[Entretien] Alexandre Fievée : La liberté d'expression est-elle menacée par le RGPD ?

[Générique] L’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.

[Benjamin] Bonjour, bienvenue dans RdGP, le podcast sérieux qui vous emmène au cœur des enjeux des droits numériques, des libertés individuelles et de la vie privée.

[Aeris] Avec un temps accessible, engagé mais bienveillant, nous essayerons de démystifier ces risques et ces dangers qui envahissent mon quotidien.

[Benjamin] Aujourd'hui, nous enregistrons dans des conditions un peu particulières puisque nous sommes en public,

[Benjamin] au Paris Radio Show à la Bellevilloise.

[Aeris] Et pour cet épisode, sobrement intitulé « La liberté d'expression est-elle menacée par le RGPD ? » nous avons la chance de recevoir Maître Alexandre Fievée, avocat au barreau de Paris et grand spécialiste du RGPD.

[Benjamin] Donc on vous souhaite la bienvenue dans cet endroit un peu étrange et par avance un grand merci d'avoir accepté cette invitation.

[Maître Fievée] Avec plaisir.

[Aeris] Alors c'est un épisode qui m'intéresse tout particulièrement et j'étais très attendu de faire ce sujet là en particulier parce qu'il va toucher à une vraie problématique du RGPD que beaucoup de monde ignore mais le RGPD s'applique aussi au particulier En particulier il y a l'article 2 de C du RGPD qui normalement dit que le RGPD ne s'applique pas dans des cas d'usage scriptement au personnel et domestique

[Aeris] mais cette exception a été très strictement encadrée par différents arrêts de la Scourde justice de l'Union européenne qui en fait fait que cette exception est très limitative et donc la plupart du temps quand vous allez faire quelque chose dans votre vie quotidienne et qu'il y a un inconnu ou quelque chose qui dépasse un peu votre faire privé vous allez très rapidement tomber sur le RGPD et vous allez devoir vous en préoccuper

[Benjamin] Je veux dire que même moi je suis soumis au RGPD.

[Aeris] Mais voilà, si tu as des dashcams par exemple, je pense qu'on en parlera…

[Benjamin] Ok alors quand on pense aux RGPD on imagine souvent les bandeaus de consentement pour les cookies ?

[Benjamin] Le RGPD, est-ce qu'il se limite qu'à cela et pour schématiser,

[Benjamin] parce qu'on devine bien dans la question que la réponse est non, quelle est la proportion du champ d'application du RGPD ? Qu'est-ce que ces fameux bandeaux cookie représentent dans le champ d'application du RGPD maître Fievée ?

[Maître Fievée] En réalité, l'exigence du consentement en matière de cookie ne trouve pas sa source dans le RGPD,

[Maître Fievée] mais dans la directive Privacy de 2002 qui a été transposée en droit français

[Maître Fievée] par le législateur à l'article 82 de la loi de 78, la loi informatique et liberté.

[Maître Fievée] Et en fait, on a autant parlé des cookies et de l'exigence du consentement.

[Maître Fievée] avec le RGPD parce que le RGPD a donné une nouvelle définition du consentement qu'il n'y avait pas dans la loi de 78 avec quatre exigences,

[Maître Fievée] le fait que le consentement doit être libre, spécifique, éclairé et univoque.

[Maître Fievée] et les autorités de protection des données, quand le RGPD est entré en vigueur, elles ont considéré, et Lacny, elle en fait partie,

[Maître Fievée] lorsque le bandeau d'information cookie apparaît, ne suffit pas pour manifester un consentement univoque.

[Maître Fievée] Et c'est la raison pour laquelle depuis maintenant quelques années, depuis l'entrée en vigueur du RGPD,

[Maître Fievée] tous les sites Internet maintenant vous obligent, lorsque vous arrivez sur la page d'accueil,

[Maître Fievée] à faire un choix très clair, très précis, j'accepte ou je refuse.

[Maître Fievée] Mais pour répondre à votre question, effectivement,

[Maître Fievée] l'exigence du consentement et la problématique du RGPD

[Maître Fievée] n'est qu'une problématique parmi tant d'autres

[Maître Fievée] et je pense qu'on va y revenir. Mais une des problématiques dont on parle pas beaucoup au passé, en tout cas en France, c'est,

[Maître Fievée] comme tu disais tout à l'heure, c'est l'application du RGPD au particulier, mais aussi l'application du RGPD aux journalistes.

[Benjamin] C'est-à-dire que le bandeau cookie, finalement, c'est vraiment la partie émergée de l'iceberg qui est le RGPD.

[Aeris] Très visible, mais effectivement très minoritaire et très mineur au final dans le texte tel qu'il aurait dû être. Les entreprises et les particuliers associations et autres auraient dû s'occuper de plein plein d'autres choses, mais effectivement ce qu'on voit le plus aujourd'hui c'est les fameux bandeau cookie.

[Aeris] Mais du coup, il faudrait peut-être qu'on revienne déjà à la base du RGPD et définir qu'est-ce que ça est une donnée à caractère personnel puisque c'est quand même

[Aeris] aussi une notion qui est très très... voilà l'objet.

[Benjamin] L'objet du RGPD c'est de protéger nos données à caractère personnel, ouais. Donc qu'est-ce que c'est ?

[Aeris] les données à caractère personnel et qui est une notion très mal connue, je pense, la plupart des gens.

[Benjamin] Qu'est-ce que c'est mettre une donnée à caractère personnel, une DCP ? Et qu'est-ce qu'on aurait comme exemple concret pour bien saisir quels sont les enjeux ?

[Maître Fievée] Mais déjà ce qu'il faut comprendre, c'est que le RGPD s'implique au traitement de données personnelles.

[Maître Fievée] donc à toute opération qui porte sur des données personnelles, donc qui créent des droits pour les personnes dont les données sont traitées et des obligations pour ceux qui traitent les données personnelles.

[Maître Fievée] Et par données personnelles, en fait, il faut...

[Maître Fievée] entendre une notion extrêmement large, parce que contrairement à ce qu'on pourrait penser, la donnée personnelle n'est pas seulement la donnée qui permet d'identifier une personne physique.

[Maître Fievée] ce n'est pas que l'image, le visage.

[Maître Fievée] le nom patronymique ou encore la voix.

[Maître Fievée] C'est une notion beaucoup plus large en ce sens où il faut entendre toutes les données.

[Maître Fievée] sont relatives à une personne physique identifiée ou identifiable. Donc identifiée par exemple par son nom patronymique ou identifiable par un regroupement de données qui permet d'identifier cette personne.

[Maître Fievée] Si bien que dans un fichier, dès l'instant où vous avez une personne physique...

[Maître Fievée] qui est identifiée ou identifiable.

[Maître Fievée] qui vont graviter autour

[Maître Fievée] de ce nom patronymique par exemple ?

