Une préoccupation qui débute au XVIIIe siècle
L’idée selon laquelle les données personnelles concernant les individus ont besoin d’être protégées n’est pas liée à la prolifération des fichiers informatiques ces quarante dernières années. Dès le XVIIIe siècle, des voix s’élèvent contre les États qui commencent à mettre en place des pièces d’identité pour leurs citoyens.
La France, notamment, tient un rôle de premier plan dans la mise en avant de cette notion lorsque le gouvernement révolutionnaire de 1792 s’attribue progressivement le monopole de la délivrance des documents individuels d’identité.
Après les violences de la période révolutionnaire, la crainte principale est que cette nouvelle formalité administrative pourrait donner lieu à de l’arbitraire de la part des municipalités et des corps administratifs constitués.
Un autre électrochoc sur la question de la protection des données personnelles a eu lieu à cause de la Seconde Guerre mondiale. Durant cette période, le régime nazi a utilisé plusieurs traitements de données pour exterminer des tranches de population qui ne correspondaient pas à leur « projet d’assainissement de la race ».
La France sera à nouveau au premier plan de la protection des données personnelles dans les années 1970 avec l’affaire dite Safari qui est rendue publique le 21 mars 1974 dans le journal Le Monde. L’acronyme Safari signifie « système automatisé pour les fichiers administratifs et le répertoire des individus ». En bref, le gouvernement de l’époque prévoyait de mettre au point un fichier automatisé reposant sur le numéro de Sécurité sociale de l’individu et permettant l’accès à un ensemble d’informations le concernant.
Ces révélations ont provoqué un tollé dans l’opinion publique et le projet a été abandonné.
Mise en œuvre d’un droit à la protection des données personnelles dans le droit français et prémices d’une législation au niveau européen
Après l’affaire Safari va émerger en France la volonté de légiférer sur la question de la protection des données personnelles, ce qui sera fait quatre ans plus tard avec la
loi du 6 janvier 1978, dite « loi informatique et libertés »
.
Cette loi a notamment créé la Commission nationale de l’informatique et des libertés (Cnil) et dispose dans son article 1er que « l’informatique doit être au service de chaque citoyen. [...] Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».
Si la loi de 1978 visait essentiellement à protéger l’individu contre les possibles dérives de l’administration, un autre adversaire de la protection des données personnelles se développe de plus en plus et a tendance à s’émanciper des droits nationaux protecteurs comme celui de la France de par son aptitude à traverser les frontières très facilement. Ce nouvel adversaire est composé des grands groupes économiques privés qui constituent des entités multinationales leur permettant de s’affranchir des législations nationales.
C’est sur ce constat que l’Europe va agir en adoptant le 24 octobre 1995 la
directive européenne 95/46/CE
relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données entre les États européens.
Cette directive va consacrer de nouveaux enjeux comme l’internationalisation des flux et la marchandisation des données.
Il faudra attendre dix ans pour que la directive européenne de 1995 soit transposée en France via la
loi n° 2004-801 du 6 août 2004
relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Certains États membres ayant tardé à transposer la directive de 1995 pour continuer à bénéficier des faveurs des grands groupes privés, et les technologies évoluant rapidement, la nécessité d’une nouvelle réforme européenne s’est rapidement imposée. Il s’agira cette fois d’une législation européenne directement applicable à tous les États membres même en l’absence de transposition nationale (sous la forme d’un règlement européen donc).
Ce règlement portera le nom de RGPD ou règlement général sur la protection des données.
