Cybersécurité, vie privée et protection des données : conflit ou complémentarité ?
Renforcer la cybersécurité suppose souvent de collecter, analyser ou conserver certaines informations. Mais ces mesures doivent également respecter la vie privée et la protection des données personnelles. Dans l’Union européenne, ces trois dimensions ne sont pas nécessairement antagonistes : elles doivent être conciliées dans un cadre fondé sur les droits fondamentaux, la nécessité et la proportionnalité.
L’essentiel
La cybersécurité, la vie privée et la protection des données personnelles sont parfois présentées comme des objectifs contradictoires.
Plus de surveillance permettrait davantage de sécurité, tandis que davantage de protection de la vie privée limiterait les capacités de détection.
Cette représentation est pourtant trop simple.
La protection des données nécessite elle-même des mesures de sécurité. Inversement, certaines mesures de cybersécurité peuvent nécessiter le traitement de données personnelles.
Dans l’Union européenne, l’enjeu consiste donc moins à choisir entre sécurité et libertés qu’à déterminer comment atteindre un objectif légitime de sécurité tout en respectant les droits fondamentaux.
Une cybersécurité durable ne devrait pas être pensée contre la protection des données, mais avec elle.
1. Une triade au cœur de la société numérique
Les activités numériques reposent sur trois exigences devenues indissociables :
protéger les systèmes ;
protéger les informations ;
protéger les personnes.
La cybersécurité cherche notamment à préserver :
- la confidentialité ;
- l’intégrité ;
- la disponibilité ;
- la résilience des systèmes et des données.
La protection de la vie privée vise à préserver une sphère d’autonomie individuelle face aux ingérences injustifiées.
La protection des données personnelles encadre quant à elle le traitement des informations se rapportant à des personnes physiques identifiées ou identifiables.
Ces trois dimensions se rencontrent désormais dans presque tous les environnements numériques.
2. Cybersécurité et protection des données sont souvent complémentaires
Un premier constat est fondamental :
Il ne peut pas y avoir de protection efficace des données personnelles sans sécurité.
Une organisation qui collecte des données doit également empêcher :
- leur accès non autorisé ;
- leur altération ;
- leur destruction ;
- leur divulgation ;
- leur perte.
La cybersécurité constitue donc l’une des conditions nécessaires à la protection des données.
Le Règlement général sur la protection des données – RGPD traduit directement cette logique en imposant notamment des mesures techniques et organisationnelles appropriées au risque.
Dans cette configuration, cybersécurité et protection des données ne s’opposent pas.
Elles se renforcent mutuellement.
3. La sécurité peut elle-même protéger la vie privée
Le chiffrement constitue un exemple particulièrement évident.
Chiffrer :
- un ordinateur ;
- un smartphone ;
- une base de données ;
- une communication ;
permet simultanément de renforcer la cybersécurité et de limiter l’accès non autorisé aux informations personnelles.
Il en va de même pour :
- l’authentification forte ;
- la gestion des accès ;
- la journalisation maîtrisée ;
- la segmentation ;
- les sauvegardes sécurisées.
Une architecture correctement sécurisée peut donc constituer un outil de protection des libertés individuelles.
4. Pourquoi des conflits apparaissent-ils malgré tout ?
Certaines mesures de sécurité nécessitent cependant de collecter ou d’analyser des informations concernant les utilisateurs.
Une organisation peut, par exemple, avoir besoin d’analyser :
- les connexions ;
- les journaux techniques ;
- les tentatives d’authentification ;
- certains comportements inhabituels ;
- les événements de sécurité.
Ces informations peuvent être nécessaires pour détecter :
- une intrusion ;
- une compromission ;
- un compte détourné ;
- une activité malveillante.
Mais elles peuvent également contenir des données relatives à des personnes.
C’est à ce moment qu’apparaît une tension entre capacité de surveillance technique et protection des droits.
5. Le faux dilemme « sécurité contre liberté »
Le débat public est régulièrement présenté sous la forme suivante :
plus de sécurité = moins de liberté.
Cette représentation conduit à imaginer les deux valeurs comme les extrémités d’une même échelle.
Pour obtenir davantage de sécurité, il faudrait nécessairement accepter une réduction des libertés.
Cette conception est cependant contestable.
Une mesure portant fortement atteinte aux libertés n’est pas nécessairement une mesure de sécurité efficace.