[Maître Fievée] deviennent des données à caractère personnel.

[Maître Fievée] Donc le genre, la situation patrimoniale, le nombre d'enfants à charge.

[Maître Fievée] l'état de santé, les croyances politiques, l'appartenance syndicale, sont des données potentiellement à caractère passionnel.

[Benjamin] Les vêtements aussi, si je prends une photo de quelqu'un et qu'on voit sa silhouette et sa manière de s'habiller, ça peut être considéré comme une DCP.

[Maître Fievée] C'est une bonne question. La taille du vêtement peut être considérée comme une donnée à caractère personnel.

[Aeris] Et ça risque aussi de dépendre du contexte de la photo, par exemple si on a la date, ou qu'on a des vêtements qui sont plus distinguables que d'autres, ça sera forcément plus facilement des données à caractère personnel.

[Aeris] que quelqu'un qui porte une veste noire dans une rue qu'on n'est même pas capable d'identifier où on a eu une date à précise, ça va vraiment dépendre du contexte.

[Benjamin] reste sujet à interprétation et on ne peut pas dire ça c'est une DCP dans tous les cas et ça, ça n'est jamais une DCP.

[Aeris] De toute façon, le RGPD est assez clair, même les lignes directrices ou autres, c'est toujours du cas d'espèce. On ne peut pas dire en général, ça c'est une DCP, ça ça n'en est pas. C'est toujours à étudier au cas par cas, il y a des cas qui sont beaucoup plus évidents que d'autres.

[Aeris] mais à chaque fois les autorités de protection des données serait supposé étudier la réalité de est-ce que c'est une DCP ou pas ?

[Benjamin] l'adresse IP par exemple, parce que c'est la DCP dont on entend le plus parler et sur lesquelles on est le moins d'accord en général.

[Aeris] Pour le coup, on a un arrêt de la CGE qui dit bien que c'est une donnée à caractère personnel parce que ça a identifié au moins le propriétaire de l'abonnement internet. Effectivement, ça a pas forcément identifié le visiteur, mais en tout cas le propriétaire de l'abonnement internet. Et c'est lui qui peut voir les flics débarquer chez lui en cas de perquisition ou autre. Et donc du coup, ça identifie bien une personne.

[Aeris] qui n'est pas forcément celle à laquelle on pense initialement, mais en tout cas ça en identifie bien une.

[Benjamin] Et juste pour aller au bout, si je prends une adresse IP, que par exemple je rajoute un user agent, c'est-à-dire le navigateur utilisé, mais que je passe ça dans une fonction de hachage...

[Benjamin] type MD5, SHA-1, SHA-256 ou autre.

[Benjamin] c'est à dire qui fait qu'on ne peut plus lire l'adresse IP.

[Aeris] Ça peut rester une donnée à caractère personnel aussi pour le coup. Ça a déjà tranché aussi. Les fonctions de hachage sont réversibles. En fait, ça conserve quand même encore certaines informations. On est capable de le retrouver. En particulier si on connaît l'adresse IP en clair, on est capable de vérifier que ça correspond bien à celle qui est enregistrée dans la base.

[Aeris] Et donc encore une fois c'est toujours à étudier au cas par cas mais normalement une fonction de hh ne suffit pas pour anonymiser les données. Au mieux ça va les pseudonymiser mais pas les anonymiser.

[Benjamin] D'accord, mais donc la pseudonymisation qui fait qu'on appuie le nom réel ou l'adresse IP réelle de la personne.

[Benjamin] ne supprime pas le caractère personnel de la donnée et du coup on est toujours soumis au RGPD.

[Aeris] Voilà, il y aura du coup, il y a moins de protection à mettre parce que les données sont moins sensibles, moins d'identifiant etc. Mais ça reste couvert par le RGPD, donc il y a quand même tout à appliquer, réfléchir sur la base légale, la notion de traitement, minimisation etc.

[Maître Fievée] Oui, c'est la distinction qu'on peut faire entre l'anonymisation qui est irréversible de la pseudonymisation. Dès l'instant où c'est réversif, c'est-à-dire qu'on pense avoir effacé le caractère identifiant si quelqu'un, n'importe qui, peut...

[Maître Fievée] de manière réversible, réidentifiée à la personne, c'est une donnée pseudonymisée et donc qui est soumise au RGPD. Et c'est ce que je disais un petit peu en introduction, c'est qu'il faut vraiment entendre la notion de données personnelles comme une notion extrêmement large. Une interprétation restrictive pourrait nous mettre en difficulté le jour d'un contrôle, de l'autorité de contrôle, l'ACNIL en l'occurrence en France.

[Benjamin] d'un contrôle ou même d'un litige.

[Maître Fievée] Oui, mais généralement en la matière.

[Maître Fievée] ça part souvent de la CNIL et l'une de ces moyens d'investigation, c'est le contrôle, en tout cas pour les entreprises.

[Benjamin] J'ai vu des épaules se hausser à ma droite.

[Aeris] J'ai plus le droit de critiquer on a dit.

[Benjamin] Donc vous évoquez souvent la base légale.

[Benjamin] pour le traitement des données.

[Benjamin] On va revenir sur le cœur de notre sujet, le journalisme.

[Benjamin] Pour un journaliste, l'intérêt légitime peut justifier un traitement.

[Benjamin] Mais pour un particulier, le consentement semble être indispensable.

[Maître Fievée] Ce qu'il faut avoir en tête, c'est que pour qu'un traitement de données à caractère personnel soit licite, l'une des conditions, c'est qu'il doit reposer sur une base légale.

[Maître Fievée] Le RGPD énumère six bases légales,

[Maître Fievée] Et parmi ces bases légales, il y a l'intérêt légitime.

[Maître Fievée] Et au regard des décisions qu'on a pu voir, qui ont été rendues dans d'autres pays que la France sur le sujet, c'est vrai que le traitement journalistique semble reposer sur l'intérêt légitime, ce qui n'est pas le cas pour un traitement qui serait réalisé par un particulier.

[Benjamin] On en a déjà parlé dans ce podcast, mais on peut peut-être relister les six bases légales.

[Aeris] nécessaires au contrat, intérêts légitimes, consentement, obligations légales, nécessaires à sauvegarde des intérêts vitaux et missions d'intérêt public.

[Aeris] Je ne crois pas les avoir cités dans l'ordre, mais voilà.

[Maître Fievée] Je suis pas sûr qu'il y a un ordre.

[Aeris] Au sens de l'article 6 en tout cas, si, mais oui.

[Maître Fievée] Oui, mais il n'y a pas d'héarchie.

[Aeris] Mais il n'y a pas de hiérarchie du tout, oui. Et c'est vraiment à chaque responsable de traitement de décider justement son âme et conscience et de justifier surtout.

