un principe de transparence des traitements algorithmiques

Un principe en manque d’unité conceptuelle

Guy Braibant notait que le droit à la transparence, en ce qu’il concourt à la démocratie administrative, y compris par le droit à l’information, était constitutif d’un droit de l’homme de troisième génération120. Bien que Jean Rivero le considérait en revanche « trop vague »121, nous soutenons qu’il en a désormais la consistance pour y prétendre sous forme d’un principe pouvant le cas échéant se mettre en œuvre par une pluralité de techniques juridiques, y compris de droits. Une telle reconnaissance impliquerait une juridicité dont l’invocation devant les juridictions serait certaine puisqu’un « principe s’analyse comme une contrainte, ce qui est le propre de toute norme juridique et comme la manifestation d’une volonté, celle d’un objectif à atteindre, en l’occurrence la transparence »122.
L’hyper spécialisation du droit nuit néanmoins à notre sens de plus en plus à la reconnaissance de principes généraux, raison pour laquelle nous avons par ailleurs souhaité appréhender la transparence du fait juridique algorithme dans sa globalité. Une approche globale du fait juridique étudié afin de l’aborder de la manière la plus pertinente possible et proposer une approche fonctionnelle de mise en œuvre d’un tel principe général de transparence des traitements algorithmiques. Il est général en ce qu’il permettrait d’observer le cyberespace dans un but de respect des droits et libertés, et plus largement de l’ordre juridique. Ce qui légitime surtout un tel principe est en lien avec la théorie générale de l’Etat dans sa philosophie libérale, à savoir rendre observable l’action de l’administration pour qu’elle puisse rendre compte, mais aussi la connaissance du positionnement des autres acteurs amenés à concurrencer son ordre juridique, émanation de l’autonomie des citoyens. Ce principe n’empêcherait pas par ailleurs d’agir de manière plus traditionnelle en relais d’autres régimes juridiques comme en matière contractuelle pour assurer le consentement des personnes.
Il arrive que saisir un fait nouveau en le rattachant à des régimes juridiques déjà existants ne puisse être suffisant, et il convient à ce titre de consacrer un principe général de transparence des traitements algorithmiques, qu’ils soient publics ou privés, mais cela implique des ajustements significatifs. La réorientation des objectifs pour que la transparence soit propre au numérique sur le fondement de la transparence classique est insuffisante à assurer juridiquement la lisibilité des traitements. L’émergence d’une nouvelle source s’impose et sa mise en œuvre implique par ailleurs d’importants ajustements tant du point de vue constitutionnel que législatif.
Cette transparence n’a pas pour but de lever totalement l’opacité qui résulterait de ces traitements en réétudiant toutes les étapes des processus pour chaque personne et pour chaque usage, mais elle servirait à ce que l’ordre juridique continue d’être globalement efficace. Nous ne pouvons que tendre vers cet objectif car les moyens alloués ne sont pas sans limite123 et parce que l’informatique connait également des contraintes observationnelles que le juridique ne saurait lever. Les tentatives de compréhension de ces systèmes ne doivent pas avoir pour obstacle le droit.
Même si des principes font parfois leur émergence à la suite de révisions constitutionnelles124, ils sont souvent justifiant cette attitude théoriquement illicite au moyen d’une rhétorique subtile, mais pas forcément convaincante. En fait, et quoi qu’il en dise, cela revient toujours à apporter une norme générale nouvelle dans le système (même si l’opération ne prend presque jamais la forme d’une pure création ex nihilo, le juge ne pouvant donner l’impression de se comporter comme le ferait le législateur). Il faut voir là l’expression la plus manifeste du pouvoir normatif du juge, ou plus précisément de son pouvoir de créer des normes générales »125.
Mais bien que le Conseil constitutionnel126 ait récemment rattaché le droit d’accès aux documents administratifs à l’article 15 de la DDHC127 lorsqu’il a été confronté aux algorithmes locaux de « Parcoursup »128, ce qui est assez rare pour être souligné129, il a également validé que le secret était opposable à leur communication. Malgré cette relative avancée, la reconnaissance d’un principe de transparence de la vie publique130 apparaît encore lointaine, et il serait encore plus déraisonnable d’attendre du juge constitutionnel qu’il découvre un principe général de transparence des traitements algorithmiques répondant également à la concurrence de l’Etat par les opérateurs économiques, notamment car certaines valeurs du libéralisme politique qui se sont forgées contre l’ingérence de l’Etat dans la vie des acteurs privés seraient susceptibles de l’empêcher parce que les sources constitutionnelles manquent à cette fin131. Et quand bien même une loi poserait un tel principe, elle se heurterait donc à de nombreuses sources constitutionnelles. La fin des règles générales constitue également un émiettement du droit qui ne permet plus toujours d’appréhender l’entièreté d’un phénomène132. C’est la raison pour laquelle nous sommes favorables à ce qu’un tel principe figure dans une révision constitutionnelle. Il aurait toute sa place dans une charte des droits fondamentaux numériques133.
