De manière presque provocatrice, Antonio Casilli et Paola Tubaro affirment dans leur tribune qu’«il n’y a rien de plus collectif qu’une donnée personnelle.» Ce point de vue a longtemps paru iconoclaste par rapport à la tradition « personnaliste » qui domine la doctrine en France, mais de plus en plus d’analyses convergent aujourd’hui pour critiquer la manière dont le droit appréhende « les informations à caractère personnel ». Depuis la loi de 1978, celles-ci sont saisies à travers leur capacité à identifier les individus et c’est exclusivement à ce titre que ceux-ci se voient attribuer par la loi des droits pour en contrôler la collecte et l’utilisation.

Or les données personnelles sont bien toujours également des « données sociales », parce que la vie privée elle-même est toujours enchâssée dans un tissu de relations sociales (amicales, familiales, professionnelles, territoriales, citoyennes, etc.). L’interconnexion des données, via les outils numériques, constitue par ailleurs un préalable indispensable à leur valorisation, y compris financière, comme l’explique bien Silvère Mercier:

Il nous faut comprendre la différence essentielle entre les données d’un individu et le graphe qui est exploité. Facebook et Google n’ont que faire des données prises séparément, c’est pourquoi le fait de permettre à l’utilisateur de télécharger ses données est tout sauf une solution. Non ce qui est décisif, c’est le graphe, le croisement de ces données, les relations entre elles […]

Il y a donc d’emblée une double dimension collective caractéristique de nos données « personnelles », qui s’exprime au sens d’un usage du monde « en lien » dans nos pratiques numériques, de la connexion et de la mise en relation – autant que du point de vue des rapports de production qui sont nécessaires à l’existence et l’exploitation des données. Ces deux répertoires d’actions numériques sont difficiles à distinguer précisément car l’approche centrée sur « l’émission » de données est marquée par une grande continuité des effets, sinon des pratiques individuelles et collectives.

Le droit des données personnelles reste aujourd’hui largement « aveugle » à cette double dimension collective et pour la chercheuse Antoinette Rouvroy, cette construction individualiste du statut des données est précisément ce qui entraîne aujourd’hui une « inadéquation des régimes de protection » :

Le défi qui serait le nôtre aujourd’hui, relativement à la protection des données, pourrait donc s’énoncer ainsi: comment tenir compte, de la nature relationnelle, et donc aussi collective, à la fois de la donnée (une donnée n’est jamais que la transcription numérique d’une relation entre un individu son milieu, laquelle n’acquiert d’utilité, dans le contexte d’analyses de type big data, que mise en rapport avec des données « émises » par les comportements d’autres individus), et de ce qui mérite d’être protégé, y compris à travers la protection des données ?

Le paradigme individualiste ici à l’œuvre a des conséquences juridiques importantes, car il tend à « surdéterminer » les moyens de protection mis à la disposition de l’individu. La loi Informatique et Libertés du 6 janvier 1978 est souvent présentée comme enracinée dans une approche « personnaliste », mais dans les faits, elle avait plutôt pour objectif initial d’instaurer un équilibre sous la forme d’un « faisceau de droits d’usage » répartis entre les individus, les entreprises et les autorités publiques. Avec le temps, le régime de protection des données a néanmoins eu tendance à « s’individualiser » en donnant une place de plus en plus centrale au « consentement » de la personne. Cette approche culmine à présent avec le RGPD qui fait du « consentement libre et éclairé » un principe à portée générale et la pierre angulaire de la protection au nom du droit à « l’auto-détermination informationnelle » des individus.

Cette évolution est souvent présentée comme protectrice pour l’individu, mais il y aurait un lien à faire entre ce recentrement sur le consentement des personnes et la manière dont les dernières réformes du droit du travail ont renversé le « principe de faveur » qui donnait une prééminence aux normes supérieures (lois, accords de branche, conventions collectives) sur les accords d’entreprises et le contrat de travail. Pour Alain Supiot, ce poids donné à la plus petite échelle de négociation, et donc au niveau le moins collectif du consentement, dans la relation foncièrement inégalitaire qui caractérise les relations de travail, conduit au rétablissement des liens d’allégeance et des relations de féodalité caractéristiques de la période médiévale. Il y a lieu de se demander si le poids accordé au consentement individuel en matière de protection des données n’est pas la traduction d’un processus similaire de « vassalisation » des utilisateurs de plateformes.

Miser sur le consentement revient à faire reposer la régulation du système sur des choix que les individus devront prendre dans une situation d’isolement et de déséquilibre structurel face aux plateformes. C’est ce qu’exprime Valérie Peugeot dans un billet paru récemment sur le site de l’association Vecam :

[…] l’un des reproches que l’on peut faire au RGPD est son approche centrée sur l’individu. Le consentement, qui était déjà très présent dans le droit de la protection des données personnelles, notamment pour l’accès aux données sensibles, devient véritablement la clé de voûte de l’édifice juridique. Un consentement, supposé libre et éclairé, mais dont on sait à quel point il peut bien souvent n’être qu’éclairé à la chandelle, voire plongé dans le noir des CGU, les conditions générales d’usages, incompréhensibles pour le commun des citoyens. Un consentement que l’on doit accorder dans la solitude du dialogue avec l’écran de son ordinateur ou son téléphone mobile.

Pour contrebalancer ce biais, le législateur européen a notamment introduit dans le règlement l’obligation de « protection de la vie privée dès la conception » (privacy by design) qui doit amener les organisations, publiques comme privées, à penser leurs choix technologiques et organisationnels, le parcours de l’utilisateur dans le service, de telle manière que celui-ci puisse comprendre quels sont les choix qui s’offrent à lui. Reste à voir comment concrètement ces injonctions se traduiront et jusqu’à quel point elles permettront une forme de montée en compétence de l’utilisateur sur ses droits numériques.

