Étiquette : PFPDT

Bonne année 2021 ! Retour sur 2020 et conseils pour 2021

2020 a été une année sans précédent, mouvementée et rude parfois, aboutissant même à des drames personnels et professionnels. Rétrospectivement, bien des secteurs ont été affectés par la crise et continueront de l’être en 2021. Je saisis l’occasion de vous souhaiter une “meilleure” année 2021 en continuant à publier des articles en lien avec les nouvelles technologies, la santé et le droit. Prenez bien soin de vous et de vos proches et gardez vos distances !

* * *

Dans cet article, je vous propose un bref retour sur 2020, ce qui a marqué l’année et quelques conseils pratiques en matière de nouvelles technologies.

_______________________________

2020: RETOUR SUR LES NOUVELLES TECHNOLOGIES, SANTE ET VIE PRIVEE

TOP-10 des éléments marquants de l’année 2020

1. Fleuve d’articles et conférences parus en 2020

Pour l’année 2020, au vu de la crise et de la pandémie de la Covid-19, les publications ont été d’une abondance rare. Ce nombre immense de publications scientifiques, mais également juridiques nécessite toutefois de la retenue et un choix tant le nombre est élevé. Nous avons aussi surfé sur la vague et initié un petite série d’articles sur notre plateforme datalex.ch, en particulier destinés aux entreprises. Cette courte série bilingue (français-anglais) a suscité beaucoup d’intérêt en Suisse et à l’étranger ainsi qu’un article en italien sur les règles éthiques de triage dans les hôpitaux en cas de goulets d’étranglement.

L’organisation PrivacyRules, pour laquelle nous représentons la Suisse, m’a permis d’intervenir dans plusieurs webinar en lien avec la protection des données:

Enfin, j’ai eu le plaisir de collaborer à la rédaction de 2 articles parus dans la Revue Médicale Suisse sur la télémédecine:

2. Economie du numérique en hausse.

Il est indéniable que le confinement et les mesures d’isolement, les fermetures des commerces, discothèques, restaurants/bars ou écoles ont incité l’utilisation des nouvelles technologies. Ainsi, la pandémie de coronavirus a été un catalyseur pour l’utilisation des nouvelles technologies, même pour les sceptiques. On peut ainsi compter dans les secteurs du numérique ayant profité de la crise notamment les secteurs suivants:

  • Vidéo-conférence: Zoom, Microsoft Teams, FaceTime, Google Meet, etc. Mais également d’acteurs locaux (K.Meet de Infomaniak), open source et gratuits proposant des alternatives (Jitsi Meet).
  • Vidéo à la demande et streaming vidéo: Youtube, Netflix, industrie du charme
  • Stockage en ligne (Cloud): Dropbox. Google Drive, AWS, office 365
  • Plates-formes collaboratives: Slack
  • Réseaux sociaux: Youtube, Instagram, Facebook, Snapchat et Tik Tok (dont les tentatives de blocage aux USA par Trump ont pour l’heure encore échoué).
  • e-Commerce: ventes en ligne, livraison à domicile.

Voir cet article pour d’autres exemples.

3. Croissance/décroissance. L’accentuation des inégalités.

On a pu observer un essor assez phénoménal des solutions de vente en ligne (restaurants proposants la livraison à domicile), du télétravail devenu temporairement la norme, des services à distances (formation par Internet), les méthodes de paiements en ligne, la vente de masques faciaux et de produits de Noël par Internet et j’en passe. Le secteur des dispositifs médicaux, des médicaments et de l’e-commerce sont les grands gagnants de 2020 et 2021 avec l’arrivée des vaccins.

Pourtant, de très nombreux secteurs comme les PME et les petits commerçants locaux sont les perdants de 2020. Il faut le dire, la crise aura plutôt profité aux gros plutôt qu’aux petits, accentuant la “crise des inégalités“. La croissance massive du chiffre d’affaires de certains GAFAM et autres monstres du web en témoigne, en tout cas pour le moment. 2020 a aussi permis l’augmentation du nombre de milliardaires en Suisse.

Ainsi, avec la crise sanitaire, on a pu observer les chiffres vertigineux d’Amazon, soit un pic de $11’000.- de ventes par secondes (oui, par seconde) pendant la crise et l’engagement immense de personnel et la création de division de logistique pour les tests, pour atteindre le 1 million d’employés dans le monde (oui, un million).

4. Opportunités et innovation.

On a pu observer les grandes difficultés pour les secteurs qui ne peuvent pas innover, comme la construction, certains cabinets médicaux vides (par peur de contracter le virus chez son médecin), hôtels, restaurants, bars et discothèques, secteurs du tourisme, coiffeurs et autres secteurs qui doivent fournir leurs prestations en nature). Mais ce fut aussi une année avec des opportunités pour les entreprises et les start-ups. Certaines en grandes difficultés, voire en déclin. D’autres en expansion grâce aux opportunités de l’e-commerce, des applications mobiles, des solutions de vidéo-conférences ou de start-up et entreprises ayant pu ou su profiter de la crise pour se diversifier ou utiliser l’innovation ou des méthodes alternatives pour permettre de poursuivre leurs activités.

5. Applications de traçage Covid-19.

2020 a été marqué par une rapide innovation dans le domaine du traçage des cas liés à la maladie de coronavirus, par un grand nombre de pays. Ces applications ont été soit en mains de l’Etat, comme pour l’application suisse “Swisscovid“, soit restées privées. Certaines applications mobiles de traçage (“contact tracing Apps“) ont utilisé un modèle de gestion des données centralisé, alors que d’autres ont opté, comme la Suisse, pour une modèle décentralisé, lequel serait mieux “évalué” que les applications centralisées pour respecter des données des patients. Ce document libre d’accès répertorie toutes les applications mobiles de traçage dans le monde (plus de 120 Apps). Les applications mobiles de santé démontrent le potentiel de la santé numérique (digital health), mais aussi les risques pour la vie privée lors de l’utilisation de ces technologies. Enfin, les applications médicales mobiles doivent toujours faire l’objet d’une analyse pour déterminer si elles répondent à la qualification (et classification) juridique de la législation sur les dispositifs médicaux au sens de l’ODim (CH), de la jurisprudence et des guides européens pour la qualification de logiciels comme dispositifs médicaux (“Software as a medical device” – SaMD). En Europe, cette analyse s’effectue selon les directives sur les dispositifs médicaux et in vitro, ainsi que, dès le 26 mai 2021, le Règlement sur les dispositifs médicaux (MDR / IVDR).

Mon analyse détaillée de la qualification juridique des applications mobiles de traçage comme dispositifs médicaux fera l’objet d’un article séparé.

6. Explosion de la vidéo-conférence.

D’un point de vue des technologies, que ce soit dans le domaine de la santé ou ailleurs, 2020 a permis d’accélérer massivement l’essor des nouvelles technologies, même dans des secteurs plutôt conservateurs. Aucun domaine n’a été en reste, ni le domaine bancaire, ni celui de la santé ou encore celui de la justice et des avocats n’a été épargné par la vague du “Zoom”. Un terme entré aujourd’hui dans le langage commun pour désigner une vidéo-conférence au même titre que “natel” pour les téléphones portables. Malgré ce qu’ont pu en dire certains sur les risques (souvent possibles, même si parfois plutôt théoriques) pour la vie privée des applications de vidéo-conférence, plus personne ne rechigne à utiliser la vidéo-conférence. On l’utilise désormais à titre privé, professionnel ou dans les institutions publiques (écoles et universités).

7. Utilisation de la télémédecine.

Avec les difficultés liées aux contacts rapprochés, en particulier au cabinet médical ainsi que dans les hôpitaux, la télémédecine s’est immédiatement imposée comme devenant un outil presque nécessaire pour palier aux consultations. Par conséquent, de nombreux médecins ont pu utiliser le téléphone, les sms et applications de visio-conférence pour traiter leurs patients, mais aussi filtrer les patients étant potentiellement atteints de la Covid-19. Le filtrage (coronacheck, outil exigé par les centres de dépistage avant la prise de rendez-vous), ainsi que les différents dispositifs de hotline de l’OFSP ou simplement le téléphone à sa propre patientèle ont permis de mettre des personnes en quarantaine ou de demander à sa patientèle de venir ou ne pas venir au cabinet selon les symptômes. En effet, un des nombreux effets néfastes pour les soins de patients ayant besoin de traitement médical pour autre chose que le coronavirus, est la peur de venir de faire soigner au cabinet ou à l’hôpital. Pour les bonnes pratiques en matière de télémédecine, je vous renvoie aux articles parus dans la revue médicale suisse qui résument les éléments clés à retenir.