Inversement, certaines protections des droits peuvent renforcer la sécurité.
La véritable question devrait donc être :
La mesure envisagée est-elle réellement nécessaire, adaptée et proportionnée au risque auquel elle cherche à répondre ?
6. La triade : conflit ou complémentarité ?
La relation entre cybersécurité, vie privée et protection des données peut prendre plusieurs formes.
Complémentarité
Une mesure améliore simultanément la sécurité et la protection des données.
Exemple : chiffrement des données.
Tension
Une mesure de cybersécurité nécessite le traitement d’informations personnelles.
Il faut alors déterminer dans quelles conditions ce traitement peut être réalisé.
Conflit
Une mesure de sécurité peut entraîner une ingérence importante dans la vie privée.
Sa légitimité et sa proportionnalité doivent alors être examinées.
Neutralité
Certaines mesures peuvent avoir peu ou pas d’effet direct sur la vie privée.
La relation entre ces trois dimensions dépend donc largement du contexte et de la technologie considérée.
7. Le droit européen ne repose pas sur une liberté absolue
Les droits fondamentaux occupent une place centrale dans l’ordre juridique de l’Union européenne.
La Charte des droits fondamentaux de l’Union européenne protège notamment :
- le respect de la vie privée et familiale ;
- la protection des données à caractère personnel ;
- la liberté d’expression ;
- la sécurité juridique et les garanties juridictionnelles.
Mais certains droits peuvent faire l’objet de limitations dans les conditions prévues par le droit.
Ces limitations ne peuvent pas être arbitraires.
Elles doivent notamment répondre à un objectif légitime et respecter les exigences applicables en matière de nécessité et de proportionnalité.
8. Vie privée et protection des données : deux notions liées mais distinctes
Il est important de ne pas utiliser ces deux notions comme des synonymes.
Vie privée
Elle protège plus largement la sphère personnelle de l’individu.
Protection des données
Elle encadre spécifiquement le traitement des données à caractère personnel.
Une atteinte à la protection des données peut concerner :
- la collecte ;
- la conservation ;
- l’utilisation ;
- le partage ;
- la sécurité des informations.
La distinction est importante car les fondements juridiques et les mécanismes de protection ne sont pas exactement identiques.
9. Le RGPD intègre directement la sécurité
Le RGPD illustre particulièrement bien la complémentarité entre cybersécurité et protection des données.
Son article 32 impose aux responsables du traitement et sous-traitants concernés de mettre en œuvre des mesures techniques et organisationnelles appropriées au niveau de risque.
Selon les circonstances, ces mesures peuvent notamment concerner :
- la confidentialité ;
- l’intégrité ;
- la disponibilité ;
- la résilience ;
- la restauration ;
- l’évaluation régulière de l’efficacité des mesures.
La sécurité des données n’est donc pas extérieure au RGPD.
Elle en constitue l’une des composantes.
10. Protection des données dès la conception
Le principe de protection des données dès la conception, souvent désigné par l’expression privacy by design, encourage à intégrer la protection des données dès les premières étapes d’un projet.
Cette logique rejoint directement les principes de :
Security by Design
et
Security by Default.
Au lieu d’ajouter la sécurité ou la confidentialité à la fin d’un projet, l’organisation cherche à les intégrer dès :
- la conception ;
- l’architecture ;
- le développement ;
- le déploiement.
Cette convergence constitue probablement l’une des meilleures illustrations de la complémentarité entre cybersécurité et protection des données.
11. La minimisation peut également renforcer la sécurité
Le RGPD prévoit notamment un principe de minimisation des données.
L’organisation ne devrait collecter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité poursuivie.
Cette logique peut également présenter un intérêt en cybersécurité.
Une donnée qui :
- n’est pas collectée ;
- n’est pas conservée inutilement ;
- a été correctement supprimée ;
ne pourra pas être volée lors d’une compromission ultérieure.
La réduction du volume de données peut donc réduire la surface d’impact d’un incident.
12. La journalisation illustre parfaitement la difficulté
Les journaux informatiques sont indispensables à la cybersécurité.
Ils permettent notamment :
- d’identifier un incident ;
- de comprendre son origine ;
- de reconstruire une chronologie ;
- de détecter des comportements inhabituels.
Mais une journalisation excessive peut également permettre une surveillance très détaillée des utilisateurs.
