Gestion juridique de la trace
Traçabilité et libertés individuelles

En quelques années, la traçabilité est devenue une question juridique de premier plan.

Qu’il s’agisse de la traçabilité dans le domaine alimentaire, dans celui de la finance, dans celui de la santé, dans le secteur de la sécurité ou dans celui de l’électronique, la question est toujours la même : de quelle trace disposons-nous ? Et pour en faire quoi ?

Qu’est-ce que la traçabilité et qu’est-ce qu’une trace ? Il faut ici pouvoir distinguer la traçabilité d’un point de vue technique et la traçabilité dans sa sphère juridique et, in fine, de vérifier si l’une et l’autre sont placées sur le même plan.

La traçabilité est un néologisme dérivé de l’anglais traceability, pouvant être traduit par « capacité à tracer ».

La traçabilité rejoint les notions de « tracer », « trace » et « traçage », qui impliquent l’utilisation d’éléments de marquage et d’identification d’un objet ou d’un acteur.

La norme ISO 9000:2015 la définit comme étant « l’aptitude à retrouver l’historique, la mise en œuvre ou l’emplacement d’un objet ». Diverses exigences découlent de cette norme. Les entreprises et organisations doivent notamment planifier leurs actions face aux risques et aux objectifs qualité ou encore évaluer leur performance.

La définition ISO de la traçabilité prévoit que la traçabilité peut être notamment liée à l’origine des matériaux et composants, l’historique de réalisation, la distribution et l’emplacement du produit ou du service après livraison.

Il s’agit d’identifier un bien tant matériel (exemple un objet) qu’immatériel (exemple une donnée), un service, une personne et de lui associer des événements qui, au fil du temps, l’ont transformé, ces événements pouvant eux-mêmes être identifiés et donc tracés.

La traçabilité est « plurielle » au sens de l’usage, alliant les aspects suivants :

• identification : la traçabilité permet de différencier un bien, une personne, ou un groupe parmi d’autres et de le reconnaître dans un ensemble ;

• authentification : cette approche permet de s’assurer qu’un bien ou une personne précédemment « certifiée » présente bien une signature authentique ; l’authentification fait appel à un tiers de confiance qui gère les secrets permettant la certification ;

• localisation : la traçabilité place un bien ou une personne dans l’espace et dans le temps (tel le suivi GPS) ;

• sécurisation : la fiabilité et la sécurité de l’information sont des éléments incontournables d’une solution de traçabilité ; l’altération de l’information peut déstabiliser un processus de production avec pour conséquence une perte de confiance dans la solution de traçabilité.

Ces aspects de la traçabilité, ou ce que certains appellent la « traçabilitique », doivent permettre une approche globale qui associe l’utilisation des technologies de support et de capture de l’information, faisant ainsi le lien entre la traçabilité et les technologies.

Sur le plan juridique, le terme de traçabilité est identifiable dans plus de trente codes aussi variés que le Code de commerce, le Code pénal, le Code général des impôts ou encore le Code de l’environnement.

On dénombre par ailleurs plus de vingt-neuf lois, décrets ou arrêtés qui comportent dans leur titre le mot même de traçabilité, sur des thèmes aussi variés que la chasse au gibier d’eau, les produits vinicoles ou les explosifs à usage civil, ou plus récemment les déchets…

Quant au nombre de textes de toutes natures qui comportent le terme de traçabilité, ils sont suffisamment nombreux pour ne pas les citer tous.

À côté du mot même de traçabilité, il existe un très grand nombre d’obligations ou de dispositions qui, sans utiliser la même terminologie, ont pour objet ou pour effet de traiter de la trace.

Il existe très peu de définitions juridiques du terme traçabilité.

Le règlement (CE) 178/2002 sur la sécurité alimentaire définit, dans son article 3-5, la traçabilité comme « la capacité de retracer, à travers toutes les étapes de la production, de la transformation et de la distribution, le cheminement d’une denrée alimentaire, d’un aliment pour animaux, d’un animal producteur de denrées alimentaires ou d’une substance destinée à être incorporée ou susceptible d’être incorporée dans une denrée alimentaire ou un aliment pour animaux ».

