La sauvegarde de notre vie privée à l’heure du développement tentaculaire des réseaux apparaît de plus en plus malaisée. Nous disposions jusqu’à présent d’un droit de propriété sur nos données personnelles. Identité, situation familiale et professionnelle, habitudes de consommation... La loi a réglementé leur utilisation par les administrations et les entreprises. Allons-nous être bientôt conduits à en faire le commerce ? Dans l’univers de l’économie en réseau la collecte d’informations nominatives à des fins de personnalisation ou de ventes de données se développe dans des proportions considérables. Dans ce contexte les particuliers pourraient être prochainement incités à commercialiser eux mêmes leurs données personnelles.
Depuis le 11 septembre dernier l’ensemble des pays occidentaux ont promulgué dans l’urgence de nouvelles lois qui visent à renforcer la surveillance des échanges sur Internet. Le Parlement français doit adopter le 30 octobre un amendement qui impose, notamment, la conservation des données de communication par les fournisseurs d’accès à l’Internet pendant un an. Les organisations qui défendent les libertés individuelles s’élèvent, en France et à l’étranger, contre ces mesures qualifiées de « liberticides. » Et le Parlement européen vient de rappeler « qu’en vertu de la Convention européenne des droits de l’homme, et conformément aux arrêts rendus par la Cour européenne des droits de l’homme, toute forme de surveillance électronique générale ou exploratoire pratiquée à grande échelle est interdite ». Docte hypocrisie.
Des profils par millions
Les avancées technologiques ont considérablement réduit les coûts de collecte et de traitement des données personnelles par les entreprises. Plusieurs types d’acteurs ont développé de très fructueux marchés sur ce créneau. Les géants de la vente par correspondance (VPC), comme les Trois Suisses ou La Redoute, qui revendent leurs fichiers-clients, comportant des millions de « profils », à de nombreuses entreprises. Les détenteurs de « mégabases marketing », élaborées à partir de questionnaires très détaillés, distribués le plus souvent dans les boites aux lettres, tels Claritas ou Consodata, qui possèdent des données sur plusieurs dizaines de millions de foyers européens [1]. Les sociétés spécialisées dans la commercialisation des données des annuaires, comme Mediatel (groupe France Telecom), ou GroupAdress. Encore peu ou pas implantées en Europe, mais déjà très actives aux Etats-Unis, d’autres entreprises y commercialisent, en toute légalité, des informations relatives à la solvabilité des particuliers (Equifax, Trans Union, Experian). Enfin, grâce aux spécificités d’Internet, certaines « start-up », et notamment les sites de loterie (Bananalotto), ont collecté en l’espace de deux ou trois ans des millions de profils personnels.
Les grandes sociétés qui commercialisent des fichiers de marketing direct en France revendent une adresse pour un coût qui varie de 0,30 à 2,00 francs. Il y a encore quelques mois le client d’un site internet marchand était lui « valorisé » jusqu’à 10 000,00 francs. Une folle cotation découlant des valorisations boursières astronomiques qui ont eu cours jusqu’à l’éclatement de la « bulle » de la nouvelle économie. Les marchés ont fini par sanctionner ces dérives. Mais l’accroissement du pouvoir des consommateurs dans l’économie en réseau conduit aujourd’hui des économistes et des experts du marketing à prédire la prochaine commercialisation de leurs données personnelles par les particuliers.
Hier encore difficilement concevable, cette idée prend corps à l’heure où des masses considérables de données personnelles, jusqu’à présent détenues par la puissance publique, vont elles aussi connaître différentes modalités de commercialisation. Directeur technique de la société californienne PrivacyRight, M. Paul Sholtz défendait donc il y a quelques mois une nouvelle conception de la vie privée, qui s’appuie notamment sur le concept des « coûts de transaction », formulé par M. Ronald Coase, prix Nobel d’économie en 1991 [2].
Un marché inefficace
La réduction considérable du coût de collecte et de traitement des données personnelles par les entreprises, induite par le développement des nouvelles technologies, aurait donné naissance à un marché inefficace, car il introduit une forte asymétrie de l’information entre ses acteurs. Dès lors il s’agirait de reconnaître aux consommateurs un droit de propriété (et de commercialisation) de leurs données personnelles, afin de « rétablir l’efficacité du marché », et de faciliter le développement du commerce électronique.
