De la donnée sensible à la sensibilité des données : Entre fragilité postdigitale et carences juridiques     Bettina Bordure (Université de Toulon/CERC) & Albin Wagener (Université Rennes 2/INALCO)   <ol> <li class="MsoNoSpacing" style="margin-left:8px; text-align:justify">Défis législatifs de la société postdigitale</li> </ol>               En février dernier, les données de santé de plus de 500 000 Français sont diffusées sur Internet, à la suite d’un conflit entre pirates, et alors qu’elles étaient censées être mises en vente au marché noir<a href="#_ftn1" name="_ftnref1" style="color:#954f72; text-decoration:underline" title="">[1]</a>. La fuite de ces données, pourtant issues de laboratoires médicaux utilisant un système de santé censé prévenir de ces cyberattaques, interrogea les autorités compétentes, dont la CNIL, la Commission nationale de l’informatique et des libertés (Kerkour, 2021 ; Coquaz, Gouthière, Horn, Lebouq, 2021). Outre la divulgation de données intimes et l’atteinte à la vie privée, ces informations sont considérées comme sensibles par les textes de loi européens et français<a href="#_ftn2" name="_ftnref2" style="color:#954f72; text-decoration:underline" title="">[2]</a>, et leur traitement est par principe interdit. L’article 9 du RGPD soumet le traitement des « données génétiques » à des exceptions afin de l’autoriser, au vu de leur intimité avec la personne et de la potentialité des discriminations qui pourraient résulter de leur divulgation. Le législateur a donc bien pris conscience, et ce depuis plus de quarante ans, de l’importance de protéger les informations personnelles et, à plus forte raison, celles qui sont susceptibles de révéler des données très intimes. Pourtant, l’actualité démontre bien que cette volonté du droit ne suffit pas à garantir une protection efficiente aux individus.    L’une des solutions est d’élargir le point de vue juridique pour porter un regard interdisciplinaire sur l’évolution des enjeux liés à la protection des données personnelles sensibles. Ainsi, au sein de l’environnement purement juridique, le législateur a-t-il vraiment une appréhension globale de l’environnement numérique ? Il serait intéressant d’examiner la question des données personnelles en la reliant à celle de l’identité individuelle, de la postdigitalisation de nos sociétés et des nécessaires évolutions juridiques qui doivent découler de ces transformations sociales profondes. Il apparaît en effet que seule une compréhension de l’utilisation de la technologie peut permettre une protection efficace de l’individu — ce qui ne paraît pas être le cas lorsque l’on s’enferme dans une vision de juriste strict.   C’est la faculté de dresser le portrait d’un individu qu’offrent les données personnelles, une fois recoupées, qui les rend susceptibles de porter atteinte à la vie privée, pourtant consacrée et protégée depuis longtemps dans les textes fondamentaux et les décisions.<a href="#_ftn3" name="_ftnref3" style="color:#954f72; text-decoration:underline" title="">[3]</a> Force est néanmoins de constater que l’individu, revendicateur d’une meilleure protection de ses données, est également instigateur d’une exposition numérique, volontaire, car s’inscrivant dans un mouvement social et générationnel, mais également involontaire ; n’ayant pas les connaissances techniques pour assurer sa protection, il laisse souvent ses informations à la merci d’intrusions. Toute la complexité de la question réside dans le basculement postdigital de nos sociétés et <a>dans</a> la circulation d’informations (Taffel, 2015), autant que de discours, interrogeant à la fois la place de l’individu comme source, organisateur et victime de la circulation de ses propres données — le tout à une époque narrative (Wagener, 2020) où la production de récits et d’informations provoque forcément la production de données (Rallet & Rochelandet, 2011).               La question des données personnelles peut donc être envisagée à travers le prisme des études postdigitales, courant épistémologique et théorique relativement récent, qui a émergé au moment de l’essor de ce que l’on appelle le web 2.0 (Herring, 2013), soit le passage d’un Internet de la documentation pure à un Internet de la mise en relation sociale des utilisateurs. Dans cette perspective, Internet n’est plus un simple outil technologique qui permet l’accès à l’information, mais se transforme en un véritable canal d’interactions sociales, qui s’incarne à travers des formes multiples, redistribuant et reconfigurant ainsi la manière de faire société. Selon la théorie postdigitale (Andersen, Cox & Papadopoulos, 2014 ; Cramer, 2015), dans la lignée de l’essor de l’analyse des pratiques sociales numériques, il n’y a pas d’un côté un monde virtuel et de l’autre un monde réel. Au contraire, ces deux dimensions, sorte de réflexe de reliquat dualiste, ne rendent pas compte de la complexité croissante de nos sociétés et de l’interpénétration croissante des pratiques sociales numériques et non numériques, qui modifient en profondeur la tectonique des rapports sociaux et de notre relation à l’identité individuelle (Wagener, 2018). Dans ce contexte, c’est d’ailleurs précisément parce que le numérique bouleverse le monde social que la question de la protection juridique des données personnelles est aussi prégnante : l’irruption de drames liés au cyberharcèlement, par exemple, montre bel et bien à quel point les frontières se retrouvent brouillées, et comme il serait illusoire de penser le numérique comme un espace clos, distinct d’un monde social « réel » ou « physique ».                