L’article ci-dessous est issu d’une journée organisée à Bruxelles en juin dernier par l’association Culture & Démocratie sur le thème : « Penser la culture en commun(s) ». J’avais été invité à y animer un atelier sur les liens entre propriété intellectuelle et Communs culturels. Le texte reprend et développe les questions mises en discussion ce jour-là. Il marque une certaine évolution – sinon même une rupture – dans ma manière d’aborder cette question des Communs culturels.

Table des matières

A l’origine, des rapports conflictuels sous le signe de l’enclosure

Une mise en synergie possible grâce aux licences libres

Les limites d’une approche exclusive par la Culture libre

Repenser les Communs culturels comme des « Communs sociaux »

D’autres voies possibles de conciliation, à travers les droits culturels et les droits sociaux ?

La notion de « Communs culturels » s’est construite en réaction à certaines évolutions de la propriété intellectuelle, perçue comme un phénomène « d’enclosure » par les défenseurs des Communs[1]. Modelé à partir de la matrice des « Communs de la connaissance » ou des « Communs immatériels », le concept de « Communs culturels » présente une morphologie découlant pour une grande part de ce rôle « défensif » qui fut originellement le sien. D’une certaine manière, on peut dire que la propriété intellectuelle a même « informé » le concept de « Communs culturels » en surdéterminant ses traits principaux.

Dans un rapport remis au Ministère de la Culture en 2017[2], Joëlle Farchy et Marie de la Taille retracent les étapes de la génèse du concept dans un paragraphe intitulé « Penser la Culture comme un Commun » :

                Au milieu des années 1990, la rencontre des communs et du numérique (digital commons) prend forme au sein d’un petit réseau d’institutions universitaires. Le Berkman Center (Université d’Harvard) en particulier, met en contact un ensemble d’acteurs, d’idées et de mouvements étroitement liés au partage des œuvres et des informations sur Internet. Le noyau d’universitaires qui participe à la rencontre des communs et du numérique se nourrit directement des travaux des économistes sur les communs. Lawrence Lessig y trouve une source d’inspiration théorique importante. James Boyle (2003), un des membres de ce noyau, applique la notion d’« enclosure » des terres communes à l’appropriation du domaine public    des œuvres.

                La notion de commun numérique s’impose progressivement comme un cadre de référence pour toutes ces réflexions. L’apport intellectuel de Lawrence Lessig va se révéler déterminant. Son ouvrage The future of ideas (2001) développe une nouvelle conception de la culture en tant que commun à l’ère numérique et matérialise un effort d’hybridation entre utopies numériques et théorie des communs. Il interroge, pour la première fois, l’applicabilité de la philosophie du libre à la culture. Lawrence Lessig définit le « programme » de la free culture : partage des œuvres, valorisation d’une réception « active » qui porte en germe des   réutilisations et des recréations futures, adoption d’un système de gestion commun et    décentralisé de la ressource artistique, lui-même étroitement articulé autour de la ressource technique que constitue le réseau Internet.

Si cette construction initiale des « Communs culturels » s’est avérée dans un premier temps féconde, elle est aujourd’hui devenue problématique à plus d’un titre. Sur le plan théorique, un consensus s’est peu à peu établi pour identifier et analyser les Communs à l’aide du triptyque : 1) ressource partagée, 2) communauté, 3) règles et gouvernance[3]. Mais la littérature sur les Communs dans le champ culturel est longtemps restée largement focalisée sur le premier élément, en cherchant à définir le concept par le biais des caractéristiques propres de la ressource (opposition entre rivalité des biens matériels et non-rivalité des biens immatériels, notamment)[4]. Par ailleurs, il est fréquent que les Communs culturels restent identifiés aux créations placées sous licence libre, ce qui provoque un autre type de focalisation cette fois sur le troisième élément du triptyque, les règles d’usage. Mais cette approche – à la fois « essentialiste » et juridico-centrée – tend à occulter l’élément « communauté », alors même qu’on tend de plus en plus à considérer qu’il s’agit de l’aspect essentiel à prendre en considération lorsqu’on analyse les Communs.

C’est ce que laisse entendre Benjamin Coriat dans le passage suivant[5] :

                 il n’y a pas de commun sans commoners, c’est-à-dire sans action collective. C’est  au demeurant celle-ci (l’action collective menée par les commoners) qui est en général l’élément principal qui définit tout à la fois les droits noués autour du commun et son mode de gouvernance, et donc sa pérennité dans le temps.

Plus exactement, c’est le « commoning[6] » – à savoir l’agir ensemble, la capacité d’auto-organisation et la pratique instituante des groupes – qui constitue dans tout Commun la matrice essentielle et la source de la dynamique sociale dont ils sont les vecteurs. Peu importe au fond qu’un commun soit « naturel » ou « culturel », qu’il soit matériel ou immatériel, car il n’est de Commun que « social »[7]. Or c’est cette dimension sociale des Communs culturels qui, jusqu’à présent, est restée dans l’ombre ou, de manière plus problématique encore, a pu conduire à parler de « Communs culturels » alors même que cette dimension sociale est en réalité absente ou très réduite.

Ces considérations plaident pour un réinvestissement de la notion de « Communs culturels » en procédant à leur redéfinition en tant que « Communs sociaux ». Cette réorientation a d’abord un intérêt théorique, car elle permet de sortir des limites de la propriété intellectuelle dans lesquelles la réflexion sur la dimension culturelle des Communs est trop longtemps restée enfermée. Mais l’appréhension en termes de « Communs sociaux » favorise aussi l’investissement d’autres terrains, comme ceux du droit social ou des droits culturels, qui peuvent offrir l’occasion de recomposer les alliances au sein des mouvements sociaux intéressés par ces questions.

A l’origine, des rapports conflictuels sous le signe de l’enclosure

C’est par le biais de la notion « d’enclosure » que les Communs et le droit d’auteur sont d’abord entrés en relation (ou en collision) dans le domaine de la Connaissance et de la Culture. Dans son ouvrage fondateur « The Public Domain : Enclosing the Commons of The Mind[8] », le juriste américain James Boyle évoque en 2008 un « second mouvement historique d’enclosure » qui frapperait les productions de l’esprit humain après celui qui a affecté les terres au tournant de la Révolution industrielle à partir de la fin du XVIIIème siècle.

Tout comme les droits d’usage coutumiers ont peu à peu été supprimés par l’attribution progressive de droits exclusifs de propriété sur les terres communales, l’avènement du droit d’auteur au début du XIXème siècle a provoqué une « privatisation » du domaine public, là où l’usage des œuvres restaient auparavant libre. Alors que la création a longtemps gardé une dimension incrémentale et collective (mode d’écriture des mythologies sous l’Antiquité ou des chansons de geste au Moyen-Age), elle tend peu à peu s’individualiser jusqu’à déboucher sur la figure d’un « auteur » capable « d’originalité ». Sur le plan économique, l’introduction du droit d’auteur provoque aussi des conséquences considérables qui singularise les auteurs au sein de la société. Les auteurs vont en effet constituer les seuls « producteurs » à être rémunérés par le biais d’un mécanisme de propriété sur leurs oeuvres, mais sans que leur temps de travail soit directement rémunéré[9]. C’est la logique promue notamment par Beaumarchais à la Révolution française qui visait originellement à garantir l’indépendance des auteurs à travers des moyens de subsistance ne dépendant plus seulement de mécènes, mais assis sur le reversement à l’auteur d’un pourcentage du prix de vente à chaque utilisation de son œuvre[10].

Le régime original du droit d’auteur, tel que conçu par les Révolutionnaires français, était pourtant relativement équilibré et il faisait une place importante à la question des droits d’usage du public. Les lois révolutionnaires prévoyaient notamment une durée limitée à la protection du droit d’auteur (10 ans après la mort du créateur) à l’issue de laquelle les œuvres retournaient au domaine public et redevenaient librement réutilisables. Mais au fil du temps, cette durée s’est considérablement allongée pour atteindre aujourd’hui 70 ans après la mort de l’auteur. A cela, s’ajoute le fait que la propriété intellectuelle a aussi gagné en portée, en saisissant des usages toujours plus étendus, même lorsqu’ils sont accomplis dans un cadre non-commercial (usage pédagogique et de recherche, par exemple). Paradoxalement, alors que le droit d’auteur était à l’origine conçu comme un mode de régulation des rapports des créateurs avec des intermédiaires économiques (éditeurs, producteurs, etc.), il a fini aussi par concerner la relation du public aux œuvres, alors que ce n’était pas son objectif premier[11].

Cette extension du champ d’application du droit d’auteur s’est même renforcée avec l’avènement d’Internet et du numérique. Là où un grand nombre d’usages collectifs non-marchands de la culture restaient libres dans la sphère analogique (prêter un livre imprimé à un ami, le donner, le revendre même, etc.), ils deviennent illégaux dès lors que les contenus sont numérisés (interdit de prêter un ebook, même à titre gratuit). Cette tension latente a véritablement éclaté à la fin des années 90 avec la lutte contre le piratage des contenus sur internet, via le téléchargement illégal. Alors même que le dommage économique causé par ces pratiques, du moment qu’elles restent non-marchandes et décentralisées, n’a jamais été réellement établi[12], elles ont entraîné en retour un durcissement des règles du droit d’auteur, qui l’entraîne peu à peu dans une véritable spirale répressive.

Là encore, on peut y voir la progression d’une forme d’enclosure, frappant non plus seulement la Culture, mais Internet en tant qu’infrastructure de production et de circulation des oeuvres, laquelle avait été à l’origine pensée comme un bien commun. Dernier avatar d’une longue série de dérives répressives, la directive sur le Copyright en cours d’adoption au niveau européen, prévoit l’imposition d’un filtrage automatique a priori des contenus sur les plateformes, qui matérialiserait une barrière redoutable à la publication, faisant craindre des conséquences néfastes sur la liberté d’expression et de création[13].

On voit donc que le premier rapport entre Communs culturels et droit d’auteur a été celui d’une tension et même d’une opposition. Charlotte Hesse, l’une des collaboratrices d’Elinor Ostrom, avec qui elle a travaillé sur la connaissance envisagée comme un Commun, définissait même les Communs informationnels principalement par le fait qu’ils sont « susceptibles d’appropriation » et donc sensibles aux enclosures, y compris (et voire même surtout) sous forme numérique[14].

Une mise en synergie possible grâce aux licences libres

Une première forme de réduction de cette tension s’est manifestée grâce aux licences libres, à partir des années 90. Nées d’abord dans le secteur du logiciel[15], elles permettent au titulaire d’un droit d’auteur de conférer publiquement des droits d’usage à des réutilisateurs, plutôt que d’imposer par défaut des restrictions, tout en gardant un certain niveau de contrôle, plus ou moins étendu selon les licences. Ces mécanismes de mise en partage s’avèrent particulièrement intéressants dans les secteurs où la création peut s’opérer en mode collaboratif. C’est le cas pour les logiciels, et par extension, pour des projets comme l’encyclopédie Wikipédia, où un grand nombre de contributeurs peuvent donner naissance à des Communs numériques ou Communs de la connaissance. Le « coup de génie » des licences libres est de s’appuyer sur les mécanismes même du droit d’auteur, qui a toujours autant constitué un pouvoir d’autoriser que d’interdire, mais en systématisant l’effet des autorisations données. Elles forment ce que Valérie Peugeot appelle des « normes juridiques ascendantes » qui ont pu être produites directement par la société civile et produire des effets puissants, sans avoir besoin de modifier l’arrière-plan législatif, celui-ci lui conférant néanmoins une valeur juridique opposable en justice.

Ce tournant a été théorisé dès les années 90 par Elinor Ostrom et Charlotte Hesse dans l’ouvrage « Understanding Knowledge as a Commons[16] » (envisager la connaissance comme un Commun) où elles étendent leur cadre d’analyse initialement développé à propos des Commons Pool Resources (ressources naturelles mises en commun, comme des pâturages, des pêcheries, etc.). Bien que la connaissance ait des caractéristiques très différentes de ces ressources (bien non-rival/bien rival, reproductibilité et transmission à coût quasi-nul), elle peut faire l’objet d’une « mise en commun » ou plus exactement d’une « production en commun » (on parle de « communs additifs » par rapport à des « communs soustractifs », car l’usage de la ressource lui donne de la valeur au lieu de la consommer). Ostrom et Hesse expliquent que depuis des siècles, les bibliothèques ou la production des connaissances scientifiques par les chercheurs préfiguraient déjà ces formes de Communs de la connaissance, mais ceux-ci prennent leur véritable essor avec l’avènement d’Internet. Les grandes réalisations collaboratives du numérique (Linux, Wikipédia, Open Street Map) présentent en effet les traits constitutifs des Communs : 1) des ressources partagées, 2) produites et gérées par des communautés, 3) qui mettent en place des règles de gouvernance dédiées. Plus tard, la logique initiale des licences libres a été étendue au champ des créations culturelles proprement dites, notamment par le biais des licences Creative Commons, applicables à tous les types d’œuvres (textes, musiques, photos, vidéos, jeux, etc.) et simplifiées de manière à être facilement appropriables par des non-juristes. Quinze ans après leur lancement, plus d’un 1, 5 milliard d’œuvres sont diffusées sur Internet sous licences Creative Commons formant une large ressource partagée au niveau mondial[17].

