Effets outre-frontière d'une nouvelle directrice sur la vie privée

La protection en Europe...

André Giroux

---

Ce n'est pas d'hier que les individus et les États s'intéressent à la protection de la vie privée. Le développement fulgurant des nouvelles technologies apporte une plus grande acuité à cette valeur. L'Europe relançait le débat en 1995 par l'adoption d'une directive relative à la Protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Elle oblige les pays européens à y adapter leur législation avant le 24 octobre 1998.

Ulf Brühann, chef d'unité à la Libre circulation de l'information et de la protection des données, de la Commission européenne, signale que la directive s'applique à la fois aux secteurs public et privé, que les technologies de l'information utilisées soient automatisées ou non.

Il précise que les principes de base de la directive sont ceux d'une finalité précise et licite de l'obtention de renseignements (obligation légale ou respect d'un contrat, par exemple), du consentement de la personne visée, de l'exactitude et de la sécurité de l'information obtenue, de même que du traitement loyal de cette information, ce qui implique d'informer les personnes de l'usage qui en est fait. Est aussi prévue une règle dite de proportionnalité visant à maintenir l'équilibre entre les besoins d'informations et le respect de la vie privée.

«Les droits traditionnels des individus (droits d'accès et de rectification) sont reconnus, ajoute Ulf Brühann, de même que d'autres, qui le sont moins (...) comme le droit de connaître l'origine des renseignements et le droit de ne pas être soumis à une décision basée (NDLR: uniquement.) sur un portrait personnel produit par un traitement informatisé.»

Effet outre-frontière

Élément majeur, dont l'écho s'est fait entendre lors de la Conférence internationale «Vie privée sans frontières», tenue à Montréal en septembre dernier, la directive oblige les pays non-européens à garantir une protection adéquate des données que leur fournissent les pays du vieux continent.

L'article 25.4 stipule en effet que «lorsque la Commission (européenne) constate (...) qu'un pays tiers n'assure pas un niveau de protection adéquat, (...) les États membres prennent les mesures nécessaires en vue d'empêcher tout transfert de même nature vers les pays en cause.»

La protection adéquate s'évalue en fonction «de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données; en particulier, la nature des données, la finalité et la durée du traitement envisagé, les pays d'origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.» (art. 25.2).

Dérogations complémentaires ou atténuantes?

L'article 26 prévoit toutefois une série de dérogations. Ainsi, la loi des pays membres de la Communauté européenne pourra permettre le transfert de données malgré l'inobservance des principes de base de la directive à la condition, par exemple, que «la personne concernée ait indubitablement donné son consentement au transfert envisagé, ou (que) le transfert soit nécessaire à l'exécution d'un contrat...».

Ces dérogations viennent-elles compléter ou grandement atténuer les principes de base? La réponse viendra des règles d'interprétation, qui seront établies au cours des prochains mois, espère-t-on, et du Registratikamer, des Pays-Bas. «Ce comité a été établi par la Commission européenne pour traduire de façon opérationnelle la notion de protection adéquate», précise le président de la Commission d'accès à l'information du Québec, Paul-André Comeau.

«À l'extérieur de l'Union européenne, ajoute-t-il, on voit depuis un bon moment se dessiner certaines initiatives en vue d'éviter des problèmes sérieux lorsque la directive entrera en vigueur. L'objectif est le même partout: minimiser les inconvénients éventuels, mais surtout assurer et maintenir la circulation normale des renseignements personnels nécessaires, indispensables dans des secteurs névralgiques de l'activité économique et même politique.»

Réactions américaines

Les débats n'en sont pas moins virulents parfois. «La notion de protection adéquate sera évaluée au cas par cas selon une approche souple, ouverte et fonctionnelle», affirme Yves Poullet, professeur au Centre de recherches Informatique et droit aux Facultés universitaires Notre-Dame de la Paix, en Belgique.

Bien que cela soit une opinion personnelle, elle a du poids puisqu'elle provient de l'un des trois juristes consultés par la Commission européenne pour la rédaction de la directive. Une autre voie, distincte ou complémentaire, pourrait être l'évaluation par la Commission européenne des lois étrangères pour s'assurer de leur conformité à la directive.

Peu importe l'approche, elle fait bondir certains américains, dont Barbara S. Wellbery, conseillère principale à la National Telecommunications and Information Administration of United States Department Commerce.

Elle plaide pour l'auto-réglementation et refuse l'ingérence d'une législation étrangère dans les affaires de son pays. «Les Américains tiennent à la protection de la vie privée et la considèrent comme l'un des fondements de la liberté de la personne, affirme-t-elle. En cette matière, la démarche américaine découle de la tradition américaine. Issue d'une méfiance à l'endroit des excès du gouvernement, elle se manifeste par une préférence à la décentralisation et par une réticence à réglementer le secteur privé en l'absence d'un besoin évident.»

Ce besoin existe, rétorque le professeur de droit de l'Université de l'Arkansas, Paul Schwartz. «Assurément, tous les gains réels en terme de protection des renseignements personnels aux États-Unis s'avèrent très modestes. Ces gains semblent donc particulièrement limités quand on les compare aux progrès réalisés dans certains pays d'Europe.»

Il invoque de plus un discours du président américain Bill Clinton prononcé en mai dernier, qui «comprend un appel spécifique à la création de lois nouvelles sur la vie privée», estime Paul Schwartz.

Son confrère de la Fordham University School of Law, Joel R. Reidenberg, estime que «27 % des internautes américains diffusent de l'information inexacte». Selon lui, la directive européenne sera reprise au niveau mondial même en l'absence de législation des États: «Le marché européen est tel que les entreprises n'auront pas le choix.»

La voie québécoise

Au Canada, la voie québécoise est celle de la législation et «répond aux impératifs de la directive européenne», note Paul-André Comeau.

«Force nous est de reconnaître qu'une minorité de pays seulement se sentiront motivés à suivre le modèle européen», opine Colin J. Bennett, professeur agrégé au département de science politique de l'Université de Victoria, en Colombie-Britannique.

De plus, estime-t-il, «aucune compétence territoriale au monde ne peut, d'une manière plausible, revendiquer un niveau adéquat de protection de renseignements personnels, car peu d'entre elles disposent des ressources voulues pour contrôler les organismes privés ou publics de façon suivie.»

Or, l'Organisation internationale de normalisation (ISO) vient tout juste d'entreprendre le processus d'élaboration d'une normalisation sous les auspices du secrétariat canadien.

Cette norme évitera peut-être les législations dans les pays qui tiennent à s'en abstenir tout en répondant, si elle est bien conçue, aux exigences de la directive européenne. Si cette voie devait être unique cependant, elle en décevrait plusieurs: le respect des normes ISO demeure facultatif.

 

Retour au haut de la page

© Barreau du Québec 1996-2012