Thèse – Protection des données personnelles et droit à la vie privée : enquête sur la notion controversée de « donnée à caractère personnel »

La soutenance de ma thèse, intitulée Protection des données personnelles et droit à la vie privée : enquête sur la notion controversée de « donnée à caractère personnel », a eu lieu le 2 juillet 2020 à Compiègne. La vidéo de la soutenance est toujours disponible sur Youtube, et la thèse peut être téléchargée ici.

Merci encore aux membres du jury d’avoir accepté de se prêter à l’exercice en pleine crise sanitaire et, pour la plupart, en visioconférence.

In English:

The defense of my PhD thesis on Data Protection and the Right to Privacy took place on the 2nd of July, 2020, in Compiègne. The video (in French) is still available on YouTube. An English summary of the dissertation can be downloaded here. The original, full-length dissertation can be downloaded here.

 

Résumé de la thèse

La menace qu’Internet et les technologies numériques de l’information et de la communication en général font ou feraient peser sur la vie privée soulève de nombreux débats, tant dans la presse qu’au niveau politique. L’affaire Snowden en 2013, puis l’adoption en 2016 du Règlement général de protection des données (RGPD), ont renforcé la visibilité de ces controverses dans l’espace public.

Cette thèse part d’une triple interrogation : pouvons-nous définir ce qu’est la « vie privée », existe-t-il un consensus autour de la question, et ce consensus évolue-t-il avec des évolutions de notre milieu technique qui affectent nos modes de communication, et donc d’intrusion dans celle-ci ?

En définissant la « vie privée » comme l’objet protégé par des textes normatifs – textes de loi, jurisprudence et standards techno-politiques d’Internet – qui protègent le droit à la vie privée, il est possible d’en étudier empiriquement l’évolution et les controverses qui l’accompagnent.

Le droit de la protection des données à caractère personnel a émergé en Europe dans les années 1970 pour protéger une « vie privée » perçue comme menacée par une informatique encore à ses débuts. Aujourd’hui, le RGPD, ou encore certains documents édictés par des organismes de standardisation comme l’Internet Engineering Task Force (IETF) ou le World Wide Web Consortium (W3C), visent à protéger cette vie privée au travers d’un corpus de règles, la « protection des données », qui concerne les « données à caractère personnel ».

Les définitions juridiques de cette notion produites dans des arènes institutionnelles et celles produites dans des arènes de standardisation technique sont identiques. L’étude de la généalogie de la protection des données révèle en outre le rôle déterminant d’informaticiens dans l’invention de la « protection des données » et en particulier des principes qui régissent aujourd’hui encore les dispositions contenues dans le RGPD.

L’analyse des controverses qui ont eu lieu dans les arènes d’élaboration de ces normes montre que la notion de « donnée à caractère personnel » inscrite dans les textes de notre corpus reflète essentiellement le système de convictions d’une coalition d’acteurs inspirés par des idéaux libéraux utilitaristes, attachés à l’autonomie de l’individu et accordant de l’importance au respect de son consentement. Ce paradigme s’est imposé dans les arènes étudiées face à d’autres conceptions de la « vie privée », notamment celles qui la définissent comme un espace collectivement défini ôté au regard de l’espace public, ou encore celles qui préconisent une patrimonialisation de ces données.

Ce n’est donc pas l’informatique qui a directement déterminé une évolution dans l’objet de la protection du droit de la vie privée, mais ses perceptions par un groupe d’acteurs. Convaincus de l’utilité sociale de la protection de leur conception libérale de la vie privée, ces derniers sont parvenus à faire émerger, en Europe, dans les années 1970, une nouvelle catégorie juridique : le droit à la protection des données. Le RGPD, adopté en 2016, tout comme les projets de standards du Web visant à protéger la vie privée et étudiés dans cette thèse, reprennent les principes issus de ces premiers débats. Ce faisant, l’arrivée de l’informatique a, indirectement mais effectivement, été un élément déclencheur dans l’évolution de la « vie privée » définie comme objet du droit à la vie privée.

Mots-clefs : informatisation de la communication, vie privée, protection des données, données à caractère personnel, approches communicationnelles du droit et des politiques publiques

 

English abstract

Internet and digital information and communication technologies in general are often portrayed as a threat to privacy. This gives rise to many debates, both in the media and among decision-makers. The Snowden revelations, in 2013, followed by the adoption in 2016 of the General Data Protection Regulation (GDPR), have moved these discussions under the spotlight of the public sphere.

The research presented in this dissertation was born out of three questions: can we define what “privacy” is? Is there any consensus on its definition? And does this consensus change with the evolution of the technical milieu transforming our ways of communicating, and by doing so, the way in which our privacy can be intruded upon?

By defining “privacy” as the object which is protected by normative texts – laws, court decisions, techno-political standards of the Internet – protecting the right to privacy, it becomes possible to conduct an empirical study of how it evolved and how it has been a topic of contention.

Data protection law emerged in Europe during the 1970’s. Its aim was to protect a “privacy” that was perceived as under threat by the advent of computers. Currently, the GDPR, or some documents adopted by standards-settings organisations like the Internet Engineering Task Force (IETF) or the World Wide Web Consortium (W3C), are written with the intention that they protect this privacy through a set of rules and principles referred to as “data protection”, that apply to “personal data”.

The legal definitions of this notion produced by political institutions and those crafted in standards-settings bodies are identical. Furthermore, the study of the genealogy of data protection reveals that computer scientists have played a pivotal role in the invention of the principles that “data protection” still relies on, for instance in the GDPR.

The analysis of the controversies that took place in the shaping of these rules shows that the notion of “personal data” written down in the normative texts we analysed essentially reflects the beliefs system of a coalition inspired by liberal utilitarian ideals, valuing individual autonomy and granting importance to the respect of one’s consent. This framing of “privacy” has become the paradigm on the field. Other theories, such as those defining “privacy” as a space bound by collectively defined borders protecting it from the public eye, or those advocating the recognition of private property rights on personal data, have been less successful in shaping policy outcomes.

The advent and spread of networked computers have not directly determined the evolution of the object that is protected by the right to privacy. It is, rather, the perceptions a group of actors had of computers, that caused such an evolution. Convinced that their liberal conception of privacy is socially valuable, they managed to craft a new legal category during the 1970’s in Europe: the right to the protection of personal data. The GDPR, adopted in 2016, just like Web standards aiming at enhancing the protection of privacy, rely those same principles that were invented during these early debates. Therefore, it can be said that the emergence of computers has indeed, but indirectly, been a triggering factor in the evolution of “privacy” defined as the object protected by the right to privacy.

Keywords : digitisation of communication, privacy, data protection, personal data, communicational theories of Law and public policy

Image mise en avant : https://openclipart.org/detail/298034/graduation (domaine public)