des indications devant être obligatoirement délivrées, peuvent être fournis à la demande de la personne concernée. Il s'agit essentiellement d'un mécanisme visant à compléter l'obligation qui lie le responsable du traitement par une faculté à la disposition de l'intéressé qui peut exercer lui-même son droit à l'information. Cette faculté à la disposition de l'intéressé s'exerce en vue d'obtenir certaines informations qui visent également à assurer une certaine transparence au traitement envisagé. Parmi celles-ci, on peut souligner des informations telles que les finalités du traitement, les catégories de données qui font l'objet du traitement, la communication sous une forme accessible des données la concernant ainsi que leur origine. Retenons que cette disposition admet un large champ en la matière et ce, dans l'optique de garantir l'effectivité de l'information dont doit bénéficier la personne concernée.

Dès lors, au vu de ces différents éléments on peut considérer que la libre circulation des données personnelles, exigence développée par la Communauté européenne, constitue bien un facteur d'évolution à l'égard des principes régissant le traitement des données personnelles dans le "modèle français", du moins dans une certaine mesure. Et une évolution de ce modèle est également à l'oeuvre en raison de l'impact du principe de disponibilité.

Chapitre 2 : Les données personnelles face au principe d'accessibilité.

La Communauté européenne crée une impulsion qui a un véritable impact sur le "modèle français" en matière de traitement des données personnelles dans la mesure où se manifeste une tendance à la "libéralisation" des données. Et cette tendance repose sur la dynamique classique de libre circulation au sens des flux transfrontaliers nécessaires à la réalisation du marché unique, mais aussi sur une dynamique qui ne relève pas de l'intégration communautaire proprement dite, il s'agit du principe de disponibilité dont la vocation est d'assurer la libre circulation des données dans l'optique de la coopération des services répressifs des États membres. Ceux-ci estiment en effet que la libre circulation des données personnelles doit pouvoir aussi se décliner dans le cadre des activités régaliennes liées à l'ordre public et à la répression pénale des infractions. Ce principe revêt une importance particulière, notamment en raison de la volonté d'établir un espace de coopération policière et judiciaire en matière pénale.15(*)

On peut se reporter aux articles 29 et 30 du Traité sur l'Union Européenne qui traduisent une tendance novatrice de la construction européenne. L'Union européenne ne se réduisant plus uniquement à sa dimension économique, elle aspire à constituer un véritable espace de "liberté, de sécurité et de justice" à travers la mise en oeuvre d'une coopération étroite entre les autorités de police et de justice des États membres afin de parvenir à cet objectif. Ainsi, s'agissant des données personnelles, l'exigence soulignée par les États membres est bien de permettre une disponibilité des informations, c'est à dire de les rendre accesibles entre les autorités compétentes dès lors que ces informations sont détenues par les services d'un autre État membre. C'est dans ce souci que le Conseil de l'Union européenne a émis la proposition de décision-cadre du 12 octobre 200516(*) qui met en évidence que la coopération des autorités de police et de justice appelle notamment une disponibilité des données à caractère personnel dans une certaine mesure. Ce texte bien moins contraignant que la directive communautaire de 1995 s'affirme, au demeurant, comme une référence importante permettant une certaine impulsion dans une matière régalienne, autrement dit très marquée par la logique de souveraineté propre à l'État.

Le principe majeur qui ressort de cette proposition à l'égard des données à caractère personnel consiste à favoriser leur accessibilité en vue de les rendre disponibles, de nature à comporter un effet utile au service de la coopération des autorités répressives des États membres. Et de ce point de vue, il est clairement envisagé d'assurer une suppression des obstacles à leur libre circulation dans une certaine mesure. Il s'agit ici de conjuguer plusieurs impératifs afin que la coopération en la matière soit suffisament efficace sans qu'elle ne porte préjudice à la protection nécessaire des données personnelles. Ces exigences sont ainsi posées au centre du dispositif de la proposition, notamment avec les considérants 5 et 6, ce qui ne manque pas de rappeller la logique que sous-tend la directive communautaire de 1995.

C'est pourquoi l'article 6 met en oeuvre une obligation suivant laquelle tout État membre est tenu de prendre les mesures nécessaires afin de fournir les informations dont les autorités compétentes équivalentes d'un autre État membre et Europol ont besoin pour l'accomplissement de leur activité légale. Cette obligation fait l'objet d'un certain encadrement car il est question de limiter ce mécanisme selon un principe de proportionnalité et de nécessité.17(*) Il s'agit d'assurer dans une certaine mesure la libre circulation des données à caractère personnel par leur accessibilité dès lors qu'elle est susceptible de permettre l'efficacité de la coopération pénale des États membres. Or, dans un domaine aussi important que la préservation de l'ordre public lato sensu au sein d'un espace dépassant le cadre national, on peut aisément comprendre que l'évolution du régime juridique français suppose de se reporter à des instruments internationaux auxquels elle est partie car la dimension de coopération est ici omniprésente. Autrement dit, des conventions internationales spécifiques permettent de souligner cette évolution à l'oeuvre en France, et c'est ici une singularité par rapport à l'évolution qu'implique l'intégration communautaire dans sa dimension économique, laquelle s'est opérée "directement" dans l'ordre interne à travers la transposition de la directive.

A cet égard, on peut souligner que la France a conclu le traité de Prüm en 200518(*), également appelé "Schengen plus", lequel vise à renforcer la coopération en la matière. Certes, ce traité n'est pas exclusivement consacré à la question des données à caractère personnel mais on peut observer qu'elle joue un rôle très important dans la coopération recherchée, comme en témoigne l'article 1er qui énonce le principe général selon lequel la coopération transfrontalière doit être mise en oeuvre notamment à l'appui de l'échange d'informations. Indépendamment des modalités de cette coopération, les États parties expriment ici la tendance à inscrire l'échange d'informations dans le cadre de leur coopération. Plus particulièrement, la convention vise en ses articles 3 à 5 à permettre l'accessibilité des profils ADN en vue d'une consultation et d'une comparaison automatisées. Il s'agit de données indexées ne comportant aucune information nominative qui permettrait d'identifier directement la personne concernée.19(*) Et sur la base de cet échange d'informations par comparaison des données indexées, la partie requérante peut solliciter la transmission d'autres données à caractère personnel dès lors qu'il s'avère que ladite comparaison est concordante. Ainsi sous réserve du respect de ces deux phases du processus de coopération, les États membres peuvent in fine accéder à des données à caractère personnel, même nominatives, afin d'accomplir leur mission de constatation et de répression des infractions pénales. C'est ici une évolution remarquable pour la France et pour les autres parties contractantes dans la mesure où le principe de souveraineté se trouve assorti d'une limitation suivant laquelle l'État membre est tenu de constituer une base automatisée de données indexées en référence à un fichier d'analyse ADN et ce, afin d'assurer pour les autres parties la faculté de la consulter au cas par cas dès lors que l'une d'entre elles aurait besoin de procéder à une comparaison. Et ce même mécanisme est prévu à l'égard des données dactyloscopiques, à savoir les empreintes digitales d'individus, les articles 8 à 10 du traité leur reconnaissant un régime largement similaire à celui des profils ADN.

Dès lors, il faut bien comprendre que la logique ainsi suivie par la France répond à une idée plutôt subtile à certains égards. L'idée directrice consiste à permettre l'efficacité d'une coopération en matière pénale, notamment à travers l'échange d'informations et ainsi des données à caractère personnel dans la mesure du possible, ce qui peut s'analyser comme l'objectif d'opérer la libre circulation des données car la transmission et la consultation de données équivaut dans une certaine mesure à une circulation. Or, c'est précisement en raison de cette finalité que la France ajuste son modèle en s'appropriant l'exigence de disponibilité dégagée notamment par le Conseil de l'Union dans sa proposition de décision-cadre précitée. En effet, la France a adopté le traité de Prüm dans cette optique puisque l'un des moyens de favoriser cette circulation des données est de s'appuyer sur un principe de disponibilité dans la mesure où l'obstacle principal réside dans la faculté discrétionnaire laissée à l'État quant à l'opportunité de délivrer les informations nécessaires. Il faut savoir que dans le domaine de la coopération policière au niveau européen, la France était soumise essentiellement au régime de la convention d'application de l'accord de Schengen de 1990 qui, en son article 39, ouvrait la possibilité de l'échange d'informations sans poser une véritable obligation à la charge de l'État requis.20(*) Désormais la France dispose des instruments juridiques pour développer sa coopération en la matière puisque l'adoption du traité de Prüm de 2005 confère à ce mécanisme un caractère obligatoire dès lors que certaines conditions sont observées.

Dans le même ordre d'idées, la circulation des données ainsi visée ne peut être assurée par le principe de disponibilité que si ce principe s'incorpore dans un cadre de transparence et de confiance légitime. Pour que cette obligation de rendre disponible certaines données personnelles aboutisse effectivement à leur libre circulation, il est essentiel que cette disponibilité ne soit pas de nature à porter préjudice à d'autres intérêts importants tels que la protection des droits fondamentaux et des libertés fondamentales des personnes dont les données sont traitées, ou le bon déroulement d'une enquête en cours. Il est évident que le principe de disponibilité trouve une limite certaine dans ces différentes hypothèses, dès lors il convient de laisser une marge de manoeuvre aux autorités compétentes requises, et c'est la raison pour laquelle l'article 14 de la proposition de décision-cadre énumère une liste de motifs qui peuvent justifier le refus de transmettre les informations demandées. On peut retenir plus particulièrement le motif de refus fondé sur des considérations liées à la protection des libertés et des droits fondamentaux des personnes concernées par les données traitées, il s'agit d'un principe qui rejoint tout à fait le sens imprimé par la Convention de 1981.21(*) Et de ce point de vue, le traité de Prüm s'inscrit dans ce sens car l'article 34 prévoit explicitement que « concernant le traitement de données à caractère personnel transmises [...] chaque Partie contractante garantit dans son droit national un niveau de protection des données correspondant au moins à celui résultant de la Convention du Conseil de l'Europe du 28 janvier 1981 », ce qui témoigne de l'ajustement du modèle français, en l'espèce par coopération avec les États parties, en vue de donner une pleine effectivité à ce principe de disponibilité.

