L'équilibre entre vie privée et innovation (partie 1)

Avant d'entrer dans le vif du sujet, posons un peu de contexte. Tout au long de l'histoire, les êtres humains ont accordé de la valeur à différentes ressources. Durant la révolution agricole, la terre était considérée comme extrêmement précieuse. À l'ère industrielle, c'étaient les machines, le charbon, puis le pétrole. Aujourd'hui, au XXIe siècle, universitaires, journalistes et dirigeants d'entreprise affirment que les données sont le nouveau pétrole. Parmi les entreprises les plus valorisées au monde, beaucoup sont des entreprises technologiques — et elles détiennent toutes une quantité colossale de données sur les consommateurs à l'échelle mondiale. On pense notamment à :

• En Asie : Alibaba, Tencent, Baidu, Flipkart
• En Occident : Google, Microsoft, Amazon, Facebook, IBM, Apple

Le Forum économique mondial adopte une autre perspective dans son rapport data policy in the Fourth Industrial Revolution : "Au Forum économique mondial, nous préférons considérer les données comme l'oxygène qui alimente le feu de la quatrième révolution industrielle. Elles sont omniprésentes et indispensables, mais si elles sont mal utilisées, elles peuvent générer des résultats dangereux et indésirables."

Compte tenu de l'importance des "données", je cherche à me former sur ce sujet. Cet article est le premier d'une série sur la protection des données personnelles. N'étant pas expert en la matière, je vais synthétiser ce que j'ai appris et fournir des liens vers les sources. Pour aujourd'hui, nous aborderons 3 questions principales :

• Qu'est-ce qu'une donnée personnelle ?
• Qui en est propriétaire ? — une réponse nuancée
• Quels sont tes droits ?

Qu'est-ce qu'une donnée personnelle ?

Jusqu'ici, la définition que j'ai trouvée la plus complète est celle de l'Union européenne dans le cadre du règlement RGPD.

"«données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;" L'UE fournit également des exemples de données personnelles :

• une adresse e-mail (tonnom@entreprise.com)
• une adresse IP (Internet Protocol)
• un identifiant de cookie (souvent présent dans ton navigateur web)
• l'identifiant publicitaire de ton téléphone

D'autres exemples incluent :

• Tes communications privées : le contenu de tes e-mails ou messages privés
• Tes relevés financiers (solde bancaire, transactions, déclarations fiscales)
• Tes données scolaires (établissements fréquentés, notes)
• Tes données médicales
• Tes données biométriques (empreintes digitales, visage), etc.

Bien que je ne présente ici qu'une partie des exemples, il est important de noter qu'il existe plus de 100 lois de protection des données dans différents pays et territoires.

La Commission de protection des données personnelles de Singapour précise : "Les données personnelles désignent les données, vraies ou non, relatives à une personne qui peut être identifiée à partir de ces données ; ou à partir de ces données et d'autres informations auxquelles l'organisation a ou est susceptible d'avoir accès. Les données personnelles à Singapour sont protégées par la loi sur la protection des données personnelles de 2012 (PDPA)."

Qui en est propriétaire ?

La réponse la plus évidente pour beaucoup est : c'est ma donnée, donc je la possède. Dans la pratique, c'est pourtant bien plus nuancé que cela.

Registres gouvernementaux et d'organismes publics

Dans de nombreux pays, l'État conserve une grande quantité de données sur ses citoyens : acte de naissance, carte d'identité (que le gouvernement délivre lui-même), données biométriques, etc. L'Inde a mis en place l'une des plus grandes opérations d'identification biométrique au monde, concernant environ un milliard de personnes.

Ce qui est intéressant, c'est qu'à Davos lors de la conversation "Setting the rules for the AI race", un représentant du gouvernement indien a indiqué que les données appartiennent aux entités publiques ou à l'État. Ce dernier peut autoriser des entités publiques ou privées à accéder aux données personnelles.

Lorsque tu voyages (ou demandes un visa), de nombreux pays exigent que tu fournisses tes données biométriques. Une fois soumises et les documents signés, il est probable que tu aies commencé à partager tes données biométriques avec ces gouvernements étrangers.

Données observées et données inférées/prédictives

Le rapport du Forum économique mondial data policy in the Fourth Industrial Revolution souligne la nécessité de prendre en compte le contexte dans cette discussion. La question de la propriété des données observées et inférées n'a pas de réponse simple.

"Données observées : préférences de navigation sur internet, vidéosurveillance, relevés téléphoniques détaillés, etc.

Données inférées : scores de crédit, profils consommateurs, flux de trafic prédictifs, modèles de propagation des maladies infectieuses, publicité ciblée, etc.

Au fil de notre vie quotidienne, nous utilisons différents services et laissons derrière nous de nombreuses "données observées" auprès d'entreprises variées. Ces entreprises sont-elles alors propriétaires de ces données ? Cela concerne des hôpitaux, des compagnies aériennes, des restaurants, des services de covoiturage, etc. Dans le monde publicitaire, les entreprises désignent souvent ce type de données comme des données de première partie (1st party data), ce qui semble indiquer qu'elles peuvent les utiliser. Mais le peuvent-elles vraiment ? Si l'on retient la définition du RGPD européen, tant que les données peuvent servir à identifier une personne, cette personne en est le propriétaire. Si les données sont anonymisées ou pseudonymisées, la question est différente.

Un point à noter : nous laissons des traces comportementales et économiques depuis longtemps. Ce qui a changé au cours de la dernière décennie, c'est l'essor du big data et du machine learning. Il est désormais relativement plus facile et moins coûteux pour les entreprises de stocker et traiter d'immenses volumes de données pour en tirer des prédictions. Tout moteur de recommandation (comme celui d'Amazon) repose essentiellement sur ce principe.

Quels sont tes droits ?

C'est là que j'apprécie particulièrement la clarté de la réglementation européenne. Je ne débats pas ici de sa pertinence — du moins pas dans cet premier article. Le RGPD européen établit les droits suivants pour les consommateurs :

• Chaque personne est propriétaire de ses propres données personnelles
• Transparence et consentement : les entreprises doivent demander explicitement la permission de stocker et de traiter les données personnelles, de manière transparente et en langage clair
• Sécurité : les données personnelles doivent être protégées par des mesures de sécurité raisonnables
• Droit de retrait : à tout moment, tu peux retirer ton consentement au traitement ou à l'utilisation de tes données
• Information et accès aux données personnelles
• Droit de rectification
• Droit à la limitation du traitement
• Droit à la portabilité
• etc.

Bien sûr, le RGPD prévoit également de nombreuses exceptions et dérogations détaillées.

La loi californienne sur la protection de la vie privée des consommateurs (CCPA), la loi sur la protection des données personnelles de Singapour et d'autres lois sur la vie privée, bien que moins exhaustives, abordent des droits similaires. C'est à peu près tout pour cet article.

Dans les prochains articles, j'examinerai des sujets plus délicats :

• Le RGPD de l'Union européenne est-il trop prescriptif ?
• Devrions-nous adopter une loi mondiale sur la protection des données, compte tenu des différents régimes juridiques et modèles économiques à l'échelle mondiale ? Sinon, quelle approche globale adopter, vu la nature interconnectée et interdépendante de notre monde ?
• Comment avancer à partir de là ?
• L'équilibre entre protection des données et innovation, en commençant par les secteurs de la santé et de l'éducation ?
• Comment éviter les monopoles de données aux niveaux local, national et mondial ?

Cordialement,

Chandler