La réponse courte est nuancée : les données personnelles se rapportent à vous et cette relation peut vous conférer des droits sur leur traitement, mais elle ne fait pas nécessairement de vous le propriétaire de chaque enregistrement, copie ou conclusion tirée de ces données.
Cette différence n’est pas un jeu de mots. Dire « mes données » exprime une intuition légitime d’autonomie et de vie privée. Pourtant, la propriété inclut généralement des prérogatives telles qu’utiliser, exclure autrui ou transférer un bien. L’information fonctionne différemment : elle peut être copiée, concerner plusieurs personnes et naître d’une relation entre elles. C’est pourquoi de nombreux systèmes protègent la personne par des droits et des obligations spécifiques sans déclarer que toute donnée est une marchandise relevant de sa propriété.
Il n’existe pas de réponse juridique identique dans tous les pays. La législation applicable, le contexte et la raison pour laquelle les données sont traitées déterminent la portée concrète de la protection. Néanmoins, certaines distinctions permettent de s’orienter sans être spécialiste.
Idée clé : Être titulaire de données personnelles signifie que l’information vous concerne. Cela n’équivaut pas automatiquement à disposer d’une emprise patrimoniale sur chaque copie, utilisation ou inférence.
Avant de parler de propriété, il convient de distinguer cinq éléments
Dans la vie numérique, nous avons coutume de nommer « données » des objets distincts. Les confondre mène à des conclusions trompeuses.
- La personne est l’individu que l’information identifie ou peut identifier.
- La donnée personnelle est l’information relative à cette personne. Le Règlement général sur la protection des données de l’Union européenne (RGPD), référence influente mais non universelle, inclut aussi bien l’identification directe qu’indirecte.
- Le support est le support physique ou numérique où est conservée l’information : un téléphone, un serveur ou une feuille de papier.
- La base de données est une collection organisée. Sa structure, les logiciels ou l’investissement réalisé pour la constituer peuvent bénéficier de protections propres.
- L’inférence est une conclusion ou une prédiction obtenue en analysant des informations : par exemple, le fait qu’une personne a probablement un certain niveau de revenus ou des centres d’intérêt déterminés.
Imaginez que vous remplissiez un formulaire pour ouvrir un compte. Vous fournissez votre nom et votre adresse ; l’organisation stocke ces données sur un serveur ; elle les intègre dans une base de clients ; et elle génère peut-être un profil de risque. Tout est lié, mais il ne s’agit pas du même objet juridique.
L’entreprise peut être propriétaire du serveur et détenir des droits sur l’organisation de sa base. Cela ne lui donne pas une liberté illimitée pour utiliser l’information personnelle. En même temps, le fait que le profil vous concerne n’implique pas nécessairement que vous soyez propriétaire du serveur, de la base ou de la méthode qui a produit l’inférence.
Dans l’Union européenne, la protection juridique des bases de données ne crée pas à elle seule un droit sur chaque donnée contenue et n’écarte pas non plus les règles de confidentialité. Cette séparation montre pourquoi ce que protège juridiquement la propriété et ce que protège le droit des données sont des questions proches, mais différentes.
Titulaire, responsable et sous-traitant ne signifient pas « propriétaire »
Les règles relatives à la protection des données répartissent habituellement les rôles et les responsabilités. Le vocabulaire varie selon les juridictions, mais le schéma européen offre un exemple utile :
- Le titulaire ou la personne concernée est la personne à qui se rapportent les données.
- Le responsable décide des finalités et des modalités du traitement.
- Le sous-traitant traite les données pour le compte du responsable.
Si un commerce fait appel à un prestataire pour héberger sa base de clients, ce commerce peut agir comme responsable et le prestataire comme sous-traitant. Aucune de ces dénominations ne signifie « propriétaire de la personne » ni n’accorde une autorisation générale de faire n’importe quoi avec les informations.
La distinction aide également à attribuer la responsabilité. La question pratique ne se résume plus seulement à « à qui appartient la donnée ? » et inclut désormais des interrogations plus précises : qui a décidé de la collecter ? dans quel but ? sur quel fondement ? qui doit la protéger ? auprès de qui puis-je exercer mes droits ?
Quel contrôle une personne peut-elle exercer ?
Selon l’ordre juridique applicable, une personne peut disposer de prérogatives pour savoir quelles informations sont traitées, corriger des erreurs, s’opposer à certains usages, demander l’effacement ou recevoir certaines données dans un format réutilisable. Le RGPD, par exemple, reconnaît des droits d’accès, de rectification, d’effacement, de portabilité et d’opposition, chacun assorti de conditions et de limites propres.
Ces prérogatives ne constituent pas un pouvoir absolu sur l’information. L’effacement peut céder face à des obligations légales, la liberté d’expression, des finalités de recherche ou la défense de réclamations. La portabilité ne comprend pas non plus nécessairement chaque donnée observée ou chaque inférence produite par une organisation. Et supprimer un enregistrement d’un système ne fait pas disparaître des faits historiques ni des données légitimement conservées par des tiers.