Dans cette perspective, on peut affirmer qu'il existe une tendance à la libéralisation des données à caractère personnel dès lors que l'on comprend la libéralisation comme un mouvement visant à favoriser la libre circulation. Il est clair que cette exigence est étroitement liée à l'impulsion de la construction européenne et notamment à la dynamique de l'intégration communautaire dans le champ socio-économique, mais on voit ici que cette exigence a également émergé dans le domaine de la coopération pénale. Certes, à première vue l'évolution du régime juridique en matière de données personnelles dans le système français est sans doute moins perceptible en ce qui concerne l'accessibilité des données au service de la coopération pénale interétatique, mais il n'en demeure pas moins qu'une évolution y est à l'oeuvre. En effet, même si le cadre normatif posé par le texte de référence de 1978 n'a pas fait l'objet d'un aménagement de ce point vue, ce qui prima facie peut laisser penser à un statu quo, il faut bien comprende que les ajustements se sont opérés au delà de ce cadre classique puisque ce sont essentiellement des traités, auxquels la France a adhéré, qui traduisent cette évolution. D'ailleurs cette particularité peut s'expliquer par la spécificité de l'objet en cause c'est à dire le champ pénal sous l'angle de la coopération transfrontalière, une telle matière implique que la France ajuste son modèle avec des conventions internationales. Le traité de Prüm de 2005 en est l'illustration la plus significative dans la mesure où l'on retrouve l'exigence d'accessibilité des données personnelles au centre des mécanismes de coopération en ce domaine. Par ailleurs, l'évolution du modèle français se traduit également par l'ajustement à des exigences exogènes émergentes prônant la solution de l'identification face à l'incertitude et au risque.

B. Les données personnelles sous l'impact du paradigme de la maîtrise des risques par l'identification.

Si l'exigence de libéralisation des données personnelles, provenant notamment de la Communauté européenne, a eu un certain impact faisant évoluer des points importants du modèle juridique français en matière de données personnelles, un mouvement analogue s'opère en ce sens que le système juridique français intégre de plus en plus un paradigme relativement récent, à savoir l'identification garantie par les données personnelles servant d'outil en vue de maîtriser le risque, lequel peut prendre des formes tout à fait diverses. L'évolution consiste ici à assimiler dans le modèle français des exigences novatrices faisant des données personnelles, un instrument de contrôle a priori "privilegié".

Chapitre 1 : L'essor de la logique d'exception dans le cadre des données personnelles.

Avant tout, un constat préalable s'impose car comme le souligne à raison Sylvia Preuss-Laussinotte, on ne peut ignorer un basculement dans un univers de « précaution »22(*) dans lequel il ne s'agit plus tellement de suivre le mouvement des individus mais bien davantage d'anticiper les comportements "à risque". Et ceci n'est pas sans lien avec le développement d'un renouveau des concepts et des principes liés au maintien de la sécurité nationale et internationale, notamment depuis les attentats terroristes du 11 septembre 2001, événement ayant sans doute agi comme un "catalyseur" à cet effet. Ces éléments ne sont pas sans importance du point de vue de l'analyse juridique car à certains égards le droit s'inscrit dans une représentation axiologique déterminée qu'il convient de prendre en compte.23(*) Ainsi il ressort manifestement une tendance visant à contrôler le risque par la certitude de l'identification et ce, notamment sous l'impulsion du système juridique des États-Unis mais également avec les avatars de ce modèle au sein de l'Union européenne. Or, il apparaît que ces modèles ont institué une logique d'exception par laquelle une asymétrie fondamentale est opérée entre un régime des données personnelles de droit commun et un régime "sui generis" spécifiquement destiné à une ou plusieurs catégories d'individus ou groupes d'individus, à des fins également spécifiques. On peut souligner que le droit imprime une telle logique essentiellement dans le domaine des fichiers de sécurité.

Et la France tend progressivement à s'inscrire dans cette évolution puisque son système juridique s'approprie de plus en plus la logique d'exception. A ce propos, on doit préciser qu'il ne faut pas entendre la logique de l'exception ainsi évoquée au sens des circonstances exceptionnelles telles qu'elles existent par exemple dans le système juridique français. Cette hypothèse qui est en règle générale prévue dans la Constitution, n'a pas tout à fait la même signification que la logique d'exception que l'on vise à faire ressortir dans notre étude. En effet, il faut comprendre qu'à la différence de l'hypothèse de circonstances exceptionnelles, la logique d'exception ne procéde pas à la suspension du droit commun, autrement dit elle n'affecte pas son applicabilité, elle vise substantiellement à déroger au droit commun applicable par le changement, l'adjonction ou le retrait d'éléments. C'est pourquoi l'on retient ici une notion de "logique d'exception" qui s'inspire certes de la situation d'état d'exception24(*) dans la mesure où elle aboutit à contourner la mise en oeuvre du droit commun, mais elle ne procède pas de la même manière. A cet égard, on peut relever plusieurs éléments qui témoignent d'une évolution progressive du droit français vers la logique exceptionnaliste en matière de données à caractère personnel.

A cet égard, on peut observer que la France connaît de plus en plus un certain "morcellement" dans le régime juridique lié à la protection des données personnelles car en fonction de la l'objet ou la finalité du traitement ou encore en fonction du type d'individus visé, le droit peut introduire certaines dérogations. Si l'on se place du point de vue de la lutte anti-terrorisme, cette logique est tout à fait perceptible, et l'ajustement du système français face aux exigences définies dans le domaine des flux de passagers aériens, plus connu sous l'expression Passenger Name Record ou PNR désignant les fichiers crées par les compagnies aériennes de transport lors des réservations de voyage des passagers, montre bien l'essor de cette logique en France. En effet, la France a adopté un dispositif législatif en 2006 visant à adapter son système juridique en vue du maintien de la sécurité dans l'optique notamment de la lutte contre le terrorisme.25(*) Et sur ce plan, on peut observer que le législateur français s'est largement inspiré de la directive 2004/82/CE du Conseil du 29 avril 2004 concernant l'obligation pour les transporteurs de communiquer les données relatives aux passagers, et dans une moindre mesure de l'Accord de mai 2004 conclu entre l'Union européenne et les États-Unis. On retrouve cette logique de l'exception dans la mesure où les données personnelles peuvent faire l'objet d'un traitement dès lors que la personne visée se trouve dans le cas de figure d'un passager aérien, et ce traitement peut être exercé dans des conditions qui dérogent au régime commun de protection. Ainsi, par exemple la licéité du traitement telle que régie par la loi de 1978 se voit accompagnée des exceptions prévues par les exigences relevant des motifs de lutte contre le terrorisme. Ce n'est pas tellement eu égard au contenu des données traitées que l'exception déploie ses effets en France car les données sensibles demeurent l'objet d'une protection fondamentale, ce sont essentiellement la proportionnalité et la durée de l'utilisation qui témoignent de l'ajustement français à la logique exceptionnaliste car désormais l'obligation de communiquer ces données aux autorités du maintien de la sécurité compétents est systématique, dénué de tout principe de nécessité effective, s'agissant des dossiers de passagers aériens, et cette communication des données permet une utilisation largement étendue du point de vue de la durée légale du traitement. Le principe d'adéquation et de licéité du traitement des données prévaut au titre de l'article 6 de la loi de 1978, ce qui signifie que la pertinence et l'opportunité du recours au traitement ainsi que sa durée ne doivent pas excéder ce qui est nécessaire et proportionné au regard de la finalité du traitement envisagé, or cette licéité conditionnée par rapport à la situation effectivement de nature à justifier le traitement en cause est complétement ignorée dans le cadre de ces données relatives notamment au cas des passagers aériens dont les données doivent être automatiquement délivrées et ce, pour une période d'utilisation in abstracto fixé à cinq ans.26(*) C'est bien l'illustration d'une logique d'exception que le système juridique français intégre progressivement pour des hypothèses déterminées, en l'espèce au cas des passagers aériens sur le fondement des exigences de sécurité liées au terrorisme.

