Des réseaux sociaux plus protecteurs de la vie privée…

Du site de la CNIL:

Les réseaux sociaux peuvent être de formidables outils de communication à disposition des internautes. Toutefois, ils présentent également des risques d’atteinte à la vie privée si les données publiées ne sont pas maîtrisées ou si leurs éditeurs ne mettent pas en œuvre toutes les mesures nécessaires pour protéger les données de leurs membres.   Plusieurs réseaux sociaux ont mis en place des dispositifs plus protecteurs de la vie privée de leurs membres. La CNIL invite l’ensemble des acteurs à s’inspirer de ces bonnes pratiques et propose de les accompagner vers une meilleure conformité.

Le fonctionnement de la majorité des réseaux sociaux repose sur la mise à disposition d’un service gratuit en contrepartie d’une collecte d’informations pour une utilisation commerciale (analyse des profils et de la navigation sur internet pour délivrer de la publicité ciblée, transmissions de données à des tiers, …). Or, il est difficile de déterminer le devenir de ces informations une fois qu’elles sont sur le réseau.

C’est pourquoi le G29 (groupe des CNIL européennes) a précisé les règles applicables aux réseaux sociaux dans un avis du 12 juin 2009. Les CNIL européennes leur demandent notamment de :

  • définir des paramètres par défaut limitant la diffusion des données des internautes
  • mettre en place des mesures pour protéger les mineurs
  • supprimer les comptes qui sont restés inactifs pendant une longue période
  • permettre aux personnes, même si elles ne sont pas membres des réseaux sociaux, de bénéficier d’un droit de suppression des données qui les concernent
  • proposer aux internautes d’utiliser un pseudonyme, plutôt que leur identité réelle
  • mettre en place un outil accessible aux membres et aux non membres, sur la page d’accueil des réseaux sociaux, permettant de déposer des plaintes relatives à la vie privée.

L’ensemble de ces règles n’est malheureusement pas toujours respecté. Aussi, la CNIL tient à souligner la démarche entreprise par certains réseaux sociaux tel que le réseau social Famicity qui s’est engagé à suivre l’ensemble des règles protectrices de la vie privée émises par le G29. La CNIL a accompagné cette mise en conformité de Famicity.

L’initiative du réseau social Diaspora peut également être soulignée. Il s’agit d’un réseau social libre où le contrôle des données personnelles par les utilisateurs est a priori garanti par plusieurs techniques.

D’autres sites proposent également des mesures protectrices, en particulier des mineurs, il s’agit par exemple de Mondokiddo, de le Mini réseau, de l’Univers de Wilby ou de Yoocasa.

La CNIL participe ainsi à la mise en conformité des gestionnaires de réseaux sociaux, et invite à la diffusion de ces bonnes pratiques, à destination notamment des mineurs..

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech
Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

« Privacy by Design »: la technologie au service de la vie privée

Compte-rendu de l’atelier ANR « Privacy by Design (PbD) . Mettre la technologie au service de la vie privée : Enjeux, limites et perspectives », Paris, 23 mars 2012

L’atelier « Privacy by Design (PbD) . Mettre la technologie au service de la vie privée : Enjeux, limites et perspectives », organisé pour et avec le concours de l’Agence Nationale de la Recherche, a eu lieu le 23 mars 2012 à Le Ponant de Paris, près du Parc André Citroen dans le 15ème arrondissement de Paris. Il se proposait d’examiner la notion de « Privacy by Design » (PbD), un principe qui souligne la nécessité de prendre en compte le respect de la vie privée des personnes dès les premières phases de conception des technologies de l’information et de la communication (TIC) et des technologies de sécurité et de surveillance, ainsi que de la mise en place des services de réseautage social. L’atelier a réuni des chercheurs en sciences politiques, des juristes, des sociologues, des philosophes, des économistes, des ingénieurs et des spécialistes de l’informatique ainsi que des industriels et des représentants des organismes de protection des données personnelles.

