Fuite d'information en France

Fuites par espionnage ou malveillance

La fuite d'information peut intervenir à l'occasion d'un espionnage industriel, commercial ou scientifique dont est, par exemple, complice (volontaire ou négligent) un membre du personnel de l'entreprise spoliée. Au minimum, il s'agit d'une atteinte à la concurrence. Tel fut, par exemple, le cas en 2006/2007 en Formule 1 avec les affaires Ferrari-McLaren-Renault^[32], celle de Coca-Cola^[33] ou celle chez Michelin-France^[34]. Le groupe Valeo-France n'a pas été épargné non plus^[35]. Il peut s'agir aussi de divulgations et de copies de licence, souvent par espionnage ou malveillance, qui visent notamment l'atteinte à la propriété intellectuelle (droit des marques, droit d'auteur, etc.) et éventuellement le domaine des contrefaçons. Il peut enfin s'agir de la revente des plans stratégiques de l'entreprise (plan recherche, plan financier, plan marketing, plan partenarial, etc.) ou de l'évaluation plus globale des acteurs d'un marché (financier ou commercial) ou encore de celle d'une transaction, d'un projet, etc.

Cependant, le risque d'espionnage économique par voie numérique et internet est en passe de devenir le problème majeur. Différents stratégies et moyens d'intrusion à distance existent, à commencer par les enregistreurs de frappes (keylogger), matériels ou logiciels, permettant de trouver tous les mots de passe^[36] protégeant l'accès au réseau et aux fichiers de l'entreprise. Évoquons aussi la technique de l'abandon volontaire au bon endroit d'une clef USB, recelant un mouchard logiciel, dans l'espoir qu'elle soit ramassée puis connectée^[37]. Cela permet ensuite de récupérer les données du réseau ainsi pénétré. À cela s'ajoutent toutes les techniques de hacking et d'intrusion logicielle. Bien que l'on retrouve aussi certaines de ces techniques en matière de viol de la vie privée par voie électronique (ci-après), ces risques de fuites ont fait naître un nouveau métier de spécialiste de la sécurité industrielle et commerciale, y compris au sein de la gendarmerie et de la police qui disposent, notamment, de cellules spécialisées dans l'intelligence économique^{[note 3]} et d'une brigade centrale pour la répression des contrefaçons industrielles et artistiques.

Enfin, plus encore, il y a les risques de fuites par l'exploitation malveillante du manque de précautions de la part de l'entreprise et de son personnel. Comme le souligne un spécialiste, l'information stratégique filtre sans que l'on en prenne conscience et peut être interceptée par la concurrence^[38]. Hors des locaux de l'entreprise il faut tenir sa langue, masquer ses documents, utiliser des écouteurs pour travailler sur un enregistrement ou baisser la luminosité de son écran d'ordinateur, par exemple dans le train ou au restaurant; se méfier des imposteurs lors d'un salon ou d'un séminaire ; et sanctuariser ses données face au risque informatique, notamment les intrusions sans fil.

Fuites à partir de l'entreprise

Les fuites peuvent aussi résulter du cas plus banal du départ d'un employé s'en allant avec un savoir-faire spécifique ou un processus acquis dans l'entreprise (malgré les clauses de non concurrence). Même si dans la majorité des cas, ceci est à resituer dans le cadre de l'expérience engrangée par l'agent, et n'est pas nécessairement délictuel, il ne s'agit pas moins d'une fuite d'information, parfois irremplaçable quand seul cet agent avait acquis cette compétence particulière.

Parfois, cependant, il peut également y avoir atteinte à la propriété intellectuelle de l'entreprise, par exemple, lorsqu'un employé part avec un fichier client qu'il a pourtant lui-même monté (qui, en France, demeure néanmoins la propriété de l'entreprise), ou s'envoie via internet, dans sa boîte mail personnelle, un document de travail quelconque (même remarque). À ce propos, il est pourtant à noter, que selon les spécialistes, la plupart des fuites d’informations en entreprise par voie numérique, résultent de simples erreurs et d'imprudences de la part des collaborateurs^[39]. Par exemple, l'oubli (assez fréquent) d'un document sensible sur une imprimante^[40]. Ces fuites peuvent cependant occasionner aussi un préjudice aux clients de l'entreprise, raison pour laquelle, aux États-Unis, une loi existe qui oblige les entreprises à prévenir leurs clients si elles ont été victimes d’une fuite d’informations^[41].

Enfin, les entreprises et les professionnels peuvent, comme les particuliers, être l'objet de perquisitions (voir ci-dessous). Certaines professions libérales bénéficient toutefois, en France notamment, de garanties supplémentaires, comme c'est le cas des avocats, des médecins, des notaires et des commissaires de justice. La perquisition de leurs locaux professionnels nécessite la présence d'un magistrat et d'un membre de l’ordre concerné et ceci, dans le strict respect de la protection du secret professionnel (voir ci-dessous). Idem pour les entreprises de presse où la présence d'un magistrat doit garantir que les investigations conduites ne portent pas atteinte au libre exercice de la profession de journaliste, ni ne ralentissent ou n'interdisent la parution^[42].