Par ailleurs, parallèlement à ces exigences fondées sur la particularité de la question du terrorisme, on retrouve cette logique à l'oeuvre dans le cadre de certains fichiers relatifs aux infractions pénales, et de ce point de vue c'est notamment la tendance imprimée par l'espace Schengen qui affecte le régime français. L'espace Schengen repose notamment sur un vaste système d'informations qui favorise la coordination des autorités et services qui traitent des informations et des données à caractère personnel, notamment des agents des autorités policières et judiciaires. Si l'efficacité est au centre des objectifs poursuivis par ce système, il faut admettre qu'il repose moins sur une structure d'ensemble ordonnée que sur la démultiplication des systèmes d'informations avec un véritable « morcellement des protections » selon la formule de Sylvia Preuss-Laussinotte.27(*) La logique de l'exception s'affirme en France également dans ce domaine, bien qu'encore de façon progressive, on constate en effet une émergence du principe speciala generalibus derogant à travers la constitution de fichiers de données personnelles qui, en raison de leur finalité très spécifique principalement destinée à l'identification des personnes considérées potentiellement dangereuses, présentent des points de dérogations vis-à-vis du régime juridique ordinaire. On peut relever un type de traitement dans lequel on retrouve ce caractère exceptionnel de façon assez significative, il s'agit des données traitées dans le cadre du Système de Traitement des Infractions Constatées, connu comme le STIC.28(*) La France a consacré la mise en oeuvre de ce système de fichage en vue de traiter des données à caractère personnel, ce système fonctionne tel un "mégafichier" de police servant à identifier des individus en fonction d'indices ou d'éléments graves et concordants attestant leur participation à la commission de certaines catégories d'infractions dont l'énumération est fixée par décret. Il apparaît qu'en 2003 la loi pour la sécurité intérieure a entendu s'adapter à l'essor de ce paradigme de l'identification comme garantie de la sécurité, et c'est dans cette optique que s'est greffée la logique d'exception car si l'on analyse les innovations issues de cette norme, on peut observer que la particularité présente consiste à contourner certaines conditions de licéité en retenant un principe plus large quant à la faculté de recueillir et de traiter de tels données. En effet, concernant les éléments qui peuvent justifier à bon droit ce type de traitement, ladite loi substitue la condition selon laquelle ces éléments doivent attester d'une participation à la commission d'une de ces infractions par une condition qui n'exige qu'une participation "rendue vraisemblable".29(*) De plus, cette même disposition prévoit que le traitement en cause peut viser des données concernant ces personnes sans limitation d'âge. Ainsi, même si cela apparaît moins clairement que pour les données PNR, on retrouve cette logique de l'exception avec la particularité du STIC qui est un type de traitement répondant à une exigence d'identification autour de considérations sécuritaires, et dont la licéité du recours s'appuie sur une dérogation aux conditions restrictives communes de nécessité et de proportionnalité. La finalité de ce type de traitement étant de recueillir des données personnelles afin de permettre la constatation des infractions, le rassemblement des preuves de celles-ci, et la recherche de leur auteur, le dispositif de la loi 1978 exigerait que ces données ne puissent être recueillies que dans la mesure où la personne visée a manifestement participé à la commission de l'infraction. Or, c'est précisement le point qui fait l'objet de la dérogation introduite par la loi de 2003 qui opère un changement dans l'étendue de cette condition de licéité avec l'avénement d'une simple condition de "vraisemblance".

Si ces différents éléments traduisent bien une évolution progressive de la logique exceptionnaliste dans le système juridique français de la protection des données personnelles, c'est bien en raison du paradigme également en plein essor qui consiste à considérer les données personnelles sous l'angle de la certitude de l'identification face au risque. Et ce paradigme se vérifie également à travers une autre tendance du modèle français en la matière, il s'avère que la France s'attache à ajuster le régime juridique des données personnelles, quoique de manière "périphérique", aux mutations technologiques et notamment la biométrie qui permettent une telle identification.

Chapitre 2 : Un ajustement "à petits pas" aux nouvelles technologies de sécurité.

Le paradigme de l'identification comme instrument de contrôle et de surveillance face au risque prend une dimension encore plus importante dès lors que se met en oeuvre tout un appareil scientifique et technologique à même de garantir cette aspiration. Or, c'est bien ce qui se présente désormais avec ce qu'on appelle communément les "technologies de sécurité", et la biométrie à titre principal. En effet, comme le souligne à juste titre Ayse Ceyhan, l'intérêt de la biométrie réside clairement dans sa capacité à mesurer « l'unicité d'un individu à partir des parties inchangeables de son corps. »30(*) Aussi, sous l'impusion de l'Union européenne et des États-Unis, la France tend à introduire ces mutations d'ordre sociétal dans son système juridique mais on voit ici que cette évolution se caractérise aussi par son caractère modéré. Dans une certaine mesure, on peut affirmer qu'il existe bien une tendance à ajuster son droit concernant les données à caractère personnel aux exigences nouvelles d'identification dès lors que cet ajustement se met en oeuvre à la périphérie du cadre normatif de droit commun. Autrement dit, la France a consacré le traitement des données biométriques sur des points épars du corpus juridique régissant les données personnelles. C'est ainsi en matière d'identité des personnes, avec des dispositifs spécifiques ou à titre expérimental, et surtout en matière de coopération européenne dans laquelle la France prend une place importante à plusieurs niveaux.

Tout d'abord, la France a opéré une évolution qui a son importance au regard de cette question car la loi de 2004 confère à la CNIL un pouvoir d'autorisation en ce qui concerne les traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes. C'est ici une avancée qu'il faut prendre en considération car cela témoigne du développement en cours des données biométriques dans les dispositifs de contrôle de l'identité des personnes, que ce soit des dispositifs sous la responsabilité de personnes publiques ou privées. Cet état de fait suppose qu'un contrôle préalable minimum puisse avoir lieu, dès lors le législateur français a pris acte de cette nouvelle donne pour lui assurer une certaine lisibilité, c'est l'objet du dernier alinéa du paragraphe I de l'article 25 nouvellement rédigé. Parallèlement, le système juridique français tend à développer les fichiers et bases de données automatisées utilisant la biométrie, ainsi par exemple les empreintes génétiques deviennent un instrument de plus en plus utilisé dans certains fichiers nationaux d'identification. La reconnaissance du Fichier national automatisé des empreintes génétiques ou FNAEG, notamment avec les lois de 2001 et 2003, en est une illustration certaine. En effet, ce type de fichier vise à l'identification des auteurs d'infractions pénales par la centralisation de données génétiques issues de « traces biologiques ».31(*) L'adoption d'un tel type de fichiers de données à caractère personnel présentant des informations génétiques des individus dont la participation à la commision à une infraction apparaît "vraisemblable"32(*) est révélatrice de la tendance française à transcrire dans son système juridique les conséquences de l'exigence suivant laquelle les données personnelles doivent pouvoir servir d'instrument d'identification dans une perspective de certitude face au risque et à l'insécurité. Et dans une certaine mesure, on peut rapprocher cette évolution de celle qui consiste à faire des données biométriques un élément d'identité. L'évolution présente consiste en effet à assurer l'identification des individus par la donnée personnelle biométrique, or ce qu'on peut aussi observer dans le même ordre d'idées est l'émergence de ce principe en vue d'assurer l'identité même de l'individu. Mais il convient de nuancer ce propos car le système juridique français n'a pas matérialisé une telle tendance du fait de certaines résistances aux documents d'identité biométriques.

Ensuite, on peut observer c'est aussi et surtout dans le domaine de la coopération transfrontalière que le système juridique français s'est imprégné de cette exigence de certitude à l'appui de l'identification. Son modèle juridique a fait l'objet d'aménagements importants dans la mesure où la coopération transfrontalière s'est opérée essentiellement sur l'espace Schengen et les systèmes d'informations qui y sont mis en oeuvre. Or ce sont ces systèmes qui ont largement favorisé et donné l'impulsion pour que les États entreprennent les ajustements nécessaires à ce que la coopération soit effective. C'est ce que l'on a pu souligner précedemment s'agissant de l'orientation donnée dans le cadre du troisième pilier de l'Union européenne, et il s'agit d'un élément qui ne peut être ignoré concernant les évolutions juridiques ayant trait à la biométrie. Sylvia Preuss-Laussinotte avait déjà perçu cette évolution en France, avant même l'adoption par le Conseil de la proposition de décision-cadre de 2005. Elle estimait que « la France en créant un fichier d'empreintes génétiques met de fait son système pénal et policier en conformité » avec les exigences européennes qui sont définies dans l'optique d'une coopération transfrontalière.33(*) Or son constat ne manque pas de pertinence puisque c'est cette impulsion européenne, surtout à travers l'espace Schengen, qui a permis le développement en France du traitement de données biométriques ou plutôt de la constitution de différentes bases de données automatisées comportant des informations de type biométrique. En effet, l'exigence d'un réseau d'informations qui puissent circuler à des fins de coopération pénale a été la ligne directrice de l'espace Schengen et plus générallement des dispositifs juridiques adoptés dans le cadre du troisième pilier. C'est précisement dans ce contexte qu'a émergé la biométrie dans la sphère juridique des données personnelles. Deux points d'impact majeur peuvent être relevés, à savoir d'une part l'évolution induite par le principe d'accessibilité des données et d'autre part l'évolution liée à la "question migratoire".

Tout d'abord, on peut avancer que le principe d'accessibilité des données personnelles a contribué à cette évolution dans la mesure où la logique d'efficacité de la coopération est au centre de ce principe. Or, cet objectif ne peut être assuré que si les informations communiquées en vertu de ce principe sont suffisament fiables et certaines, c'est pourquoi les données biométriques font figure de références à cet effet. On peut voir ici qu'à travers les données biométriques, les logiques d'efficacité et de certitude liée à l'identification se rejoignent, c'est dans cet esprit que les États membres se sont attachés à faciliter leur circulation. Ainsi ce sont principalement les données indexées de fichiers d'analyse ADN qui font l'objet d'une disponibilité, le traité de Prüm de 2005 ayant determiné le régime applicable à un tel type de traitement.