Le législateur français lui-même semble avoir du mal à se ranger d’un côté ou de l’autre de la frontière. Tantôt, il transpose des dispositions existantes au monde numérique, dispositions devenant alors le prolongement de la loi du monde « réel », comme ce fut le cas avec le délit d’usurpation d’identité — tantôt, il crée un cadre juridique nouveau autour de la donnée personnelle. Dans ce contexte, le statut de la donnée touche à la fois aux problématiques d’identité et à celle de la construction d’un cadre adapté, qui permettrait de règlementer ces transformations sociales, où numérique et non numérique s’interpénètrent pour construire une nouvelle réalité. De ce point de vue, la notion de donnée personnelle elle-même a été considérablement enrichie. Monétisées par les moteurs de recherche, les réseaux sociaux ou les applications digitales, les données susceptibles d’entrer dans le champ d’application du texte augmentent, rendant de plus en plus ardue leur protection complète. (Benabou, 2017).                S’il est si important de protéger les données, c’est qu’elles sont des faisceaux, des morceaux de l’identité d’une personne, car elles révèlent sa vie privée et son intimité — s’il est si difficile de mettre en &oelig;uvre cette protection, c’est que l’environnement virtuel est considéré tantôt comme une extension du monde réel, tantôt comme un nouvel espace où tout est à construire, brouillant ainsi les pistes.               Réfléchir à ces questions par une approche interdisciplinaire permet, au-delà de l’enrichissement mutuel de deux domaines de recherches, de remettre en lumière la question de l’impact des géants du numérique dans cet environnement digital, où ils jouent (ou refusent de jouer) un rôle qui n’est pas toujours lisible (Halpin, 2008). Il s’agit donc de montrer que le législateur, créateur du droit essentiel à la vie démocratique et sociale (Commaille, 2015) doit proposer des solutions qui tiennent compte de la complexité grandissante de nos sociétés postdigitales et de leur course au progrès technologique (Taffel, 2015).   2) Appréhension de la vie privée numérisée par le droit et par l’homme   La vie privée, lors de sa matérialisation dans la loi, était plus aisée à appréhender qu’elle ne l’est aujourd’hui. La porte de la maison signifiait le début de l’intimité, puisque tout était « tangible », ce qui n’est plus le cas avec l’immatériel (Chabaane, 2015, p. 15). Le domaine de la vie privée n’a pas changé, quelle qu’en soit l’appréhension personnelle du juriste ou de l’individu, mais les facilités de divulgation de celle-ci ont incroyablement augmenté — en témoigne l’augmentation d’un contentieux très important en la matière, particulièrement depuis l’apparition de la presse à scandales, renforcé par le numérique.<a href="#_ftn4" name="_ftnref4" style="color:#954f72; text-decoration:underline" title="">[4]</a>   Tout comme on le verra plus en avant pour les données personnelles sensibles, la notion de vie privée est empreinte d’une grande part de subjectivité. Chacun y voit la définition qu’il s’applique, compliquant l’adoption d’un consensus en la matière. Avant même que n’apparaissent les nouvelles technologies, la notion n’était pas délimitée précisément. À titre d’exemple, le Canada refuse d’octroyer une protection à toute personne qui n’a pas été précautionneuse quant à sa vie privée, considérant que si les informations ont été délivrées volontairement, l’État n’a aucune aide à donner (Gautrais, 2016). Comment protéger une personne qui a volontairement mis en avant sa vie privée ou pire, celle de ses amis ? Car ce qu’occultent les lois françaises et européennes, c’est la facilité avec laquelle tout individu peut divulguer des informations sur ses proches sans avoir obtenu leur consentement. Publier une photographie de soi entouré d’amis sur un réseau social, en les identifiant, est une pratique rentrée dans les m&oelig;urs et pour laquelle il est rare de demander l’autorisation de ces derniers (De Filipi, 2016, p. 106). Les identifiés pourront a posteriori refuser que le contenu apparaisse sur leur propre profil, mais la diffusion de la photo ne peut être annulée et les informations qu’en aura tirées le réseau social pour créer sa publicité ciblée seront déjà enregistrées. Il faudrait donc contrôler individuellement les divulgations de vie privée des individus, mais également de leurs proches pour qu’aucune atteinte ne soit rendue possible, ce qui est impossible.    La question de la vie privée divise les juristes quant à son champ d’application. Grâce à la possibilité de recoupement des informations, chaque donnée peut potentiellement devenir un indice sur l’intimité d’une personne. Ainsi, un effort de réflexion et de définition se dessine dans la doctrine. La technologie a évolué, faisant évoluer également la notion de vie privée, d’où la complexification progressive du débat, puisque l’on fait désormais face à une sorte d’extension publicisée de l’intime sur un nouveau territoire qu’est l’Internet. D’ailleurs, dès le début des années 2000 et l’avènement du web 2.0, les enjeux de la confidentialité en ligne seront rapidement croisés avec les enjeux de justice et d’éthique, posant ainsi des questions qui perdurent encore aujourd’hui (Ashworth & Clinton, 2006), tels que les problèmes liés à l’exploitation des données par les géants numériques. De fait, la facilité avec laquelle les informations circulent augmente le risque de dévoilement et de partage à des destinataires non désirés. Les technologies de partage augmentent sans arrêt (Bluetooth, wifi, appairage d’appareils), et mettent la société devant un ensemble croissant de problématiques, qui touchent