Grâce à leur modularité, les licences Creative Commons favorisent aussi la mise en place de modèles économiques pour les créateurs, permettant d’aller au-delà des simples pratiques amateurs. Pour donner un exemple concret, le dessinateur français David Revoy, qui produit la BD Open Source « Pepper and Carrot » utilise une licence permettant une réutilisation très large de son œuvre (y compris à des fins commerciales et en autorisant la modification). Il a réussi à rassembler autour de lui une large communauté de lecteurs, qui ont traduit collaborativement ses productions dans une dizaine de langues et produit de multiples déclinaisons de son univers (jeux de société, jeu vidéo, dessin animé, etc.). En faisant appel au financement participatif du public, David Revoy gagne près de 3000 euros par mois, c’est-à-dire une somme plus élevée, mais surtout bien plus prévisible, que ce que peuvent toucher la grande majorité des auteurs de BD classiques via leurs ventes d’albums. Des éditeurs traditionnels participent d’ailleurs également au financement de l’artiste et lui assurent une diffusion sous forme imprimée de son œuvre à travers les circuits traditionnels (librairies, etc.)[18].

Dans ce type de cas, les licences libres ouvrent des droits d’usage sur l’œuvre, mais on assiste surtout à un renversement de la logique initiale du droit d’auteur. Le créateur renonce ici volontairement à l’essentiel de son droit de propriété sur l’œuvre, mais le public lui assure en retour une rémunération de son travail. Plus exactement, elle ne finance pas le travail passé, mais donne au créateur les moyens de continuer à travailler dans le futur. Dans cette configuration, le public « produit » l’œuvre au sens où l’on parle de « production » dans la musique ou dans l’audiovisuel. On est dans une situation proche de celle des AMAP où des personnes se rassemblent pour permettre à un agriculteur de développer une production en lui assurant une rémunération digne[19]. Au lieu de voir la création comme un processus où l’auteur produit l’œuvre, qui « produit » en retour son public, on peut dire ici que c’est le public rassemblé en une communauté qui produit l’œuvre et in fine le créateur lui-même. Si bien que du point de vue des Communs, il serait plus juste dire ici de dire que la ressource dont la communauté prend soin n’est pas l’œuvre en tant que telle, mais la capacité à créer de l’auteur.

Les limites d’une approche exclusive par la Culture libre

Ce type d’exemple doit cependant être manié avec précaution, car il reste en réalité encore assez rare qu’une telle synergie entre un créateur et son public parvienne à se mettre en place, en assurant un moyen pérenne de subsistance à l’auteur. Plus largement, l’assimilation fréquente des Communs culturels à la Culture libre soulève un certain nombre de questions. Suffit-il en effet de mettre une œuvre sous licence libre pour donner naissance à un « Commun culturel » ? En réalité, les progrès récents de la théorie des Communs montrent que cette dimension n’est sans doute pas suffisante, ni même à vrai dire toujours nécessaire.

Le domaine dans lequel les licences Creative Commons sont le plus utilisées est celui de la photographie, notamment sur la plateforme Flickr, qui constitue le plus grand réservoir d’œuvres réutilisables au monde, avec plusieurs centaines de millions d’œuvres sous CC. Mais s’agit-il pour autant d’un « Commun culturel » ? Chaque photo prise en elle-même mérite-t-elle l’appellation de « Commun culturel » ? Sans doute pas. Imaginons qu’une personne poste une photo sur Flickr en la mettant sous Creative Commons et qu’une autre, à l’autre bout du globe, la réutilise. Où se trouve au juste le Commun dans ce processus ? Deux personnes ne font pas communauté, surtout lorsqu’elles ne communiquent pas entre elles, ce qui est en réalité le but même des licences (permettre la réutilisation des œuvres en baissant les « coûts » de transaction que constituent les prises de contact directes). Au niveau global, la masse des œuvres sous Creative Commons, comme les photos sur Flickr, ne constitue pas non plus réellement un Commun, car à l’inverse de Wikipédia, cette ressource ne fait pas l’objet d’une gouvernance par une communauté qui serait à même de se donner des règles pour décider de sa gestion[20]. La dimension collective du processus fait défaut, car la ressource n’est ici que le produit d’une myriade de décisions individuelles adoptées par chaque auteur de photographies. Dès lors, parler de « Communs culturels » à cet endroit est sans doute un abus de langage ou bien il faudrait se résoudre à parler seulement d’un « communauté diffuse » comme le propose par exemple Judith Rochfeld[21], mais au risque de perdre l’essentiel de la dimension communautaire et d’étiqueter comme des Communs des pratiques qui en sont en réalité très éloignées. Par ailleurs, ces contenus étant diffusés via une plateforme propriétaire comme Flickr, ils restent largement soumis aux conditions imposées par cet acteur et la plateforme a même fait dans son histoire l’objet de rachats par des entreprises, sans que la communauté n’ait pu rien à en dire.

On butte donc sur une certaine forme d’aporie découlant du fait que l’appréhension des Communs culturels est longtemps restée trop focalisée sur l’élément « ressource » (l’œuvre) et surdéterminée par les questions juridiques (les licences). Dès lors, on a pu penser qu’il suffisait qu’un créateur individuel place une œuvre sous licence libre pour qu’un Commun culturel soit constitué, ou que cet acte puisse être regardé comme une « contribution aux communs », sans prendre suffisamment en compte la question de la communauté et de sa gouvernance. Or les évolutions récentes de la théorie des Communs incitent au contraire à accorder plus d’importance à la communauté, au point même de considérer qu’il s’agit de l’élément central du triptyque[22]. En réalité, en dehors des logiciels libres (et encore seulement certains d’entre eux[23]) et de quelques projets collaboratifs comme Wikipédia, rares sont les hypothèses où des « Communs culturels » sont réellement produits par des communautés capables d’auto-organisation.

La focalisation sur la Culture libre a aussi pour conséquence de faire des Communs culturels un phénomène résiduel à plus d’un titre. La Culture libre reste pour l’instant une pratique relativement marginale, qui n’a pas réussi encore, sauf à quelques exceptions, à dépasser le stade d’une contre-culture et ses différents courants sont par ailleurs trop éclatés pour qu’on puisse parler d’un véritable mouvement cohérent, partageant davantage que des valeurs assez lointaines. Il n’y a donc pas de réelle structuration des acteurs pratiquant la Culture libre, à travers des institutions qui donneraient corps à une réelle dynamique sociale. La fondation Creative Commons par exemple a pour rôle essentiel de maintenir les jeux de licences et de les faire évoluer[24]. Elle s’est certes aussi donnée pour mission d’animer et de développer la communauté des utilisateurs de ces licences, mais elle le fait à partir d’un niveau global où la notion même de communauté tend à se dissoudre dans le flou.

Par ailleurs, l’isolement de la Culture libre se traduit aussi par le fait que les œuvres sous licence libre ont du mal à s’intégrer dans les circuits classiques de la production et de la diffusion des œuvres culturelles (subventions publiques, système de gestion collective, canaux de distribution et de diffusion, comme les cinémas, les radios, la télévision, l’édition, les librairies, les salles de concert, les bibliothèques, etc.). On a pu penser un temps qu’Internet allait permettre de se passer de ces intermédiaires, mais ils continuent en pratique à jouer un rôle important de médiation dans la construction des objets culturels. Par ailleurs, se couper de ces circuits rend généralement complexe le passage du statut d’amateur à celui de professionnel pour les créateurs. Certes, le secteur culturel tout entier est affecté par cette difficulté pour les créateurs à dégager des moyens de subsistance décents à partir de leurs pratiques[25], mais sans doute est-ce encore plus vrai pour les créateurs qui font le choix de la libre diffusion, sauf pour ceux – en nombre limité – qui arrivent à susciter le soutien d’un public rassemblé autour d’eux en communauté.

Enfin, un dernier paradoxe montre qu’on ne peut réduire la question des Communs culturels au seul champs des licences libres. En effet, si l’on se base sur le volume et l’intensité des pratiques, alors on doit admettre qu’Harry Potter est sans doute le plus grand Commun culturel au monde ! En effet, son auteure, J.K. Rowling a autorisé de manière assez large ses fans à créer en empruntant des éléments de son univers, du moment qu’ils ne font pas de leurs productions un usage commercial. Depuis, ce sont des millions de personnes, partout dans le monde, qui écrivent des histoires prolongeant celles des romans en développant le matériau de base, un peu à la manière dont les mythologies procédaient dans les temps anciens[26]. Par ailleurs, les communautés de fans qui produisent ces créations dérivées (fan-art, fan-films, etc.) sont organisées en groupes structurés, chacune dédiée à une œuvre donnée (fandom), qui se rassemblent par l’intermédiaire de forums, de clubs, de magazines, etc. Dans le domaine des fanfictions, les personnes qui produisent des histoires dans des univers d’emprunt forment de véritables communautés d’entraide et de pratiques, dédiée à l’apprentissage mutuel de l’écriture. On retrouve bien là les différentes caractéristiques des Communs (ressource/communauté/règles) et sans doute même d’une manière plus convaincante que dans bien des hypothèses de production d’œuvres sous licence libre.

Repenser les Communs culturels comme des « Communs sociaux »

Il y a donc dans la manière même dont les Communs culturels ont été pensés jusqu’à présent quelque chose de défectueux finissant par nous orienter vers des objets qui ne correspondent pas à ce que beaucoup considèrent aujourd’hui comme le cœur de la théorie des Communs : à savoir le commoning lui-même, la capacité d’auto-organisation des groupes humains et leur faculté à enclencher des dynamiques instituantes originales, avec une visée de transformation sociale dans le sens de la justice, de l’inclusion et de la démocratie. La phrase souvent citée de Peter Linebaugh : « There is no commons without commoning[27] » aurait davantage dû être prise au sérieux, mais la formulation même des critères sous la forme d’un tryptique (ressource/communauté/gouvernance) tend à favoriser une approche analytique qui ne facilite pas l’appréhension du commoning comme une dynamique sociale[28]. C’est dans doute particulièrement vrai à propos des Communs culturels, parce qu’ils ont d’abord été construits en réaction à un risque d’enclosure provoqué par l’extension de la propriété intellectuelle. Les « Communs de la connaissance », puis les « Communs culturels » ont été pensés comme une réponse à cette menace, mais en les construisant exactement sur le même plan que celui de l’enclosure. Cet « effet miroir » joue de plusieurs façons : comme la propriété intellectuelle elle-même, le concept de « Commun culturel » a tendance à rester trop abstrait, trop centré sur les aspects juridiques, ; il survalorise la figure de l’auteur isolé et il s’attache principalement à l’œuvre.  Dès lors les « Communs culturels » ne sont finalement dans cette construction qu’une ombre portée de ce qui provoque l’enclosure. Tout se passe comme si l’enclosure de la propriété intellectuelle avait produit des effets pratiques, mais aussi théoriques, en façonnant jusqu’à la réponse que les commoners entendaient lui apporter…

Pour redonner une véritable « substance humaine » aux Communs culturels, il semble important de dégager le concept de ces infirmités et de le reconnecter à la notion de « Communs sociaux » tels notamment que les définit Hervé Defalvard[29] :

            Nous sommes désormais en mesure de définir les communs sociaux comme des communs dont la ressource mise en commun est sociale au sens des « biens communs sociaux » définis en Italie par Barsani (2011, p.94-95), dont les droits d’accès ont une visée universaliste et dont la gouvernance collective construit leurs facteurs de conversion de manière toujours locale et démocratique au sens du triptyque d’Hirschman : exit, voice, loyalty. Autrement dit, par rapport à la ressource qui est rendue accessible par un commun social, les commoneurs doivent être en mesure de la refuser (exit), de la discuter (voice) ou de la choisir réellement (loyalty). La définition des « biens communs sociaux » dans la tradition juridique italienne permet de dessiner un premier périmètre pour les ressources sociales, comprenant l’emploi, la santé, la culture, l’éducation, le logement, la mobilité, l’énergie, l’alimentation, dont les droits doivent les rendre accessibles universellement et selon une démocratie locale.

Un nombre grandissant d’auteurs s’intéressant aux Communs considèrent en effet qu’il faut en finir avec l’approche « économiciste » qui appréhende les Communs principalement à partir des caractéristiques des biens. Peu importe au fond que l’on ait affaire par exemple à des Communs matériels ou immatériels, naturels ou culturels, car en définitive, il n’y a que des « Communs sociaux », au sens d’un groupe humain s’auto-organisant pour donner corps à une idée d’œuvre partagée en se donnant pour cela une forme institutionnelle adaptée à leurs besoins par le biais d’une délibération collective. Et là où il n’y a pas de Commun social, alors il faut considérer qu’il n’y a pas de Commun tout court, quand bien même pourrait-il y avoir des ressources partagées.

Dans le champ culturel, il paraît en réalité bien plus cohérent de parler de « Communs » pour désigner par exemple l’activité de collectifs d’artistes, partageant des moyens et travaillant en groupe pour produire des œuvres, même si finalement leurs productions ne sont pas partagées sous licence libre. Le rattachement de ces pratiques aux Communs est sans doute plus cohérent dans une telle hypothèse que lorsqu’on considère qu’un créateur isolé pourrait « contribuer aux Communs » simplement en plaçant une de ses œuvres sous licence libre. Car un groupe de créateurs partageant par exemple un même lieu se confronte nécessairement à la pratique du commoning, tandis que cela n’est vrai que dans certains cas, finalement assez rares, pour les Communs culturels produits sous forme numérique.