Ensuite, on doit souligner que cette évolution s'est également opérée dans le cadre de la maîtrise des flux migratoires avec le développement de la biométrie dans les données personnelles des étrangers. Sur ce point, il apparaît que les empreintes digitales ont constitué un élément qui s'est progressivement instauré dans les fichiers relatifs aux étrangers. Le fichier EURODAC concernant les demandes d'asile témoigne de cette tendance puisque le réglement n° 2725/2000 du Conseil du 11 décembre 2000 qui l'a institué, entend clairement organiser l'échange et la comparaison des empreintes digitales des demandeurs d'asile et des étrangers à l'occasion du franchissement irrégulier d'une frontière extérieure d'un État membre. Il s'agit ici du renforcement de la Convention de Dublin de 1990 que la France a transposé dans son système juridique, notamment avec la loi de 1997.34(*) En substance, il est question de permettre le traitement de données dactyloscopiques dès lors qu'il s'agit de vérifier le caractère frauduleux ou non de la demande de délivrance d'un titre de séjour pour les ressortissants étrangers n'ayant pas la nationalité d'un des États membres de la Communauté européenne. On peut donc considérer que la question biométrique a encore apporté un ajustement du système juridique relatif aux données personnelles sous l'impact de l'exigence d'identification certaine, "authentique" pour ainsi dire.

Dès lors, ces différents éléments peuvent nous conduire à affirmer qu'en matière de données prsonnelles une certaine évolution du régime juridique français s'est effectuée afin d'adapter le modèle existant à des exigences exogènes. Toutefois, il serait excessif de considérer ces évolutions comme de véritables "révolutions" au sens où elles seraient de nature à altérer structurellement le système juridique de protection des données personnelles en France. A cet égard, on observe que ces évolutions n'ont pas affecté les principes fondamentaux entourant la matière.

Partie II : Les contrepoids à l'évolution fondés sur un principe de sauvegarde des droits fondamentaux.

Certes, le système français fait montre d'une certaine tendance à assimiler des exigences exogènes, plus ou moins novatrices, dans son édifice juridique en matière de données personnelles, il faut tout de même observer que ces évolutions se trouvent encadrées par un ensemble de principes qui ont pour objet de maintenir une exigence fondamentale, à savoir la sauvegarde des libertés et droits fondamentaux présentant un lien direct ou indirect avec la question des données personnelles. Autrement dit, la France tend à construire un système juridique qui puisse "absorber" les mutations qui l'affectent sans qu'elles n'aient pour incidence de compromettre la préservation de ce principe, considéré comme la "pierre angulaire" de cet édifice juridique. Dans cet ordre d'idées, on observe que le système juridique français assure le respect des libertés fondamentales se rapportant aux données personnelles à l'appui de conditions tenant à la nature des données et à la nécessité du traitement ( A ), et à cet égard on peut avancer que le traitement des données à caractère personnel fait l'objet d'un contrôle élargi et protéiforme. ( B )

A. Le respect des libertés fondamentales garanti par des conditions substantielles relatives au traitement.

Il s'agit ici de montrer qu'en dépit des ajustements mis en oeuvre en France dans le corpus juridique des données personnelles, la sauvegarde des droits fondamentaux exige que le traitement de ces données soit conditionné par des considérations tenant à sa licéité. Et de ce point de vue, on observe que la construction du système français s'articule autour de principes qui visent à encadrer le traitement tant au regard de la nature des données susceptibles de faire l'objet de ce traitement, qu'au regard de sa nécessité et de sa proportionnalité.

Chapitre 1 : La licéité du traitement liée à la nature des données traitées.

Tout d'abord, on peut considérer que le respect des libertés fondamentales constitue la "pierre angulaire" du système juridique français en matière de données personnelles, à la lumière notamment du principe essentiel prévu au titre de l'article premier de la loi dite "informatique et libertés" selon lequel il ne peut être porté atteinte « ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »35(*) Il ressort manifestement de cette dispostion que la "clef de voûte" de l'édifice juridique consacré à la question des données personnelles consiste à préserver la préeminence des libertés et des droits fondamentaux. Certes, cet article vise explicitement l'informatique dans cette perspective, toutefois il convient d'analyser l'économie générale de ce dispositif, or l'article 2 rappelle expréssement que l'ensemble de ce régime juridique s'applique généralement aux traitements automatisés ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers.

Il est essentiel de retenir que le fondement majeur de ce cadre normatif, la ratio legis pour ainsi dire, réside dans la protection des libertés et droits fondamentaux dès lors que le traitement des données personnelles implique une incidence sur ces droits fondamentaux soit en raison de l'objet même de ces types de données ou en raison de leur connexité avec d'autres droits ou libertés. Et à ce propos, on peut voir que ce principe est assuré essentiellement par l'encadrement de la nature des données qui peuvent faire l'objet d'un traitement.

La question des données sensibles permet de mettre en évidence la portée de ce principe fondamental visant à la protection des droits fondamentaux à raison de la nature des données à caractère personnel. Tout d'abord, on peut observer une certaine résistance du système juridique à admettre le traitement de données subjectives. Le traitement doit se limiter autant que possible à l'utilisation de données que l'on pourrait qualifier d'objectives. Et quand bien même un traitement aurait eu lieu sur des données faisant apparaître certains aspects de la personnalité de l'individu concerné, il ne saurait être question de pouvoir s'en servir pour fonder une quelconque décision produisant des effets juridiques. L'article 10 prend en considération sans doute à juste titre le cas de figure de la décision juridictionnelle car elle peut impliquer dans une certaine mesure d'apprécier le comportement d'une personne. C'est pourquoi, cet article exclut tout à fait la possibilité de rendre une décision de justice à l'appui d'éléments issus d'un traitement de données personnelles de nature à évaluer certains aspects de la personnalité de l'individu concerné. De même, toute décision qui comporterait des effets juridiques ne peut être fondée sur des éléments issus d'un tel traitement de données. Ce principe rejoint tout à fait la réticence à admettre le traitement des données sensibles, c'est à dire celles ayant trait aux origines raciales ou ethniques, aux opinions politiques, philosophiques ou religieuses, ou à l'appartenance syndicale des personnes, ou encore celles relatives à la santé ou à la vie sexuelle de celles-ci.36(*) Étant donné le lien étroit de ces informations avec la personnalité de l'individu, du moins pour certaines d'entre elles, le droit restreint largement la possibilité d'opérer un traitement de telles données dans l'optique de préserver le respect de l'intimité de la vie privée des individus.

Le droit français considère que le respect des libertés et des droits fondamentaux, notamment le droit à l'intimité de l'individu dans sa vie privée, nécessite que l'on soumette les traitements de données à une condition de licéité se rapportant à la nature même des données qui s'inscrivent ou non dans ce cadre. Ceci est significatif avec les opinions politiques, philosophiques ou religieuses car elles portent directement sur la dimension subjective de la personnalité des individus, et ne pas apporter une quelconque restriction au traitement de ces types d'informations affecterait la vie privée et l'intimité qu'elle implique mais également la liberté de conscience et d'opinion car leur traitement est susceptible d'altérer, voire de réduire la portée de ce droit inaliénable.37(*)

S'agissant des autres types d'informations, notamment des origines raciales ou ethniques, il est vrai qu'il est difficile d'y voir des données qu'il convient d'encadrer sur des considérations tenant à l'intimité de la vie privée, celles-ci ne correspondant pas vraiment à la catégorie des données subjectives propres aux aspects de la personnalité. C'est bien la raison pour laquelle, le principe posé à l'article premier envisage le respect des droits fondamentaux plus largement que sous l'acception de la vie privée. Dès lors, on peut penser que ces données sont considérées comme étant sennsibles sur le fondement d'autres exigences fondamentales telles que l'égalité devant la loi sans distinction de race ou d'origine.38(*) A cet égard, la jurisprudence du Conseil constitutionnel est très significative dans la mesure où le juge suprême développe un raisonnement juridique dans le prolongement logique de ce principe.39(*) Le juge constitutionnel estime en effet dans le considérant 29 de cette décision, que « si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race », ce qui montre bien la prégnance de ce principe dans le système juridique français.

C'est ainsi que si les évolutions présentées précédemment ont remanié des points juridiques en vue notamment d'une libre circulation des données, elles ne sont pas de nature à compromettre outre mesure la "pierre angulaire" du régime français au sens où il existe un contrepoids à cette tendance à travers l'encadrement du traitement eu égard à la nature des données qu'il vise. La tendance libérale imprimée à la question des données personnelles se fond dans les limites ainsi mises en oeuvre. Autrement dit, certaines catégories de données sont considérées par essence exclues du traitement sous peine d'illicéité dudit traitement. Ainsi, en principe, les données sensibles ne peuvent faire l'objet d'un traitement, qu'il soit automatisé ou non, ce qui signifie qu'en règle générale ne peuvent figurer des éléments mentionnant les informations énumérées à cet effet.

Par ailleurs, dans le même esprit, cet encadrement ne fait pas obstacle à la possibilité de traiter de telles données dites sensibles car ce traitement peut s'avérer nécessaire dans des hypothèses particulières, et de ce point de vue une liste limitative prévoit des exceptions qui permettent de collecter et de traiter celles-ci.40(*) Or si l'on se place à ce niveau d'analyse, on retrouve encore un certain encadrement visant à faire prévaloir le respect des libertés et des droits fondamentaux.

En effet, on observe que la nécessité d'une autorisation est maintenue par le système français à l'égard de ces traitements présentant un risque d'atteinte aux droits fondamentaux. Il s'agit d'une condition de licéité de ce type de traitement prévue au titre des articles 25 et 26 de la présente loi. Plusieurs modalités de cette condition d'autorisation auprès de la CNIL sont mises en place, mais il faut retenir l'idée selon laquelle tout traitement de données sensibles justifié par la finalité même du traitement en cause telle que prévue par l'une des exceptions figurant ici, doit faire l'objet d'une autorisation préalable. Cette condition instituant une protection renforcée est significative de l'importance accordée en France à l'encadrement de ces traitements à risque et ce, en vue de garantir autant que possible la sauvegarde des droits fondamentaux.

