Le RGPD est toujours le centre de l’attention, malgré le temps qui passe et qui nous éloigne doucement mais sûrement du 25 mai 2018. Il y a de quoi, puisque les 99 articles du texte doivent maintenant être décortiqués à l’aune de la pratique et des décisions à venir. Cette mise en pratique en éclipserait presque l’un des aspects les plus révolutionnaires du texte, son champ d’application territorial. Il s’agit en effet d’un texte à portée internationale by design, et par conséquent d’un texte susceptible d’entrer en conflit avec d’autres normes. Ainsi en est-il par exemple des règles autour de la base WHOIS.

Le RGPD vs le fonctionnement d’Internet

Cette base comporte l’ensemble des coordonnées des titulaires de noms de domaine. Jusque récemment, cette base était entièrement publique, et la publication des données personnelles des déposants faisait même partie des contrats d’enregistrement d’un nom de domaine. Des services se sont même développés pour limiter cette pratique, en permettant aux internautes cherchant à déposer un nom de domaine de masquer leurs coordonnées : c’était alors des sociétés prête-nom qui déposaient le nom de domaine pour le compte du véritable titulaire, en conservant elles-mêmes les précieuses informations.

Bien que potentiellement attentatoire à la vie privée, la base WHOIS avait évidemment son utilité : comme un registre de marques ou de brevets, elle assurait la publicité de l’embryon de titre que constitue le nom de domaine. On comprend déjà bien l’utilité de la base marques de l’INPI lorsqu’il s’agit de contacter le titulaire d’un droit, on comprend encore mieux l’utilité de la base WHOIS pour un actif immatériel dont l’obtention se fait selon la règle du “premier arrivé, premier servi” à l’échelle de la planète. Le WHOIS permettait ainsi de contacter un titulaire de nom de domaine n’importe où sur Terre, afin par exemple de proposer un rachat ou envoyer une lettre de mise en demeure pour atteinte à une marque antérieure. L’entrée en vigueur du RGPD a conduit l’ICANN, l’organisme gestionnaire du système de nom de domaines, à cacher par défaut les entrées WHOIS, dans l’attente de trouver mieux (ou de l’obtenir auprès de la CJUE).

La donnée personnelle vs la donnée publique

En filigrane derrière ce cas se cache un dilemme assez profond lié à l’extension du domaine de la donnée : au fur et à mesure que l’on élargit le périmètre de la protection des données personnelles, les champs de friction avec d’autres droits vont également augmenter. Ce phénomène est notamment observable en ce qui concerne la nature même des données à caractère personnel. La définition, toute information se rapportant à une personne physique identifiée ou identifiable, permet en effet d’englober les données purement identifiantes (nom, prénom, etc), les données que l’on produit soi-même (SMS, etc), les métadonnées (heure d’envoi du SMS), mais aussi les données que l’on coproduit avec un service (historique de recherche) ou les données que l’on produit sur soi (statistiques d’utilisation d’un service). Ce caractère protéiforme, presque indéfinissable, de la donnée personnelle est notamment l’un des arguments de la CNIL pour s’opposer à la proposition de droit de propriété sur la donnée : comment posséder quelque chose que l’on n’arrive même pas à définir ?

Cette définition extrêmement large fait que par exemple, la protection des données va entrer en friction avec le droit à l’image. Un cas particulièrement intéressant d’une telle friction est celui des données rendues publiques. Le droit des données personnelles se place dans la lignée de la protection de la vie privée, que l’on oppose à la vie publique : une information privée rendue publique perd cette protection. Pour autant, une donnée personnelle rendue publique est toujours protégée : en témoigne la récente affaire Disinfo lab dont nous vous parlions la semaine dernière. Ici, c’est bien le droit de traiter des informations manifestement publiques qui est en cause : quoi de moins privé qu’un tweet ?

Au-delà des frictions avec d’autres droits de la personnalité, la protection des données personnelles se trouve donc souvent en opposition avec la liberté d’expression, le droit à l’information et le droit d’accéder à des données publiques (on pense notamment à l’open data des décisions de justice). Quitte pour les autorités de contrôle européennes à continuer la grande œuvre d’exégèse (bienvenue) qu’elles ont entreprise, il serait donc grand temps de commencer à décortiquer les articles 85, 86 et 89 du RGPD, afin d’y voir un peu plus clair sur ces frictions.