Il faut donc déterminer :
- quelles données enregistrer ;
- pourquoi ;
- pendant combien de temps ;
- qui peut y accéder ;
- comment elles sont protégées.
Le problème n’est donc pas nécessairement la journalisation elle-même.
Il réside dans son périmètre et sa gouvernance.
13. La proportionnalité devient un principe central
Lorsqu’une mesure de sécurité porte atteinte à un droit, plusieurs questions doivent être posées.
La mesure poursuit-elle un objectif légitime ?
Le risque auquel elle cherche à répondre doit être clairement identifié.
Est-elle adaptée ?
La mesure permet-elle réellement de contribuer à atteindre l’objectif ?
Est-elle nécessaire ?
Existe-t-il une solution moins intrusive permettant d’obtenir un résultat comparable ?
Est-elle proportionnée ?
L’atteinte aux droits est-elle excessive par rapport au bénéfice attendu ?
Cette logique évite de considérer toute mesure présentée comme « sécuritaire » comme automatiquement justifiée.
14. La technologie ne décide pas seule
Un système technique peut offrir de nombreuses possibilités.
Cela ne signifie pas que toutes doivent être utilisées.
Il faut distinguer :
ce qu’il est techniquement possible de faire
de
ce qu’il est juridiquement et éthiquement acceptable de faire.
Cette distinction devient particulièrement importante avec :
- l’intelligence artificielle ;
- la biométrie ;
- la vidéosurveillance algorithmique ;
- l’analyse comportementale ;
- les systèmes de détection automatisée.
Les capacités technologiques progressent parfois plus rapidement que les pratiques de gouvernance.
15. L’intelligence artificielle renforce la question
L’intelligence artificielle permet d’analyser des volumes considérables de données afin d’identifier :
- anomalies ;
- comportements atypiques ;
- tentatives d’intrusion ;
- schémas inhabituels.
Ces capacités peuvent renforcer la cybersécurité.
Mais selon les usages, elles peuvent également augmenter :
- la surveillance ;
- le profilage ;
- les traitements automatisés ;
- les risques d’erreur.
La question n’est donc pas de savoir si l’IA est « bonne » ou « mauvaise » pour la vie privée.
Elle est de déterminer dans quelles conditions un système particulier est utilisé.
16. Cybersécurité et surveillance ne sont pas synonymes
Cette distinction est essentielle.
La cybersécurité ne consiste pas nécessairement à surveiller en permanence les personnes.
Elle consiste avant tout à protéger :
- les systèmes ;
- les réseaux ;
- les données ;
- les services.
Une politique de cybersécurité mature doit donc chercher à détecter les menaces sans collecter inutilement des informations sur les utilisateurs.
Cette approche rejoint les principes de minimisation et de protection dès la conception.
17. La sécurité nationale constitue un domaine particulier
Dans l’Union européenne, la sécurité nationale conserve un statut spécifique.
L’article 4, paragraphe 2, du Traité sur l’Union européenne rappelle notamment que la sécurité nationale reste de la seule responsabilité de chaque État membre.
Cela ne signifie toutefois pas que toute mesure qualifiée de sécuritaire échappe automatiquement à l’ensemble des principes juridiques.
Les interactions entre :
- droit national ;
- droit de l’Union ;
- protection des données ;
- droits fondamentaux ;
- sécurité nationale ;
font l’objet d’une jurisprudence complexe.
Il faut donc éviter les généralisations.
18. Le rôle essentiel du contrôle juridictionnel
Dans un État de droit, les tensions entre sécurité et libertés ne sont pas réglées uniquement par l’exécutif.
Les juridictions jouent un rôle majeur dans l’examen :
- de la légalité ;
- de la nécessité ;
- de la proportionnalité ;
- des garanties offertes aux personnes.
Au niveau européen, la Cour de justice de l’Union européenne et la Cour européenne des droits de l’homme, bien qu’appartenant à deux systèmes juridiques distincts, participent toutes deux à la construction des garanties applicables aux droits fondamentaux.
Cette précision est importante : la CEDH relève du Conseil de l’Europe, et non de l’Union européenne.
19. Le discours sécuritaire peut modifier la perception de l’équilibre
Lorsqu’une crise survient, la demande de sécurité augmente souvent.
Terrorisme, cyberattaque majeure, conflit ou crise sanitaire peuvent conduire à accepter rapidement de nouveaux dispositifs de surveillance.