Au vu de l'ensemble de ces points, on peut avancer que les évolutions à l'oeuvre au sein du modèle juridique français en matière de données personnelles n'ont pas eu d'incidences majeures sur la "pierre angulaire" de celui-ci, à savoir la nécessaire sauvegarde des droits fondamentaux. En toute hypothèse, on peut affirmer que ces évolutions ne compromettent en aucune mesure la préeminence de ce principe central car des garanties jouant comme contrepoids des ajustements mis en place permettent d'assurer le maintien de cette exigence fondamentale. Et de ce point de vue, la restriction de la licéité du traitement quant à la nature des données s'y rapportant est un paramètre, pour le moins, important et qui doit être souligné. Aussi doit-on relever un autre paramètre qui rejoint et confirme notre propos, il s'agit de l'encadrement du traitement des données personnelles à raison de la nécessité et la proportionnalité du traitement.

Chapitre 2 : La licéité liée à l'adéquation du traitement aux nécessités.

Si la France exprime une certaine "résistance" consistant à maintenir au fondement de son édifice juridique consacré aux données personnelles, l'exigence suivant laquelle la préservation des libertés et des droits fondamentaux de la personne doit prévaloir, c'est également à travers un principe de nécessité et de proportionnalité que cette exigence "cardinale" est garantie. En effet, on peut observer que le régime juridique français est traversé par un principe qui entend encadrer les recours aux traitements de données personnelles dans la mesure de ce qui s'avère nécessaire et proportionnel au regard de la finalité poursuivie par les traitements en cause. Ces considérations tenant aux nécessités selon l'objectif recherché jouent également comme une condition impliquant la licéité du traitement. Dans une certaine mesure, ce principe tend à répondre au même dessein que l'encadrement du traitement de données personnelles sous l'angle de la nature desdites données, on peut identifier ici une logique symétrique dont l'objet est de garantir le fondement de ce régime juridique, entendons la protection des libertés et des droits fondamentaux se rapportant aux informations à caractère personnel. On peut admettre que la sauvegarde de ces droits fondamentaux, qu'il s'agisse du respect de l'intimité de la vie privée, des libertés individuelles ou de tout autre droit fondamental, exige que le traitement des données personnelles soit soumis à un principe encadrant son opportunité au regard de la finalité poursuivie car un tel traitement répond nécessairement à une finalité déterminée ou à des finalités diverses. Le respect des droits fondamentaux et la protection dont ils font l'objet s'apprécie ainsi à la lumière de l'adéquation de l'exercice du traitement par rapport aux finalités qu'il poursuit. Ce critère évalue ainsi si le traitement en cause constitue ou non un abus de droit rendant son exercice disproportionné à cet égard.

C'est dans cette optique que le droit français limite le recours aux traitements de données à caractère personnel, en faisant de la nécessité et de la proportionnalité des éléments qui conditionnent la licéité. On retrouve ces considérations aux termes de l'article 6 de la présente loi qui prévoit que le traitement n'est licite que dans la mesure où les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par leur collecte et leur traitement.41(*) En outre, il est également précisé par cet article que les finalités pour lesquelles le traitement est envisagé doivent être déterminées, explicites et légitimes, et que le traitement ne doit pas s'avérer ultérieurement incompatible avec ces finalités. Le cadre étant ainsi posé, on peut considérer que la France entend faire de ces exigences, de véritables contrepoids permettant de consolider la protection des droits fondamentaux à la base de l'ensemble de ce régime juridique.

C'est ici un principe qui vise à assurer la préeminence des droits et des libertés se rattachant à la question des données personnelles, et on peut voir que c'est particulièrement vrai en ce qui concerne les données sensibles dans la mesure où elles sont, en principe, non susceptibles de faire l'objet d'une collecte et d'un traitement ultérieur, sous réserve des exceptions prévues dès lors que la finalité du traitement l'exige. Dans la mesure où c'est la finalité particulière du traitement considéré qui peut justifier que les données sensibles y figurent, il apparaît essentiel de pouvoir apprécier si le traitement respecte véritablement l'objectif ou les différents objectifs qu'il s'est assigné. Ainsi, l'exigence d'adéquation de l'exercice du traitement vis-à-vis de l'objet qu'il recouvre, tant du point de vue de son recours que de son utilisation effective, présente dès lors une importance considérable. En vertu de ce principe, le traitement de données sensibles qui constitue un traitement à risque à l'égard de droits tels que les libertés fondamentales de conscience et d'opinion, comme on a pu le montrer précédemment, se voit accompagné d'une condition de licéité en supplément de l'obligation d'autorisation qui est le critère de la proportionnalité des données traitées au regard des objectifs du traitement. Ce sont par exemple la durée de conservation et le rôle attribué au traitement de ces données qui peuvent ainsi être comparés à la finalité explicite du traitement. Ainsi, pour reprendre le cas de figure des données mentionnant les origines raciales ou ethniques de l'individu, il est clair que le respect du principe consacrant l'égalité devant la loi sans distinction de race ou d'origine exige que l'on prenne en considération non seulement les finalités liées au traitement de telles données mais aussi la pertinence, l'opportunité et la nécessaire adéquation de ce traitement dans son effectivité à l'aune de ces finalités. Ainsi, il pourrait être déterminé si le traitement en cause aboutit à créer une distinction fondée sur les origines raciales ou ethniques dans la mesure où cela implique d'observer des éléments tenant par exemple à la legitimité des données traitées, à l'équilibre porté à la conciliation entre ce qui est nécessaire de conserver et ce qui peut être effacé de l'enregistrement. A contrario, on peut affirmer qu'un traitement de données sensibles dont on ne peut contester la licéité à l'appui de conditions tenant à la nécessité et à la proportionnalité de son exercice, n'est pas tout à fait à même d'assurer le respect des principes fondamentaux de protection des droits de la personne.

Dans le même ordre d'idées, on peut considérer que le respect de l'intimité de la vie privée implique que l'on encadre le recours au traitement des données sensibles par l'exigence de proportionnalité ainsi développée. Le bien-fondé de ce principe se retrouve essentiellement en ce qui concerne les données faisant apparaître les opinions politiques, philosophiques ou religieuses des individus. En effet, le caractère profondément subjectif de telles données ouvre à une plus large marge de manoeuvre dans le traitement opéré puisque la collecte de ces informations peut induire une utilisation à des fins différentes et incompatibles avec celles pour lesquelles elles ont été recueillies.

Un tel cas de figure peut notamment se présenter dans les fichiers d'identification visant à assurer la sécurité publique, il n'est pas insignifiant de poser des critères tenant à la nécessité et à la proportionnalité dès lors que le respect de l'intimité de la vie privée est susceptible d'être affecté par d'éventuelles dérives dans le traitement effectif des données, par exemple avec les fichiers de sécurité.42(*)

Ce qu'il faut retenir dans le cadre de notre analyse est l'idée que la France a assorti son système d'une garantie tenant à la licéité du traitement sur la base de l'adéquation pertinente du traitement et de son exercice avec les finalités qu'il poursuit. C'est assurément un paramètre qui contrebalance les évolutions, notamment la tendance liée à la libre circulation des données, dans la mesure où ces évolutions sont tout à fait assimilées dans le régime juridique français dans la stricte mesure où la "pierre angulaire" au fondement de l'édifice normatif est préservé. Le maintien de cette exigence de proportionnalité constitue à cet égard une garantie consistant à consolider le principe "matriciel" de protection des libertés et des droits fondamentaux.

Si l'on peut considérer, à la lumière de ces éléments, que le socle fondamental du régime juridique français n'est pas affecté par les ajustements présentés précédemment, il faut également observer que cette préservation de la "matrice" du régime juridique français en la matière s'affirme aussi à travers le contrôle élargi et protéiforme dont fait l'objet le traitement de données personnelles.

B. Le respect des libertés fondamentales garanti par l'étendue du contrôle du traitement.

Si le modèle juridique français n'est pas affecté structurellement par les évolutions qui se sont mises en oeuvre dans le domaine des données personnelles, c'est en raison de contrepoids d'ordre substantiel visant à sauvegarder le principe de protection des libertés et des droits fondamentaux, mais c'est également en raison de contrepoids d'ordre procédural que la France consolide la préeminence de ce principe. A cet égard, deux éléments peuvent être soulignés, d'une part le large seuil de contrôle préalable existant autour des traitements de données à caractère personnel, et d'autre part la multitude des acteurs de ce contrôle.

Chapitre 1 : L'étendue élargie du contrôle préalable des traitements de données.

Tout d'abord, la question du contrôle des traitements de données personnelles peut être analysée sous l'angle de sa portée, et de ce point de vue on peut considérer dans une certaine mesure que le système juridique français vise essentiellement à consolider la prédominance du respect des droits fondamentaux tant la portée du contrôle préalable est élargie. En effet, on observe que le corpus juridique français s'articule autour d'un large contrôle préalable du traitement des données personnelles dont les modes d'intervention sont principalement de deux ordres. Ce contrôle préalable repose sur la répartition entre le système de la déclaration, et celui de l'autorisation. Ainsi les données personnelles traitées en France sont soumises à une protection multiforme que la CNIL assure a priori. En ce sens, on peut affirmer que l'évolution qui consiste à alléger les formalités préalables en vue de permettre la libre circulation des données n'a pas bouleversé la structure essentielle propre au modèle français selon lequel la protection des droits fondamentaux doit prévaloir en ce qui concerne le champ des données personnelles. On observe ainsi que si la loi de 2004 a pour effet d'abondonner la distinction entre fichiers publics soumis à autorisation et fichiers privés soumis à déclaration, il n'en demeure pas moins que ces deux types de contrôle subsistent au sein du système français, seule la distinction selon le critère du caractère public ou privé du traitement n'a plus lieu d'être. L'existence de ces deux modes d'intervention à titre de contrôle préalable n'est aucunement remise en cause, car l'objet de cet ajustement est uniquement d'opérer à l'établissement d'autres critères de classification.

