En Allemagne, un long combat contre le pistage numérique

Dig­i­tal Courage est une asso­ci­a­tion tech­no-cri­tique alle­mande créée en 1987, mem­bre de l’EDRi (Euro­pean Dig­i­tal Rights), qui a engagé depuis quelques mois un com­bat pour obtenir le “droit à la vie sans con­trainte numérique”.

C’est une démarche proche de celle ini­tiée en Wal­lonie (pour “main­tenir un accès non numérique aux ser­vices publics”), à Genève (“droit à l’in­tégrité numérique” : con­tre le traite­ment abusif des don­nées, pour le droit à une vie hors-ligne…), ou de notre pro­pre recherche d’un “statut d’ob­jecteur du numérique”.

Dig­i­tal Courage vient d’obtenir une 1e vic­toire face à la Deutsche Bahn (la SNCF alle­mande) devant un tri­bunal de Franc­fort. Elle a par ailleurs engagé une autre action, tou­jours face à la Deutsche Bahn, con­tre l’ap­pli­ca­tion fer­rovi­aire “DB Nav­i­ga­tor”, qui devrait débouch­er prochaine­ment.

La four­ni­ture oblig­a­toire d’une adresse mail ou d’un n° de portable pour l’achat d’un bil­let de train est illé­gale

Dans son com­mu­niqué, le Tri­bunal région­al supérieur de Franc­fort-sur-le-Main donne rai­son à l’As­so­ci­a­tion alle­mande des organ­i­sa­tions de con­som­ma­teurs (VZBV), dont Dig­i­tal Courage est mem­bre. En effet, il ordonne à la société Deutsche Bahn Fer­n­verkehr AG de ne plus sub­or­don­ner l’achat de bil­lets “Saver” et “Super Saver” à la four­ni­ture oblig­a­toire d’une adresse e‑mail ou d’un numéro de télé­phone portable.

Ces deux types de bil­lets peu­vent être achetés soit en ligne via l’ap­pli­ca­tion fer­rovi­aire, soit au guichet, aux auto­mates ou par télé­phone auprès du ser­vice de voy­ages. Jusqu’au 15 décem­bre 2024, ils étaient ven­dus unique­ment par voie numérique. Les con­som­ma­teurs devaient fournir leur adresse e‑mail ou leur numéro de télé­phone portable pour recevoir le bil­let numérique ou le numéro de com­mande, même lors de l’achat au guichet. Ces bil­lets ne pou­vaient pas être achetés aux auto­mates.

Le Tri­bunal jus­ti­fie sa déci­sion en déclarant illé­gale l’oblig­a­tion de fournir une adresse e‑mail ou un numéro de télé­phone car cela con­sti­tu­ait un traite­ment de don­nées con­traire aux dis­po­si­tions du Règle­ment général sur la pro­tec­tion des don­nées (RGPD).

Il n’y avait pas de con­sen­te­ment volon­taire : les con­som­ma­teurs n’avaient pas de “choix réel ou libre”. La posi­tion dom­i­nante du défend­eur sur le marché du trans­port fer­rovi­aire longue dis­tance, con­nue du tri­bunal, plaide égale­ment con­tre le car­ac­tère volon­taire du con­sen­te­ment.

Ce traite­ment des don­nées n’é­tait pas non plus néces­saire à l’exé­cu­tion du con­trat. Le bil­let sert de preuve de la con­clu­sion du con­trat de trans­port et de paiement. La forme numérique du bil­let facilite unique­ment le traite­ment par le défend­eur et sert “prin­ci­pale­ment à des fins internes à l’en­tre­prise, telles que la fidéli­sa­tion de la clien­tèle, la pub­lic­ité ou le suivi du com­porte­ment des util­isa­teurs”.

“Le respon­s­able du traite­ment doit donc choisir le proces­sus d’ac­cès à ses ser­vices qui requiert le moins de don­nées per­son­nelles”, con­clut le Tri­bunal. La déci­sion n’est pas sus­cep­ti­ble d’ap­pel.

Pour Ramona Pop, de la VZBV, c’est un suc­cès pour la pro­tec­tion des con­som­ma­teurs car “impos­er la divul­ga­tion de don­nées per­son­nelles lors de l’achat d’un bil­let est totale­ment inac­cept­able. Per­son­ne ne devrait être exclu des voy­ages en train. Les chemins de fer doivent égale­ment pro­pos­er des options de bil­lets analogiques et sim­ples.”

A not­er que Dig­i­tal Courage s’est lancé dans un inven­taire par régions (les 16 lan­ders qui peu­vent avoir des pra­tiques très dif­férentes) des con­di­tions exigées pour la délivrance de tick­ets.

Ce type de déci­sion pour­rait être obtenu en France car il repose sur un règle­ment européen applic­a­ble stricte­ment à l’i­den­tique sur le ter­ri­toire français, le RGPD.

Procès con­tre les traceurs de l’ap­pli­ca­tion DB Nav­i­ga­tor

Une pre­mière audi­ence a eu lieu en mai, celle prévue en juil­let a été retardée, sem­ble-t-il suite au dépôt par les avo­cats de la Deutsche Bahn d’un nou­veau mémoire pour ralen­tir la procé­dure.

L’ap­pli­ca­tion DB Nav­i­ga­tor donne des infor­ma­tions sur les retards et les cor­re­spon­dances, sur l’or­dre des wag­ons, sur la pos­si­bil­ité d’a­cheter des bil­lets à bord… Ce sont des fonc­tion­nal­ités certes utiles mais, dans le même temps, cer­tains de ces ser­vices ne sont plus acces­si­bles par d’autres moyens. De plus, DB Nav­i­ga­tor partage une mul­ti­tude d’in­for­ma­tions per­son­nelles sans que les util­isa­teurs puis­sent s’y oppos­er.

Lors de la pre­mière audi­ence, le tri­bunal a claire­ment indiqué qu’il con­sid­érait deux des trois traceurs de l’ap­pli­ca­tion comme cri­tiques, voire très cri­tiques. Si cette action en jus­tice con­tre la Deutsche Bahn aboutit, cela enver­rait égale­ment un sig­nal aux autres entre­pris­es qui souhait­ent impos­er leurs appli­ca­tions gour­man­des en don­nées per­son­nelles.

La dif­fi­culté est ici pour le plaig­nant – Dig­i­tal Courage – de prou­ver tech­nique­ment l’at­teinte aux droits, ce qu’un expert – Mike Kuketz – a réal­isé pour eux. Son tra­vail très étof­fé peut inspir­er d’autres chercheurs.

Un tel tra­vail est pos­si­ble­ment réal­is­able en France (à un 1e niveau par l’appli­ca­tion Exo­dus, de façon plus appro­fondie par des spé­cial­istes tra­vail­lant pour La Quad­ra­ture du Net ou d’autres asso­ci­a­tions). Sur le plan juridique, la référence est tou­jours le RGPD (arti­cles 5, 6.1, 7, 13, 14, 15, 21, 25, 30, 44, 58). Mais l’ex­pert y ajoute sur le plan pénal des références à des arrêts obtenus en Alle­magne, ain­si qu’à une loi alle­mande sur les télémé­dias.