Pourtant, comme nous l’avons constaté, les premières techniques juridiques concourant à une plus grande compréhension des algorithmes informatiques servent l’application de règles juridiques déjà existantes et assurent une dimension de principe support aux droits et libertés, et ce au même titre qu’un principe classique de transparence qui ne serait pas propre à la sphère numérique134. Nous n’y voyons donc pas plus qu’un principe relais indispensable, ce qui n’exclut pas pour autant qu’il soit bien plus au fur et à mesure de la découverte de nouvelles incidences de l’informatique sur la société. Qu’il s’agisse du droit privé ou du droit public, les sources ne sont pas toujours les mêmes, ce qui explique que la réalisation de la transparence s’opère par des techniques juridiques particulières. Il est important que l’objet étudié bénéficie d’une unité conceptuelle, reposant sur la justification de l’observation des faits juridiques du cyberespace, afin de garantir l’effectivité de l’ordre juridique lorsque leur immixtion le menace, ce qui n’est pas pour l’heure le cas.
Le recours au numérique exige une régulation au regard d’autres enjeux qui commencent à être cernés, notamment par la nouvelle proposition de règlement européen relative à l’IA135. Elle tend à reconnaître l’autonomie d’un principe de transparence propre à l’observation de l’environnement numérique pour la protection des droits fondamentaux136. Ces nouvelles obligations visent non pas à se substituer aux obligations et objectifs que nous étudierons tout au long de ces travaux, mais bien à se cumuler par l’intermédiaire d’une approche fondée sur les risques. Toutefois, le déploiement des techniques juridiques qu’elle souhaite opérer nous semble encore insuffisant pour parvenir convenablement à cet objectif.
L’enjeu de la transparence est éminemment démocratique. Un principe ne répondant qu’à des impératifs de transparence de l’action publique, c’est-à-dire dans une acception purement libérale est lacunaire. Ce sont aujourd’hui les puissances privées qui sont aussi une menace pour l’Etat et les libertés collectives et individuelles. La transparence en droit privé, qui repose par ailleurs essentiellement sur des obligations d’information contractuelles ou précontractuelles, ne saurait parvenir à elle seule à cet objectif. De plus, il convient désormais d’appréhender le numérique comme le disait Lawrence Lessig en tant que sphère à part entière susceptible de menacer la démocratie137 et que seule une nouvelle organisation de l’Etat serait même de combattre pour se prémunir de la déviance des gouvernants et des opérateurs économiques138 (Partie 2).
La reconnaissance d’un tel principe, qui se composerait en une pluralité d’autres principes et se déclinerait par ailleurs en une multitude de techniques juridiques, y compris sous forme de droits, offrirait la possibilité d’effectuer une conciliation juridique propre à la matière numérique et non seulement en fonction d’une conciliation du terrain classique, ce qui pourrait être l’occasion, d’un point de vue constitutionnel de hiérarchiser certaines valeurs entre elles au sein de cet environnement. Ainsi, les secrets protégés par la loi, la liberté d’entreprendre et le secret des affaires doivent-ils prévaloir sur la transparence des traitements algorithmiques alors qu’ils sont susceptibles de menacer les droits et libertés par l’inobservation de ces nouveaux outils, également vis-à-vis de l’Etat, pourtant nécessaires à la sanction des normes juridiques ? Il s’agit en réalité de rectifier un déséquilibre permettant de lever les freins à la réalisation juridique de la transparence. Mais pour ce faire, et dans le respect du droit des tiers issus du libéralisme économique, qui est aussi partie prenante de l’Etat de droit dans nos actuelles démocraties libérales, la transparence devrait avoir lieu a minima de manière indirecte, c’est-à-dire par l’intermédiaire d’un tiers de confiance. Cet apport ne peut provenir d’un droit souple, d’un éventuel principe de responsabilité des acteurs tel que prévu par le RGPD139, mais il nécessite l’édiction d’un droit dur qui s’épanouirait par l’intermédiaire d’une nouvelle organisation des pouvoirs constitués qu’il conviendrait de repenser. L’Etat est l’échelon le plus à même de remplir cette tâche dès lors qu’il en donnerait les garanties pour qu’une telle transparence puisse être opérée en toute indépendance. C’est en effet grâce à sa force, institution au service de l’autonomie des citoyens en démocratie, qu’il serait possible de protéger les libertés menacées aussi bien par les gouvernants et l’administration, ainsi que par les géants du numérique. En effet, le libéralisme politique ne s’est pas construit face aux opérateurs privés, mais à l’encontre de la puissance publique. Face au retour d’éventuelles féodalités, ce qui a par ailleurs été au fondement de la naissance de l’Etat moderne, ce dernier est tout désigné pour remplir cette mission. Se pose naturellement la façon d’y parvenir, car la puissance publique constitue également une menace pour les libertés.