Dès lors, dans cette perspective, on peut souligner que l'aménagement ainsi présenté consiste à préserver la dualité de ce système de contrôle préalable tout en favorisant le régime de la déclaration, formalité allégée de contrôle plus simple que le régime d'autorisation. C'est en cela que les articles 22 à 31 de la loi nouvellement rédigée organisent une répartition "résistante" aux différentes évolutions.

Tout d'abord, l'article 22 consacre en quelque sorte un régime de contrôle préalable de droit commun en ce sens qu'il énonce qu'à l'exception de certains cas de figure prévues aux articles 25 et suivants qui soumis à autorisation, le traitement des données personnelles doit faire l'objet en principe d'une déclaration. Ainsi, on retrouve ici l'idée selon laquelle la déclaration est la règle, et l'autorisation l'exception. Ce principe est assez révelateur de l'assise du principe directeur de sauvegarde des droits fondamentaux dans le système juridique français puisqu'il s'inscrit dans le prolongement logique de la tendance visant à assouplir les formalités préalables, tel qu'on l'a étudié précédemment, sans pour autant altérer l'existence de ces deux modalités de contrôle préalable garantissant un système "complet" de garanties à même d'assurer la préservation dudit principe directeur. Si le mécanisme de la déclaration constitue le mode principal de contrôle préalable, on observe en effet que le mécanisme d'autorisation demeure également un contrôle important. Elle recouvre non seulement un large "panel" de traitement de données personnelles, mais elle peut revêtir en plus différentes modalités d'intervention. L'article 25 énumère une liste de plusieurs catégories de traitement qui doivent faire l'objet d'une autorisation accordée par la CNIL, à ce titre on peut notamment relever les traitements de données sensibles justifiés par l'intérêt public, les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, ou encore ceux portant sur des données biométriques nécessaires au contrôle de l'identité des personnes ou même ceux comportant des appréciations sur les difficultés sociales des personnes. Tous ces types de traitement soumis à une obligation d'autorisation auprès de la CNIL montrent bien qu'il n'est aucunement question pour la France de réduire ce contrôle préalable renforcé aux seuls traitements opérés sous la responsabilité de personnes publiques à des fins de service public à caractère administratif, même si l'autorisation concerne dans une large mesure ce type de traitement.

L'autorisation doit préciser des éléments standards qui importent en premier lieu, c'est à dire la dénomination et la finalité du traitement, le service auprès duquel s'exerce le droit d'accès, les catégories de données à caractère personnel enregistrées et les destinataires auxquels ces données sont communiquées. On peut se reporter à l'article 29 de la présente loi qui pose ces différents éléments relevant du régime d'autorisation.43(*)

Une jurisprudence récente du Conseil d'État44(*) relative au fichier ELOI géré par le ministère de l'intérieur visant à traiter des données à caractère personnel dans le cadre de l'informatisation de la procédure d'éloignement des étrangers, peut être soulignée pour illustrer l'ampleur et la portée de ce contrôle préalable au regard de la sauvegarde des libertés et des droits fondamentaux de la personne. Le juge administratif a considéré que les requérants sont tout à fait fondés dans leur réclamation tendant à l'annulation de l'arrêté créant le fichier ELOI sur le fondement que l'obligation d'autorisation a été contournée. En effet, compte tenu de l'objet du fichier et de la nature des données traitées dans ce cadre, la création d'un tel fichier impose qu'elle soit préalablement autorisée par décret en Conseil d'État aprés avis de la CNIL, et en aucun cas à l'initiative exclusive d'un arrêté ministériel. Les libertés individuelles qui sont susceptibles d'être affectées par un tel traitement, notamment la liberté d'aller et de venir et le droit à la sûreté, sont ainsi garanties par l'exigence d'un contrôle préalable, en l'espèce d'un contrôle renforcé avec l'autorisation, lequel permet de préciser des éléments importants sur les conditions de mises en oeuvre de ce traitement. Et cette jurisprudence est d'autant plus significative lorsque l'on remarque que le juge administratif estime que le principe même de l'existence de ce fichier n'est pas en cause à cet égard. Cela témoigne de l'importance accordée à ce type de contrôle a priori. Et pour appuyer encore notre propos, on peut souligner le véritable impact de ce principe puisque ce fichier a été effectivement mis en oeuvre dès lors que les pouvoirs publics ont suivi cette exigence d'autorisation.45(*)

Dès lors, il convient de bien préciser que l'existence d'un contrôle préalable est un paramètre important dans l'optique de la protection des droits fondamentaux tels que l'intimité de la vie privée ou les libertés individuelles. En effet, le système juridique français en matière de données personnelles reconnaît un rôle très important à l'autorité administrative indépendante de la CNIL. La logique principale qui a guidé la création de la CNIL en 1978 était en effet d'assurer, par un organe indépendant, la licéité des traitements de données à caractère personnel. C'est d'ailleurs sans doute en raison de l'indépendance qui caractérise cet organe, que le droit français a développé une étendue aussi large de contrôle préalable assuré par l'intervention conjointe de la CNIL soit par déclaration ou par autorisation. Ainsi que le montre Sylvia Preuss-Laussinotte, le système juridique français privilégie le contrôlre a priori des traitements de données personnelles, alors même que les exigences européennes vont dans le sens d'un contrôle a posteriori au détriment du contrôle préalable dans l'optique de la libéralisation au sein de l'espace communautaire.46(*) On comprend ainsi que la France s'attache à maintenir la "pierre angulaire" de son système, à savoir la préeminence des droits fondamentaux en établissant des contrepoids aux évolutions. Et la préservation de la dualité des modes de contrôle préalable s'inscrit tout à fait dans une telle perspective puisque cela permet de disposer d'un large éventail de moyens permettant d'intervenir antérieurement à l'exercice du traitement envisagé.

Aussi dans le même ordre d'idées, on peut observer que ce contrôle, qu'il soit préalable ou postérieur, à l'exercice du traitement de données personnelles se caractérise également par la pluralité des acteurs de ce contrôle, ce qui implique que l'on étudie le rôle joué par la CNIL mais aussi et surtout par la personne concernée elle-même. Le rôle conféré à ces différents acteurs du contrôle s'inscrit également dans l'optique d'assurer autant que possible la préservation des droits de la personne, fondement de l'édifice juridique français.

Chapitre 2 : Une pluralité d'agents dans le rôle de contrôle des traitements de données personnelles.

Il est vrai que le régime juridique français en matière de données personnelles se caractérise par un large contrôle préalable du traitement des données selon une répartition entre deux modalités d'intervention, à savoir la déclaration et l'autorisation. Un autre paramètre caractérise le corpus juridique français, ce qui implique que l'on relativise l'impact des exigences nouvelles ayant entraîné certains ajustements. Il s'agit de l'idée selon laquelle le droit français considère que la sauvegarde des droits fondamentaux de la personne exige que le contrôle qui s'exerce face au traitement des données soit suffisament réparti entre plusieurs agents. Dans ce cadre, on peut observer que le contrôle exercé à l'égard du traitement est réparti entre deux agants principaux qui sont la CNIL et la personne concernée elle-même.

Tout d'abord, s'agissant de la CNIL, on observe qu'il lui est dévolu un véritable pouvoir de contrôle à titre préalable face au traitement de données personnelles. Son intervention s'affirme ainsi largement dans le cadre de la déclaration ou de l'autorisation auxquelles sont soumis les traitement de données personnelles. Mais son contrôle ne se réduit pas à un tel rôle d'examen a priori, la CNIL effectue également un contrôle qui consiste notamment à émettre des délibérations. La Commission est une autorité administrative indépendante investie de plusieurs missions pour lesquelles elle peut mettre en oeuvre un pouvoir réglementaire. Elle est ainsi habilitée à procéder par voie de recommandation et à prendre des décisions individuelles ou réglementaires. L'article 11 de la présente loi pose le cadre dans lequel peut s'exercer ce pouvoir, et à cet égard l'éventail de mesures dont elle dispose à ce titre peut faire office d'un certain contrôle à l'encontre du traitement des données personnelles, certes de moindre impact que celui ayant trait à son contrôle des formalités préalables mais néanmoins important si l'on admet que le contrôle doit aussi être entendu comme la faculté de fournir des avis et des recommandations. A ce titre, le contrôle qui s'exerce ici opére en quelque sorte comme certaines juridictions dont la fonction consultative permet de disposer d'un avis précisant certains points complexes ou d'interpréter la signification d'une norme particulière pour un cas de figure laissant en suspens des questions juridiques. Le rôle qu'elle a joué à l'égard des fichiers de police, et notamment du STIC, témoigne particulièrement de l'impact de ce type de contrôle informel que constituent les délibérations. Baffard William a pu dégager un "corps de règles" opposables à ce type de traitement47(*), on voit ainsi que si des délibérations n'ont pu aboutir à l'effet escompté aux termes de celles-ci, il en est d'autres qui ont été suivies par le législateur français au sujet de la création du STIC et des textes d'application. Ainsi par exemple, en ce qui concerne la durée de conservation des données, conformément aux prescriptions de la CNIL, la durée ne peut excéder un délai de cinq ans dès lors que ces données portent sur des mineurs.48(*) L'intervention de la CNIL par cette délibération a permis ainsi d'obtenir du législateur qu'il prenne en compte l'exigence de proportionnalité des conditions d'exercice de ce traitement à l'égard des mineurs, et sur cette base les données portant sur des mineurs collectées dans le cadre du STIC doivent être effacées à l'expiration du délai de cinq ans.

