La « résolution de Madrid » définit les principes qui devraient - de manière urgente, selon les auteurs du texte - renforcer le caractère universel du droit à la protection de la vie privée et des Données personnelles de tous les citoyens (y compris les enfants ou personnes vulnérables, et notamment sur Internet).
Elle a été votée en novembre 2009 à l'occasion d'une conférence internationale des autorités de protection de la vie privée (Madrid, du 4 au ), mais elle n'est à ce jour pas juridiquement contraignante. Elle vise la rédaction et signature d'une Convention universelle pour la protection des personnes à l’égard du traitement des données personnelles .
Contexte et principes Dans un contexte de mondialisation, de concurrence internationale où l'intelligence économique utilise de plus en plus l'Internet, et avec les moyens accélérés de diffusion accélérée d'informations par l'Internet et d'autres moyens nouveaux de télécommunications, il semble urgent, pour des raisons éthiques, mais aussi commerciales, de protéger la vie privée, de manière coordonnée dans le monde. Ceci nécessite une approche internationale et des « normes internationales sur la vie privée et la protection des données personnelles ».
Les enjeux sont également environnementaux et de développement durable, car les spams et le Télémarketing (démarchage téléphonique en particulier) non-désirés, sont - outre une source de perte de temps et donc d'argent - une source croissance et préoccupante de consommation énergétique de l'internet et des réseaux de télécommunication.
Dans ce contexte, il est parfois difficile de démêler la part du souci éthique de protection de la personne, de celle motivée par un souci plus commercial de protection des données des entreprises ou autres groupes (gouvernements, etc), ces deux intérêts pouvant parfois être contradictoire (dans un régime ou fonctionnement autoritaire par exemple). De plus certains grands pays (par exemple, la Chine ou les États-Unis), n'ont pas encore dautorité chargée de la protection des données des citoyens. Aux États-Unis l'État fait appel à une autorégulation de la part des parties prenantes.
Avancée du projet de convention internationale Ce projet est inscrit au programme de travail de la Commission du droit international des Nations unies ; En 2005, il a été formellement soutenu par le Conseil de l'Europe, dont lors du Sommet mondial sur la société de l'information (Tunis, ) puis dans le cadre des Forums sur la gouvernance de l’Internet (Athènes en 2006, Rio en 2007). Le , l’OCDE a adopté une recommandation relative à la "coopération transfrontière dans l’application des législations protégeant la vie privée", visant en particulier à "améliorer les cadres nationaux pour l’application des lois sur la vie privée afin que les autorités nationales puissent mieux coopérer avec les autorités étrangères et à élaborer des mécanismes internationaux efficaces destinés à faciliter la coopération transfrontalière pour l’application des lois sur la vie privée" ;
Histoire Cette résolution résulte d'un processus de réflexion éthique et stratégique initié dans les années 1990. une précédente résolution (Résolution sur l’urgence de protéger la vie privée dans un monde sans frontière et l’élaboration d’une proposition conjointe d’établissement de normes internationales sur la vie privée et la protection des données personnelles Resolution on the urgent need for protecting privacy in a borderless world, and for reaching a Joint Proposal for setting International Standards on Privacy and Personal Data Protection ; 30th International Conference of Data Protection and Privacy Commissioners, Strasbourg, 17 October 2008, , adopté à Strasbourg, 15-17 octobre 2008) avait déjà été votée en oct 2008, lors de la internationale sur la protection des données privées. Avant cela il y a eu : une déclaration adoptée à Venise lors de sa Conférence ; une résolution adoptée à Wroclaw lors de sa Conférence ; une déclaration adoptée à Montreux lors de sa Conférence ; appelant l'ONU "à préparer un instrument juridique contraignant énonçant en détail le droit à la protection des données et à la vie privée en tant que droits de l’homme exécutoires", et appelant le Conseil de l’Europe, conformément à l’article 23 de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, à inviter les États non membres de cette organisation qui ont une législation de protection des données adéquate, à adhérer à la Convention (STE ) et à son protocole additionnel (STE ) ; une Initiative de Londres, présentée lors de sa Conférence ; une résolution adoptée lors de sa Conférence ; appelant à soutenir l’élaboration de normes internationales de protection de la vie privée "effectives et universellement acceptées comme un mécanisme pour aider les parties à établir et à démontrer la conformité avec les exigences légales de protection des données et de la vie privée" ; Deux forums internationaux sur la gouvernance d'internet ont également évoqué cette question en 2006 et 2007Internet Governance Forum à Athènes (2006) et Rio (2007) ; les conférences régionales de l’Unesco ont insisté sur le caractère prioritaire de la protection des données en 2005 (Asie-Pacifique) et 2007 (Europe).
Contenu La « résolution de Madrid » demande aux états d'élaborer en commun, par exemple sous l'égide de l'ONU, une norme commune internationale de protection des données, notamment sur Internet, en respectant quelques principes tels que transparence, responsabilité, droits à l’accès à l’information, droit à la rectification, etc.
