Une personne enregistre son activité physique sur une montre connectée. Le fabricant conserve les mesures, une application les organise et une autre entreprise produit une estimation de son état de santé. À qui appartiennent ces données ?
La réponse brève est : cela dépend de quelle donnée, de quelle prérogative et de quel ordre juridique il s’agit. Avoir un appareil, recueillir une mesure, héberger un fichier ou pouvoir le consulter ne transforme pas automatiquement quelqu’un en propriétaire de toute l’information concernée.
L’expression « propriété sur les données » est séduisante parce qu’elle promet une règle simple. Pourtant, elle regroupe souvent des problèmes différents : vie privée, accès, usage, garde, confidentialité, propriété intellectuelle et obligations contractuelles. Les séparer permet de comprendre quel intérêt mérite une protection sans créer un monopole général sur l’information.
Idée clé : La question utile n’est pas seulement « qui est le propriétaire ? », mais « quel objet protège-t-on, quelle prérogative revendique-t-on, face à qui et sous quelle juridiction ? ».
Une donnée n’est pas la même chose que son support ni que sa signification
Imaginez un fichier stocké sur un serveur. Le serveur est un bien matériel. Le fichier est une organisation de signaux numériques. Son contenu peut décrire une transaction, comporter une photographie ou révéler un élément concernant une personne. À partir de ce contenu, en outre, quelqu’un peut construire une base ou déduire une régularité.
Ce sont des couches liées, mais non identiques :
- Le support est l’appareil ou l’infrastructure où l’information est enregistrée.
- La donnée est une représentation qui peut être stockée ou traitée.
- Le contenu informatif est ce que cette représentation communique.
- La base de données organise un ensemble d’éléments selon une certaine structure.
- Le résultat dérivé découle de l’analyse, de la combinaison ou de l’inférence.
Être propriétaire du téléphone ou du serveur ne démontre pas, en soi, une maîtrise sur chaque contenu stocké. De même, avoir rassemblé de nombreuses données peut justifier une protection pour une base organisée sans attribuer de propriété exclusive sur chaque fait qu’elle contient. La doctrine juridique a insisté précisément sur ces différences parce que le langage quotidien tend à les effacer.
Propriété, contrôle, accès et garde remplissent des fonctions distinctes
La propriété suggère souvent un droit exclusif opposable aux tiers. Le contrôle, en revanche, peut être simplement technique : une plateforme décide qui accède à ses systèmes ou quelles opérations elle autorise. La garde décrit la responsabilité de conserver un élément, et l’accès autorise à consulter ou à obtenir une information selon certaines conditions.
Pensons à un service de stockage dans le cloud. L’entreprise contrôle l’infrastructure et garde les fichiers ; l’utilisateur peut conserver des droits sur le contenu ; un collaborateur peut disposer d’une autorisation de lecture ; et une autorité pourrait demander un accès si elle remplit les conditions légales applicables. Aucune de ces positions n’équivaut nécessairement à être propriétaire « des données » au sens général.
Cette distinction évite également de confondre pouvoir de fait et légitimité. Une entreprise peut avoir la capacité technique de copier une base sans être juridiquement autorisée à le faire. À l’inverse, une personne peut avoir le droit de recevoir certaines données même si elle ne contrôle pas le système qui les stocke.
Les données personnelles sont protégées en tant qu’élément de la sphère individuelle
Lorsque l’information se rapporte à une personne identifiée ou identifiable, des intérêts liés à son autonomie, à sa dignité et à sa vie privée apparaissent. Dans l’Union européenne, le Règlement général sur la protection des données définit les données à caractère personnel et reconnaît, dans des conditions spécifiques, des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition.
Ces prérogatives offrent un contrôle sur le traitement, mais le RGPD ne déclare pas de façon générale que toute personne est propriétaire civile de toute donnée la concernant. Les droits sont assortis de conditions, d’exceptions et de limites : ils peuvent coexister avec des obligations légales de conservation, des droits de tiers ou des intérêts publics légitimes.
C’est pourquoi la formule « vos données vous appartiennent » peut exprimer une revendication politique compréhensible, mais s’avère juridiquement imprécise. Une formulation plus utile consiste à demander quel traitement est autorisé, quelle information doit être fournie, quelle rectification peut être exigée et à quel moment il convient d’effacer, de transférer ou de cesser d’utiliser les données.
Idée clé : La protection des données personnelles n’a pas besoin de reposer sur la fiction selon laquelle toute information concernant une personne fonctionne comme une chose dont elle aurait la propriété.
Une base peut être protégée sans appropriation de chaque donnée
Une collection ordonnée peut exiger des investissements, du discernement et du travail. Cette activité est distincte des éléments individuels rassemblés. Dans l’Union européenne, la directive 96/9/CE prévoit deux voies délimitées : le droit d’auteur peut protéger une sélection ou une disposition originale, et un droit sui generis peut protéger, lorsque ses conditions sont remplies, un investissement substantiel dans l’obtention, la vérification ou la présentation du contenu.
Cela ne signifie pas que tout tableau ou ensemble d’enregistrements soit protégé, ni que le fabricant d’une base acquière automatiquement les droits sur chaque élément. La structure, l’investissement et le contenu doivent être analysés séparément. Un annuaire peut avoir une organisation protégeable même si un grand nombre de ses données sont des faits accessibles par d’autres voies.