8. Démocratisation de la flexibilité au travail et télétravail.

Avant 2020, de nombreux employeurs et secteurs d’activités ne juraient que par l’imposition d’un horaire de travail strict, tout comme un lieu de travail pour les employés. Pour les secteurs qui ne nécessitent pas la présence d’un travailleur sur le lieu de travail, et il y en a beaucoup en Suisse, la pandémie a contraint les employeurs conservateurs (pas de technologies, pas de travail à domicile et peu de flexibilité) à mettre en place des solutions. Travail à distance, meilleure flexibilité lors du confinement en raison de la fermeture des écoles et des enfants à la maison pendant les heures de travail, voire paiement d’une part du loyer.

9. Respect de la vie privée et sécurité des données professionnelles

Avec l’explosion des outils à distance, de nombreux secteurs ont dû chercher rapidement des logiciels permettant de mettre en place un système de vidéo-conférence, sans forcément pouvoir choisir des logiciels efficaces, simples d’utilisation, sécurisés et respectueux de la vie privée. L’utilisation de nouvelles technologies de l’information et de la communication implique obligatoirement de traiter des données personnelles via les réseaux connectés. Dès lors, les utilisateurs ont pu prendre conscience des risques pour les données professionnelles, mais également au niveau privé. Une prise de conscience bienvenue dans une jungle de logiciels gratuits ou peu couteux disponibles sur le marché. La course aux technologies à distance ne doit pas se faire un détriment de la vie privée qui est aujourd’hui un principe de base dès la conception d’un logiciel (privacy-by-design).

Par exemple, Zoom s’est rapidement imposé comme l’outil de vidéo-conférence “standard” et de référence pour les séances à distance. A l’origine, ce logiciel n’était pas prêt ni n’avait prévu une utilisation massive sur le plan mondial. De plus, ses pratiques de sécurités et de la vie privée était fortement incompatible avec certains milieux professionnels et sensibles comme le secteur médical, scolaire, bancaire, juridique ou l’administration publique. De nombreuses voix et autorités de protection des données européennes se sont ainsi mobilisées pour mettre en garde les utilisateurs et entreprises contre les mauvaises pratiques et risques en matière de sécurité et de protection des données personnelles de Zoom.

Le préposé fédéral et certains préposés cantonaux ont émis des recommandations et créé des listes d’applications sécurisées, respectueuses de la vie privée ou celles à éviter.

A mon avis, le choix du type de solutions de vidéo-conférence dépend du type de données à protéger, même s’il existe à ce jour de nombreuses bonnes alternatives à Zoom, Skype, Teams et consorts, simples d’utilisation et gratuites. Par exemple, l’application Jitsi Meet est aujourd’hui incluse dans la Suite professionnelle de Google (G Suite) et intégrée comme un plugin pour la prise de rendez-vous qu’il est aisé de configuré pour les rendez-vous en ligne, même professionnels.

10. ET VOUS QUELS SONT VOS RECOMMANDATIONS 2021 POUR LES NOUVELLES TECHNOLOGIES, LA SANTE CONNECTEE ET LA VIE PRIVEE ? 

_______________________________

BONUS – RECOMMANDATIONS : QUELLES APPLICATIONS CHOISIR ?

Voici quelques liens utiles et pratiques et des recommandations pour l’utilisation de solutions de vidéo-conférences et d’applications (considérées comme sûres au moment de la publication de cet article) :

  • Suisse – Bonnes pratiques de sécurité: Recommandations du préposé fédéral à la protection des données (PFPDT)
  • Applications “privacy-friendly”: Liste d’applications mobiles respectueuses de la vie privée (Privacy Friendly) publiée par le préposé cantonal du canton de Zürich. Cette liste intègre des Apps permettant de surfer de manière anonyme, localiser son téléphone perdu, etc.

Helsana+ et rabais de primes : traitement illégal des données

Dans l’affaire des rabais de primes proposés par Helsana grâce à son App “Helsana+“, le Préposé a émis une recommandation le 27 avril 2018 (text d’origine en allemand) enjoignant l’assurance complémentaire de cesser tout traitement de données permettant aux assurés de base d’obtenir des rabais de primes en adoptant un style de vie sain et sportif. Le Préposé accorde un délai de 30 jours à la société d’assurance complémentaire pour cesser “tout traitement de données visant à calculer et à effectuer des remboursements sous forme pécuniaire pour les clients qui ne disposent que de l’assurance de base auprès d’Helsana“. Les recommandations du Préposé ont une portée limitée puisqu’elle n’ont pas d’effet contraignant. Toutefois, si la recommandation n’est pas suivie dans le délai imparti, l’affaire peut être portée devant le Tribunal administratif fédéral pour obtenir une décision judiciaire, définitive et exécutoire (art. 29 al. 3 et 4 LPD). Helsana a apparemment indiqué vouloir suivre la recommandation du Préposé et cesser le traiter de ces données.

__________________

De quoi parle-t-on exactement avec cette application mobile ?

Lorsqu’on se connecte à Helsana+, l’application demande à l’utilisateur s’il est aussi client de l’assurance de base. Par conséquent, il peut bénéficier jusqu’à CHF 75.- de rabais par année qu’il soit assuré à titre complémentaire ou non. Or selon le Préposé, il n’existe pas de base légale pour traiter ces données liées à l’assurance de base, et le traitement opéré par Helsana Assurances complémentaires SA est illicite. De plus, la loi fédérale sur l’assurance maladie (LAMal) interdit d’accorder des rabais aux assurés de base, ce qui serait contraire au principe d’une assurance sociale ayant pour but de rembourser les assurés sans discrimination, dans notre cas, sans distinguer les bons (personnes en bonne santé) des mauvais risques (personnes malades, avec antécédents ou avec des risques plus élevés que la moyenne, notamment par le style de vie).

Dans son communiqué, le Préposé a précisé ce qui suit:

en s’enregistrant sur l’application Helsana+, les assurés d’Helsana Assurances complémentaires SA donnent leur accord à ce qu’on vérifie qu’ils sont assurés auprès du groupe Helsana pour l’assurance de base. Faute de base légale, la récolte de ces données relatives à l’assurance de base par l’assurance complémentaire et leur traitement subséquent par l’assurance complémentaire sont illégaux du point de vue de la protection des données et le consentement recueilli par l’application n’a aucun effet juridique. Le PFPDT recommande donc à Helsana Assurances complémentaires SA de mettre un terme à ce traitement de données de l’assurance de base. 

Pas de rabais pour les assurés de base grâce à Helsana+. En fin d’année 2017, le Préposé avait mené une enquête suite à la mise sur le marché de l’application mobile d’Helsana qui pousse les assurés à opter pour une meilleur style de vie, sain et sportif. Le système de bonus ou de points “Plus” peuvent être récolté si l’utilisateur renseigne l’assurance d’une activité physique, de mesures de prévention, d’une fidélité ou de son adhésion à un centre de fitness. Ces activités encourageant une meilleure santé, et par conséquent de plus faibles risques de tomber malade, sont ensuite converties en points, que l’assuré peut encaisser en liquide ou auprès de partenaires d’Helsana, soit en avantage pécuniaire.

__________________

 Enjeux juridiques, économiques et sociaux

Les enjeux concernent:

  • d’une part l’interaction entre l’assurance de base et l’assurance complémentaire et la manière avec laquelle une assurance complémentaire peut traiter des données de l’assurance de base ; et
  • d’autre part, l’un des thèmes souvent décrié dans la presse concerne la “sélection des risques“, le fait de privilégier ou récompenser financièrement les personnes qui ont un train, mode et style de vie favorisant une meilleure santé des autres  personnes qui sont ont été, sont ou ont un plus grand risque de tomber malades.

L’assurance-maladie de base (LAMal) est une assurance sociale qui doit rembourser un catalogue de prestations listées par le Conseil fédéral (OPAS) sans distinction entre les individus, toute personne étant égale face à la maladie indépendamment de son mode de vie ou de ses revenus.

L’article 84a LAMal traite du transfert de données dans le cadre de l’assurance-maladie, mais ne prévoit pas la communication de données de l’assurance de base à l’assurance complémentaire, cela même si ces données traitées au sein du même groupe. En l’absence de base légale permettant ce transfert, le consentement recueilli par les utilisateurs pour le traitement de leur données n’est pas valable et le traitement devient par conséquent illicite.

—

Par Gabriel Avigdor | NTIC.ch

Drone

Réglementation des drones et cas pratiques !