Fuites sur les rémunérations des grands patrons

Contrairement au monde anglo-saxon, en France, les éléments de rémunération et les salaires des dirigeants des grandes entreprises sont un sujet tabou, bien que les rémunérations des patrons du CAC 40 soient publiées. Cependant, la publication par le Canard enchaîné en 1989 du fac-similé des avis d'imposition de Jacques Calvet, le patron de Peugeot, fut considérée comme une fuite admissible dès lors que son intérêt dépassait la personne concernée^[43]. Depuis les révélations du Point et du Monde en 2000 sur les conditions financières généreuses du départ forcé de Philippe Jaffré de chez ELF Aquitaine, l'attention du public français est constamment alimentée par des fuites sur les parachutes dorés, jugés scandaleux, dont bénéficient quelques grands dirigeants et notamment le montant de leurs stock-options et de leur retraite-chapeau (complément à leur retraite légale). Cas par exemple de Jean-Marie Messier en 2003 lorsqu'il fut contraint de démissionner de Vivendi. Idem en 2005 du départ en retraite de Daniel Bernard, PDG de Carrefour, ou en 2006 s'agissant des indemnités de départ de Noël Forgeard, coprésident du géant aéronautique EADS, etc.^[44]. Ces fuites, et les polémiques qui s'ensuivirent, ont même amené l'un d'entre eux, Pierre Bilger, l'ex-patron d'Alstom, a rendre ses indemnités de départ en 2003^[45]. Mais c'est encore grâce aux fuites que l'on sait que le problème demeure en France en 2008 avec, par exemple, le cas de Denis Gautier-Sauvagnac, patron démissionnaire de l'UIMM^[46]. Courant octobre, en pleine crise financière, les fuites concernant le parachute doré du patron de Dexia, Axel Miller, ont amené le président de la République à confirmer sa volonté de mieux encadrer les modes de rémunération des dirigeants de manière à éviter à l’avenir de nouveaux abus^[47]. Elles ont aussi poussé Bercy à exiger du groupe Dexia qu'il contraigne Axel Miller à renoncer à ses indemnités estimées à près de 3,7 millions d'euros^[48]. Une volonté qui s'est partiellement retrouvée, s'agissant de l'encadrement des rémunérations des dirigeants du secteur bancaire et financier, dans les décisions du G4 élargi qui s'est tenu à Paris en octobre 2008^[49].

Fuites de matière grise

On peut aussi évoquer ce que l'on nomme en France la fuite des cerveaux, à propos des chercheurs, universitaires, scientifiques qui s'en vont exporter leur savoir à l'étranger (divulgation du savoir national et déperdition de l'information générale du pays), soit parce qu'ils sont mis à la retraite d'office en vertu de règles trop rigides, comme pour le professeur Luc Montagnier^[50], soit qu'ils s'en aillent rechercher des conditions de rémunération plus décentes, qu'ils soient seniors ou jeunes diplômés^[51], ou bien simplement parce qu'il leur est parfois impossible de trouver un poste dans leur pays d'origine. Cette fuite qui existe dans les pays occidentaux (le gouvernement italien a récemment lancé une vaste opération destinée à aider les jeunes enseignants-chercheurs ayant trouvé un poste à l'étranger à revenir en Italie) est également observable dans les pays en développement, notamment en Afrique. Les pays riches favorisent ce mouvement. Ainsi, les politiques dites d'« immigration choisie », calquées sur le modèle nord-américain, ayant cours dans certains pays européens (Allemagne, France, etc.) ont bien pour effet notamment d'attirer dans ces pays les étrangers les plus qualifiés, de même que l'accueil d'étudiants étrangers dans certaines filières en fin de formation.

Fuites technologiques

On peut également considérer comme une fuite d'information les transferts de technologie inopinés. Il ne s'agit pas de ceux qui résultent légitimement de la vente clef en main d'une usine, avec formation des ingénieurs du pays, et qui sont l'objet même d'un contrat. Il s'agit plutôt de ceux qui suivent parfois la commercialisation des produits et la sous-traitance à l'export, qui sont l'occasion pour les pays émergents d'accaparer les connaissances techniques en copiant les produits, avant de développer eux-mêmes des industries de pointe venant concurrencer celles des pays industrialisés. Ce fut le cas par le passé du Japon et des pays de l'Est. C'est en ce début de XXI^e siècle le cas des pays asiatiques, surtout de la Chine et de l'Inde, où la protection des brevets est quasi inopérante.

Plus pernicieuses sont les fuites de savoir-faire consécutives à la reprise préméditée d'une entreprise par un groupe généralement étranger qui, avant de liquider ou délocaliser ladite entreprise, s'approprie tous les process et la clientèle de celle-ci.

On craint aussi une fuite de technologie lors de la vente du nucléaire civil, qui peut être un apprentissage du nucléaire militaire pour des pays qualifiés de « pays-voyous » par l'administration américaine.

Fuites marketing

Ces fuites, généralement publiées dans la presse, sont par exemple destinées à faire connaître en avant-première au public la sortie d'un nouveau produit.

Dans le domaine industriel - La sortie d'un nouveau modèle automobile fait souvent l'objet de ce genre de fuites (exemple français de la nouvelle Laguna III de Renault^[52]), tout comme l'éventualité des dernières évolutions d'un produit, en particulier dans le multimédia. On pense, par exemple, aux spéculations qui entourent la sortie des nouveaux produits de la firme américaine Apple et aux fuites réelles ou supposées dont font état les sites de rumeurs spécialisés à son propos. Cela peut parfois donner lieu à des poursuites à l'encontre d'employés ayant manqué à leur devoir de confidentialité, notamment lorsque ces derniers s'étaient engagés à s'y soumettre^[53], voire à l'encontre de distributeurs trop bavards ou des médias s'étant fait l'écho de fuites, comme des sites internet de rumeurs et de news informatiques^[54]. Certaines fuites peuvent cependant être orchestrées pour alimenter le buzz autour d'une marque^{[note 4]}.