Le contenu intégré peut également avoir son propre régime. Une photographie, un texte ou un logiciel peuvent être soumis à la propriété intellectuelle ; un chiffre isolé ou un fait, pas nécessairement. La protection d’une couche n’absorbe pas toutes les autres.
Le secret et le contrat protègent des relations concrètes
Les données non personnelles ne restent pas non plus dans un vide juridique. Une formule industrielle, une liste réservée de clients ou certains paramètres opérationnels peuvent constituer des secrets d’affaires. Dans l’Union européenne, la directive 2016/943 exige, entre autres conditions, que l’information soit secrète, qu’elle possède une valeur commerciale parce qu’elle est secrète et qu’elle ait fait l’objet de mesures raisonnables pour la garder confidentielle.
La protection du secret vise l’obtention, l’utilisation ou la divulgation illicites. Elle ne confère pas nécessairement d’exclusivité face à quiconque parvient de façon indépendante à la même connaissance. Cette limite compte : elle protège l’investissement et la confiance sans transformer toute information utile en un domaine fermé.
Le contrat remplit une autre fonction. Les parties peuvent convenir de qui accède à certaines données, des fins auxquelles elles peuvent être utilisées, de la durée pendant laquelle elles doivent être conservées ou des mesures de sécurité à appliquer. Mais une clause contractuelle n’engage que dans le cadre du droit applicable et de la relation entre les parties. Elle ne démontre pas, en soi, l’existence d’un droit de propriété opposable à tous. La différence entre contrats et propriété est particulièrement importante dans les services numériques et les licences.
Les résultats dérivés soulèvent une nouvelle question
Supposons que des milliers de capteurs enregistrent la température, l’emplacement et la consommation. Une entreprise combine les mesures et estime le moment où une machine tombera en panne. Les enregistrements initiaux, la base organisée, le modèle analytique et la prédiction finale n’ont pas nécessairement à partager le même régime.
L’inférence pourrait intégrer un savoir propre à celui qui la produit, mais aussi révéler des informations personnelles ou confidentielles. C’est pourquoi il ne suffit pas de demander qui a généré la donnée d’origine. Il faut examiner comment le résultat a été obtenu, quelles sources il utilise, s’il existe des obligations de confidentialité et quels droits de tiers pourraient être affectés.
L’anonymisation ne doit pas non plus être traitée comme une formule magique. Son efficacité dépend du contexte, des possibilités de réidentification et de la norme juridique applicable. Un ensemble agrégé peut réduire les risques sans être automatiquement exempt de toute restriction.
Accès et circulation comptent également
Une exclusivité absolue peut offrir des incitations à rassembler et à organiser l’information, mais elle peut aussi bloquer la concurrence, la recherche, l’innovation ou la liberté d’expression. Le défi consiste à protéger les investissements et les sphères personnelles sans verrouiller plus d’informations que nécessaire.
Les systèmes juridiques ont donc recours à des instruments différents. Certains reconnaissent des droits d’accès ou de réutilisation ; d’autres protègent la confidentialité, les bases de données ou les créations originales. Le Règlement sur les données de l’Union européenne, par exemple, établit des règles d’accès et d’utilisation pour certaines données générées par des produits connectés. Que la norme parle d’un « détenteur de données » ne crée pas en soi un droit de propriété universel sur celles-ci : elle attribue des fonctions et des prérogatives dans le cadre d’un régime précis.
Le terme « public » ne signifie pas non plus toujours « sans limites ». Une information accessible peut rester concernée par la vie privée, le droit d’auteur, des conditions d’accès légitimes ou des règles sectorielles. Là encore, l’étiquette générale s’efface devant la question précise.
Idée clé : Protéger un investissement n’exige pas nécessairement de s’approprier chaque fait ; protéger une personne n’exige pas de transformer son identité en marchandise ; faciliter l’accès n’élimine pas toutes les limites.
Comment poser la bonne question
Avant d’affirmer que des données « appartiennent » à quelqu’un, il convient d’identifier cinq éléments :
- L’objet : s’agit-il d’un support, d’une donnée personnelle, d’un contenu créatif, d’une base, d’un secret ou d’une inférence ?
- La prérogative : cherche-t-on à exclure, à accéder, à copier, à rectifier, à effacer, à transférer, à publier ou à réutiliser ?
- La relation : la réclamation est-elle dirigée contre un cocontractant, un gardien, un concurrent, une plateforme ou tout autre tiers ?
- L’intérêt protégé : vie privée, investissement, confidentialité, qualité d’auteur, sécurité ou libre circulation ?
- La juridiction : quelle est la loi applicable et quelles conditions fixe-t-elle ?
Cette grille d’analyse n’offre pas un slogan aussi percutant que « les données m’appartiennent » ou « les données appartiennent à celui qui les collecte ». Elle offre quelque chose de préférable : un moyen d’éviter qu’un seul mot ne tranche en apparence des conflits très différents.
La propriété est une institution précieuse pour délimiter les prérogatives, la responsabilité et l’échange. Mais dans l’environnement informationnel, elle coexiste avec la vie privée, les contrats, le secret, la concurrence et l’accès. La protection appropriée ne prend pas toujours la forme d’un droit de propriété, et le reconnaître permet de défendre aussi bien l’autonomie individuelle qu’une société ouverte à la connaissance.
Partager