INTRODUCTION

Un drone, ça sert à quoi ?

Nous entendons beaucoup parler des drones, ces minis hélicoptères téléguidés que l’on voit dans les magasins ou dans des vidéos de sport. Ils peuvent être utilisés à des fins civiles (privées, commerciale, humanitaire, etc.) ou militaires. On ne se rend pas encore compte qu’ils vont occuper de plus en plus de place dans notre bas ciel et qu’ils remplaceront bon nombre d’outils existants. Ils peuvent par exemple être utilisés pour :

  • Service de livraison de nourriture (à quand la première pizza livrée par un drone?) ou de colis commerciaux et privés: Amazon a annoncé que son programme Prime Air de livraison à l’aide de drones automatisés permet la livraison de colis en moins de 30 min. L’entreprise Qoqa lui a emboité le pas en mettant en place une phase de test du premier système de livraison par drones en Suisse : FlypaQ;
  • Cartographie et modélisation, comme le fait la société suisse Pix4D avec son logiciel de cartographie pour drones civils permettant de modéliser des bâtiments ou un terrain en 3D à partir d’images 2D assemblées;
  • Loisirs, vidéos personnelles, manifestations sportives et cinéma. Les drones autonomes sportifs sont très à la mode comme le montre la start-up française Hexo+. A Hollywood, la FAA a autorisé le vol de drones à des fins de tournage. Les caméramen sont remplacés dans les scènes de courses poursuite par des drones, ce qui offre des possibilités d’angles inédits. Skyfall, le loup de Wall Street ou Harry Potter et la chambre des secret ont par exemple utilisé des drones pour filmer des scènes en plein air.
  • Observation, surveillance privée ou publique, comme la localisation d’une personne en fuite ou la surveillance des manifestations par la police comme l’Euro2016;
  • Des fins humanitaires ou de secourismes surtout dans des zones très peu accessibles par les transports classiques ou pour délivrer de la nourriture, des médicaments, apporter un soutien logistique en cas de catastrophe naturelle, etc.;
  • Utilisation par l’armée, à des fins offensives, défensives, de repérage, d’espionnage, ou de surveillance de zones civiles…

Les idées ne manquent pas, comme en témoigne ce dossier très complet sur l’immense potentiel des drones. D’un point de vue économique, il existe un grand marché pour l’industrie, notamment celui de la fabrication et de la réparation, mais également du développement de logiciels proposant des interfaces et applications mobiles spécialisées et du transport.

Inconvénients et risques. Si l’on pense au potentiel, il faut également songer aux désavantages et aux risques. On peut mentionner le fait qu’une livraison à domicile est certes possible lorsque l’on dispose d’une maison avec un jardin et un joli seuil tout propre, comme le montre la très sympathique et naïve vidéo de présentation des drones d’Amazon. Mais qu’advient-il des citoyens lambda résidant en pleine ville ? Y aura-t-il la création de points de chute ou d’atterrissage en ville pour pallier cette contrainte et éviter les vols de colis ?  Les drones embarquent de plus en plus de caméra haute définition. Dans le cadre de la surveillance vidéo, les drones vont poser des problèmes pour le respect de la vie privée. Le Préposé fédéral à la Protection des Données et à la Transparence (PFPDT) a publié un billet sur son site en relation avec cette problématique. De plus, les risques d’accidents sont bels et bien réels comme le démontre la récente collision d’un drone avec un avion de ligne de British Airways avant d’atterrir à London Heathrow le 18 avril 2016. Les drones sont des engins volants télécommandés ou automatisés avec un certain poids et qui peuvent bien évidemment entrer en collision avec un autre objet ou animal volant ou s’écraser sur le sol. Les questions de responsabilités vont se poser et il sera prudent que le montant de couverture de l’assurance soit suffisamment élevé. D’un point de vue de la pollution sonore, on imagine bien qu’un ciel bondé de drones serait néfaste à l’environnement ainsi qu’aux habitants. En fonction de l’évolution, il faudra encore s’attendre à ce que les organisations de défense des animaux se mobilisent. Bien pire, on pourra penser au détournement ou au piratage d’un drone, mais également au terrorisme … Peut-être y a-t-il là une menace à ne pas sous-estimer.

L’avenir nous le dira.

____________________________

PARTIE I

CAS PRATIQUES SUR LES DRONES AUX USA

Les réalisateurs de séries télévisées sont très créatifs pour élaborer des scénarios originaux en lien avec les nouvelles technologies, surtout lorsque la réglementation n’est pas encore claire. Dans l’un des derniers épisodes de The Good Wife (S07e18), l’excellente série de Ridley Scott, il est question d’un litige entre privés un peu particulier puisqu’il s’agit d’un drone de surveillance qui vole au-dessus des quartiers résidentiels dans le but de prévenir et repérer les actes criminels. Le litige se déroule en trois actes, tels des casus juridiques universitaires ou d’examens du brevet d’avocat.

ACTE 1. Un organisme propriétaire d’un drone fait voler un prototype au-dessus des maisons d’un quartier dans un but de surveillance de potentiels actes de vandalismes ou criminels. L’engin décolle de manière aléatoire et survole plusieurs fois par jour les quartiers, filme le domaine public, mais également le domaine privé, soit les jardins et les maisons. Il s’avère qu’un habitant du quartier est thérapeute et qu’il exerce à domicile. Ses patients sont dès lors visibles par les airs sur les images de surveillance du drone. Il intente action devant le tribunal compétent pour violation de la sphère privée parce qu’on aperçoit des personnes qui n’ont pas consenti à être filmées par le drone. Il estime que le drone est responsable d’une diminution de sa clientèle qu’il chiffre à USD 300’000.- et réclame des dommages-intérêts au propriétaire du drone et demande l’interdiction de le faire voler.

Argumentation: Le voisin thérapeute invoque une intrusion dans sa sphère privée, selon le principe de droit anglo-saxon “intrusion upon seclusion“, mais perd son procès. Sous l’angle du 1er Amendment de la Constitution américaine, le droit du propriétaire du drone de prévenir les actes de vandalismes dans le quartier par une surveillance aérienne l’emporte sur le droit au respect de la vie privée et le drone peut voler !

____________________________

DON’T FLY OVER MY PROPERTY OR I WILL SHOOT YOUR DRONE !

ACTE  2. Puisqu’il est autorisé à voler, le drone continue à survoler le quartier. La caméra du drone filme le voisin thérapeute qui lui tire dessus avec son fusil au moment où celui-ci passe au-dessus de sa propriété et le détruit en plein vol. Cette fois, c’est le propriétaire du drone qui intente une action contre le thérapeute pour se faire rembourser la valeur du prototype, dont le montant s’élève à USD 80,000 (compensatory damages). Il requiert aussi le paiement de USD 10,000 à titre de dommages-intérêts punitifs et qu’interdiction soit faite au voisin de ne plus tirer sur un drone qui volerait dans le quartier.

Argumentation: Le voisin allègue qu’il s’est senti menacé par le drone pensant qu’il pouvait l’attaquer et qu’il l’a descendu pour repousser cette menace potentielle. Ses avocates plaident ainsi la “Castle doctrine” instaurée en 1628, qui est une sorte de cas de légitime défense anglo-saxonne spécifique à la propriété, selon laquelle une attaque imminente peut-être repoussée lorsqu’il existe une menace d’intrusion dans sa propriété. Le juge considère qu’il ne s’agit pas d’une crainte fondée et requiert des avocates qu’elles le prouvent. Un expert en drones est convoqué au tribunal et présente des vidéos de drones civils et militaires attestant qu’il est quasiment impossible de reconnaître un drone de combat d’un drone civil, que certains drones filment en infrarouge ou par détection de chaleur et que d’autres disposent de technologies connectées permettant de s’introduire dans l’ordinateur d’un foyer à distance et de lui voler ses données. L’expert conclut qu’un drone peut donc s’introduire dans une maison et violer la sphère privée d’un individu sans y entrer physiquement et lui dérober ses données en piratant son ordinateur.

Malgré les efforts d’argumentation, c’est le propriétaire du drone qui gagne cette manche. La vidéo filmée par le drone montre qu’au moment où le voisin a tiré, le drone n’était pas en mode stationnaire, mais en mouvement et se dirigeait en dehors de sa propriété et qu’il opérait dès lors une “retraite”. Dans ces conditions, la castle doctrine ne peut pas s’appliquer puisque ce principe permet de repousser une menace imminente, mais interdit de tirer dans le dos de l’assaillant…

____________________________

THE SKY IS ALSO MY PROPERTY, RIGHT?