Dans le domaine littéraire - La sortie d'un prochain livre peut aussi faire l'objet de fuites, parfois réprimées, comme en témoignent les prémices de la publication des derniers titres d'Harry Potter (acheteurs canadiens interdits de lire le livre vendu par erreur avant l'heure^[55], publication sur internet d'une version traduite en français avant la publication en France^[56]) ou celle de certains livres politiques dont les principaux passages sont publiés avant leur sortie, pas toujours avec l'accord de l'éditeur ou de l'auteur^{[note 5]} bien que cela puisse faire aussi partie d'un plan marketing.

Fuites consécutives au piratage

Viol de la correspondance et des conversations privées

Les fuites d'intimité peuvent notamment passer par le viol de la correspondance privée. Le secret de la correspondance est pourtant protégée dans pratiquement tous les pays. En France, sont ainsi punis, l'ouverture ou la destruction de correspondances, le fait de la retarder ou de la détourner, ou d'en prendre frauduleusement connaissance. Cela vaut pour tous types de correspondance (papier, communication ou courriel) ainsi que pour l'installation d'appareils conçus pour réaliser leur interception^[103]. Cependant, cela ne dissuade pas toujours l'indiscrétion d'un amoureux éconduit ou celle des conjoints divorcés qui emportent la correspondance de leur ex, celle d'un voisin jaloux, celle d'un enfant facétieux ou celle d'un collègue indélicat, etc. La divulgation du contenu est évidemment prohibée et peut donner lieu à de multiples fuites concernant la vie privée, en matière affective ou concernant la santé, etc. Il semble que cette protection s'étende même aux enfants à l'encontre de leurs parents qui ont pourtant un devoir de surveillance à leur égard^[104].

En France, dérogent à cette protection générale quelques cas légaux comme les écoutes téléphoniques autorisées (administratives ou judiciaires) ou l'ouverture de la correspondance en milieu carcéral, de la part de l'administration pénitentiaire^[105]. Il y a cependant des dérives. On se souvient par exemple des écoutes illicites de l'Élysée dans les années 1980. Enfin on constate des pratiques beaucoup plus intrusives en cas de crise grave ou de guerre, ou dans le cadre de la lutte contre le terrorisme comme c'est le cas aux États-Unis (Cf. supra).

En outre, il est des hypothèses où l'interception illicite des conversations privées peut s'avérer validée comme preuve par le juge. Tel est le cas en France des enregistrements réalisés clandestinement au domicile de Liliane Bettencourt par son majordome (C. Cass. crim. 31 janvier 2012)^[106] même si leur auteur peut être poursuivi^[107] et que leur publication dans les médias est réprimée^[108].

Fuitage des données personnelles

En dehors de la constitution de fichiers numériques (infra), le fuitage des données personnelles a souvent pour origine l'imprudence des personnes concernées : documents signifiants mis à la poubelle, qui par ailleurs sont laissées sans surveillance jusqu'à leur ramassage et informations imprudemment laissées sur internet. La fuite d'informations personnelles peut aussi être due à la malveillance active, comme la récupération d'informations par le vol de la correspondance dans les boîtes à lettres trop accessibles, la copie illicite d'un dossier personnel ou le hackage des terminaux personnels ou professionnels (ordinateurs, tablettes ou smartphones). Dans ce dernier registre, les Anonymous ont revendiqué en France, début 2012, la divulgation d’informations personnelles de militants extrémistes^[109] ou même de policiers^[110]. C'est un reproche similaire qui fut également adressé à Wikileaks, à propos de la mise en ligne en 2009, du dossier de l'affaire Dutroux, mettant en pleine lumière des quantités d'informations personnelles (téléphones, adresses, relevés bancaires), de détails de l'enquête, de témoignages et de noms de personnes simplement entendues, sans être mises en cause^[111].

Des éléments même perceptibles concernant les relations amoureuses ou préférences sexuelles d’une personne ne peuvent être révélés impunément.

En revanche, rien n'empêche vraiment de réaliser une étude graphologique sur la base d'un écrit obtenu légalement ou de dresser un profil astrologique, en dehors de leur usage discriminatoire ou malveillant (infra).

Viol de l'intimité physique

Dans nos sociétés civilisées fortement imprégnées du tabou de la nudité, il n'est sans doute pas pire fuite d'information privée que celle d'exposer à son insu ou contre son gré, tout ou partie de son intimité physique à autrui, en dehors des cas nécessaires (en milieu médical) et volontaires, par profession (stripteaseuse par exemple), ou par conviction (naturiste). À ce titre, pratiquement dans tous les pays mais de manière inégale, sont réprimés le voyeurisme, tous les gestes déplacés sur le corps manifestant un harcèlement sexuel ou un comportement impudique et surtout, le viol, avec une définition plus ou moins large des actes et parties du corps concernés suivant les époques et les pays^{[note 18]}. La diffusion, hors du consentement des personnes concernées, de photos ou de films intimes, voire d'œuvres artistiques suggestives dont le sujet est reconnaissable, est également répréhensible. Hors ces hypothèses, leur libre diffusion reste de toute façon bornée par le respect général du droit à l'image, assez bien observé de nos jours en France par les chaînes de télévision avec le développement du floutage, mais assez mal respecté sur internet (voir infra). Cette protection du droit à l'image concerne tout le monde et pas seulement les « personnes publiques ». Il existe néanmoins des limites tenant au cadre dans lequel une image a été réalisée. La participation volontaire à une manifestation ou une réunion publique emporte le risque d'être photographié ou filmé légalement, ainsi qu'en a jugé, sous certaines conditions, la jurisprudence française^{[note 19]}.

Une difficulté peut survenir lors d'examens ou d'actes médicaux, en cabinet ou en milieu hospitalier, où l'intimité des personnes n'est pas toujours préservée. Cela peut être encore plus problématique sous le prétexte religieux, par exemple pour certaines femmes qui refusent pour ce motif d'être examinées par des hommes. Le sort du cadavre et de son intimité, dans les services ou à la morgue peut aussi être problématique^[112].