Les données personnelles, au cœur de la société de l’information

Pour les organisateurs de l’atelier, les données personnelles constituent de loin « la » composante essentielle de la société de l’information, de la société de surveillance et de l’économie numérique, car elles sont au cœur à la fois des systèmes d’identification électronique (e-ID), des réseaux sociaux, et des dispositifs de surveillance et de traçage, dont la principale caractéristique est d’être de plus en plus intelligents. Leur exploitation intensive questionne cependant la vie privée des individus à une pluralité de niveaux. L’existence et le fonctionnement même de ce qu’on appelle le « web relationnel », dans son état actuel, dépend d’une utilisation massive des informations et des données personnelles, créant à la fois de nouveaux services et opportunités économiques et de nouveaux types de risques. Les données personnelles constituent également les ressources stratégiques des activités de sécurité et justice, et sont à ce titre stockées et traitées dans de multiples bases de données et échangées entre différentes agences de sécurité, en tant qu’instrument essentiel de la lutte contre le terrorisme et le crime organisé.

La fabrication d’une norme techno-juridique de privacy

Le PbD, pouvant se traduire en français par l’expression « la prise en compte de la vie privée dès la conception », a été présenté comme le principe selon lequel toute technologie exploitant les données personnelles doit intégrer la protection de la vie privée dès sa conception, et s’y conformer tout au long de son cycle de vie. C’est une forme de prévention du risque d’exploitation abusive de ces données qui se met en place, en intégrant un dispositif technique de protection dès la conception des solutions et services.

Le PbD est en train de devenir l’un des piliers techno-juridiques destinés à garantir la protection des données personnelles et la privacy des individus. Comme ont souligné Ann Cavoukian, Commissaire de l’Office de la protection des données d’Ontario au Canada (en vidéoconférence), et sa directrice politique Michelle Chibba, le PbD est désormais propulsé outre-Atlantique comme un principe obligatoire à intégrer dans toutes les TIC et les technologies de sécurité comme la vidéosurveillance, basées sur la collecte, l’analyse et l’échange des données personnelles. Au niveau de l’Union Européenne, la Commissaire européenne chargée de la justice, le Contrôleur Européen de la Protection des Données (CEPD) et le G29 on récemment exprimé le souhait que ce principe soit intégré à la législation européenne, en tant que principe concernant toute institution ou organisation, publique ou privée, pour qui les données personnelles constituent une importante ressource fonctionnelle et stratégique.

Un concept à explorer pour un cadre juridique européen en évolution

Le sens précis du concept de PbD, son efficacité, son coût, sa transposition juridique, la méthodologie qui permet de l’intégrer concrètement dans des systèmes technologiques et ses impacts individuels et sociétaux ne sont pas encore clairement adressés par ces mêmes autorités qui plaident pour son introduction dans les solutions technologiques. Il est pourtant nécessaire, a-t-on souligné à plusieurs reprises pendant l’atelier, de les examiner de façon précise afin de pouvoir évaluer l’apport de ce concept à la protection de la vie privée des individus, tant sur le plan de l’efficacité que de l’impact social, éthique et juridique, dans un contexte où l’explosion et la globalisation des nouvelles technologies ont rendu nécessaires la révision et la mise à jour de la directive européenne 95/46 relative à la protection des données personnelles, un des principaux instruments de droit communautaire encadrant la privacy. Cette révision a abouti à une refonte du cadre européen, qui sera dorénavant fondé sur deux actes juridiques : un règlement général sur la protection des données et une directive portant sur la protection des données utilisées dans le cadre des affaires de police et justice pénale. C’est dans cette nouvelle configuration que la Commission européenne prévoit de rendre obligatoire l’approche « protection des données personnelles dès la conception », et propose l’adoption du PbD pour tous les produits/services et systèmes exploitant ce type de données.

Du PbD à la « Privacy by Using »