De son côté, le règlement CE 1830/2003 relatif aux OGM définit la traçabilité comme la capacité de suivre des OGM et des produits élaborés à partir d’OGM, à tous les stades de leur mise sur le marché, le long de la chaîne de production et de distribution.

Au sens technique, on parlera alors de log de connexion, de données techniques, de données de trafic, de données d’identification ou encore de données de connexion. Il convient cependant de distinguer les données de traçabilité de la traçabilité des données. Par exemple, un log de connexion est une donnée de traçabilité, tandis que le journal des logs permet d’assurer une traçabilité des données de connexion.

Au sens juridique, on leur donnera à peu près tous un seul et même synonyme : la preuve !

Sur le plan juridique, en effet, la trace devient une preuve : preuve d’un fait, d’un acte, d’une intervention, d’une présence, du respect de la loi ou de son manquement… mais aussi parfois absence d’action ou de réaction.

Ce que l’on cherche en effet à faire avec la trace, c’est prouver… prouver que X a fait ceci, prouver que Y était bien là le jour J, prouver que Madame Michu a bien acheté ceci sur Internet ou encore que Monsieur Michu est bien passé trop vite devant le radar automatique…

Issue primairement du secteur industriel, notamment de la métrologie avec l’étalonnage, la traçabilité y est entendue comme un processus qui assure des liens entre les différents flux physiques et d’informations, tel un chaînage depuis les matières premières jusqu’aux produits finis, en y incluant le procédé de transformation.

Dans le secteur agroalimentaire, la traçabilité est l’un des moyens essentiels pour assurer la sécurité alimentaire. Dans ce domaine, la traçabilité est devenue une obligation légale prévue par le règlement européen (CE) 178/2002 du 28 janvier 2002, notamment par son article 18 intitulé « Traçabilité », imposant aux entreprises du secteur agroalimentaire une obligation de traçabilité des denrées alimentaires à tous les stades de la chaîne de production et de commercialisation :

• denrées et substances incorporées ou susceptibles d’être incorporées dans les denrées ;

• identification des fournisseurs et des clients ;

• mise à disposition des autorités compétentes de tous les éléments de contrôle nécessaires sur demande.

Les entreprises agroalimentaires sont tenues en particulier d’assurer un archivage des flux pendant cinq ans (délai pouvant être modulé suivant la durée de vie du produit alimentaire) et de restituer l’information grâce à la mise en place d’un système structuré. Ceci est particulièrement important dans le cadre d’un retrait de produit du marché et d’un rappel au consommateur que l’article 19 du même règlement européen rend obligatoires en cas de risque. Les entreprises du secteur agroalimentaire ont donc une obligation de résultats et non de moyens.

Cette traçabilité est supposée nous éviter de consommer de la viande de cheval à la place de la viande de bœuf ou d’éviter que des animaux impropres à la consommation humaine finissent dans nos assiettes. Toute ressemblance avec des situations existantes ou ayant existé n’a rien de fortuite ! Et l’on comprend ainsi que la traçabilité peut aussi être détournée ou contournée.

Dans la pratique, la traçabilité est donc la capacité à retrouver un ensemble de produits (alimentaires au besoin) lorsqu’il parcourt une suite de transformations ou lorsqu’il est ensuite distribué au consommateur.

Si un produit présente un risque pour le consommateur, la traçabilité est la capacité de l’identifier, de le localiser et de le retirer des points de vente (plan de retrait-rappel).

Dans d’autres secteurs (industrie nucléaire, pharmaceutique, etc.), des contraintes réglementaires d’application de la traçabilité sont également prévues notamment pour des raisons de retrait de produits ou de vente illégale.

Enfin, dans la construction mécanique et électrique, la traçabilité s’occupe également, à partir d’un produit ou d’un service livré, de suivre la chaîne d’informations et d’indiquer l’origine du produit, ou du service, et de tous les sous-traitants ou fournisseurs qui ont participé à sa fabrication.

La traçabilité des objets permet ainsi de déterminer la responsabilité d’un acteur dans la chaîne de production ou de distribution.