absolument tous les âges. De nouvelles pratiques se sont même développées, permises par le numérique. Le « revenge porn » est un nouveau fléau qui présente un ensemble d’enjeux particulièrement complexes, notamment pour les jeunes générations, moins méfiantes de ces pratiques : filmer un partenaire pendant un ébat sexuel pour ensuite le divulguer à la rupture est rendu possible par la technologie. Le droit a d’ailleurs dû s’y adapter, le Code pénal prévoyant une peine spéciale à l’article 226-2-1. La situation du « revenge porn », puisqu’il mêle à la fois le fléau des abus sexuels, le droit à l’image et la diffusion de celles-ci, mais également la question des dommages psychologiques liés à l’exposition de l’intimité, au-delà d’un environnement initial, grâce et à travers la technologie numérique : ici, on se retrouve dans une situation d’agression postdigitale, puisque ce sont les technologies qui permettent à la fois l’enregistrement matériel des données filmiques, mais également leur transmission, notamment à travers les réseaux sociaux choisis par les agresseurs (McGlynn, Rackley & Houghton, 2017). Dans cette optique, on se retrouve au c&oelig;ur d’un débat intégralement postidigital, lui-même au c&oelig;ur d’un enchevêtrement de dimensions physiques et intimes d’une part, et technologiques et médiatiques d’autre part.   Qui blâmer ? Le juriste, le créateur de la machine, le propriétaire du réseau, l’utilisateur ? Dès qu’il est question de numérique, il semble que les autres domaines s’amoindrissent ; par exemple, « le lien entre la psychologie (à l’instar de la majorité des sciences humaines) et l’informatique est conçu comme un rapport de subordination de la première à la seconde. » (Thierry, 2009, p. 93-94). En outre, un mouvement particulier de dévoilement de soi a vu le jour, aboutissant à ce que la multiplication d’espaces « privés » en ligne affaiblisse finalement la vie privée, puisqu’incitant les individus à s’exprimer à divers endroits en pensant être en sécurité (Ertzscheid, 2017, p. 113). Cette idée échappe totalement au législateur, mais pas aux grandes entreprises du numérique qui tirent profit de cette volonté d’exposition, et également du flou numérique et physique qui semble l’entourer. Plutôt que de chercher à contrôler les usages qui sont faits du numérique, peut-être le législateur devrait-il favoriser l’éducation des individus, et en particulier les plus jeunes, afin qu’ils puissent en tirer les leçons nécessaires — une disposition qu’un nombre croissant de travaux appellent de leurs v&oelig;ux, notamment depuis l’essor du web 2.0 et de ses conséquences postdigitales (Knobel & Lankshear, 2006). Ici, l’exemple du « revenge porn » introduit la nécessité d’une prise en considération de la théorie postdigitale pour étudier ces problématiques complexes et résolument interdisciplinaires, en raison d’une réalité « tour à tour confuse, imprévisible, digitale et analogue, technologique et non technologique, biologique et informationnelle » (Jandrić et. al., 2018, p. 895)<a href="#_ftn5" name="_ftnref5" style="color:#954f72; text-decoration:underline" title="">[5]</a>.                  3) Appréhension des données personnelles par le droit et par l’homme   « Identifier, c’est singulariser » (Forest, 2011, p. 15) une personne au sein d’un groupe. Ce qui la rend unique, ce sont ces caractéristiques propres, qu’elle ne partage avec aucune autre — au-delà des questions liées à l’évolution et à la fluidité des identités individuelles et de leur nécessaire prise en considération (Brubaker & Cooper, 2000). Dans ce sens, « les individus agissent afin de protéger et de vérifier leurs conceptions de qui ils sont » (Burke & Stets, 2009, p. 5), ce qui renvoie à un ensemble de caractéristiques, notamment psychologiques, sociales — et bien sûr physiques. L’état civil se base encore aujourd’hui sur le physique, car le plus difficile à modifier (Forest, 2011, p. 15). L’identification écrite, depuis ses débuts au Moyen-Âge, deviendra de plus en plus fiable<a href="#_ftn6" name="_ftnref6" style="color:#954f72; text-decoration:underline" title="">[6]</a>, jusqu’à devenir une prérogative de la puissance publique (Scott, Tehranian & Mathias, 2002, p. 34). Progressivement, les informations deviennent de plus en plus précises et se regroupent dans des dossiers et registres manuels : les premiers traitements d’informations. C’est en 1974 qu’une préoccupation émerge sur le potentiel fichage que permet le recensement de données personnelles (Boucher, 1974 ; Desgens-Pasanau, 2018), amenant à la loi française du 6 janvier 1978, livrant une première définition des données sous le terme d’informations nominatives, permettant « sous quelque forme que ce soit, directement ou non, l’identification des personnes physiques auxquelles elles s’appliquent ». Cette création législative sera suivie par des textes internationaux<a href="#_ftn7" name="_ftnref7" style="color:#954f72; text-decoration:underline" title="">[7]</a>, jusqu’à la naissance d’une directive européenne en 1995<a href="#_ftn8" name="_ftnref8" style="color:#954f72; text-decoration:underline" title="">[8]</a>, transposée en France en 2004.<a href="#_ftn9" name="_ftnref9" style="color:#954f72; text-decoration:underline" title="">[9]</a>   L’article 2 de la directive de 1995 reprend les termes de la loi de 1978 en y ajoutant qu’un individu peut être identifié par « un numéro d’identification », et « un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».