M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Le droit de la propriété intellectuelle, qui attache des droits patrimoniaux et moraux aux créations originales de l’esprit, ne paraît pas être l’outil adapté pour régir les données personnelles. Par ailleurs, j’ai un doute sur le caractère normatif d’une telle proclamation. Je sollicite le retrait de l’amendement.
M. le président. Quel est l’avis du Gouvernement ?
Mme Nicole Belloubet, garde des sceaux. Monsieur le sénateur, le Gouvernement maintient la position qu’il a défendue à l’Assemblée nationale : il est défavorable à cet amendement, dont l’adoption conduirait à une patrimonialisation des données personnelles.
Il importe de rappeler que le droit d’auteur et le droit moral qui lui est attaché ne s’appliquent qu’aux œuvres de l’esprit, notamment aux livres, aux œuvres audiovisuelles, aux sculptures et aux peintures. De simples données personnelles, ne résultant d’aucun acte de création, n’ont pas vocation à être protégées par le droit d’auteur. L’extension du droit d’auteur aux données personnelles ne me semble ainsi pas fondée ni opportune. L’insertion des données personnelles dans le champ de protection du droit d’auteur aurait en effet pour conséquence de consacrer, au profit des personnes concernées, un véritable monopole d’exploitation de ces données, qui interférerait avec le cadre fixé par la loi de 1978.
De façon générale, la patrimonialisation des données personnelles est un sujet extrêmement complexe, qui n’est pas aujourd’hui complètement tranché. En l’état du droit, il n’existe pas de droit de propriété de l’individu sur ses données personnelles. Le règlement général sur la protection des données n’a d’ailleurs pas consacré un tel droit au niveau européen.
Des réflexions très approfondies ont déjà été conduites sur ce sujet. En particulier, le Conseil d’État y a consacré une analyse extrêmement intéressante et approfondie dans son étude annuelle de 2014 sur le numérique et les droits fondamentaux. Il a jugé préférable d’écarter la reconnaissance d’un droit de propriété de l’individu sur ses données et de consacrer, à la place, un droit à « l’autodétermination informationnelle », entendue comme la liberté de l’individu de décider comment ses données personnelles peuvent être utilisées.
Ce droit a d’ailleurs été développé par la Cour constitutionnelle allemande de Karlsruhe, qui a consacré en 1983 un tel principe, tendant à « garantir en principe la capacité de l’individu à décider de la communication et de l’utilisation de ses données à caractère personnel ».
Cette conception a été reprise en France dans la loi pour une République numérique. Il n’est aujourd’hui pas envisagé d’aller plus loin, en tout cas pas dans le cadre du présent projet de loi.
Je sais que, selon certains, reconnaître un droit de propriété sur ces données serait plus favorable aux citoyens, en permettant de mieux les associer à la création des richesses produites par l’exploitation de leurs données personnelles. Il s’agirait également peut-être d’accompagner une réalité : nos données, nous le savons, sont déjà objet de commerce.
Je crois cependant qu’il faut être extrêmement prudent avant de décider de s’engager dans cette voie. En effet, comme l’a souligné le Conseil d’État, un tel rééquilibrage serait largement illusoire : comment fixer le prix d’une donnée, alors que ce sont souvent les croisements de très grandes bases de données qui confèrent à celles-ci de la valeur, en permettant par exemple de définir des ciblages publicitaires très précis ? Comment assurer le respect d’un tel droit à l’échelle européenne ou internationale ? Comment l’articuler avec les restrictions au droit à protection des données ?
Il existe déjà un certain nombre de normes protégeant l’individu contre une exploitation abusive de ses données personnelles : l’article 8 de la Charte des droits fondamentaux de l’Union européenne, le règlement européen et la directive que nous transposons au travers du présent projet de loi, ainsi que diverses législations sectorielles, propres, par exemple, à la protection des bases de données en termes de droit de la propriété intellectuelle, convergent en la matière.
Dans ces conditions, il me paraît plus sage de conserver le cadre juridique existant plutôt que de s’engager sur la voie d’une patrimonialisation des données personnelles.
M. le président. Monsieur Decool, l’amendement n° 26 rectifié ter est-il maintenu ?
M. Jean-Pierre Decool. Les explications qui m’ont été données, même si elles ne me satisfont pas totalement, me conduisent à retirer cet amendement, monsieur le président.