[Aeris] sous quelle base légale il va se poser. Sachant que chacune des bases légales est aussi très encadrée. On l'a cité, le consentement à des obligations, quatre obligations pour être vraiment valides. Les obligations légales, pareil, s'entendent strictement. Ça doit vraiment être écrit dans un texte de loi que ce traitement-là en particulier est obligatoire. Ce n'est pas des conséquences d'une loi.

[Aeris] Et pareil, l'intérêt légitime, en particulier nécessité, proportionnalité et légitimité, ce sont trois critères absolument respectés.

[Benjamin] Donc pour récapituler, dans les cas les plus courants...

[Benjamin] on considère que le particulier doit pour se justifier du traitement d'une DCP d'un recueil de consentement alors qu'un journaliste pourra se prévaloir de l'intérêt légitime.

[Maître Fievée] Oui, c'est ce qu'on peut en conclure lorsqu'on lit les décisions qui ont été rendues par des autorités de protection des données, comme en Espagne ou en Italie.

[Maître Fievée] Parce qu'on y reviendra probablement après mais ça va avec l'acnil ne sait pas encore, en tout cas à ma connaissance, positionner sur le sujet.

[Benjamin] Oui, parce qu'on parle de journalisme, l'article 85 du RGPD.

[Benjamin] mettre mes fils par là.

[Benjamin] qui vise à concilier la liberté d'expression et protection des données.

[Benjamin] Dans ce cadre, en quoi le principe de minimisation a impossible des contraintes supplémentaires aux journalistes ?

[Maître Fievée] En fait, ce qui se passe, c'est qu'un grand nombre encore aujourd'hui...

[Maître Fievée] ou même le grand public pense que le RGPD ne s'applique pas au traitement journalistique.

[Maître Fievée] et c'est pas tout à fait exact, c'est même pas exact du tout. En fait ce qu'il faut comprendre c'est que le RGPD...

[Maître Fievée] donne la possibilité aux États membres

[Maître Fievée] de pouvoir prévoir un régime dérogatoire pour des traitements particuliers.

[Maître Fievée] Parmi ces traitements particuliers, il y a les traitements qui sont réalisés dans le cadre de la liberté d'expression et du droit à l'information.

[Maître Fievée] Et l'État a donc la possibilité de prévoir des assouplissements ?

[Maître Fievée] des dérogations à certains principes, certaines règles.

[Maître Fievée] Et le législateur français l'a fait en insérant ce régime dérogatoire dans la loi Informatique et Liberté de 1978.

[Maître Fievée] Et donc ce que le legislateur français a fait, c'est qu'il a écarté certains principes.

[Maître Fievée] s'applique à n'importe quel type de traitement, au traitement journalistique et il a écarté un certain nombre de droits.

[Maître Fievée] Et parmi les principes qu'il n'a pas écartés et qui donc s'appliquent au traitement journalistique, on a le principe de minimisation.

[Maître Fievée] Le principe de minimisation fait qu'on ne peut collecter, qu'on ne peut traiter que les données qui sont strictement nécessaires par rapport à la finalité du traitement.

[Maître Fievée] Et ce principe s'applique au traitement de journalistique donc un journaliste

[Maître Fievée] devrait, doit appliquer le principe de minimisation.

[Aeris] On a vu d'ailleurs encore récemment des condamnations de journaux en Italie, je crois, qui ont été condamnées pour avoir divulgué des informations, en particulier des états de santé de boss mafieux là-bas. Et les autorités de protection des données ont considéré qu'il n'y avait pas d'intérêt à informer le public des états de santé de cette personne, et donc que les articles qui avaient été publiés violaient le RGPD. Donc le journal a été contraint de retirer ces articles

[Benjamin] Oui parce que minimiser des données, ça veut dire ne pas traiter des données qui ne sont pas strictement nécessaires à la finalité.

[Maître Fievée] par rapport à l'objet de l'article par exemple, j'ai l'exemple d'une affaire qui s'est passée en Espagne.

[Maître Fievée] C'était un abonné d'un compte Twitter, donc maintenant X,

[Maître Fievée] qui publie une vidéo sur son compte ?

[Maître Fievée] Et dans cette vidéo, on peut voir une personne, on va l'appeler la tierce personne.

[Maître Fievée] et on peut découvrir son visage et on peut aussi la reconnaître par le biais de sa voix.

[Maître Fievée] et cette personne se rencontre quelques jours plus tard qu'un média

[Maître Fievée] espagnol, un site Internet d'actualité.

[Maître Fievée] À réaliser, on va publier un article sur cette vidéo.

[Maître Fievée] et cette article est devenue, la vidéo déjà était devenue virale et l'article était énormément consulté.

[Maître Fievée] et elle s'est rendue compte que le média en question l'avait nomément désigné dans son article.

[Maître Fievée] Ce média avait fait un lien vers la vidéo.

[Maître Fievée] Et dans l'article en question, on pouvait voir la photo de la personne qui est dans la vidéo.

[Maître Fievée] a été repris dans l'article un certain nombre de passages.

[Maître Fievée] tels que des dialogues qu'il y avait dans la vidéo.

[Maître Fievée] Et cette personne qui n'avait jamais donné son consentement à ce que cette vidéo soit publiée a déposé une plainte à l'autorité espagnole de protection des données.

[Maître Fievée] Et l'autorité espagnole lui a donné Gancos, considérant que...

[Maître Fievée] La publication des données personnelles par le média espagnol s'analyse comme un traitement de données à caractère personnel et qui l'est soumis au RGPD. Et la circonstance qu'il s'agit d'un média est indifférente.

[Maître Fievée] Et l'autorité partant de ça, elle a regardé si...

[Maître Fievée] Le Média, lorsqu'il a publié cet article sur le caractère viral de la vidéo du fait qu'elle a été postée sur le compte Twitter de l'abonné, est-ce que le Média avait besoin véritablement, pour faire cet article, de donner le nom de la personne, de mettre sa photo ou de mettre un lien vers la vidéo devenue virale, sans masquer son visage ou encore déformer sa voix ?

[Benjamin] Donc, c'est-à-dire que ce qu'on reproche au média, ce n'est pas d'avoir publié une information, c'est d'avoir publié des données à caractère personnel qui n'étaient pas nécessaires à la publication de cette information.

[Maître Fievée] Oui parce que l'article portait sur le côté viral d'une vidéo qui avait été postée sous la

[Maître Fievée] sur un réseau social. Donc pour parler de ce sujet-là, il n'était pas utile de citer la personne qui était quelque part l'objet de la moquerie, ni de donner son nom, ni de faire une capture d'écran.

[Maître Fievée] de la vidéo de son visage pour ensuite illustrer l'article. Donc c'est autant d'éléments que l'autorité a considéré comme non indispensable pour traiter de sujets.

[Benjamin] Et ceci même si la vidéo avait déjà été publiée auparavant, c'est-à-dire que quelque part la donnée était déjà publique.

[Benjamin] et le média n'a fait que reprendre une information qui était déjà accessible.