Le « privacy by design » permettrait de garantir que la personne exerce son consentement dans un cadre pré-paramétré de manière à assurer par défaut sa protection. Mais la comparaison entre le droit du travail et celui de la protection des données personnelles permet là encore de comprendre le caractère foncièrement ambigu de ce mécanisme. Avec l’érosion du principe de faveur, le droit social a été fragilisé parce qu’on permet à présent aux travailleurs de déroger aux conventions collectives ou à la loi par le biais d’un consentement qui s’exprime au moment de la formation du contrat de travail. De manière identique, le RGPD va certes imposer aux plateformes de paramétrer par défaut leurs outils et services dans un sens protecteur pour les utilisateurs, mais en modifiant ces paramètres, les individus pourront « déroger » à ce réglage initial, en participant par eux-mêmes à la fragilisation de leurs droits d’une manière d’autant plus redoutable qu’ils exprimeront à cette occasion leur consentement. On butte ici sur l’ambiguïté des pratiques numériques individuelles qui se retrouvent de fait enchâssées et conduites par des outils dessinés par et pour des fins économiques lucratives. Le privacy by design ne tient pas assez compte de l’environnement dans lequel se déploient les pratiques qui sont orchestrées par des plateformes orientées vers l’objectif d’un profit financier.

On ne peut dès lors que partager les analyses d’Antoinette Rouvroy qui reste sceptique face aux promesses de la généralisation du consentement individuel et du privacy by design, estimant que ces nouveaux mécanismes ne permettront pas d’enrayer une massification de l’usage des données personnelles que le RGPD chercherait en réalité davantage à accompagner qu’à freiner :

[…] il faut bien se rendre à l’évidence : ni le principe du consentement individuel au traitement des données personnelles, ni les systèmes les mieux intentionnés de « privacy by design » ne sont de nature à endiguer le tsunami de données. Au contraire, même, pourrait-on dire : les privacy enhancing technologies permettent d’intensifier encore la prolifération des données en la rendant «conforme » à l’état du droit positif dont on vient d’exposer l’incapacité à faire face aux défis nouveaux que posent les données massives. Et il est bien dans la logique du droit européen de favoriser – plutôt que de ralentir – la croissance et l’accélération des flux de données, favorables, dit-on partout, à l’innovation, notion absolument vague, élevée au statut de valeur finale.

2) Rétablir le lien entre données privées et intérêt général

Si l’on veut sortir de cette vision « atomiste » de la protection des données, il importe de reconstruire un lien entre la figure de l’individu souhaitant protéger sa vie privée et celle du citoyen capable de se mobiliser avec ses semblables pour défendre les droits humains fondamentaux. Pour ce faire, nous proposons un détour par la notion de « données d’intérêt général », qui avait été envisagée au moment du vote de la loi République numérique comme un moyen de reprendre du pouvoir sur les plateformes. S’appuyer sur cette notion peut s’avérer utile pour (re)trouver un fondement à l’action collective sur les données, mais à condition d’en renverser complètement la signification.

Avec les données d’intérêt général, on songeait à donner à l’État une forme de pouvoir de « réquisition » de données détenues par des acteurs privés dans une série de secteurs stratégiques (santé, énergie, environnement, logement, etc.) ou pour faire face à des situations de crise. Ce concept a fait l’objet de nombreuses critiques et s’il a été maintenu dans la version finale du texte, ce n’est qu’au prix d’une profonde transformation, puisqu’il se réduit désormais à une simple obligation d’ouverture des données imposée aux personnes privées délégataires de service public. Peut-être valait-il mieux d’ailleurs que le concept original de données d’intérêt général soit abandonné par le législateur, car on aurait mis dans les mains de L’État un pouvoir très puissant, alors que ce dernier se comporte parfois comme un Léviathan tout aussi inquiétant que les grandes plateformes (comme l’a dramatiquement montré l’an dernier l’affaire du méga-fichier TES).

Néanmoins, il nous semble que le concept de « données d’intérêt général » mérite d’être conservé, à condition de l’investir d’un sens complètement nouveau. Le rôle central donné à L’État dans la détermination de ce que seraient des données d’intérêt général vient du fait que cette notion a été forgée en s’inspirant de l’expropriation pour cause d’utilité publique. Mais on pourrait considérer qu’il ne s’agit pas de données dont L’État ou une autorité publique a décidé qu’elles étaient d’intérêt général, mais plutôt que toutes les données relatives aux individus doivent par nature être considérées comme des données d’intérêt général, et pas uniquement comme des données « privées ». Nos données personnelles sont produites dans le cadre de comportements qui, par ailleurs, sont identifiés du point de vue du droit comme appartenant à des espaces de la vie civile, là où nous exprimons notre citoyenneté et où nous vivons ensemble. On pourrait donc considérer que les traces numériques relèvent de l’intérêt général en tant que données « citoyennes ». Il y a bien lieu de parler à leur sujet d’intérêt général, parce que les plateformes ne devraient pas avoir le droit d’utiliser ces données sans nous demander un consentement individuellement, mais aussi et surtout, collectivement.