M. le président. L’amendement n° 26 rectifié ter est retiré.
Article 14 A
(Supprimé)
Article 14
I. – L’article 10 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Art. 10. – Aucune décision de justice ne peut être fondée sur le profilage, tel que défini au 4 de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
« Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel, y compris le profilage, à l’exception :
« 1° Des cas mentionnés au a et c du 2 de l’article 22 du même règlement, sous les réserves mentionnées au 3 du même article et à condition, lorsque la décision produit des effets juridiques, que l’intéressé en soit informé par le responsable de traitement et que les règles définissant le traitement ainsi que les principales caractéristiques de sa mise en œuvre lui soient communiquées à sa demande, sous réserve des secrets protégés par la loi ;
« 2° Des décisions administratives individuelles fondées sur un traitement automatisé de données à caractère personnel dont l’objet est d’appliquer strictement des dispositions légales ou réglementaires à des faits dont la matérialité et la qualification juridique sont établies sur un autre fondement, à condition que le traitement ne porte pas sur des données mentionnées au I de l’article 8 de la présente loi ;
« 3° Des actes pris par l’administration dans l’exercice de ses pouvoirs de contrôle ou d’enquête.
« Par dérogation au 2° du présent article, aucune décision par laquelle l’administration se prononce sur un recours administratif mentionné au titre Ier du livre IV du code des relations entre le public et l’administration ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel. »
II (nouveau). – Au premier alinéa de l’article L. 311-3-1 du code des relations entre le public et l’administration, après le mot : « comporte », sont insérés les mots : « , à peine de nullité, ».
III (nouveau). – Le dernier alinéa du I de l’article L. 612-3 du code de l’éducation est supprimé.
M. le président. L’amendement n° 95, présenté par le Gouvernement, est ainsi libellé :
Alinéa 2
Rédiger ainsi cet alinéa :
« Art. 10. – Aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de la personnalité de cette personne.
La parole est à M. le secrétaire d’État.
M. Mounir Mahjoubi, secrétaire d’État auprès du Premier ministre, chargé du numérique. Monsieur le président, monsieur le président de la commission des lois, madame la rapporteur, mesdames, messieurs les sénateurs, cet amendement vise à maintenir dans sa rédaction actuelle l’alinéa 1er de l’article 10 de la loi dite CNIL.
Nous considérons que le champ de la rédaction issue de la commission et celui du droit actuel sont identiques. Il nous semble préférable de s’en tenir au droit en vigueur, qui présente au moins deux avantages : d’une part, il s’agit du droit actuellement pratiqué et connu ; d’autre part, il est plus explicite que la rédaction adoptée par la commission, en ce qu’il ne renvoie pas au règlement et vise directement les traitements automatisés de données à caractère personnel prohibés, c’est-à-dire ceux qui sont destinés à évaluer certains aspects de la personnalité.
Nous estimons ainsi que le droit actuel est plus performant que ne le serait le dispositif proposé par la commission.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. La définition retenue par la commission nous semblait plus complète. En effet, à la place de l’expression « appréciation sur le comportement d’une personne », elle renvoie à la définition du profilage, qui consiste, à partir de faits passés relatifs à une personne, à évaluer la probabilité de faits passés, présents ou futurs la concernant.
La commission émet cependant un avis de sagesse.
M. le président. Je suis saisi de deux amendements faisant l’objet d’une discussion commune.
L’amendement n° 96, présenté par le Gouvernement, est ainsi libellé :
Alinéa 5
Rédiger ainsi cet alinéa :
« 2° Des décisions administratives individuelles prises dans le respect de l’article L. 311-3-1 et du chapitre Ier du titre Ier du livre IV du code des relations entre le public et l’administration, à condition que le traitement ne porte pas sur des données mentionnées au I de l’article 8 de la présente loi. Pour ces décisions, le responsable de traitement s’assure de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détails et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard ;
La parole est à M. le secrétaire d’État.
M. Mounir Mahjoubi, secrétaire d’État. En préambule, le Gouvernement tient à souligner la convergence de vues sur le fond avec Mme la rapporteur, qui a écrit dans son rapport que l’« on ne saurait admettre que l’administration se défausse de ses responsabilités sur la machine, en jouant de la complexité technique et de la réputation d’infaillibilité des automates pour masquer ses propres choix ».
Je souscris tout à fait à cette analyse : c’est bien cela, en définitive, qui fait du tort à la dématérialisation et à la modernisation de nos modes d’action et qui les caricature.
Malheureusement, cette convergence, visible dans le rapport, semble s’être perdue dans le texte finalement adopté par la commission des lois, qui nous paraît obscurcir et limiter considérablement le champ des décisions pouvant être prises sur le fondement d’un traitement algorithmique.