Une table ronde particulièrement intéressante (et vive!) a porté sur les enjeux économiques du PbD entre marché et régulation. Alain Rallet et Fabrice Rochelandet de l’Université Paris XI ont discuté l’efficacité du PbD. En termes économiques, la régulation de la privacy poursuit soit une minimisation du coût social, soit une maximisation du bien-être social. Cependant, il y a beaucoup de mal à identifier les « pollueurs » et les « pollués » en termes de privacy, ce qui gêne beaucoup les économistes. Les données personnelles sont traitées en tant que biens informationnels et on en suit les fuites, les confinements, la diversité de régulations. La PbD est l’une de ces régulations, de type ex ante : on intervient avec un ensemble de choix de design et de conception avant qu’un endommagement soit fait – puisse être fait. Les coûts de la PbD sont surtout supportés pas les technology providers, les ISPs, etc. Mais comment définir l’efficacité des standards PbD? Qui met en place ces standards? Quel est le rôle des experts et qui sont-ils ? Aussi, il y a la possibilité de règles trop laxistes ou trop strictes. Comment fixe-t-on la norme optimale? Les défis résident surtout dans les changements technologiques rapides, qui le sont tout particulièrement dans le domaine des services Internet, et dans le renouvellement des usages qui peuvent rendre les normes obsolètes. A. Rallet et F. Rochelandet ont également souligné la possibilité d’un « effet parapluie percé » dans la mise en œuvre du PbD : si on peut le protéger avec des firmes de grande taille, d’autres acteurs sont plus difficilement contrôlables. Quels types de sanctions légales peut-il y avoir dans ces cas? Le problème de l’ « illusion du contrôle » sur lequel travaille beaucoup Alessandro Acquisti à la Carnegie Mellon University, est aussi à considérer : les individus sont surtout intéressés par l’existence du contrôle elle-même, pas par l’objet qui est le résultat de ce contrôle. Les renouvellements fréquents des paramétrisations dans les réseaux sociaux en sont un exemple.

Enfin, le PbD change comme problématique par rapport aux types de réseau. Dans les réseaux sociaux, on a un paradoxe économique : ceux-ci ont leur principe de business dans le matching des individus grâce aux données personnelles, et il y a fort consensus entre les utilisateurs et les service providers par rapport à cette dynamique. Comment un paradigme PbD peut-il s’insérer dans ce discours ? La conclusion d’A. Rallet et F. Rochelandet est donc qu’il est souhaitable de reformuler le PbD comme « Privacy by Using », un processus adaptatif dans lequel l’utilisateur occupe une place centrale : la construction et la prise en compte d’outils pour en savoir plus sur des questions de privacy, et incorporer celles-ci dans les outils dans un deuxième temps. Autrement, on risque de construire la PbD « comme quelque chose qu’on n’a pas… à donner à quelqu’un qui n’en veut pas. »

Un label, pas une méthode… mais des vraies conséquences

Si Philippe Mouttou de Thalès a invité à prolonger dans le cas de la PbD, en particulier dans le champ de la vidéosurveillance, le principe fondateur de quarante-cinq années de droit européen qui consiste à mettre « l’individu en premier », l’intervention de Nicolas Desrumaux, de l’Université de Lille 2, a porté la discussion sur le PbD sur un plan plus controversé en invitant l’audience à questionner l’ontologie de ce concept d’un point de vue plus juridique, « acceptable comme philosophie mais peut-être pas d’une exceptionnelle utilité ». D’après l’orateur, il faut se poser nombre d’autres questions avant : en premier lieu, de quoi parle-t-on? Le PbD serait à l’heure actuelle plutôt un processus, l’importation d’un concept marchand de partage d’information dans un contexte européen surtout intéressé par la protection. Le débat sur la privacy se base souvent sur des idéaux parfois difficile à traduire en pratique : le flou qui existe autour de ces idéaux serait maintenant en train de porter préjudice à la stabilisation de la notion même de PbD? Quand même, il existe des véritables enjeux politiques, normatifs et économiques autour de cette notion en devenir : la détermination voir l’imposition de standards industriels, la dissémination et la mise en place de spécifications, des verrous juridiques à faire sauter, de la discrimination entre intérêts contradictoires. Le PbD est préconisé par des institutions ad hoc au moment même que la validité du concept n’est pas véritablement démontrée. En conclusion, selon N. Desrumaux, le PdB n’est pas (encore?) une norme juridique car il ne possède pas de protocole de validation scientifique, et serait même nuisible, dans sa forme actuelle, à l’application du droit : un label est offert, mais pas une méthode, car l’application de ce label ne préconise pas de garanties.

