Par Mondher AFI
Depuis son accession à la magistrature suprême, le Président Kaïs Saïed a constamment articulé sa réflexion politique autour d’une idée centrale : la souveraineté ne saurait être réduite à sa dimension territoriale ou institutionnelle, mais doit s’étendre à l’ensemble des espaces où se structurent les rapports de pouvoir contemporains, y compris l’espace numérique. Cette approche repose sur une conception substantielle de la souveraineté, entendue comme la capacité effective de l’État à définir les normes qui encadrent la vie collective, à protéger les droits fondamentaux des citoyens et à garantir l’autonomie décisionnelle nationale face aux contraintes externes et aux transformations technologiques.
Dans cette perspective, la question de la protection des données personnelles ne constitue pas un enjeu sectoriel ou technique. Elle s’inscrit dans une problématique plus large de maîtrise normative et de reconstruction de l’autorité publique dans un environnement marqué par la déterritorialisation des flux d’informations et la montée en puissance d’acteurs technologiques globaux. La donnée personnelle devient ainsi un lieu stratégique où se cristallisent les tensions entre liberté individuelle, puissance publique et logiques économiques transnationales.
La vision présidentielle confère au droit un rôle structurant. Le droit n’est pas conçu comme un simple instrument de régulation, mais comme l’expression de la volonté collective et le vecteur de la souveraineté populaire. Dans cette optique, l’action législative acquiert une dimension fondatrice : elle devient un acte de reconstruction de l’ordre normatif, permettant de réinscrire la transformation numérique dans un cadre démocratique et souverain.
La protection des données personnelles apparaît ainsi comme un pilier de ce projet plus large de refondation de l’État. Elle participe à la consolidation de ce que l’on peut qualifier de souveraineté normative, c’est-à-dire la capacité d’un système politique à produire et à imposer les règles qui encadrent les nouvelles formes de pouvoir liées à l’information.
Un moment révélateur de la transformation du rôle de la loi
La séance d’audition tenue le 17 février 2026 par la Commission des droits et des libertés de l’Assemblée des représentants du peuple constitue, à cet égard, un moment particulièrement révélateur. Elle illustre la manière dont l’institution parlementaire se positionne comme un espace central de médiation entre les transformations technologiques et la production normative.
Le fait que le président de la commission ait insisté sur la dimension fondatrice du texte, en le qualifiant de cadre du «contrat social numérique», traduit une prise de conscience institutionnelle profonde. Cette expression renvoie à une transformation du pacte qui lie les citoyens à l’État. Dans les sociétés contemporaines, ce pacte ne repose plus uniquement sur la protection physique et la fourniture de services publics, mais également sur la capacité de l’État à garantir la protection de l’intégrité informationnelle des individus.
La donnée personnelle devient ainsi une extension de la personne elle-même. Sa protection constitue une condition de l’autonomie individuelle. Comme l’a montré la sociologie critique, le contrôle des données permet non seulement de surveiller les individus, mais aussi d’anticiper et d’influencer leurs comportements. Il devient un instrument de pouvoir.
Dans ce contexte, la loi relative à la protection des données personnelles apparaît comme un instrument de limitation et de structuration de ce pouvoir. Elle définit les conditions dans lesquelles les données peuvent être collectées, utilisées et transférées. Elle établit des limites. Elle institue des garanties.
La loi devient ainsi un mécanisme de domestication du pouvoir technologique.
La donnée personnelle, nouvelle frontière du pouvoir
La transformation numérique a profondément modifié la nature du pouvoir. Celui-ci ne repose plus exclusivement sur la contrainte physique ou sur l’autorité institutionnelle. Il repose de plus en plus sur la maîtrise de l’information. La capacité à collecter, analyser et exploiter des données permet d’exercer une influence profonde sur les comportements individuels et collectifs.
Dans ce contexte, la donnée personnelle devient une ressource stratégique. Elle constitue un capital informationnel. Elle permet de produire des connaissances, de prendre des décisions et d’exercer un contrôle.
Cette évolution a été analysée par Michel Foucault à travers le concept de biopouvoir, qui désigne la capacité du pouvoir à gérer les populations à travers des dispositifs de surveillance et de normalisation. Dans la société numérique, ce biopouvoir prend une forme nouvelle. Il devient algorithmique. Il s’exerce à travers des systèmes automatisés capables d’analyser des volumes massifs de données.
La protection des données personnelles devient ainsi un enjeu de liberté. Elle conditionne la capacité des individus à échapper à une surveillance permanente. Elle protège leur autonomie.
Le projet de loi examiné introduit, à cet égard, des mécanismes importants, notamment le droit de ne pas faire l’objet d’une décision automatisée exclusive. Cette disposition reconnaît implicitement les limites de la rationalité algorithmique. Elle affirme la primauté de l’humain dans la prise de décision.
La fonction législative comme espace de production de la souveraineté
La séance parlementaire met en lumière une mutation qualitative de la fonction législative, qui ne peut plus être appréhendée selon une conception formaliste la réduisant à une simple activité de production normative. Le Parlement ne se limite plus à consacrer juridiquement des équilibres préexistants, il devient un lieu de problématisation des transformations structurelles qui affectent la société, en particulier lorsque celles-ci résultent de mutations technologiques profondes. En ce sens, la délibération parlementaire ne constitue pas seulement un moment de validation juridique, mais un espace de mise en intelligibilité des recompositions contemporaines du pouvoir, de l’économie et des libertés.