Il ne s’agit cependant pas de renier l’approche par la Culture libre. L’idéal serait même d’arriver à faire en sorte que ces deux dimensions puissent finalement se rejoindre et que les groupes concrets de créateurs organisant leur travail en commun dans des espaces partagés puissent in fine également partager leurs productions sous licence libre[30]. Ce serait une manière d’allier des ressources partagées au niveau global sur Internet avec des Communs socio-culturels concrets au niveau local. De la même manière que Michel Bauwens appelle à une convergence du mouvement de l’ESS et des Communs à travers des « Coopératives Ouvertes[31] », on pourrait prôner une évolution des communautés de travail artistique sous la forme de « collectifs ouverts de créateurs ». Le mouvement des Fablabs- où du moins ceux d’entre eux qui restent fidèle à la philosophie originelle de ce mouvement[32] – préfigurent peut-être ce type nouveau de « Communs de la création » et les nombreuses formes de tiers-lieux artistiques (ateliers partagés, friches industrielles occupées, etc.[33]) pourraient être la matrice d’un dépassement de l’évanescence des « Communs de la connaissance » pour revenir à un ancrage dans des pratiques sociales concrètes, sans pour autant perdre en chemin la dynamique de partage qui était celle de la Culture libre.

D’autres voies possibles de conciliation, à travers les droits culturels et les droits sociaux ?

Enfin, sans abandonner complètement le terrain de la propriété intellectuelle, il paraît essentiel sur le plan juridique de ne plus enfermer la question des Communs culturels uniquement dans le champ du droit d’auteur, pour s’ouvrir à un dialogue avec d’autres types de droits, comme les droits culturels et les droits sociaux.

Plusieurs tentatives ont eu lieu pour essayer de réformer le système de propriété intellectuelle dans un sens favorable aux Communs culturels. Ces propositions se concevaient comme une réponse à l’enclosure résultant de l’allongement et de l’intensification des droits de propriété intellectuelle. Cela se traduisit par exemple par des efforts pour obtenir la légalisation du partage non-marchand des œuvres sur Internet ou la légalisation des pratiques transformatives (mashup, remix, création par les fans, etc.)[34]. Si elles avaient été couronnées de succès, ces propositions auraient en quelque sorte abouti à faire passer les objets culturels en ligne par défaut sous licence libre sous l’effet de la loi. Or politiquement, ces projets ont pour l’instant tous échoué, et ils ont même provoqué en retour une réaction défensive des industries culturelles, ayant conduit à un durcissement des règles de la propriété intellectuelle.

S’il en est ainsi, c’est en partie parce que ces idées n’ont pas permis de former des coalitions politiques modifiant substantiellement les rapports de forces. Notamment, elles n’ont pas rallié à ce jour un nombre suffisant de créateurs, afin d’atteindre le poids symbolique qui serait nécessaire pour faire bouger les lignes. Pourtant, la question du financement de la création n’était pas absente de certaines de ces propositions de réformes, notamment à travers les formules de type licence globale/contribution créative/mécénat global, qui auraient pu constituer des moyens puissants de renforcer les capabilités culturelles des individus souhaitant se consacrer aux pratiques créatives[35].

A la nécessité de repenser les Communs culturels sous la forme de « Communs sociaux » répond aussi celle d’investir le champ des droits culturels et des droits sociaux qui permettront peut-être de nouer de nouvelles conversations avec les créateurs en dégageant de meilleurs compromis entre l’ouverture de droits d’usage sur la culture et la construction de droits sociaux adaptés à la situation spécifique des artistes. Comme nous l’avons pointé au début de cet article, le paradoxe du droit d’auteur est de rémunérer les créateurs à travers une propriété, mais sans prendre en compte la dimension spécifique du « travail de création » qui s’en trouve « invisibilisé », avec des répercussions ensuite sur la protection sociale des personnes. Certains statuts, comme celui de l’intermittence du spectacle, permettent d’assurer une rémunération de ce travail, selon des modalités adaptées à la spécificité du secteur de la création[36]. Sans doute serait-il possible de conforter ces mécanismes et de les faire évoluer pour mettre en place un statut social de « contributeur aux Communs culturels ».

Mais les droits culturels paraissent sans doute l’atout le plus précieux pour déclencher de nouvelles conversations, en dénouant les oppositions qui ont empêché jusqu’à présent aux « Communs culturels » d’acquérir une véritable portée politique. Construit autour du « droit à participer à la vie culturelle », les droits culturels se sont considérablement enrichis et ils ont même fait leur entrée depuis peu dans la législation française[37]. Ils ont le potentiel de sortir la réflexion des impasses dans laquelle la propriété intellectuelle nous a trop longtemps enfermé, en opposant les créateurs et le public dans une logique d’affrontement. Car les droits culturels reposent intrinsèquement sur une logique « d’inclusivité », là où la propriété intellectuelle est structurée par une logique « d’exclusivité ». Dans cette approche, nul ne devrait utiliser ses droits culturels pour empêcher autrui de d’exercer les siens : les usages de la culture doivent donc faire l’objet de discussions collectives destinées à prendre en compte les droits de tous et trouver les meilleurs arrangements possibles au plein développement de chacun. Cette dynamique est précisément celle du Commun, à relier aussi avec l’approche italienne des beni comuni, qui en fait des biens communs des éléments essentiels pour l’accès et l’exercice effectifs des droits fondamentaux[38]. Un débat récent, survenu en France autour de la question des lectures publiques, a montré que les droits culturels constituent une opportunité pour former de nouvelles coalitions et réussir à faire jouer les droits fondamentaux au service les uns des autres et non plus les uns contre les autres[39].

Ainsi pourrait s’envisager une réconciliation des droits d’auteur, des droits sociaux et des droits culturels, formant ensemble un nouveau type de « faisceaux de droits » à même de favoriser le développement de « Communs culturels » repensés – avant tout – comme des « Communs sociaux ».

Notes :

[1] Sur cette question des enclosures, voir Lionel Maure. Communs de la connaissance et enclosures. La Vie des idées, 29 septembre 2015 : http://www.laviedesidees.fr/Communs-de-la-connaissance-et-enclosures.html

[2] Joëlle Farchy, Marie de la Taille. Les licences libres dans le secteur culturel. Rapport de mission pour le CSPLA. Décembre 2017 : http://www.culture.gouv.fr/Thematiques/Propriete-litteraire-et-artistique/Conseil-superieur-de-la-propriete-litteraire-et-artistique/Travaux/Missions/Mission-du-CSPLA-sur-l-economie-des-licences-libres-dans-le-secteur-culturel

[3]Voir Le portail des Communs. Une introduction à la notion de Communs : http://lescommuns.org/

[4]Voir Maud Pelissier. Les Communs culturels : Un nouvel écosystème de création et de médiation culturelles. Métamorphoses numériques. Art, culture et communication, 123.

[5] Benjamin Coriat. Qu’est-ce qu’un Commun ? Quelles perspectives le mouvement des Communs ouvre-t-il à l’alternative sociale ? Les possibles, n°5, 6 janvier 2015 : https://france.attac.org/nos-publications/les-possibles/numero-5-hiver-2015/dossier-les-biens-communs/article/qu-est-ce-qu-un-commun

[6]On doit le terme de « commoning » à l’historien Peter Linebaugh. Pour une investigation détaillée de la notion, Voir Valérie Fournier. Commoning: on the social organisation of the commons. M@n@gement

2013/4 (Vol. 16) : https://www.cairn.info/revue-management-2013-4-page-433.htm

[7]Sur les « communs sociaux », voir Hervé Defalvard. Des communs sociaux à la société du commun. RECMA

2017/3 (N° 345). “A la suite des communs traditionnels autour des ressources naturelles et des nouveaux communs autour des ressources numériques, les communs sociaux constituent la mise en  commun de ressources dotées de droits universels tels que la santé, la culture ou l’emploi, dont la gestion collective assure un accès local et démocratique à chacun(e).”

[8]James Boyle. The Public Domain : Enclosing The Commons Of The Mind. Yale University Press, 2008.

[9]A l’inverse, dans le cadre d’un contrat de travail classique, le travailleur-employé est payé, soit à la pièce, soit au temps passé à travailler, sans être propriétaire ensuite du fruit de son travail. La position des auteurs est strictement inversée : le droit d’auteur les rend propriétaires du fruit de leur travail sur lesquels ils vont ensuite céder des droits à des intermédiaires, mais sans que le temps du travail de création soit en lui-même rémunéré. Si comme le dit l’économiste hongrois Karl Polanyi, le travail est devenu une « marchandise fictive » à partir de la Révolution, on voit que le travail de création a connu un sort particulier. Car si l’œuvre est bien « marchandisée » par l’effet d’un droit de propriété négociable ensuite sur le marché, le travail de création est de son côté « invisibilisé ». Cependant en pratique, des aménagements servent parfois à rémunérer de manière détournée ce travail (pratique des avances sur recettes dans l’édition ou des cachets dans la musique ou le cinéma). Preuve d’ailleurs du caractère difficilement soutenable de cette « fiction » particulière qu’est l’œuvre de l’esprit propriétarisée en tant que mode de subsistance des créateurs.

[10]Anne Latournerie. Petite histoire des batailles du droit d’auteur. Multitudes, 2001/2 (n° 5).

[11]L’évolution du droit moral des auteurs est de ce point de vue significative. A l’origine, le droit moral constitue un moyen de rééquilibrage de la relation entre l’auteur et un intermédiaire économique (producteur, éditeur). Il a pour fonction de préserver l’indépendance de l’artiste dans la relation avec plus puissant que lui et d’éviter que son état de dépendance économique n’interfère dans le processus de création en lui en réservant la maîtrise. En ce sens, le droit moral remplissait une fonction de « droit social » en évitant au créateur de retomber dans un rapport de subordination dans sa relation avec ses financeurs. Mais dès lors que l’on applique le droit moral, et notamment le droit à l’intégrité de l’œuvre, vis-à-vis du public et des autres créateurs, tout change. Car on transforme la fonction sociale originale du droit moral en une fonction « anti-sociale » : le droit moral qui garantissait l’indépendance du créateur devient un instrument qui place les autres créateurs dans une dépendance d’autant plus problématique qu’elle est arbitraire, et peut d’ailleurs s’analyser comme une certaine forme de subordination exercée par l’auteur sur le public et les autres créateurs.  Voir Lionel Maurel. Daniel Buren contre le Street Art (ou la trahison du droit moral). S.I.Lex, 16 juin 2018 : https://scinfolex.com/2018/06/16/daniel-buren-contre-le-street-art-ou-la-trahison-du-droit-moral/

[12]Voir La Quadrature du Net. Studies on file sharing : https://wiki.laquadrature.net/Studies_on_file_sharing

[13]Marc Rees. Directive Droit d’auteur : à l’ONU, les inquiétudes du Rapporteur spécial à la liberté d’expression. Next INPACT, 18 juin 2018 : https://www.nextinpact.com/news/106737-directive-droit-dauteur-a-onu-inquietudes-rapporteur-special-a-liberte-dexpression.htm

[14]Charlotte Hesse. Inscrire les communs de la connaissance dans les priorités de recherche. In Libres Savoirs : les biens communs de la connaissance. C&F Editions, 2011 : http://www.sietmanagement.fr/wp-content/uploads/2016/04/Vecam.pdf

[15]Histoire et cultures du Libre. Framabook, 2013 : https://framabook.org/histoiresetculturesdulibre/

[16]Elinor Ostrom, Charlotte Hesse (dir.) Understanding Knowledge As A Commons. MIT Presse, 2007.

[17]Creative Commons. State of The Commons, 2017 : https://stateof.creativecommons.org/

[18]Calimaq. Pepper et Carrot : une bande dessinée Open Source publiée chez Glénat. S.I.Lex, 30 août 2016 : https://scinfolex.com/2016/08/30/pepper-et-carrot-une-bande-dessinee-open-source-publiee-chez-glenat/

[19]Il existe d’ailleurs aussi des « AMAP culturelles », appelées AMACCA (Associations pour le Maintien des Alternatives en matière de Culture et de Création Artistique) : http://bienscommuns.org/blog/wp-content/uploads/2009/12/Dossier-AMACCA1.pdf

[20] A ce sujet, Benjamin Coriat propose une distinction utile entre Biens communs et Communs. Les premiers constituent des ressources partagées qui ne font pas l’objet d’une véritable gouvernance instituée, alors que les seconds répondent aux trois critères classiques (ressource/communauté/gouvernance). Dans cette optique, les photographies sur Flickr peuvent être vues comme des biens communs, mais pas comme des Communs au sens propre du terme. Voir Benjamin Coriat, op.cit.

[21]Judith Rochfled. Communauté positive / negative / diffuse, in M. Cornu, F. Orsi, J. Rochfeld, Dictionnaire des biens communs, PUF, Quadrige, 2017

[22]Pour une autre approche des Communs, centrée sur l’agir commun et quasiment capable de se passer de l’élément ressource, voir Pierre Dardot et Christian Laval. Commun : essai sur la révolution du 21^ème siècle. La Découverte, 2014.

