La greffière.

« Madame Marie Georges de la CNIL. »

Le président.

« Madame, Je vais vous demander votre nom, votre prénom, et la loi m'oblige à vous demander votre âge…

-- Je m'appelle Georges pour mon nom de famille et Marie pour mon prénom, j'ai 52 ans.

-- Votre profession ?

-- Je suis à la fois technologue et juriste.

-- Et votre le domicile professionnel est à Paris ?

-- Oui.

-- Est-ce que vous êtes dans un lien de famille ou de dépendance à l'égard d'Internet, est-ce que vous vous sentez libre de parler ?

-- J'en suis utilisateur, ça c'est mon lien. Pour ce qui est de la dépendance, je dirai qu'il y a une dépendance professionnelle car, dans mon travail, je suis chargée d'observer ce qui se passe sur Internet, de regarder notamment les traitements d'informations nominatives qui peuvent naître à partir d'Internet et de contribuer à essayer d'appliquer les principes de protection de la vie privée dans ce domaine.

-- Mais enfin vous avez votre libre arbitre. Alors, vous allez jurer d'apporter votre concours à la justice, en votre honneur et en votre conscience, vous levez la main droite et vous dites : je le jure.

-- Je le jure !

-- Nous vous écoutons madame l'expert. »

Marie Georges.

« Ce qui m'a frappé dans les propos précédemment tenus par mes collègues, c'est que d'un côté il y a une forme de plainte à l'égard de certaines dérives que l'on pourrait observer aujourd'hui, ou dans le passé, en ce qui concerne les cookies, les spams, etc., et d'autre part, un optimisme : peut-être que le marché, l'organisation, du fait des besoins commerciaux, pourrait régler les questions.

Mon observation de la pratique est que du côté de ceux qui se plaignent, il y a peut-être un manque de connaissance des droits qui existent et qui fait que, par exemple, des personnes qui sont victimes d'exploitation de listes de diffusion à d'autres fins que celles pour lesquelles ils s'étaient inscrits dessus -- à des fins de prospection commerciale par exemple -- pourraient tout à fait se plaindre et effectivement, nous recevons peu de plaintes pour l'instant.

D'un autre côté, on peut observer aussi que les acteurs qui propagent un certain nombre des techniques ou des traitements qui peuvent avoir lieu et qui portent atteinte aux personnes, sont des acteurs nouveaux.

J'observe qu'à chaque vague nouvelle de technologie nous sommes aussi face à de nouveaux acteurs et à de nouvelles victimes. Les uns ne connaissant pas leurs obligations, les autres ne connaissant pas leurs droits. Alors nous sommes dans une phase qui est en train d'un petit peu changer ce que j'observe.

Si je prends, par exemple, le problème, qui a été relevé, des cookies , ces petits fichiers envoyés à l'insu des gens par les serveurs sur leurs disques durs et qui les identifient lorsqu'ils se reconnectent au serveur la fois suivante, cette technique il y a deux ans était invisible. Elle était donc contraire aux principes que connaissons en Europe, qui sont ceux de la collecte loyale d'information. C'était de l'information invisible, on n'était pas au courant de ce à quoi elle servait, quelle finalité, etc.

Dans un deuxième temps, justement, les réclamations des internautes comme on dit, dans une époque où il y avait encore une certaine solidarité, a fait que les éditeurs qui ont promu ces logiciels ont effectivement fait droit au droit de s'opposer à ce genre de choses. D'une part, ils en ont révélé l'existence : information des personnes sur l'arrivée des cookies sur leur disque dur et droit de s'y opposer en les refusant.

Je dois vous dire qu'étant en France, cette affaire m'a pas mal amusée tout de même, car elle nous a rappelé -- pour ceux qui sont un peu anciens comme moi -- l'affaire des mémoires vives de Minitel en France dans les années 85 où effectivement, les premiers Minitels ont été conçus avec des mémoires qui permettaient d'identifier à distance, pour les serveurs, les personnes qui se reconnectaient. Nous étions déjà intervenus à l'époque, il y avait eu une vague de contestation des consommateurs et je dois dire que l'opérateur qui avait commandé ce matériel, pour les versions suivantes, les a commandées sans mémoires vives de Minitel.