<a href="#_ftn10" name="_ftnref10" style="color:#954f72; text-decoration:underline" title="">[10]</a> Cette extension de la définition permet de s’adapter aux technologies de plus en plus intrusives. Le RGPD viendra enfin rajouter à cette évolution législative<a href="#_ftn11" name="_ftnref11" style="color:#954f72; text-decoration:underline" title="">[11]</a>, considérant qu’une personne peut être également identifiée par son identité « génétique ». <a href="#_ftn12" name="_ftnref12" style="color:#954f72; text-decoration:underline" title="">[12]</a> La largesse du texte le rend certes très souple d’application, mais complique l’effectivité d’une réelle protection, puisque finalement toute donnée peut devenir personnelle à condition d’avoir un potentiel identifiant. La langue anglaise exprime bien cette complexité à définir la notion de donnée personnelle, un « trickier concept », littéralement « concept épineux » (Ticher, 2008). Le numéro de Sécurité sociale n’est pas une donnée personnelle, mais par recoupement d’informations, peut le devenir (Benabou, 2017, p. 5). Son traitement est autorisé à des fins de « recherche dans le domaine de la santé », s’il répond aux exigences de la loi de 1978<a href="#_ftn13" name="_ftnref13" style="color:#954f72; text-decoration:underline" title="">[13]</a>, mais la doctrine considère qu’il ne devient donnée personnelle que lorsqu’il est associé à une donnée identifiante, le responsable de traitement étant de facto soumis aux obligations du RGPD (Laude, 2019)<a href="#_ftn14" name="_ftnref14" style="color:#954f72; text-decoration:underline" title="">[14]</a>. La jurisprudence rajoute en outre de nouvelles données personnelles, telles que l’adresse IP (Péronne, 2017) ou la géolocalisation, « technologie permettant de déterminer la localisation d’un objet ou d’une personne avec une certaine précision »<a href="#_ftn15" name="_ftnref15" style="color:#954f72; text-decoration:underline" title="">[15]</a>. À ce problème de large définition se rajoute celui de l’effectivité de la donnée, et particulièrement des données dites sensibles, dont la collecte est par principe interdite.<a href="#_ftn16" name="_ftnref16" style="color:#954f72; text-decoration:underline" title="">[16]</a> Par principe, car l’interdiction peut être contournée si un motif de licéité et un motif spécial sont cumulés : par exemple, le consentement de la personne a été obtenu, et le traitement est nécessaire pour sauvegarder les intérêts vitaux de la personne.<a href="#_ftn17" name="_ftnref17" style="color:#954f72; text-decoration:underline" title="">[17]</a>   À notre sens, il existe déjà un problème de conception dans la catégorisation des données « normales » et des données « sensibles » — il serait en effet bon de <a>penser à étendre </a>ces critères d’autorisation de traitement à toutes les données personnelles. La séparation au sein même de la notion de données personnelles divise les conditions applicables à leur traitement et complique leur application. En outre, les données personnelles non sensibles au sens de la loi n’ont pas un potentiel dangereux moins élevé que les données sensibles — toute donnée, recoupée à suffisamment d’autres informations, peut se révéler tout aussi utile pour un publicitaire : c’est le formidable pouvoir de la réanonymisation (Ohm, 2010). Le concept de donnée sensible est lui-même soumis à diverses interprétations. En France, la religion est un sujet sensible là où elle ne l’est pas aux États-Unis, par exemple (CNIL, 2012). La subjectivité de cette notion provoque ainsi une disparité territoriale d’application de la loi, en témoigne l’annulation récente du Privacy Shield, accord qui autorisait les transferts de données aux États-Unis.<a href="#_ftn18" name="_ftnref18" style="color:#954f72; text-decoration:underline" title="">[18]</a> L’une des solutions envisageables serait de renforcer la législation autour de l’utilisation de ces données, plutôt que de s’attacher réellement à leur degré de sensibilité, sans le renier pour autant (CNIL, 2012).   Enfin, il est possible de remettre en question les critères de licéité eux-mêmes, et tout particulièrement le consentement. Fer de lance des responsables de traitement, qui s’abritent trop souvent derrière lui, il est pourtant dur de le qualifier de libre et éclairé, comme le requiert la loi. Il est trop souvent, hélas, utilisé comme un moyen détourné de se conformer à la loi en rendant un service gratuit contre l’utilisation des données personnelles : l’ensemble de ces pratiques porte le nom de nudging et est pourtant interdit (CNC, 2018). Dans le domaine de l’Internet des objets, particulièrement, l’interconnexion de plusieurs dispositifs questionne la circulation des données, ainsi que leur potentiel piratage : il est notamment aisé d’en mesurer l’enjeu dans un domaine comme celui de la santé, avec tout ce que cela peut ensuite comporter d’interprétations abusives, de fraudes ou de marchandage (O’Connor, Rowan, Lynch & Heavin, 2017). La CNIL elle-même se questionne sur le sujet, dirigeant actuellement une mission de réflexion en vue d’une transition vers un renforcement de l’obtention du consentement (Maxwell, 2020, p. 1262). Bien que l’exigence du consentement ait été renforcée dans le RGPD, rien ne permet encore de dire qu’il permet aux individus de choisir en connaissance de cause s’ils acceptent le traitement de leurs données. Le <a>G29, prédécesseur du Comité européen pour la protection des données, organe consultatif indépendant,</a> a pris soin de préciser que les utilisateurs ne sont pas nécessairement familiers avec le vocable juridique, et en ce sens précise que le consentement doit être obtenu de manière transparente et appréhendable par les individus (Debet, 2018).   