ACTE 3. Dans l’acte final, il est question de savoir si la législation fédérale sur les engins volants sans pilotes (unmanned aircraft systems) s’applique aux drones ou non, en particulier en fonction de la hauteur du sol, et si les drones doivent être enregistrés dans la base de données de la FAA (Federal Aviation Administration). Dans le scénario, le drone en question a été abattu à une hauteur de 200 pieds (60m) et il s’agit de savoir si le voisin a tiré sur un objet étant dans l’espace aérien réglementé par la législation fédérale de la FAA ou si ce sont les règles sur la propriété privée qui s’appliquent.

Argumentation: Un employé du service juridique de la FAA (unforcement and compliance division) est convoqué au Tribunal pour renseigner les parties s’il est légal ou non de tirer dans l’espace en question. Le juriste précise qu’il existe une zone intitulée “Classe G” – située entre 0 et 500 pieds (150m) d’altitude – qui échappe à la juridiction de la FAA. Selon l’avocate du voisin thérapeute, il serait ainsi illégal de rendre inutilisable un drone au-dessus de 500m, mais parfaitement légal en dessous. L’avocate du propriétaire du drone rétorque et invoque l’affaire US vs Causby. Dans cette affaire, un avion militaire passait fréquemment au-dessus de la ferme de M. Causby à une hauteur de 83 pieds (25m) causant l’effrayement des poules qui sautaient du mur et se tuaient. Cette affaire consacre le principe de droit romain “des étoiles aux enfers” (Usque ad sideras et usque ad inferos) et de droit anglo-saxon (from the depths to the heavens) de la propriété foncière verticale et qui, dans l’affaire Causby, pose la limite en dessous de laquelle un avion entre illégalement dans la propriété d’un privé et qui peut s’y opposer. Selon l’avocate du propriétaire du drone, l’affaire Causby s’applique et la hauteur de 200 pieds (60m), qui est au-dessus de 83 pieds, n’est plus dans la propriété du voisin, lequel n’est par conséquent pas en droit de tirer sur l’engin volant.

Interpellé, le juriste de la FAA considère qu’entre 83 pieds et 500 pieds la législation n’a pas précisé ne dit rien. Il indique que la FAA ne statuera pas tant que le secteur privé n’aura pas émis ses premières recommandations et le juge doit dès lors trancher le litige. Au final, le juge considère que la loi n’est pas du tout adaptée aux nouvelles technologies et qu’il est obligé de rendre une décision. Par dépit, il donne raison au propriétaire de drone en confirmant le principe de la limite de 83 pieds au-dessus de laquelle le drone n’est plus dans la propriété du thérapeute, lequel a violé la loi.

Cet épisode amusant démontre, à tout le moins aux États-Unis, que l’on peut jouer avec la loi et imaginer des scénarios liés aux nouvelles technologies et invoquer des jurisprudences sur les avions qui effraient des poulets pour une application analogique aux drones. De plus, en l’absence de réponse législative ou jurisprudentielle dans un domaine comme celui-ci, les réponses à des questions concrètes peuvent être parfois bien inadaptées.

Il ne s’agit que d’un résumé de l’épisode d’une série télévisée qui sert de base à la réflexion et non d’une recherche de droit comparé pour étudier la véracité ou la plausibilité de ces cas de figure selon le droit américain. Pour aller plus loin en droit américain, ce blog juridique plutôt complet est dédié à la législation applicable aux drones aux États-Unis.

____________________________

PARTIE II

LA REGLEMENTATION DES DRONES EN SUISSE

Qu’en est-il en Suisse ? Quelle est la législation s’appliquant aux drones et comment se serait déroulé ce procès fictif s’il avait eu lieu en Suisse?

En Suisse, les règles sur l’aviation sont émises par l’Office fédéral de l’aviation civile (OFAC). La loi fédérale sur l’aviation (LA) et l’Ordonnance du Département fédéral de l’environnement, des transports, de l’énergie et de la communication (DETEC) sur les aéronefs de catégories spéciales (OACS) régissent ce domaine. Les “règles de l’air” sont complétées par des normes européennes sur la hauteur minimale de vol. Vu les récents développements du marché des drones civils, l’OFAC a modifié son ordonnance, dont on peut retrouver un résumé sur cette notice.

Juridiquement, les drones civils de moins de 30 kilos sont qualifiés de modèles réduits d’aéronefs (art. 14b OACS). Ces aéronefs sans occupant ne sont soumis à aucune autorisation tant qu’un contact visuel permanent est maintenu avec le drone (art. 17 OACS, art. 12 OSAv a contrario). Lorsque le drone compris entre 0,5 et 30 kg sort du champ visuel du “pilote” et que l’on accroit sa portée, il faut une autorisation de l’OFAC. Il n’est pas non plus permis de faire circuler un tel engin à moins de 100m d’un rassemblement de personnes, ni dans les zones de contrôle (CTR) s’ils dépassent une hauteur de 150 m au-dessus du sol. Il est également interdit de s’approcher à moins de 5 km d’un aérodrome (art. 17 al. 2 let. a, b et c OACS). Certaines règles de l’air” de l’ORA (Ordonnance sur les règles de l’air) sont aussi applicables. A cela s’ajoutent que les cantons peuvent édicter des règles complémentaires, le cas échéant plus restrictives, sur les modèles réduits d’aéronefs (art. 19 OACS), pour réduire les nuisances ainsi que le danger auquel les personnes et les biens sont exposés au sol. Le Conseil d’Etat du canton de Vaud a par exemple rendu un arrêté concernant la commune de Lausanne en interdisant géographiquement et de manière limitée tout vol entre le 14 et le 31 mars 2015 et ce en raison d’une rencontre diplomatique (edit.: 04/10/2017).

Pour aller plus loin, voir le site de AirShoot suisse, qui donne également des détails pour l’utilisation d’un mini-drone dans le cadre de manifestations et qui traite de l’actualité des drones.

____________________________

CAS PRATIQUES AMERICAINS EN DROIT SUISSE

Il est intéressant de se demander, d’un point de vue théorique, comment l’affaire fictive de Ridley Scott aurait pu aboutir en Suisse. Certes, les procès aux Etats-Unis n’ont rien à voir avec ceux de notre continent et le droit obéit à des principes et des règles fondamentalement différentes, puisque nous comparons le « common law » (influence du droit anglo-saxon) et le « civil law » (influence du droit romain).

ACTE 1 – Surveillance privée sur le domaine privé et public. Le premier acte pose deux questions différentes, soit l’étendue du droit d’un privé ou d’une société d’utiliser un drone à des fins de surveillance, puis l’étendue de la responsabilité du propriétaire d’un drone pour la baisse de clientèle d’un habitant du quartier.

Argumentation : La vidéosurveillance par un drone fait appel, certes à la législation sur l’aviation civile, mais surtout aux règles de la protection du droit à l’image (art. 28 cc et LPD). Etant donné que le drone sillonne les airs de manière autonome et sans contact visuel direct avec l’appareil par le pilote, il faudra obtenir une autorisation de l’OFAC. Il est très vraisemblable que pour des raisons du droit à l’image, de sécurité, de proportionnalité, voire de nuisances sonores, une autorisation ne soit pas délivrée pour un vol autonome fréquent et aléatoire dans des quartiers résidentiels. Un drone de surveillance enregistre des données vidéo tant sur le domaine privé que le domaine public. Or la vidéosurveillance sur le domaine public par des privés est en principe jugée disproportionnée et interdite, sauf si la surface filmée de l’espace public est très faible. Dans la mesure où le drone doit enregistrer des images d’un nombre indéterminé de personnes qui ne peuvent pas éviter de se faire filmer et dont le respect du droit à l’image doit être protégé, une telle surveillance sera probablement illicite. C’est donc la police qui est compétente pour la surveillance du domaine public pour la prévention des infractions. Si un privé veut effectuer lui-même une surveillance sur le domaine public, il devra passer une convention avec la collectivité publique pour mettre en place un système de ce genre.