Dans son billet déjà cité plus haut, Irénée Régnauld utilise une analogie intéressante entre les données personnelles et le droit de vote en démocratie. Les votes considérés un par un ne « valent rien » et ne « changent rien », car c’est seulement l’ensemble des votes de tous citoyens qui fait sens et entraînent le résultat du scrutin. De la même manière, les données personnelles n’ont de sens et de valeur qu’une fois reliées entre elles au sein du graphe social. Mais l’analogie entre le vote et les données se révèle surtout pertinente par le fait qu’à la dimension collective des données doit être attaché un pouvoir de décision collectif appartenant irréfragablement et solidairement à la collectivité, tout comme le droit de vote individuel est la conséquence de la souveraineté reconnue au groupe pour assurer la maîtrise de son destin. On retrouve une idée proche sous la plume de Zeynep Tufekci dans un article à propos de la vie privée publié par le New York Times :

Data privacy is not like a consumer good, where you click “I accept” and all is well. Data privacy is more like air quality or safe drinking water, a public good that cannot be effectively regulated by trusting in the wisdom of millions of individual choices. A more collective response is needed.

Cette citation est intéressante, car si elle contient une référence à l’intérêt général (voire au bien commun, en raison de la polysémie du terme public good en anglais), elle introduit aussi une nuance entre la forme que devrait prendre cette « réponse collective » et le mécanisme du vote démocratique. Zeynep Tufekci souhaite qu’un pouvoir collectif de décision sur les données émerge, mais pas qu’il s’exprime à la manière d’un scrutin agrégeant des « millions de choix individuels ». De la démocratie, on peut garder l’idée que c’est dans la figure des citoyens que doit s’enraciner la délibération collective sur les données, mais cette discussion ne devrait pas prendre la forme d’un vote ou d’un référendum. Il s’agit selon nous davantage d’ouvrir un espace de débat, au nom de l’intérêt collectif ou général, pour mettre en discussion les conditions d’utilisation des données et, surtout, le sens du processus de production qu’elles rendent possible.

Une « démocratie des données » conçue sur un mode purement arithmétique risquerait de nous faire retomber dans la « gouvernance par les nombres » dénoncée par Alain Supiot, avec ses dérives majoritaires et la faible capacitation des individus qui caractérise nos démocraties électives. On relèvera d’ailleurs qu’il y a quelques années, Facebook avait instauré des procédures de vote des utilisateurs destinées à valider les changements de Conditions Générales d’Utilisation (CGU). Les conditions de validité étaient fixées de telle manière (quorum de 30% minimum de vote des utilisateurs inscrits) que jamais la plateforme n’a été mise en situation de voir ses propositions rejetées et Facebook a finalement choisi de supprimer ce dispositif en 2012. Mais une certaine forme de « votation » continue à subsister sourdement dans le fonctionnement même de la plateforme, ne serait-ce que par l’effet de l’acceptation individuelle des CGU à l’inscription. Le RGPD va par ailleurs imposer un recueil du consentement des utilisateurs lors de la modification des CGU qui s’apparentera de facto à une sorte de vote. Pour parodier Ernest Renan, on pourrait donc dire que Facebook fonctionne grâce à un « plébiscite de tous les jours » et comme tous les plébiscites, celui-ci renforce sans doute davantage le pouvoir de la plateforme qu’il ne permet de le contrôler collectivement…

Si les données personnelles sont toujours des « données d’intérêt général » et si cette notion traduit l’idée que nous disposons d’un droit inaliénable à décider collectivement des conditions de leur usage, alors il nous faut inventer de nouvelles formes de discussions collectives, distinctes des figures imposées de la démocratie politique, en allant par exemple chercher de l’inspiration du côté des institutions de la démocratie sociale.

III Mobiliser un nouvel imaginaire pour construire un cadre de négociation collective sur les données

Repenser la protection des données sous la forme d’une « protection sociale » ouvrirait de nouvelles pistes pour imaginer des cadres collectifs d’action en faveur des droits humains fondamentaux. Il en est ainsi parce que la reconnexion des droits fondamentaux avec la gestion (et pas seulement la protection) des données implique la mise en œuvre d’institutions et d’espaces de négociation nécessaires à cette gestion collective, et qui font défaut actuellement.

1) Dé-judiciariser la défense des intérêts collectifs

Comme l’affirment A. Casilli et P. Tubaro dans leur tribune, il est indéniable que la vie privée résulte davantage aujourd’hui d’une négociation collective que de l’application des droits individuels prévus par les textes de loi. Ce processus associe de manière complexe les grandes plateformes, les pouvoirs publics et les individus. Mais dans les circonstances actuelles, le rapport de forces est tellement asymétrique que la voix des individus, et les voies de leur négociation, ne peuvent avoir qu’un poids infinitésimal. Des mobilisations collectives surviennent parfois, mais elles prennent des formes fugitives et éruptives, lorsque les utilisateurs expriment par exemple leur colère lors du rachat d’une plateforme par une autre ou en cas de changement des conditions d’utilisation jugés abusifs. Ces mouvements attestent d’une conscience collective que des droits sont bafoués et méritent d’être défendus, mais sans que cette volonté d’agir trouve une forme institutionnelle dans laquelle se couler.

Une des pistes pour donner consistance à l’action collective en matière de protection des données réside dans les recours collectifs (actions de groupe ou class actions), qui autorisent des individus à déléguer la défense de leurs droits individuels à des représentants comme des associations, de manière à les faire valoir en justice face aux plateformes. Il se trouve que ce mécanisme, déjà introduit en France en matière de protection des données personnelles par la loi République numérique, va sans doute bientôt être renforcé, puisque l’Assemblée nationale s’achemine vers la reconnaissance de la possibilité d’obtenir de réparations financières pour préjudice subi en cas d’atteinte à la vie privée. Valérie Peugeot estime que cet élargissement de l’action de groupe est de nature à compenser, dans une certaine mesure, l’approche individualiste de l’empowerment inhérente au RGPD. Sans minimiser cette avancée, on peut douter cependant qu’une simple addition de revendications de droits individuels puisse déboucher à elle seule sur une action réellement collective. Comme l’explique la juriste Judith Rochfeld :

Il y a bien un « groupe procédural », mais qui agit en coalition de cas particuliers, chacun continuant à porter son propre intérêt individuel.

