La CNIL limite l'indexation de données publiques par Google & co

La transparence, mais pas les portes ouvertes. Amorçant une doctrine destinée à s'étendre à d'autres champs d'application, la CNIL demande que les moteurs de recherche comme Google ne puissent pas indexer les informations d'intérêt public mises en ligne sur Internet, lorsqu'elles comprennent des données permettant d'identifier les personnes concernées, par exemple, par des conflits d'intérêts.

Comment trouver le meilleur équilibre entre la diffusion sur Internet de données personnelles jugées d'intérêt public, et la protection de la vie privée des personnes concernées ? Au moins en matière de santé et de conflits d'intérêts, la CNIL s'est faite une doctrine qu'elle a étrangement voulu cacher.

Grâce à l'action du Formindep, un collectif de professionnels de santé et de patients qui lutte contre la corruption par les laboratoires pharmaceutiques, la CADA a obligé la CNIL a rendre communicable sa délibération n°2012-125 du 2 mai 2012 (.pdf), portant sur ce qui était alors le projet de décret relatif aux déclarations publiques d'intérêts en matière de santé publique et de sécurité sanitaire. Il est devenu le décret n°2012-745 du 9 mai 2012.

Le texte réglementaire visait à publier sur Internet les déclarations d'intérêts remplies par les membres des cabinets des ministères de la Santé et de la Sécurité Sociale, les membres des commissions et conseils rattachés à ces ministères, les agents des administrations centrales de santé, ceux de l'Agence nationale de sécurité du médicament, de la Haute Autorité de Santé, etc., etc. Les personnes concernées doivent notamment indiquer leurs activités professionnelles des cinq dernières années, les intérêts dans des entreprises ou des associations de santé, ou les liens éventuels de leurs proches avec les professionnels du secteur.

Le décret prévoit qu'après arrêté du Gouvernement, les toutes ces déclarations d'intérêts soient non seulement publiées sur les sites des administrations concernées, mais aussi sur "un site unique". Mais sans s'étendre sur ses motivations, la CNIL avait expressément demandé "que le décret soit modifié afin que les organismes qui procéderont à la mise en ligne soient tenus de mettre en place des mesures visant à empêcher les moteurs de recherche de procéder à une indexation". La CNIL l'a demandé non seulement en ce qui concerne les déclarations publiques d'intérêts, mais aussi — ce qui est plus contestable, en ce qui concerne la publication sur Internet des enregistrements des débats dans les instances consultatives.

Même chose avec le décret du 21 mai 2013, qui porte cette fois sur "la transparence des avantages accordés par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétique destinés à l'homme". Plus clairement, il s'agit de faire la transparence sur les "cadeaux" accordés aux médecins, journalistes médicaux, associations de santé, etc., qui peuvent cacher une forme de corruption.

Là aussi, à la demande de la CNIL, le décret prévoit que "l'autorité responsable du site internet public unique prend les mesures techniques nécessaires pour (…) la protection des seules données directement identifiantes contre l'indexation par des moteurs de recherche".

Ne pas indexer, pour respecter la durée de conservations des données

"Il importe en effet que la divulgation de l'ensemble des informations dont la liste est précisée par le projet de décret ne porte pas atteinte à la vie privée des personnes concernées", explique la CNIL dans son avis (.pdf). "Il ne s'agit en aucun cas d'empêcher toute indexation des données publiées, ce qui serait contraire à l'objectif poursuivi de transparence. Il s'agit en revanche de concilier l'objectif de transparence avec la protection de la vie privée (…) La Commission souhaite que les responsables de traitement soient contraints de mettre en place des mesures empêchant l'indexation des seules données identifiantes publiées. Ces mesures peuvent consister, par exemple, en l'utilisation de règles d'indexation à destination des moteurs de recherche correctement définies (robots.txt) ou de mécanismes visant à s'assurer que l'émetteur d'une requête concernant un document est bien un internaute et non un programme informatique (captcha visuels et auditifs)".

Sur son site internet, la CNIL ajoute une explication supplémentaire très importance. "A partir du moment où une information a été indexée par un moteur de recherche, il est très difficile de s'assurer du respect des durées de conservation prévues par les textes et, pour les personnes concernées, d'exercer leur droit de rectification", indique-t-elle. Or cette préoccupation vaut non seulement pour les déclarations d'intérêt, mais aussi pour toutes les données personnelles collectées sur Internet, quelles qu'elles soient. C'est tout l'objet de la doctrine du droit à l'oubli que voudrait imposer la CNIL, et à laquelle s'oppose Google.

La position de la CNIL, qui cherche à limiter les traces visibles des déclarations d'intérêts, agace en tout cas le collectif Regards Citoyens. "À l’heure de l’opendata et des formidables opportunités offertes par l’internet pour mettre en place un contrôle citoyen efficace, il semblerait que la CNIL en soit encore à l’époque du 3615 Transparence, c’est incompréhensible !", s'énerve-t-il ainsi dans un article virulent de Ragemag, qui publie toute une enquête sur le rôle de la CNIL dans l'opposition à la transparence de la vie publique.

Le collectif à l'origine de NosDéputés.fr a d'autant plus de raisons d'être agacé que les mesures techniques voulues par la CNIL ne visent pas seulement à rendre impossible l'indexation par Google, mais aussi à rendre très difficile la remise en forme automatisée des déclarations d'intérêts. Si un captcha est mis en place, il devient impossible de systématiser le téléchargement et la mise à jour des déclarations d'intérêts, par exemple pour établir automatiquement une liste des personnalités publiques en lien avec tel ou tel laboratoire. Sans être censurée, la transparence est limitée dans ses possibilités.