Penser l’avenir : Orla Lynskey s’exprime sur les données à l’ère de la consolidation

L’année dernière, l’Internet Society a dévoilé le Rapport mondial sur l’Internet 2017 : les voies de notre avenir numérique. Ce rapport interactif identifie les facteurs qui influencent l’Internet de demain et leur incidence sur les médias et la société, la fracture numérique et les droits et libertés individuels. Nous avons interviewé Orla Lynskey pour connaître son point de vue sur les forces qui façonnent l’avenir d’Internet.

Orla Lynskey est professeur agrégé de droit à la London School of Economics and Political Science. Son domaine de recherche principal est le droit de l’Union européenne en matière de protection des données. Sa monographie, The Foundations of EU Data Protection Law (Les fondements de la législation européenne sur la protection des données) (Oxford University Press, 2015), explore le potentiel et les limites du contrôle individuel des données à caractère personnel, ou « l’autodétermination informationnelle » dans le cadre de la protection des données. Plus récemment, ses travaux se sont concentrés sur les approches collectives des droits de la protection des données et sur les mécanismes visant à contrebalancer les asymétries de pouvoir dans l’environnement en ligne. Lynskey est rédactrice en chef du journal International Data Privacy Law et de la revue Modern Law Review et est membre du groupe d’experts multipartite de la Commission européenne sur le RGPD. Elle est titulaire d’un baccalauréat en droit du Trinity College de Dublin, d’une maîtrise en droit du Collège d’Europe (Bruges) et d’un doctorat de l’université de Cambridge. Avant d’entrer dans le monde universitaire, elle a travaillé en tant qu’avocate spécialisée en droit de la concurrence à Bruxelles et en tant qu’assistante pédagogique au Collège d’Europe.

L’Internet Society : Vous avez récemment publié une édition de symposium du journal International Data Privacy Law (IDPL) dans laquelle vous affirmez que l’interaction des lois en matière de protection des données, de concurrence et de protection des consommateurs est parvenue à un tournant crucial. Pourquoi et comment cela se passe-t-il dans le domaine Internet ?

Orla Lynskey: Ces domaines du droit se trouvent à la croisée des chemins dans deux sens. Premièrement, les organismes de réglementation reconnaissent de plus en plus qu’ils se chevauchent dans certaines circonstances. Un bon exemple en est la référence dans la décision de fusion Microsoft/LinkedIn à la protection des données en tant que paramètre sur lequel les entreprises sont en concurrence, ou l’affirmation selon laquelle Facebook abuse de sa position de pouvoir sur le marché en subordonnant l’accès à ses services à une collecte excessive de données sur divers sites Web de tiers faisant l’objet d’une enquête par l’autorité allemande de la concurrence. Cependant, nous nous trouvons également à la croisée des chemins dans un deuxième sens : après avoir reconnu que ces domaines du droit doivent être appliqués de manière globale, nous devons maintenant examiner d’un point de vue pratique et procédural la manière dont ce chevauchement peut être géré.

Vous avez écrit ailleurs que la consolidation numérique peut avoir un effet sur l’inégalité numérique en donnant aux plates-formes non seulement un pouvoir sur le marché, mais également le « pouvoir de la providence ». Qu’entendez-vous par là et quel en est l’impact sur les communautés marginalisées en particulier ?

La providence se définit de différentes manières, notamment comme une forme d’influence non humaine qui contrôle la vie des gens. J’affirme dans le journal que les plates-formes numériques dominantes ont un « pouvoir de providence », car elles sont – comme l’œil de la providence – visionnaires : elles ont la capacité de relier et d’analyser divers ensembles de données de manière à fournir un aperçu complet de la vie des individus, les rendant transparentes dans le processus. En outre, elles peuvent utiliser ce point de vue unique pour influencer les individus d’une manière que nous aurions jusqu’à présent considérée comme dystopique, par exemple au moyen de la publicité politique personnalisée. Enfin, l’architecture d’Internet et les termes utilisés pour décrire ses processus (par exemple, « apprentissage automatique ») donnent la fausse impression que la manière dont nos données sont utilisées pour nous influencer en ligne et nous pousser dans des directions précises est indépendante de toute intervention humaine, ou est « neutre ». En ce sens, on lui attribue un statut quasi divin.