[23]Emmanuelle Helly. Le logiciel libre est-il un Commun ? Framablog, 29 septembre 2017 : https://framablog.org/2017/09/29/le-logiciel-libre-est-il-un-commun/

[24]Creative Commons 2015­2020 Organizational Strategy : https://creativecommons.org/wp-content/uploads/2016/01/CC-Strategy-2016-2020-1.pdf

[25] Pier-Carl Langlais. Le droit d’auteur ne fait vivre qu’une infime minorité d’artistes. Rue89, 8 avril 2015 : https://www.nouvelobs.com/rue89/rue89-rue89-culture/20150408.RUE8597/le-droit-d-auteur-ne-fait-vivre-qu-une-infime-minorite-d-artistes.html

[26]Voir le documentaire, Ce que l’auteur a oublié d’écrire. Emmanuelle Debats, La Gaptière 2016 : https://www.youtube.com/watch?v=TebTzEYQNkY

[27] Voir Commoning. P2P Foundation Wiki : http://wiki.p2pfoundation.net/Commoning

[28] On remarquera par exemple que chez Benjamin Coriat, la formulation du triptyque se fait plutôt sous la forme « ressources/règles/gouvernance », avec disparition de l’élément « communauté », alors que l’importance du commoning est rappelée par ailleurs. Benjamin Coriat, op. Cit.

[29] Voir Hervé Defalvard. op. Cit. Voir également : Pierre Sauvêtre. Les « Communs sociaux » : une métamorphose de l’économie sociale et solidaire ? Recherche sur quelques critères idéal-typiques. juillet 2018. https://www.academia.edu/33916006/Rapport_pour_la_Chaire_ESS_Nord-Pas-de-Calais-Picardie._Les_communs_sociaux_une_m%C3%A9tamorphose_de_l%C3%A9conomie_sociale_et_solidaire_Recherche_sur_quelques_crit%C3%A8res_id%C3%A9al-typiques

[30] Benjamin Coriat fait à cet égard une très utile mise en garde contre la tentation inverse qui consisterait à réduire les Communs à la seule dimension de « l’agir en Commun » en oubliant l’importance du partage des droits de propriété et de la gouvernance. «  L’histoire (notamment celle du mouvement socialiste ou communiste) est jalonnée « d’agir(s) commun(s) » qui se sont traduits par des défaites cinglantes, ou, pire encore, par des solutions qui ont finalement permis le monopole par des minorités du bénéfice des ressources prétendument mises en commun. Il n’y a aucune raison de penser qu’aujourd’hui « l’agir commun », s’il n’est pas explicitement référé à des objectifs de construction de communs dûment spécifiés (et donc de répartition des droits et de formes de gouvernance appropriées), préviendrait ses promoteurs des mêmes échecs et déboires. » Voir op.cit.

[31] Michel Bauwens, Vasilis Kostakis. Manifeste pour une véritable économie collaborative : vers une société des communs. Editions Charles Léopold Meyer, 2017.

[32]Yoann Duriaux, Sylvia Fredriksson.Tiers Lieux Libres et Open Source : repolitisation des pratiques et mécanismes de reconnaissance au sein de configurations collectives. Movilab, mai 2018 : http://movilab.org/index.php?title=Tiers_Lieux_Libres_et_Open_Source_:_repolitisation_des_pratiques_et_m%C3%A9canismes_de_reconnaissance_au_sein_de_configurations_collectives

[33]Arts Factories. Communs et espaces : de quel droit les Communs peuvent se soutenir s’agissant de Culture ? 17 avril 2018 : http://www.artfactories.net/Espaces-et-commun-S-de-quel-droit,2047.html

[34]Voir notamment La Quadrature du Net. Éléments pour la réforme du droit d’auteur et les politiques culturelles liées. 2012 : https://www.laquadrature.net/fr/elements-pour-la-reforme-du-droit-dauteur-et-des-politiques-culturelles-liees

[35]Voir Philippe Aigrain. Sharing : Culture and The Economy in The Internet Age, Amsterdam University Press, 2012 : http://paigrain.debatpublic.net/?page_id=3968

[36] Laura Aufrère. Travailler en commun – enjeux d’émancipation pour les travailleurs du secteur culturel. 13 septembre 2016, Remix The Commons : https://wiki.remixthecommons.org/index.php/Travailler_en_commun_-_enjeux_d’%C3%A9mancipation_pour_les_travailleurs_du_secteur_culturel

[37]Voir UFISC. Note d’introduction aux droits culturels. Septembre 2016 : https://www.opale.asso.fr/IMG/pdf/161010_ufisc_note_droitsculturels_pjtcitoyen.pdf

[38]Voir Irene Favero. CULTURE ET BIENS COMMUNS. UN ENJEU DE DÉMOCRATIE. TRAVAILLER LES COMMUNS PAR LA CULTURE ET LA CULTURE PAR LES COMMUNS. In 9 essentiels pour penser la Culture en commun(s). Culture & Démocratie, 2017 : http://www.cultureetdemocratie.be/documents/Productions/9essentiels/9essentiels_Commun_WEB.pdf

[39]Une société de gestion collective souhaitait taxer les lectures publiques en bibliothèque, mais elle a été obligée de renoncer à ce projet face à l’opposition des bibliothécaires qui dénonçaient une atteinte à l’exercice des droits culturels, mais aussi des principales organisations représentants les auteurs de l’écrit, qui refusaient que leur droit d’auteur soit utilisé pour entraver ainsi les droits d’usage collectif de la culture. Voir Lionel Maurel. Réconcilier les droits d’auteur, les droits culturels et les droits sociaux. S.I.Lex, 18 mai 2018 : https://scinfolex.com/2018/05/18/reconcilier-le-droit-dauteur-les-droits-culturels-et-les-droits-sociaux-pour-une-refondation-des-solidarites-dans-la-chaine-du-livre/

Travaillant en milieu universitaire, j’ai pu constater que les chercheurs se posent beaucoup de questions quant aux conséquences de l’entrée en vigueur du RGPD (Règlement Général de Protection des Données [1]) sur les activités de recherche scientifique, lorsqu’elles impliquent des traitements de données personnelles.

La réponse n’est pas simple à donner, car le texte du règlement est particulièrement complexe et il évoque à de nombreux endroits les activités de recherche. Mais une lecture attentive permet d’arriver à la conclusion que, comme c’est le cas pour les traitements réalisés à des fins archivistiques, le RGPD prévoit un régime dérogatoire pour les activités de recherche scientifique, destiné à faciliter les traitements de données personnelles en la matière.

Tout l’enjeu consiste donc à cerner la portée de ces dérogations et d’établir ce qu’elles permettent exactement aux chercheurs de faire, afin de sécuriser les pratiques. Cette articulation entre protection des données personnelles et activités de recherche est d’une grande importance, car sans ce régime dérogatoire, il serait très difficile pour les chercheurs de monter des projets impliquant des traitements de données personnelles.

A défaut, la recherche risquerait même de tomber dans la dépendance vis-à-vis de grandes plateformes privées pour l’accès à des données exploitables. On voit d’ailleurs déjà un tel processus commencer à s’installer, avec Facebook par exemple qui annonçait la semaine dernière la remise d’un important corpus de données à Social Science One, une commission « indépendante » de recherche mise en place avec le soutien de la firme. Or ce type de montage soulève de nombreuses questions, puisque les chercheurs sont bien dans ce cas structurellement « dépendants » de la plateforme pour obtenir la matière première de leurs travaux. Dans un autre registre, on commence aussi à voir des intermédiaires se positionner pour faire l’interface entre des individus leur fournissant des données personnelles et des projets de recherche, avec la promesse de les rémunérer pour cet usage (voir cet exemple récent en matière de santé). Il y a alors glissement vers la patrimonialisation et la monétisation des données, une pente sur laquelle ni les individus, ni la recherche n’ont, à mon sens, intérêt à se laisser entraîner…

D’où l’importance de ces dérogations prévues par le RGPD, car elles offrent à la recherche publiques des garanties pour assurer son indépendance sans pour autant sacrifier l’impératif de protéger les droits fondamentaux des personnes. Ce dernier point est important, car il faut se souvenir que toute l’affaire Cambridge Analytica, par exemple, est partie d’un projet de recherche qui a fini par déraper avec à la clé les conséquences dramatiques que l’on sait. On ne saurait donc permettre aux chercheurs de tout faire sans garde-fou, mais la difficulté consiste justement à trouver le bon équilibre.

Le texte ci-dessous constitue une première exploration de ce régime dérogatoire prévu par le RGPD au bénéfice des activités de recherche scientifique, sachant que ces dérogations figurent en partie dans le règlement comme des options activables par les États au niveau national. Il importe donc également de se référer à la loi Informatique et Libertés, telle que modifiée le 20 juin 2018[2] pour connaître l’étendue exacte des règles particulières applicables en matière de recherche scientifique.

N’hésitez pas à intervenir dans les commentaires de ce billet pour discuter de ces analyses, car certaines des dispositions du RGPD sont complexes à interpréter et méritent sans doute discussion.

Table des matières

I Place des activités de recherche dans le RGPD

1) Importance reconnue aux activités de recherche par le RGPD

2) Périmètre de la « recherche scientifique» dans le RGPD

II Dérogation au principe de limitation des finalités

1) Admission d’une certaine indétermination des finalités des traitements à des fins de recherche

2) Compatibilité de la finalité de recherche avec une finalité initiale différente

III Dérogation au principe de limitation de la durée de conservation

1) Possibilité d’une conservation au-delà de la réalisation de la finalité du traitement

2) Articulation avec les traitements archivistiques

IV Absence de dérogation au principe de minimisation

1) Soumission de la recherche au principe de minimisation

2) Incitation à la pseudonymisation des données

V Possibilité de traitement de données dites « sensibles »

1) Dérogation à l’interdiction du traitement des données sensibles

2) Cas particulier des recherches sur des données de santé

VI Dérogations aux droits des personnes

1) Pas d’activation en France de toutes les dérogations prévues par le RGPD

2) Dérogation au droit à l’information

3) Dérogations au droit à l’oubli et au droit d’opposition

VII Dérogation prévue pour l’expression universitaire

1) Une possibilité ouverte par le RGPD…

2) … mais non activée en France ?

I Place des activités de recherche dans le RGPD

1) Importance reconnue aux activités de recherche par le RGPD

Le RGPD souligne explicitement l’importance et l’intérêt pour la société des traitements effectués à des fins de recherche scientifique ou historique (c. 156 et 157) et le texte insiste sur la légitimité des activités de recherche, à condition qu’elles respectent les conditions de protection des données personnelles fixées par le règlement :

(c. 157) Pour faciliter la recherche scientifique, les données à caractère personnel peuvent être traitées à des fins de recherche scientifique sous réserve de conditions et de garanties appropriées prévues dans le droit de l’Union ou le droit des États membre.

(c. 159) Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique, le présent règlement devrait également s’appliquer à ce traitement.

Tout comme pour les traitements réalisés à des fins archivistiques ou statistiques, un équilibre doit être opéré avec les droits et libertés des personnes concernées (c. 156) :

Le traitement des données à caractère personnel à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être soumis à des garanties appropriées pour les droits et libertés de la personne concernée, en vertu du présent règlement.

Mais le RGPD admet que les Etats-membres puissent prévoir dans leur législation nationale des dérogations à certains des droits que les personnes peuvent faire valoir vis-à-vis des responsables de traitements (c. 156) :

Les États membres devraient être autorisés à prévoir, dans des conditions spécifiques et moyennant des garanties appropriées pour les personnes concernées, des dispositions particulières et des dérogations concernant les exigences en matière d’information et les droits à la rectification, à l’effacement, à l’oubli, à la limitation du traitement, à la portabilité des données et le droit d’opposition lorsque les données à caractère personnel sont traitées à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques.

On verra cependant plus loin (partie VI) que, contrairement à ce qui a été retenu pour les traitements réalisés à des fins archivistiques, la France n’a choisi d’activer qu’un petit nombre de ces options lors de la mise en conformité de la loi Informatique & Libertés intervenue en juin dernier.

2) Périmètre de la « recherche scientifique» dans le RGPD

Le considérant 159 donne une définition de ce que recouvre la notion de « recherche scientifique » dans le RGPD, en appelant à adopter une interprétation extensive du terme :

Aux fins du présent règlement, le traitement de données à caractère personnel à des fins de recherche scientifique devrait être interprété au sens large et couvrir, par exemple, le développement et la démonstration de technologies, la recherche fondamentale, la recherche appliquée et la recherche financée par le secteur privé. Il devrait, en outre, tenir compte de l’objectif de l’Union mentionné à l’article 179, paragraphe 1, du traité sur le fonctionnement de l’Union européenne, consistant à réaliser un espace européen de la recherche. Par «fins de recherche scientifique», il convient également d’entendre les études menées dans l’intérêt public dans le domaine de la santé publique.

On peut en déduire que ce terme renvoie dans le règlement aussi bien à la recherche publique que privée. C’est une différence par rapport aux traitements réalisés à des fins archivistiques, pour lesquels le RGPD prend le soin de préciser qu’ils doivent être effectués « dans l’intérêt public ». Le SIAF (Service Interministériel des Archives de France) en conclut que les dérogations prévues pour les activités archivistiques ne s’appliquent qu’aux services d’archives publiques tenant leur compétence en vertu d’une disposition légale (et non aux archives privées[3]).

II Dérogations au principe de limitation des finalités

1) Admission d’une certaine indétermination des finalités des traitements à des fins de recherche

L’article 5[4] prévoit que les données personnelles ne peuvent être collectées que pour des « finalités déterminées, explicites et légitimes » qui doivent en principe être définies en amont du traitement et être portées à la connaissance des personnes concernées (articles 13 et 14[5]).