Néanmoins cette conception « individualiste » n’est pas une fatalité, car les actions de groupe peuvent aussi avoir pour finalité la défense d’intérêts collectifs. Pour l’instant, les différents textes qui ont introduit les recours collectifs en France les cantonnent à la réparation de préjudices individuels, mais ces mécanismes pourraient être envisagés d’une autre manière :

Une deuxième compréhension est plus collective et se manifeste d’ailleurs dans les actions traditionnelles des associations : elles agissent non pour représenter des intérêts individuels coalisés mais défendre un intérêt collectif (par exemple la protection de l’environnement). C’est d’ailleurs le type d’action qui a connu la plus forte résistance tant la différence entre intérêt collectif et intérêt général n’est pas toujours facile à tracer. Or, dans notre tradition française très ancrée sur L’État, la défense de l’intérêt général revient à ce dernier […]

Pour la défense des données, cela signifierait que l’on admettrait qu’une association puisse agir, non pour faire cesser la violation que subit chaque personne concernée (action en cessation), mais l’intérêt collectif de cette protection en tant que telle, voire — si les propositions récentes devaient aboutir — une réparation de la lésion de ce préjudice collectif, fût-il moral (action en réparation du préjudice moral collectif).

Cette perspective est intéressante, car elle ouvre une possibilité pour le droit de saisir la dimension collective attachée aux données, directement et non à travers une agrégation d’intérêts individuels. Mais si un tel intérêt collectif existe en matière de protection des données, il n’est pas certain que l’action en justice constitue le meilleur levier institutionnel pour le défendre. Il y aurait en effet grand intérêt à « dé-judiciariser » la prise en compte de cet intérêt collectif pour imaginer un autre cadre dans lequel celui-ci pourra être revendiqué. Les institutions du droit social offrent de ce point de vue une source d’inspiration pour construire des espaces de négociations collectives et les imposer aux plateformes.

2) Repenser les CGU sur le modèle de conventions collectives

Le droit du travail comporte notamment un ensemble de mécanismes qui permettraient de prendre au mot l’idée d’une vie privée « négociable » avancée par Antonio Casilli et Paola Tubaro, en renforçant la position des utilisateurs. On pourrait ainsi imaginer que les conditions générales d’utilisation des plateformes (CGU) puissent faire l’objet, non seulement de recours en justice, mais aussi de négociations collectives, tout comme les conditions de travail dans les entreprises sont définies à travers des discussions professionnelles conduisant à l’élaboration de conventions collectives. Avant que la loi El-Khomri et les ordonnances Macron ne portent un coup presque fatal aux fondements même du droit social, ces négociations étaient organisées de manière à tenir compte du déséquilibre structurel entre les parties en présence. Cette protection légale prenait notamment la forme du«principe de faveur», déjà cité plus haut, en vertu duquel les conventions collectives ne pouvaient déroger à la loi que pour améliorer les droits des travailleurs et non les restreindre.

Une telle « hiérarchie des normes » pourrait aussi s’appliquer avec profit en matière de protection des données. Des textes comme le RGPD ou la loi République numérique constituent déjà des socles de droits fondamentaux auxquels les CGU des plateformes ne peuvent (en théorie…) déroger. Des négociations collectives avec des représentants des utilisateurs, formalisées et encadrées par la loi, pourraient intervenir ensuite pour obtenir des conditions plus favorables de la part des plateformes. Ces discussions pourraient se dérouler secteur par secteur, de la même manière que les négociations collectives en droit du travail se font au niveau des branches, permettant aux utilisateurs de s’organiser sur une base concrète. Il y aurait aussi intérêt à ce que ces négociations puissent s’ouvrir au niveau local, par exemple celui des métropoles, car on sait que c’est à cette échelle que des conflits peuvent naître à propos de l’utilisation des données avec des plateformes comme AirBnB, Uber ou Waze et qu’il existe des enjeux importants en termes de récupération des données pour la conduite de politiques publiques infrastructurelles (dans les transports, le logement, l’urbanisme, etc.). Pourquoi d’ailleurs ne pas continuer à filer la métaphore avec le droit social et imaginer que l’effet des conventions plus favorables obtenues dans une ville ou une région puisse être étendu à l’ensemble du territoire, de la même manière que l’effet des conventions collectives peut s’étendre étendu à l’ensemble des salariés d’une branche ?

Vis-à-vis des formes collectives d’organisation permettant une mobilisation légitime dans ce type de négociations, la figure institutionnelle du syndicat parait particulièrement intéressante : elle permettrait aux usagers de construire une mobilisation autour d’un ensemble de pratiques autant que d’intérêt socio-politique convergents. La forme syndicale permet également une approche sectorielle : pensons aux transports, à l’alimentation, aux pratiques culturelles, qui pourraient ainsi être discutés par les usagers du point de vue de leurs pratiques numériques (que l’on songe aux enjeux autour de l’étiquetage, de la billetterie, de la cartographie, etc.). Enfin, la forme syndicale permettrait la construction de coordinations intersectorielles qui pourraient aborder de façon plus transversale les perspectives socio-politiques de la défense de l’intérêt général.