Suivant les époques et les cultures, apercevoir certaines parties du corps constitue une impudeur et un viol de l'intimité, hier une cheville découverte ou les cheveux d'une nonne, aujourd'hui ceux de certaines musulmanes voilées, par exemple. En Occident, cet acte, en quelque sorte passif, n'est toutefois pas répréhensible légalement, bien qu'il le soit socialement dans certaines communautés, non pas pour le voyeur, mais à l'encontre de celle qui ne se couvre pas.

Pénétration du domicile

L'intrusion au domicile d'autrui occasionne des fuites multiples d'intimité que beaucoup de pays et particulièrement la loi française protège de diverses manières (répression de la violation de domicile par quiconque ou un agent public^[113], répression du bris de clôture et du vol avec effraction, pour laquelle l'utilisation d'un clef volée ou copiée est une circonstance aggravante, etc.). Toutefois, certaines administrations ont un droit de perquisition sous certaines conditions (perquisitions fiscales ou douanières, perquisitions judiciaires et perquisitions liées à un flagrant délit dont la notion est, par ailleurs, assez large)^[114]. De même, la pose de système d'écoute et d'enregistrement autorisée par un juge peut justifier une intrusion clandestine au domicile ou dans un véhicule d'un suspect^[115]. En outre, un bailleur français peut, après en avoir averti son locataire^[116], et dans les conditions du bail, entrer au domicile soit pour des visites en vue de louer ou vendre le logement (au moins deux heures par jour ouvrable), soit pour entreprendre des travaux. De même, un commissaire de justice français peut, en vue d'effectuer une saisie mobilière, entrer au domicile d'un particulier pour faire un inventaire préalable, puis la saisie elle-même, voire, procéder à une expulsion, ou à un simple constat, mais uniquement en exécution d'une décision de justice. Enfin, en France, les agents des services administratifs ou fournisseurs d'énergie (agents recenseur, agents de l'EDF-GDF, eau, etc.) n'ont pas le droit de pénétrer au domicile sans y être invités. Toutefois, conformément aux obligations du contrat signé par l'abonné, les compteurs doivent être accessibles (relevés et vérifications techniques). Quant à la croyance populaire qui veut qu'en France le véhicule soit assimilé au domicile et qu'il bénéficie, de ce fait, de la même protection, elle est aujourd'hui infondée pour l'essentiel^[117]. Par contre, si les perquisitions nocturnes sont interdites de 21 heures à 6 heures du matin, quelqu'un qui profiterait d'une inondation ou d'un incendie, ou d'un cri ressemblant à un appel à l'aide, pour s'introduire de nuit au domicile d'autrui, pourrait se dédouaner en invoquant un texte datant de 1799, encore en vigueur^[118] ! En outre, l'état de nécessité fait loi.

L'indiscrétion par la vue sur le domicile d'autrui peut être également à la source d'une fuite d'intimité. Raison pour laquelle, en France, toute construction ou ouverture offrant des vues sur la propriété voisine doivent être édifiées à des distances minimales (servitude de vue) fixées par le code civil français^{[note 20]}, sachant que les règlements d'urbanisme français (notamment le PLU), imposent en général des distances plus importantes en vue droite (les plus intrusives).

Fuites d'intimité à l'embauche

Contrairement aux États-Unis où cela est interdit^{[note 21]}, en France, il n'est pas illégal de demander l'âge d'un candidat à l'embauche, ni même de lui demander une information, pourtant sans utilité pour le recrutement, qui est sa date de naissance. Or cela conduit souvent à des abus tels que l'établissement de profils astrologiques des candidats par certains cabinets. L'analyse graphologique est aussi pratiquée dans le même but de dresser un portrait psychologique du candidat.

En revanche, en France comme dans un certain nombre de pays occidentaux, il est interdit de demander à un candidat son état de santé, ou sa volonté d'avoir des enfants, son projet de déménager ou autres informations du même type, ce qui est pourtant fréquent (soit au moment de l'embauche, soit après, notamment pendant la période d'essai).

Aperçu du dispositif français de protection contre les fuites informatiques

En France, la divulgation des informations sensibles et nominatives est théoriquement protégée de manière supplétive et spécifique, sur internet et pour tous fichiers informatisés qui les contiendraient, par la loi « Informatique et libertés » de 1978 qui érige la Commission nationale de l'informatique et des libertés (CNIL) en gardienne du temple. Elle est aussi particulièrement vigilante en matière commerciale, pour la protection du consommateur, malgré l'impossibilité d'appréhender les sites situés en dehors du territoire national et celle de vérifier le contenu des fichiers nominatifs qu'on lui déclare obligatoirement.

Ajoutons qu'au titre de l’article 6.1.2 de la loi française sur la confiance dans l’économie numérique (LCEN)^{[note 22]}, il est possible d'interdire la diffusion de tout contenu juridiquement indésirable, par exemple des photos ou des vidéos indiscrètes^{[note 23]}, ou non, à tout site servant à leur hébergement.

Toutefois le droit, notamment français, protège les internautes mêmes indélicats, souvent masqués par un pseudo anonyme, de toutes fuites d'informations privées. Ainsi, ni les webmestres, ni les hébergeurs, ne sont autorisés à fournir des renseignements nominatifs et individuels, autrement que sur injonction d'un juge. Il faut donc saisir ce dernier pour obtenir l'identification de l'auteur, avant d'intenter une action contre lui.