La conclusion de Robert Picard, du Ministère des Finances, a noté comment les deux mots clé de cette table ronde, régulation et marché, ont sous-tendu des réflexions variées et polémiques : variété et polémique à attribuer au fait que, si le concept et l’ontologie même du PbD sont fortement débattus, il existe déjà autour de ce concept des objets, des marchés, des réalités économiques : il faut dès lors assurer un suivi et une mise en œuvre de la part des instances de régulation nationales, européennes et internationales. L’articulation entre normes et standards techniques reste à construire : les premières sont très strictes, mais leur rapport avec la technique demeure peu clair. Le PbD est l’un des chantiers les plus intéressants pour expérimenter avec cette articulation.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech
Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

Le Cloud: une architecture virtualisée

Dans l’analyse des modèles d’architecture en réseau, dont l’architecture distribuée est un cas spécifique, il nous a paru intéressant d’explorer les questions de l’architecture du cloud computing qui actuellement pose des questions juridiques de grande ampleur. Nous avons donc participé à un Atelier de l’ADIJ dédié aux problèmes juridiques du Cloud, et qui s’intéresse essentiellement au Cloud d’entreprise.  La question commune d’emblée évidente est que le pair à pair et le cloud essaient de résoudre chacun de leur façon la mutualisation de ressources face aux capacités limitées. Ils ont aussi en commun l’élasticité du modèle, la modulabilité, le self-provisioning. Un deuxième aspect commun est celui du sort des données personnelles. Alors que dans le cas du pair à pair, les données personnelles des utilisateurs sont par nécessité transmises dans un réseau de pairs, dans le cas du Cloud Computing, les données personnelles sont stockés dans des data centers dont la localisation exacte est souvent inconnue aux utilisateurs et dont la sécurité est incertaine. C’est ainsi que la CNIL qui a participé à cet Atelier a aussi mis en place un Groupe de travail interne sur ce thème. Nous reprenons ici les principaux points de cet Atelier qui se rapportent à nos interrogations.

Le 3 novembre 2011, l’atelier « Cloud Computing » de l’Association pour le Développement de l’Informatique juridique (ADIJ) animé par H.F. Jul-Hansen, B. Delmasx-Linel& D. Feldman  a  terminé sa première tranche de réflexions à l’Espace Hamelin.  L’atelier, qui avait été lancé le 23 septembre 2010, a accueilli durant ses séances de nombreux avocats et représentants de sociétés leaders du Cloud Computing (tel que Microsoft, Google, IBM, WMWare, etc) qui se sont réunis tous autour d’une même table pour entreprendre une discussion ouverte et constructive sur les atouts, les risques et les enjeux juridiques du Cloud Computing. L’atelier s’est terminé avec un compte-rendu de ce qui a été dit dans les séances précédentes.

Avant même de se mettre d’accord sur une définition, le groupe était divisé sur la question : s’agit-il  ou non d’une révolution technique ? N’était ce pas plutôt une innovation (voire un coup) commerciale ? Il est dit notamment que le terme « Cloud Computing » ne veut  rien dire en soi, que  c’est un outil de marketing qui fait vendre des services, mais qui fait aussi peur aux clients. Le Cloud Computing est sans doute une révolution mais elle n’est pas technique. La virtualisation de l’architecture et la mutualisation des données permettent une plus grande élasticité et flexibilité des ressources informatiques, mais leur déplacement sur le réseau comporte une perte de maîtrise qui comporte des risques importants. Les problématiques juridiques principales concernent essentiellement le droit à la vie privée, la sécurité des données, et l’encadrement contractuel. La question est de savoir si ces problèmes sont inhérents au Cloud Computing, ou s’ils sont dus simplement à la jeunesse de ces architectures.

I.               Encadrement contractuel

La difficulté majeure est celle de formuler des contrats qui puissent prendre en compte tout problème potentiel. Alors que dans le cas des Clouds publics (versus Clouds privés), l’utilisation de contrats-type est a priori possible, la négociation des contrats pour les Clouds privés est beaucoup plus complexe. Les Clouds hybrides, eux, essaient de trouver un équilibre entre l’exportation des données en dehors de l’entreprise et le maintien de certaines opérations au sein de l’entreprise.

Le problème de fond se trouve dans l’opposition entre les utilisateurs qui exigent un maximum de garanties et les prestataires de services en amont qui ne veulent assumer aucune responsabilité. Les intermédiaires se voient donc obligés de gérer et de mettre en balance les intérêts de tous leurs partenaires. Si le contrat est déséquilibré, il y a souvent un problème au niveau de l’expression des besoins.