[Benjamin] pas une excuse.

[Aeris] Oui mais surtout après le le autorité de protection avait justement été aussi plus loin et a même été considéré que la première première diffusion de la vidéo était elle-même déjà une violation de la du rgpd et d'ailleurs a eu une sanction assez lourde en condamnant à 2000 euros toute personne qui avait retweeté cette vidéo avant de se raviser parce que dit j'arriverai de toute façon pour identifier les toutes les personnes mais voilà en fait la vidéo initiale était déjà illicite et donc du coup bah les mêmes les journaux en fait aurait presque dû

[Aeris] se limiter encore plus à diffuser dessus puisqu'elle est.

[Aeris] La personne initiale qui a publié cette vidéo avait déjà commis des violations d'émeuves.

[Aeris] Et donc tout n'excuse, enfin c'est pas parce qu'on est un journal que du coup on doit faire tout et n'importe quoi et on doit aussi filtrer ses sources.

[Aeris] vérifier que tout va bien et anonymiser les données.

[Maître Fievée] Oui, et dans cette affaire, l'argument en défense du média, c'était de soutenir que la vidéo initiale avait probablement été mise en ligne par la personne elle-même, avant qu'elle soit mise en ligne sur le compte Twitter.

[Maître Fievée] Elle n'avait pas la preuve, mais probablement qu'il y avait des éléments qui permettaient éventuellement de le soutenir. Et l'autorité de protection a dit, de toute façon, la personne concernée, celle qui est vue dans la vidéo, elle a la maîtrise de ces données. C'est elle qui doit décider comment on utilise ces données, est-ce qu'elle peut interdire ou non.

[Maître Fievée] Et donc c'est pas une excuse, le média ne peut pas...

[Maître Fievée] que les données auraient été rendues publiques par la personne concernée.

[Benjamin] Ok, donc c'est pas parce que j'ai publié une donnée à caractère personnel que tout le monde a le droit de faire n'importe quoi avec ?

[Maître Fievée] qu'elle devient délibre par cours, non.

[Benjamin] Sachant en plus que le consentement, j'ai le droit de le retirer quand je veux de toute façon.

[Maître Fievée] Alors oui, c'est une bonne observation, mais là en l'occurrence il n'y avait pas de consentement.

[Maître Fievée] La base légale on l'a dit pour un...

[Maître Fievée] Le traitement journalistique était l'intérêt légitime, donc le média n'avait pas à solliciter le consentement. Mais tu as raison, effectivement, si elle avait donné son consentement, cette personne, elle aurait pu le retirer à tout moment.

[Benjamin] Donc il n'y avait aucune chance que ça se passe bien en fait.

[Benjamin] que ça soit considéré comme conforme au RGPD.

[Aeris] Après, dans un retrait de consomment, c'est juste que le journal aurait dû être lui-même notifié, c'est-à-dire que la personne qui a publié initialement la vidéo aurait dû la retirer, notifier le journal, attention, moi je l'ai retiré, retirer aussi votre article, anonymiser le, et après c'est là où on rentre dans l'ai.

[Aeris] En théorie, l'opposition ou le retraite consentement, c'est toute la chaîne qui doit être remontée aussi bien en aval ou en amont des traitements pour signaler que le consentement a été retiré, donc que tout le monde doit en tenir compte.

[Aeris] Donc là, effectivement, ce sont des cas qui sont aujourd'hui un peu compliqués à traiter. Il faudrait vraiment faire du cas par cas, mais en théorie, c'est aussi une obligation du RGPD.

[Benjamin] En tout cas le RGPD s'applique pour tout le monde et même si la base légale n'est pas forcément la même...

[Benjamin] peut pas fermer les yeux. Quel enseignement on doit en tirer quand on est journaliste français aujourd'hui ?

[Maître Fievée] Bah quand on est journaliste français aujourd'hui, c'est vrai qu'il existe une...

[Maître Fievée] une sorte de tolérance, c'est-à-dire que le sujet n'a jamais été validablement abordé en France.

[Maître Fievée] Et aucun journaliste n'a été embêté aujourd'hui sur le fondement du RGPD.

[Maître Fievée] Je dirais ce qui est nouveau quelque part, c'est que jusqu'à présent, pour contester la lisséité d'un article publié par un journaliste...

[Maître Fievée] Il fallait invoquer la loi sur la liberté de la presse, la loi de 1881, et donc démontrer que le contenu est diffamatoire, démontrer que le contenu est injurieux, ou alors l'article 9 du Code civil démontrait que le contenu porte atteinte à la vie privée de la personne.

[Maître Fievée] Aujourd'hui, avec le RGPD, on n'a plus besoin de démontrer cette illicéité issue de la loi de 1881 ou de la vie privée. Il suffit simplement, enfin il suffit entre guillemets, de démontrer que le journaliste a divulgué plus de données qu'il n'aurait dû divulguer pour traiter son article. Et ça suffirait pour caractériser l'illicéité de l'article.

[Benjamin] Et donc ça, on a des jurisprudences en Espagne.

[Benjamin] On n'en a pas encore en France ?

[Benjamin] Il y en a dans d'autres pays ?

[Aeris] Il y a justement Italie aussi, Belgique qui a eu pas mal de sujets, et surtout justement sur des sujets qui touchent en France, c'était sur des cyclistes, des cyclistes qui publiaient des vidéos à titre informationnel sur des incividités ou autres, et se sont fait rappeler à la loi en disant vous pouvez pas faire n'importe quoi et c'est pas parce que vous agissez pour le bien de l'humanité, que vous pouvez publier des photos et des vidéos de tout et n'importe quoi, sûr.

[Benjamin] Mais là, ce n'est pas des journalistes.

[Aeris] Non mais du coup c'est là aussi, oui là.

[Benjamin] Donc c'est encore plus compliqué parce que là il faudrait un recueil de consentement.

[Aeris] En fait, c'est là où c'est aussi compliqué, la notion de journaliste, c'est qu'il n'y a pas forcément besoin d'avoir une carte de presse, en particulier en France, pour être reconnu comme journaliste. Il suffit de travailler pour un média ou d'avoir une notion d'information, enfin, d'intérêt public, on va dire, pour d'informer, d'avoir une mission d'éducation ou autre. La notion de journaliste peut être assez floue, en fait. Par exemple, c'est quelqu'un qui publierait une vidéo d'un asso du GIGN ou de quelque chose qui a tendance à se passer dans la rue.

[Aeris] est couvert par le droit de la presse et le droit d'information en théorie. En tout cas, on pourrait s'en justifier. Donc du coup, c'est là où il y a eu beaucoup de débats sur les diffusions de vidéos de dash cam pour essayer de faire de la sensibilisation aux audiences routières. Et les APD ont bien dit oui, mais c'est pas parce que vous oeuvrez pour le bien avec le respect du code de la route.