Les fabricants de logiciels ne communiquent pas toujours sur les failles de sécurité de leurs produits même si certains proposent des mises à jour. En France, le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (CERTA) informe sur les cas précis de vulnérabilité ou de risque de divulgation de données personnelles^[119].

L'imprudence est la première cause des fuites

Malgré des recommandations et des demandes d'explications aux sites concernés, aucun organe de régulation ni aucune législation, aussi contraignant qu'il soit, n'est susceptible de juguler les imprudences des internautes eux-mêmes qui n'hésitent pas à confier librement quantité d'informations confidentielles sur les forums, les blogs ou les sites communautaires comme Facebook, par exemple, qui peuvent cacher divers moyens intrusifs^[120]. Cependant, la prudence ne suffit pas toujours pour déjouer les techniques de certains fuiteurs, comme l'hameçonnage par exemple.

En outre, les usagers des outils numériques n'ont pas toujours conscience que ces derniers communiquent à leur insu. Le Wi-Fi, le Bluetooth, les connexions Internet dans les hôtels et les aéroports, les adresses IP, les mails et leurs destinataires, les applications de certains appareils (la géolocalisation sur certains smartphones par exemple)^[121], etc., trahissent l'activité de l'homme numérique qui organise lui-même la fuite de ses propres informations^[122].

Il existe d'ailleurs des sites spécialisés qui font commerce de ces fuites, tel le site américain « Intelius », dont l'activité est de dévoiler tous les éléments de la vie privée d'une personne^[123].

Risques de fuites par suite du fichage des données individuelles

Ici, la fuite est double : d'une part, la collecte d'informations personnelles ressort d'un espionnage policier, parfois ressenti comme une fuite d'intimité intolérable, d'autre part, la confidentialité des fichiers n'est pas toujours parfaite, vis-à-vis de l'extérieur, comme de façon interne avec les risques d'interconnexions^{[note 24]}, sans compter leur détournement à d'autres fins^{[note 25]}.

En France, le fichage étatique remonte aux temps antédiluviens de la police^[124] et une affaire de fichage illicite (Cf. « L'affaire des fiches ») faisait déjà scandale sous la Troisième République et jusqu'à récemment, les services de police entretenaient des fichiers secrets^[88]. Aujourd'hui, la Cnil connaît encore bien des difficultés à encadrer les traitements de données à caractère personnel du secteur public, par exemple, à l'occasion de la mise en place du principal fichier informatique de police judiciaire, le Système de traitement des infractions constatées (STIC)^[125], du fichage génétique, avec le Fichier national automatisé des empreintes génétiques (Fnaeg) ou du fichage sexuelle avec le FIJAIS (etc.), qui peuvent donner lieu à des dérives (informations erronées, fuite d'information au profit de destinataires non habilités^[126], homonymies, inversion, etc.). Le dossier est sensible, comme en témoigne l'émoi suscité en France en 2007 par les tests ADN prévus par la loi sur la maîtrise de l'immigration^{[note 26]}. Sans compter le problème particulier que pose le fichage des adolescents, y compris avant même qu'ils ne commettent une infraction^{[note 27]}, comme le permet le fichier policier « EDVIGE » (Exploitation documentaire et valorisation de l'information générale) installé en juillet 2008 et géré par la direction de la police (plus précisément la Sdig)^[127]. Une occasion pour la Cnil mais aussi la ligue française des droits de l'Homme, entre autres, d'émettre de sérieuses réserves^[128], ce qui a contraint le gouvernement à réviser son décret d'application en septembre 2008^[129]. Sans compter le fichage résultant de l'établissement d'une carte d'identité, d'un passeport, de l'immatriculation d'un véhicule (fichier des cartes grises), ou d'une condamnation pénale (casier judiciaire), auquel s'ajoutent tous les listings fiscaux et sociaux (sécurité sociale, carte Vitale, RMI.RSA et autres), de nombreux autres fichiers plus discrets existent (FAED, SALVAC, SIS, FNIS, ELOI, FPNE, ANACRIM, FICOBA, RNIPP, JUDEX, pour les ressortissants étrangers, pour la rétention administrative, etc.) ou sont en projet (Base-élèves, fichage des bandes organisées, etc.). Certains comme « CRISTINA » échappent au contrôle de la Cnil parce que soumis au Secret Défense.

Le fichage existe aussi dans le secteur privé, commercial, éducatif, bancaire, locatif ou autre. Par exemple, le fichier « PREVENTEL » qui recense les informations relatives aux impayés des abonnés des opérateurs français de téléphonie fixe ou mobile. En France, la Cnil intervient efficacement, si nécessaire, pour faire respecter le droit d'un abonné au téléphone que son numéro (voire son adresse postale) ne figure pas dans les annuaires ou qu'une recherche fondée sur ce seul critère n'aboutisse pas^[130]. Idem pour les adresses électroniques. De manière générale, elle garantit l'accès des personnes aux informations fichées les concernant (uniquement) et leur droit à rectification ou suppression. Tout autre accès serait une fuite illégale. Mais dans ce secteur aussi, la confidentialité peut être douteuse, par copinage^{[note 28]}, par manque de précaution ou maladresse. Ainsi, en septembre 2008, plusieurs milliers d'informations sensibles d'élèves appartenant à l'École supérieure de réalisation audiovisuelle ont été oubliées sur Internet^[131]. Divers entreprises ou organismes français du secteur marchand ont par ailleurs été épinglés pour des fichages discriminatoires (par exemple, le fichage ethnique par une agence immobilière en 2007^[132] ou un agent d'assurance en 2008^[133]), des fichages illégaux de salariés (France Télécom en 2004^[134] et diverses entreprises contrôlées par la Cnil en 2008^[135]) ou des manquements à la confidentialité des données, par exemple la publication de listes noires^[136]. La Cnil a par ailleurs adressé de manière constante depuis 1998 de sévères avertissements à certaines banques concernant le fichage, notamment pour des erreurs d'inscription au fichier incidents de la Banque de France (FICP)^[137].