Je pense que ce pouvoir de providence peut avoir l’effet particulièrement pernicieux d’aggraver les inégalités sociales existantes. Je soutiens dans le journal que cette capacité à utiliser des données pour influencer des personnes peut être utilisée pour discriminer, pour différencier et aussi pour créer des perceptions. Par exemple, j’ai pu m’appuyer sur les travaux d’autres chercheurs pour indiquer que l’exploration de données facilite la différenciation sur la base du statut socio-économique, ce que la loi sur la discrimination n’interdit pas. Ces recherches suggèrent que les pauvres sont soumis à une surveillance accrue avec des enjeux plus importants et sont particulièrement vulnérables aux processus d’exploration de données en raison des dispositifs utilisés pour se connecter à Internet (notamment les téléphones mobiles qui sont moins sécurisés que d’autres dispositifs). Bien que la différenciation via l’exploration de données ne soit pas l’apanage des plates-formes avec un tel pouvoir, leur position privilégiée leur confère une capacité supérieure d’exploration de données et signifie que les asymétries d’informations et de pouvoir existantes sont exacerbées.

Le droit de la concurrence peut-il contester le pouvoir de la providence ? Qu’en est-il de la loi sur la protection des données ? Comment peuvent-ils collaborer pour protéger les droits numériques ?

Les dispositions du droit de la concurrence sont les seules dispositions juridiques expressément conçues pour limiter l’exercice du pouvoir privé. Il est donc logique d’examiner si elles peuvent être utiles pour contester ce pouvoir de providence. Je pense qu’au minimum le droit de la concurrence ne devrait pas aggraver les choses, par exemple en facilitant les fusions fondées sur des données qui consolident davantage nos données entre les mains d’un nombre très limité d’acteurs privés. Toutefois, dans certains cas, le droit de la concurrence pourrait également limiter les comportements abusifs – par exemple, les conditions d’utilisation abusives des données – par des entreprises ayant un pouvoir de marché.

Cela dit, le droit de la concurrence a ses propres limites et ne devrait jamais faire partie du casse-tête général, la loi sur la protection des données jouant un rôle de premier plan dans la réglementation de l’utilisation de nos données à caractère personnel. À ce jour, la législation de l’UE en matière de protection des données n’a pas été appliquée de manière rigoureuse, mais je fais partie de ceux qui restent optimistes sur le fait que, avec une application plus stricte, ce système pourrait être vraiment efficace.

Si la protection des données, la protection des consommateurs et le droit de la concurrence jouent tous un rôle important dans la remise en cause de la domination numérique néfaste, comment les différents organismes de réglementation chargés de traiter ces problèmes respectifs travaillent-ils ensemble sans empiéter sur leurs domaines respectifs ? Une meilleure collaboration multipartite est-elle nécessaire à cet égard ?

C’est cette question – de la division du travail entre les autorités de régulation – qui doit encore être résolue. Dans l’idéal, comme l’a proposé le Contrôleur européen de la protection des données, ces agences collaboreraient entre elles sous l’égide d’un « Centre d’échange d’informations numériques » ou quelque chose de similaire.

L’Allemagne a récemment annoncé son intention d’enrayer la domination numérique en recourant au droit de la concurrence. Avez-vous remarqué des tendances en ce qui concerne les réponses des autres autorités de la concurrence à la domination du secteur technologique dans le monde, et en particulier la façon dont elles définissent les marchés concernés ?

Il est indéniable que les régulateurs et le grand public reconnaissent de plus en plus le pouvoir des entreprises technologiques. C’est peut-être là où le droit de la concurrence atteint ses limites : les dispositions du droit de la concurrence n’empêchent pas une entreprise d’acquérir une position de force sur le marché, elles rendent tout simplement illégal pour cette entreprise d’abuser de ce pouvoir de marché d’une manière qui relèverait de l’exploitation ou exclurait des concurrents tout aussi efficaces du marché. La réglementation économique pourrait, par exemple, contraindre les entreprises technologiques à assurer une séparation structurelle entre les diverses opérations (p. ex. une séparation structurelle entre Facebook et WhatsApp). Cela nécessiterait toutefois une intervention législative.