[Aeris] que vous devez publier vos vidéos sans les anonymiser, sans flouter, sans couper les personnes que vous... Si un passage montre des personnes par exemple, mais que vous pouvez couper ce passage sans que ça remette en question votre vidéo, vous devez le faire. Et donc il y a un travail de rédaction en fait, et de journalisme du coup.

[Aeris] pour éditer les vidéos, conserver que ce qu'on a besoin et ne pas se dire je mets un rush de deux heures légèrement édité et voilà c'est bon j'ai fait de l'information, je fais du journaliste, j'ai plus le droit à respecter.

[Benjamin] Néanmoins, si je publie une minute de vidéo sur Twitter d'une incivilité d'un piéton qui a traversé au rouge...

[Benjamin] Est-ce que raisonnablement je peux me targuer ?

[Benjamin] de la qualité de journaliste.

[Aeris] Oui bah c'est là, sur une minute non. Là c'était des chaînes Youtube vraiment dédiées à ça pour le coup.

[Benjamin] Bon, en tout cas, il faut faire attention. Juste parce qu'on a parlé de dashcam, tu peux nous rappeler le principe d'une dashcam ?

[Aeris] Le principe des dinge cams, c'est des caméras qui se font embarquer dans des véhicules ou sur des casses de vélo ou sur des caméras piétons qui enregistrent en fait tout ce qui se passe autour de vous et qui sont supposées collectées du coup en cas d'accident ou d'incevillité ou autre la bande pour pouvoir être produit devant un juge ou dans des contestations d'assurance.

[Aeris] Et il y a eu pas mal de... surtout à l'étranger, en Espagne et en Belgique.

[Aeris] des cas justement portés devant la justice et devant les autorités de protection des données sur la légalité de ces choses là parce que du coup les dash cam collectent toutes les données de tous les piétons qu'elles rencontrent

[Aeris] Et souvent les dash-tems sont mal configurés, voire ne peuvent... Enfin, ne... By design sont mal conçus. Et filment en permanence. Donc vous avez des gros rushs de vidéos de plusieurs heures qui peuvent être disponibles comme ça, et les gens les stockent sur des disques durs.

[Aeris] et ça finit diffusé sur internet etc. Et donc il y a beaucoup de violations de données de ce côté-là.

[Benjamin] Ça, mettre les caméras qui filment dans la rue, parce qu'on en a beaucoup parlé récemment avec les fameuses lunettes de méta.

[Benjamin] Dans quel cadre on peut considérer que c'est légal ou pas par rapport au RGPD ?

[Maître Fievée] En fait, il faut revenir déjà aux fondamentaux, c'est-à-dire que le RGPD s'applique à tous les traitements de données à caractère personnel, sauf les traitements domestiques. Et quand on a dit ça, on pense naturellement que tous les traitements qui sont réalisés par les particuliers échappent au RGPD.

[Maître Fievée] Et c'est une erreur. En fait, le traitement domestique, c'est un traitement qui est réalisé dans la sphère privée du particulier. Donc dès l'instant où le traitement sort de la sphère privée et qui rentre dans la sphère publique, l'ERGPD s'implique.

[Maître Fievée] Il y a deux situations dans lesquelles on pense être dans une sphère privée et en réalité on est dans une sphère publique et donc le RGPD s'applique.

[Maître Fievée] Première situation, vous allez collecter de la donnée.

[Maître Fievée] de personnes qui sont

[Maître Fievée] extérieure à votre cercle privé.

[Maître Fievée] Je vous donne un exemple, vous mettez une caméra de vidéo surveillance sur votre portail

[Maître Fievée] pour sécuriser l'entrée de votre propriété.

[Maître Fievée] Si votre caméra est orientée uniquement vers votre propriété, l'allée, le jardin, c'est un traitement qui n'est pas soumis au RGPD parce que c'est un traitement domestique, mais si la caméra est légèrement...

[Maître Fievée] ou encore les parties communes d'un immeuble ou encore le jardin de votre voisin, ça devient un traitement qui est réalisé dans la sphère publique et ça devient un traitement qui est soumis au RGPD. Donc la personne...

[Maître Fievée] devrait respecter, qui est installé à la caméra, devrait respecter les principes du RGPD, car ce n'est plus un traitement domestique.

[Maître Fievée] Deuxième situation où l'on pense que c'est un traitement domestique et qu'il n'est pas du tout, c'est lorsqu'on va divulguer des données à un nombre illimité de personnes. Typiquement, quand vous publiez quelque chose sur un réseau social, ce n'est pas un traitement domestique.

[Maître Fievée] C'est un traitement qui est soumis au RGPD. Donc on est censé...

[Maître Fievée] respecter les règles du RGPD et donc avoir une base légale, on l'a dit tout à l'heure, intérêts légitimes, consorvements, que sais-je, selon le type de personne qui va faire la publication, et respecter notamment, mais aussi, le principe de minimisation.

[Benjamin] Mais alors, par exemple, si demain je vais sur le parvis de Notre-Dame, que je prends une photographie de Notre-Dame,

[Benjamin] avec des personnes qui sont reconnaissables par leurs vêtements, pas forcément par leur visage ou mais par leurs vêtements.

[Benjamin] Cette photo, je la garde pour moi et pour mes soirées diapo en famille. J'ai le droit ou pas ?

[Maître Fievée] Oui, bien sûr. En fait...

[Maître Fievée] Ce dont on parle, traitements journalistiques ou les traitements réalisés par des particuliers

[Maître Fievée] On en parle parce que justement c'est des sujets dont personne ne parle.

[Maître Fievée] On retrouve des affaires un peu similaires à celles-là, et je vais en parler tout à l'heure, en Espagne, en Italie, en Belgique, etc. En France, la CNIL ne s'est jamais saisie de ce type de dossier. Mais si on applique les règles du RGPD, les principes tels qu'on les connaît, qu'on a exposé tout à l'heure, effectivement, dès l'instant, vous prenez une photo, vous êtes...

[Maître Fievée] et qu'en fond il y a des personnes qui sont reconnaissables, ne serait-ce que parce qu'on voit leur visage.

[Maître Fievée] Ce sont des personnes qui sont identifiables.

[Maître Fievée] Donc c'est des données à caractère personnel. Donc oui, le RGPD devrait s'appliquer. Mais vous faites un selfie avec une célébrité dans la ruge.

[Maître Fievée] On peut supposer que la personne vous donne son autorisation pour faire la photo parce qu'elle se met derrière l'objectif.

[Maître Fievée] Donc il y aurait un consentement on va dire implicite, univoque c'est autre chose, mais il y aurait un consentement implicite.

[Maître Fievée] Mais...

[Maître Fievée] Univoque, c'est un acte qui manifeste l'autorisation, la volonté de dire oui.

[Maître Fievée] n'est pas considéré comme une IVOC.