Fuites consécutives au pistage électronique

La diversité et la nature du pistage : Le pistage électronique est en soi une fuite organisée, que ce soit dans l'entreprise (surveillance du courrier électronique, des sites consultés, biométrie, etc.), par l'internet commercial (surveillance des habitudes, récupération des données personnelles, exploitation des profils, etc.), par mobiles téléphoniques interposés (localisation, écoutes) ou dans tous les lieux et moyens par lesquels peut être enregistré et contrôlé le passage et le comportement d'un individu ou de son véhicule (par exemple : détection de cartes d'accès, enregistrement à l'aéroport, péage d'autoroute, contrôle des distances de sécurité, du franchissement des feux rouges, analyse signalétique des véhicules, caméra de surveillance routière, analyse automatique des plaques minéralogiques, contrôle des disques poids-lourds, radars routiers, cartes bancaires, etc.)^{[note 29]}, y compris de la part d'entreprises qui pistent par GPS l'activité de leurs salariés et le trafic de leurs véhicules (transport routier, livraison, taxi, etc.). Ici, le principe de la confidentialité et du respect de la vie privée des salariés, des internautes, des communicants ou des automobilistes, est loin d'être respecté^[138]. On peut également signaler la méfiance qu'inspire à ce propos la vulgarisation de nouvelles technologies comme la radio-identification (RFID) ou la nanotechnologie d'ailleurs surveillées en France par la Cnil^[139].

L'exemple des boites noires des assureurs : Une assurance automobile grand public dite assurance « pay-as-you-drive » (« payez comme vous conduisez ») tend actuellement à s'implanter un peu partout dans le monde. L'assurance repose sur l'installation (volontaire) d'une boîte noire, c'est-à-dire d'un mouchard qui, par géolocalisation, envoie mensuellement les données recueillies à la compagnie d'assurance qui peut ainsi moduler ses tarifs. Équipé de modules GPS et GSM/GPRS, le système peut notamment comparer à tout moment la vitesse du véhicule avec la vitesse autorisée mais peut indiquer aussi le kilométrage effectué, de jour et de nuit, la fréquence de stationnement, les itinéraires empruntés, etc. Né aux États-Unis en 1996 et déjà développé par exemple en Israël, au Royaume-Uni et en Italie, cette application a d'abord subi en France le veto de la Cnil en 2006, avant que celle-ci n'accorde partiellement son feu vert à un système restreint proposé par la MAAF et par Solly Azar en avril/mai 2008^[140].

L'exemple de la biométrie : L'analyse morphologique ne se limite plus aux empreintes digitales, mais s'étendait déjà à l'œil (iris ou réseaux veineux de la rétine), à la forme de la main ainsi qu'aux traits du visage. En France, depuis janvier 2008, la Cnil autorise aussi la mise en œuvre de dispositifs reposant sur la reconnaissance du réseau veineux du doigt et de la voix^[141]. La prise en compte de ces données implique nécessairement autant de fichiers sensibles et de risques de fuites. La généralisation du passeport biométrique dans le monde (en France depuis 2006) pose lui-même le problème de l'accès aux informations contenues dans la puce à l'insu du porteur et de l'élargissement à terme des informations contenues, pour le moment limitées à l'état civil et aux empreintes digitales. Pour l'avenir, il n'est pas douteux que l'ensemble du corps humain pourrait devenir « biométrisable », alors que l'on sait déjà que l'oreille, les lèvres, la peau, le sang, la thermographie du visage ou l'empreinte du pied sont assez singuliers pour permettre une identification^[142] ; ce qui laisse craindre que l'ensemble de l'identité humaine puisse ainsi être « déconfidentialisée ».

Comme indiqué, en France, la Cnil exerce un certain contrôle sur ce pistage généralisé que, par ailleurs, la Jurisprudence a tenté d'encadrer, en particulier s'agissant de la surveillance sur le lieu de travail : nécessité d'un avertissement préalable du personnel lorsque sont mis en place des dispositifs de contrôle, protection du secret de la correspondance électronique privée même en cas d'usage du matériel de l'entreprise pendant le travail, etc^[143].

Fragilité des dispositifs de protection numériques

Une autre difficulté provient des fuites consécutives au déchiffrement d’un moyen de cryptologie censé protéger la confidentialité d'une information qui, dès lors, devient accessible. Parfois c'est une fuite système qui donne elle-même la clef^[144]. On pense ici à la protection des données informatiques individuelles mais il y a aussi, par exemple, les attaques contre les dispositifs de sécurité électroniques et tous les problèmes liés à l'usage des cartes bancaires. Avec le « cassage » de code, les keyloggers (précités) et les divers moyens d'aspirer l'information par des processus d'intrusion (type XST, XSS, etc.), c'est le terrain de prédilection des hackers, d'une certaine délinquance (y compris celle des cambrioleurs) et de l'espionnage, visant aussi bien les particuliers que les entreprises, les universités^[145] ou les administrations, notamment (cf. supra), auxquels répondent de nouveaux métiers et nouveaux logiciels visant la sécurité informatique.