C’est pourquoi le présent amendement tend à rétablir globalement le texte dans sa version issue de l’Assemblée nationale. L’équilibre qui avait été trouvé visait à permettre le recours à des décisions administratives prises sur le fondement d’un traitement algorithmique, tout en offrant les garanties nécessaires à la sauvegarde des droits et libertés, ainsi que des intérêts légitimes des usagers concernés.
Pour cela, il importe que figurent explicitement dans le texte de la loi Informatique et libertés les trois garanties de transparence, d’intervention humaine et de maîtrise.
En ce qui concerne la transparence, d’abord, l’usager, lorsqu’une décision est prise sur le fondement d’un traitement algorithmique, en est informé systématiquement. Il peut demander des informations supplémentaires très détaillées.
L’intervention humaine, ensuite, est assurée à travers le droit de recours, déjà ouvert aujourd’hui.
Enfin, la garantie de maîtrise du traitement doit être explicitée ; la CNIL y a particulièrement insisté dans son avis.
Le lien entre la maîtrise et la transparence à travers l’explicitation du traitement est important pour l’économie globale du dispositif.
À notre sens, l’obligation de maîtrise constitue une intervention humaine a priori, dans le cadre de l’élaboration du traitement algorithmique lui-même. C’est la garantie que propose le Gouvernement contre le risque lié à l’essor de l’intelligence artificielle, des algorithmes dits « auto-apprenants » et des traitements dits « de boîte noire ».
Le Gouvernement vous propose d’affirmer ces garanties, selon lui suffisantes, plutôt que de restreindre drastiquement le champ d’application de ces usages.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. La commission des lois a estimé que les garanties apportées par l’Assemblée nationale en ce qui concerne les décisions prises par l’administration sur le fondement d’algorithmes n’étaient pas suffisantes.
Sans méconnaître les bénéfices liés à l’usage d’algorithmes par l’administration, la commission a entendu prévenir un triple risque.
D’abord, une décision automatisée risque d’être aveugle à des circonstances de l’espèce qui mériteraient d’être prises en compte, parce que l’algorithme n’a pas été programmé pour en tenir compte. Le recours aux algorithmes doit donc être réservé à des cas n’appelant aucun pouvoir d’appréciation.
Le deuxième risque lié à l’essor de l’intelligence artificielle est que des décisions administratives individuelles soient prises sans que personne ne sache suivant quels critères, l’algorithme ayant déterminé lui-même les critères à appliquer et leur pondération ; c’est ce qu’on appelle le phénomène des « boîtes noires ».
Enfin, il faut éviter que la programmation des algorithmes destinés à prendre des décisions individuelles n’aboutisse à contourner les règles de fond et de forme encadrant l’exercice du pouvoir réglementaire.
Ainsi, dans la procédure dite « Admission post-bac », ou APB, les candidatures des lycéens aux licences universitaires étaient classées suivant des critères reposant sur une base légale fragile, n’ayant jamais été explicités dans un texte réglementaire et qui n’étaient pas même rendus publics.
Comme l’a dit M. le secrétaire d’État, on ne saurait accepter que l’administration se défausse ainsi de ses responsabilités sur la machine, en jouant de la complexité technique et de la réputation d’infaillibilité des automates pour masquer ses propres choix.
La commission des lois a donc choisi de n’autoriser les décisions administratives individuelles prises sur le fondement d’un traitement automatisé de données personnelles que lorsque ce traitement a pour objet d’appliquer strictement des dispositions légales ou réglementaires à des faits dont la matérialité et la qualification juridique ont été établies sur un autre fondement que celui d’un traitement automatisé.
Cela rend inutile la précision apportée par l’Assemblée nationale selon laquelle « le responsable de traitement s’assure de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détail et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard ».
D’une part, en effet, l’algorithme ne pourra pas évoluer : programmé pour appliquer strictement le droit, il ne sera pas une « boîte noire ». C’est là l’une de nos exigences principales.
D’autre part, le code des relations entre le public et l’administration garantit déjà à tout administré la possibilité de se voir communiquer les règles et les principales caractéristiques de mise en œuvre d’un algorithme lorsque celui-ci a servi à prendre une décision à son égard. L’examen d’autres amendements nous conduira à reparler de cette question.
Enfin, contrairement à ce que fait valoir le Gouvernement dans l’objet de son amendement, il paraît tout à fait nécessaire d’inscrire dans la loi que l’algorithme doit avoir pour objet d’appliquer strictement des dispositions légales ou réglementaires. Il existe en effet toutes sortes de décisions administratives individuelles dont le sens n’est pas déterminé par le cadre législatif ou réglementaire : celles pour lesquelles l’administration dispose d’un pouvoir d’appréciation. Or nous refusons absolument que de telles décisions soient prises sur le fondement d’un algorithme – ce qui reviendrait d’ailleurs pour l’administration à renoncer à son pouvoir d’appréciation au cas par cas…
Pour ces raisons, la commission est défavorable à l’amendement.
