BeLeM Avocats

Les révélations sur un « fichage secret » de personnalités en fonction de leurs positions à l’égard du glyphosate et de l’entreprise Monsanto soulèvent une question qui préoccupe les acteurs des affaires publiques : la cartographie des acteurs d’un secteur est-elle illégale par principe ?

L’enjeu n’est pas maigre car la réalisation d’une cartographie est une activité ordinaire des directions des affaires publiques d’entreprises, des cabinets de lobbying, ou des organisations professionnelles – en somme tous ceux que, pour éviter le terme péjoratif en français de « lobbyiste », le droit appelle « représentants d’intérêts« . Et ceci est vrai que l’on défende le glyphosate… ou que l’on s’oppose au nucléaire et que l’on rende publique sa cartographie.

Considérer que la réalisation de listes ou cartographies serait illégale par principe tendrait à obliger les défenseurs de ces causes à travailler « à l’aveugle« . Mais, si l’on pressent intuitivement que l’activité n’est pas illégale par principe, sur quels fondements juridiques l’intuition peut-elle reposer ?

Car les données concernées sont bel et bien des « données personnelles » et la réalisation d’une telle cartographie en est un « traitement » : les dispositions de la loi relative à l’informatique, aux fichiers et aux libertés (la « LIL », à jour des dispositions de la loi du 20 juin 2018) et du Règlement Général de Protection des Données sont donc bien sûr applicables.

En outre, les données personnelles concernées sont vraisemblablement des données dites sensibles, dont la loi interdit le traitement par principe. En effet, l’article 8.I de la LIL dispose que :

Il est interdit de traiter des données à caractère personnel qui révèlent (…) les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique (…) d’une personne physique.

Alors ?

Tout d’abord, le II du même article prévoit cette exception :

Dans la mesure où la finalité du traitement l’exige pour certaines catégories de données, ne sont pas soumis à l’interdiction prévue au I : (…) 4° Les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée.

Le traitement de données révélant des positions exprimées publiquement n’est donc pas interdit par principe en raison des données concernées.

Première étape.

Mais l’absence d’interdiction de principe ne signifie pas carte blanche pour autant. Un traitement de données qui n’est pas interdit doit en principe, pour être légal, avoir reçu le consentement de la personne concernée (ce qui n’est certainement pas le cas en l’espèce). Mais là encore, le seul fait de traiter des données sans le consentement de la personne concernée n’est pas illégal en soi. Le traitement peut reposer sur l’un des autres fondements posés par le RGPD et repris par la loi LIL en son article 7.

En l’occurrence, les acteurs des affaires publiques pourraient invoquer l’un d’entre eux : l’existence d’un intérêt légitime. L’article 7 de la loi LIL prévoit en effet en son 5° qu’en l’absence de consentement, le traitement de données peut être légale s’il intervient pour :

« 5° La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée. »

Bien évidemment, il ne suffira pas de décréter légitime son propre intérêt. Sous l’empire de la directive européenne applicable avant le RGPD, le « Groupe Article 29 » (un organe consultatif européen institué par la directive) avait émis un avis sur la notion d’intérêt légitime dans lequel il précisait que pour être légitime, « l’intérêt doit être licite, c’est-à-dire conforme au droit applicable dans l’Union et dans le pays concerné. Il doit aussi être exprimé en termes suffisamment clairs pour permettre l’application du critère de mise en balance avec l’intérêt et les droits fondamentaux de la personne concernée. Enfin, il doit constituer un intérêt réel et présent, c’est-à-dire qu’il ne doit pas être hypothétique. »

Sur la forme, le responsable du traitement de données doit donc avoir déterminé et formulé au préalable l’intérêt légitime qu’il invoque. Et l’on pressent que nombre d’acteurs des affaires publiques devraient se soucier de mettre en conformité leurs traitements à cet égard (tout comme ils devraient vraisemblablement s’intéresser à l’obligation qui leur est faite de communiquer une cohorte d’informations aux personnes dont ils ont recueillies les données, dans le mois de la collecte – mais ceci concerne les modalités du traitement et non son principe).

Sur le fond, l’activité de lobbying est licite, la volonté d’identifier les acteurs l’est également. Il faut ensuite mettre en balance les intérêts divers dont, au premier chef, celui de la personne concernée. Et cette appréciation est complexe. L’avis précité sur la notion d’intérêt légitime l’expose sur pas moins de…. 78 pages. Il donne des éléments d’appréciation utiles. Ainsi en est-il particulièrement du caractère public des données et du statut des personnes concernées.

1. Le Groupe Article 29 fait état du caractère public des données à deux reprises. Il souligne que « le fait que les données aient déjà été rendues publiques par la personne concernée ou par des tiers peut être un élément pertinent« . Puis, rappelant qu’il n’y avait pas pour autant d’autorisation générale d’utilisation de traitement des données publiquement disponibles, il répète que : « le fait que des données à caractère personnel soient publiquement disponibles est un facteur qui peut être pris en considération dans l’évaluation, surtout si leur publication s’accompagnait d’une attente raisonnable d’utilisation ultérieure des données à certaines fins (par exemple, pour des travaux de recherche ou dans un souci de transparence et de responsabilité)« ;
2. Il évoque encore à plusieurs reprises le statut des personnes. En particulier, il souligne que « si, en principe, il y a lieu d’appliquer le critère de mise en balance par rapport à un individu moyen, certaines situations spécifiques appellent plutôt une approche au cas par cas« . Certes, il invoque cette nécessité pour renforcer les exigences lorsqu’il s’agit de personnes vulnérables. Mais l’on pourrait considérer, a contrario, que les exigences sont moindres s’agissant de personnalités publiques dans un domaine public.

Il y aurait lieu aussi de prendre en compte les incidences concrètes de tels outils. Quelles sont les conséquences sur un élu, un journaliste, un scientifique ?

A titre d’illustration, on peut se reporter à l’un des exemples donnés par le Groupe Article 29 :

Les faits se rapprochent de notre cas puisqu’il s’agit de l’utilisation d’informations publiques dans le cadre de responsabilités publiques. Ils s’en écartent toutefois sur deux points : (i) le fait qu’il soit rendu public pourrait jouer en défaveur d’un tel traitement contrairement à ce que pratique le secteur des affaires publiques, (ii) à l’inverse, il ne concerne ni journalistes ni chercheurs, contrairement aux faits rapportés, et ne tirent pas de conclusions indirectes de leurs travaux.

L’ensemble de ces éléments permet d’étayer juridiquement l’intuition initiale selon laquelle la réalisation de fichiers, listes, cartographies de décideurs ou autres parties prenantes n’est pas illicite en elle-même, contrairement à ce que l’émotion du jour pourrait laisser penser.

*

Comme précisé plus haut, il s’agissait ici de s’intéresser à la question de l’illégalité de principe de la pratique de cartographie. L’appréciation d’un cas concret (et, en l’occurrence des faits mentionnés dans la presse) supposerait de prendre en considération de façon plus précise la nature des données, l’ampleur de la collecte etc. En l’espèce, sont évoqués tout aussi bien les positions publiquement exprimées de ministres ou députés que le numéro de téléphone portable privé d’autres acteurs, potentiellement journalistes. Ils ne peuvent recevoir une appréciation identique. En toute hypothèse, un traitement de données personnelles doit être proportionné et nécessaire.