Crainte d'un big brother généralisé

Enfin, on doit faire une place particulière à la fuite de l'information visuelle et sonore, que les moyens techniques modernes permettent déjà de capter, à l'insu des personnes, parfois au niveau planétaire, que ce soit à l'occasion de la multiplication des caméras de vidéo-surveillance dans tous les lieux privés et publics (avec parfois une retranscription sur internet), le développement des satellites d'observation terrestre (avec parfois une précision de l'ordre de la dizaine de centimètres permettant l'identification d'une plaque minéralogique)^[146], l'usage des micros-canons (qui appréhendent une conversation à grande distance, au travers vitres et murs), ou la généralisation de mouchards miniaturisés (systèmes d'écoutes, caméras ou géolocalisation), sans compter le moyen de capter les données d'un ordinateur à distance grâce à son rayonnement par la technique TEMPEST. Certaines de ces techniques, notamment les caméras et micros miniatures, sont même régulièrement utilisées par les médias d'investigation, ce qui fait parfois polémique par rapport à la déontologie journalistique et la protection de la vie privée, particulièrement en France^[147].

Par ailleurs, de nouvelles technologies se font jour dans tous les domaines, qui peuvent être la source de fuites, sur le porteur, comme sur son environnement. Par exemple : la télémédecine, notamment en matière radiologique, qui permet de sous-traiter un diagnostic à longue distance sans en contrôler pleinement l'accès à l'autre bout, ou les tissus intelligents que vont revêtir certains pompiers pour les localiser et communiquer sur diverses informations physiologiques comme leur rythme cardiaque et leur température, ainsi que leurs mouvements et leur environnement^[148], et qui, éventuellement liés à la biométrie et à la transmission vidéo miniaturisée, équiperont sans doute bien d'autres professionnels, ou autres, pour des usages divers dans le futur^[149].

Avec le fichage tous azimuts et le pistage électronique (supra), toutes ces techniques, et celles dont on pressent l'invention prochaine, sont à la source de la dénonciation d'un Big Brother généralisé que, par ailleurs, la lutte contre le terrorisme serait susceptible de justifier, selon certains^[150]. Les nanotechnologies, en particulier, pourrait nous faire basculer dans un monde où la protection de l'intimité ne serait plus garantie^[151].

En France, il est interdit de filmer l’entrée et l’intérieur des immeubles depuis une loi de 1995 sur la vidéo surveillance^[152].

Limites du secret professionnel

Les informations personnelles connues en raison de la profession de leur détenteurs sont également protégées par le secret professionnel. En France, cela concerne notamment les avocats, médecins et professions paramédicales, notaires et expert-comptables, ministres du culte, banquiers, fonctionnaires, parlementaires, etc.^[153]. S'agissant des détectives privés (ou agents privés de recherche - APR - et agents assimilés, comme l'enquêteur d'assurances), observons que leur métier consiste suivant les cas, parfois à exploiter, voire à provoquer des fuites d'information pour remplir un dossier, soit à identifier des fuites d'information afin d'y mettre un terme. Mais, en France et dans d'autres pays notamment européens, la discrétion qui caractérise leur travail s'explique aussi par le fait qu'ils sont soumis juridiquement au même respect de la vie privée que n'importe quel citoyen qui, lui-même, ne pourrait pas jouer au détective pour quelque obscure raison personnelle sans risques (atteinte à la vie privée, harcèlement, etc.). Ainsi, l'exploration de l'intimité d'une personne est, en soi, autant que par les voies illégales utilisées, par exemple l'utilisation des moyens de la police et des informations bancaires avec la complicité de ces professionnels, proscrite (cas de l'espionnage d'Olivier Besancenot en 2008)^[154]. La marge de manœuvre du détective est donc étroite, bien que la législation française leur reconnaisse explicitement la possibilité de recueillir « du renseignement destiné à des tiers »^[155] et qu'une loi du 23 janvier 2006 renforce les conditions de leur agrément à raison même des données sensibles qu'ils peuvent détenir. Ainsi sont-ils tout pareillement liés en France, dans une bonne partie de l'Europe et au Canada, par le secret professionnel à l'égard de leurs clients. En France trois décisions de justice confirment cet assujettissement et la faute professionnelle commise en cas d'indiscrétion^[156]. En outre la Commission nationale de déontologie de la sécurité a confirmé, dans un avis du 21 septembre 2009^[157] que le secret professionnel constituait le socle de la déontologie des enquêteurs de droit privé^{[note 30]}.

La divulgation par ces professionnels d'informations couvertes par le secret professionnel, en dehors de larges exceptions légales prévue en France (par exemple, le témoignage en justice, la maltraitance sur mineurs ou personnes fragiles, le recel de criminel^[158], etc.), est un délit, en France et dans beaucoup de pays^[159]. Cependant, un médecin qui établit un certificat médical, contenant des informations confidentielles sur la santé de son patient, ne viole pas pour autant le secret médical, dès lors qu'il le délivre à ce dernier, à charge pour ledit patient de le transmettre « librement » à qui le lui demande, même s'il est souvent contraint de le faire en pratique ! En outre, le corps médical a l'obligation de transmettre les informations nominatives à l'autorité sanitaire sur les malades atteints de certaines pathologies comme le VIH, la peste, la rage, l'hépatite B, la tuberculose, etc.^[160]. À noter, le cas particulier des avocats français qui se voient parfois condamnés, d'une façon qui peut surprendre, pour atteinte au secret professionnel par la voie de l'atteinte au secret de l'instruction^[161].