Tout traitement ne dépend pas non plus du consentement. Dans des cadres comme celui de l’Europe, celui-ci constitue une base possible, aux côtés du contrat, d’une obligation légale, de la sauvegarde des intérêts vitaux, d’une mission d’intérêt public ou d’un intérêt légitime soumis à évaluation. C’est pourquoi accepter des conditions, conclure un contrat et transférer la propriété d’un bien sont des actes distincts. La relation entre contrats et propriété privée ne transforme pas chaque consentement en une vente de données.
Idée clé : Une protection efficace ne consiste pas à promettre un contrôle total, mais à définir des facultades concrètes, des obligations exigibles et des exceptions justifiées.
Le nom n’est pas le seul élément identifiant
Retirer le nom d’un tableau peut réduire le risque, mais ne rend pas toujours les données anonymes. Une combinaison d’âge, de localisation, de profession et d’habitudes peut permettre de réidentifier une personne en la croisant avec d’autres sources.
La pseudonymisation remplace les identifiants directs par des codes ou des références, mais conserve la possibilité de rétablir le lien au moyen d’informations supplémentaires. C’est pourquoi, selon l’approche européenne, les données pseudonymisées demeurent des données personnelles. L’anonymisation exige que l’identification ne soit plus raisonnablement possible dans le contexte ; il ne s’agit pas simplement d’effacer une colonne.
Les inférences méritent la même prudence. Une plateforme peut déduire une préférence, une situation financière ou un risque à partir de comportements observés. Même si la conclusion est incertaine et n’a pas été déclarée par l’utilisateur, elle peut l’affecter en déterminant ce qu’il voit, le prix qui lui est proposé ou l’opportunité qui lui est offerte. Dans des juridictions telles que l’Union européenne, une inférence liée à une personne identifiée ou identifiable peut entrer dans le champ des données personnelles.
Cela ne signifie pas que chaque inférence appartienne intégralement à l’individu. Cela signifie que l’effort ou la technologie de celui qui la produit n’effacent pas automatiquement les intérêts de la personne à laquelle elle s’applique.
Faire des données une propriété résoudrait-il le problème ?
La proposition semble séduisante : si les données étaient une propriété transférable, chaque individu pourrait décider de qui les utilise et exiger un paiement. Cette intuition met l’accent sur l’autonomie et sur la valeur économique que les entreprises tirent de l’information.
Mais cette solution présente des limites. La Banque mondiale souligne que la création et l’usage des données font se chevaucher des intérêts distincts. L’enregistrement d’un achat implique l’acheteur, le vendeur, le moyen de paiement et, parfois, d’autres personnes. Une photographie ou une conversation peut révéler des informations sur plusieurs individus. Accorder à l’un d’eux un contrôle exclusif pourrait léser les droits légitimes des autres.
Il existe également un déséquilibre de pouvoir. Une personne qui a besoin d’un service peut accepter une cession étendue sans en mesurer les conséquences ou sans disposer d’une véritable solution de rechange. Si cette vente éteignait des protections futures, une décision ponctuelle pourrait l’exposer indéfiniment. Un marché formellement volontaire n’élimine pas à lui seul l’asymétrie d’information ni les effets que l’utilisation des données engendre sur des tiers.
Dans une perspective libérale, l’autonomie compte, mais la responsabilité, la sphère privée et les limites prévisibles imposées au pouvoir comptent aussi. Protéger l’individu n’exige pas de lui accorder un monopole patrimonial sur toute information le concernant. Cela exige en revanche des règles prévisibles et des garanties pour ceux qui recueillent, analysent et partagent des données, qu’il s’agisse d’entreprises ou d’autorités.
Idée clé : Traiter les données comme une marchandise peut reconnaître leur valeur, mais cela ne résout pas à soi seul les enjeux de vie privée, le déséquilibre de pouvoir ni les intérêts des tiers.
Une meilleure question que « sont-elles à moi ? »
Face à une application, une entreprise ou une institution, il convient de poser des questions plus concrètes :
- Quelles données collecte-t-elle et lesquelles déduit-elle ?
- À quelles fins les utilise-t-elle et sur quel fondement juridique ?
- Avec qui les partage-t-elle et combien de temps les conserve-t-elle ?
- Quels droits la juridiction applicable reconnaît-elle et comment s’exercent-ils ?
- Que se passe-t-il si l’information est inexacte ou conduit à une décision préjudiciable ?
Cette approche évite deux erreurs opposées : supposer qu’une organisation peut agir à sa guise parce qu’elle contrôle l’infrastructure, ou croire qu’une personne peut faire disparaître de la réalité toute information la concernant.
Les données personnelles ne s’insèrent pas aisément dans la logique d’un objet physique. Elles constituent des informations sur des personnes, des relations et des événements ; elles peuvent être copiées en plusieurs endroits et acquérir de nouvelles significations lorsqu’elles sont combinées. La réponse institutionnelle la plus solide ne consiste pas à répéter que « vos données vous appartiennent », mais à reconnaître le lien personnel, à délimiter les usages légitimes et à responsabiliser ceux qui exercent un pouvoir par l’intermédiaire de l’information.
Partager