En , à Madrid, la « Conférence internationale des commissaires à la protection des données et de la vie privée » a chargé un groupe de travail « composé des autorités nationales de protection des données intéressées » de proposer « à sa session fermée » une proposition de contenu et forme de normes internationales sur la vie privée et la protection des données personnelles. Pour cela de groupe doit: recenser les différents principes et droits en vigueur dans le monde concernant la protection des données à caractère personnel en insistant sur ceux qui font l'objet d'un « large degré de consensus dans les forums régionaux et internationaux » ; élaborer des principes et droits complémentaires pour « atteindre un degré maximum d’acceptation internationale assurant un haut niveau de protection » ; évaluer où ces droits et principes seront applicables, dont pour l’harmonisation de leurs champs d’application ; définir des critères de garantie de leur application réelle, en tenant compte des différents systèmes de droit, et en étudiant le rôle possible de l’« auto-régulation » et des garanties pour améliorer la sécurité, mais aussi la souplesse des transferts internationaux de données .
Réactions Du côté des internautes, le grand public est démuni, faute d'information précise. Faute de droit d'opposition, divers groupes plus ou moins formellement organisés d'internautes sont inquiets des risques posés par les possibilités de "flicage" et fichage et par le ciblage comportemental, souvent tout en souhaitant que l'Internet reste un espace de liberté. L'industrie du marketing et quelques groupes politiques utilisent de plus en plus le ciblage commercial et comportemental, via des profils d'internautes constitués au vu de leurs réseaux sociaux, de leurs centres d'intérêt et de leur comportement sur internet. L'industrie du marketing admet que : « Sans confiance, le marketing n’existe pas. Une mauvaise utilisation des données reste une stratégie à court terme. Et nous nous trompons si nous pensons que nous pouvons nous autoréguler » (Alastair Tempest, directeur général de la Fedma ; Fédération européenne de marketing direct et interactif). Plusieurs multinationales (Microsoft, Google, IBM…) ont soutenu cette (non juridiquement contraignante) et adhèrent à quelques chartes déontologiques ou éléments de codesfileadmin/ documents/approfondir/textes/deontologie/FEVAD-M_direct.pdf code de déontologie des professionnels du marketing direct vis-à-vis de la protection des données à caractère personnel (PDF, sur le site de la CNIL) ou guides de bonnes pratiques, parfois annoncés par certains annonceurs, mais non opposables et peu vérifiables à ce jour. pour ne pas dégrader l'image la publicité sur Internet, le SNCD a ainsi crééL'avis du SNCD ; Ciblage on line et respect de la vie privée (Marketing Direct 2009/06/01) en 2008 un groupe de travail d'une dizaine de représentants de sociétés impliquées, qui admet que ; : - Il faut informer les internautes sans équivoque avec une information lisible et très accessible « en séparant bien la politique de protection des données et les mentions légales classiques ». Les possibilités et méthodes de suppression des cookies ou d'opposition aux cookies devraient être « plus explicites » et simples, et « l'ergonomie des espaces d'information dédiés » devrait être améliorée. Un « opt out par univers» ou une option de «navigation privée» devrait être possible (certains navigateurs en proposent, mais souvent en enlevant simplement les cookies de l'ordinateur, sans empêcher qu'un tiers extérieur ait déjà pu collecter de l'information sur le comportement de l'internaute lors de sa consultation). : - Le rapprochement d'informations de navigation (anonymes) avec des données personnelles devrait être « encadré », visibles et expliqué à l'internaute, lequel « doit aussi pouvoir s'y opposer à tout moment et simplement ». : - En France, ces opérations devraient « être prévues dans le cadre des "traitements ultérieurs" déclarés à la Commission nationale de l'informatique et des libertés (CNIL). Enfin, pour le SNCD, la plus grande précaution s'impose lorsque les informations rapprochées émanent d'un tiers. En effet, il ne semble pas souhaitable que les informations de navigation d'un tiers collecteur, autrement nommé "third party cookies", puissent être rapprochées des données personnelles d'un internaute sans son consentement préalable ». La FEDMAFédération du marketing direct européen, organe de lobbying au niveau européen issue de la fusion de l'EDMA et la FEDIM décidé en 1996 selon un article intitulé e marketing « La Fedma a pris un nouveau départ » de Marketing Direct - 01/11/1998 a également créé un groupe de travail sur la collecte des données, le ciblage et le profiling.
APEC (Asia Pacific Economic Cooperation ;) En novembre 2004, l'APEC a adopté des principes directeurs visant à renforcer la protection de la vie privée et préserver les flux d’information. En septembre 2007, elle a lancé une initiative « Vie privée » comme premier cadre de veille sur les flux internationaux de données certifiés répondant aux besoins des affaires, pour diminuer les coûts de conformité, offrir aux consommateurs un recours effectif, permettent aux régulateurs d’agir efficacement tout en minimisant la charge réglementaire ;
En Europe L'Union européenne a élaboré quelques garde-fous tels que : le G29 (ou "Groupe de travail dit "de l'Article 29" sur la protection des donnéesSite officiel du G29" est un organe consultatif européen indépendant sur la protection des données et de la vie privée, (créé par les articles 29 et 30 de la directive 95/46/CE et par l'article 14 de la directive 97/66/CE) ; ses initiatives visent l'adoption de règles d'entreprises contraignantes (BCR) et des solutions contractuelles régissant l’échange transfrontières de données. Alex Türk, président de la CNIL préside le groupe de travail des autorités européennes de protection des données ; une Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, datant de 1981 ;