Il ne s’agirait pas pour autant dans une telle perspective de supprimer le consentement individuel pour le remplacer par ces discussions collectives, mais plutôt de faire en sorte qu’un ensemble de protections juridiques, emboîtées les unes dans les autres, entourent l’individu pour lui permettre, in fine seulement, d’exprimer son consentement dans une relation avec les plateformes rendue la moins asymétrique possible. De la même manière dans un régime de travail réellement protecteur pour les personnes, le contrat de travail ne devrait venir en bout de chaîne pour fixer les conditions et les limites des rapports de production qu’à la condition que ce moment critique de l’expression du consentement ne soit jamais retourné contre l’individu pour le faire participer à l’affaiblissement de ses propres droits. Un tel mécanisme de protection sociale interdit de renvoyer l’individu à être le seul responsable de lui-même dans une situation de domination. Et transposé à la question des données, cet objectif ne peut être atteint que si la question de l’intimité numérique est repositionnée dans un cadre de négociation collective qui puisse concevoir de manière solidaire l’intérêt général avec la protection des individus.

L’analogie avec la démocratie sociale a néanmoins des limites, qu’il convient d’apercevoir clairement pour ne pas se fourvoyer dans une métaphore trompeuse. Car en droit du travail, les employés disposent avec le droit de grève d’un moyen de pression leur permettant de déclencher des conflits sociaux obligeant les employeurs à négocier et à conclure des accords. De tels rapports de force sont très difficiles à provoquer avec de grandes plateformes numériques, même si depuis plusieurs années, les chauffeurs Uber ou les coursiers Deliveroo ont pu provoquer des conflits sociaux en se coordonnant collectivement pour bloquer le fonctionnement de ces services. Il en est ainsi parce que les services d’Uber et Deliveroo restent malgré tout dépendants pour leur fonctionnement de prestations effectuées par des humains dans l’environnement physique, ce qui permet encore à ces derniers de peser collectivement sur le processus de production.

Les choses sont différentes avec les plateformes comme Facebook ou Google qui s’appuient sur le « travail gratuit » de simples utilisateurs ne pouvant agir pour bloquer l’outil de production. Ils pourraient certes cesser de recourir à ces services, mais jusqu’à présent, même les plus grands scandales n’ont pas entraîné des exodes significatifs d’internautes hors de l’écosystème des GAFAM… On pourrait dire que le rapport de forces qui pouvait être construit par la grève dans le monde industriel devient impossible à cause d’une forme de « lock-out inversé » (lock-in ?) que subissent les utilisateurs. Là où les patrons empêchaient physiquement les ouvriers d’occuper les sites de production en leur barrant l’entrée pendant les grèves, les utilisateurs des grandes plateformes ne peuvent réellement les « occuper » pour provoquer une situation de conflit. Non seulement la plateforme n’a pas besoin de barrer l’entrée aux contestataires, mais l’attachement « social » liant les individus les uns aux autres joue en sens inverse en les dissuadant de quitter leur réseau, alors que c’est pourtant le dernier moyen de pression qui leur resterait : lock-in = love it or (never) leave it.

Néanmoins, c’est précisément à cet endroit qu’une institution comme la CNIL pourrait retrouver un rôle dans un dispositif de protection des données repensé comme une forme de protection sociale. La CNIL dispose en effet de pouvoirs de mise en demeure et de sanction activables en cas de violation par un acteur de la réglementation sur les données personnelles. Longtemps restées assez symboliques, ces sanctions vont être considérablement renforcées par le RGPD avec des amendes pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial, à même de faire trembler même des géants comme les GAFAM. Imaginons un instant que ce pouvoir de mise en demeure puisse être utilisé par la CNIL pour obliger une plateforme en infraction à entrer dans un processus de négociation avec ses utilisateurs, organisés collectivement. Voilà qui serait à même de reconstituer en matière de protection des données « l’obligation de venir négocier » que le droit de grève rend traditionnellement possible dans les relations entre employeurs et salariés. A l’échelle locale, les villes disposent aussi de moyens de pression qui pourraient être utilisés pour forcer des acteurs à entrer dans une négociation collective. Certaines municipalités ont par exemple choisi d’interdire ou de restreindre l’implantation du service d’une plateforme sur leur territoire (exemple récent de la ville de Londres face à Uber, de New York face à AirBnB ou de Séoul face aux acteurs de l’économie « collaborative »). Ce pouvoir de blocage aux mains des villes pourrait venir appuyer les utilisateurs des plateformes pour enclencher pour imposer à ces dernières des processus de négociation collective impliquant des organisations représentatives.

3) D’une portabilité individuelle à une portabilité citoyenne

Le droit à la portabilité des données constitue également une bonne illustration de l’intérêt d’adopter une approche renouvelée en termes de protection sociale. Introduit par la loi République numérique et prévu également dans le RGPD, le droit à la portabilité est construit pour l’instant comme un droit individuel permettant aux utilisateurs d’un service en ligne de récupérer les données confiées à un opérateur pour les transférer à un concurrent ou les utiliser à leurs propres fins. Des initiatives comme le programme MesInfos de la FiNG essaient de donner un sens concret à ce nouveau droit en imaginant des dispositifs renforçant la capacité des personnes à réutiliser par elles-mêmes leurs propres données. De nouveaux prestataires de services, à l’image par exemple de Cozy Cloud basé sur des logiciels libres, offrent aux internautes des espaces dans lesquels ils pourront conserver, organiser, gérer et croiser les données récupérées à partir des plateformes. Ces projets sont intéressants dans la mesure où ils reconstituent au bénéfice des utilisateurs des environnements basés sur le contrôle et la confiance, à partir desquels le consentement pourra s’exercer de manière plus maîtrisée en offrant à l’individu la possibilité de s’extraire des rapports asymétriques auxquels il est soumis sur les grandes plateformes.

