Convention 108 : le texte fondateur de la protection des données

La Convention 108 est le premier traité international juridiquement contraignant consacré à la protection des personnes à l'égard du traitement automatisé des données à caractère personnel. Ouverte à la signature le 28 janvier 1981 par le Conseil de l'Europe, elle oblige ses parties à intégrer dans leur droit interne un socle de garanties. Sa version modernisée, dite Convention 108+, adapte ce cadre aux usages numériques contemporains sans rompre avec ses principes fondateurs.

Pourquoi un traité international est-il devenu nécessaire ?

Dans les années 1960 et 1970, l'informatisation croissante des administrations et des entreprises fait apparaître un problème inédit par son ampleur : des informations concernant une personne peuvent être enregistrées, rapprochées, transférées et réutilisées rapidement. Plusieurs Etats européens adoptent alors leurs propres règles, mais des législations nationales isolées ne suffisent pas à encadrer les échanges de données au-delà des frontières.

Le Conseil de l'Europe élabore d'abord des résolutions portant sur les banques de données électroniques dans les secteurs privé et public, respectivement en 1973 et 1974. Ces textes orientent les Etats, sans créer les obligations juridiques d'un traité. La préparation d'une convention répond donc à deux objectifs liés : garantir les droits fondamentaux des personnes et permettre la circulation internationale des informations entre pays offrant des protections compatibles.

Cette articulation entre libertés, technologies et échanges transnationaux demeure centrale pour comprendre la société de l'information. Elle distingue aussi la protection des données de la propriété sur les créations, célébrée lors de la Journée mondiale de la propriété intellectuelle : une donnée personnelle n'est pas protégée parce qu'elle serait une oeuvre, mais parce que son traitement concerne les droits et libertés d'une personne.

Chronologie de la Convention 108

1. 1973 : le Conseil de l'Europe adopte une résolution relative à la protection de la vie privée des personnes physiques vis-à-vis des banques de données électroniques dans le secteur privé.
2. 1974 : une seconde résolution traite des banques de données électroniques dans le secteur public.
3. 28 janvier 1981 : la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel est ouverte à la signature à Strasbourg. Son numéro dans la série des traités lui vaut le nom de Convention 108.
4. 1er octobre 1985 : la Convention entre en vigueur après les ratifications requises.
5. 2001 : un protocole additionnel renforce le dispositif sur deux points : les autorités de contrôle et les flux transfrontières de données vers des destinataires ne relevant pas d'une partie à la Convention.
6. 18 mai 2018 : le protocole d'amendement modernisant la Convention est adopté.
7. 10 octobre 2018 : ce protocole est ouvert à la signature. Le cadre modernisé est couramment appelé Convention 108+.

Le choix du 28 janvier comme date d'ouverture à la signature explique le lien historique avec la Journée européenne de la protection des données.

Quels principes le texte originel impose-t-il ?

La Convention 108 ne réglemente pas une technologie particulière. Elle fixe des exigences applicables aux données à caractère personnel soumises à un traitement automatisé, dans les secteurs public et privé. Son champ peut être adapté par les déclarations prévues au traité, notamment pour l'étendre à certains fichiers traités manuellement.

Le texte originel impose notamment que les données soient :

• obtenues et traitées loyalement et licitement ;
• enregistrées pour des finalités déterminées et légitimes, sans utilisation incompatible avec ces finalités ;
• adéquates, pertinentes et non excessives au regard de leur usage ;
• exactes et, si nécessaire, mises à jour ;
• conservées sous une forme permettant d'identifier les personnes pendant une durée qui ne dépasse pas celle nécessaire ;
• protégées par des mesures de sécurité appropriées contre la destruction, la perte, l'accès, la modification ou la diffusion non autorisés.

Des garanties renforcées s'appliquent à certaines catégories sensibles, notamment les données révélant les opinions politiques, les convictions religieuses, la santé, la vie sexuelle ou l'origine raciale, ainsi qu'aux données relatives aux condamnations pénales. Leur traitement automatique n'est permis que si le droit interne prévoit des garanties appropriées.

La personne doit également pouvoir connaître l'existence d'un fichier, obtenir communication des données qui la concernent et demander, selon les cas, leur rectification ou leur effacement. Cette logique participe d'une conception plus large des libertés individuelles, également mise en lumière par la Journée des droits de l'homme et par le droit à la vérité concernant les violations des droits humains.

Comment la Convention fonctionne-t-elle juridiquement ?

La Convention engage les Etats et autres parties qui l'ont ratifiée. Elle leur demande de prendre dans leur droit interne les mesures nécessaires pour donner effet à ses principes. Elle n'institue pas un régime uniforme administré par une autorité supranationale unique et ne fixe pas elle-même une liste générale de sanctions directement applicables aux organismes.

Son fonctionnement repose sur plusieurs niveaux complémentaires :

• la transposition des garanties conventionnelles dans les législations nationales ;
• des recours permettant aux personnes de faire respecter leurs droits ;
• une coopération et une assistance mutuelle entre les parties ;
• un comité conventionnel chargé de suivre l'application du traité, de formuler des propositions et de contribuer à son interprétation ;
• des règles destinées à concilier la protection des personnes avec les transferts internationaux de données.

La Convention autorise certaines dérogations, notamment pour la sûreté de l'Etat, la sécurité publique, les intérêts monétaires de l'Etat, la répression des infractions ou la protection de la personne concernée et des droits d'autrui. Ces restrictions doivent toutefois être prévues par la loi et constituer une mesure nécessaire dans une société démocratique.

Convention 108 et Convention 108+ : quelle distinction ?

La Convention 108 désigne le traité originel de 1981. La Convention 108+ désigne ce traité tel que modernisé par le protocole d'amendement de 2018. Le signe « + » est une appellation d'usage : il ne correspond pas à un nouveau traité entièrement indépendant.

La modernisation conserve les principes historiques, mais précise ou renforce plusieurs garanties. Elle consolide notamment l'exigence de proportionnalité, la transparence des traitements, la responsabilité des acteurs, les pouvoirs et l'indépendance des autorités de contrôle, ainsi que la protection entourant les transferts internationaux. Elle prend également en compte le profilage et les décisions reposant de manière significative sur un traitement automatisé.

Le protocole élargit et actualise en outre certaines notions, renforce les obligations relatives aux violations de données et réduit les possibilités d'exclure des traitements du champ conventionnel. Sa prise d'effet juridique dépend des règles d'entrée en vigueur et des ratifications prévues par le protocole : signer, ratifier et être lié par le texte modernisé sont donc des étapes distinctes.

Une portée internationale au-delà de l'Europe

Bien qu'élaborée au sein du Conseil de l'Europe, la Convention 108 n'est pas réservée aux seuls Etats membres de cette organisation. Des Etats non européens peuvent être invités à y adhérer. Cette ouverture lui donne une portée internationale singulière et favorise l'établissement d'un langage juridique commun entre systèmes nationaux différents.

Son influence tient moins à l'uniformisation complète des lois qu'à la reconnaissance d'un socle partagé : finalité déterminée, qualité des données, sécurité, garanties pour les données sensibles, droits des personnes, contrôle et encadrement des flux transfrontières. Ces principes restent pertinents face aux services en ligne, aux plateformes et aux systèmes algorithmiques, dont l'évolution est aussi évoquée lors de la Journée mondiale de la créativité et de l'innovation.

La Convention 108 protège les personnes, non les données pour elles-mêmes : les règles imposées aux traitements servent les droits et les libertés humaines.