C’est au cœur de la notion de contre-pouvoirs institutionnels qu’il conviendrait de rétablir un équilibre. Ainsi, lorsque la Commission Nationale de l’Informatique et des Libertés (CNIL) est instituée comme première autorité administrative indépendante (AAI) désignée en tant que telle par une loi dès 1978140 pour assurer la conformité des traitements automatisés ou non de données nominatives au droit par l’intermédiaire de plusieurs techniques que nous étudierons, elle opère aussi en contre-pouvoir technique pour certains traitements intéressant l’Etat par la voie d’un avis conforme qui lui sera par ailleurs plus tard retiré141. Nous avons identifié dans le cadre de ces travaux que l’approche par branche ou sectorielle du droit du fait numérique a engendré une pluralité d’autorités de contrôle étatiques, parfois indépendantes ou non, se faisant concurrence et à travers des moyens matériels et humains très faibles. A titre d’exemple, la CADA est compétente pour se prononcer sur les demandes de communication de documents administratifs, alors qu’elle ne vérifie pas que les documents transmis par l’administration sont véridiques, ce qui ne participe pas à lutter contre une asymétrie informationnelle au détriment des administrés. Une autorité de contrôle dédiée, la Commission Nationale de Contrôle des Techniques de Renseignement142 (CNCTR), est chargée de contrôler les algorithmes utilisés dans le cadre de la surveillance étatique à des fins de prévention des troubles à l’ordre public. Lorsque les algorithmes font une immixtion dans le droit de la consommation, la Direction Générale de la Concurrence, de la Consommation et de la Répression des fraudes (DGCCRF) est compétente143. Il en est de même en matière de santé avec la Haute Autorité de Santé (HAS) ou avec l’autorité de la concurrence pour apprécier les algorithmes des géants du numérique susceptibles d’effectuer des distorsions de concurrence.
66. Cette erreur remonte à notre sens à la genèse de la LIL. En effet, d’une part, le décret du gouvernement de Jacques Chirac instituant la « Commission informatique et libertés » afin qu’elle propose un régime juridique applicable aux traitements, ne souhaite pas cantonner un tel régime juridique aux données nominatives, puisqu’il est question de « garantir que le développement de l’informatique, dans les secteurs public, semi-public et privé se réalisera dans le respect de la vie privée, des libertés individuelles et des libertés publiques »144. Et d’autre part, le premier rapport de cette commission rendu public en 1975, et qui inspirera ensuite en partie la LIL, retient dans un chapitre X intitulé « Informatique et démocratie » la nécessité de prendre en compte les données qui gouvernent les aides à la prise de décision quand bien même celles-ci ne seraient pas nominatives. L’esprit du rapport est simple :
• (…) Le véritable responsable, généralement incapable de démontrer tous mécanismes du modèle, ne dispose que de son bon sens pour s’opposer à une mobilisation considérable de moyens d’apparence scientifique. Il existe donc bien un danger de substitution du pouvoir ; les spécialistes du modèle tendent de facto à jouer un rôle majeur dans les processus de décision. Si, à l’insu du responsable en dernier ressort, le modèle a été façonné de manière à favoriser abusivement certaines orientations, notamment en agissant au niveau du programme, ce transfert de pouvoir peut se transformer en abus de pouvoir »145.