4) Données : entre enjeux juridiques et nouveaux défis sociétaux   Au-delà des difficultés substantielles que contient la loi européenne, qui pourrait déjà faire l’objet de mises à jour seulement trois ans après sa mise en application (Espinoza, 2021), c’est l’appréhension générale de la donnée personnelle et des partis pris du législateur qui peuvent être questionnés. Tout d’abord, il ne faut pas négliger l’impact des grandes entreprises du numérique et autres GAFAM qui, par leur poids économique et la puissance de leurs lobbys, influe les décisions législatives (Joux, 2013 ; Toledano, 2020), allant parfois même jusqu’à créer leur propre écosystème juridique (Forest, 2019) — sans oublier la création et la mise en application d’algorithmes qui sont autant de manières de stocker, traiter, interpréter, réutiliser et faire circuler les données, y compris personnelles (Ertzscheid, 2015). Or il est difficile pour le droit de prendre en compte ces influences extérieures, au risque parfois de perdre de la souveraineté sur la matière (Byk, 2020, p. 337-338). Plutôt que de faire preuve d’adaptabilité, les droits français et européen ont fait du numérique un nouvel espace à part entière, sur lequel peut s’exercer un « droit du numérique », branche inédite et parfois inconnue chez les juristes — alors même que le Conseil d’État alertait, en 1997, sur la nécessité de ne pas créer un nouveau régime autonome (Conseil d’État, 1997). L’un des risques était de créer de nouveaux droits pour les personnes virtualisées, sans se demander si le droit traditionnel avait la capacité d’étendre les prérogatives protectrices des personnes au monde numérique (Conseil d’État, 1997) — créant ainsi, par là même, une segmentation entre numérique et non numérique, alors même que notre société se retrouve dans une situation hybride et intégralement postdigitale. Le doyen Carbonnier reconnaissait d’ailleurs lui-même que la société évolue, mais reste la même dans la substance ; c’est le droit qui s’adapte autour d’elle (Carbonnier, 1998, p. 10). Aujourd’hui, face aux lacunes de la protection établie légalement, à la multiplication des attaques et des fuites massives de données, et à la revendication des individus quant à une optimisation de la vie privée, cette interrogation visionnaire soutient notre thèse. Il existait, selon nous, des solutions préexistantes qui auraient permis aux individus de faire jouer l’effectivité de leurs droits dans le numérique sans le dissocier de la réalité. Ainsi, les atteintes à la vie privée pouvaient tout à fait relever du régime traditionnel garanti notamment par l’article 9 du Code civil, les infractions commises en ligne du Code pénal, et les atteintes aux données personnelles de divers régimes (droits de la personnalité, droit d’auteur ou droit des marques, droits et libertés fondamentales… selon les circonstances de l’espèce).    À cela s’ajoute enfin une dernière difficulté : bien qu’extension du monde tangible, le numérique a ses propres caractéristiques, et son utilisation reste libertaire dans l’âme. Chacun y reste libre de ce qu’il y fait (du moins, dans les pays européens), en son âme et conscience (Lardellier & Bryon-Portet, 2010). Ainsi, connaissant le risque du dévoilement d’informations personnelles sur un réseau social, l’individu est décisionnaire de cet acte. En d’autres termes, « grâce aux applications actuelles proposées depuis l’avènement du web 2.0, l’utilisateur est passé du rôle de consommateur passif à celui d’acteur à part entière, qui interagit avec le système » (Durieux, 2010, p. 70). Cela pose une question d’utilité du droit en la matière : doit-on protéger malgré tout un individu qui a fait délibérément le choix de s’exposer sur la toile ? Le parti pris du législateur a été de répondre positivement à cette question (pour le moment), sans toutefois s’interroger sur l’idée de mieux éduquer la population pour la laisser seule juge, avec de véritables éléments de réflexion et de connaissance technique sur le sujet. Ainsi donc, la thématique pourtant cruciale de la littératie et de la culture numériques reste, pour le moment, trop faiblement prise en considération — alors même que plusieurs travaux vont jusqu’à questionner la notion de citoyenneté numérique et les positions radicales que celle-ci impliquerait en matière d’éducation, d’éthique, de conception sociale et de droit (Emejulu & McGregor, 2019).    La numérisation de la société reste un sujet qui a vocation à faire réfléchir chercheurs de tous horizons afin de trouver la meilleure manière de l’appréhender, si tant est qu’elle existe, afin de répondre à un nombre croissant de défis et d’enjeux — notamment parce que l’irruption du monde postdigital provoque une véritable révolution anthropologique, qui interroge de facto toutes les sphères sociales. Cette révolution anthropologique est notamment permise par le bouleversement des dispositifs technologiques qui rythment notre vie quotidienne, et qui soumettent l’utilisateur à tout autant d’affordances qui stimulent des potentialités d’action numérique (Ghliss, Perea & Ruchon, 2019). La stimulation de ces potentialités d’action ne doit pas être ignorée lorsqu’il s’agit de décrire les nombreux défis du droit face à la postdigitalisation des questions de société ; l’une des difficultés réside dans la multiplicité des significations possibles offertes par le numérique (Hayes, Carr & Wohn, 2016), qui brouille le sens donné aux données, à leur utilisation, à leur circulation et à leur réception — pour les utilisateurs comme pour le législateur.                 