Le débat relatif au modèle de régulation des données personnelles, notamment l’alternative entre un régime d’autorisation préalable et un régime fondé sur la responsabilité a posteriori, illustre de manière exemplaire cette fonction réflexive et structurante du Parlement. Ce débat dépasse largement le choix entre deux techniques juridiques. Il engage, en réalité, deux conceptions distinctes de la régulation et, plus profondément encore, deux conceptions du rôle de l’État dans l’encadrement des dynamiques technologiques et économiques.
Le modèle de l’autorisation préalable repose sur une logique de contrôle ex ante. Il s’inscrit dans une conception préventive de la régulation, où l’intervention de l’autorité publique précède l’action des acteurs concernés. Ce modèle traduit une volonté de maîtrise institutionnelle des risques avant leur matérialisation. Il repose sur l’idée que certaines activités, en raison de leur potentiel d’atteinte aux libertés fondamentales, ne peuvent être laissées à la seule initiative des acteurs privés ou administratifs, et doivent être soumises à une validation préalable par une autorité compétente.
D’un point de vue théorique, ce modèle s’inscrit dans la tradition de l’État régulateur protecteur, dont la légitimité repose sur sa capacité à prévenir les atteintes aux droits fondamentaux. Il traduit une conception prudente de l’innovation, fondée sur le principe selon lequel la protection des libertés ne peut être subordonnée à des logiques purement technologiques ou économiques. En ce sens, l’autorisation préalable constitue un instrument de sécurisation normative, qui vise à garantir que l’introduction de nouvelles pratiques technologiques reste compatible avec les principes fondamentaux de l’État de droit.
Cependant, ce modèle présente également des limites structurelles. En instaurant un contrôle systématique en amont, il peut introduire des rigidités administratives susceptibles de ralentir les processus d’innovation et d’adaptation. Il suppose, en outre, l’existence d’une capacité institutionnelle élevée, car l’efficacité du contrôle préalable dépend directement des ressources techniques, humaines et organisationnelles dont disposent les autorités de régulation. En l’absence de telles capacités, le risque est double : soit une paralysie administrative, soit une formalisation excessive du contrôle, réduite à une procédure sans véritable portée substantielle.
À l’inverse, le modèle fondé sur la responsabilité a posteriori repose sur une logique différente, que l’on peut qualifier de régulation par la responsabilisation. Il ne s’agit plus de soumettre chaque initiative à une autorisation préalable, mais de reconnaître aux acteurs une autonomie conditionnée par l’obligation de respecter des principes juridiques clairement définis, sous le contrôle ultérieur de l’autorité de régulation. Ce modèle s’inscrit dans une conception plus flexible de la régulation, adaptée à la complexité et à la rapidité des transformations technologiques contemporaines.
Sur le plan théorique, ce modèle correspond à l’émergence d’un droit de la régulation fondé sur le principe de responsabilité. Il repose sur l’idée que la régulation ne peut plus reposer exclusivement sur le contrôle direct des activités, mais doit s’appuyer sur la capacité des acteurs à intégrer eux-mêmes les exigences juridiques dans leurs pratiques. Il implique un déplacement du centre de gravité de la régulation : celle-ci ne se situe plus uniquement dans l’acte d’autorisation, mais dans la capacité de l’autorité publique à surveiller, évaluer et sanctionner les comportements.
Le modèle fondé sur la responsabilisation présente l’avantage de favoriser l’innovation, en réduisant les contraintes administratives et en permettant une adaptation plus rapide aux mutations technologiques, tout en encourageant une culture de conformité intégrée. Toutefois, son efficacité dépend de l’existence d’autorités de régulation fortes et indépendantes, capables d’assurer un contrôle réel. En leur absence, la responsabilisation peut conduire à une dérégulation implicite. Le choix entre contrôle préalable et responsabilité ne relève donc pas d’une simple technique juridique, mais d’une décision politique définissant le rôle de l’État. La fonction législative devient ainsi un espace stratégique où s’élabore l’équilibre entre liberté, protection et innovation, faisant du droit un instrument d’orientation structurant l’avenir social et institutionnel.
Coproduction normative et souveraineté numérique
En Tunisie, le processus législatif relatif à la protection des données personnelles révèle une transformation profonde des rapports entre le pouvoir exécutif et le pouvoir législatif. Loin d’une séparation rigide, ces deux fonctions participent à une coproduction normative, où l’Exécutif, sous l’impulsion de la vision stratégique portée par Kaïs Saïed, définit les orientations fondamentales, tandis que le Parlement les traduit en normes juridiques, les discute et les institutionnalise. Cette interaction renforce la légitimité du droit en articulant vision politique et délibération démocratique.
La protection des données personnelles dépasse le cadre juridique : elle constitue une condition structurelle de la confiance, ressource centrale de l’économie numérique. Un cadre normatif clair favorise l’investissement, sécurise les échanges internationaux et renforce la compétitivité, tandis que l’insécurité juridique freine l’innovation et affaiblit l’attractivité économique. La régulation devient ainsi une infrastructure invisible du développement.
Ce processus s’inscrit dans une stratégie plus large de souveraineté numérique, entendue non comme un repli, mais comme la capacité de maîtriser les flux informationnels et de protéger les droits fondamentaux. La réforme engagée participe ainsi à une refondation normative, consolidant l’État de droit et garantissant que la transformation technologique demeure compatible avec les exigences de liberté, de dignité et d’autonomie collective.