L’encadrement contractuel est d’autant plus difficile qu’il n y a pas de transparence entre les opérateurs. Les utilisateurs communiquent exclusivement avec un intermédiaire (e.g. Dropbox), sans connaître l’identité ni des prestataires en amont (e.g. Amazon dans le cas de Dropbox) ni des responsables de l’infogérance et de l’hypervision (e.g. Xen dans le cas d’Amazon).

II.             Sécurité des données

Les problèmes de sécurité concernent  l’accessibilité et la confidentialité des données. Bien que les mêmes problèmes existaient auparavant, les risques sont perçu comme étant beaucoup plus graves dans le cadre du Cloud à cause de la distance et de l’échelle des opérations. Des centres de données  (data centers) accumulent de plus en plus de données qui ne sont accessibles que par l’intermédiaire du service Cloud. Dès lors qu’il y a une panne, de nombreux utilisateurs en souffrent et personne ne peut faire quoi que ce soit, si ce n’est attendre que les prestataires résolvent le problème. Ceci entraine un malaise psychologique du à la perte de maitrise.

Ainsi, bien que le Cloud offre d’énormes avantages en termes de disponibilité et accessibilité des données, il comporte aussi de gros désavantages du à la perte de maitrise et au manque d’interopérabilité. Plusieurs fournisseurs de services, notamment Google et Blackberry, ont déjà été confrontés à de tels risques.

Il ne s’agit là pourtant pas d’une nouvelle ménace, mais plutôt d’une confirmation que ces risques existent toujours. Alors que le Cloud ne multiplie pas la probabilité de perte des données, il en multiplie l’ampleur. Des problèmes, aussi minimes soient-ils, risquent d’entrainer des conséquences très importantes puisque le Cloud opère sur une grande échelle. De plus, bien que ces problèmes se posent à la même fréquence dans le Cloud ou ailleurs, leur nombre est susceptible d’augmenter avec le nombre d’intermédiaires.

Pour  sécuriser les données, il est donc encore plus nécessaire d’investir en redondance, mais aussi d’éduquer les utilisateurs à sauvegarder leurs données dès lors qu’ils ne sont pas prêts à accepter les risques.

III.           Droit à la vie privée

Les problématiques liées à la protection de la vie privée des utilisateurs sont de grande actualité dans le cadre du Cloud Computing. De plus en plus de juristes travaillent sur les questions relatives au Cloud Computing et à la protection des données personnelles. Les enjeux sont essentiellement dus au fait que les règles sur le traitement des données personnelles varient énormément selon des pays. Le cadre règlementaire européen est beaucoup plus strict que celui des Etats-Unis par exemple. Alors que ces problèmes existaient bien avant l’arrivée du Cloud Computing, le Cloud en a été un révélateur efficace.  Ainsi, bien qu’il n’ait pas modifié les comportements habituels des fournisseurs de services en termes de traitement des données, il a cependant acquis une connotation négative dans l’esprit des clients.

Il devient donc nécessaire de rassurer les clients. Alors que certains fournisseurs de service ne se préoccupent pas de contrôler l’emplacement de leurs serveurs ou de leurs prestataires, d’autres se sont engagés à proposer des offres qui garantissent que tous les serveurs soient en Europe, et en font ainsi un atout concurrentiel. De plus, même si rien n’a changé d’un point de vue pratique, les contrats d’infogérance (l’externalisation de tout ou partie de la gestion et de l’exploitation du service informatique à un prestataire informatique tiers)  se voient maintenant obligés de contempler tous les problèmes liés à la sécurité et à la confidentialité des données – bien que cela aurait du être fait bien avant l’arrivée du Cloud Computing.

Ces dangers ne sont pas seulement théoriques, comme l’ont prouvé récemment Sony, Amazon, Google et Blackberry. Avant d’acheter un service, de plus en plus de clients s’interrogent pour savoir si les fournisseurs de services sont bien assurés contre les risques associés au Cloud Computing. Des instituts d’assurance ont donc été appelés à intervenir pour amortir ces nouveaux risques.