Bibliographie   Andersen, C. U., Cox, G., & Papadopoulos, G. (2014). Postdigital research — Editorial. A Peer-Reviewed Journal About, 3 (1), 4–7. Arsène, S. (2013). Vers une recomposition des pouvoirs : Internet et réseaux sociaux. Ceriscope puissance, 6.  Ashworth, L. & Clinton, F. (2006). Marketing dataveillance and digital privacy : using theories of justice to understand consumers’ online privacy concerns. Journal of Business Ethics, 67, 107-123. Atrakchi, M. (2020). The case that sparked the CCPA gets an FTC final order. The national law review, 6 janvier 2020. Barlow, J. (1996). Déclaration d’indépendance du cyberespace. Benabou, V.-L. (2017). L’extension du domaine de la donnée. Legicom, 59 (2), 3-17. CNIL (2012). Vie privée à l’horizon 2020 : paroles d’expert. Cahiers Innovations et perspectives, 1. Boucher, P. (2018). Safari ou la chasse aux Français. Le Monde, 9.  Bourdeloie, H. (2013). Ce que le numérique fait aux sciences humaines et sociales. Tic & société, 7 (2), 7-38. Brubaker, R. & Cooper, F. (2000). Beyond identity. Theory and society, 29, 1-47. Burke, P. & Stets, J. (2009). Identity theory. Oxford : Oxford University Press. Byk, C. (2020). La souveraineté numérique à l’heure de la gouvernance mondiale. Dalloz IP/IT, n°6, 337-338. Carbonnier, J. (1998). Flexible droit : Pour une sociologie du droit sans rigueur. L.G.D.J (9), 10. Chabaane, A.. (2014). Online Social Networks : Is it the end of Privacy ?. Université de Grenoble, 15. CNIL. (2012). Vie privée à l’horizon 2020, Paroles d’expert. Cahiers IP, Innovations et perspectives, 34. Commaille, J. (2015). A quoi nous sert le droit. Paris : Gallimard. Conseil d’État. (1997). Internet et les réseaux numériques. Études du Conseil d’État, 7-8. Conseil Norvégien des Consommateurs. (2018). Deceived by design: how tech companies use dark patterns to discourage us from exercising our rights to privacy. Étude en ligne, 43. Coquaz, V., Gouthière, F., Horn, A., Lebouq, F. (2021. De la fuite dans les données. Libération, 2-5. Cormode, G. (2008). Key differences between web 1.0 and web 2.0. First Monday, 13 (6). Costes, L. (2020). Lamy droit de l’immatériel. Paris : Lamy. Cottereau, A. (2020). Le droit au déréférencement. AJDA (20).  <a name="_Hlk59478697">Cramer, F. (2015). What is ‘post-digital’ ?. In : Berry, D.M. & Dieter, M. (dir.), Postdigital aesthetics : art, computation and design, Londres, Palgrave MacMillan</a>, 12-26. De Rosnay, J. (2006). La révolte du pronétariat — des mass media aux médias de masse. Paris : Fayard.  Debet, A. (2018). Le consentement dans le RGPD : rôle et définition. Comm. Com. Elec., 9 (4). De Filipi, P. (2016). Gouvernance algorithmique : vie privée et autonomie individuelle à l’ère des Big Data. 99-124. in Bourcier, D., De Filipi, P. (2016). Open data & Big data — Nouveaux défis pour la vie privée. Éd. Mare & Martin, Droit et science politique, 106. Desgens-Pasanau, G. (2018). La protection des données personnelles, le RGPD et la nouvelle loi française. Paris : LexisNexis. Destreguil, M. (2019). Plaidoyer pour une approche propriétariste des données personnelles. RJPF, 3, point 20, 5-11. Durieux, V. (2010). Collaborative tagging et folksonomie : l’organisation du web par les internautes. Les cahiers du numérique, 6 (1), 69-80. Emejulu, A. & McGregor, C. (2019). Towards a radical digital citizenship in digital education. Critical studies in education, 60 (1), 131-147.  Ertzscheid, O. (2015). Usages de l’information numérique : comprendre les nouvelles enclosures algorithmiques pour mieux s’en libérer. Revue française des sciences de l’information et de la communication, 6. Ertzscheid, O. (2017). L’appétit des géants. C&F Éditions. Espinoza, J. (2021). EU must overhaul flagship data protection laws, says "father" of police. The Irish Times, article en ligne. Forest, D. (2011). Droit des données personnelles. Paris : Lextenson. Forest, D. (2019). La gouvernance par les process : le cas Google. RLDI, fev. 2019, 49-53. Garric, N., & Longhi, J. (2013). Atteindre l’interdiscours par la circulation des discours et du sens. Langage et Société, 144 (2), 65–83. Gautrais, V. (2016). Différences culturelles en matière de vie privée : point de vue canadien. Dalloz IP/IT, n°3, 128-132. Germain, G. & Massart, P. (2017). Souveraineté numérique. Etudes, 10, 45-58. Ghliss, Y., Perea, F. & Ruchon, C. (2019) (dir). Introduction : les affordances langagières, levier d’une réflexion postdualiste du discours numérique ? Corela, 28. Halpin, H. (2008). La souveraineté numérique — l’aristocratie immatérielle du World Wide Web. Multitudes, 35 (4), 201-213. Hayes, R. A., Carr, C.T. & Wohn, D.Y. (2016). One click, many meanings : interpreting paralinguistic digital affordances in social media. Journal of broadcasting & electronic media, 60 (1), 171-187. <a name="_Hlk59096416">Herring, S. C. (2013). Discourse in web 2.0: Familiar, reconfigured, and emergent. In D. Tannen & A. M. Trester (Eds.), Discourse 2.0. language and new media (pp. 1–26). Washington : Georgetown University Press</a>. <a name="_Hlk59478724">Jandrić, P., Knox, J., Besley, T., Ryberg, T., Suoranta, J., & Hayes, S. (2018). Postdigital science and education. Educational Philosophy and Theory, 50 (10), 893–899</a>. Joliveau, T. (2011). Le géoweb, un nouveau défi pour les bases de données géographiques. L’espace géographique, 40 (2), 154-163. Joux, A. (2020). Lex Google en Allemagne : malgré la loi, les éditeurs cèdent. Revue européenne des médias et du numérique, n° 28. Kerkour, T. 2021. La CNIL enquête sur la fuite de données médicales. Le Figaro, n°23799, 24. Knobel, M. & Lankshear, C. (2006). Digital literacy and digital literacies : policy, pedadogy and research. Considerations for education. Nordic journal of digital literacy, 1 (1), 12-24. Krapp, P. (2011). Noise channels : glitch and error in digital culture. Minneapolis : University of Minnesota Press.  