Le CNNum s’est prononcé contre l’instauration d’un droit de propriété privée sur les données personnelles

Le Conseil National du Numérique a publié la semaine dernière un rapport la neutralité des plateformes, proposant une série de mesures pour "réunir les conditions d’un environnement numérique ouvert et soutenable". Ces travaux ont fait l’objet d’un certain nombre de critiques, en raison du caractère flou du concept de "neutralité des plateformes" notamment par rapport à celui de neutralité du net qui sort en prime malmené du rapport.

Propriété privée… Par Audesou. CC-BY-NC-ND. Source : Flickr.

Mais le texte du CNNum contient également un passage consacré au statut juridique des données personnelles, qui n’a pas vraiment fait l’objet jusqu’à présent de commentaires , alors qu’il revêt à mon sens une grande importance. Pour le CNNum, le concept de neutralité des plateformes se traduit en effet par le respect de cinq exigences :

• La transparence et la loyauté des modes de collecte, de traitement et de restitution de l’information ;
• La non-discrimination entre les formes d’expression et de contenus partagés ;
• La non-discrimination des conditions économiques d’accès aux plateformes ;
• La non-discrimination des conditions d’interopérabilité avec les plateformes ;
• Une information sans propriétaire.

C’est ce cinquième et dernier point qui va ici retenir notre attention. Il renvoie à la page 37 du rapport, dans une partie portant sur "les bases de la répartition équitable de la valeur des données". Sans ambiguïté aucune, le Conseil se prononce contre l’idée d’instaurer un droit de propriété privée sur les données personnelles comme moyen de parvenir à une meilleure régulation de l’environnement numérique :

Exclure l’hypothèse de la propriété : en principe, l’information n’est pas propriétaire, mais les moyens pour sa production et son enrichissement peuvent l’être. La reconnaissance d’un droit de propriété sur les données personnelles aux individus est souvent avancée comme moyen de rééquilibrer les pouvoirs avec les entités collectrices.

Le Conseil invite à exclure cette option :

• Parce qu’elle renvoie à l’individu la responsabilité de gérer et protéger ses données, renforce l’individualisme et nie le rapport de force entre consommateurs et entreprises ;

• Parce qu’elle ne pourrait que générer des revenus anecdotiques pour les usagers et susciter à l’inverse un marché de la gestion protectrice des données numériques ;

• Parce qu’elle déboucherait à un renforcement des inégalités entre citoyens en capacité de gérer, protéger et monétiser leurs données et ceux qui, par manque de littératie, de temps, d’argent ou autre, abandonneraient ces fonctions au marché.

A quoi cette idée de propriété privée sur les données personnelles renvoie-t-elle exactement et pourquoi la prise de position du CNNum est-elle importante ?

La montée en puissance d’une conception patrimoniale des données personnelles

La question de l’exploitation abusive des données personnelles est aujourd’hui devenue essentielle. Elle explique en grande partie le déséquilibre de l’environnement numérique au profit de grandes plateformes comme Google, Facebook et bien d’autres "capitalistes nétarchiques", capables de monétiser l’attention des internautes en captant leurs données personnelles. Il en résulte un développement inquiétant du "travail gratuit" fourni par les individus à ces grands acteurs du web sans contrepartie, ce qui provoque un transfert de valeur inéquitable leur permettant de renforcer leur position dominante.

Pour lutter contre cette forme nouvelle d’exploitation, certains avancent que la solution la plus efficace consisterait à instaurer un droit de propriété au sens propre sur les données personnelles au profit des individus, afin de leur permettre de mieux les contrôler et éventuellement de les monétiser pour organiser un retour de la valeur vers ceux qui en sont la source. On retrouve par exemple de telles thèses chez l’américain Jaron Lanier, auteur de l’ouvrage "Who owns the future ?", qui préconise de mettre en place un système de micro-paiement généralisé permettant aux individus de monétiser leurs données personnelles :

je préconise un système universel de micropaiement. Les gens toucheraient une rémunération – fût-elle minime – pour l’information qui n’existerait pas s’ils n’existaient pas.

Cette idée circulait déjà dans les années 1960, avant même que l’Internet soit inventé. C’est juste un retour aux origines. Si on arrivait à savoir combien les entreprises sont prêtes à payer pour avoir des informations, cela serait utile… Les gens pensent que le montant serait infime. Mais si on regarde en détail, c’est faux. Les données concernant M. Tout-le-Monde ont beaucoup de valeur. Cela serait un soutien économique puissant pour la nouvelle classe moyenne. Chaque donnée individuelle aurait une valeur différente. Certaines seraient plus cotées parce qu’elles sortent de l’ordinaire.

