Compte-rendu de l’atelier ANR « Privacy by Design (PbD) . Mettre la technologie au service de la vie privée : Enjeux, limites et perspectives », Paris, 23 mars 2012
L’atelier « Privacy by Design (PbD) . Mettre la technologie au service de la vie privée : Enjeux, limites et perspectives », organisé pour et avec le concours de l’Agence Nationale de la Recherche, a eu lieu le 23 mars 2012 à Le Ponant de Paris, près du Parc André Citroen dans le 15ème arrondissement de Paris. Il se proposait d’examiner la notion de « Privacy by Design » (PbD), un principe qui souligne la nécessité de prendre en compte le respect de la vie privée des personnes dès les premières phases de conception des technologies de l’information et de la communication (TIC) et des technologies de sécurité et de surveillance, ainsi que de la mise en place des services de réseautage social. L’atelier a réuni des chercheurs en sciences politiques, des juristes, des sociologues, des philosophes, des économistes, des ingénieurs et des spécialistes de l’informatique ainsi que des industriels et des représentants des organismes de protection des données personnelles.
Les données personnelles, au cœur de la société de l’information
Pour les organisateurs de l’atelier, les données personnelles constituent de loin « la » composante essentielle de la société de l’information, de la société de surveillance et de l’économie numérique, car elles sont au cœur à la fois des systèmes d’identification électronique (e-ID), des réseaux sociaux, et des dispositifs de surveillance et de traçage, dont la principale caractéristique est d’être de plus en plus intelligents. Leur exploitation intensive questionne cependant la vie privée des individus à une pluralité de niveaux. L’existence et le fonctionnement même de ce qu’on appelle le « web relationnel », dans son état actuel, dépend d’une utilisation massive des informations et des données personnelles, créant à la fois de nouveaux services et opportunités économiques et de nouveaux types de risques. Les données personnelles constituent également les ressources stratégiques des activités de sécurité et justice, et sont à ce titre stockées et traitées dans de multiples bases de données et échangées entre différentes agences de sécurité, en tant qu’instrument essentiel de la lutte contre le terrorisme et le crime organisé.
La fabrication d’une norme techno-juridique de privacy
Le PbD, pouvant se traduire en français par l’expression « la prise en compte de la vie privée dès la conception », a été présenté comme le principe selon lequel toute technologie exploitant les données personnelles doit intégrer la protection de la vie privée dès sa conception, et s’y conformer tout au long de son cycle de vie. C’est une forme de prévention du risque d’exploitation abusive de ces données qui se met en place, en intégrant un dispositif technique de protection dès la conception des solutions et services.
Le PbD est en train de devenir l’un des piliers techno-juridiques destinés à garantir la protection des données personnelles et la privacy des individus. Comme ont souligné Ann Cavoukian, Commissaire de l’Office de la protection des données d’Ontario au Canada (en vidéoconférence), et sa directrice politique Michelle Chibba, le PbD est désormais propulsé outre-Atlantique comme un principe obligatoire à intégrer dans toutes les TIC et les technologies de sécurité comme la vidéosurveillance, basées sur la collecte, l’analyse et l’échange des données personnelles. Au niveau de l’Union Européenne, la Commissaire européenne chargée de la justice, le Contrôleur Européen de la Protection des Données (CEPD) et le G29 on récemment exprimé le souhait que ce principe soit intégré à la législation européenne, en tant que principe concernant toute institution ou organisation, publique ou privée, pour qui les données personnelles constituent une importante ressource fonctionnelle et stratégique.
Un concept à explorer pour un cadre juridique européen en évolution
Le sens précis du concept de PbD, son efficacité, son coût, sa transposition juridique, la méthodologie qui permet de l’intégrer concrètement dans des systèmes technologiques et ses impacts individuels et sociétaux ne sont pas encore clairement adressés par ces mêmes autorités qui plaident pour son introduction dans les solutions technologiques. Il est pourtant nécessaire, a-t-on souligné à plusieurs reprises pendant l’atelier, de les examiner de façon précise afin de pouvoir évaluer l’apport de ce concept à la protection de la vie privée des individus, tant sur le plan de l’efficacité que de l’impact social, éthique et juridique, dans un contexte où l’explosion et la globalisation des nouvelles technologies ont rendu nécessaires la révision et la mise à jour de la directive européenne 95/46 relative à la protection des données personnelles, un des principaux instruments de droit communautaire encadrant la privacy. Cette révision a abouti à une refonte du cadre européen, qui sera dorénavant fondé sur deux actes juridiques : un règlement général sur la protection des données et une directive portant sur la protection des données utilisées dans le cadre des affaires de police et justice pénale. C’est dans cette nouvelle configuration que la Commission européenne prévoit de rendre obligatoire l’approche « protection des données personnelles dès la conception », et propose l’adoption du PbD pour tous les produits/services et systèmes exploitant ce type de données.