L’exception à cette règle se situe dans le contexte des fusions, où les autorités de la concurrence ont la possibilité d’examiner l’impact potentiel futur d’une transaction sur le marché. À ce sujet, j’ai affirmé dans le passé que les fusions fondées sur des données devraient être traitées de la même manière que les fusions de médias et faire l’objet non seulement d’une évaluation économique, mais également d’une évaluation plus large non concurrentielle afin d’évaluer leur impact sur la protection et la confidentialité des données. C’est l’une des idées à l’étude en Allemagne et je pense qu’il est probable que d’autres autorités de concurrence introduiront des mesures similaires en temps utile.

Que pensez-vous de l’idée selon laquelle les données des utilisateurs devraient bénéficier de droits de propriété numérique (c’est-à-dire que les plates-formes devraient payer les utilisateurs pour leurs données) ?

Les droits de propriété sur les données personnelles sont une idée terrible : ils n’offrent aucun avantage réel par rapport au cadre juridique actuel et risquent d’exacerber les asymétries d’information et de pouvoir tout en compromettant la protection des données en tant que droit fondamental. Donner des droits de propriété sur les données ne nous avantagerait pas quand il s’agirait de négocier avec les géants de la technologie, cela signifierait plutôt que nous perdrions tous les droits sur ces données une fois que nous aurions conclu des contrats avec ces entreprises. Je crains également que, dans ce cas, la protection des données ne devienne un luxe dont ceux qui pourraient se permettre de ne pas voir traiter leurs données pourraient profiter, ce qui créerait peut-être une incitation biaisée à révéler davantage de données ou des données plus sensibles pour en tirer profit. Ceci est incompatible avec le droit à la protection des données de la Charte européenne. J’aborde cette question dans mon livre sur les fondements du droit européen en matière de protection des données.

Existe-t-il un espoir dans la portabilité des données en tant que moyen de contrer les effets des données et de résoudre les problèmes de consolidation ?

Potentiellement. Une des explications du droit à la portabilité des données du RGPD est qu’il peut permettre aux consommateurs de changer de fournisseur de services s’ils ne sont pas satisfaits d’un service (par exemple, passer de Facebook à une alternative mythique si vous n’êtes pas satisfait de la qualité de la protection des données offerte). Toutefois, comme je l’ai expliqué dans le cadre de mes recherches, l’impact de ce droit sur la concurrence et l’innovation est ambigu. Il pourrait, par exemple, décourager l’innovation en se conformant aux normes utilisées par les entreprises en place ou en augmentant les coûts des startups. Cela est d’autant plus vrai que cela ne nécessite pas d’interopérabilité. Toutefois, la question de savoir si l’interopérabilité est souhaitable du point de vue de la protection des données est également contestable. Je suggérerais que la portabilité devrait être envisagée du point de vue du contrôle individuel des données à caractère personnel plutôt que simplement comme un outil de marché, étant donné ces effets ambigus.

Quelles sont vos craintes pour l’avenir d’Internet ?

Ma principale crainte vis-à-vis d’Internet est qu’un média qui promettait tant pour la promotion des droits – tels que la liberté d’expression et d’association – finisse par avoir des effets corrosifs et soit source de discorde dans le monde réel. L’un des avantages de l’Internet était qu’il offrait aux utilisateurs la possibilité de se connecter avec ceux qui partageaient des intérêts de niche similaires (la Société d’appréciation Eric Cantona, par exemple), mais la personnalisation de tous les contenus, y compris par exemple les contenus politiques, risque de pousser cela à l’extrême. Cela ne veut pas dire que la personnalisation est le seul facteur qui alimente cette préoccupation, bien entendu.

Quels sont vos espoirs quant à l’avenir d’Internet ?

Je pense qu’Internet est actuellement basé sur une bulle de données qui doit éclater. Le principal exemple en est le traitement excessif des données qu’entraîne la publicité comportementale en ligne. Même si nous pouvions affirmer que le traitement des données à caractère personnel constitue la contrepartie d’un accès gratuit aux services et contenus en ligne au point d’accès, la quantité de données à caractère personnel traitées pour cet échange est clairement disproportionnée. Les régulateurs ne sont pas encore familiarisés avec cela, mais la loi sur la protection des données fournit un motif potentiel pour contester ce traitement : lorsqu’il s’agit de déterminer si le consentement est donné librement, il faut absolument tenir compte du fait que le service est subordonné au consentement à un traitement inutile. Je n’ai encore vu aucune preuve empirique qui me convainque que la publicité comportementale en ligne est tellement plus efficace que la publicité contextuelle qu’elle justifie cette intrusion excessive dans nos droits.