Ce genre de thèses se heurtent actuellement au statut juridique des données personnelles et de l’information. Les données personnelles des individus ne sont en effet pas considérées comme des propriétés, mais comme un droit attaché à la personne humaine et au respect qui lui est dû. C’est ainsi que la loi Informatique et Libertés du 6 janvier 1978, d’inspiration humaniste, les a conçues et cette philosophie est également présente au niveau européen. Par ailleurs, les informations en elles-mêmes échappent au droit d’auteur et à la propriété intellectuelle. Elles appartiennent par défaut au domaine public structurel, même si l’instauration d’un droit des bases de données à partir des années 90 en Europe a tendu à les soumettre peu à peu à une logique propriétaire qui ne cesse de prendre de l’ampleur depuis.

La métaphore dangereuse de la propriété intellectuelle

Toujours est-il que les tenants de cette nouvelle approche "patrimoniale" des données personnelles ont besoin d’un fondement juridique assimilable à une propriété pour être mesure de mettre en œuvre leurs conceptions. Et un certain nombre d’entre eux sont en train de soutenir que l’on devrait mettre en place un droit de propriété intellectuelle sur les données personnelles, voire même un droit d’auteur.

C’est le cas par exemple en France de Pierre Bellanger, fondateur de Skyrock et auteur de l’ouvrage "la souveraineté numérique". Dans cette interview par exemple accordée en février dernier au site LesEchos.fr, Pierre Bellanger exprimait sans ambages ce projet de créer un droit de propriété sur les données personnelles :

Aujourd’hui ces données sont ce qu’on appelle « res nullius », c’est-à-dire qu’en droit elles ne sont propriété de personne. Il faut rappeler que le pères fondateurs des Etats-Unis, lorsqu’ils ont rencontré les indiens, ont décrété que comme ils n’avaient pas de titres de propriété, leurs terres étaient « terra nullius ». Donc méfions-nous quand nos données sont « res nullius » et qu’il y a des intérêts impériaux en face [...]

Nous avons à faire ce que Beaumarchais a fait lorsqu’il a créé le droit d’auteur : nous avons à rendre les gens propriétaires de leurs données, c’est-à-dire propriétaires de leurs traces numériques sur le réseau. Il y a un certain nombre de moyens qui permettent de le faire, tout un écosystème de logiciels qui accompagne cette idée de propriété des données, et c’est quelque chose sur lequel on peut s’appuyer.

Invité sur Place de la Toile en avril dernier, Pierre Bellanger a repris et développé ces thèses, allant jusqu’à affirmer que nous serions les "auteurs de nos données personnelles", comme nous le serions d’oeuvres que nous aurions créées. Ce type d’approches est en réalité complètement métaphorique : la conception patrimoniale des données personnelles emprunte le détour du droit d’auteur parce que c’est le moyen de se raccrocher à la notion de propriété, via la propriété intellectuelle. Parfois, la métaphore est un peu plus fine, comme chez Laurent Chemla, un autre tenant de cette conception patrimoniale, qui imagine plutôt de créer un droit voisin sur les données personnelles ou une nouvelle forme de droit sui generis, comme celui qui existe sur les bases de données.

Au-delà des divergences d’approches, ces conceptions s’accordent sur le fait que la transformation des données personnelles en propriétés serait un moyen efficace de résoudre le problème d’exploitation abusive pointé plus haut. Chez Pierre Bellanger, la rhétorique employée s’apparente même à celle d’une "Tragédie des Communs". Bellanger explique que les données personnelles sont actuellement des "res nullius", c’est-à-dire des "choses sans maître" et que cette absence de propriété favorise leur sur-exploitation par les grandes plateformes du web, au détriment de la "souveraineté numérique des individus". Comme Garett Hardin l’avait fait dans les années 60 en prenant l’exemple de l’exploitation des terres, Bellanger explique que seul un régime d’appropriation privée des données peut constituer une régulation efficace.

