CECILIA ALVAREZ et MORILLON AVOCATS (SÉRIE LIMITÉE)

Bonjour, Cecilia, nous sommes très heureux de vous interviewer pour notre SÉRIE LIMITÉE. Votre parcours dans le secteur de la protection des données est

Bonjour, Cecilia, nous sommes très heureux de vous interviewer pour notre SÉRIE LIMITÉE.

Je suis arrivé à la protection des données par hasard, car au début j’étais avocate en fusions et acquisitions. En 1997, la spécialisation dans la protection des données n’existait pas dans le cabinet pour lequel je travaillais. J’ai eu à m’occuper d’un dossier de télémédecine qui impliquait des transferts de données de patients entre une clinique espagnole et des oncologues américains. La question était complexe et demandait beaucoup de recherches que j’ai dû faire en mode autodidacte, car il n’y avait ni livres, ni professeurs, ni experts. Afin de rentabiliser cet effort, le cabinet m’a ensuite confié des questions de protection des données sur des sujets aussi variés que la lutte contre le blanchiment d’argent et le financement du terrorisme, la titularisation de la dette, la vente parallèle de médicaments par les industries pharmaceutiques, la cession de crédit, la création de bio-banques ou encore la lutte des héritiers contre la diffusion télévisée post-mortem des interviews faites à une princesse. J’ai fini par créer et diriger cette pratique au sein du cabinet et dans son réseau latino-américain et par partager mes connaissances au niveau académique.

Nous sommes passés de l’ignorance à la peur et peu nombreux sont ceux qui ont essayé de surmonter ces deux écueils en s’informant. La numérisation de la société et de l’économie est un processus dans lequel on se retrouve sans rien y connaître. Les avancées scientifiques liées à la technologie ont généré différentes modalités d’utilisation et, comme pour toutes les activités humaines, il y en a eu de fantastiques et des désastreuses. Les évolutions en la matière sont en cours. Il est important de faire l’effort de comprendre le monde dans lequel nous vivons et celui que nous laisserons en héritage à nos enfants, non par peur mais par sens critique.

Les organisations ont aujourd’hui clairement conscience de l’impact des normes qui réglementent les données personnelles. Il est peu fréquent qu’une organisation d’une certaine taille dans le secteur privé n’ait pas mis en place de programme de protection des données. En revanche, et à quelques exceptions près, le secteur public a encore un long chemin à parcourir à ce propos.

La protection des données est aussi un business qui a contribué à créer des emplois à valeur ajoutée : elle a permis la création de nouveaux et intéressants métiers liés à l’exploitation des données personnelles, avec des profils très divers tant dans le secteur privé que public. Malheureusement, un autre « réseau » a également été créé permettant à des individus et des organisations sans scrupules d’exploiter la peur des sanctions et des atteintes à la réputation.

La protection des données est devenue une matière très technique, complexe et peu intuitive. La plupart du temps, sa mise en œuvre est coûteuse et son interprétation ne se caractérise pas par sa sécurité juridique ou son caractère innovant. Son interprétation a été à de nombreuses reprises poussée à l’extrême en oubliant que – comme pour tous les droits fondamentaux – la protection des données personnelles n’est pas un droit absolu.

Aucune création humaine n’est infaillible ! Et les politiques de protection des données sont une création humaine au même titre que la législation qui impose leur contenu. Tout aussi humaine que la paresse de lire de la part de ceux qui sont censés le faire.

De nombreuses organisations ont des politiques de protection des données qui traitent des aspects requis par la loi. Cependant, la loi impose des normes qui ne sont pas toujours du plus grand intérêt pour le citoyen auquel elles sont -en principe- destinées. D’autre part, l’interprétation de ces exigences légales, soit à l’extrême soit à la convenance de chaque cas, s’est révélée être une science pour le moins incertaine.

Il est évident que rédiger des « politiques de confidentialité » n’est pas le seul moyen (ni le plus approprié) de transposer des questions intéressantes et pertinentes à notre prise de décision ou de générer de la confiance dans les pratiques des organisations. Tant qu’il s’agit d’une obligation légale, elle doit être respectée. Cependant, on peut compléter par d’autres moyens pour simplifier la transparence, axés sur d’autres aspects clés qui intéressent l’utilisateur, explorer des formats alternatifs au texte et fournir des informations plus précises au moment le plus utile, c’est-à-dire en fonction du contexte. Pour que cela fonctionne, ces formes innovantes de transparence ou autres doivent être mises en avant.

Bien que la législation sur la protection des données en Europe n’ait pas « l’ancienneté » des codes civils, on ne peut pas non plus dire qu’il s’agisse d’une législation nouvelle. Ses principes sont restés essentiellement valables depuis plusieurs décennies en dépit du fait que la vitesse et l’ampleur de création, transformation et circulation des données personnelles aient été une constante. La difficulté, à mon avis, est plutôt liée aux excès dans l’interprétation. Il ne faut pas ignorer le reste du système judiciaire mais se battre pour qu’il évolue avec une rigueur scientifique.

On dit toujours qu’il s’agit d’une course sans fin, pas seulement par rapport aux hackers mais aussi par rapport à d’autres acteurs malveillants plus modernes, comme les scrapers qui, contrairement aux hackers, n’exploitent pas une vulnérabilité de sécurité mais imitent de façon automatique le comportement humain d’usage légitime.

Quant aux hackers, ils semblent avoir l’opportunité, le temps et parfois le financement, pour identifier et exploiter les vulnérabilités. Et, dans la plupart des cas, la plus grande vulnérabilité réside chez les employés ou sous-traitants qui ont accès ou traitent des données personnelles sous le contrôle ou la responsabilité d’entreprises ou d’administrations publiques.

Si le manquement est sciemment permis, cet utilisateur en sa qualité d’employé ou de sous-traitant d’une organisation peut engager sa responsabilité civile, sociale et pénale. Pour l’organisation qui l’ a embauché, ce manquement peut signifier une responsabilité administrative et civile avec des conséquences importantes en termes de sanctions et d’atteinte à la réputation qu’elle ne pourra malheureusement pas réclamer à l’employé ou l’entrepreneur responsable en dernier ressort.

Au-delà des failles de sécurité, l’utilisateur peut également être le complice nécessaire pour faciliter les tâches de scraping lorsqu’il autorise les scrapers à l’expoiter pour installer des API sur un système d’information ciblé.

Il se peut que l’intelligence artificielle fasse un bon résumé. Mais, comme je l’ai déjà dit, la question ne se réduit pas à savoir si le texte est court ou contient un niveau de lexique abordable. Si l’on examine les dernières décisions des législateurs en matière de transparence, leurs exigences quant au niveau de détail sont contradictoires avec la production de textes courts et faciles à comprendre.