L'Internet des objets et le mythe des données « non sensibles »

Chaque matin, vous vous levez vers 7h30 et vous prenez un café. Votre montre et votre cafetière connectées à internet transforment ces informations en données et les transmettent à une grande compagnie de gestion des données (apparemment, vous avez consenti à la transmission de vos données au moment de configurer votre montre et votre cafetière). Des faits vous concernant sont utilisés pour générer une série de chiffres et de lettres stockées dans une base de données.

Apparemment, ces informations sont banales, et sans grande incidence. Après tout, savoir que vous préférez les lattes aux espressos, ou que vous vous levez 1h plus tard le dimanche, ce n'est pas une grande invasion de votre vie privée. Sur cette base, le fabricant collectant des données de votre montre ou de votre machine à café pourrait se déresponsabiliser et se dire que le risque d'invasion de votre vie privée est faible. Ce n'est pas comme si votre machine à café collectait des données sur votre âge, votre appartenance politique ou religieuse, ou vos préférences sexuelles.

Malheureusement, les choses ne sont pas aussi simples.

Les données inférées à partir d'autres données

L’Internet des objets désigne l’ensemble des objets physiques (ex. appareils, capteurs, supports de stockage) mis en réseau et communicant entre eux via Internet. Parmi les objets connectés, on compte différents appareils, allant des téléphones intelligents jusqu'aux vêtements et accessoires (ex. lunettes, montres, moniteurs médicaux), en passant par les appareils ménagers (ex. réfrigérateurs), des systèmes pour le domicile (ex. thermostats, éclairage, sécurité, caméras, serrures) ou les voitures. Cette technologie facilite énormément la collecte d'informations à propos de personnes (ou de groupes sociaux).

Ces informations peuvent fournir une description directe de l'utilisateur (comme dans des images ou des enregistrements sonores). On parle alors de « données ». Ces informations peuvent aussi décrire d’autres données captées (comme des informations à propos de l’heure à laquelle une image a été captée, ou des informations touchant la géolocalisation d’une image). On parle alors de « métadonnées ». Enfin, certaines données sont inférées, alors que d'autres sont obtenues sans faire d'inférences. Les données inférées sont obtenues par des recoupements et des déductions effectuées à partir des données et des métadonnées.

Comment les inférences remettent en question la notion de données « non sensibles »

Les données collectées par une cafetière connectée peuvent sembler inoffensives. Dans la grande majorité des cas, la consommation quotidienne de café d’une personne n’est effectivement pas une donnée sensible nécessitant des protections importantes. Mais un problème se pose tout de même lorsque des recoupements sont faits entre les données « inoffensives » compilées par différents appareils. Comme le mentionnent Allhoff et Henschke :

Supposons qu'une machine à café connectée est activée deux fois le vendredi matin, alors qu'elle ne démarre qu'une seule fois les autres jours de la semaine. Supposons que la douche intelligente de l’utilisateur soit également plus active qu’à l'habitude le vendredi matin. Notre utilisateur a-t-il rencontré quelqu'un dans un bar la veille au soir ? Que se passe-t-il si cela se produit tous les vendredis – est-ce que cela en dévoile davantage sur la vie personnelle ou les pratiques de l’utilisateur ? Des informations apparemment inoffensives, comme le moment où une machine à café est activée, peuvent s’avérer hautement révélatrices lorsqu'elles sont intégrées et agrégées à d'autres informations. (Allhoff et Henschke 2018, p. 59, traduction libre)

Dans le cas décrit ci-dessus, le partage des responsabilités éthiques se complique grandement. Une compagnie collectant seulement des données sur le nombre et type de cafés d’un utilisateur peut se déresponsabiliser sur la base du fait que, prises séparément, les données qu’elle collecte sont peu invasives. Il en va de même pour une entreprise collectant des données sur le temps passé dans la douche, une autre collectant des données sur les heures auxquelles les lumières ont été activées, etc. Mais lorsqu’elles sont mises en commun, ces données sont potentiellement invasives et entrent en conflit avec le droit à la vie privée. Des actions individuelles en apparence acceptables peuvent avoir des effets graves lorsque mises ensemble.

Dans ce contexte, il s’avère également difficile d’attribuer des torts et des responsabilités clairs quant à l’invasion de la vie privée. Chaque collecte de données explique pourquoi les utilisateurs peuvent subir des torts, bien que chaque collecte prise séparément ne soit pas particulièrement invasive. Conformément à ce qui précède, chaque entreprise responsable de la collecte de certaines données y est pour quelque chose, bien que chaque entreprise prise séparément ne soit pas particulièrement blâmable.

En somme, les objets connectés collectant des données dites « non-sensibles » posent des risques éthiques importants, puisque des données en apparence inoffensives peuvent être recoupées entre elles. Une fois recoupées, ces différentes données deviennent souvent sensibles, et y accéder compromet la vie privée des utilisateurs.

L'avis de la Commission sur l'Internet des objets

Dans son supplément d'avis intitulé « L’Internet des objets, la vie privée et la surveillance », la Commission de l'éthique en science et en technologie propose différentes recommandations entourant l'usage et la gestion des données personnelles collectées par l'Internet des objets. Le supplément insiste sur le fait que même des données en apparence peu invasives peuvent l'être. Un simple recoupement de quelques catégories de données peut donner un portrait profondément intime et invasif de l'utilisateur.

Consultez le supplément pour connaître les pistes de solutions proposées par la Commission.