Extension du domaine de la propriété imaginaire

Or il y a tout lieu de penser que le recours à la propriété privée en matière de données personnelles aboutirait à un résultat exactement inverse de celui avancé par les promoteurs de cette approche "patrimoniale". Le propre de la propriété est d’être cessible et transférable : c’est même sa fonction première en tant qu’institution sociale. Si l’on prend l’exemple du droit d’auteur, il faut rappeler qu’il a été inventé non par des auteurs, mais par des intermédiaires – les imprimeurs libraires de l’Ancien Régime - qui avaient besoin de cette fiction juridique pour se faire céder les droits sur les oeuvres de la part des auteurs. Loin d’être un mécanisme de protection des auteurs, la propriété intellectuelle est avant tout un système permettant l’organisation d’une chaîne de transferts des droits au profit d’intermédiaires économiques. Cette tendance qui existait dès l’origine du droit d’auteur n’a fait que se renforcer avec l’évolution technologique et le numérique n’y a pour l’instant rien changé.

Image par Christopher Dombres. CC-B6. Source : Flickr.

Cette logique "d’intermédiation", inséparable de celle de la propriété transférable, est déjà à l’oeuvre dans le domaine des données personnelles. Des firmes sont déjà en train de se positionner auprès des individus comme des tiers capables de gérer leurs données de manière sécurisée et de les "placer" sur des plateformes afin de les monétiser, un peu comme des courtiers d’affaires. Cette tendance est décrite et critiquée par Valérie Peugeot dans un article fondamental sur la question "Données personnelles : sortir des injonctions contradictoires" :

Ce scénario de la propriété sur les données est poussé par des acteurs qui y voient une opportunité d’affaires plus qu’une sortie par le haut dans une économie numérique en recherche d’équilibre. On voit ainsi apparaître des entreprises qui promettent aux internautes une monétisation directe de leurs données en les louant à des tiers (ex : Yesprofile). Ces acteurs ont pour l’heure un positionnement ambigu : ils promettent simultanément une reprise de contrôle sur les données par l’utilisateur et une source de revenus. S’ils partagent avec les acteurs du VRM (Vendor Relationship Management) le premier objectif, la promesse financière les en démarque. Cette promesse financière semble illusoire, les simulations montrant un taux de retour de quelques euros, mais ce n’est pas la question essentielle. Dans cette approche, la régulation ne passe que par un modèle commercial, entre entités en situation d’asymétrie informationnelle et de rapport de force, ce qui se traduit inévitablement au désavantage du consommateur/utilisateur.

Yes Profile : "votre profil vaut de l’argent" ; "créez votre Profil propriétaire" ; "gagnez de l’argent en louant votre profil" ; "mettez vous-même vos données à la location". L’auto-marchandisation des données personnelles est déjà en marche…

On voit donc qu’en agitant devant les individus le miroir aux alouettes d’une rémunération pour l’exploitation de leurs données, la conception patrimoniale des données personnelles risque surtout de faire émerger une nouvelle classe d’intermédiaires dans l’environnement numérique, à même de générer des revenus conséquents sur la base d’une nouvelle exploitation. Loin d’aboutir à une "souveraineté" retrouvée, le détour par la propriété mènerait les individus sous la coupe d’autres intermédiaires et précipiterait encore davantage le mouvement de marchandisation des données personnelles.

En réalité, la conception patrimoniale des données personnelles repose sur un individualisme méthodologique, typiquement libéral, postulant que la meilleure façon de gérer un écosystème consiste à laisser les acteurs individuels prendre des décisions à leur niveau. Or c’est précisément cette approche réductrice que le CNNum conteste à juste titre dans son rapport. Le problème des données personnelles est essentiellement systémique et c’est à ce niveau qu’il faut se placer pour tenter de le résoudre.

Par ailleurs, le concept même de propriété intellectuelle a fait l’objet de profondes remises en cause. Nombreux sont ceux comme Richard Stallman qui estiment que la propriété intellectuelle n’est qu’une une propriété "imaginaire". Le concept même de propriété est profondément inadapté lorsqu’il est appliqué à des créations immatérielles, comme les oeuvres, les marques ou les inventions. Déjà trompeuse pour ces objets, la métaphore de la propriété le serait encore davantage si elle était étendue aux données personnelles. Il est infiniment préférable que les données personnelles continuent comme actuellement à relever d’un droit de la personnalité et à être attachées au respect dû à la personne humaine.