Certains défenseurs de la vie privée soutiennent cette vision. Affirmant vouloir s’opposer aux modalités les plus intrusives du marketing en ligne, ils soutiennent que les « royalties » versées aux consommateurs qui commercialiseront leurs données induiront un surcoût notable de la production des campagnes de marketing direct. Les entreprises opteraient dès lors pour des modes de communication davantage respectueux de la vie privée, pour des raisons de rentabilité... M. Arnaud Belleil, Directeur marketing de la société française Cecurity.com, chargé de cours à l’Institut d’Etudes Politiques de Rennes, enfonce le clou : « Par son inscription à un site Internet, un particulier procure à une entreprise une valeur considérable et ce qu’il obtient en retour est aujourd’hui marginal. Il se retrouve dans la position des populations primitives qui se voyaient offrir de la verroterie en échange de leurs métaux précieux par les explorateurs occidentaux des siècles passés. » [3]
Et de citer les propos de Mme Kathy Daly Jennings, Marketing Vice President de Persona, une société américaine qui commercialise des services de protection de la vie privée. Mme Daly Jennings croit en la solvabilité de ce marché, pour peu que le consommateur soit convenablement rémunéré : « Dans nos études de marché, lorsque l’on demande à des consommateurs s’ils seraient prêts à communiquer leur numéro de téléphone pour 100 francs, c’est non ! Mais s’il s’agit de 1000 francs, il n’y a plus de problèmes. » [4]
L’effondrement de la « Nouvelle économie » a fait litière des prophéties qui promettaient un avenir radieux à des entreprises dont le financement, fondé sur une gratuité apparente, reposait en fait sur la collecte massive d’informations nominatives destinées à être commercialisées. Mais cette collecte n’a pas pris fin avec la faillite d’innombrables « start-up. » Nous n’en sommes encore qu’aux prémices de la commercialisation massive de nos données personnelles.
Demain le commerce électronique
Les acteurs de l’économie en réseau adoptent aujourd’hui massivement le modèle « payant », pour tenter de commercialiser ce qu’ils offraient hier encore gratuitement (en apparence), au consommateur de services ou de contenus. Les medias vont désormais tenter de vendre leur information à l’internaute. Les grands portails et les fournisseurs d’accès tarifer une foule de prestations hier encore gratuites. Yahoo ! multiplie ainsi depuis quelques mois le lancement de services payants, intitulés « Premium » : courrier électronique ou page personnelle à la capacité de mémoire élargie, services aux entreprises. En attendant l’arrivée prochaine de Pressplay, le service musical d’Universal et de Sony, qui sera distribué sur son réseau. Les annuaires et les moteurs de recherche commercialisent eux aussi le référencement des sites, voire leur positionnement. Les acteurs du marketing et de la publicité entendent bien évidemment profiter de la manne. Sans oublier les entreprises, voire les acteurs institutionnels, qui s’apprêtent à faire payer des services hier encore accessibles gratuitement, y compris dans le monde « physique »...
L’idée que le consommateur puisse bientôt être conduit à commercialiser ses données personnelles prend dès lors tout son sens. Le développement du commerce électronique, « pierre angulaire » de la société de l’information (telle que l’imaginent les « décideurs »), suppose que la sécurité des transactions effectuées sur les réseaux s’améliore considérablement. Aussi un grand nombre de dispositions législatives et règlementaires ont-elles d’ores et déjà été mises en oeuvre dans l’ensemble des pays développés. Elles visent toutes à garantir une sécurité maximale des transactions électroniques.
Big Brother is checking you...
Les procédures techniques de certification des transactions mobilisent un grand nombre d’acteurs qui élaborent des plate-formes transactionnelles extrêmement sophistiquées, dont l’inviolabilité serait de nature à rassurer le consommateur. Et la question de l’utilisation à des fins commerciales des « données publiques essentielles », comme la certification de l’identité d’un individu, se trouve dès lors posée. Seul l’Etat avait jusqu’à présent, privilège régalien, la capacité de le faire. Mais des « autorités de certification » ou des « tiers de confiance » revendiquent désormais haut et fort la faculté, dans le cadre d’une nouvelle forme de « délégation de service public », d’authentifier par exemple l’identité d’une personne.
Inconcevable ? L’ART (Autorité de Régulation des Télécommunications), a récemment ouvert une consultation autour du projet ENUM. Il s’agit d’un service de regroupement d’identifiant, qui vise à rendre « interopérable » le réseau de communication téléphonique et le réseau Internet. Concrètement, avec un seul numéro de téléphone, on pourra joindre une personne par téléphone, e-mail ou téléphone mobile. Pour M. Arnaud Belleil, Directeur marketing de la société Cecurity.com : « si le particulier se voit reconnaître la maîtrise des données qui y figure et la définition des habilitations d’accès, ce type de service devrait leur permettre d’acquérir une totale maîtrise de leur "joignabilité". (...) Une fois l’architecture en place, il ne semble pas impossible d’ajouter à l’ensemble des coordonnées d’une personne d’autres informations, telles que le numéro de carte bancaire, son numéro de sécurité sociale, etc. Enum deviendrait alors une alternative crédible à Passport (Microsoft nda). Pour autant le rythme auquel travaillent en général les instances en charge des questions de règlementation au sein du monde des télécommunications peut laisser craindre qu’Enum arrivera un peu tard, c’est-à-dire bien après Microsoft et AOL. » [5]
L’éventualité de voir des particuliers commercialiser eux mêmes leurs données personnelles n’emporte pas encore l’adhésion des acteurs concernés. Les sociétés de marketing direct y sont bien sur très réticentes. Les différentes autorités compétentes en matière de protection de la vie privée, comme la CNIL en France, répugnent tout autant à s’engager dans cette voie. « Un droit de propriété peut être vendu, mais les droits de l’homme ne peuvent jamais faire l’objet de transactions », souligne ainsi Mme Margaret-Jane Radin, professeur de droit à Stanford [6]. Les juristes combattront très probablement une forme de régulation économique de la « privacy » qui les priverait de leur monopole actuel sur ces questions.