Néanmoins, le considérant 33 admet qu’il n’est pas toujours possible de déterminer à l’avance la finalité exacte d’un traitement effectué à des fins de recherche scientifique :

Souvent, il n’est pas possible de cerner entièrement la finalité du traitement des données à caractère personnel à des fins de recherche scientifique au moment de la collecte des données. Par conséquent, les personnes concernées devraient pouvoir donner leur consentement en ce qui concerne certains domaines de la recherche scientifique, dans le respect des normes éthiques reconnues en matière de recherche scientifique. Les personnes concernées devraient pouvoir donner leur consentement uniquement pour ce qui est de certains domaines de la recherche ou de certaines parties de projets de recherche, dans la mesure où la finalité visée le permet.

Les chercheurs disposent donc d’une certaine marge de manœuvre plus pour formuler les finalités des traitements de données collectées d’une manière moins précise que ce qui est exigé en principe par le RGPD. Il peut être admis par exemple que cette finalité s’élargisse ou se précise au fil du projet de recherche et en fonction de ses nécessités.

C’est le seul cas où le RGPD tolère une « indétermination » de la finalité initiale d’un traitement de données.

2) Compatibilité de la finalité de recherche avec une finalité initiale différente

Le RGPD exige que la finalité d’un traitement soit « déterminée », mais il admet qu’un responsable de traitement puisse en changer du moment que les nouvelles finalités-ci restent « compatibles » avec la finalité initiales de la collecte de données.

Néanmoins pour ce qui est de la recherche scientifique, le texte instaure une forme de présomption aux termes de laquelle le changement de finalité sera systématiquement réputé compatible avec la finalité initiale du moment que le traitement ultérieur est effectué à des fins de recherche scientifique (c. 50) :

Le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifiques ou historique ou à des fins statistiques devrait être considéré comme une opération de traitement licite compatible.

Il en résulte une dérogation au principe de limitation des finalités, reprise à l’article 5[6] du RGPD :

[…] le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités);

La loi Informatique & Libertés contient une disposition similaire à son article 6. 2°, mais elle ajoute que le traitement ultérieur devra être exercé « dans le respect des principes et des procédures prévues au présent chapitre [respect des conditions de licéité des traitements de données], au chapitre IV [formalités préalables] et à la section 1 du chapitre V [information des personnes] ainsi qu’au chapitre IX [dispositions particulières aux données de santé] et s’il n’est pas utilisé pour prendre des décisions à l’égard des personnes concernées. »

Cette dérogation emporte des conséquences importantes, car elle permet sans doute à des chercheurs de se rapprocher de responsables de traitement ayant collecté de manière licite des données personnelles afin que celles-ci leur soient remises pour conduire des recherches. Les chercheurs ne sont donc pas obligés de collecter par eux-mêmes les données sur la base du consentement des personnes, ils peuvent aussi passer par des tiers afin de se faire confier des données par le responsable du traitement initial, puisque le changement de finalité à des fins de recherche est admis par le RGPD. On peut imaginer que ce type de partenariats de recherche passent par l’établissement de conventions aux termes desquelles le fournisseur de données et l’équipe de recherche se reconnaissent comme co-responsables du traitement.

On verra plus loin (partie VI.2) que cette latitude ne délie cependant pas les chercheurs du respect des droits des personnes (notamment le droit à l’information), même si une certaine marge de manœuvre est là-aussi admise par le texte.

III Dérogation au principe de limitation de la durée de conservation

1) Possibilité d’une conservation au-delà de la réalisation de la finalité du traitement

Le RGPD prévoit à son article 5 que les données ne peuvent être conservées « sous une forme permettant l’identification des personnes concernées » que pendant « une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Le considérant 39 précise même que la durée de conservation devrait être limitée au « strict minimum ».

Néanmoins là encore, une dérogation est admise à ce principe de limitation de la durée de conservation lorsque les traitements sont réalisés à des fins de recherche scientifique :

les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation)

On en déduit que les données peuvent être conservées au-delà de la durée qui a été nécessaire pour atteindre la finalité de recherche (par exemple, au-delà de la durée d’un projet de recherche déterminé) du moment qu’elles sont ensuite conservées uniquement pour être utilisées à des fins de recherche.

2) Articulation avec les traitements archivistiques

L’article 36 de la loi Informatiques et Libertés qui reprend cette dérogation est plus explicite, notamment parce qu’il précise le lien entre cette extension de la durée de conservation et le passage des documents contenant les données en archives définitives :

Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l’article 6 qu’en vue d’être traitées à des fins archivistiques dans l’intérêt public, à des fins de cherche scientifique ou historique ou à des fins statistiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l’article L. 212-3 du code du patrimoine.

Pour mémoire, l’article L. 212-3 du code du patrimoine[7] prévoit ceci :

Lorsque les archives publiques comportent des données à caractère personnel collectées dans le cadre de traitements régis par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ces données font l’objet, à l’expiration de la durée prévue au 5° de l’article 6 de ladite loi, d’une sélection pour déterminer les données destinées à être conservées et celles, dépourvues d’utilité administrative ou d’intérêt scientifique, statistique ou historique, destinées à être éliminées.

Les catégories de données destinées à l’élimination ainsi que les conditions de cette élimination sont fixées par accord entre l’autorité qui a produit ou reçu ces données et l’administration des archives.

Il en résulte que les projets de recherche doivent bien prévoir une durée déterminée de conservation des données qu’ils collectent, en lien avec la finalité retenue. Mais une fois cette durée écoulée, les données peuvent être confiées à un service d’archives disposant de la compétence légale pour procéder à un passage des documents en archives définitives, après une opération de tri. Ce sont ensuite ces archives définitives, constituées à partir des matériaux de recherche, qui permettent une conservation au-delà de la durée initiale.

Dans le cadre des universités, ce sont – en principe – les archives départementales qui jouent ce rôle de réception des archives définitives, les services d’archives des universités ne pouvant traiter que des archives intermédiaires. Néanmoins, il est possible d’obtenir des archives départementales des dérogations pour être en mesure de conserver des données de recherche comme des archives définitives. C’est d’ailleurs une hypothèse d’autant plus probable que les archives départementales se concentrent en général sur les archives administratives des universités et n’ont pas encore de politique déterminée en matière de données de recherche.

IV Absence de dérogation au principe de minimisation

1) Soumission de la recherche au principe de minimisation

Si le principe de limitation impose de traiter des données collectées en se limitant à une finalité initialement déterminée, le principe de minimisation (nouveauté du RGPD) oblige de son côté à ne traiter que les données strictement nécessaires pour atteindre cette finalité.

De ce point de vue, les activités de recherche ne bénéficient d’aucune dérogation et le considérant 156 insiste même au contraire sur l’importance de respecter le principe de minimisation en matière de recherche pour respecter les droits des personnes :

Le traitement des données à caractère personnel à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être soumis à des garanties appropriées pour les droits et libertés de la personne concernée, en vertu du présent règlement. Ces garanties devraient permettre la mise en place de mesures techniques et organisationnelles pour assurer, en particulier, le respect du principe de minimisation des données.

On verra plus loin (partie VI) que le RGPD admet que les activités de recherche puissent déroger dans une certaine mesure aux droits que les personnes peuvent faire jouer vis-à-vis des responsables de traitement, mais le texte insiste sur le fait que même dans ce cas, il convient de respecter strictement le principe de nécessité et de minimisation :

Les conditions et garanties en question peuvent comporter des procédures spécifiques permettant aux personnes concernées d’exercer ces droits si cela est approprié eu égard aux finalités du traitement spécifique concerné, ainsi que des mesures techniques et organisationnelles visant à réduire à un minimum le traitement des données à caractère personnel conformément aux principes de proportionnalité et de nécessité.

On peut en déduire que le RGPD admet des dérogations aux droits des personnes en matière de recherche, mais uniquement à la condition que les chercheurs appliquent en amont de manière stricte le principe de minimisation (ne collecter que ce qui est nécessaire et seulement si c’est vraiment nécessaire).

2) Incitation à la pseudonymisation des données

Afin de mettre en œuvre le principe de minimisation, le RGPD encourage les chercheurs à recourir – autant que faire se peut – à la pseudonymisation des données (article 89[8]) :

Le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l’identification des personnes concernées, il convient de procéder de cette manière.

Pour rappel, la pseudonymisation est définie de la sorte dans le RGPD (article 4[9]) :

le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable.

La pseudonymisation constitue une mesure de sécurisation promue par le RGPD, mais elle ne doit pas être confondue avec l’anonymisation (opération consistant à rendre impossible l’identification des personnes à partie des données). Les données pseudonymisées restent bien soumises à l’application du RGPD, à la différence des données anonymisées.

V Possibilité de traitement de données dites « sensibles »

1) Dérogation à l’interdiction du traitement des données sensibles

Le RGPD liste à son article 9[10] un ensemble de données dites « particulières » dont le traitement est par principe interdit :

Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

Néanmoins, l’article liste ensuite une série de 10 exceptions en vertu desquelles ces types de données peuvent faire l’objet de traitements, dont une concerne la recherche scientifique :

j) le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l’article 89, paragraphe 1, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

On notera que cette exception est présentée comme distincte de celle basée sur le « consentement explicite des personnes » :

la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;

Il en résulte que l’exception figurant au j) permet le traitement de données dites « sensibles » à des fins de recherche sans le consentement des personnes concernées, à condition de mettre en œuvre des mesures pour la sauvegarde de leurs droits fondamentaux.

La loi Informatiques & Libertés reprend cette exception présentée comme suit à son article 8 :

11° Les traitements nécessaires à la recherche publique au sens de l’article L. 112-1 du code de la recherche, mis en œuvre dans les conditions prévues au 2 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, après avis motivé et publié de la Commission nationale de l’informatique et des libertés rendu selon les modalités prévues à l’article 28 de la présente loi.

On peut en conclure que le traitement des données dites sensibles à des fins de recherche nécessite encore de solliciter la CNIL pour avis, alors que ces formalités préalables ont été annulées par ailleurs par le RGPD et remplacées par des mesures d’accountability.

2) Cas particulier des recherches sur des données de santé

Les données de santé font l’objet d’une définition au considérant 35 du RGPD :

Les données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée.

Elles figurent aussi dans la liste des données « particulières » dont le traitement est en principe interdit. Néanmoins, le texte insiste aussi sur l’intérêt de pouvoir traiter des données de santé dans le cadre de la recherche (considérant 157) :

En combinant les informations issues des registres, les chercheurs peuvent acquérir de nouvelles connaissances d’un grand intérêt en ce qui concerne des problèmes médicaux très répandus tels que les maladies cardiovasculaires, le cancer et la dépression.

En pratique, la loi Informatiques & Libertés contient à son chapitre IX une série d’articles (61 à 65) relatifs au traitement des données de santé, notamment dans le cadre de la recherche scientifique. Ces dispositions mettent en œuvre les « garanties appropriées pour les droits et libertés de la personne concernée » exigées par le RGPD. Ce cadre existe depuis plusieurs années et la CNIL vient d’actualiser les formalités auxquelles doivent se soumettre les projets de recherche pour pouvoir traiter des données de santé[11], notamment un certain nombre de méthodologies de référence (MR-001 à MR-006).

Suivre ces méthodologies de référence dispense les chercheurs d’avoir à demander une autorisation à la CNIL, mais ils restent obligés de faire une déclaration préalable à l’autorité, alors que ces formalités ont été globalement supprimées par ailleurs avec l’entrée en vigueur du RGPD.

VI Dérogations aux droits des personnes

1) Pas d’activation en France de toutes les dérogations prévues par le RGPD

L’article 89[12] du RGPD prévoit que les Etats-membres peuvent activer des options au niveau de leur loi nationale afin de fixer en matière de recherche scientifiques des dérogations aux droits que les personnes peuvent faire valoir vis-à-vis des responsables de traitement :

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, le droit de l’Union ou le droit d’un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.

Les articles cités correspondent aux droits suivants : droit d’accès de la personne concernée (art. 15), droit de rectification (art. 16), droit à la limitation du traitement (art. 18), droit d’opposition (art. 21).

Or lorsque l’on regarde la manière dont la loi Informatiques & Libertés a été modifiée en juin dernier pour mise en conformité avec le RGPD, on constate que la France a choisi de ne pas activer ces options en matière de recherche.

L’article 70-7 indique que :

Les traitements à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sont mis en œuvre dans les conditions prévues à l’article 36.

Et cet article 36 est rédigé comme suit :

Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l’article 6 qu’en vue d’être traitées à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l’article L. 212-3 du code du patrimoine.

Lorsque les traitements de données à caractère personnel sont mis en œuvre par les services publics d’archives à des fins archivistiques dans l’intérêt public conformément à l’article L. 211-2 du code du patrimoine, les droits prévus aux articles 15, 16 et 18 à 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ne s’appliquent pas dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation de ces finalités. Les conditions et garanties appropriées prévues à l’article 89 du même règlement sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l’état de l’art en matière d’archivage électronique.

Il en résulte que la France a bien activé les dérogations aux droits des personnes en matière de traitement de données à des fins archivistiques, mais pas à des fins de recherche scientifique. Les personnes sont donc fondées à faire valoir les droits indiqués ci-dessus (accès, rectification, limitation, opposition) et les projets de recherche doivent donc s’organiser de manière à satisfaire les demandes qui leur seraient adressées en ce sens.

Ce choix restrictif de la France n’empêche pas que certaines dérogations existent pour d’autres droits des personnes, car elles figurent intrinsèquement dans le RGPD sous la forme d’exceptions prévues en faveur des activités de recherche.