Cela ne signifie pas bien entendu que la réglementation des données personnelles soit aujourd’hui parfaite et qu’il ne faille pas la faire évoluer pour répondre aux mutations de l’environnement numérique. Le récent débat au Parlement européen autour du nouveau règlement sur les données personnelles a permis d’obtenir des avancées et le vote au Brésil en avril dernier de la Marco Civil da Internet montre sans doute une voie à suivre. Mais que cette réglementation soit amenée à évoluer ne signifie pas que l’on doive en modifier le fondement juridique. Surtout pas même…

Vers un troisième mouvement d’enclosures ?

La montée d’une conception patrimoniale des données personnelles constitue un mouvement inquiétant et un nouveau sursaut d’une idéologie propriétaire pourtant en crise profonde. Si l’on prend un peu de recul historique, on peut voir en effet que chacun des grands mouvements d’enclosures a été précédé par l’affirmation de nouveaux droits de propriété au profit des individus et présentés comme un progrès. Ce fut le cas lors du premier mouvement des enclosures qui a frappé les terres à partir du 12ème siècle pour culminer dans l’Angleterre du 18ème siècle par une féroce "guerre des forêts" qui a démantelé les biens communs traditionnels et les droits d’usages coutumiers bénéficiant aux plus pauvres au profit de nouvelles classes de propriétaires. Le "second mouvement des enclosures", pour reprendre les mots du juriste James Boyle, a ensuite commencé à partir du 19ème siècle et a concerné cette fois la connaissance, avec l’avènement du droit d’auteur, puis de la propriété intellectuelle. Avec l’allongement continu de la durée et de la portée de ces droits sur les créations immatérielles, il a réduit d’autant les droits fondamentaux dont bénéficiait le public sur les biens communs de la Connaissance. Ce mouvement a aussi abouti à la formation de puissants intermédiaires : éditeurs scientifiques, industries du divertissement, puis grandes firmes du "capitalisme cognitif". Bien plus que les auteurs, ces acteurs sont les grands bénéficiaires de la "propriété intellectuelle" qu’ils sont les seuls à pouvoir transformer en une rente.

Keep out ! Par Richard Elzey. CC-BY-NC. Source : Flickr.

Après les terres et la connaissance, l’affirmation d’un droit de propriété sur les données personnelles aurait sans doute pour effet de précipiter l’avènement d’un troisième mouvement d’enclosures, encore plus grave que les précédents, car il frapperait directement à travers les données personnelles la substance même de nos vies. Loin d’être un frein à la marchandisation dont elles sont déjà l’objet à travers les rouages de l’économie de l’attention, ce droit de propriété n’en serait que l’aboutissement final et la consécration légale.

 Mais à l’opposé de cette approche propriétaire, certains envisagent au contraire d’employer à propos des données personnelles la même méthode que celle qui a permis de rendre les logiciels libres inappropriables : celle d’une gestion en commun, envisagée sous la forme de "faisceaux de droits" (bundle of rights). Voyez à nouveau l’article de Valérie Peugeot cité plus haut :

La troisième piste, qui déborde le cadre stricte des données personnelles pour s’intéresser aux données numériques en général, consiste, en s’inspirant des travaux d’Elinor Ostrom et de l’école de Bloomington autour des biens communs, à développer une sphère de données en Communs, c’est-à-dire de données qui peuvent être considérées comme une ressource collective, et qui n’entrent ni dans le régime des biens gérés par la puissance publique strico sensu, ni dans un régime de marché. Ce régime de Communs repose sur une gestion par une communauté de la ressource considérée, qui organise ses règles de gouvernance, en s’appuyant sur un « faisceau de droits » (bundle of rights »). Ces faisceaux de droits rendent possibles des régimes de propriété partagée. Un faisceau de droits c’est un ensemble de relations sociales codifiées autour de quelque chose à protéger comme le rappelle Silvère Mercier. Ils permettent de penser les usages indépendamment de la notion de « propriété », et d’adapter les règles de droit pour servir au mieux les usages en protégeant les ressources mises en partage. La grande force des Communs est d’ouvrir une troisième voix à côté de la propriété privée et de la propriété publique, un espace dans lequel des ressources, ici des données, ne sont pas soumises à un régime de droits exclusifs, mais peuvent être réutilisées selon certaines conditions fixées par la communauté qui en a la gestion et qui veille à leur protection. Il ouvre un espace protégé dans lequel les individus et les collectifs peuvent choisir de placer leurs données.

Appliquer la logique des licences libres aux données personnelles ?