L’informatique devait y être saisie dans son entièreté, permettant à l’autorité administrative de référence d’avoir une emprise sur ces faits juridiques nouveaux. Il est d’ailleurs troublant de remarquer que de nombreuses incidences du numérique sur les droits et libertés que nous pensons découvrir aujourd’hui étaient autrefois déjà globalement observées. En revanche, l’informatique ayant majoritairement à cette époque des incidences sur le respect de la vie privée et une opacité sur les intentions de l’action publique, le régime juridique certes général qui en en a découlé s’est retrouvé limité à la question des données nominatives, puis personnelles.
68. Cela explique notamment en partie pourquoi la CNIL est limitée dans son action et se retrouve elle-même concurrencée par d’autres autorités publiques, ce qui suscite un éparpillement de la force de l’Etat146 pour saisir ce phénomène. Il nous a semblé opportun de nous prononcer en faveur d’une autorité unique de contrôle des traitements algorithmiques qu’ils soient publics ou privés, et qui serait amenée à collaborer avec le cas échéant d’autres régulateurs. Il est nécessaire qu’un seul lieu réunisse les compétences et les efforts pour la compréhension de la sphère numérique afin de communiquer, dans le respect du droit des tiers et des secrets protégés par la loi, sur le comportement de ces outils. Il s’agirait donc d’un tiers de confiance étatique indépendant du pouvoir politique qui exercerait une transparence indirecte lorsqu’elle ne peut s’effectuer directement. La spécialisation des institutions pour saisir les particularités de l’environnement numérique implique des corps constitués dédiés au sens large, y compris de la justice puisqu’elle doit participer davantage à la transparence de ces traitements, mais aussi du Parlement afin notamment de préciser le principe général constitutionnel souhaité.
Parallèlement, le rôle de la société civile n’est pas à négliger. Qu’elle intervienne en tant que justiciable, par la voie d’associations par exemple, ou des lanceurs d’alertes, elle concourt à une plus grande compréhension de ces systèmes. Un écosystème juridique doit donc encourager cette forme de transparence qui est au service de l’intérêt général. Il est à noter qu’il convient de s’intéresser au rôle que les architectes du cyberespace seraient amenés à avoir pour une plus grande transparence des systèmes qu’ils conçoivent. L’éthique joue une place de plus en plus présente dans la société, qu’elle soit d’ailleurs d’inspiration étatique ou privée, y compris par les acteurs du numérique eux-mêmes, mais bien qu’elle agisse comme l’ « antichambre » du droit, elle ne saurait se substituer à un droit dur, raison pour laquelle certaines obligations particulières de transparence pourraient être imposées par la déontologie pour les grands projets ayant des incidences sur la société, et indépendamment de la manipulation de données personnelles. Nous envisageons sur le modèle du délégué à la protection des données147 (DPD), l’élargissement d’une profession à des grands projets ne portant pas que sur les données à caractère personnel. Enfin, un nouveau régime juridique législatif et réglementaire général nous semble opportun afin de mettre en œuvre cette transparence. Il convient d’y établir le degré et la nature des obligations relatives à transparence devant s’opérer, notamment en fonction des usages, mais également de la légitimité de l’acteur régulé. Les nouvelles propositions de règlement européen148 allant en partie en ce sens avec son approche fondée sur les risques en fonction des usages algorithmiques est une source indéniable d’inspiration.
Mais nous ne voudrions pas que la reconnaissance d’un tel principe soit considérée comme une fin en soi. Bien que la transparence soit indispensable pour les raisons évoquées, elle ne peut se suffire à elle-même. La transparence juridique, même si elle devait aboutir à une transparence technique totale, lorsque cela est possible, ne veut pas dire que l’usage qui en est fait est acceptable. Cette perspective nous conduirait à autoriser à tort des usages attentatoires aux libertés. Dans notre démonstration l’objet de transparence n’a aucun objectif de légitimation de l’usage. Certains usages algorithmiques doivent être exclus, et c’est pour cette raison aussi que la transparence est censée éclairer les citoyens et la représentation parlementaire sur les incidences de l’informatique sur la société. D’ailleurs, et nous le verrons, quand bien même le droit ne se heurterait pas à une transparence de ces traitements, certaines technologies demeurent opaques. Afin de compléter la démocratie représentative, et un peu à l’instar de la démocratie administrative, mais dans une acception plus générale pour prendre en considération certains projets privés ayant des incidences sur la société, il serait judicieux de compléter le principe de transparence par un principe de participation du public à la démocratie numérique. En effet, comme l’affirmait Christian Lequesne, la transparence « ne suffit nullement à rendre une démocratie vivante dans la mesure où la démocratie ne saurait être réduite à un problème de visibilité des décisions »149.