____________________________

LE CONSENTEMENT : NOEUD DU PROBLEME

S’agissant de la vidéosurveillance par des drones dans le domaine privé, le PFPDT a établi un memento sur la question. En résumé, si aucune personne n’est pas identifiable, soit par un floutage des visages ou des plaques d’immatriculation, soit par un angle particulier de prise de vue ou d’autres moyens techniques, la LPD ne s’appliquera pas. Se poseront d’autres questions telles que le droit du voisinage (si le propriétaire du drone est un voisin), comme les règles sur les immissions excessives pour le bruit occasionné par le drone (art. 684 al. 2 CC). Le but étant de reconnaître l’auteur d’une infraction, le surveillant ne voudra sûrement pas flouter les images et les stockera temporairement. Il faudra que chaque personne filmée, propriétaires, locataires et toute personne entrant dans le champ de vision du drone, soient informés (art. 4 al. 5 LPD) et consentent (art. 13 LPD), notamment par l’apposition d’un panneau d’avertissement contenant les coordonnées du propriétaire du drone (information) et sans s’y opposer (consentement). Un récent arrêt du TF arrêt 4A_576/2015 du 29 mars 2016 (commenté ici par Sylvain Métille) démontre que même à l’intérieur d’un bâtiment un seul locataire peut s’opposer et faire retirer les caméras de surveillance de tout l’immeuble. Dans notre cas, il y aura surement d’autres moyens moins invasifs pour surveiller ou prévenir des infractions, comme des systèmes d’alarmes privées ou des caméras ne filmant pas chez le voisin. On pourrait probablement raisonner différemment pour la surveillance d’un site de construction, archéologique ou celui d’une entreprise, dont la sécurité est primordiale et qui ne peut pas être assurée par d’autres moyens.

Outre les questions de droit de voisinage, la responsabilité du propriétaire du drone pour le préjudice causé au thérapeute est intéressante. Il s’agit d’un cas de responsabilité civile pour un préjudice économique consistant en la baisse d’un chiffre d’affaire. Un tel procès ne sera pas aisé pour le thérapeute. En effet, pour gagner son procès, le thérapeute devra démontrer, selon les règles des articles 41 CO ss, qu’il a subi un préjudice (consistant en la diminution de son chiffre d’affaires), qui se trouve en lien de causalité avec le vol du drone au-dessus des maisons. Il devra en outre démontrer que le propriétaire du drone a commis un acte illicite ( par exemple le non-respect de la LPD) et qu’il a commis une faute (intentionnelle ou par négligence). Si toutes ces conditions sont réunies et notamment s’il arrive à chiffrer le montant de son dommage, il pourrait gagner le procès et se voir allouer des dommages-intérêts correspondant au montant de sa clientèle perdue…

____________________________

PASSE-MOI MON FASS, QUE JE DEGOMME CE SATANE DRONE

ACTE 2 – Tirer sur un drone qui passe au-dessus de sa propriété. Le cas des armes est moins intéressant, puisque la législation est passablement différente entre les Etats-Unis et la Suisse. En effet, loin du 2e Amendement de la Constitution américaine qui prévoit le droit inconditionnel pour chaque citoyen américain de posséder une arme, la Suisse interdit toute acquisition, possession et utilisation d’armes à feu automatiques (art. 5 al. 1 à 3 LArm). Le fait qu’un permis soit nécessaire pour en posséder une (art. 8 LArm) n’en autorise pas pour autant le titulaire de s’en servir librement. Si le cas devait se présenter, le thérapeute sera très vraisemblablement dénoncé par un voisin aux autorités pénales pour avoir commis une infraction à la loi sur les armes, ou pour mise en danger de la vie d’autrui si le drone tombe et s’écrase sur un voisin ou un passant. La question serait relativement similaire si le voisin rendait inutilisable le drone sans arme (avec un autre objet) et qu’il s’écrase dans un périmètre à risque. Tout dépendra de la taille du drone et du lieu où celui-ci aura été abattu et si un incident survient. Si personne n’est blessé et que le drone est détruit, se posera alors la question de savoir si le drone pouvait passer au-dessus de la propriété du thérapeute pour qu’un remboursement soit envisageable ou non…

____________________________

JE DIS, UN DRONE AU DESSUS DE MON GAZON IL Y A !

ACTE 3 – Des enfers aux étoiles. Le principe de droit romain permettant au propriétaire d’un fonds de repousser toute menace ou perturbation à la propriété des enfers aux étoiles, c’est-à-dire indépendamment de la hauteur ou de la profondeur ne s’applique plus de nos jours. La jurisprudence relative à l’article 667 al. 1 CC indique de manière générale que le propriétaire peut dominer l’espace visé et exercer les possibilités d’utilisation qui découlent de la propriété et empêcher que des agissements de tiers, dans cet espace, portent atteinte à l’utilisation du fonds. C’est l’intérêt que présente l’exercice du droit de propriété qui définit dans chaque cas la limite de hauteur. Pour le Tribunal fédéral (TF), le droit de propriété va en tout cas jusqu’à la hauteur de la zone aérienne où passe un téléphérique à faible altitude (10 à 40m) sur un immeuble bâti. De plus, il est contraire au droit de survoler un fonds à faible altitude dans les environs d’un aérodrome privé sans l’accord du propriétaire qui peut s’opposer à des bas vols au-dessus de son terrain. Selon la jurisprudence du TF, Le propriétaire peut, pour se protéger contre des dommages contre son fonds, se défendre contre les activités de tiers qui sont préjudiciables, par exemple les nuisances des avions à une altitude de 108m, mais pas à 600m…

Argumentation : Vu la jurisprudence précitée, il existe une certitude jusqu’à 40m, une probabilité jusqu’à 108m et une grande incertitude sur une hauteur comprise entre 108m et 600m. Dans notre cas, le drone survole la propriété du thérapeute à une hauteur de 60m (200 pieds). Il serait probablement toujours dans sa propriété et, pour autant que l’activité lui soit préjudiciable et qu’il ait un intérêt, pourrait exercer ses droits relatifs à la propriété contre l’utilisateur du drone.

____________________________

JE VAIS DEPOSER PLAINTE PENALE MOI ! MAIS POUR QUEL MOTIF  AU FOND ?

D’un point de vue pénal, on peut penser à déposer une plainte pénale pour violation de domicile. Mais cette infraction pénale (art. 186 CP) sera probablement difficile d’application. En effet, elle concerne certes les jardins et endroits en plein air, mais ils doivent être fermés par une clôture. Or difficile de clôturer le ciel. De plus, on vise à empêcher qu’une personne physique y entre sans droit. La question de savoir si un engin volant peut induire une responsabilité pénale de son propriétaire qui se rendrait coupable – par extension – d’une violation de domicile est douteuse, mais elle se plaide ! D’autre part, l’infraction de mise en danger de la vie d’autrui paraîtrait également difficile à appliquer. En effet, pour que l’infraction soit constituée, l’auteur doit agir sans scrupules et créer un danger de mort imminent de la vie d’autrui (art. 129 CP). Tel serait par exemple le cas si le survol est tellement bas et rapide qu’il mettrait en danger de mort les résidents. Le cas de légitime défense dans le cadre d’une violation de domicile est tout à fait possible sous l’angle de l’article 15 CP, qui rend licite le fait de repousser une menace imminente, par exemple contre son domicile ou lorsque l’acte menace le droit de rester là où on se trouve (violation de la liberté personnelle). Dans ce cas, le drone pourrait être détruit pour se protéger. Enfin, le thérapeute pourrait encore tenter de déposer plainte pénale pour violation de la loi sur la protection des données (art. 34 et 35 LPD) s’il est filmé sans droit…

CONCLUSION

Si tirer un drone est interdit dans votre pays, alors peut-être faut-il songer à cela:

Safe harbour - Ntic

Invalidation du Safe Harbor (Schrems c/ Facebook): Recommandations pour la Suisse

I.  Introduction

Dans une décision datée du 6 octobre 2015, (Décision C-362/14 – Affaire Max Schrems c/ Facebook ou “Schrems I”) la Cour de Justice de l’Union Européenne (CJUE) a invalidé la décision 2000/520/CE qui considérait le “Safe Harbor” comme une base suffisante pour le transfert de données personnelles aux États-Unis. Depuis cette décision, les 4’500 entreprises qui ont transféré des données personnelles vers les USA sur la base du Safe Harbor doivent vérifier que leur politique de protection des données est conforme au droit européen.

Comment en est-on arrivé là, quelles sont les répercutions pour les entreprises et pour les données des individus ? Un début de réponse dans les recommandations du Groupe de l’Article 29 et dans celles du Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT).

II.  Résumé de l’affaire

Maximilian Schrems, un utilisateur de Facebook en Autriche, considère que Facebook ne respecte pas les principes de la protection des données lorsqu’elles sont transférées par Facebook aux Etat-Unis. En effet, ces données peuvent être accessibles par les autorités américaines sans que la personne concernée ne puisse s’y opposer. Comme beaucoup d’entreprises actives dans le domaine de l’informatique, le siège européen de Facebook est situé en Irlande qui sert de pont avec les USA; dans notre cas pour le rapatriement des données personnelles.