[Maître Fievée] D'accord ? Et donc on pourrait considérer que la personne, la célébrité qui est à côté de vous quand vous faites un selfie donne son consentement pour que la capture de son image soit réalisée. En revanche, est-ce qu'elle donne son consentement pour que cette photo se retrouve sur le réseau social ? C'est un autre sujet.

[Benjamin] Et dans ce cas là, qu'est-ce que je fais ? Je demande explicitement un consentement clair, éclairé, univoque et...

[Maître Fievée] Ce qui est impossible !

[Maître Fievée] Je vous donne un exemple. C'est une affaire qui s'est passée en Espagne.

[Maître Fievée] Il y a une personne qui conduit son véhicule, il est très tard ou très tôt selon...

[Maître Fievée] comment on se positionne, et y voit au loin une jeune fille qui est sur un trottoir dans la rue.

[Maître Fievée] probablement en état d'ébriété.

[Maître Fievée] et il trouve la situation assez marrante parce qu'elle titube, elle a du mal à...

[Maître Fievée] tenir l'équilibre donc elle utilise notamment des poubelles pour garder un semblant de dignité on va dire.

[Maître Fievée] Il se rapproche, il baisse la vitre de son véhicule et il commence à la filmer.

[Maître Fievée] Il la filme et il trouve que sa vidéo est plutôt marrante ?

[Maître Fievée] Donc il a l'intelligence de la mettre sur les réseaux sociaux. Mais quand je dis les réseaux sociaux, c'est tous les réseaux sociaux, c'est-à-dire c'est Facebook.

[Maître Fievée] c'est youtube, c'est palindina

[Maître Fievée] Mais c'est Instagram !

[Maître Fievée] Et la fille le lendemain matin elle se réveille et elle voit que cette vidéo est devenue virale parce que probablement qu'elle était marrante, je ne sais pas.

[Maître Fievée] Elle voit que cette vidéo est virale, donc elle voit que cette vidéo, sa personne est en ligne sur...

[Maître Fievée] sur les réseaux sociaux, et elle porte plainte auprès de l'autorité espagnole de protection des données, parce qu'elle considère que c'est un traitement de données qui est soumis au RGPD.

[Maître Fievée] et l'autorité espagnole de protection d'évêée lui donne gain de cause, considérant que la personne ne pouvait pas...

[Maître Fievée] collecter des données comme elle l'a fait filmer sans le consentement de la personne et qu'elle n'était pas non plus autorisée à divulguer cette vidéo en ligne sans le consentement de la personne. Donc elle a été condamnée je crois à 10 000 euros par l'autorité espagnole de protection des données.

[Benjamin] D'accord, mais là on voit qu'il y a un vrai dommage qui a été créé, donc on imagine qu'effectivement...

[Benjamin] Ça paraît logique en tout cas. Si je reprends mon exemple de la photo de Notre-Dame où je prends la photo avec des touristes et que je la publie sur mon compte Facebook de manière complètement publique.

[Aeris] En théorie ça pourrait être critiquable.

[Maître Fievée] En théorie, c'est critiquable. La notion préjudice n'intervient pas dans l'application de RGPD.

[Benjamin] D'accord, il n'y a pas besoin qu'il y ait un préjudice pour que l'on me rappelle...

[Aeris] En fait, la simple publication est déjà un préjudice en soi. Il y a déjà une atteinte à la vie privée et donc du coup, ça pourrait être soumis à...

[Aeris] Enfin en tout cas une autorité de protection des données pourrait décider d'une sanction. Je pense les autorités de protection des données ne sont pas non plus des milles et savent faire la distinction entre quelque chose de malveillant et quelque chose que tout le monde fait aujourd'hui.

[Aeris] réfléchir aussi par rapport aux moyens technologiques qui existent aujourd'hui pour identifier une personne.

[Aeris] et publier une image de quelqu'un devant Notre-Dame aujourd'hui n'a pas du tout les mêmes conséquences de publier une photo de quelqu'un devant Notre-Dame il y a 10 ou 20 ans.

[Aeris] Aujourd'hui, la moindre photo avec votre visage qui fait trois pixels est capable d'être envoyé dans des outils de reconnaissance et d'identifier au maître prêt où est-ce que vous étiez.

[Aeris] Donc les moyens de désanonisation sont assez phénoménaux sur Internet et sans bouger de son fauteuil. Moi j'avais fait le...

[Aeris] qui est aujourd'hui dans des cours d'ailleurs de RGPD, où une photo qui avait été mise en ligne sur internet, où il y avait juste une camionnette blanche vaguement dans un coin. En 4 heures, j'ai trouvé l'endroit, le lieu, la plaque minérologique qui avait été pourtant flottée par Google Maps.

[Aeris] et en quatre heures j'ai retrouvé quasiment le propriétaire donc aujourd'hui c'est ça où il faut réfléchir en fait à ce qu'on fait et bon effectivement si vous mettez une photo de quelqu'un devant Notre Dame ça pourrait pas poser de problème je vois pas d'APD suffisamment chiant pour aller sanctionner ça mais en tout cas au moins de réfléchir à ce que vous faites

[Aeris] serait déjà un énorme pas en avant pour dans les cas où il va y avoir besoin de savoir prendre une décision vous aurez les moyens de prendre la bonne décision

[Benjamin] Ok, moi j'ai juste noté que tu avais dit que les APD pouvaient être chiantes.

[Aeris] Ah ben y'en a des très chiantes, hein !

[Aeris] Après, chiant, c'est dans le bon ou dans le mauvais terme, mais effectivement l'autorité espagnole n'hésite pas à aller voir des particuliers. J'ai vu que la CNIL, récemment, a encore mis une amende de 5000 euros à un particulier aussi, donc la CNIL a aussi l'air de cibler des partis. La CNIL française.

[Aeris] Et la Guinness française a mis une amende de 5000 euros en particulier pour défaut de coopération avec une autorité de contrôle.

[Aeris] C'est quand même relativement rare pour être souligné. Mais en Espagne, les amendes à 10 000 euros pour les particuliers, on en a plus d'une centaine et l'autorité est très pointilleuse sur le sujet. En tout cas beaucoup plus que la nôtre en France.

[Benjamin] C'est-à-dire que même en tant que particulier, je dois respecter le RGPD et il y a des pays dont l'Espagne ou les amendes sont relativement courantes.

[Aeris] Ah oui c'est ça, bah aujourd'hui en Espagne oui je crois qu'il y a plus de 600 amendes de particuliers et on parle justement de souvent de publications sur les réseaux sociaux, de personnes bourrées, de mineurs filmés dans la rue, de prises de photos sur la plage, etc. On a beaucoup de cas de vidéosurveillance aussi, on parlait de la caméra tournée vers la voie publique. Les sanctions tombent quasiment de manière automatique en Espagne, à 500, 1000, 2000 et jusqu'à 10 000 euros aujourd'hui pour un simple particule.