Néanmoins, même si la portabilité individuelle présente un potentiel pour la reprise en mains des données, ce mécanisme va inévitablement se heurter à certaines limites, en raison des présupposés individualistes à partir desquels il est pensé actuellement. En effet, permettre à l’individu de récupérer uniquement ses propres données ne fait pas complètement sens, attendu que c’est dans le graphe social au sein duquel elles sont insérées que ces données prennent leur signification et leur valeur. L’intérêt pour les utilisateurs d’exercer ce droit est donc limité et il faudrait par ailleurs encore qu’ils choisissent d’en faire massivement usage pour que la portabilité ait une incidence réelle sur les grandes plateformes en provoquant une « hémorragie de données » à même de les vider de leur substance au profit d’alternatives.

Mais imaginons à présent un « droit à la portabilité collective » qui puisse être actionné par des groupements d’individus agissant au sein d’associations ou de syndicats tels qu’évoqués plus haut, et plus seulement par des individus isolés revendiquant leur droit à la vie privée. Un tel droit collectif pourrait être opposé aux plateformes lorsque ces acteurs parviendraient à apporter la preuve que la récupération des données est nécessaire pour l’exercice de droits et libertés fondamentaux. On changerait alors l’échelle, mais aussi le sens même de la portabilité, car ce serait bien alors des portions entières du graphe qui pourraient être récupérées collectivement de cette manière, en conservant leur valeur « sociale » sans que celle-ci ne soit dissoute par l’atomisation que provoque fatalement la portabilité individuelle.

Dans son cahier « Smart City et données personnelles« , la CNIL n’est pas très loin d’envisager une telle évolution en imaginant un « droit à la portabilité citoyenne » :

[Le droit à la portabilité] qui permettra aux utilisateurs de migrer d’un écosystème de services à l’autre (concurrent ou non) avec leurs propres données pourrait leur permettre d’actionner une « portabilité citoyenne » au profit de missions d’intérêt général. Des communautés d’utilisateurs pourraient exercer leur droit à la portabilité vis-à-vis d’un service pour mettre leurs données à disposition d’un acteur public, pour une finalité spécifique en lien avec une mission de service public. […]

Ce scénario aurait pour inconvénient la masse critique à atteindre, l’adhésion et la participation devant être conséquentes pour permettre la constitution de jeux de données pertinents. L’intégration de systèmes d’opt in simplifiés, innovants et peu contraignants pourrait cependant favoriser la participation.

Cette proposition est intéressante, notamment parce qu’elle fait un lien à travers la notion de service avec l’intérêt général qui s’attache intrinsèquement aux données, comme nous avons essayé de le montrer plus haut. Mais elle montre aussi les difficultés qui surviennent immanquablement lorsqu’on essaie de construire des droits collectifs à partir de simples agrégations de droits individuels. Si les données ont un caractère d’intérêt général, comme l’admet ici la CNIL, alors il faut effectuer un « saut logique » et repenser d’emblée le mécanisme de la portabilité sur une base collective. Cela signifierait ouvrir la possibilité à des associations ou des syndicats de l’actionner au nom de la défense d’intérêts collectifs et pas simplement à des « communautés d’utilisateurs » inorganisées.

IV) Enjeux d’émancipation et construction de nouveaux droits

« La défense de nos informations personnelles ne doit pas exclure celle des droits des travailleurs de la donnée ». Nous avons essayé dans cet article de donner corps à cette piste proposée par Antonio Casilli et Paola Tubaro, en explorant les conséquences d’une appréhension de nos relations avec les grandes plateformes comme un rapport de production, pouvant être saisi à ce titre à travers les concepts du droit social. Si cette optique paraît féconde, il importe néanmoins aussi selon nous d’interroger l’idée selon laquelle nos pratiques numériques pourraient s’inscrire complètement dans un « continuum ». Jusqu’à quel point peut-on assimiler les utilisateurs de services généralistes comme Instagram ou Google, en passant par les micro-travailleurs d’Amazon Mechanical Turk jusqu’aux livreurs et chauffeurs de Deliveroo et Uber, au motif que toutes ces activités relèveraient d’une nouvelle forme de « travail » (le Digital Labor) ?

Si l’objectif est de réinventer la protection des données sous la forme d’une « protection sociale » à même de préserver la dignité et les droits fondamentaux des individus, n’importe-t-il pas de nous poser en amont la question de savoir si nous devons nous résigner à ce que toutes ces activités basculent dans des rapports de production, y compris lorsque nous ne l’avons pas choisi, individuellement et collectivement ? Si l’idée d’une « protection sociale des données » a un sens, ne devrait-elle pas précisément résider dans une faculté de déterminer quelle part de nos vies nous voulons voir saisies dans un rapport de production et quelle part nous voulons au contraire en préserver ?

Admettre d’emblée que toutes nos activités numériques sont assimilables à du Digital Labor ne revient-il pas à entériner que ce basculement dans des rapports de production est inéluctable et que plus rien de nous permettra d’échapper à cette « financiarisation » forcée de nos vies, y compris dans ce qu’elles ont de plus intime ? Si tel était le cas, la « protection sociale des données » pourrait recevoir la même critique que celle qu’on adresse parfois à la protection sociale tout court : que ces mécanismes, installés dans leur forme actuelle pendant la période fordiste, visent simplement à « compenser » les rapports de domination imposés aux individus dans la sphère du travail et non à remettre en cause le principe même de la soumission qu’ils impliquent.

