Quel droit pour le data mining ?

Brigitte Misse Avocat auprès de la cour d'appel de Paris brigittemisse-avocat@orange.fr

À chaque étape de la définition d'un plan de data mining, plusieurs règles issues de la loi informatique, fichiers et libertés vont s'appliquer afin de déterminer les différents types de données à collecter ou à identifier, les modalités pour lesquelles la base sera traitée et, enfin, les traitements à effectuer.

Il existe plusieurs contraintes. Les premières sont liées à la nature des traitements effectués. Le géomarketing, le scoring ou la segmentation comportementale sont, en effet, des techniques strictement encadrées. Les deuxièmes découlent de l'obligation de traiter des données exactes et complètes. Les troisièmes sont enfin liées à la nature même des données. Il faut, par ailleurs, ne pas oublier l'existence des données sensibles (numéro de Sécurité sociale, condamnations, moeurs, opinions politiques...).

Déterminer la légalité des traitements engagés

Examiner ces contraintes pour déterminer la légalité des traitements envisagés s'impose d'autant plus que des formalités déclaratives devront être effectuées auprès de la Cnil. Et l'analyse déclarative s'avère extrêmement complexe, puisque le choix déclaratif lui-même sera déterminant pour la licéité des opérations de data mining: autorisation, dispense de déclaration, autorisation après arrêté ou décret, déclaration simplifiée ou ordinaire... Ces formalités devront être menées avant même la mise en oeuvre du traitement. À défaut, des sanctions pénales ou civiles particulièrement lourdes peuvent être prononcées par les tribunaux ou la Cnil. La politique de data mining devra enfin tenir compte du respect du droit des personnes fichées et ce, d'autant que celles-ci peuvent désormais s'opposer à la prospection commerciale. Une étude très précise devra donc être menée tant sur les informations portées à la connaissance des personnes fichées que sur le traitement de ces informations. Une étude qui sera plus complexe pour des entreprises utilisant les réseaux de communication électronique. En effet, des accords spécifiques devront exister compte tenu de la loi sur la confiance dans l'économie numérique, qui réglemente l'utilisation des adresses e-mails dans le cadre des campagnes publicitaires. S'assurer de la licéité des traitements, déclarer ou re-déclarer, respecter les accords avec les personnes fichées constituent donc les éléments-clés d'une politique de data mining puisqu'en fonction de ces prérequis, le projet sera envisageable ou non.

Encadrer sa politique de data mining

Encadrer les relations entre les différents intervenants mettant en place une solution de data mining est un des axes majeurs de la politique. En effet, il est essentiel de définir le rôle de chacun d'entre eux, les prestations à réaliser ainsi que les modalités y afférentes tant en termes de prix, de délais... Une définition très précise de la responsabilité et des garanties de chacun des acteurs doit évidemment y être mentionnée. Outre les aspects juridiques liés à la loi informatique, fichiers et libertés, et aux responsabilités de chaque acteur, un des aspects essentiels de ces contrats concerne la propriété des données en tant que telles mais également des bases de données, voire des logiciels utilisés. En premier lieu, si les données ne sont pas originales et sont souvent exclues de la protection des droits d'auteur, leur protection peut toutefois être assurée par les règles de la concurrence déloyale ou parasitaire mais aussi par les règles du contrat. Il en est de même pour l'utilisation des bases de données et ce, même si elles peuvent bénéficier d'une protection spécifique. L'un des enjeux essentiels de cette protection est de permettre, notamment aux producteurs de bases, d'interdire l'extraction mais également la réutilisation de toute ou partie substantielle du contenu du fichier lorsque la constitution, la vérification ou la présentation de ce contenu a nécessité un certain investissement. Enfin, le logiciel en tant que tel, utilisé pour des opérations de data mining ou bien développé de manière spécifique pour une entreprise, est également l'objet de droits. Encadrer son utilisation ou sa cession doit donc être envisagé dès le début des pourparlers.