Du PbD à la “Privacy by Using”
Une table ronde particulièrement intéressante (et vive!) a porté sur les enjeux économiques du PbD entre marché et régulation. Alain Rallet et Fabrice Rochelandet de l’Université Paris XI ont discuté l’efficacité du PbD. En termes économiques, la régulation de la privacy poursuit soit une minimisation du coût social, soit une maximisation du bien-être social. Cependant, il y a beaucoup de mal à identifier les “pollueurs” et les “pollués” en termes de privacy, ce qui gêne beaucoup les économistes. Les données personnelles sont traitées en tant que biens informationnels et on en suit les fuites, les confinements, la diversité de régulations. La PbD est l’une de ces régulations, de type ex ante : on intervient avec un ensemble de choix de design et de conception avant qu’un endommagement soit fait – puisse être fait. Les coûts de la PbD sont surtout supportés pas les technology providers, les ISPs, etc. Mais comment définir l’efficacité des standards PbD? Qui met en place ces standards? Quel est le rôle des experts et qui sont-ils ? Aussi, il y a la possibilité de règles trop laxistes ou trop strictes. Comment fixe-t-on la norme optimale? Les défis résident surtout dans les changements technologiques rapides, qui le sont tout particulièrement dans le domaine des services Internet, et dans le renouvellement des usages qui peuvent rendre les normes obsolètes. A. Rallet et F. Rochelandet ont également souligné la possibilité d’un « effet parapluie percé » dans la mise en œuvre du PbD : si on peut le protéger avec des firmes de grande taille, d’autres acteurs sont plus difficilement contrôlables. Quels types de sanctions légales peut-il y avoir dans ces cas? Le problème de l’ « illusion du contrôle » sur lequel travaille beaucoup Alessandro Acquisti à la Carnegie Mellon University, est aussi à considérer : les individus sont surtout intéressés par l’existence du contrôle elle-même, pas par l’objet qui est le résultat de ce contrôle. Les renouvellements fréquents des paramétrisations dans les réseaux sociaux en sont un exemple.
Enfin, le PbD change comme problématique par rapport aux types de réseau. Dans les réseaux sociaux, on a un paradoxe économique : ceux-ci ont leur principe de business dans le matching des individus grâce aux données personnelles, et il y a fort consensus entre les utilisateurs et les service providers par rapport à cette dynamique. Comment un paradigme PbD peut-il s’insérer dans ce discours ? La conclusion d’A. Rallet et F. Rochelandet est donc qu’il est souhaitable de reformuler le PbD comme « Privacy by Using », un processus adaptatif dans lequel l’utilisateur occupe une place centrale : la construction et la prise en compte d’outils pour en savoir plus sur des questions de privacy, et incorporer celles-ci dans les outils dans un deuxième temps. Autrement, on risque de construire la PbD « comme quelque chose qu’on n’a pas… à donner à quelqu’un qui n’en veut pas. »
Un label, pas une méthode… mais des vraies conséquences
Si Philippe Mouttou de Thalès a invité à prolonger dans le cas de la PbD, en particulier dans le champ de la vidéosurveillance, le principe fondateur de quarante-cinq années de droit européen qui consiste à mettre « l’individu en premier », l’intervention de Nicolas Desrumaux, de l’Université de Lille 2, a porté la discussion sur le PbD sur un plan plus controversé en invitant l’audience à questionner l’ontologie de ce concept d’un point de vue plus juridique, « acceptable comme philosophie mais peut-être pas d’une exceptionnelle utilité ». D’après l’orateur, il faut se poser nombre d’autres questions avant : en premier lieu, de quoi parle-t-on? Le PbD serait à l’heure actuelle plutôt un processus, l’importation d’un concept marchand de partage d’information dans un contexte européen surtout intéressé par la protection. Le débat sur la privacy se base souvent sur des idéaux parfois difficile à traduire en pratique : le flou qui existe autour de ces idéaux serait maintenant en train de porter préjudice à la stabilisation de la notion même de PbD? Quand même, il existe des véritables enjeux politiques, normatifs et économiques autour de cette notion en devenir : la détermination voir l’imposition de standards industriels, la dissémination et la mise en place de spécifications, des verrous juridiques à faire sauter, de la discrimination entre intérêts contradictoires. Le PbD est préconisé par des institutions ad hoc au moment même que la validité du concept n’est pas véritablement démontrée. En conclusion, selon N. Desrumaux, le PdB n’est pas (encore?) une norme juridique car il ne possède pas de protocole de validation scientifique, et serait même nuisible, dans sa forme actuelle, à l’application du droit : un label est offert, mais pas une méthode, car l’application de ce label ne préconise pas de garanties.
La conclusion de Robert Picard, du Ministère des Finances, a noté comment les deux mots clé de cette table ronde, régulation et marché, ont sous-tendu des réflexions variées et polémiques : variété et polémique à attribuer au fait que, si le concept et l’ontologie même du PbD sont fortement débattus, il existe déjà autour de ce concept des objets, des marchés, des réalités économiques : il faut dès lors assurer un suivi et une mise en œuvre de la part des instances de régulation nationales, européennes et internationales. L’articulation entre normes et standards techniques reste à construire : les premières sont très strictes, mais leur rapport avec la technique demeure peu clair. Le PbD est l’un des chantiers les plus intéressants pour expérimenter avec cette articulation.
Chercheuse postdoctorale, MINES ParisTech
Yahoo! Fellow in Residence, Georgetown University
More Posts - Website