Pour conjurer ce risque, il importe selon nous d’être au contraire capable d’opérer des distinctions claires au sein même du continuum de pratiques décrites comme du Digital Labor, en les repositionnant soigneusement par rapport à l’idée de protection sociale.

1) Requalifier (ou non) des activités en emplois et en activités professionnelles

Pour certaines des activités rattachées au Digital Labor, l’enjeu réel consiste sans doute moins à créer de nouveaux mécanismes de protection sociale qu’à les faire rentrer à nouveau dans les cadres juridiques traditionnels qui permettent à l’individu de bénéficier de droits sociaux.

On songe en premier lieu aux chauffeurs Uber ou aux livreurs Deliveroo que ces plateformes forcent, selon les termes de Bernard Friot, à basculer dans des situations d’infra-emploi en les assimilant à des travailleurs indépendants, alors même qu’ils sont soumis à de nouvelles formes de subordination induites par la soumission à une « gouvernementalité algorithmique » et une situation de dépendance économique extrême. Face à ces situations de fragilisation brutale des individus, il importe de réactiver les principes de base de la protection sociale, en appelant à ce que les juges ou le législateur fassent preuve de volontarisme en requalifiant ces activités en emplois salariés. C’est de cette manière que le législateur a procédé par exemple avec les intermittents du spectacle dans les années 1990 en instaurant une présomption de salariat, alors même que ces activités s’exercent dans un cadre où la subordination traditionnellement associée à la situation d’emploi n’est pas nécessairement caractérisée. Même s’il y aurait beaucoup à dire sur les lacunes de la protection sociale des intermittents, il n’en reste pas moins que ce rattachement à l’emploi salarié participe à la sécurisation du parcours des individus œuvrant dans ce secteur.

Une telle requalification de certaines activités paraît souhaitable, mais ce n’est pourtant pas le cas pour tout ce que l’on range sous l’étiquette du Digital Labor. S’il est clair que raccrocher l’activité d’un chauffeur Uber à l’emploi salarié aurait un effet protecteur, il serait au contraire désastreux de faire de même avec un micro-travailleur d’Amazon Mechanical Turk. La prolétarisation extrême à laquelle sont soumis les individus effectuant ces tâches morcelées interdit, au nom même du respect de la dignité humaine, de considérer que l’on puisse y voir des activités professionnelles pouvant donner lieu à l’exercice d’un « métier ». Du point de vue d’une protection sociale entendue comme participant à la construction d’un « régime de travail réellement humain », on peut se demander si la seule option souhaitable ne consiste pas pour le législateur à interdire purement et simplement que l’on rémunère ce type de tâches à la pièce. Aucune « protection sociale » ne pourra jamais venir compenser après coup les dégâts causés par la réduction d’humains au rang de « tâcherons du clic » et l’accepter reviendrait à porter un coup mortel à l’idée que le travail puisse constituer une activité « réellement humaine ».

La décision de qualifier ou non une activité comme du travail professionnel revêt donc une grande importance symbolique et juridique, et cette qualification relève en réalité d’un choix de civilisation qui ne devrait résulter que d’une décision collective à caractère politique. Que voulons-nous réellement accueillir dans la « Cité du travail », dont parlait Bruno Trentin, ou plutôt, que pouvons-nous y accueillir qui ne détruise l’idée même que le statut de travailleur et celui de citoyen peuvent aller de pair ? La question est loin d’être évidente : pour les livreurs de Deliveroo, il y a lieu par exemple de se demander si nous voulons réellement améliorer leurs conditions de travail ou si l’enjeu réel n’est pas plutôt de refuser d’accepter le développement de ce type d’activités par le biais desquelles notre société violemment inégalitaire fabrique une « nouvelle classe de serviteurs », comme André Gorz l’avait déjà très bien diagnostiqué dès le début des années 90. La réponse à une telle question est cruciale du point de vue de la protection sociale, car dans un cas, il s’agira d’appliquer à cette activité les droits sociaux associés à l’emploi et à l’activité professionnelle, tandis que dans l’autre, protéger l’individu consistera à ne surtout pas reconnaître cette qualité à de telles activités.

2) Protéger des espaces de vie privée dans le contexte spécifique du XXIème siècle

S’il existe un enjeu de protection sociale aujourd’hui, c’est celui de toujours permettre aux individus de savoir clairement lorsqu’ils inscrivent leur intimité dans un rapport de production à visée économique et de pouvoir décider, individuellement et collectivement, de ne pas le faire si telle est notre volonté. De cette faculté dépend en réalité la possibilité de préserver l’existence même d’une « vie privée » au XXIème siècle.

Dans les Métamorphoses du travail, André Gorz a bien montré que l’époque moderne se caractérise par ce moment où le travail est sorti de la sphère privée pour s’inscrire dans un espace public et que ce mouvement a été un vecteur d’émancipation pour les individus, en permettant en retour que se constitue une sphère privée protectrice de l’intimité. Contrairement à la période antique, au cours de laquelle le travail était au contraire étroitement cantonné dans la sphère privée de l’Oikos et incompatible avec le statut de citoyen, c’est par sa participation à un travail socialisé que l’homme moderne accède à la citoyenneté.