M. le président. L’amendement n° 138, présenté par Mme S. Robert, MM. Durain, Sutour, Sueur, Kanner et les membres du groupe socialiste et républicain, est ainsi libellé :
Alinéa 5
Compléter cet alinéa par les mots :
et que l’intéressé puisse exprimer son point de vue et contester la décision
La parole est à Mme Sylvie Robert.
Mme Sylvie Robert. Cet amendement reprend en partie les garanties apportées par le paragraphe 3 de l’article 22 du règlement européen en matière de protection des droits et libertés de l’individu. Nous voulons nous assurer que, dans le cadre de décisions administratives individuelles prises sur le fondement d’un algorithme, l’intéressé pourra exprimer son point de vue, et surtout contester la décision résultant du traitement automatisé. En fait, il s’agit de renforcer le droit au recours.
S’agissant de l’article 14, je tiens à féliciter Mme la rapporteur pour la réécriture qu’elle a opérée, qui, de mon point de vue, apporte beaucoup plus de garanties.
Lors de l’examen, voilà quelques semaines, du projet de loi relatif à l’orientation et à la réussite des étudiants, nous avons longuement évoqué Parcoursup, qui n’est autre qu’un algorithme central apparié à des algorithmes locaux. On peut avoir un débat sur la transparence de ce dispositif. On se souvient, concernant son prédécesseur APB, que précisément l’opacité ne permettait plus la confiance. De fait, la question de la confiance est de la plus haute importance en matière d’algorithmes. C’est pourquoi je trouve que la réécriture par Mme la rapporteur de l’article 14, que nous essayons d’améliorer encore par nos amendements, est fort bienvenue.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Avis favorable.
M. le président. Quel est l’avis du Gouvernement ?
M. Mounir Mahjoubi, secrétaire d’État. Le Gouvernement souscrit à l’objectif des auteurs de l’amendement : s’assurer que la personne concernée par la décision pourra faire valoir son point de vue et bénéficier d’un plein droit de recours. Il partage tout autant, madame la sénatrice, votre vision générale de l’article 14 en ce qui concerne la nécessité absolue de la transparence.
Toutefois, le Gouvernement est défavorable à votre amendement, car il considère que les mesures prévues par ailleurs répondent pleinement à cette ambition.
M. le président. La parole est à M. Pierre Ouzoulias, pour explication de vote.
M. Pierre Ouzoulias. Notre collègue Sylvie Robert vient d’évoquer le débat que nous avons eu dans cet hémicycle sur Parcoursup lors de l’examen du projet de loi relatif à l’orientation et à la réussite des étudiants. Unanimement, la Haute Assemblée avait alors considéré que les algorithmes locaux devaient être dissociés de la décision prise par l’administration. La ministre de l’enseignement supérieur s’était engagée sur ce principe, mais nous nous sommes aperçus, à la lecture des décrets, qu’une autre voie réglementaire a été prise : le résultat donné par les algorithmes est considéré comme partie prenante à la décision du jury, couverte par le secret des délibérations. Cela n’est pas recevable en droit, puisqu’il s’agit d’un traitement automatisé préalable aux débats des enseignants sur les dossiers.
L’article 14, tel qu’il est rédigé aujourd’hui, vient combler un vide juridique de façon tout à fait pertinente. Je le voterai donc volontiers.
M. le président. La parole est à Mme Catherine Morin-Desailly, pour explication de vote.
Mme Catherine Morin-Desailly. Je me ferai ici, en quelque sorte, la porte-parole du rapporteur de la loi relative à l’orientation et à la réussite des étudiants, Jacques Grosperrin, avec qui je me suis entretenue de la transparence des algorithmes ces derniers jours.
Il est vrai que, lors des débats, M. Grosperrin s’est montré très sensible à l’idée de publier les algorithmes locaux, afin que l’on ne retombe pas dans un système de « boîte noire ». En effet, APB avait fini par être appréhendé de cette façon : on avait l’impression que toute décision humaine avait disparu et qu’on s’en remettait totalement à la machine.
M. Pierre Ouzoulias. Tout à fait !
Mme Catherine Morin-Desailly. Je crois que tel n’est pas l’esprit de la loi relative à l’orientation et à la réussite des étudiants. Certes, l’inscription sera automatisée selon un certain nombre de critères, mais le résultat produit par l’algorithme ne sera qu’une aide à la prise de décision, et ne conditionnera pas inéluctablement celle-ci. Un comité pédagogique examinera les dossiers. Je ne suis donc pas tout à fait d’accord avec notre collègue Ouzoulias sur ce point.
