Protection des données personnelles et objets connectés

Nous allons rapidement vivre dans un environnement bourré de capteurs. Mais veut-on transmettre en permanence nos données ? Et qui pourra y accéder ? Autant de questions légitimes auxquelles la réglementation doit répondre.

Les objets connectés sont complexes et renferment une large gamme de composants. Ainsi, plusieurs qualifications juridiques pourront s’appliquer pour un même objet. « C’est un sujet de droit complexe qui va nécessiter du travail pour décortiquer les différents éléments, les qualifier et appréhender l’écosystème dans son ensemble », prévient Nathalie Puigserver, avocate chez P3B avocats et spécialiste du droit des technologies de l’information et des communications électroniques.

Un sujet complexe pour les juristes

La plus grande difficulté juridique avec Internet est qu’il n’y a pas de limite territoriale. « Cette absence de territorialité pose des difficultés pour attaquer des règles », observe Nathalie Puigserver. Le développement des objets connectés pose un problème similaire, puisqu’ils se déploient dans tous les secteurs d’activité, avec des produits et services d’une diversité infinie. Parmi eux, on trouve des secteurs qui ont des réglementations propres.

La problématique pour le juriste est la rapidité de développement des objets connectés.« À horizon 2020 plusieurs milliards d’objets connectés seront en circulation, ce qui est incompatible avec la lenteur du processus législatif », note Nathalie Puigserver. En effet, il aura déjà fallu attendre six ans pour aboutir à l’entrée en vigueur de la nouvelle réglementation européenne sur les données personnelles. Celle-ci modifie en profondeur la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Cette nouvelle réglementation harmonise les législations des différents pays européens pour permettre le développement de l’économie numérique. Elle a pour objectif d’appliquer beaucoup plus largement la protection des données personnelles des citoyens européens. Ces règles s’appliqueront à toutes les entreprises, quelle que soit leur taille, et à tous les produits vendus en Europe.

Données personnelles et droit commun de la responsabilité

Les objets connectés enregistrent différentes données personnelles. Les règles en place seront-elles suffisantes et efficaces pour protéger la vie privée de tout un chacun? « C’est la question centrale par rapport aux objets connectés », estime Nathalie Puigserver.

Le sujet concerne tout autant le droit commun de la responsabilité. En cas de défaillance d’un objet connecté, qui sera responsable ? L’utilisateur, le concepteur du logiciel, le fabricant, les sous-traitants, un assureur ?« Le fait qu’un objet soit augmenté par des technologies pose des questionnements sur qui en a le contrôle au moment de défaillances », précise l’avocate. C’est notamment tout le débat en cours sur la responsabilité en cas d’accident avec des véhicules autonomes.

Réformer ou créer de nouvelles règles ?

Le droit actuel peut-il s’adapter aux objets connectés ? C’est tout le débat. « Il ne faut pas légiférer dans précipitation, faire une réglementation spécifique qui se révélerait être contre-productive et un frein au développement de ces technologies, prévient l’avocate. On peut toutefois déjà faire des adaptations spécifiques. »

Le fabricant d’objets connectés doit déjà respecter toutes les obligations en matière de sécurité et de confidentialité des données. Cela signifie qu’il doit prévoir des durées de conservation, un droit d’accès et de suppression de ces données. La nouvelle loi instaure également des règles d’importation et d’exportation de données plus strictes vers et en dehors de l’Union européenne. Chaque sous-traitant aura également une responsabilité propre de protection des données.

Les objets connectés seront acceptés par les utilisateurs à condition que l’utilisation des données se fasse de façon éthique et transparente. Cela signifie que les utilisateurs devront savoir pourquoi les données sont captées et comment elles sont utilisées. « Ce n’est pas tant le type de donnée collectée qui pose problème que le pourquoi on la collecte et ce que l’on va en faire », conclut la spécialiste.

Par Matthieu Combe, journaliste scientifique