La question principale est de savoir si ce sont les prestataires de service ou les utilisateurs finaux qui doivent s’assurer contre la perte ou la fuite des données. Les clients exigent souvent que les prestataires assument tous les risques, bien que cela soit difficile à mettre en œuvre. Plutôt que d’essayer de créer un contrat qui mette les garanties entièrement sur le dos des prestataires, il serait préférable de changer le modèle adopté pour satisfaire les besoins des clients (par exemple, en passant d’un Cloud public à un Cloud hybride). Obliger les fournisseur à s’assurer contre les risques liés à la perte des données et au respect de la vie privée risque de se traduire en une forme de forfaitisation, où le coût de l’assurance est partiellement reversé sur les clients qui se voient donc obligés de payer un premium pour assurer la sécurité de leurs données. De plus, bien qu’il soit important de répartir les responsabilités sur les différents prestataires, l’utilisateur peut aussi s’assurer par ses propres moyens. Ceci permettrait des négociations plus équilibrées entre tous les acteurs qui participent au service.

Enfin, un autre point intéressant porte sur la standardisation. L’idée serait de gérer les problèmes de sécurité et de confidentialité des données en s’appuyant sur une série de normes ou de standards. OVH, par exemple, a annoncé vouloir rechercher une certification ISO pour ses offres de Cloud privé, dans le but de fournir de meilleures garanties de sécurité aux clients.

La standardisation permet aux clients de contrôler la fiabilité des prestataires par l’intermédiaire de l’audit d’un tiers. Différents types de certifications sont déjà utilisés par plusieurs fournisseurs de services Cloud, tel que la certification SAS 70 par exemple, mais la plupart ne couvrent que les aspects financiers du service. Le problème est que les certifications proviennent d’entreprises privées, et il est donc toujours nécessaire de se mettre d’accord sur les standards à utiliser.

Aujourd’hui, le développement de normes ou de standards capables de garantir l’efficacité et la sécurité d’un service n’a pas beaucoup avancé dans le cadre du Cloud Computing. Cela est probablement du au fait que l’on est encore en phase de compétition dans le secteur. La standardisation des offres arrivera probablement à une phase successive, lorsque le marché commencera à se stabiliser. Est-ce que le Cloud est architecture nouvelle qui induit de nouveaux rapports assurantiels et contractuels ?

À la fin de cet atelier, nous avons compris que le Cloud Computing et les réseaux pair à pair ont plusieurs caractéristiques en commun. Tous les deux sont basés sur la virtualisation et la mutualisation des ressources et tous les deux présentent une architecture distribuée, dynamique et élastique – bien que l’architecture du Cloud est déterminée par les besoins des clients, alors que celle des réseaux pair à pair dépend de la disponibilité des ressources. Cependant il nous semble intéressant d’analyser en quoi ces deux architectures, qui sont toutes deux distribuées, se différencient. Il nous semble que, alors que le pair à pair est une architecture distribuée décentralisé, le Cloud est lui une architecture distribuée de façon centralisé.

Danièle Bourcier et Primavera De Filippi

« Private Yet Connected » sur ParisTech Review et Agora

L’article « Private Yet Connected? Yes, We Can: The Challenge of Decentralized Social Networks », publié en février 2011 par ParisTech Review, est repris par le magazine canadien Agora dans le numéro de juin 2011. A l’honneur: les médias sociaux décentralisés.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech
Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

« Les débuts des réseaux sociaux en pair-à-pair »

Musiani, F. (2010). Ménager le droit à la vie privée, entre anonymat et connaissance de l’identité: les débuts des réseaux sociaux en pair-à-pair. Terminal, 105: 107-116, dossier Technologies (et usages) de l’anonymat à l’heure de l’Internet.

Malgré leur succès auprès des internautes d’aujourd’hui, les outils de réseautage social font l’objet de plusieurs controverses quant aux usages que leurs administrateurs font des données privées des utilisateurs. De nombreux projets et applications proposent aujourd’hui des alternatives décentralisées à ces services, notamment par moyen de la technologie pair-à-pair (P2P). On retrace et analyse ici les débuts des applications au croisement entre réseaux P2P et réseaux sociaux, en discutant plus particulièrement des manières dont elles préfigurent des modifications dans la gestion du droit à la vie privée des utilisateurs, en se servant à la fois de l’anonymat et de la connaissance de l’identité – aspects qui sont généralement reconduits au P2P et au réseau social, respectivement – selon les différentes fonctionnalités et couches de l’application.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech
Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

« When Social Links Are Network Links »

Musiani, F. (2010). When Social Links Are Network Links: the Dawn of Peer-to-Peer Social Networks and Its Implications for Privacy. Observatorio, 4(3): 185-207.