[Benjamin] Je voudrais revenir un peu aux problématiques des journalistes et plus particulièrement des personnes qui interviennent dans...

[Benjamin] dans des contenus journalistiques qui sont interviewés.

[Benjamin] Lors d'une interview, on peut être amené à partager des données sur un tiers, et souvent on n'en a même pas conscience.

[Benjamin] C'est quoi les risques juridiques ?

[Benjamin] pour la personne interviewée et pour le journaliste dans ces cas de figure.

[Maître Fievée] Pour le journaliste, on l'a vu tout à l'heure, effectivement ce qui est intéressant, c'est de voir qu'il n'y a pas que le journaliste qui, dans le cadre de son activité, peut faire des traitements de données à caractère et de personnel soumis au RGPD, il y a aussi la personne qui a été interviewée.

[Maître Fievée] qui en a personne sur un réseau social sur...

[Maître Fievée] dans un média quelconque, répond à une question, raconte une anecdote, une histoire dans laquelle il vise une autre personne.

[Maître Fievée] le protagoniste de son histoire et qui révèle un certain nombre d'informations concernant cette personne, il faut juste savoir qu'il s'agit d'un traitement de données à caractère personnel.

[Maître Fievée] Donc il doit respecter lui aussi l'ERGPD et donc il devrait respecter le principe de minimisation mais aussi avoir une base légale pour son traitement.

[Benjamin] Est-ce que la personne interviewée peut aussi se prévaloir de l'intérêt des items ? Ou est-ce qu'en tant que particulier, il lui faut un consentement ?

[Maître Fievée] A priori, on a trouvé une décision qui traite ce sujet, une affaire qui s'est passée en Italie, et l'autorité italienne aurait tendance à penser que la seule base légale possible serait le consentement.

[Benjamin] Sachant qu'il y a une différence fondamentale entre l'intérêt légitime et le consentement.

[Benjamin] c'est que vous me dites si je dis des bêtises, hein ?

[Benjamin] c'est que le consentement on peut le retirer à tout moment.

[Aeris] L'interview je dis moi aussi mais en théorie, mais plus compliqué.

[Maître Fievée] Oui mais ça ne change pas grand chose parce que...

[Benjamin] Donc j'ai dit n'importe quoi.

[Aeris] Non, non, non, parce qu'en fait c'est vrai que le consentement peut être retiré, mais c'est pas non plus un retrait absolu, c'est-à-dire c'est pas parce que le consentement existe qu'il doit s'appliquer dans tous les cas, etc. Enfin que le retrait de consentement doit s'appliquer dans tous les cas. Et le RGPD est très clair là-dessus, il y a aussi des moyens à mettre en face en fait, et que si le retrait de consentement...

[Aeris] dépasse l'imaginable, le responsable de traitement peut juste ne pas en tenir compte. Et donc là, si la personne a donné son consentement pour qu'on puisse raconter son histoire, son anecdote dans un journal par exemple, si elle le retire après, bah effectivement c'est trop tard, le truc a été fait, les propos ont été publiés, donc là j'ai retiré mon consentement. Oui tu n'as plus le droit de diffuser mes informations dans d'autres journaux, mais bon, ce qui a déjà été fait, c'est fait quoi.

[Benjamin] Ok mais sur un réseau social on peut très bien imaginer, en fait vous avez publié ça, je ne pensais pas que ça allait boser, merci de supprimer le post.

[Aeris] Ce serait un retrait de live, on aurait retiré effectivement le passe-plan.

[Benjamin] Je peux retirer mon consentement, ça ne paraît pas complètement délirant comme demande.

[Aeris] Ah oui, là ça marchera et donc du coup de retirer l'article en question.

[Maître Fievée] Oui, oui, non mais vous avez raison tous les deux. La seule chose c'est qu'aujourd'hui le consortement personne ne le sollicite.

[Maître Fievée] Donc on se retrouve aujourd'hui avec des personnes qui sont interviewées, des personnes qui s'expriment sur les réseaux sociaux et qui parlent d'autres personnes, et jamais le consentement n'est sollicité. Et on se rend compte qu'on le fait tous.

[Maître Fievée] On parle d'un certain nombre de choses dans le cadre des anecdotes, des histoires qu'on raconte, et on fait des traitements de données à caractère personnel de manière illicite.

[Maître Fievée] Tous les jours. L' dernière fois je lisais une interview dans le... Dans un journal sportif ?

[Maître Fievée] Et il y a le directeur sportif d'une équipe cycliste qui se plaint du comportement dans la sphère privée de l'un de ses coureurs, parce que c'est l'un des coureurs les mieux rémunérés de son équipe et ça fait deux ans qu'il n'a pas...

[Maître Fievée] n'a pas des résultats à hauteur de sa rémunération. Et le directeur sportif, il prend la liberté d'expliquer les raisons de son réaction.

[Maître Fievée] de l'incapacité de son coureur à avoir des résultats en visant des éléments qui relèvent de sa vie privée. Le fait qu'il soit sous l'emprise de sa compagne, le fait qu'il sorte beaucoup, qu'il boive du champagne, etc. Ce sont autant d'éléments...

[Maître Fievée] de données à caractère personnel qui s'est permis de divulguer dans un média. Il devrait être soumis au RGPD et la seule base légale possible pour lui pour divulguer ce type d'information dans un média serait le consentement.

[Benjamin] Lui ne peut pas se prévaloir de l'intérêt légitime.

[Benjamin] qu'un journaliste aurait pu faire.

[Maître Fievée] Ce qu'un journaliste aurait pu faire, mais après on lui aurait opposé le principe de minimisation. T'es en train de parler de moi en tant que sportif, est-ce que tu es obligé de dire que je suis sous l'emprise de ma femme ? Est-ce que tu es obligé de dire que je bois du champagne ? Est-ce que tu es obligé de dire que j'ai une vie nocturne, peut-être un peu plus...

[Maître Fievée] un peu plus sportif que d'autres.

[Benjamin] Ok. Quel conseil on peut donner aux personnes qui répondent à des interviews ?

[Maître Fievée] Non, ce n'est pas des conseils, c'est avoir conscience qu'il y a des limites.

[Maître Fievée] et c'est limite, on peut les trouver aussi dans le RGPD, et donc il faut faire attention à ce qu'on écrit. Alors c'est pas, ça ne remet pas en cause la liberté d'expression. Je sais que le titre de cette intervention, c'est « Est-ce que la liberté d'expression est menacée par le RGPD ? » Non, c'est pas.

[Maître Fievée] c'est juste qu'il faut essayer de trouver un équilibre entre d'un côté le droit à la protection des données

[Maître Fievée] et la liberté d'expression et le droit à l'information. Mais c'est comme aujourd'hui avec la vie privée, avec l'injure et la diffamation. C'est pas parce qu'on est libre de s'exprimer dans un état comme le nôtre qu'on a le droit de tout dire. On a le droit de dire beaucoup de choses, mais pas aux préjudices d'autres personnes. C'est exactement la même chose avec le RGPD.

