Géolocalisation et réseaux sociaux: règles et lois (5/5)

Slate.fr publie une série de cinq articles sur les enjeux des réseaux sociaux de géolocalisation. Ils sont écrits par 4 étudiants de Sciences-Po Paris dans le cadre d’un travail de réflexion. Ils sont un préalable à la rédaction d’un livre blanc commandé par Mobicampus, service d’informations mobile pour les étudiants.

» Du qui suis-je au où suis-je (1/5)

» De l'information à l'exhibition inconsciente (2/5)

» Au bonheur de la pub (3/5)

» Le droit à l'oubli (4/4)

***

Le développement des réseaux sociaux a conduit la justice à se pencher sur la question de la protection des données personnelles en imposant à certains éditeurs de réseaux sociaux de modifier leur politique de confidentialité à l'avantage des utilisateurs. Mais ces décisions ne concernent que les relations entre utilisateurs et éditeurs de service. Or, la gestion de la confidentialité est un enjeu bien plus délicat entre les utilisateurs eux-mêmes. Un terrain sur lequel la loi n'est pas forcément le meilleur outil.

Mot de passe, opt-in et pornographie

Des Etats-Unis à l'Union européenne, l'intégralité de la norme applicable a jusqu'à présent concerné les relations entre les utilisateurs et les éditeurs de service ou les fournisseurs d'accès à Internet. Avec une différence notable selon les systèmes juridiques: les pays germano-latins ont adopté un système de législation pénale tandis que les pays anglo-saxons ont choisi la voie d'une législation civile, beaucoup plus permissive.

Aux Etats-Unis, l'essentiel de la loi vise à protéger les mineurs de 13 ans. La loi COPPA (Children's Online Privacy Protection Act) de 1998 contribue ainsi à protéger la vie privée des enfants sur Internet en imposant aux éditeurs de site des chartes de protection de la vie privée et des restrictions aux mineurs. Cependant, la législation pourrait très prochainement évoluer: en effet, un projet de loi baptisé Cyber Privacy Act déposé le 22 avril prévoit de protéger les internautes et les informations qu'ils diffusent sur le web en interdisant aux éditeurs de service et de sites web la publication de données personnelles telles que le numéro de téléphone, sous peine d'amende infligée par le Federal Trade Commission.

L'Union européenne a, dès 2000, obligé les fournisseurs d'accès à Internet à garantir la confidentialité des données utilisateurs. Mais l'Union peine à s'engager dans un débat sur la protection des données personnelles sur les réseaux sociaux: le récent vote du Paquet Télécom ne propose qu'une procédure d'opt-in avant l'installation de cookies sur l'ordinateur d'un utilisateur.

En France, la loi Informatique et Libertés du 6 janvier 1978 modifiée par la loi du 6 août 2004 a créé la Cnil (Commission nationale de l'informatique et des libertés), qui effectue des contrôles a priori et a posteriori. Elle possède un pouvoir de sanction (administrative ou financière) et donc d'appréciation. En février 2008, le Conseil d'État a renforcé la portée de l'action de la Cnil en la qualifiant de «juridiction».

De confuse et isolée, la protection des renseignements personnels des utilisateurs de réseaux sociaux est devenue plus précise et tend à s'harmoniser entre les pays, notamment au sein de l'Union européenne. Des progrès commencent à être faits de tous les côtés, comme l'illustre le consentement de Google et Yahoo en 2008 à réduire la durée de conservation des données.

Des décisions judiciaires peu nombreuses

Le Canada a été le premier et aujourd'hui le seul à s'attaquer à l'un des mastodontes de l'Internet: Facebook. En juillet dernier, un rapport sur la protection de la vie privée sur Facebook, rédigé par les services de la commissaire canadienne à la protection de la vie privée, édictait une série de recommandations sur la gestion des renseignements personnels. Le réseau social avait alors l'obligation de mettre en place ces changements au Canada et dans les autres pays dans un délai maximum de trente jours, ce qu'il a fait. Mais à peine six mois après avoir obtenu gain de cause de la part de Facebook, une nouvelle enquête a été ouverte à la suite d'une plainte d'utilisateurs canadiens critiquant les nouveaux paramètres par défaut qui rendent les données personnelles encore plus visible.

De la charte éthique à l'autorégulation

La principale faille des législations internationales sur lesquelles s'appuient les décisions de justice, c'est qu'elles se trompent d'enjeu. Le développement des réseaux sociaux a contribué à ouvrir un nouveau terrain sur lequel doit se concentrer l'essentiel de la régulation: les relations entre utilisateurs.

Si la législation protège plus ou moins bien les relations verticales entre utilisateurs et éditeurs de services, elle reste silencieuse sur les relations horizontales entre les différents utilisateurs. Avec Facebook et Myspace, la question était posée de savoir qui peut avoir accès aux informations personnelles. L'essor de la géolocalisation pose désormais la question de savoir qui peut connaître des faits et gestes (datés et localisés) de chacun à l'intérieur du service.

A relation horizontale, législation horizontale: c'est le credo de certains groupes et associations d'internautes. Dès 2007, l'association Les Humains Associés proposaient d'adopter une charte de bonne conduite entre utilisateurs des réseaux sociaux: la «néthique». Mais les recommandations de «nétiquette» concernaient essentiellement les rapports de cordialité sur les blogs et dans les messageries. D'autres associations, comme la Marketing Mobile Association, se proposent d'exercer un rôle dans la protection des données personnelles. Pour des succès encore trop limités.

La protection des données personnelles sur les réseaux sociaux s'apparente, au final, à une question de courtoisie. Un exemple notable: le guide des bonnes manières sur Facebook, vidéo publiée en avril 2009. Dans le monde anglo-saxon, temple de la «gentlemanhood», les réseaux sociaux n'échappent pas au respect de la plus élémentaire des politesses: ne pas parler ni agir pour autrui. Une étude menée en 2008 par la filiale d'Orange en Grande-Bretagne a dévoilé les préoccupations des sujets de Sa Majesté quant au respect de la vie privée sur les réseaux sociaux en même temps que leur ignorance des règles à suivre. Il n'est ainsi pas étonnant que, parmi les recommandations édictées par Jo Bryant, la Nadine de Rotschild d'outre-Manche, figure la récrimination du postage de photos de tiers sans leur consentement.

L'autorégulation au secours d'une législation trop poreuse? La majorité des éditeurs de service offrent des options de confidentialité permettant de déterminer le périmètre de diffusion des données personnelles. Avec un corollaire: une transmission de responsabilité vers l'utilisateur. Jusqu'à présent, la jurisprudence n'a pas déterminé si les éditeurs étaient aussi redevables du respect des données personnelles ou si les utilisateurs –pourvu qu'ils soient correctement informés– ne pouvaient se prévaloir de leur propre turpitude.

A l'image des retentissants procès intentés outre-Atlantique par les fumeurs contre les géants du tabac, seul un cas d'espèce pourra apporter des éléments de réponse quant à la protection des données de géolocalisation.

Isabelle Fillet, Guillaume Griffart, Thibault Mercuzot et Julien Rivet

Photo: Scales of Justice / srqpix via Flickr License CC by