Je rappelle aussi que le Sénat, dans sa sagesse, a entendu instaurer un comité d’éthique et scientifique chargé de prévenir tout risque lié à un déficit de transparence.
Concrètement, les décisions prises comporteront une part humaine. À cet égard, le secret des délibérations des instances pédagogiques chargées d’étudier les dossiers est tout à fait légitime.
Je tenais à apporter ces précisions, en soulignant que nous sommes dans une année de transition, au cours de laquelle les universités vont expérimenter le dispositif. Il faudra être attentif aux remontées du terrain, pour ajuster au mieux le processus d’orientation des élèves vers un parcours de réussite. Ce processus est en cours. De ce fait, tout en saluant l’excellent travail accompli par Mme Joissains, je me demande s’il ne vaudrait pas mieux attendre qu’il soit parvenu à son terme pour appliquer la disposition proposée, qui consiste en un renforcement de l’obligation de transparence.
Mme Sophie Joissains, rapporteur. Nous reviendrons sur cette question ultérieurement.
M. le président. Je suis saisi de deux amendements identiques.
L’amendement n° 97 est présenté par le Gouvernement.
L’amendement n° 133 est présenté par MM. Durain et Sutour, Mme S. Robert, MM. Sueur, Kanner et les membres du groupe socialiste et républicain.
Ces deux amendements sont ainsi libellés :
Alinéa 6
Supprimer cet alinéa.
La parole est à M. le secrétaire d’État, pour présenter l’amendement n° 97.
M. Mounir Mahjoubi, secrétaire d’État. Avant de présenter cet amendement, je tiens à indiquer que nous débattrons de l’application de la loi relative à l’orientation et à la réussite des étudiants lors de la discussion de l’amendement n° 99 ; je prendrai alors le temps d’exposer la position du Gouvernement de façon détaillée et de vous communiquer de nombreuses informations actualisées, afin de vous rassurer sur un sujet sur lequel nous avons la même ambition.
La défense de l’amendement n° 97 me donne aussi l’occasion de présenter quelques observations plus générales sur l’utilisation des sciences de la donnée, les data sciences, au sein de l’administration.
Dans le cadre de la modernisation de l’action publique, nous souhaitons que les sciences de la donnée se répandent dans l’administration française et que les opérations d’enquête ou de contrôle puissent s’appuyer plus souvent sur des analyses de données. L’objectif est d’optimiser l’activité des services d’enquête, dont les ressources, notamment humaines, sont toujours trop limitées.
Toutefois, les traitements sur lesquels les services peuvent s’appuyer doivent rester strictement des outils d’aide à la décision : rien de plus, rien de moins. Telle est bien la situation, aujourd’hui, dans l’appareil d’État, y compris au sein de l’administration fiscale : on recourt à des outils d’aide à la décision fondés sur les sciences de la donnée.
L’alinéa 6 de l’article 14, dans sa rédaction issue des travaux de la commission, nous paraît contraire au règlement européen, dans la mesure où il ne prévoit aucune garantie concernant les actes visés, alors qu’ils affectent significativement les personnes. En particulier, le droit à former un recours et à faire valoir son point de vue n’est pas prévu, non plus que la présence dans l’acte d’une mention informant la personne du recours à un algorithme. Cet amendement vise à y remédier.
M. le président. La parole est à M. Jérôme Durain, pour présenter l’amendement n° 133.
M. Jérôme Durain. Il est défendu, monsieur le président.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Un simple acte d’enquête ou de contrôle peut être intrusif, quoi que la commission ait pu en penser. La réflexion sur les algorithmes est vraiment loin d’être aboutie : nous ne savons pas encore très clairement dans quelle mesure nous pouvons nous y fier, quels biais ils peuvent comporter, quelles discriminations ils peuvent engendrer ni quelle est la bonne manière de les contrôler.
Au demeurant, il serait bon que le Gouvernement nous fasse part de son appréciation sur l’idée de créer une commission consultative, voire une autorité administrative, spécialement chargée du contrôle des algorithmes.
En attendant d’y voir plus clair, je pense qu’il convient de faire preuve de prudence. C’est pourquoi, à titre personnel, j’émets un avis favorable sur ces amendements identiques.
M. le président. Je mets aux voix les amendements identiques nos 97 et 133.
(Les amendements sont adoptés.)
(M. Thani Mohamed Soilihi remplace M. David Assouline au fauteuil de la présidence.)