[Maître Fievée] La liberté d'expression existe, mais faisons attention parce qu'elle doit être aussi conciliée avec les droits des individus par rapport à leurs données personnelles.

[Aeris] Mais surtout je pense que c'est des réflexions à avoir et que les gens ont complètement oublié. Je sais pas comment c'était avant, parce que je n'étais pas encore sur cette terre.

[Aeris] et mais du coup d'avoir une certaine réflexion de justement est-ce que j'ai besoin de faire ça est ce que j'ai besoin de balancer autant d'informations sur les gens est ce que j'ai besoin d'en collecter autant que ça

[Aeris] Et aujourd'hui c'est là-dessus que, par exemple sur les dash cams, c'est souvent ce que les gens disent « oui mais si je filme pas tout le temps, le jour où j'ai besoin, je vais pas avoir l'information ». Oui mais en fait, le fait de filmer tout le temps, est-ce que t'as vraiment besoin ? Parce que tu pourrais pas avoir des coups de dash cams qui vont couper quand il y a besoin, ou qui vont me garder que les trois dernières minutes, ou...

[Aeris] Et pareil, plutôt que d'aller déballer la vie privée d'une personne que vous n'avez pas le consentement, c'est réfléchir à ce que je ne peux pas dire autre chose, un peu moins de données.

[Aeris] Par exemple, plutôt que de s'étaler sur « bah j'ai fait trop la fête », enfin « telle personne a fait trop la fête », ou « elle a des problèmes avec sa femme », c'est juste « bah il a des problèmes personnels » qui effectivement influent sur sa carrière.

[Aeris] et sans tenir là en fait pas, sans forcément donner des exemples, de rentrer dans les détails.

[Aeris] Et ça va être aussi un réflexe tout con, mais mon conjoint maintenant à l'habitude, mais par exemple mon numéro de téléphone à chaque fois, il me demande est-ce que je peux donner ton numéro de téléphone à telle personne plutôt que lui donner directement le numéro et...

[Aeris] Et comme ça, c'est des réflexes assez cons en fait, mais qu'aujourd'hui les gens s'échangent des numéros de téléphone de tiers sans aucun problème et sans demander avant si est-ce que je peux vraiment...

[Aeris] Et c'est des principes de base que les gens n'auraient jamais dû perdre depuis 1950 et la Convention Européenne des Droits de l'Homme, mais que les réflexes là ne sont plus du tout présents dans la société moderne.

[Aeris] Certainement dû aussi avec les réseaux sociaux, qui fait que tout le monde divulge les habits privés dans tous les sens.

[Aeris] mais c'est juste des principes humains et de base, on devrait avoir.

[Benjamin] Oui parce que ce qu'on pourrait se dire c'est que nous le RGPD on est pané avec même si déjà la loi de 78...

[Aeris] Oui, c'est vieux déjà.

[Benjamin] quand même une bonne base en termes de protection des données à caractère personnel, mais c'est surtout qu'on n'a pas l'impression que ça va dans le bon sens. Parce qu'on pourrait se dire que les gens qui sont nés après 2016, bah ils sont p...

[Benjamin] Quand ils sont nés, il y avait déjà le RGPD. Or

[Benjamin] on n'est pas sûrs que, typiquement, qu'ils demandent le consentement pour partager un numéro de téléphone.

[Aeris] Mais surtout aujourd'hui ce qui est mal compris dans le RGPD, et je pense que ça a été un peu le... C'est aussi un peu la cause du problème, c'est que le RGPD a beaucoup été vu par les gens pour s'adressant exclusivement aux GAFAM ou toutes les entreprises qui violaient assez frontalement la vie privée des gens pour des questions d'argent et de business.

[Aeris] Et du coup aujourd'hui, ils n'ont vu le RGPD que comme s'adressant aux grosses entreprises.

[Aeris] et ou aux entreprises, même pas forcément grandes, et pas du tout, justement, aux associations. J'ai encore eu l'UNICEF aujourd'hui, typiquement. Bah non, mais le RGPD, ça ne pique pas à nous. La prospection commerciale, ça ne nous regarde pas. C'est pas nous. C'est pas pour les associations. Ça ne peut pas être pour les associations.

[Aeris] Et j'ai les mêmes réflexes avec les particuliers. Le RGPD ne peut pas s'appliquer aux particuliers. C'est pas possible que tu l'en racontes.

[Aeris] Ils ont un déni là-dessus parce qu'ils pensent que ça ne s'adressait que aux GAFAM, aux grandes entreprises multinationales.

[Maître Fievée] C'est ça qui est intéressant avec le RGPD, c'est que tu disais tout à l'heure, oui, mais la loi existe depuis 1978, mais finalement on n'a toujours pas les bonnes pratiques.

[Maître Fievée] pas tout à fait exact dans le sens où il y a vraiment une culture protection des données en France.

[Maître Fievée] D'ailleurs, il n'y a pas une réglementation européenne à ma connaissance qui est connue du grand public.

[Maître Fievée] Quand on parle de RGPD aujourd'hui, les gens savent de quoi on parle. Le droit d'accès aujourd'hui, tout le monde le connaît.

[Maître Fievée] il y a quelques années avant l'entrée en vigueur du RGPD, personne ne connaissait le droit d'accès. Aujourd'hui, les entreprises sont inondées de demandes de droit d'accès, donc c'est vraiment le règlement de question qui est connu.

[Maître Fievée] c'est qu'on pensait qu'elle s'appliquait aux autres.

[Maître Fievée] aux entreprises, aux administrations, aux organisations.

[Maître Fievée] Et on pensait à tort, et c'est bien qu'on en parle aujourd'hui, qu'elle ne s'appliquait pas aux journalistes, qu'elle ne s'appliquait pas aux particuliers. En réalité, si.

[Maître Fievée] Donc c'est une réglementation qui est extrêmement connue du grand public, mais méconnue sur son application dans certains secteurs.

[Benjamin] On va en rester là pour aujourd'hui.

[Aeris] Merci à vous.

[Benjamin] Est-ce que vous voulez rajouter quelque chose ?

[Maître Fievée] Non, ce que je dis souvent, c'est que le RGPD et on s'en rend compte en discutant avec vous, c'est que le RGPD est partout.

[Maître Fievée] Je ne sais pas si c'est une bonne chose, mais en tout cas c'est une réalité.

[Benjamin] Eh bien merci beaucoup. Vous avez écouté RdGP, le podcast sérieux qui vous emmène au cœur des enjeux des droits numériques, des libertés individuelles et de la vie privée.

[Benjamin] Merci de nous avoir écouté et à la prochaine !

[Benjamin] Bonne semaine, au revoir.