Le risque est alors de présenter toute limitation des libertés comme nécessaire simplement parce qu’elle intervient dans un contexte exceptionnel.
Une politique publique doit cependant rester évaluée selon :
- son efficacité ;
- sa nécessité ;
- sa durée ;
- ses garanties ;
- sa proportionnalité.
L’urgence ne doit pas supprimer l’analyse critique.
20. La confiance constitue un objectif commun
Cybersécurité, vie privée et protection des données peuvent finalement être réunies autour d’un objectif commun :
la confiance numérique.
Un utilisateur doit pouvoir avoir confiance dans :
- la sécurité du service ;
- l’utilisation de ses données ;
- les personnes pouvant y accéder ;
- les mécanismes de contrôle.
Une organisation qui protège techniquement ses systèmes mais utilise les données de manière disproportionnée peut perdre cette confiance.
Inversement, une organisation respectueuse de la vie privée mais incapable de sécuriser les informations qu’elle détient ne remplit pas davantage son obligation de protection.
Points de vigilance
« Plus de cybersécurité signifie nécessairement moins de vie privée »
Non.
De nombreuses mesures renforcent simultanément sécurité et confidentialité.
« Le RGPD empêche les entreprises de faire de la cybersécurité »
Non.
Le RGPD impose lui-même des exigences en matière de sécurité des données personnelles.
« Cybersécurité et surveillance sont synonymes »
Non.
La protection des systèmes peut être organisée sans surveillance disproportionnée des personnes.
« La vie privée et la protection des données sont exactement la même chose »
Non.
Les notions sont étroitement liées mais juridiquement distinctes.
« Une situation d’urgence permet de supprimer les droits fondamentaux »
Non.
Les limitations éventuelles restent encadrées par les règles et garanties juridiques applicables.
Ce qu’il faut retenir
Cybersécurité, vie privée et protection des données ne constituent pas nécessairement trois objectifs concurrents.
Dans de nombreuses situations, ils sont complémentaires :
la cybersécurité protège les données ;
la protection des données encourage la minimisation ;
la minimisation réduit l’exposition ;
la protection dès la conception améliore la confiance numérique.
Des tensions peuvent néanmoins apparaître lorsque les mesures de sécurité nécessitent une surveillance ou une collecte importante d’informations.
L’enjeu consiste alors à rechercher une solution légitime, nécessaire, adaptée et proportionnée.
Perspectives
L’évolution du numérique rendra cette conciliation de plus en plus importante.
L’intelligence artificielle, l’Internet des objets, la biométrie, le cloud et les systèmes connectés augmentent simultanément :
- les capacités de traitement ;
- les capacités de surveillance ;
- les besoins de sécurité ;
- les volumes de données personnelles.
Les organisations devront donc progressivement rapprocher plusieurs cultures professionnelles :
cybersécurité ;
protection des données ;
juridique ;
gestion des risques ;
éthique.
L’objectif ne devrait plus être de traiter séparément la sécurité et la vie privée.
Il devrait être de construire des systèmes dans lesquels sécurité, protection des données et respect des droits fondamentaux sont intégrés dès la conception.
C’est probablement dans cette approche que la triade cesse d’être un conflit pour devenir une complémentarité.
Sources et références institutionnelles
- Charte des droits fondamentaux de l’Union européenne – notamment articles 7 et 8
- Traité sur l’Union européenne – notamment article 4
- Règlement (UE) 2016/679 – RGPD – notamment articles 5, 25 et 32
- CNIL – Sécurité des données et protection de la vie privée
- ENISA – Cybersécurité et résilience numérique
- EDPB / Comité européen de la protection des données – Orientations relatives à la protection des données
- Cour de justice de l’Union européenne – Jurisprudence relative aux données et aux droits fondamentaux
- Conseil de l’Europe / Cour européenne des droits de l’homme – Protection de la vie privée
- Travaux académiques de Maria Grazia Porcedda relatifs à la cybersécurité, la vie privée et la protection des données
Publication ADESS – Analyse stratégique
ADESS – Association des Experts en Sécurité et Sûreté
Cette publication propose une analyse générale des relations entre cybersécurité, protection des données et respect de la vie privée dans le contexte européen. Elle ne constitue pas un avis juridique individualisé et ne se substitue ni à l’analyse d’un délégué à la protection des données, ni à celle d’un professionnel du droit ou de la cybersécurité.
Evelyne Tchouboum – ID : 13306594