Despite the success they enjoy among Internet users today, social networking tools are currently subject to several controversies, notably concerning the uses their administrators make of users’ private data. Today, many projects and applications propose decentralised alternatives to such services, among which one of the most promising appears to be the construction of the social network on a peer-to-peer (P2P) architecture. This paper addresses and analyses the first steps of applications at the crossroads between social networks and P2P networks. More specifically, it discusses how such applications anticipate modifications in the management of users’ right to privacy, by harnessing both anonymity and knowledge of identity – aspects generally identified with P2P networks and social networks, respectively – depending on the different functionalities and layers of the application.

W2S: « Cinq questions sur les réseaux sociaux acentrés »

Le séminaire W2S (Web 2 Social Sciences) de la Cantine & Orange Labs a porté le 27 avril 2011 sur une thématique émergente de grand intérêt, les réseaux sociaux acentrés (appelés, en d’autres cas, distribués ou décentrés/décentralisés).

Louis Ameline et Ori Pekelman ont d’abord discuté le nouveau protocole de communication entre les fournisseurs d’identité, les utilisateurs et les sites, qu’ils sont en train de développer au sein de l’entreprise af83. Ce projet, nommé Turbulences et labellisé Cap Digital, a pour objectif de produire une technologie qui « créera un écosystème où de nombreux réseaux sociaux interopérables pourront éclore, tout en proposant à l’internaute de faire respecter sa vie privée autant que possible. » MM. Ameline et Pekelman ont soutenu que, bien que des tentatives similaires aient existé et apparaissent encore aujourd’hui, l’approche technique du protocole Turbulences vise un niveau de confidentialité maximal et une technologie la plus universelle possible. Ils ont notamment parlé du mécanisme d' »anonymat par les proxies » que sous-tend leur protocole.

Bertil Hatt, économiste des réseaux et doctorant à l’université Paris Ouest Nanterre La Défense, a achevé sa présentation des logiques économiques qui structurent le développement et l’organisation de ce type de services en proposant « cinq questions » concernant leur futur proche.

1. Seront-ils commerciaux ou volontaires?

  • Combien la distinction dualiste entre les grandes entreprises commerciales qui cherchent à collecter les données des utilisateurs, et les associations de développeurs inspirés à l’open source ne désirant rien d’autre que le bien commun, sera-t-elle encore pertinente?

2. Quelle distribution par taille?

  • Le fait d’utiliser des réseaux acentrés ne va pas forcément réduire la taille de chacun de ces réseaux. Comment les effets d’échelle et les conventions sociales vont-ils se balancer?

3. Seront-ils spécialisés et comment?

  • Le manque d’un centre impliquera-t-il une spécialisation toujours plus marquée des différents réseaux, ou y aura-t-il un « réseau par défaut » duquel les autres ne vont être que des dépendances?

4. Les relations seront-elles automatiques?

  • Facebook est en train d’apprendre à gérer très bien un niveau de mise en relation « automatique »: c’est-à-dire, deux utilisateurs sont Amis s’ils s’empruntent des photos l’un l’autre. Comment ces dynamiques peuvent-elles avoir lieu dans des réseaux sociaux décentralisés sans que les coûts de transaction soient trop importants? Les expliciter en rajoutant une couche de complexité ultérieure s’annonce très compliqué.

5. Quel rôle pour les réseaux décentrés?

  • A ce jour, les réseaux sociaux décentrés remplissent des fonctions d’expérimentation et d’essai. Ils montrent un exemple, et sont susceptibles de pousser les grand acteurs du marché des services Internet vers des bonnes pratiques. Ils montrent aussi que le modèle de contournement est pratiqué et possible.

La présentation du projet Turbulences est disponible ici.

Ultérieures informations sur la séance du séminaire W2S sont disponibles ici.

L’auteure de ce billet a écrit sur le sujet des réseaux sociaux décentralisés dans Terminal, Observatorio et ParisTech Review.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech
Yahoo! Fellow in Residence, Georgetown University

More Posts - Website