Je ne sais pas s'il arrivera la même chose aux cookies mais j'observe que la troisième ou quatrième génération des logiciels qui promouvaient ces cookies permettent à l'utilisateur, non seulement de les voir et de les refuser éventuellement, mais aussi de les refuser tous. Donc, je me pose la question de l'avenir de cette technique utilisée principalement pour le marketing à l'heure actuelle. D'autres utilisations pourraient être beaucoup plus utiles mais peuvent être aussi beaucoup mieux gérées.

Je voudrais citer un autre exemple, pris sur des serveurs situés hors de France, mais qui peuvent poser problème, qui sont ceux qui interdisent l'accès à un service sans avoir donné certaines informations personnelles alors même qu'elles ne sont pas nécessaires à l'exercice de la prestation. Ceci serait tout à fait contraire, de notre point de vue, au principe de la limitation de la collecte des informations personnelles à des fins légitimes. Or là, il y aurait une disproportion. Je dois dire que cette question a d'ailleurs provoqué -- notamment, parce que des services américains s'adressaient à des enfants et exigeaient en contrepartie de jeux d'avoir des tas d'informations sur eux, leur famille, etc. -- un projet de loi aux États-Unis.

Nous n'avons pas connu ceci en France, mais vous savez que les approches sont internationales, y compris du côté des opérateurs, et qu'il faut se méfier du fait que l'on puisse essayer d'importer ce type de techniques. En tout cas, je dois dire que la Commission Informatique et Libertés a posé le principe que tout serveur d'administration ou commercial devrait pouvoir être accessible sans avoir à s'identifier à l'avance.

Je reprends juste l'intégralité des principes qui nous gouvernent normalement : la collecte loyale, la finalité légitime, la proportionnalité des données traitées à leurs fins et leur conservation aussi dans le temps, en fonction de cette finalité, de cette proportionnalité. Aussi le principe de sécurité, je donnerai un exemple : il n'est pas question d'utiliser Internet pour transférer des données médicales sans que celle-ci soient chiffrées avec des techniques de chiffrement fort, par exemple. Voilà les principes simples de base.

Ces principes ne sont pas contestés, nous les avons appliqués dans un certain nombre de services en France, je pourrais donner des exemples.

Notre problème, je crois, est au-delà de nos frontières et je dirai même : au-delà de l'Europe. Pourquoi ? L'Europe s'est dotée d'une législation européenne qui va être transposée dans tous les pays européens d'ici la fin de l'année, y compris pour la France qui reprend ces principes et les décline un peu plus précisément. Mais le problème c'est que hors d'Europe, pour l'instant, nous n'avons de loi de protection des données, de système contraignant d'application des principes que dans trois petits États pour ce qui concerne la protection dans le secteur privé. Il s'agit du Québec, il s'agit de la Nouvelle-Zélande et de Hongkong, avec quelques points d'interrogation sur l'avenir quoique pour l'instant, cela se maintienne.

Nous sommes donc dans une situation assez difficile au plan mondial, une forte tradition européenne, une volonté européenne puisqu'il y a eu un accord sur une directive d'aller dans ce sens, mais nous devrons faire prôner cette vision au plan mondial.

Peut-être qu'il est de l'intérêt du commerce électronique d'avoir la confiance des personnes, c'est ce que disent tous les textes internationaux du commerce y compris du gouvernement américain mais nous pensons qu'il y a toujours, parmi les commerçants, ceux qui ont envie de bien faire et qui veulent rester dans le commerce longtemps et ceux à qui cela est égal de rester peu de temps et donc de jouer les cow-boys et de faire n'importe quoi. C'est pourquoi nous pensons qu'il faut aller -- comme dans d'autres domaines du droit, tels que le droit d'auteur ou d'autres -- vers un minimum de mesures contraignantes au plan mondial et que ceci serait dans la logique de la directive européenne qui a été adoptée.

Je dois dire que nos grands interlocuteurs, par exemple au Canada, se posent beaucoup de questions. Il y a un livre vert qui propose une législation encadrant des codes de conduite. Aux États-Unis, il y a une forte pression, l'État américain disant à l'industrie : si vous ne prenez pas des mesures contraignantes par vous-même, par des systèmes compliqués de self regulation mais aussi avec des concepts tels que le fair trading qui pourraient avoir des incidences en cas de la non-observation des principes, si vous n'agissez pas assez vite, nous seront obligés d'intervenir par la loi.

Il y a un dialogue européen, l'Amérique, cette année, devrait connaître d'ailleurs à cet égard un certain développement. »