Ensuite, on doit mettre en évidence le rôle de contrôle accompli par un autre agent, à savoir l'intéressé lui-même. En effet, la personne concernée par le traitement en cause dispose de droits à l'encontre de celui-ci lui permettant d'opérer un certain contrôle. Il s'agit du droit d'opposition qui consiste à refuser que des données la concernant fassent l'objet d'un traitement, cette faculté d'opposition ne peut s'exercer que dans la mesure où la loi ne l'exclut pas expréssement.49(*) Il s'agit également du droit d'accès aux données faisant l'objet ou ayant fait l'objet d'un traitement.50(*) Autrement dit, sous réserve de certaines conditions, la personne concernée est fondée à demander au responsable du traitement de mettre à sa connaissance les données traitées qui la concernent. Aussi, doit-on relever que ce droit d'accès peut se décliner en deux types de contrôle, l'un étant limité puisqu'il ne vise qu'à l'information de la personne concernée, l'autre étant plus étendu car il consiste à permettre une éventuelle rectification des données par celle-ci. S'agissant du droit d'accès visant à l'information tel que prévu à l'article 39, notre étude a pu faire ressortir précédemment ce que cela recouvre quant aux types d'informations ouvertes à la disposition de l'individu concerné. Toutefois, on peut apporter des précisions sur une question significative, car s'agissant des données traitées dans ce que l'on appelle communément les "fichiers de sécurité", on peut observer que l'individu dispose d'un certain contrôle, et la jurisprudence administrative confirme cette tendance par deux arrêts relativement récents du Conseil d'État.51(*) En effet, cette jurisprudence montre bien la portée que le droit français reconnaît à cette exigence d'information puisque l'individu concerné peut accéder aux données traitées dans un fichier intéressant la sûreté de l'État, la défense et la sécurité publique. Ainsi, lorsque la communication des données à la personne concernée est susceptible de mettre en cause les fins assignées au traitement, l'intéressé peut agir auprès de la CNIL au titre de son droit d'accès, et par ce biais la CNIL est tenue de l'informer qu'il a été procédé aux vérifications nécessaires. Aussi, l'individu concerné est tout à fait fondé à procéder au contrôle des données traitées par le biais de son droit de rectification, de mise à jour et d'effacement de celles-ci. C'est ici l'article 40 qui régit l'exercice de cette prérogative accordée directement à la personne concernée. L'individu étant ainsi encore considéré comme un agent principal dans le processus de contrôle des traitements de données à caractère personnel, son rôle consistant à opérer un contrôle autour du traitement le concernant.

Au vu de ces différents éléments, on peut avancer que la France n'a pas altéré la "pierre angulaire" de son édifice juridique en matière de données personnelles puisque le principe de protection des droits fondamentaux de la personne en demeure la base essentielle et ce, quand bien même des évolutions se soient produites et des ajustements effectués par rapport à ces différentes exigences tels la libre circulation des données ou le paradigme sécuritaire de l'identification face au risque. Le contrôle de la CNIL constitue l'un des contrepoids visant à consolider la permanence du fondement du système français tenant à la protection des libertés et des droits de la personne se rapportant aux informations à caractère personnel. Et l'individu concerné demeure également l'un des agents de ce contrôle puisqu'il bénéficie d'une série de contrepoids face aux traitements le concernant directement. Cela traduit ici le caractère protéiforme du contrôle qui peut exister en France à l'encontre du traitement des données personnelles.

Conclusion

On peut avancer que notre étude sur la protection des données personnelles sous l'angle du système juridique français fait ressortir plusieurs éléments complexes. En effet, une dynamique d'évolution est perceptible dans le corpus juridique français puisque des ajustements sont mis en oeuvre afin de transposer des exigences issues tendances qui dépassent le cadre national français. De ce point de vue, on doit souligner une appropriation de considérations exogènes résultant notamment de la dynamique d'intégration communautaire au sein de l'espace européen qui s'articule autour d'un principe de libéralisation, mais également de l'émergence d'un paradigme sécuritaire consistant à déplacer les lignes du droit des données personnelles selon une finalité consistant à intégrer dans la juridicité ce qui permet l'identification face au risque d'ordre sécuritaire.

Ces différentes tendances ont induit des évolutions auxquelles le système juridique français a dû se confronter, et dans une large mesure ce qui ressort de ces intéractions est la propension de la France à aménager son corps de règles et de principes régissant la matière.

Toutefois, il apparaît que ces différents ajustements mis en oeuvre en France n'ont pas pour incidence d'inverser la logique substantielle propre au système français. Il ne s'agit pas tellement de souligner que l'on est ici en présence d'une spécificité irréductible au "modèle français", ce n'est en tout cas pas l'objet de notre propos. Ce que l'on peut retenir est plutôt l'idée selon laquelle il s'avère que dans le système juridique français aucun véritable bouleversement ne peut être déduit des évolutions observées dans la mesure où le fondement du système portant sur la protection des données personnelles réside dans la nécessaire protection des libertés fondamentales de la personne en rapport avec la question des données personnelles et de leur traitement. A cet égard, on peut relever en effet des garanties qui visent à sauvegarder ce principe essentiel.

Une telle analyse nous conduit à considérer que le mouvement systémique qui anime le droit français en matière de données personnelles procède d'un équilibre selon lequel l'aménagement des principes n'est envisageable que dans la mesure où le socle de base tenant à la protection des données et des droits subséquents ne s'en trouve pas compromis.

Il apparaît que la France envisage le champ des données personnelles essentiellement sous l'angle de la protection des personnes visées par le traitement de telles informations, c'est sans doute en raison du principe fondateur inscrit dans le texte même de la loi de référence et ce, depuis 1978. Mais une interrogation se pose lorsque l'on envisage le discours juridique sous l'angle de la représentation qu'il renvoie du phénomène réel. Autrement dit, en quoi la situation effective en termes de protection des personnes contribue-t-elle à la construction de cet ordre juridique ?

BIBLIOGRAPHIE

I-Documents officiels

-Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

-Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

(Avec exposé des motifs du projet de loi)

-Loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers.

-Loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure.

-Décret n° 2007-1890 du 26 décembre 2007 portant création d'un traitement automatisé de données à caractère personnel relatives aux étrangers faisant l'objet d'une mesure d'éloignement et modifiant la partie réglementaire du code de l'entrée et du séjour des étrangers et du droit d'asile.

-Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, Strasbourg, 28 janvier 1981.

-Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

-Traité relatif à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme, la criminalité transfrontalière et la migration illégale, Prüm, 27 mai 2005.

-Proposition de décision-cadre du conseil relative à l'échange d'informations en vertu du principe de disponibilité. COM/2005/0490 final

-Décision de la Commission du 14 mai 2004 relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d'Amérique (2004/535/CE).

-Conclusions de l'avocat général Léger présentées le 22 novembre 2005, affaires jointes C-317/04 et C-318/04.

II-Ouvrages

Giorgio AGAMBEN, État d'exception, Paris, Le Seuil, 2003, 151 p.

Xavier BIOY, Henry ROUSSILLON (dir.), La liberté personnelle : une autre conception de la liberté, Toulouse, Presses de l'Université des Sciences sociales, 2006, 156 p.

Jean CARBONNIER, Flexible droit : pour une sociologie du droit sans rigueur, Paris, L.G.D.J, 10ème édition, 2001, 493 p.

Jacques CHEVALLIER, L'État post-moderne, Paris, L.G.D.J, 2ème édition, 2004, 226 p.

Pierre KAYSER, La protection de la vie privée par le droit. Protection du secret de la vie privée, Presses Universitaires d'Aix-Marseille, Economica, 3ème édition, 1995, 605 p.

Gilles LEBRETON, Libertés publiques et droits de l'homme, Paris, Armand Colin, 7ème édition, 2005, 551 p.

Jean Claude PAYE, La fin de l'État de droit : la lutte antiterroriste, de l'état d'exception à la dictature, Paris, La Dispute, 2004, 214 p.

Sylvia PREUSS-LAUSSINOTTE, Les fichiers et les étrangers au coeur des nouvelles politiques de sécurité, Paris, Librairie Générale de Droit et de Jurisprudence, Bibliothèque de droit public, tome 209, 2000, 426 p.

François RANGEON, Hobbes. État et droit, Paris, Albin Michel, 1982, 218 p.

François SAINT-BONNET, L'État d'exception, Paris, PUF, Léviathan, 2001, 393 p.

III-Articles

Paul AMSELEK, « La part de la science dans les activités des juristes », Dalloz, 1997, Chronique, p. 337.

Didier BIGO, « Sécurité et immigration : vers une gouvernementalité par l'inquiétude ? », Cultures & Conflits, n° 31-32, 1998, pp. 13-38.

Ayse CEYHAN, « Enjeux d'identification et de surveillance à l'heure de la biométrie », Cultures & Conflits, n° 64, 2006, pp. 33-47.

Philippe GUILLOT, « Protection des données à caractère personnel et lutte anti-terrorisme : l'accord U.E.-É.U. sur les dossiers de passagers aériens (PNR) », Les annales de droit, n° 2, 2008, pp. 37-57.