Cet utilisateur de Facebook dépose donc une plainte auprès de la Commissaire irlandaise à la protection des données pour interdire à Facebook le transfert de ses données aux USA. La Commissaire refuse d’entrer en matière puisque, selon elle, il découle de la décision 2000/520/CE instituant le Safe Harbor que les Etats-Unis disposent d’une niveau de protection adéquat pour garantir le respect des principes de la protection des données des individus européens.

Après cet échec, Max Schrems porte l’affaire devant la High Court of Justice of Ireland, qui renvoie l’affaire à la CJUE pour lui poser une question à titre préjudiciel. La Cour irlandaise demande alors si les autorités nationales disposent de la compétence de se saisir d’une plainte d’un individu alors que la décision 2000/520/CE garantit déjà, au niveau européen, que les Etats-Unis sont considérés comme un pays sûr concernant la protection des données.

La CJUE répond de manière claire et sans appel que le Safe Harbor ne permet plus, au vu des méthodes de surveillance massives américaines, de garantir aux citoyens européens une protection adéquate de leurs données lorsqu’elles sont transférées aux Etats-Unis. Elle donne donc raison à M. Schrems et juge que la décision 2000/520/CE est invalidée.

Il appartiendra dès lors à la Commissaire irlandaise à la protection des données d’examiner, dans le cas concret, si les mesures de sécurité mises en place par Facebook sont suffisantes pour garantir un niveau de protection adéquat des données des utilisateurs.

III.  Conséquences en Europe

Suites de l’affaire Snowden

Cette décision de la CJUE est une conséquence directe des révélations de l’Affaire Snowden sur les programmes de surveillance PRISM/US-984XN et  XKeyscore. Sans ces révélations, il est probable que la CJUE ne soit jamais parvenue à décréter que cet accord cadre n’était plus suffisant. Les quelques 4’500 entreprises qui se sont basées sur le Safe Harbor pour transférer leurs données aux USA sont placées dans un flou juridique.

Depuis le 6 octobre 2015, tout transfert de données aux Etats-Unis par des entreprises ayant basé ce transfert sur le Safe Harbor est illégal. Actuellement, les entreprises peuvent poursuivre le transfert des données aux Etats-Unis si :

  • des conventions intra-groupe intégrant des “clauses contractuelles types” reconnues par l’Union européenne sont mises en places
  • en ‘intégrant de “Binding Corporate Rules” (BCR), dont les lignes directrices peuvent être consultées ici
  • lorsque les conditions pour déroger aux conditions légales sont réunies (consentement préalable explicite de l’utilisateur, transfert des données en respect d’une obligation contractuelle, etc.).
  • Il existe également des modèles de conventions pour le transfert de données garantissant le respect des principes légaux (“Transborder Data Flow Agreement”).

Réactions au niveau européen

Après l’arrêt Schrems c. Facebook, les autorités européennes de protection des données n’ont pas tardé à réagir. Dans un communiqué du 16 octobre 2015, le Groupe de travail de l’Article 29 (le G29 est institué par l’article 29 de la directive européenne sur la protection des données personnelles – Directive 95/46/CE) a émis des recommandations dans lesquelles il impartit un délai de 3 mois aux institutions européennes et aux gouvernements pour renégocier un Safe Harbor compatible avec les principes européens de la protection des données. Les autorités nationales, dont notamment la CNIL, sont prêtes à se coordonner pour entreprendre des actions répressives concertées (par exemple exiger la suspension de tout transfert de données aux Etats-Unis) si un accord n’est pas trouvé d’ici au 31 janvier 2016 !

IV.  Recommandations du Préposé en Suisse

Recommandations aux entreprises

Comme on peut le lire dans sa dernière communication datée du 22 octobre 2015, le Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT) se calque sur la décision européenne et considère que l’équivalent suisse du Safe Harbor européen (le US-Swiss Safe Harbor Framework) n’est plus une base légale suffisante tant que la Suisse n’aura pas renégocié un accord suffisant avec les Etats-Unis.

A la différence de l’Europe, la Suisse n’a pas dénoncé le Safe Harbor alors que la situation est connue depuis longtemps, aucune décision judiciaire n’a été rendue et l’analyse du PFPDT n’est parue que via son site web, relève Me Sylvain Métille sur son blog. Selon le Préposé Fédéral suppléant à la protection des données, M. Jean-Philippe Walter, “La Suisse est liée par la décision d’adéquation et ne peut faire cavalier seul au risque que l’UE revoie sa décision“. De plus, il revient au Conseil Fédéral de dénoncer, cas échéant, le Safe Harbor et non au Préposé. Tout en rappelant qu’il ne s’agit que de  recommandations, le Préposé suppléant précise que cette prise de position s’adresse aux entreprises qui devraient suivre les recommandations du Préposé, soit :

  • Informer de manière claire et aussi exhaustive que possible les personnes dont les données sont transmises aux États-Unis des accès possibles des autorités, afin de leur permettre d’exercer leurs droits. Le contrat d’échange de données personnelles devrait prévoir un engagement des parties contractantes dans ce sens
  • Prévoir un engagement des Parties à mettre à la disposition des personnes concernées les outils nécessaires à une protection juridique efficace conformément à l’article 6, al. 2, let. a, LPD, à exécuter réellement les procédures correspondantes et à accepter les décisions qui en résultent.

Qu’en est-il des individus ?

En Europe, tout dépendra des résultats de l’enquête menée par la Commissaire irlandaise. Si elle constate que Facebook ne garantit pas une sécurité suffisante aux utilisateurs pour le transfert de leurs données aux USA, tout détenteur européen d’un compte pourrait requérir de Facebook l’interdiction du transfert de ses données. Une situation bien improbable. En effet, dans une telle hypothèse Facebook s’empressera de modifier ses conditions générales, informera les utilisateurs d’une potentielle atteinte à leurs droits par les autorités américaines et recueillera, le cas échéant, leur consentement pour continuer à utiliser la plateforme sociale.

En Suisse, tout individu qui se considère qu’une entreprise viole les règles de la protection des données à son égard peut s’adresser aux tribunaux civils pour faire constater, cesser ou interdire toute atteinte. Les mesures repressives qui existent en Europe n’ont pas d’équivalent en Suisse et le PFPDT ne peut qu’émettre des recommandations, sans possibilité d’agir directement. Il ne peut qu’inciter les entreprises à respecter les principes de la LPD ou les utilisateurs à agir par la voie civile.

VI.  Conclusion

Même si les entreprises suivent les recommandations émises en Europe ou en Suisse, le droit américain, notamment le FISA Act, ne sera pas pour autant modifié et on connait les difficultés concrètes permettant de changer la législation américaine tant du point de vue politique que juridique. Seuls les gouvernements pourraient avoir de l’influence dans le cadre de la mise en place du Safe Harbor 2.0 dont nous devrions avoir des nouvelles d’ici au 31 janvier 2016. Il appartiendra aux entreprises américaines de faire l’effort ou non d’améliorer les conditions de sécurité des données dans leur convention intra-groupe ou, pourquoi pas, de créer leur data center en Europe, tant on sait que le Big Data est devenu aujourd’hui le pétrole du XXIe siècle.

Il s’agit tout de même d’une victoire de principe pour les défenseurs de la vie privée sur Internet, notamment par le biais de la protection des données personnelles. Aujourd’hui, les Etats-Unis ne sont plus considérés, par l’Europe, comme un pays sûr en matière de protection des données, ce qui concrétise les révélations d’Edward Snowden du 9 juin 2013.

L’arrêt Schrems c. Facebook consacre le principe de la compétence des autorités de protection des données pour examiner une plainte d’un individu qui prétend qu’une entreprise viole la loi sur la protection des données (Voir § 47 à  57 de la décision C-362/14). Cet arrêt continuera à s’appliquer même avec un Safe Harbor 2.0 considérant à nouveau les Etats-Unis comme un pays sûr. Dans chaque cas, les citoyens européens pourront demander aux autorités de vérifier si l’entreprise respecte les principes de protections des données ou non.

Un petit pas pour l’individu et la protection des données personnelles en Europe, un tout petit pas pour la Suisse, dont les autorités de protections des données ne disposent d’aucun moyen répressif, et qui suit son homologue européen.