Lardellier, P. & Bryon-Portet, C. (2010). Ego 2.0 : quelques considérations théoriques sur l’identité et les relations à l’ère des réseaux. Les cahiers du numérique, 6 (1), 13-34. Laude, A. (2019). Lamy Droit de la santé. 4248. Le Deuff, O. (2006). Folksonomies : les usagers indexent le web. Bulletin des bibliothèques de France, 51 (4), 66-70. Mattatia, F. (2013). Traitement des données personnelles. Le guide juridique. Paris : Eyrolles. Maxwell, W. (2020). Protection des données personnelles. Recueil Dalloz, 1262. McGlynn, C., Rackley, E. & Houghton, R. (2017). Beyond ‘revenge porn’: the continuum of image-based sexual abuse. Feminist legal studies, 25, 25-46. Nagy, P. & Neff, G. (2015). Imagined affordance : reconstructing a keyword for communication theory. Social media + society, 1 (2), 1-9. Nelson, R. (2000). TV Drama : ‘flexi-narrative’ form and ‘a new affective order’. In : E. Voigts-Virchow (dir.), Mediated drama – dramatized media, Trèves, Wissenschaftlicher Verlag Trier, 111-118. O’Connor, Y., Rowan, W., Lynch, L. & Heavin, C. (2017). Privacy by design : informed consent and internet of things for smart health. Procedia computer science, 113, 653-658. Ohm, P. (2010). Broken surprises of privacy: responding to the surprising failure of anonymization. UCLA Law Review, 1703-1776. Paveau, M.-A. (2017). L’analyse du discours numérique. Dictionnaire des formes et des pratiques. Paris : Hermann.  Pepperell, R. & Punt, M. (2000). The postdigital membrane : imagination, technology and desire. Bristol : Intellect. Péronne, G. (2017). L’adresse IP est bien une donnée à caractère personnel, obs. sous CJUE, n ° C -582/14, 19 oct. 2016, Patrick Breyer c. Bundesrepublik Deutschland et C. Cass., 1ère Ch. civ., 3 nov. 2016, n° 15-22.595. Dalloz IP/IT, 120-123. Peters, M. A. & Besley, T. (2019). Critical philosophy of the postdigital. Postdigital science and education, 1 (1), 29-42. Postigo, H. (2011). Questioning the web 2.0 discourse : social roles, production, values, and the case of the Human rights portal. The information society, 27 (3), 181-193. Rallet, A. & Rochelandet, F. (2011). La régulation des données personnelles face au web relationnel : une voie sans issue ? Réseaux, 167 (3), 17-47. Rose, E. (2012). Hyper attention and the rise of the antinarrative : reconsidering the future of narrativity. Narrative works : issues, investigations & interventions, 2 (2), 92-102. Scott, J., Tehranian, J. & Mathias, J. (2002). The production of legal identities proper to states: the case of permanent family surname. Comparative studies in society and history, 44 (1), 14-34. Stockinger, P. (2001). Traitement et contrôle de l’information. Paris : Hermès. Taffel, S. (2015). Perspectives on the postdigital : beyond rhetorics of progress and novelty. Convergence : the international journal of research into new media technologies, 22 (3), 324-338. Thierry, B. (2008). La communication hommes-machines et le développement de l’informatique. Hermès, La Revue, 2008/1 (50), 93-94. Ticher, P. (2008). Data protection vs. Freedom of information : access and personal data. IT Governance publishing, 29-34. Cambridge : Ely. Toledano, J. (2020). GAFA : reprenons le pouvoir!. Paris : Odile Jacob. Wagener, A. (2012). Connexions sémantiques et contextique relationnelle : pour une modélisation complexe des interactions humaines. Nouvelles perspectives en sciences sociales, 7 (2), 67-104. Wagener, A. (2018). Discours politiques et dispositifs numériques : vers une nouvelle tectonique de la communication. Neuphilologische Mitteilungen, 119 (2), 309-326. Wagener, A. (2020). Hypernarrativity, storytelling, and the relativity of truth : digital semiotics of communication and interaction. Postdigital science and education, 2 (1), 147-169.       <div style="text-align:start; text-indent:0px; -webkit-text-stroke-width:0px">  <hr align="left" size="1" width="33%" /> <div id="ftn1"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref1" name="_ftn1" style="color:#954f72; text-decoration:underline" title="">[1]</a> « Cette fuite massive de données qui inquiète », Courrier Picard, 26 fév. 2001, p. 27. </div> <div id="ftn2"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref2" name="_ftn2" style="color:#954f72; text-decoration:underline" title="">[2]</a> Il est question ici du Règlement général européen à la protection des données (RGPD) et de la loi française Informatique et libertés du 6 janvier 1978.  </div> <div id="ftn3"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref3" name="_ftn3" style="color:#954f72; text-decoration:underline" title="">[3]</a> Arts 3. et 12, Déclaration Universelle des Droits de l’Homme, 10 déc. 1948 ; Art. 2, Déclaration des Droits de l’Homme et du Citoyen, 26 août 1789 ; Art. 22, Loi n° 70-643 tendant à renforcer la garantie des droits individuels des citoyens, 17 juil. 1970 ; Art. 9, Code Civil ; C. Constit., décision n° 99-416 DC, 23 juil. 1999. </div> <div id="ftn4"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref4" name="_ftn4" style="color:#954f72; text-decoration:underline" title="">[4]</a> C. Cass, 1ère Ch. Civ, 13 nov. 2008, Bull. Civ. I., pp. 222-224 ; C. Cass, 1ère Ch. Civ., 9 juil. 2009, Bull. Civ. I, n°7, p. 156 ; C. Cass, 1ère Ch. Civ., 16 jan. 2013, Bull. Civ. I., n°1, pp. 3-4 ; C. Cass, 1ère Ch. Civ., 9 avril 2014, Bull. Civ. I., n°4, pp. 70-71 ; CEDH, Couderc et Hachette Filipacchi associés c. France, 10 nov. 2015, requête n° 40454/07 ; C. Cass., Ch. Cr., 16 mars 2016, 15-82.676 ; C. Cass, 1ère Ch. Civ., 1er mars 