En imposant aux individus d’inscrire leur intimité dans un rapport de production, les plateformes provoquent en réalité un effondrement de la distinction entre la sphère publique et la sphère privée, phénomène lourd de conséquences qu’Hannah Arendt a identifié comme un des mécanismes par lesquels le totalitarisme s’empare des sociétés. Le cadre analytique du Digital Labor traduit donc une certaine vérité, car à l’époque moderne c’est bien le fait de faire apparaître une activité dans l’espace public qui la transforme presque mécaniquement en « travail ». Mais dans le même temps, cette « publicisation forcée » détruit la possibilité de préserver l’intimité, car celle-ci a nécessairement besoin d’une sphère privée séparée pour exister. Si par protection sociale, on entend des dispositifs qu’une société se donne pour échapper aux «risques de désintégration qui se concrétisent chaque fois que les forces marchandes dominent toutes les sphères de la vie sociale », alors on comprend que le cœur même d’une protection sociale des données doit consister en la préservation d’un droit fondamental pour les individus « à ne pas travailler » en tant que condition de possibilité pour la vie privée.

Cela implique donc, lorsque nous utilisons des services numériques, de toujours être en mesure de savoir clairement si nous sommes engagés dans un rapport de production et de pouvoir en sortir, si nous le voulons. Sachant que cette possibilité de « sortir » reste en réalité profondément illusoire si n’existent pas des alternatives tangibles dans lesquelles nos activités sociales pourraient s’inscrire sans qu’on les soumette à des dominations à visée économique. C’est la raison pour laquelle une protection sociale des données personnelles passe nécessairement aussi par la construction de Communs numériques, basés sur des logiciels libres.

3) Construire des espaces et des pratiques numériques tournées vers l’émancipation

Les débats soulevés par les conditions de production et d’exploitation des données sont essentiellement orientés vers les comportements induits par l’activité des grandes plateformes entrepreneuriales, qui maîtrisent désormais l’essentiel des infrastructures rendant possible l’existence de pratiques numériques, GAFAM en tête.

Compte tenu de ce contexte, il s’agit bien de construire une protection sociale des données en même temps que de revendiquer des conditions de travail dignes et réellement humaines pour les personnes impliquées professionnellement dans leur production. Cette double dimension collective dans la production et la gestion des données ouvre sur un vaste enjeu de solidarité, en action, dans la coordination de nos usages « amateurs »/non-professionnels avec ceux des travailleurs des plateformes. Discuter collectivement le fondement d’une éthique dans l’agencement de nos relations numériques nous amène nécessairement à regarder en face les grands équilibres économiques, l’exploitation et les mécanismes de prédation des grandes firmes sur les travailleurs les plus précaires, et souligne tout autant l’urgence de la construction de responsabilités collectives pour y répondre.

Il ne faut pourtant pas nous priver de penser des environnements et des pratiques numériques beaucoup plus émancipatrices, en s’appuyant sur ce que le monde du logiciel libre, le mouvement des communs et de l’économie solidaire, proposent conjointement : participer à la construction du progrès social et des capabilités numériques individuelles et collectives, permettant de prendre une part active dans l’organisation de nos pratiques. A cet égard, les activités d’éducation populaire développées par l’association Framasoft sont tout à fait remarquables, en ce qu’elles articulent des solutions logicielles alternatives avec un travail de fond d’éducation populaire – au sens d’une éducation qui prend en compte la dimension profondément politique de la construction et de la circulation des savoirs et des savoir-faire. Témoins de leur engagement dans le monde associatif, auprès des réseaux de l’économie solidaire et des communs, du travail de sensibilisation, de pédagogie et des coopérations rendues possibles par Framasoft, nous sommes optimistes face à ces vibrantes illustrations de la force d’une société civile organisée pour affronter les transformations numériques contemporaines.

Dans cette même perspective, qualifier les données d’intérêt général, c’est aussi ne pas laisser s’échapper le caractère profondément politique de leur usage : c’est réaffirmer la dimension sociétale de nos usages individuels et collectifs. Aborder les données par le prisme de la propriété comme le voudrait Génération Libre, c’est faire précéder le bien (la donnée produite) – qui de fait n’est pas directement produit par nos usages – au lien, qui pourtant est premier dans nos usages et qui les anime. Nos usages expriment d’abord la volonté du lien, d’un rapport au monde (des services connectés) et non pas la volonté du bien, c’est à dire la volonté de production ou de propriété sur ce monde. Cette dimension sociale et humaine, doit pouvoir être préservée à travers la requalification et le repositionnement de nos usages dans des liens numériques éthiques, aux cadres collectivement négociés. Une approche et une organisation en communs de nos usages pourraient correspondre à cet objectif qui réintègre l’enjeu de liberté de nos pratiques. C’est ce que souligne bien Aral Balkan dans son article Encouraging individual sovereignty and a healthy commons, proposé en français par Framasoft sous le titre Facebook n’est pas un réseau social, c’est un scanner qui nous numérise :

À partir du moment où nous comprenons que notre relation à la technologie n’est pas une relation maître/esclave mais une relation organisme cybernétique/organe ; à partir du moment où nous comprenons que nous étendons notre moi par la technologie et que notre technologie et nos données font partie des limites de notre moi, alors nous devons nous battre pour que légalement les protections constitutionnelles du moi que nous avons gravées dans la Déclaration universelle des droits de l’homme et mises en application dans la myriade des législations nationales soient étendues à la protection du moi en tant qu’être cybernétique. […]

Pour contrer cela, nous devons construire une nouvelle infrastructure pour permettre aux personnes de regagner cette souveraineté individuelle. Ces aspects de l’infrastructure qui concernent le monde qui nous entoure doivent appartenir aux biens communs et les aspects qui concernent les gens – qui constituent les organes de notre être cybernétique – doivent être détenus et contrôlés par les individus eux-mêmes.