Nouvelles inégalités
Toutefois, le spectre d’une société dans laquelle les plus démunis seraient contraints de vendre leur intimité ne relève plus aujourd’hui de la science-fiction. A l’opposé, les plus riches pourront se donner les moyens de protéger leur vie privée. Il apparaît en fait de plus en plus clairement qu’il va nous devenir quasiment impossible de nous assurer matériellement, dans l’univers des réseaux, qu’il n’est pas fait un usage commercial indésirable de nos données personnelles les plus intimes.
Nous allons donc très probablement être invités dans un avenir proche à définir les modalités selon lesquelles nous accorderons un « droit d’accès » à ces données à des tiers. Le 22 mai dernier le co-fondateur et Vice-Président de la société américaine Zero-Knowledge, M. Austin Hill, présentait dans les colonnes du magazine Business Wire son nouveau produit. Il s’agit d’un progiciel de PRM (« Privacy Right Management »). Ou gestion des droits à la protection de la vie privée. A l’image des logiciels de DRM (« Digital Right Management »), que les grandes multinationales de la musique et de l’image développent aux fins de s’opposer au piratage des disques et des films, les logiciels de PRM visent à s’opposer à l’usage non autorisé de données personnelles.
Le débat ne fait que commencer. Il promet d’être mouvementé. Mme Jason Cattlet, avocate américaine spécialisée dans la protection de la vie privée s’offusquait ainsi au mois d’août dernier de l’asymétrie entre les prétentions des multinationales à s’approprier l’entier bénéfice de la commercialisation des produits et des services qu’elles distribuent, et le dénuement du citoyen face aux stratégies marketing des mêmes entreprises : « Quant un particulier distribue un logiciel sans l’autorisation de l’entreprise, c’est un piratage. Quand une entreprise distribue les données personnelles d’un particulier sans son autorisation, pourquoi est-il uniquement question de partage ? » [7]
Comment protéger les données personnelles ?
Lors de la prochaine Trusted Computing Conference qui se tiendra à Moutain View en Californie au début du mois de novembre, tous les acteurs du monde de l’informatique et de l’Internet vont examiner l’idée de créer un organisme international indépendant pour gérer la circulation et la protection des données privées sur Internet.
Depuis 1997, les grandes firmes informatiques américaines ont développé, sous l’égide du W3C (World Wide Web Consortium), un standard dit P3P (Platform for Privacy Preference) pour encadrer la réutilisation par les sites des profils électroniques des internautes. Les technologies Passport (Microsoft), Magic Carpet (AOL) ou Liberty Alliance (Sun Microsystems) sont les premières applications industrielles du P3P. Elles organisent l’échange automatique des données personnelles sur le web, en fonction du consentement de l’internaute.
Ces technologies veulent éviter l’inconvénient de l’enregistrement à répétition et offrir à l’utilisateur la possibilité de définir par lui-même le niveau de protection sur ses données privées. « Notre application "Passport" ne centralise plus le stockage des profils électroniques », affirme-t-on désormais chez Microsoft [8]. Le numéro de la carte de paiement restera dans les serveurs de la banque de l’internaute, auxquels Passport compte désormais s’ouvrir. Idem pour les données administratives. Dans l’hypothèse d’un accord avec l’État, c’est le service public qui conserverait les informations privées. « L’étape suivante est donc de confier à un tiers indépendant la gestion des tables de pointeurs qui réalisent le croisement de données », affirme-t-on chez Microsoft. Ce sont donc ces nouveaux carrefours de l’identité personnelle que les industriels sont désormais prêts à confier à un organisme de tutelle.
En France, le gouvernement a prévu de lancer à l’occasion d’un prochain Conseil interministériel pour la société de l’information (Cisi), une consultation sur l’utilisation de ces nouvelles technologies de protection de la vie privée.
« L’état civil est du ressort du ministère de la Justice. On pourrait très bien considérer que la circulation des données personnelles sur internet est de prérogative régalienne, comme le droit à la sécurité ou à l’identité personnelle », explique-t-on à Matignon, peu disposé à laisser aux industriels la gestion des informations privées. Le débat portera notamment sur un projet de « coffre-fort électronique », qui vise à donner à chaque citoyen le contrôle de l’utilisation par l’administration de ses données nominatives. Annoncé par Michel Sapin fin août 2001 à Hourtin, il ne se limiterait pas à favoriser la mise en oeuvre de l’administration en ligne. Mais permettrait également de sécuriser le commerce en ligne. Et, volens nolens, est supposé garantir de façon effective les droits reconnus aux citoyens européens en matière de protection de la vie privée...
Au Royaume-Uni, un projet identique a été lancé par Tony Blair en janvier sous le nom de « government gateway ». Les Britanniques ont moins de scrupules que les Français : le support technique sera assuré par Passport de Microsoft. « Les technologies de protection de la vie privée ne peuvent pas être employées sans un débat préalable à leur légitimité », considère-t-on en France. A suivre...
