Philippe Latombe : « La CNIL est un véritable gardien des libertés, mais aussi un lieu où les expertises les plus pointues sont présentes »

Quel est le rôle du représentant de l'Assemblée nationale auprès de la CNIL ?

La présence de parlementaires au sein de la commission, comme cela se passe d’ailleurs pour de nombreuses instances étatiques, leur permet d’assurer le contrôle de l’action publique, ce qui fait partie de leur mission d’élu.

Dans son article 9, la loi Informatique et libertés de 2015 précise la composition de la CNIL, qui comporte 18 membres, et place en tête de liste les membres du Parlement : deux députés et deux sénateurs, désignés respectivement par l'Assemblée nationale et par le Sénat, de manière à assurer une représentation pluraliste. L’usage veut aussi que la parité soit respectée.

Les parlementaires choisis sont donc commissaires et, s’ils sont assidus, ils peuvent retirer de cette expérience -au-delà de leur fonction de contrôle- une connaissance des sujets traités qui permet d’améliorer leur travail législatif.

Le périmètre de compétences de la CNIL recouvrant un domaine pour lequel les compétences sont rares au sein des deux assemblées, les parlementaires commissaires apportent une expertise essentielle à la pertinence du débat législatif. C’est d’autant plus important qu’on assiste à une montée en puissance des sujets législatifs traitant des données personnelles.

Vous avez occupé ce rôle sur la précédente législature, quel bilan tirez-vous ?

J’ai pu constater que la CNIL est un véritable gardien des libertés, mais aussi un lieu où les expertises les plus pointues sont présentes. J'y apprends en permanence.

J’ai pu constater que certains ministères ou services ont une volonté maximaliste d'utilisation des données, sans prendre en compte la nécessaire adéquation bénéfice/risque. Les systèmes d’information de l’État et des collectivités auraient bien besoin d’être soumis à des audits, avec réalisation d’une cartographie. En un mot, d’être modernisés.

Vous venez d'être à nouveau nommé au sein du collège de la CNIL, quelles sont vos priorités ?

Elles sont nombreuses : l’utilisation des données personnelles par l’IA, la mise en adéquation entre le Règlement général de protection des données (RGPD) et la loi européenne sur l’intelligence artificielle (IA Act), la transposition de la directive européenne network and information security, dite Nis 2, et la cybersécurité des données personnelles, la protection des données personnelles face aux règles extraterritoriales non européennes (russes, chinoises, américaines...). Les sujets ne manquent pas !

Vous êtes spécialisé dans ce domaine de la technologie depuis votre premier mandat en 2017. Comment allier technologies nouvelles/vidéosurveillance avec liberté/sécurité privée des citoyens ?

C’est un vaste sujet qui ne peut se résumer en quelques lignes.

Il faut trouver un équilibre entre la nécessité de protéger les citoyens dans l’espace public et le risque de limitation des libertés individuelles et publiques.

Cela demande un important travail d’évaluation des technologies proposées et de mise en place d’une traçabilité rigoureuse de chaque utilisation, afin de permettre le suivi et le contrôle de toute exploitation des systèmes.

Mais il existe aussi un risque stratégique de transfert de données vers un État tiers, ce qui représente une menace significative, en raison de l'accès privilégié que cela pourrait offrir à des informations hautement sensibles, telles que les déplacements individuels, les flux de trafic, voire des données biométriques.

L’agrégation de données, même sectorielles, s’avère précieuse pour dresser un tableau général, qu’il s’agisse par exemple de l’état de santé d’une population ou de tendances de consommation énergétique. Ces informations peuvent se transformer en levier de négociation économique internationale et impacter les marchés mondiaux. Celui qui détient une quantité supérieure d’informations sur un produit ou un service en tire un avantage stratégique non négligeable.

Cependant, le premier risque lié à l’usage des logiciels de surveillance ne réside pas tant dans la fuite de données vers l’extérieur que dans leur mauvaise utilisation à des fins personnelles, malveillantes ou abusives. À plus grande échelle, des technologies comme la reconnaissance faciale pourraient également être détournées, par exemple à des fins électoralistes, sans que les citoyens en soient informés.

L’accès privilégié à certaines informations peut également constituer pour les agents publics un levier dans le cadre de leur progression de carrière, ce qui accroit la menace de dérive.

Voilà qui souligne l’importance de mettre en place une traçabilité rigoureuse de chaque utilisation, afin de permettre le suivi et le contrôle de toute exploitation des systèmes et l’évaluation des principales menaces associées aux logiciels de surveillance modernes.