2. Dérogation au droit d’information

Au titre des articles 13 et 14[13] du RGPD, les responsables de traitement sont tenus de procéder à une information préalable des personnes, lorsque la collecte des données se fait auprès d’eux sur la base du consentement ou auprès de tiers.

Lorsque les projets de recherche collectent eux-mêmes les données auprès des personnes en leur demandant leur consentement, ils ne peuvent déroger à cette obligation d’information des individus et doivent porter à leur connaissance les éléments suivants (condition impérative pour recueillir un consentement dit « éclairé ») :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition.

Néanmoins, lorsque la collecte des données se fait au contraire auprès de tiers, des dérogations au droit à l’information des personnes sont prévues. Or nous avons vu plus haut (partie II.2) que cette hypothèse risque de ne pas être marginale, attendu que les chercheurs sont en mesure de récupérer des données auprès de tiers les ayant collectées sur une base licite (puisque le changement de finalité à des fins de recherche scientifique est déclaré par le RGPD dans tous les cas compatible avec la finalité initiale de la collecte).

Dans cette hypothèse, les passages ci-dessous tirés de l’article 14 du RGPD[14] formulent en premier lieu une obligation d’information des personnes, puis une dérogation pour les projets de recherche qui n’a pas une portée absolue, mais dépend des circonstances :

1. Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

2. Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où :

la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

Cela signifie qu’en cas de récupération de données auprès de tiers pour conduire une recherche, il est possible de ne pas informer les personnes, si cet acte d’information s’avère impossible à réaliser ou exigerait des efforts disproportionnés. On peut imaginer par exemple que ce sera le cas si un trop grand nombre de personnes devaient être contactées sans que l’on dispose des informations nécessaires pour le faire.

Dans une telle hypothèse, des précautions particulières sont à prendre pour protéger les personnes et la fin du 5.b) implique notamment de respecter une obligation de transparence en informant publiquement des traitements réalisés.

3. Dérogations au droit à l’oubli et au droit d’opposition

Le droit à l’oubli ou droit à l’effacement est une nouveauté du RGPD qui permet aux individus d’exiger que les responsables de traitement suppriment des données les concernant sans avoir à apporter de justification. Néanmoins, des exceptions sont prévues par le texte, dont une est applicable à la recherche scientifique (article 17[15]) :

Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire:

à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement;

Un responsable de traitement de données à des fins de recherche scientifique peut donc refuser de faire droit à une demande d’effacement, mais il ne s’agit pas d’une faculté discrétionnaire : il doit être en mesure de prouver que cette suppression empêche la recherche projetée ou la compromet gravement.

Il est assez improbable qu’anonymiser ou supprimer les données d’une seule personne au sein d’un panel compromette en soi un projet de recherche. Par contre, la répétition des demandes de suppression de la part d’individus différents peut finir par affaiblir la pertinence d’un jeu de données. Difficile cependant de savoir si des chercheurs pourraient refuser de faire droit à des demandes de suppression à partir d’une certaine quantité de données supprimées sur la base du droit à l’effacement ou si chaque demande doit être examinée en tant que telle, sans prendre en considération l’ensemble des données utilisée par la recherche.

Il existe aussi des mesures applicables au droit d’opposition, mais qui sont plus limitées encore (article 21[16]) :

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l’article 89, paragraphe 1, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

Il n’y a pas de dérogation au droit d’opposition dans le cadre des activités de recherche, mais la personne qui en fait la demande doit la motiver en invoquant des raisons tenant à sa situation particulière. Il reste ensuite théoriquement possible pour les chercheurs de refuser de faire droit à ce type de demande d’opposition, mais uniquement si le traitement qu’ils réalisent est « nécessaire à l’exécution d’une mission d’intérêt public », ce qui sera vraisemblablement peu fréquent concernant les activités de recherche.

VII Dérogation prévue pour l’expression universitaire

1) Une possibilité ouverte par le RGPD…

Le RGPD prévoit à son considérant 153 une exception que les Etats membres de l’union peuvent mettre en place pour concilier la liberté d’expression et d’information et la protection des données personnelles :

Le droit des États membres devrait concilier les règles régissant la liberté d’expression et d’information, y compris l’expression journalistique, universitaire, artistique ou littéraire, et le droit à la protection des données à caractère personnel en vertu du présent règlement. Dans le cadre du traitement de données à caractère personnel uniquement à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, il y a lieu de prévoir des dérogations ou des exemptions à certaines dispositions du présent règlement si cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, consacré par l’article 11 de la Charte.

La formule « expression universitaire » ne fait pas l’objet de plus ample définition dans le texte, mais le recours au terme « expression » laisse penser qu’il s’agit de couvrir le fait que les chercheurs citent des noms de personnes ou des informations personnelles dans leurs publications[17], ainsi que des références d’autres publications dans leur bibliographie.

2) … mais non activée en France ?

La France a choisi d’implémenter cette exception dans son droit national, mais seulement de manière restrictive, comme on peut le lire à l’article 67 de la loi Informatique et Liberté de 1978[18] :

Le 5° de l’article 6, les articles 8, 9, 32, et 39, le I de l’article 40 et les articles 68 à 70 ne s’appliquent pas aux traitements de données à caractère personnel mis en oeuvre aux seules fins :

1° D’expression littéraire et artistique ;

2° D’exercice, à titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession.

On constate que l’article couvre les traitements réalisés à des fins d’expression littéraire et artistique ou d’exercice de l’activité de journaliste, mais pas « l’expression universitaire », alors même que cet usage fait l’objet d’une mention distincte dans le RGPD. Il en résulte une lacune que le législateur aurait pu combler à l’occasion de la mise en conformité de la loi Informatique et Libertés en juin dernier, mais il a vraisemblablement omis de le faire.

Néanmoins, le RGPD spécifiant que les États « devraient » prévoir des dispositions pour concilier la liberté d’expression et la protection des données personnelles laisse penser que les usages liés à l’expression universitaire sont bien couverts, en dépit du silence de la loi française.

[1] https://www.cnil.fr/fr/reglement-europeen-protection-donnees

[2] https://www.cnil.fr/fr/loi-78-17-du-6-janvier-1978-modifiee

[3] https://siafdroit.hypotheses.org/792

[4] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2#Article5

[5] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article13

[6] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2#Article5

[7] https://www.legifrance.gouv.fr/affichCodeArticle.do?cidTexte=LEGITEXT000006074236&idArticle=LEGIARTI000006845568&dateTexte=&categorieLien=cid

[8] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre9#Article89

[9] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre1#Article4

[10] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2#Article9

[11] https://www.cnil.fr/fr/recherches-dans-le-domaine-de-la-sante-la-cnil-adopte-de-nouvelles-mesures-de-simplification

[12] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre9#Article89

[13] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article13

[14] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article14

[15] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article17

[16] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article21

[17] A noter que ce droit existe, mais qu’il est assez strictement encadré, notamment par les délais de communication et de réutilisation des informations contenus dans des documents d’archives qui font l’objet de restrictions et nécessitent l’obtention de dérogations par les chercheurs accordées (ou non) par les services d’archives publiques pour protéger la vie privée des personnes.

[18] https://www.cnil.fr/fr/loi-78-17-du-6-janvier-1978-modifiee

Le journal Libération m’a demandé une tribune à propos du rejet par le Parlement européen du projet de directive sur le droit d’auteur qui a eu lieu la semaine dernière. En voici le texte ci-dessous, qui revient sur les raisons ayant conduit à cette issue, ainsi que sur les perspectives qui se dessinent pour le nouvel examen du texte qui doit avoir lieu en septembre prochain.

Bis repetita ! Pour la seconde fois au cours de cette décennie, le Parlement européen a bloqué un projet de réforme du droit d’auteur, en refusant d’avaliser le texte d’une directive en discussion dont plusieurs articles soulevaient de graves inquiétudes en termes de protection des libertés fondamentales. Les mêmes causes produisent les mêmes effets : c’est déjà ce qui s’est passé en 2012 avec le rejet de l’accord anti-contrefaçon ACTA à la suite d’une mobilisation historique de la société civile.

Les industries culturelles, les sociétés d’auteurs type SACEM ou SACD et certains Etats, au premier rang desquels la France, n’ont visiblement pas retenu la leçon : la fin ne justifie pas n’importe quel moyen et on ne saurait défendre le droit d’auteur en bafouant les droits des citoyens. L’affaire était sérieuse, car l’article 13 du texte prévoyait l’obligation pour les plateformes centralisées, type YouTube ou Facebook, de déployer des mesures de filtrage automatisé qui auraient imposé aux internautes européens de se soumettre au contrôle d’un algorithme avant la mise en ligne de contenus.

Même en Chine, on ne trouve pas de mesure de surveillance aussi intrusive qui agisse en amont de la publication ! Ce « solutionnisme technologique » est délétère, car ces dispositifs de filtrage commettent de nombreuses erreurs et sont incapables d’interpréter les règles complexes du droit d’auteur, comme les exceptions de citation ou de parodie nécessaires pour garantir la liberté d’expression. Comment s’étonner dès lors qu’un tel texte ait fédéré contre lui près de 150 associations, le rapporteur spécial des Nations Unies sur la liberté d’expression ou Tim Berners-Lee, l’inventeur du Web ?

Les ayants droit essaient de faire croire que ces acteurs ont fait le jeu des GAFAM qui profitent de la circulation des œuvres protégées sur leurs sites. Mais ne nous y trompons pas : Le but réel des industries culturelles n’est pas de combattre les GAFAM, mais d’utiliser le filtrage comme une menace pour négocier en position de force « un prix de gros » pour l’ensemble de leur catalogue. Leur but est d’instaurer une « licence globale privatisée » qui consacrerait définitivement la position dominante d’acteurs comme Facebook ou YouTube si elle voyait le jour.

L’ironie veut qu’au moment même où a lieu ce débat au Parlement européen, les auteurs sont engagés en France dans une mobilisation sans précédent, mais pas pour soutenir cette directive ! Avec la campagne #AuteursEnColère, ils dénoncent la dégradation de leurs conditions d’existence et la fragilité de leurs droits sociaux. Or ce n’est pas Internet qui est la cause de cette situation critique, mais le déséquilibre entre les auteurs et des intermédiaires comme les éditeurs ou les producteurs, un système de gestion collective où les rémunérations se concentrent sur un petit nombre d’artistes « starisés » et l’incapacité de l’État à garantir un statut social décent pour les créateurs.

Ce sont pourtant ces mêmes acteurs – intermédiaires économiques, sociétés d’auteurs, ministère de la Culture – qui mènent une campagne acharnée en faveur des mesures répressives de la directive, alors qu’elle ne contient aucune disposition à même de répondre aux demandes des auteurs. Pire, l’article 11, une autre des mesures ayant attiré le plus de critiques, visait à instaurer un « droit voisin pour les éditeurs de presse », idée rejetée en France par la prestigieuse Société des Gens de Lettres, car elle contribuerait à transformer encore un peu plus le droit d’auteur en un « droit d’éditeur ». C’est dire combien cette directive trahit en réalité l’héritage de Beaumarchais dont se gargarisent ses thuriféraires. Ceux qui parlent au nom des créateurs bafouent l’esprit des lois sur le droit d’auteur adoptées à la Révolution française, dont l’objet était d’assurer des moyens de subsistance aux auteurs tout en respectant les droits du public.

Le vote des eurodéputés qui ont su dire non à la dérive répressive est assurément un soulagement, mais il ne s’agit nullement d’une victoire. Car le but n’est pas uniquement d’empêcher le pire, mais de faire en sorte que cette directive réponde aux enjeux auxquels fait face la création au XXIème siècle.

Oui, il faut lutter contre l’emprise des GAFAM sur Internet et sur nos vies – l’Union européenne a su le faire pour la protection de la vie privée avec le RGPD – mais avec des mesures ciblant précisément ces acteurs lucratifs centralisés, sans mettre en péril le reste d’Internet. Oui, il faut garantir des moyens d’existence aux auteurs, mais certainement pas en marchandant le catalogue des œuvres européennes avec les GAFAM ce qui reviendrait à se soumettre à leur domination. Et oui, il faut permettre à Internet de réaliser son plein potentiel en matière de diffusion des connaissances, en sécurisant les usages pédagogiques et de recherche en ligne, ainsi que les nouvelles formes de création (remix, mashup).

Là où les industries culturelles proposent un inacceptable mélange de marchandisation et de répression, il s’agit d’être beaucoup plus ambitieux et d’arriver à réconcilier les droits d’auteur, les droits sociaux et les droits culturels. Durcir sans cesse la propriété intellectuelle ne peut conduire qu’à une impasse : les auteurs eux-mêmes ne se conçoivent pas comme des « possédants » mais comme des travailleurs souhaitant une juste place dans la société et des conditions dignes d’existence, sachant qu’Internet – et c’est une bonne nouvelle – a fait exploser le nombre des créateurs professionnels ou amateurs parmi les citoyens européens.

Quatre ans de débat sur la directive sans que ces questions aient seulement été abordées au Parlement européen ! Sortons du terrain dans lequel les chantres de la répression cherchent à enfermer la discussion ! Il reste une dernière chance en septembre pour cesser d’opposer auteurs et internautes, en consacrant de nouveaux droits pour tous.