Toutefois, existe notamment en France une autre exception légale au secret professionnel, s'agissant du blanchiment d'argent^{[note 31]}. Les professions concernées (juridiques et financières notamment) sont tenues de déclarer de simples soupçons, qui plus est, sans en informer leurs clients, au Tracfin^[162]. De tels dispositifs existent d'ailleurs au niveau international avec le Groupe d'action financière (GAFI), par exemple. Cette fuite en forme de dénonciation est confidentielle mais les professionnels concernés craignent eux-mêmes les fuites et les avocats, notamment, la contestaient. Le conseil d'État leur a donné raison^[163]. En revanche, personne ne conteste l'accès direct aux informations bancaires qu'ont certaines administrations françaises^{[note 32]} et la justice pénale. Même observation en ce qui concerne l'accessibilité aux informations personnelles détenues par les fournisseurs d'accès internet, hébergeurs ou opérateurs de téléphonie, en vertu de la loi sur l'économie numérique (LEN) de 2004 précitée^{[note 33]}.

Fuites en matière pénale

La connaissance des infractions sanctionnées par des condamnations relatives à un individu, au travers la divulgation de son casier judiciaire est, en France, réglementée et limité dans son contenu. Toute fuite d'informations non divulguables serait un délit, en dehors du fichage dont les auteurs d'infractions peuvent faire l'objet, par exemple dans le STIC ou le fichier JUDEX (Cf. supra). Les bulletins n^o 1 et 2 sont respectivement réservés aux juridictions et aux administrations. Le bulletin n^o 3 où ne figure que les condamnations les plus lourdes n'est transmis qu'aux intéressés eux-mêmes, à charge pour ces derniers de le communiquer chaque fois que cela est exigé dans leurs relations commerciales, professionnelles ou administratives, ce qui est fréquent !

En outre, dans aucun pays, la publicité d'un procès et de ses débats n'est prohibée, si ce n'est par la procédure du huis clos qui vient en limiter les effets, le cas échéant. En France, le huis clos est obligatoire lorsqu'un mineur est en cause. Dans certains pays, les procès sont même parfois filmés. Tel est le cas en France pour les procès historiques (procès Klaus Barbie et Papon, par exemple)^[164] ou exceptionnellement en cas d'accord conjoint du tribunal et des parties^[165] ; en pratique, pour les besoins de certains reportages ou documentaires télévisuels.

Fuites en matière administrative

La communication des documents visant un administré français ne peut être obtenue que par ce dernier. En France, la Commission d'accès aux documents administratifs (Cada) aide les administrés à faire respecter leur droit d'accès. En revanche, la divulgation de ces informations individuelles en dehors de la sphère administrative, par l'administration, ou l'un de ses agents, est punissable, tout comme leur utilisation pour un autre usage^[166]. Le problème s'est cependant posé en France avec une acuité particulière pour les enfants nés sous X ou adoptés. À certaines conditions, l'administration peut désormais lever le secret sur les origines de l'enfant^[167]. Mais les fuites administratives peuvent également être causées par une erreur, un accident ou la perte^[168] et désormais, certaines informations personnelles collectées par l'administration peuvent être publiques, voire commercialisées (voir ci-dessous).

En matière de gestion du personnel de l'administration la discrétion s'impose également et toute fuite est sanctionnable. Ainsi, diffuser la liste des enseignants en grève et les motifs de ceux en congé régulier est une atteinte à la vie privée dont s'est rendu coupable l'Éducation nationale, tel qu'en a décidé le Conseil d'État en 2003^[169].

On peut signaler également que dès lors qu'y sont examinés des situations individuelles, les séances des conseils délibératifs des collectivités territoriales françaises (par exemple une séance du conseil municipal) sont, en principe, frappées du huis clos pour cause de confidentialité, contrairement à la règle qui veut qu'elles soient publiques. Le non-respect de cette précaution peut motiver un contentieux.

En revanche, un extrait d’acte d’état civil français, révélateur également de la situation matrimoniale (mariage, divorce, Pacs), peut être communiqué à toute personne, par la commune de naissance de l'intéressé. De même que la situation patrimoniale d'un individu, dont la divulgation publique n'est pas répréhensible en France (sous réserve du respect du secret professionnel toutefois), peut être connue au travers de multiples formes de publicité administrative légale (cadastre, vente immobilière, hypothèques, etc.). En particulier, la feuille d'imposition d'un contribuable peut être consultée librement par tout autre contribuable dépendant du même centre d'impôts^[170]. Il y a surtout désormais la possibilité pour l'État de communiquer et même de faire commerce des données personnelles de ses administrés sans que ceux-ci en soient seulement informés^[171]. Cette faculté résulte notamment de l'ordonnance n^o 131 du 7 juin 2005 (transposition de la directive européenne 2003/98/CE du 17 novembre 2003)^[172], dont la CADA souligne les conditions d'utilisation^[173], et de la loi n^o 2009-431 du 20 avril 2009 de finances rectificative pour 2009 (article 29) relative aux cartes grises^[174].

Il y a enfin les recensements, notamment celui dit « de population », qui, en France, donne lieu à remplir obligatoirement^[175] un document nominatif comportant certains renseignements très personnels (état civil, niveau d'étude, données professionnelles, composition de la famille, conditions implicites de vie, etc.). Théoriquement, les communes qui procèdent aux opérations de recensement et l'INSEE à qui elles sont destinées doivent en assurer la confidentialité sous le contrôle notamment de la CNIL. Les agents recenseurs sont astreints aux mêmes obligations et sont assermentés, mais ils doivent être recrutés en masse pour ce travail saisonnier par chaque commune, ce qui peut laisser craindre quelques écarts. En outre, certains d'entre eux dénoncent parfois les agissements de leurs communes qui, théoriquement, n'ont pas le droit d'en profiter pour procéder à d'autres recensements ou pour compléter leurs propres informations^[176]. Par contre, les collectes de données en vue de statistiques ethniques ou confessionnelles, envisagées en France en 2007, ont été déclarées inconstitutionnelles^[177] alors qu'elles sont parfaitement admises dans d'autres pays (Canada, Australie, notamment).