Google Glass

Google glass : mise au point et enjeux juridiques

I.    Un gadget aussi attendu que controversé

1.1  Introduction

Les “Google glass” (ci-après : “GG”) sont très attendues des amateurs de nouvelles trouvailles technologiques. Pour reprendre les termes utilisés dans une lettre interpelant Larry Page, CEO de Google, au sujet des risques de ces lunettes sur la vie privée :

« Google Glass includes an embedded camera, microphone and GPS, with access to the Internet ».

Ces lunettes n’en finissent plus de défrayer la chronique, faisant l’objet de spéculations diverses et variées sur leurs fonctionnalités, utilités, risques et dérives possibles. Les internautes, blogueurs ou journalistes se régalent à imaginer jusqu’où pourraient aller Google avec son nouveau gadget qui devrait être commercialisé pour 2014 aux Etat-Unis. En plus de certaines personnalités, quelques 8’000 internautes ont déjà eu la dispendieuse opportunité de les essayer pour la modique somme de $ 1’500.- dans plusieurs villes américaines. Essayer ces lunettes en primeur devait conduire ces chanceux utilisateurs à proposer à Google des suggestions d’utilisation. Au lieu de rémunérer les individus pour leurs idées, la firme de Mountain View n’hésite donc pas à faire du crowsourcing payant, concept cyber-économique plutôt intéressant, tout comme le système de rémunération par « publicité augmentée » (« ADmented Reality »).

Si le potentiel des GG en réjouit plus d’un, il en fait pâlir bien d’autres, pour des raisons évidentes liées au respect de la vie privée. Pour un ordinateur qui tient sur le bout du nez, ce gadget à réalité augmentée, au look sobre et futuriste, mérite que l’on y prête un peu l’œil.

1.2  Possibilités techniques

Malgré le flop de « Google Goggles », les Google glasses en sont un peu l’évolution, mais avec fonctionnalités et possibilités techniques bien plus étendues. Les vidéos disponibles sur le net présentent ce produit comme attractif, conceptuel, futuriste, performant. Selon la page d’accueil du produit, les GG seraient dotées d’une caméra, d’un microphone, d’un outil d’analyse de l’environnement (sonore et visuel). Le tout serait commandé soit vocalement, soit par des gestes appropriés (zoom avec les mains dans le champ de vision ou réglages sur le coin droit des branches) et une interaction essentiellement basé sur le concept de réalité augmentée.

1.3   Domaines d’application

Le potentiel de ces lunettes pourrait s’avérer énorme dans de nombreux domaines tant privés que professionnels, le tout étant de prévoir un outil suffisamment performant pour une interaction homme-machine afin de pallier aux faiblesses ou imprécisions humaines. Voici quelques utilisations déjà présentées dans les médias ou d’autres que l’on pourrait imaginer.

Utilisation privée ou professionnelle

L’utilisation privée serait sans doute la même que ce qu’il est possible de faire aujourd’hui avec un Smartphone, sauf qu’il serait léger, à commandes vocales, et avec l’avantage de garder les mains dans les poches.

Pour une utilisation professionnelle, tout est également imaginable, notamment pour des travaux qui nécessiteraient l’intervention humaine avec une grande précision (horlogerie, microtechnique, médecine, etc.) ou des informations complémentaires en temps réel. Des fonctions telles que le zoom, l’analyse en temps réel de données visualisées, la connexion à une ou plusieurs caméras bénéficiant d’un angle de vision complémentaire affiché sur l’un des verres, etc.

Domaine médical / e-Health

L’e-Health est l’un des grands domaines d’avenir pour la propriété intellectuelle, l’innovation et l’industrie, en particulier en Suisse. Une application prévue pour les GG dans le domaine de la chirurgie ou du secourisme pourrait être d’un grand avantage pour le corps médical et les soignants. Les GG intègreront une fonction Insight dont l’objectif est l’identification d’une personne par l’analyse de son visage, de ses caractéristiques vestimentaires, ses bijoux, voire de ses tatouages, etc.

Grâce à cette technologie, de telles lunettes pourraient servir, en cas d’accident, à identifier une victime de la route retrouvée inconsciente, sans papier d’identité. Elles permettraient au secouriste d’avoir un accès immédiat au dossier médical du patient afin d’obtenir les informations nécessaires à son secours (groupe sanguin, allergies/réactions à un antibiotique, etc.) et/ou à sa volonté (directives anticipées, etc.). Cela devra supposer que la victime/patient soit reconnaissable par les GG avec un degré de certitude très élevé. En effet, on n’ose imaginer le nombre de fautes médicales que pourrait engendrer les décisions de secouristes fondées sur des suggestions de cet appareil en cas de défaillance ou d’imprécisions. Ce genre d’application ne devra être envisagé qu’après de nombreux tests et autorisations dans le domaine de la santé publique, ce qui n’est pas encore pour demain.

D’autres personnes, tels les malvoyants, pourraient bénéficier de ces lunettes pour se déplacer (système de navigation GPS, reconnaissance des lieux en temps réel, obstacles, etc.).

Autres applications

Parmi les secteurs intéressés, on peut dénombrer celui du jeu vidéo (même si Google planche sur sa propre console), du sport (port des lunettes par les arbitres) ou de l’industrie du porno qui vient de faire la bande annonce d’un faux film X dans une parodie de l’utilisation de ces lunettes. Certains esprits inventifs vont même jusqu’à imaginer leur utilisation, sous forme parodique, pendant un entretien d’embauche afin d’analyser en direct le passé, les activités, le réseau, les goûts, et autres atouts du candidat au poste. Bien d’autres idées seront à venir, comme pendant une balade dans la nature, ou pour retrouver sa voiture parquée on ne sait plus où…

II.    La prohibition déjà initiée

2.1   Les craintes de leur entrée sur le marché

Malgré les nombreuses applications ludiques, d’utilité publique ou professionnelles, la perspective de l’entrée sur le marché de ces lunettes inquiète. Les craintes sont doubles. Il y a d’une part les craintes d’une intrusion dans la vie de l’utilisateur et d’autre part une intrusion dans la sphère privée des sujets passifs de ces lunettes.

Le risque pour les utilisateurs serait celui de faire l’objet de publicité ciblée basée sur l’interaction avec l’environnement, voire d’une surveillance directe ou indirecte « sous Google Glass ». Pour les sujets passifs, c’est l’intrusion dans leur vie privée au moyen de photographies, de films ou d’enregistrements audio, pris instantanément et envoyé sur les réseaux sociaux, sans le savoir, mais surtout sans le vouloir.

2.2   Quand la loi précède la technique

Les GG n’auront pas leur place là où les appareils photos, caméras, ordinateurs et autres Smartphones sont prohibés (banques, casinos, cinémas, spectacles, etc.), rien de bien surprenant. Une fois n’est pas coutume, et alors même que le produit de Google n’est encore qu’en phase beta, diverses institutions ou organismes étatiques, publics ou privés, ainsi que des personnes physiques ou morales tentent d’anticiper la sortie de ce gadget en vue de prévenir des situations potentiellement conflictuelles.

Dix organismes de protection des données (dont notamment Hanspeter Thür, l’actuel Préposé fédéral à la protection des données et à la transparence en suisse (PFPDT) et la Commission nationale de l’informatique et des libertés en France (CNIL)) ont déjà adressé une lettre à Larry Page face aux inquiétudes liées à la manière avec laquelle les données des utilisateurs seraient collectées et traitées. Cette lettre contient plusieurs questions pertinentes liées aux risques pour la vie privée des utilisateurs et des citoyens, notamment sur la manière avec laquelle toutes ces données seront collectées et traitées par Google.

Interdiction préventives

Aux Etats-Unis, elles seront déjà interdites à Las Vegas, en particulier dans la plupart des casinos de la ville, ainsi que dans le bar de Seattle « 5 Point bar », premier établissement à rendre illégal le port de ces lunettes avant même leur commercialisation.

Au Royaume Uni, alors que Google souhaite concurrencer les fabricants de GPS pour voiture, le porte-parole du ministère des Transports britannique a déclaré récemment que les GG seraient interdites au volant, car elles comportent un risque trop élevé de distraction, même si elles ont pour but de guider le conducteur lors de son itinéraire. L’Etat de Virginie aux USA travaille sur un projet de loi similaire en vue d’une interdiction au volant. En effet, cette initiative fait suite à un article publié sur le site CNET intitulé “la vérité sur la conduite sous influence des Google Glass“, qui a fait fortement réagir l’opinion publique et par conséquent le monde politique.

En France, de telles lunettes seront d’office prohibées au volant, puisque l’art. R412-6-2 du code la route prévoit que « Le fait de placer dans le champ de vision du conducteur d’un véhicule en circulation un appareil en fonctionnement doté d’un écran et ne constituant pas une aide à la conduite ou à la navigation est interdit ».

