En Allemagne, un long combat contre le pistage numérique

Digital Courage est une association techno-critique allemande créée en 1987, membre de l'EDRi (European Digital Rights), qui a engagé depuis quelques mois un combat pour obtenir le "droit à la vie sans contrainte numérique".

C'est une démarche proche de celle initiée en Wallonie (pour "maintenir un accès non numérique aux services publics"), à Genève ("droit à l'intégrité numérique" : contre le traitement abusif des données, pour le droit à une vie hors-ligne...), ou de notre propre recherche d'un "statut d'objecteur du numérique".

Digital Courage vient d'obtenir une 1e victoire face à la Deutsche Bahn (la SNCF allemande) devant un tribunal de Francfort. Elle a par ailleurs engagé une autre action, toujours face à la Deutsche Bahn, contre l'application ferroviaire "DB Navigator", qui devrait déboucher prochainement.

La fourniture obligatoire d'une adresse mail ou d'un n° de portable pour l'achat d'un billet de train est illégale

Dans son communiqué, le Tribunal régional supérieur de Francfort-sur-le-Main donne raison à l'Association allemande des organisations de consommateurs (VZBV), dont Digital Courage est membre. En effet, il ordonne à la société Deutsche Bahn Fernverkehr AG de ne plus subordonner l'achat de billets "Saver" et "Super Saver" à la fourniture obligatoire d'une adresse e-mail ou d'un numéro de téléphone portable.

Ces deux types de billets peuvent être achetés soit en ligne via l'application ferroviaire, soit au guichet, aux automates ou par téléphone auprès du service de voyages. Jusqu'au 15 décembre 2024, ils étaient vendus uniquement par voie numérique. Les consommateurs devaient fournir leur adresse e-mail ou leur numéro de téléphone portable pour recevoir le billet numérique ou le numéro de commande, même lors de l'achat au guichet. Ces billets ne pouvaient pas être achetés aux automates.

Le Tribunal justifie sa décision en déclarant illégale l'obligation de fournir une adresse e-mail ou un numéro de téléphone car cela constituait un traitement de données contraire aux dispositions du Règlement général sur la protection des données (RGPD).

Il n'y avait pas de consentement volontaire : les consommateurs n'avaient pas de "choix réel ou libre". La position dominante du défendeur sur le marché du transport ferroviaire longue distance, connue du tribunal, plaide également contre le caractère volontaire du consentement.

Ce traitement des données n'était pas non plus nécessaire à l'exécution du contrat. Le billet sert de preuve de la conclusion du contrat de transport et de paiement. La forme numérique du billet facilite uniquement le traitement par le défendeur et sert "principalement à des fins internes à l'entreprise, telles que la fidélisation de la clientèle, la publicité ou le suivi du comportement des utilisateurs".

"Le responsable du traitement doit donc choisir le processus d'accès à ses services qui requiert le moins de données personnelles", conclut le Tribunal. La décision n'est pas susceptible d'appel.

Pour Ramona Pop, de la VZBV, c'est un succès pour la protection des consommateurs car "imposer la divulgation de données personnelles lors de l'achat d'un billet est totalement inacceptable. Personne ne devrait être exclu des voyages en train. Les chemins de fer doivent également proposer des options de billets analogiques et simples."

A noter que Digital Courage s'est lancé dans un inventaire par régions (les 16 landers qui peuvent avoir des pratiques très différentes) des conditions exigées pour la délivrance de tickets.

Ce type de décision pourrait être obtenu en France car il repose sur un règlement européen applicable strictement à l'identique sur le territoire français, le RGPD.

Procès contre les traceurs de l'application DB Navigator

Une première audience a eu lieu en mai, celle prévue en juillet a été retardée, semble-t-il suite au dépôt par les avocats de la Deutsche Bahn d'un nouveau mémoire pour ralentir la procédure.

L'application DB Navigator donne des informations sur les retards et les correspondances, sur l'ordre des wagons, sur la possibilité d'acheter des billets à bord... Ce sont des fonctionnalités certes utiles mais, dans le même temps, certains de ces services ne sont plus accessibles par d'autres moyens. De plus, DB Navigator partage une multitude d'informations personnelles sans que les utilisateurs puissent s'y opposer.

Lors de la première audience, le tribunal a clairement indiqué qu'il considérait deux des trois traceurs de l'application comme critiques, voire très critiques. Si cette action en justice contre la Deutsche Bahn aboutit, cela enverrait également un signal aux autres entreprises qui souhaitent imposer leurs applications gourmandes en données personnelles.

La difficulté est ici pour le plaignant - Digital Courage - de prouver techniquement l'atteinte aux droits, ce qu'un expert - Mike Kuketz - a réalisé pour eux. Son travail très étoffé peut inspirer d'autres chercheurs.

Un tel travail est possiblement réalisable en France (à un 1e niveau par l'application Exodus, de façon plus approfondie par des spécialistes travaillant pour La Quadrature du Net ou d'autres associations). Sur le plan juridique, la référence est toujours le RGPD (articles 5, 6.1, 7, 13, 14, 15, 21, 25, 30, 44, 58). Mais l'expert y ajoute sur le plan pénal des références à des arrêts obtenus en Allemagne, ainsi qu'à une loi allemande sur les télémédias.