2017, Bull. Civ. I., n°3, pp. 54-55. </div> <div id="ftn5"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref5" name="_ftn5" style="color:#954f72; text-decoration:underline" title="">[5]</a> Traduction du texte original. </div> <div id="ftn6"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref6" name="_ftn6" style="color:#954f72; text-decoration:underline" title="">[6]</a> Art. 50 et 51, Ordonnance du 25 août 1539 sur le fait de la justice, enregistrée au Parlement de Paris le 6 sept.1539, dite Ordonnance de Villers-Cotterêts, in JOURDAN, DECRUSY et ISAMBERT, Recueil général des anciennes lois françaises, depuis l’an 420 jusqu’à la Révolution de 1789, Tome XII, éd. Plon, 1821-1833, pp. 600-640 ; Art. 181, Ordonnance rendue sur les plaintes et doléances des états-généraux assemblés à Blois en novembre 1576, relativement à la police du gouvernement, enregistrée au Parlement de Paris en mai 1579, in JOURDAN, DECRUSY et ISAMBERT, Recueil général des anciennes lois françaises, depuis l’an 420 jusqu’à la Révolution de 1789, Tome XIV, éd. Plon, 1821-1833, p.423. </div> <div id="ftn7"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref7" name="_ftn7" style="color:#954f72; text-decoration:underline" title="">[7]</a> OCDE, Recommandation du Conseil concernant les lignes directrices régissant la protection de la vie privée et les flux transfrontières de données à caractère personnel, 23 sept. 1980, disponible à < <a href="https://www.oecd.org/fr/internet/ieconomie/lignesdirectricesregissantlaprotectiondelaviepriveeetlesfluxtransfrontieresdedonneesdecaracterepersonnel.htm" style="color:#954f72; text-decoration:underline">https://www.oecd.org/fr/internet/ieconomie/lignesdirectricesregissantlaprotectiondelaviepriveeetlesfluxtransfrontieresdedonneesdecaracterepersonnel.htm</a>> ; Convention 108, dite Convention pour la protection des personnes à l’égard du traitement des données à caractère personnel, Conseil de l’Europe, juin 2018, 40p, disponible à < <a href="https://rm.coe.int/la-convention-108-visual/1680981499" style="color:#954f72; text-decoration:underline">https://rm.coe.int/la-convention-108-visual/1680981499</a> > </div> <div id="ftn8"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref8" name="_ftn8" style="color:#954f72; text-decoration:underline" title="">[8]</a> Parl. Eu. et Conseil, directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, 24 oct. 1995, JO des CE n°L281/31.  </div> <div id="ftn9"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref9" name="_ftn9" style="color:#954f72; text-decoration:underline" title="">[9]</a> Loi n° 2004-801 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, 6 août 2004, JO 7 août 2004. </div> <div id="ftn10"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref10" name="_ftn10" style="color:#954f72; text-decoration:underline" title="">[10]</a> Art. 2, Parl. Eu. et Conseil, directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, 24 oct. 1995, JO. des CE n°L281/31.  </div> <div id="ftn11"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref11" name="_ftn11" style="color:#954f72; text-decoration:underline" title="">[11]</a> Parl. Eu. et Conseil, règlement 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, 27 avr. 2016. </div> <div id="ftn12"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref12" name="_ftn12" style="color:#954f72; text-decoration:underline" title="">[12]</a> Art. 4, Parl. Eu. et Conseil, règlement 2016/679, ibid. </div> <div id="ftn13"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref13" name="_ftn13" style="color:#954f72; text-decoration:underline" title="">[13]</a> Art. L. 1111-8-1.-I, Code de la Santé Publique, inséré par Loi n° 2016-41 de modernisation de notre système de santé, 26 janv. 2016, JORF n°0022, 27 janv. 2016 ; Art. 86, Décret n° 2019-536 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, 29 mai 2019, JORF n°0125 du 30 mai 2019. L’article précise que la collecte de données de santé ne peut se faire avec l’identifiant national de santé qu’en cas d’urgence sanitaire, lorsqu’il n’existe aucun autre moyen de la réaliser.  </div> <div id="ftn14"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref14" name="_ftn14" style="color:#954f72; text-decoration:underline" title="">[14]</a> CNIL, décision du 5 avr. 2018, n° 2018-121, demande d’autorisation n° 2142180. </div> <div id="ftn15"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref15" name="_ftn15" style="color:#954f72; text-decoration:underline" title="">[15]</a> CNIL, URL accessible à < <a href="https://www.cnil.fr/fr/definition/geolocalisation" style="color:#954f72; text-decoration:underline">https://www.cnil.fr/fr/definition/geolocalisation</a> >, consultée le 28 avr. 2020. </div> <div id="ftn16"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref16" name="_ftn16" style="color:#954f72; text-decoration:underline" title="">[16]</a> Art. 8, Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, ibid. </div> <div id="ftn17"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref17" name="_ftn17" style="color:#954f72; text-decoration:underline" title="">[17]</a> Art. 6 et 9, Parl. Eu. et Conseil, règlement 2016/679, ibid. </div> <div id="ftn18"> <a href="applewebdata://99BB9507-5442-4EB9-AB35-83111D583D62#_ftnref18" name="_ftn18" style="color:#954f72; text-decoration:underline" title="">[18]</a> CJUE, 16 juil. 2020, Data Protection Commissioner c. Facebook Ireland Ltd, Maximillian Schrems, affaire C-311/18. </div> </div> <div style="text-align:start; text-indent:0px; -webkit-text-stroke-width:0px"> <div> <div class="msocomtxt" id="_com_1" language="JavaScript"> </div> </div> </div>