Sylvia PREUSS-LAUSSINOTTE, « Bases de données personnelles et politiques de sécurité : une protection illusoire ? », Cultures & Conflits, n° 64, 2006, pp. 77-95.

IV-Jurisprudence

Décision n° 2007-557 DC du 15 novembre 2007, Loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile.

Fichier Eloi, Conseil d'État, le 12 mars 2007, (N°s 297888, 297896, 298085).

Moon Sun Myung, CE, Assemblée, 6 novembre 2002, (N°s 194295 - 219587).

Skandrani, CE, Section, 7 avril 2006, (N° 275216).

V-Internet : sites officiels et ressources documentaires

Site officiel de la Commission Nationale Informatique et Libertés

www.cnil.fr

-Documents et rapports publiés par la CNIL (délibérations, normes simplifiées, rapports annuels)

Site officiel du Conseil de l'Europe

www.coe.int

-Rapports et études des Comités de protection des données

-Rapports et études des experts

Site officiel de l'Union européenne

www.europa.eu

-Portail d'accès rubrique Commission Européenne > Justice et affaires intérieures (documents et rapports officiels européens sur la protection des données personnelles, rapports d'évaluation, état de la législation)

VI-Divers

Mémoire de DEA Informatique et droit, Université de Montpellier I, William Baffard, Le système de traitement des infractions constatées (STIC) et la protection des données personnelles, 2003, 92 p.

TABLE DES MATIÈRES

Introduction..................................................................................................................................Page 1

Partie I : Le processus d'ajustement du modèle français à des exigences exogènes....................Page 6

A. L'intégration communautaire comme vecteur de « libéralisation » des informations............Page 6

Chapitre 1 : Les données personnelles face au principe de libre circulation...............................Page 6

Chapitre 2 : Les données personnelles face au principe d'accessibilité.....................................Page 11

B. Les données personnelles sous l'impact du paradigme de la maîtrise des risques par l'identification............................................................................................................................Page 16

Chapitre 1 : L'essor de la logique d'exception dans le cadre des données personnelles............Page 16

Chapitre 2 : Un ajustement « à petits pas » aux nouvelles technologies de sécurité.................Page 20

Partie II : Les contrepoids à l'évolution fondés sur un principe de sauvegarde des droits fondamentaux............................................................................................................................Page 24

A. Le respect des libertés fondamentales garanti par des conditions substantielles relatives au traitement...................................................................................................................................Page 24

Chapitre 1 : La licéité du traitement liée à la nature des données traitées.................................Page 24

Chapitre 2 : La licéité liée à l'adéquation du traitement aux nécessités.....................................Page 27

B. Le respect des libertés fondamentales garanti par l'étendue du contrôle du traitement........Page 30

Chapitre 1 : L'étendue élargie du contrôle préalable des traitements de données.....................Page 30

Chapitre 2 : Une pluralité d'agents dans le rôle de contrôle des traitements de données personnelles...............................................................................................................................Page 33

Conclusion.................................................................................................................................Page 37

Bibliographie.............................................................................................................................Page 38

* 1 Max Weber, Le savant et le politique, Paris, Plon, 1959, 230 p.

* 2 Didier Bigo estime que "plus les menaces sont mal définies, plus elles apparaissent comme " surgies de nulle part ", plus elles peuvent catalyser des peurs diverses et générer un capital d'inquiétude (crime organisé transnational, mafia globale, immigration illégale) justifiant la pérennité des institutions", cf son article « Sécurité et immigration : vers une gouvernementalité par l'inquiétude ? », Cultures & Conflits, n° 31-32, 1998, pp. 13-38

* 3 Hobbes est sans doute celui qui a fondé cette représentation de l'État dans la mesure où il lui reconnaît une fonction sociale préeminente, il considère ainsi qu'il tire sa légitimité de cette nécessité sociale.

* 4 Sylvia Preuss-Laussinotte met en avant les expressions différentes qui peuvent désigner ce type de données, cf son article « Bases de données personnelles et politiques de sécurité : une protection illusoire ? », Cultures & Conflits, n° 64, 2006, pp. 77-95.

* 5 Ibidem, l'auteur nous montre ici qu'il ne s'agit plus de considérer cette question des données personnelles uniquement sous l'angle de la vie privée, elle observe une certaine autonomisation de la question.

* 6 On peut se reporter à l'analyse de Sylvia Preuss-Laussinotte, ibid, elle releve à juste titre que la notion d'ordre public entretient une certaine imprécision permettant une acceptation souple.

* 7 Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

* 8 Le considérant (5) de la directive précitée met bien en évidence la perspective d'augmentation importante de ces échanges, compte tenu des divers types d'activités ou d'opérations commerciales et économiques et les différents types d'acteurs de la vie économique.

* 9 Ce double mouvement opère un équilibre subtil visant à lever tous les obstacles que peut rencontrer la libre circulation des données personnelles.

* 10 Directive 95/46/CE, article 18, paragraphe 2

* 11 On peut également se réferer à l'exposé des motifs du projet de loi de 2004 portant transposition de la directive pour voir que la France a "pris acte" de cette exigence de simplification souhaitée par la Communauté européenne.

* 12 Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 24, II.

* 13 C'est sans doute une conception liée au principe de confiance légitime issu des principes généraux du droit communautaire.

* 14 Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 27.

* 15 Cet espace constitue un objectif procédant du troisième pilier de l'Union européenne, mais il est clairement un objectif majeur de la construction européenne.

* 16 Proposition de décision-cadre du conseil relative à l'échange d'informations en vertu du principe de disponibilité. COM/2005/0490 final

* 17 Ibidem, l'article 7 a pour objet de délimiter le cadre dans lequel peut s'exercer un tel mécanisme de coopération.

* 18 Traité relatif à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme, la criminalité transfrontalière et la migration illégale, Prüm, 27 mai 2005. Rappelons que la France a ratifié cette convention internationale en 2007.

* 19 L'idée directrice consiste ici à garantir l'anonymat à ce stade de la procédure.

* 20 La phase diplomatique de la procédure liée à la souveraineté inhérente à l'État demeurait omniprésente dans la coopération.

* 21 Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, Strasbourg, 28 janvier 1981, article 16.

* 22 On peut observer dans son article précité qu'elle analyse un glissement vers un paradigme sécuritaire dans lequel le risque n'est plus admis, et le discours juridique a tendance à s'en approprier.

* 23 Paul Amselek, "la part de la science dans les activités des juristes", Dalloz 1997, Chronique, P. 337

* 24 Le système juridique des Etats-Unis a en outre la particularité de se poser comme le modèle d'un état d'exception "normalisé" depuis le tournant de la "guerre contre le terrorisme".

* 25 Loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers.

* 26 Cette durée de cinq ans a été posée par l'article 4 de l'arrêté du 19 décembre 2006 qui précise la portée de l'article 7 de la loi de 2006 précitée.

* 27 Sylvia Preuss-Laussinotte, ibid.

* 28 Loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure.

* 29 Loi n° 2003-239, art. 21, paragraphe 2.

* 30 Ayse Ceyhan, « Enjeux d'identification et de surveillance à l'heure de la biométrie », Cultures & Conflits, n° 64, 2006, pp. 33-47.

* 31 Cf art. 706-54 du Code de Procédure Pénale.

* 32 On retrouve ici le même mécanisme que le STIC.

* 33 Sylvia Preuss-Laussinotte, Les fichiers et les étrangers au coeur des nouvelles politiques de sécurité, Paris, Librairie Générale de Droit et de Jurisprudence, tome 209, 2000, p. 61 et s.

* 34 Loi du 24 avril 1997 ou loi»Debré».

* 35 Principe posé par la loi de 1978, et maintenu comme tel par la loi de 2004

* 36 Loi n° 2004-801, art. 8, paragraphe 1.

* 37 Rappelons que l'article 10 de la Déclaration des droits de l'homme et du citoyen prévoit que «nul ne peut être inquiété pour ses opinions, même religieuses».

* 38 Il s'agit d'un principe énoncé aux termes de l'article premier de la Constitution française de 1958.

* 39 Cf notamment une décision récente du 15 novembre 2007, n° 2007-557 DC.

* 40 Cette possibilité repose sur le principe selon lequel certains traitements, au regard de leur finalité même, exigent de traiter de telles données.

* 41 Loi n° 2004-801, art. 6.

* 42 Nous prenons le cas de figure des fichiers de sécurité car c'est un type de traitement en plein essor.

* 43 Loi 2004-801, art.29.

* 44 Fichier Eloi, Conseil d'État, 12 mars 2007, (N°s 297888, 297896, 298085).

* 45 Cf décret 2007-1890 du 26 décembre 2007.

* 46 Sylvia Preuss-Laussinotte, op. Cit, p. 244.

* 47 Dans ses travaux de recherche, il a développé une analyse de l'impact réel de la CNIL dans l'élaboration du STIC.

* 48 CNIL, délibération 98-097 du 24 novembre 1998.

* 49 Loi n° 2004-801, art. 38.

* 50 Ibid., art. 39 et s.

* 51 Moon, CE, 2002 et Skandrani, CE, 2006






Bitcoin is a swarm of cyber hornets serving the goddess of wisdom, feeding on the fire of truth, exponentially growing ever smarter, faster, and stronger behind a wall of encrypted energy








"La première panacée d'une nation mal gouvernée est l'inflation monétaire, la seconde, c'est la guerre. Tous deux apportent une prospérité temporaire, tous deux apportent une ruine permanente. Mais tous deux sont le refuge des opportunistes politiques et économiques"   Hemingway