C’est une chose que l’on oublie souvent, mais les employés au travail disposent encore de leur droit à la vie privée et au contrôle de l’usage de leurs données. Cette dimension de la protection des données personnelles fait moins parler d’elle que celle des internautes face aux GAFAM, mais pourtant entre 5 et 20% des plaintes adressées à la CNIL chaque année concernent les relations entre employés et employeurs, notamment à propos du droit d’accès aux informations personnelles.

Cette semaine, j’étais invité à l’événement de lancement d’une Charte éthique et numérique RH, proposée par le syndicat CFE-CGC et le Lab RH. Ce document vise à accompagner l’entrée en vigueur du Règlement Général de Protection des Données (RGPD), en listant une série de bonnes pratiques en matière de numérique appliqué aux ressources humaines. La Charte s’attache notamment à formuler des principes à respecter lors de la mise en oeuvre de technologies comme le Big Data, les traitements algorithmiques ou même l’intelligence artificielle, qui sont de plus en plus employés dans les phases de recrutement ou la gestion des ressources humaines.

L’un des points les plus intéressants de ce texte constitue à mon sens le renvoi qu’il fait à l’article 88 du RGPD :

Incité par le Règlement Général de Protection des Données et son article 88 offrant la possibilité de porter ce sujet au sein de conventions collectives, cette charte constitue pour ses adhérents un outil méthodologique de facilitation de mise en conformité de leurs obligations.

Cet article concerne le « traitement des données dans les relations de travail » et il prévoit en particulier une articulation possible entre le RGPD et des conventions collectives qui viendraient préciser les garanties apportées au respect des droits des travailleurs :

Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, aux fins, notamment, du recrutement, de l’exécution du contrat de travail, y compris le respect des obligations fixées par la loi ou par des conventions collectives, de la gestion, de la planification et de l’organisation du travail, de l’égalité et de la diversité sur le lieu de travail, de la santé et de la sécurité au travail, de la protection des biens appartenant à l’employeur ou au client, aux fins de l’exercice et de la jouissance des droits et des avantages liés à l’emploi, individuellement ou collectivement, ainsi qu’aux fins de la résiliation de la relation de travail.

Ces règles comprennent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particulière à la transparence du traitement, au transfert de données à caractère personnel au sein d’un groupe d’entreprises, ou d’un groupe d’entreprises engagées dans une activité économique conjointe et aux systèmes de contrôle sur le lieu de travail.

Cet aspect assez méconnu du RGPD me paraît important dans la mesure où il peut faire de la protection des données des travailleurs un enjeu de négociation syndicale et de démocratie sociale, envisagé d’emblée avec une dimension collective. Cela rejoint l’idée d’un droit social des données et d’une protection sociale des données, mais envisagés sous l’angle de la sphère professionnelle.

Les organisateurs de l’événement autour du lancement de la Charte m’avait demandé de faire une intervention autour de la question : « Quel rôle pour le consentement dans la protection des données des employés ? ». Je colle ci-dessous les éléments dont j’avais prévu de parler et que je n’ai pas eu le temps de détailler dans leur intégralité lors de la soirée.

Quel rôle pour le consentement dans la protection des données des employés ?

La notion de consentement est parfois considérée comme le « coeur névralgique » du RGPD, car même si le texte n’en fait pas un principe général, il constitue néanmoins le moyen principal donné à l’individu pour contrôler l’usage de ses données par des tiers. Le RGPD prévoie même un «super-consentement » qui doit être «libre, spécifique, éclairée et univoque».

Une grande partie de la capacité du RGPD à offrir aux personnes des droits effectifs de contrôle sur les données tiendra à la portée qui sera conférée par la jurisprudence à ces conditions de validité du consentement. On constate d’ailleurs que la plupart de la trentaine d’actions de groupe lancées en Europe suite à l’entrée en vigueur du RGPD se basent sur la violation de la liberté du consentement, notamment lorsque des acteurs comme les GAFAM manœuvrent pour arracher à leurs utilisateurs un consentement forcé à travers l’exercice d’un « chantage au service ».

Mais paradoxalement, si le respect du consentement est appelé à jouer un rôle central dans la protection des internautes, ce ne sera pas le cas pour les employés en situation de travail. La raison en est assez logique : l’employé est lié à l’employeur par une relation de subordination qui fait que par construction, le consentement ne peut pas être considéré comme « libre » en raison du déséquilibre des forces en présence. Le RGPD contient notamment un considérant 43 assez explicite quant à l’incompatibilité entre liberté du consentement et subordination :

Pour garantir que le consentement est donné librement, il convient que celui-ci ne constitue pas un fondement juridique valable pour le traitement de données à caractère personnel dans un cas particulier lorsqu’il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement […]

Même si cela peut paraître contre-intuitif, c’est bien pour protéger les personnes que l’on interdit à l’employeur de s’appuyer sur le consentement des subordonnés comme fondement pour traiter leurs données, car cela permet d’éviter que le consentement ne soit retourné contre l’individu pour le faire participer à l’affaiblissement de ses propres droits. En matière de ressources humaines, le consentement devra néanmoins parfois être recueilli, notamment pour traiter les données de candidats postulant sur un poste, mais c’est précisément parce que dans ce cas, le lien de subordination avec l’employeur ne s’est pas encore noué.

Du coup, le traitement des données des employés devra s’appuyer sur d’autres fondements que le RGPD prévoit comme bases légales aux traitements. La première d’entre elles concerne les traitements nécessaires à l’exécution d’un contrat, ici en l’occurrence le contrat de travail (on peut songer au traitement des données bancaires du salarié, nécessaire pour lui verser sa paie). Mais il ne s’agit pas néanmoins d’un blanc-seing donné à l’employeur, en vertu notamment des principes de limitation des finalités et de minimisation des données, qui impliqueront de retenir une interprétation restrictive de « ce qui est nécessaire à l’exécution du contrat ». L’employeur pourra aussi s’appuyer sur certaines obligations légales, qui lui imposent, en matière fiscale ou sociale notamment, de traiter certaines des données des employés (numéro de sécurité sociale, par exemple).

Mais il y a fort à parier que ce soit la notion « d’intérêt légitime de l’entreprise » qui joue un rôle clé dans les relations entre les employés et les employeurs. Celle-ci a déjà fait couler beaucoup d’encre, car il s’agit d’une des « zones grises » les plus problématiques du RGPD. Le texte prévoit en effet qu’une entreprise puisse invoquer un de ses intérêts légitimes pour traiter des données sans le consentement des personnes concernées. Le réglement ne définit pas vraiment ce concept, mais il en donne quelques exemples comme la sécurisation des systèmes d’information ou le transfert des données entre les entités d’un même groupe. Mais pour l’essentiel, la signification de ce qui peut constituer « l’intérêt légitime d’une entreprise » à traiter des données reste encore à déterminer par la pratique.

Le règlement fixe néanmoins des gardes-fous en prévoyant que l’intérêt légitime est invocable, à moins que « les intérêts ou les libertés et droits fondamentaux de la personne ne prévalent compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable de traitement« . Or cette idée d’un équilibre à trouver entre les intérêts de l’entreprise et les droits fondamentaux des personnes est intéressante, car elle reconnecte l’enjeu de la protection des données à ce qui constitue la justification traditionnelle de l’existence du droit du travail, et plus largement du droit social. Le Code du Travail contient déjà en effet un article 1121-1 qui pose un principe général l’interdiction de prendre des mesures restreignant les droits et libertés des personnes qui ne seraient pas justifiées ni proportionnées par rapport à l’objectif poursuivi.

Cette référence à l’impératif de respect des droits et libertés est cruciale et un exemple concret permettra d’en mieux saisir l’importance. On a appris récemment qu’en Chine, un certain nombre d’entreprises commençaient à déployer des techniques « d’affectice computing » sous la forme de casques dotés de capteurs cérébraux permettant de surveiller les émotions des salariés : le stress, la colère, la fatigue, etc. Les firmes qui ont recours à ces technologies disent le faire au nom de la productivité ou pour améliorer la sécurité au travail, ce qui pourrait correspondre à ce que le RGPD appelle des « intérêts légitimes ». En Chine, les employés n’ont visiblement pas pu s’opposer au déploiement de ces méthodes de contrôle terriblement intrusives et un article de Slate rapporte même ce témoignage glaçant d’un manager chinois à propos des réactions des travailleurs :

Ils pensaient que l’on voulait lire leurs pensées. Certains étaient mal à l’aise et il y a eu de la résistance au début.

En Europe, la résistance à ces procédés pourraient s’appuyer sur le RGPD et faire obstacle à l’invocation de l’intérêt légitime de l’entreprise pour atteinte disproportionnée à des libertés et droits fondamentaux. Sachant que si l’arrivée des casques détectant les émotions paraît encore assez improbable, d’autres signes inquiétants commencent à poindre, comme ce dépôt de brevet d’Amazon sur un bracelet connecté destiné à enregistrer en permanence les mouvements des mains des employés de ses entrepôts…

La notion d’intérêt légitime va plus généralement jouer un rôle important pour ce qui concerne l’introduction des technologies les plus « innovantes » dans le secteur des ressources humaines, comme le Big Data, les traitements algorithmiques ou l’intelligence artificielle. Ces méthodes relèvent de ce que le RGPD appelle le « profilage » et pour lequel il prévoit des précautions particulières : « toute forme de traitement automatisé de données […] pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail ».

Il y a peu de chances que de tels traitements puissent être considérés comme « nécessaires à l’exécution du contrat de travail« , dont on a vu qu’il faudra garder une interprétation restrictive. Cela signifie que les entreprises qui voudront déployer ces technologies vis-à-vis de leurs salariés devront le faire sur la base de leur « intérêt légitime », ce qui peut s’avérer pour elles assez inconfortable. Car elles devront veiller à ne pas porter atteinte aux libertés et droits fondamentaux des personnes, sous peine de s’exposer aux redoutables sanctions du RGPD qui, depuis les réformes récentes du Code du travail, sont largement plus intimidantes que les dommages et intérêts pouvant être obtenus aux Prud’hommes !

Et c’est là que le renvoi de la Charte éthique et numérique RH à l’article 88 du RGPD pourrait prendre tout son sens, en ouvrant la voie à ce que certaines notions du Règlement fassent l’objet d’une déclinaison sectorielle par le biais de conventions collectives. Cela signifie que la détermination de ce que sont les intérêts légitimes des entreprises en matière de traitement de données ne devrait pas relever d’une définition unilatérale par les employeurs. Cela peut au contraire devenir un enjeu de négociation collective et de démocratie sociale, ce qui serait parfaitement logique étant donné qu’il est question de protection des droits et de la dignité des personnes. Ce serait même renouer avec les grands principes fondateurs du droit du travail, comme le principe de faveur et la hiérarchie des normes, qui ont reçu des coups très rudes avec la loi El Khomri et les ordonnances Macron, mais qui pourraient retrouver tout leur sens en matière de protection des données des employés : les normes inférieures – en l’occurrence les conventions collectives – viendraient en la matière ajouter des garanties supplémentaires par rapport au socle légal que constitue le RGPD.

C’est pourquoi il paraît essentiel que la protection des données devienne un enjeu syndical, notamment pour venir compenser le déséquilibre des forces en présence en ne laissant pas les salariés isolés face aux employeurs pour défendre leur vie privée. C’est dire en somme que l’intérêt légitime de l’entreprise ne sera vraiment « légitime » que s’il est collectivement discuté selon les principes de la démocratie sociale. De ce point ce vue, cette Charte éthique et numérique RH peut constituer un élément précieux pour aider à l’émergence d’un « droit social des données » dont le RGPD peut favoriser l’avènement, à condition que les syndicats s’emparent de cet enjeu.

Ces questions dépassent même en un sens la seule sphère de la protection des données au travail et pourraient avoir une incidence plus large. Pour le comprendre, on peut citer le juriste Alain Supiot, professeur au Collège de France, notamment dans un passage de son livre Homo Juridicus, paru en 2005. Il y consacre un chapitre aux rapport entre le droit et la technique, en faisant valoir que le droit constitue une « technique d’humanisation de la technique« , qui depuis la révolution industrielle a joué un grand rôle pour préserver les humains des excès de la mécanisation du travail. Alors qu’en 2005 Facebook existait à peine, il se penche sur les enjeux de protection de la vie privée, à travers la loi Informatique et Libertés, et il souligne un paradoxe :

Aujourd’hui, la protection de la vie privée du citoyen semble beaucoup mieux assurée dans l’entreprise que dans la Cité.

Il fait notamment remarquer en ce sens qu’un travailleur est mieux protégé par la loi face à son employeur du point de vue du respect de sa vie privée que ne l’est un simple client vis-à-vis de son banquier, qui peut connaître une grande partie de son intimité à travers le détail de ses opérations bancaires. Et il conclut le passage avec cette remarque intéressante :

En matière de libertés, l’histoire du droit du travail était jusqu’à présent celle d’une pénétration dans l’entreprise des libertés garanties dans la Cité. On s’achemine peut-être vers une démarche inverse où il faudra diffuser dans la Cité des libertés garanties dans l’entreprise.

Cette réflexion garde toute sa pertinence, car on peut dire que l’employé paraît aujourd’hui parfois mieux protégé que ne l’est le simple internaute face aux grandes plateformes comme les GAFAM, alors même que, contrairement au salarié, il dispose en théorie du consentement individuel pour contrôler ses données. Les employés peuvent s’appuyer sur ce qui fait actuellement cruellement défaut aux internautes, à savoir des moyens collectifs de défense de leurs droits sur les données. Une fois mises en œuvre dans le champ des relations de travail, ces méthodes d’organisation et de négociation collectives pourraient être appropriées plus largement par la société civile pour défendre les données en général, y compris face aux grandes plateformes vis-à-vis desquelles nous sommes tous des « travailleurs de la donnée« .