Dans le domaine alimentaire, on parlera essentiellement de la traçabilité des animaux, singulièrement lorsqu’ils sont à destination comestible ; dans le domaine de la santé, on pensera immédiatement à la traçabilité des lots de médicaments ; dans le domaine de la banque et de la finance, la traçabilité portera sur les opérations mises en œuvre et leur caractère plus ou moins exceptionnel. Dans le secteur de la sécurité et des équipements individuels de protection (EPI), la traçabilité pourra rimer avec vidéosurveillance ou biométrie, et dans celui de l’électronique avec logs, données de trafic ou données de connexion. Enfin, il sera également question de traçabilité des animaux de compagnie avec le « puçage » obligatoire.

Dans la plupart de ces situations, traçabilité rime avec identité.

La question en effet est moins de savoir d’où vient la vache que de savoir si elle est folle et qui a pu en consommer… tout comme en matière pharmacologique, la question sera d’identifier la personne qui a pu avoir accès à un lot critique (exemple : médicaments défectueux).

En matière de banque, on s’intéressera surtout à identifier celui ou celle des traders qui a pu engager une démarche hors norme et si la banque en avait eu connaissance. Le contentieux autour de l’affaire Kerviel illustre parfaitement ces enjeux. En 2008, la Société Générale déclare avoir été victime d’une fraude dans ses activités de produits financiers. Son trader Jérôme Kerviel est accusé d’avoir pris des positions massives, à hauteur de 50 milliards d’euros. Dans sa décision du 19 mars 2014, la Cour de cassation confirme la condamnation de Kerviel mais relève également l’existence de fautes commises par la Société Générale ayant concouru au développement de la fraude et à ses conséquences financières.

En matière de sécurité, la problématique posée est celle de l’identification d’un délinquant et en matière électronique savoir qui de Pierre ou de Paul s’est connecté, à quoi, et pendant combien de temps.

Dans tous les cas et même lorsque la trace ne porte pas sur la personne elle-même, elle la touche directement : la traçabilité des médicaments ou des aliments rejaillit sur ceux qui les consomment ; la traçabilité des armes, encadrée par le nouveau système d’information sur les armes (SIA) depuis le 8 février 2022, sur ceux qui les manipulent, et ainsi de suite.

Il existe donc une corrélation, pour ne pas dire une immixtion, entre la trace et l’individu.

Il existe donc un lien étroit pour ne pas dire systématique entre traçabilité et données personnelles et il existe donc naturellement ou nécessairement une problématique entre la légitimité de la trace et une potentielle atteinte aux libertés individuelles ou collectives.

Cette immixtion est telle qu’une même trace peut être appréhendée du côté malin ou du côté malsain. Personne ou presque n’aime l’idée d’être vidéo-surveillé ; mais tout le monde applaudit lorsqu’il s’agit d’identifier en un temps record un délinquant ou un terroriste via un système de vidéoprotection.

Or, entre vidéosurveillance et vidéoprotection, rien ne change mais tout est différent : rien ne change sur un plan technique car il s’agit toujours de filmer des personnes et de conserver pendant un certain laps de temps les images ; mais tout est différent car la vidéosurveillance sera considérée comme une atteinte aux libertés individuelles ; alors que la vidéoprotection sera admise comme un bon moyen de protéger les libertés collectives.

Il importe d’ailleurs à ce stade d’en revenir au sujet lui-même et à la notion même de liberté. On évoque ici la liberté individuelle mais à vrai dire, la traçabilité peut tout aussi bien toucher ou affecter les libertés collectives.

Cependant, ce sont bien les libertés individuelles au premier rang desquelles figure le droit à la protection de la vie privée et des données personnelles qui posent question lorsqu’il s’agit de traiter de la traçabilité des individus.

On parle de conflit de légitimité dès lors qu’il faut respecter deux obligations en apparence contradictoires.

En matière de traçabilité, le conflit de légitimité est indéniable dès lors qu’existe une obligation de traçabilité d’une part et qu’existent en même temps un droit à la protection des libertés individuelles et des données personnelles… autrement dit le droit à l’anonymat.

Ce conflit est d’autant plus prégnant que les conséquences d’une violation de l’une ou l’autre des obligations (traçabilité versus droit des données personnelles) sont sanctionnées pénalement.

Ce conflit, même s’il existe, peut facilement être maîtrisé pour autant qu’un certain nombre de règles du jeu soient respectées.