III.    Situation juridique en Suisse

3.1    Contexte privé ou public

Pour autant qu’elles soient commercialisées en Suisse, chacun pourra sans doute les porter sans que cela ne pose de problème dans un contexte privé, par exemple entre amis ou en famille. A partir du moment où une personne sera munie de GG, chacun pourra faire l’objet d’une « capture d’écran », sans forcément le savoir, ni le vouloir.

Dans un lieu public, (bar, transport public, parc, manifestation, etc.), plusieurs questions juridiques sensibles liées à leur utilisation devront se poser, en particulier quant au respect de la sphère privée.

3.2    Protection des données et respect de la sphère privée

Lieu de la collecte et du traitement des données

En premier lieu, et il s’agit de la question la plus sensible, qu’adviendra-t-il des informations traitées par ces lunettes ? Bien que le système des télécommunications soit national pour se connecter par 3G ou 4G à Internet, la plupart des informations devrait transiter de toute manière par les serveurs de Google pour y être stockées au moins momentanément, ce qui veut dire : aux Etats-Unis. Comme l’affaire PRISM en témoigne, il n’est pas certain que nos données locales ne soient pas scannées par la NSA. Elles pourront donc forcément l’être si elles se baladent aux Etats-Unis par le produit de Google. Le contrôle de toutes ses données ne reste donc possible que si elles sont stockées dans son pays, qu’elles sont cryptées et qu’elles ne transitent par aucun des géants du net basé aux Etats-Unis. Difficile donc d’imaginer le faire avant d’avoir pu tester ces lunettes.

Données personnelles et sphère privée

Dès qu’un enregistrement visuel ou audio sera effectué, cela pourrait poser problème. L’un des principes fondamentaux est le respect de volonté de celui qui fait l’objet d’une atteinte. Le consentement constitue un motif justificatif rendant licite une atteinte à la personnalité, notamment la récolte et la transmission de données personnelles. En l’absence de consentement, celui qui collecte des données personnelles à l’insu de la personne concernée agit en principe de manière illégale, car contraire à sa personnalité. Le propriétaire de GG qui serait, par hypothèse, assis dans un transport public et qui serait surpris à filmer, prendre des photos ou enregistrer des conversations sans le consentement des personnes concernées pour les mettre, le cas échéant, sur Youtube, Facebook, Instagram, etc., agirait de manière contraire à la Loi fédérale sur la protection des données personnelles (notamment art. 12 LPD) ou à la personnalité (art. 28 CC).

Le droit pénal réprime également l’enregistrement de conversations sans l’accord de la personne concernée, ce qui peut conduire à une condamnation pénale de l’utilisateur (fondé sur les art. 179bis à 179septies  CP) à une amende ou une peine privative de liberté.

La fonction Insight pourrait s’avérer également très intrusive dans la vie des gens, même si la reconnaissance ne devait se baser, par hypothèse, que sur la récolte d’informations rendues publiques par les utilisateurs eux-mêmes.

3.2  Propriété intellectuelle

Le deuxième domaine sensible concerne les droits de propriété intellectuelle, en particulier le droit des marques (copie d’un sigle, ou d’une marque sans droit) et le droit d’auteur (photos sous copyright, musique, films, livres, etc.). Si l’interdiction dans les cinémas ne fera aucun doute, leur interdiction dans les concerts, dans les théâtres ou les musées ne sera pas forcément évidente. Rappelons qu’en Suisse le droit à la copie privée rend licite la copie d’une œuvre pour une utilisation personnelle ou pour la rendre accessible à son entourage proche (famille ou amis). Une telle copie devient par contre illicite lorsqu’elle provient d’une source illégale ou si elle est rendue publique en dehors d’un cadre privé. Nul doute que Google mettra en place des systèmes de détection de copyright, comme il en existe déjà pour Youtube.

3.3  Circulation routière

Téléphone au volant

En Suisse, l’utilisation d’un téléphone portable au volant est interdite. Plus précisément, la loi fédérale sur la circulation routière (LCR) prévoit que « le conducteur devra rester constamment maître de son véhicule de façon à pouvoir se conformer aux devoirs de la prudence » (art. 31 al. 1 LCR). Ce même conducteur fera l’objet d’une amende de CHF 100.- pour avoir « [utilisé] un téléphone sans dispositif «mains libres» pendant la course »
(art. 3 al. 1 OAM).

L’ordonnance sur la circulation routière dispose que : « le conducteur vouera son attention à la route et à la circulation. Il évitera toute occupation qui rendrait plus difficile la conduite du véhicule. Il veillera en outre à ce que son attention ne soit distraite, notamment, ni par un appareil reproducteur de son ni par un quelconque système d’information ou de communication ». Dans un arrêt 6B_666/2009, le Tribunal fédéral a considéré que le fait de rédiger un SMS au volant était constitutif d’une violation grave des règles de la circulation routière (art. 90 ch. 2 LCR), comportement passible d’une peine pécuniaire ou d’une peine privative de liberté allant jusqu’à trois ans.

Google Glass au volant ?

La conduite d’un véhicule à moteur, voire d’une bicyclette, requiert une attention permanente et une acuité visuelle parfaite. Les GG impliquent plusieurs champs de vision différents avec possibilités d’informations en surimpression sur l’un des verres des lunettes.

Si l’on s’en tient aux dispositions légales et à la jurisprudence précitées, le port de GG par le conducteur du véhicule pourra être rendu illégal si son utilisation est considérée comme propre à rendre plus difficile la conduite du véhicule, ce qui est vraisemblable. Le porteur de GG au volant risquera néanmoins des sanctions tant administratives (retrait du permis) que pénales. Il sera dès lors bien plus prudent pour la sécurité routière et pour éviter toute responsabilité du conducteur de les faire porter par son passager plutôt qu’au volant ou au guidon !

3.4  Procédure pénale

Dans le cadre d’une enquête pénale, les règles de procédure pénale et certaines lois fédérales (notamment la LSCPT et son ordonnance) permettent de surveiller des individus soupçonnés d’avoir commis une infraction particulièrement grave. Serait-il possible, de se connecter directement aux Google Glass ou de demander à Google les données de communications permettant d’effectuer une surveillance rétroactive d’une personne soupçonnée d’avoir commis des infractions graves ?

Les autorités suisses sont capables d’effectuer une surveillance des communications effectuées par Skype, moyen de communication jusqu’alors relativement anonyme. A terme, il ne devrait pas en être différemment pour les GG, mais en pratique obtenir de telles informations dépendra de la manière avec laquelle Google, Facebook et les autres géants du net, seront disposés à collaborer avec les autorités pénales suisses pour leur fournir des données liées aux soupçons ou à la commission d’infractions pénales. Le fait que les serveurs de ces sociétés soient situés à l’étranger, en particulier aux Etats-Unis reste problématique lorsqu’il s’agit d’obtenir des informations rapidement. L’entraide pénale internationale est souvent un obstacle fatal lorsque des infractions sont commises grâce aux nouvelles technologies, en raison de la lenteur du processus d’entraide. La conservation des données est souvent trop courte, même si elle devrait être étendue à 12 mois (voir l’arrêt 1B_128/2013 du 8 mai 2013) si la révision législative de la LSCPT et de son ordonnance aboutit à un concensur au sein de l’Assemblée fédérale (à ce sujet, voir la présentation effectuée par Me Patrick Rohner, avocat à l’Office fédéral de la justice).

D’autres domaines du droit devront également jouer un rôle avec l’utilisation de ces lunettes, mais l’idée de cet article n’est pas de faire un parcours exhaustif des enjeux juridiques.

IV.  Conclusion

A l’issue de ces quelques considérations conceptuelles et juridiques, le bilan de leur utilité, mais également des risques et des dérives de ces lunettes est plutôt mitigé. Sur l’île de Thomas Moore, la commercialisation des Google Glass ne ferait trembler personne dans une société composée de citoyens disciplinés, d’entreprises bienveillantes et d’individus à la morale exemplaire.

Les Google Glass et les futurs concurrents de ces lunettes vont-ils révolutionner notre manière d’interagir avec notre environnement ? 2014 sera-t-elle une année de progrès ou un bon de 30 ans en arrière ?

L’ordre juridique suisse semble bien paré à faire bon accueil à ces lunettes et limiter les situations incertaines et utilisations malveillantes. Qu’en sera-t-il en réalité ? Peut-être que leur prix limitera temporairement les dérives…