Au mois de mai dernier, une vidéo interne a fuité de chez Google et causé un certain émoi dans la presse et sur la Toile. Intitulée « The Selfish Ledger » (Le Registre égoïste), elle a été produite en 2016 par Nick Foster, le responsable du laboratoire de recherche et développement de Google. Je n’avais pas eu le temps lors de sa révélation d’en faire un commentaire, mais il se trouve qu’avec le recul, cette vidéo m’a permis de mieux comprendre en quoi les données dites « personnelles » possèdent une dimension collective et il me paraît intéressant de prendre le temps de l’expliquer.

Cela fait plusieurs années à présent que j’essaie de montrer que les données « personnelles » possèdent en réalité une dimension collective, encore largement ignorée par le droit issu de la tradition personnaliste et individualiste initiée par la loi Informatique et Libertés de 1978. Jusqu’à présent, la manière d’exprimer cette idée a consisté à faire remarquer que les données personnelles n’ont pas seulement le pouvoir d’identifier un individu isolé, mais qu’elles sont aussi l’expression de nos liens sociaux. La vie privée étant toujours enchâssée dans une vie sociale, les données ont aussi toujours une dimension sociale, relatives à nos attaches amoureuses, amicales, familiales, professionnelles, etc. Cette dimension collective des données s’inscrit dans ce que l’on appelle le « graphe social » qui forme la trame de nos relations et que les plateformes numériques, type Facebook ou Twitter, s’efforcent de capter afin de l’exploiter économiquement.

Une représentation du « graphe social ».

Le problème de cette approche, c’est qu’elle fonctionne pour des acteurs de type « réseaux sociaux » s’appuyant sur ce «réseau des données liées», mais elle rend beaucoup moins bien compte de la manière dont des entreprises comme Google exploitent les données personnelles. Ce n’est pas tant le « graphe social » que Google cherche à capter qu’à faire un profilage des individus destiné ensuite à être monétisé par le biais de la publicité. Comment se manifeste la dimension collective des données pour ce type d’acteurs ? C’est précisément ce que la vidéo « The Selfish Ledger » permet à mon sens de comprendre.

Évidemment, il ne s’agit pas de prendre ce qui est dit dans cette vidéo pour argent comptant, car il s’agit d’un exercice spéculatif de « Design Fiction » par lequel les équipes de prospective de Google poussent des concepts jusque dans leurs ultimes ramifications. Il ne faut pas en déduire que la vidéo présenterait un plan que la firme de Mountain View chercherait à mettre à exécution à la lettre. Néanmoins elle contient certains concepts intéressants qu’il serait dommage de négliger.

Voici comment le site Business Insider résume le propos de cette vidéo :

En s’appuyant sur les théories de l’évolution et en se référant directement au livre de Richard Dawkins de 1976 «The Selfish Gene», la prémisse de base imagine que les gens ont un enregistrement de données en ligne en constante évolution, ce que Foster appelle le « registre égoïste », le « Selfish Ledger ». A l’avenir, il dit qu’il pourrait être utilisé pour « non seulement suivre notre comportement, mais aussi donner des indications pour aller vers un résultat désiré ».

Bien qu’elles aient focalisé l’attention des médias, ces références à la génétique (et même plus précisément à ce que l’on appelle l’épigénétique) ne m’intéressent pas tellement, surtout qu’elles ne jouent au final qu’un rôle assez « métaphorique » dans la démonstration. Beaucoup plus intéressant par contre est le renversement de perspective exploré par Nick Foster qui imagine en quelque sorte que ce ne sont pas les individus qui produisent les données personnelles, mais les données personnelles qui produisent les individus.

Pour comprendre ce qu’il veut dire, il faut citer les mots du narrateur de la vidéo (voir ici la transcription complète) :

Lorsque nous utilisons les technologies contemporaines, un flux d’informations est créé sous la forme de données. Une fois analysé, il décrit nos actions, nos décisions, nos préférences, nos mouvements et nos relations. Cette version codifiée de qui nous sommes devient de plus en plus complexe, évolutive, changeante et déformante en fonction de nos actions.
A cet égard, ce « registre » de nos données peut être considéré comme un épigénome lamarckien : une représentation en constante évolution de qui nous sommes.

[…]

Les principes de conception centrés sur l’utilisateur ont dominé le monde de l’informatique depuis des décennies, mais que se passerait-il si nous examinions ces choses un peu différemment? Et si le registre pouvait se voir confier une volonté ou un objectif, au lieu de se contenter d’agir comme une référence historique? Et si nous nous concentrions sur la création d’un registre plus riche, en introduisant d’autres sources d’information? Et si nous ne nous considérions plus comme les propriétaires de cette information, mais comme les conservateurs, les porteurs temporaires, les gardiens ?

Nick Foster nous explique que l’usage des outils numériques produit un enregistrement de données (le Registre) rendant compte de chacune de nos actions et il le compare à un épigénome, c’est-à-dire un patrimoine génétique susceptible d’être modifié par le comportement d’un individu au cours de sa vie et transmis à sa descendance (perspective qui est celle de la théorie « transformiste » de l’évolution selon Lamarck, infirmée plus tard par Darwin).

Cela relève à mon sens d’une comparaison assez obscure, mais il est possible d’éclairer plus exactement la nature de ce « Registre » en se référant au concept d’habitus tel qu’il a été forgé par le sociologue Pierre Bourdieu et dont voici une définition :

L’habitus correspond au fait de se socialiser au sein d’un […] groupe, formant ainsi un « système de dispositions réglées » acquises par ajustement spontané entre les contraintes imposées à l’individu et ses espérances ou aspirations propres. L’habitus permet d’expliquer que des individus, appartenant à une même catégorie sociale, à un même groupe, placés dans des conditions analogues aient une vision du monde, des idées, des comportements, des goûts similaires.

Les données figurant dans le « Registre » dont parle la vidéo sont le résultat de nos actions et interactions, mais ce que Foster sous-entend, c’est que Google est capable d’en déduire les causes qui déterminent les individus à agir dans un sens ou dans un autre. On peut utiliser la célèbre allégorie de la Caverne de Platon pour mieux faire comprendre de quoi il s’agit. Nous avons l’impression de « produire » nos données personnelles, alors que nos actes qui les engendrent sont en réalité surdéterminés par notre habitus. En cela, nous sommes comme les humains que Platon imagine enfermés dans la Caverne qui voient s’agiter des ombres sur la paroi devant eux. Nous ne comprenons pas que ces ombres sont produites par des formes passant devant une lumière située derrière nous. La situation est exactement la même pour les données personnelles : nous les voyons comme le résultat de nos décisions conscientes, alors qu’elles sont en réalité le produit du social tel qu’il a inscrit sa marque en nous et s’exprime à travers nous.

Allégorie de la Caverne de Platon.

A travers le « Registre » des données que Google accumule sur chacun de nous, la firme est en mesure de faire ce qui est hors de notre portée : se retourner et « voir » littéralement les habitus déterminant les individus. C’est précisément ce qu’elle fait avec le profilage et grâce auquel elle range les individus dans des catégories permettant – dans une certaine mesure – de prédire nos comportements. Ces catégories constituent une façon pour Google de cerner les habitus conditionnant les individus. Voilà pourquoi les données dites « personnelles » sont en réalité toujours intrinsèquement des données sociales : ce ne sont pas les individus qui les « produisent », étant donné que leur production résulte de mécanismes collectifs, puisque les habitus sont rattachés aux groupes sociaux auxquels les individus appartiennent.

Évidemment, le déterminisme social qu’exprime la notion d’habitus n’a pas une portée absolue et il existe toujours une certaine marge de manœuvre que les individus peuvent mobiliser pour se comporter d’une manière décalée par rapport aux attentes sociales qui pèsent sur eux, sachant aussi que l’habitus peut évoluer dans le temps au fil des milieux sociaux que l’individu va traverser au cours de son existence. Mais ces variations s’inscrivent en permanence dans le « Registre » des données captées par Google et la firme est en mesure, par le biais des opérations de profilage effectuées constamment, de reconstituer en temps réel la configuration de l’habitus d’un individu à un instant T.

Dans la suite de la vidéo, Foster émet l’idée que Google pourrait aussi « reprogrammer » le Registre pour inciter les individus à adopter des comportements conformes aux « valeurs » de la firme. Cela se manifesterait par des incitations envoyées sous forme de notifications par les applications de Google à ses utilisateurs pour réorienter leurs choix. Cela signifie que Google en plus de « voir » les habitus serait en mesure d’agir sur eux et de les modifier selon ses propres besoins. C’est sans doute le point le moins crédible de la vidéo, car Bourdieu montrait bien que si les habitus peuvent évoluer au fil du temps, il est extrêmement difficile pour un individu d’échapper aux déterminations résultant de sa socialisation primaire (celle reçue pendant l’enfance à travers le milieu familial) et que s’il existe une certaine marge d’évolution des habitus, ceux-ci manifestent une forte résistance au changement (notion d’hystérésis de l’habitus). Difficile de penser que de simples « nudges » puissent suffire pour reprogrammer en profondeur un habitus, mais c’est le genre de fantasme qu’il doit être flatteur de faire caresser à des firmes comme Google…

La vidéo « The Selfish Ledger » est donc au fond moins « lamarckienne » que « bourdieusienne » et plutôt que d’emprunter ce détour par la génétique, c’est vers la sociologie qu’il faut se tourner pour comprendre comment fonctionne le « Registre » qu’elle décrit. Cela se manifeste aussi à la fin de la vidéo, lorsque Foster envisage que le « Registre » puisse avoir une dimension transgénérationnelle :

Les données de l’utilisateur ont la capacité de survivre au-delà des limites de son être biologique, de la même manière que le code génétique est libéré et propagé dans la nature.
En considérant ces données avec une perspective lamarckienne, les expériences enregistrées dans le Registre deviennent une accumulation de connaissances comportementales tout au long de la vie d’un individu.
En considérant les données de l’utilisateur comme multi-générationnelles, il devient possible pour les nouveaux utilisateurs émergents de bénéficier des comportements et des décisions des générations précédentes.

Lorsque de nouveaux utilisateurs entrent dans un écosystème, ils commencent à créer leur propre flux de données. En comparant ce Registre émergent à la masse des données historiques des utilisateurs, il devient possible de faire des prédictions de plus en plus précises sur les décisions et les comportements futurs.

À mesure que les cycles de collecte et de comparaison s’étendent, il devient possible de développer une compréhension au niveau de l’espèce de problèmes complexes tels que la dépression, la santé et la pauvreté.

Là encore, la métaphore de la génétique obscurcit à mon sens ce que le recours à la notion d’habitus permettrait au contraire d’éclairer. En effet, avec des ouvrages comme « Les Héritiers », « La Reproduction » ou « La Distinction », Bourdieu a bien montré les mécanismes sociaux qui donnent à l’habitus une portée intergénérationnelle. C’est le milieu social dans lequel les individus naissent et passent leur enfance qui configure initialement leur habitus et lui donne une forme qu’il sera difficile de faire évoluer par la suite. Cet habitus primaire n’est pas uniquement déterminé par la cellule familiale, car il s’agit aussi selon Bourdieu d’un « habitus de classe ». Les classes sociales tendent ainsi à se reproduire au fil des générations par le biais des habitus qui sont « légués » par les parents à leurs enfants.

Une caractérisation des « habitus de classes » selon Bourdieu.

Du point de vue des données « personnelles », ces phénomènes sont aussi tout à fait perceptibles. Car de la même manière que nous naissons porteur des gènes de nos parents, nous obtenons dès notre naissance un certain nombre de données à caractère personnel qui nous « localisent » dans le champ social : par notre nom, notre adresse, notre pays d’origine, notre sexe, etc. Ces données personnelles (qui sont en réalité des « coordonnées sociales ») figurent dès notre premier jour dans le Registre et elles forment la base à partir de laquelle un acteur comme Google pourra identifier notre habitus, jusqu’à ce que la production de nouvelles données au fil de notre vie lui permette d’ajuster ses observations à son évolution.

***

Si l’on prend bien le soin de mettre de côté ses délires eugénistes, la vidéo « The Selfish Ledger » contient à mon sens des éléments importants pour mieux cerner la dimension collective des données personnelles, qui sont donc bien toujours intrinsèquement des données « sociales ». Ce n’est même qu’une illusion d’optique, comme celle dont sont victimes les hommes de la Caverne de Platon, qui nous les fait voir comme « personnelles ». Comme dit Spinoza, « les hommes se croient libres parce qu’ils sont conscients de leurs désirs, mais ignorants des causes qui les déterminent« . De la même manière, nous croyons produire des données « personnelles », uniquement parce que nous sommes ignorants des causes qui les déterminent. Et il est plus juste de dire que ce sont en réalité ces données qui nous déterminent, ou plus exactement, l’habitus qu’un acteur comme Google est capable de « déduire » des enregistrements de données dont il dispose sur nous.

Ma conviction est qu’aucune protection réellement efficace de nos droits ne pourra advenir tant que le législateur ne se sera pas lui aussi retourné dans la Caverne pour voir et consacrer juridiquement cette dimension collective des données, tandis que la réglementation actuelle (y compris le RGPD), prisonnière du paradigme individualiste, est condamnée à ne saisir que des ombres…