Silvère Mercier dans un billet consacré à la question mettait l’accent sur la nécessité d’inventer un nouveau régime juridique pour organiser une gestion des données personnelles en communs :

Ni privé, ni public comment penser des données personnelles en biens communs? Car c’est une piste peu étudiée : celle de faire de ces fameuses données personnelles des biens communs, quelque chose qui appartient à tous et à personne. Ne pas les sanctuariser par la loi, ni les commercialiser sans vergogne mais bien de repenser autour de leurs usages un faisceau de droits. Il ne s’agit pas de refuser de leur appliquer un régime de propriété mais d’en repenser la nature. Et s’il fallait inventer des creative commons des données personnelles, des privacy commons? Reste à définir une gouvernance partagée de cette ressource commune. La question est effroyablement complexe et je ne prétends bien sûr pas la résoudre ici…

Quelques éléments me semblent importants à prendre en compte pour tenter de clarifier ce sur quoi pourrait porter un faisceau de droits. Il nous faut comprendre la différence essentielle entre les données d’un individu et le graphe qui est exploité. Facebook et Google n’ont que faire des données prises séparément, c’est pourquoi le fait le de permettre à l’utilisateur de télécharger ses données est tout sauf une solution. Non ce qui est décisif, c’est le graphe, le croisement de ces données, les relations entre elles via des algorithmes et des vocabulaires de types de relations (ontologies).

Peut-on imaginer que le graphe social résultant de l’entrecroisement de nos données personnelles puisse être placé sous une licence libre, comme peut l’être un logiciel ou Wikipédia, garantissant à la fois qu’il soit utilisable dans le respect de certaines conditions essentielles et inappropriable ? Il faudrait pour cela créer de nouvelles licences, qui ne trouverait pas leur fondement dans une forme de propriété intellectuelle, mais bien dans le régime actuel des données personnelles envisagées comme droit de la personnalité.

Mozilla a imaginé des "Privacy Icons", qui peuvent être une source d’inspiration pour construire des "Privacy Commons". Ils sont cités d’ailleurs dans le rapport du CNNum.

Or certains ont déjà travaillé sur de telles pistes pour envisager un "privacyleft" à l’image du copyleft des logiciels libres. Le juriste Thomas Saint-Aubin avait ainsi présenté en 2012 sur InternetActu un projet "Design your privacy", comportant un jeu de licences permettant aux individus de déterminer les conditions de réutilisation de leurs données personnelles :

La licence est donc une concession de droits d’usages à un réutilisateur, sur les données personnelles d’un individu. Il lui concède un droit personnel, non exclusif et non transférable, de réutilisation de ses données pour les finalités et les moyens présélectionnés par ses soins. Cette opt-in (c’est-à-dire cette option d’adhésion qui a fait l’objet d’un consentement préalable) est temporaire et révocable unilatéralement par l’utilisateur en opt-out (accord tacite, sans consentement préalable).

[...] Les variantes de la licence permettent à l’internaute de distinguer le régime de réutilisation des données couvertes par une anonymisation ou par une pseudo-anonymisation des données nominatives. Il doit pouvoir veiller aux conséquences du recoupement des données en les interdisant le cas échéant, notamment lorsque ces traitements sont susceptibles de l’identifier. En toute hypothèse, sur ses données nominatives ou pseudonymisées, il dispose d’une sorte de privacyleft lui permettant de revenir à tout moment sur ses permissions accordées.

***

Face à l’offensive d’une conception propriétaire des données personnelles, de tells pistes sont sans doute aujourd’hui à réinvestir et à creuser pour matérialiser l’idée d’un "faisceau de droits" sur les données personnelles permettant de les gérer en commun. Bien entendu, il ne s’agit pas de la seule voie pour parvenir à un assainissement de l’écosystème numérique. Le rapport du CNNum contient une série de propositions intéressantes de ce point de vue, concernant par exemple la notion de "facilité essentielle" pour une meilleure application des règles de la concurrence aux grandes plateformes ou l’idée d’instaurer une "obligation générale de loyauté à laquelle les site seraient soumis vis-à-vis de leurs utilisateurs.

Le CNNum s’est prononcé contre l’instauration un droit de propriété sur les données personnelles et il a sans doute eu raison de le faire, mais il faudra rester vigilant pour éviter que cette idée ne se fraye pas un chemin jusque dans la loi sur le numérique que prépare actuellement le gouvernement.