L’Association Interhop.org est une initiative de professionnels de santé spécialisés dans l’usage et la gestion des données de santé, ainsi que la recherche en machine learning dans de multiples domaines médicaux. Aujourd’hui, en leur donnant la parole sur ce blog, nous publions à la fois une alerte et une présentation de leur initiative.

En effet, promouvant un usage éthique, solidaire et intelligent des données de santé, Interhop s’interroge au sujet du récent projet Health Data Hub annoncé par le gouvernement français pour le 1er décembre prochain. Devons-nous sacrifier le bon usage des données de santé sur l’autel de la « valorisation » et sous l’œil bienveillant de Microsoft ? Tout comme dans l’Éducation Nationale des milliers d’enseignants tentent chaque jour de ne pas laisser le cerveaux de nos enfants en proie au logiciels fermés et addictifs, il nous appartient à tous de ne pas laisser nos données de santé à la merci de la recherche de la rentabilité au mépris de l’éthique et de la science.

Hold-up sur les données de santé, patients et soignants unissons-nous Par Interhop.org

La plateforme nationale des données de santé ou Health Data Hub, pour les plus américains d’entre nous, doit voir le jour d’ici la fin de l’année. Il s’agit d’un projet qui, selon le Ministère de la Santé, vise à « favoriser l’utilisation et de multiplier les possibilités d’exploitation des données de santé » en créant notamment « une plateforme technologique de mise à disposition des données de santé ».

Or, à la lecture du rapport d’étude qui en détermine les contours, le projet n’est pas sans rappeler de mauvais souvenirs. Vous rappelez-vous, par exemple, du contexte conduisant à la création de la CNIL (Commission nationale de l’informatique et des libertés) en 1978 en France ? L’affaire a éclaté en mars 1974, dans les pages du journal Le Monde. Il s’agissait de la tentative plus ou moins contrecarrée du projet SAFARI (Système Automatisé pour les Fichiers Administratifs et le Répertoire des Individus) visant à créer une banque de données de tous les citoyens français en interconnectant les bases de plusieurs institutions grâce à un numéro unique d’identification du citoyen : le numéro de Sécurité Sociale.

Ce scandale n’était pourtant pas inédit, et il ne fut pas le dernier… À travers l’histoire, toutes les tentatives montrent que la centralisation des données correspond à la fois à un besoin de gouvernement et de rentabilité tout en entamant toujours un peu plus le respect de nos vies privées et la liberté. L’histoire de la CNIL est jalonnée d’exemples. Quant aux motifs, ils relèvent toujours d’une très mauvaise habitude, celle de (faire) croire que la centralisation d’un maximum d’informations permet de les valoriser au mieux, par la « magie » de l’informatique, et donc d’être source de « progrès » grâce aux « entreprises innovantes ».

Concernant le « Health Data Hub », il s’agit d’un point d’accès unique à l’ensemble du Système National des Données de Santé (SNDS) issu de la solidarité nationale (cabinets de médecins généralistes, pharmacies, hôpitaux, Dossier Médical Partagé, registres divers et variés…). L’évènement semble si important qu’il a même été annoncé par le Président Macron en mars 2018. Par ailleurs, il est important de pointer que le SNDS avait été épinglé pour l´obsolescence de son système de chiffrement en 2017 par la CNIL.

De plus, l’infrastructure technique du Health Data Hub est dépendante de Microsoft Azure. Et ce point à lui seul soulève de grandes problématiques d’ordre éthique et réglementaire.

Alors que le Règlement Général sur la Protection des Données (RGPD) protège les citoyens européens d’un envoi de leurs données en dehors du territoire européen, la loi Américaine (Cloud Act) permet de contraindre tout fournisseur de service américain à transférer aux autorités les données qu’il héberge, que celles-ci soient stockées aux États-Unis ou à l’étranger.

Entre les deux textes, lequel aura le dernier mot ?

Les citoyens et patients français sont donc soumis à un risque fort de rupture du secret professionnel. La symbolique est vertigineuse puisque l’on parle d’un reniement du millénaire serment d’Hippocrate.

Le risque sanitaire d’une telle démarche est énorme. Les patients acceptent de se faire soigner dans les hôpitaux français et ils ont confiance dans ce système. La perte de confiance est difficilement réparable et risque d’être désastreuse en terme de santé publique.

C’est sous couvert de l’expertise et du « progrès » que le pouvoir choisit le Health Data Hub, solution centralisatrice, alors même que des solutions fédérées peuvent d’ores et déjà mutualiser les données de santé des citoyens Français et permettre des recherches de pointe. Bien que les hôpitaux français et leurs chercheurs œuvrent dans les règles de l’art depuis des années, il apparaît subitement que les données de santé ne sauraient être mieux valorisées que sous l’égide d’un système central, rassemblant un maximum de données, surveillant les flux et dont la gestion ne saurait être mieux maîtrisée qu’avec l’aide d’un géant de l’informatique : Microsoft.

Il est à noter que d’une part, il n’a jamais été démontré que le développement d’un bon algorithme (méthode générale pour résoudre un type de problèmes) nécessite une grande quantité de données, et que d’autre part, on attend toujours les essais cliniques qui démontreraient les bénéfices d’une application sur la santé des patients.

Pour aller plus loin, le réseau d’éducation populaire Framasoft, créé en 2001 et consacré principalement au développement de logiciels libres, veut montrer qu’il est possible d’impacter le monde en faisant et en décentralisant. C’est cette voie qu’il faut suivre.

La loi pour une République numérique fournit un cadre légal parfait pour initier des collaborations et du partage. La diffusion libre du savoir s’inscrit totalement dans la mission de service publique des hôpitaux telle qu’imaginée il y a des décennies par le Conseil National de la Résistance, puis par Ambroise Croizat lors de la création de la Sécurité Sociale.

On ne s’étonne pas que le site Médiapart ait alerté le 22 novembre dernier sur les conditions de l’exploitation des données de santé. Il est rappelé à juste titre que si la CNIL s’inquiète ouvertement à ce sujet, c’est surtout quant à la finalité de l’exploitation des données. Or, la récente Loi Santé a fait disparaître le motif d’intérêt scientifique pour ne garder que celui de l’intérêt général…

Quant à la confidentialité des données, confier cette responsabilité à une entreprise américaine semble être une grande erreur tant la ré-identification d’une personne sur la base du recoupement de données médicales anonymisées est en réalité plutôt simple, comme le montre un article récent dans Nature.

Ainsi, aujourd’hui en France se développe toute une stratégie visant à valoriser les données publiques de santé, en permettant à des entreprises (non seulement des start-up du secteur médical, mais aussi des assureurs, par exemple) d’y avoir accès, dans la droite ligne d’une idéologie de la privatisation des communs. En plus, dans le cas de Microsoft, il s’agit de les héberger, et de conditionner les technologies employées. Quant aux promesses scientifiques, elles disparaissent derrière des boîtes noires d’algorithmes plus ou moins fiables ou, disons plutôt, derrière les discours qui sous le « noble » prétexte de guérir le cancer, cherchent en fait à lever des fonds.

Quelles sont les alternatives ?

Le monde médical et hospitalier est loin de plier entièrement sous le poids des injonctions.

Depuis plusieurs années, les hôpitaux s’organisent avec la création d’Entrepôts de Données de Santé (EDS). Ceux-ci visent à collecter l’ensemble des données des dossiers des patients pour promouvoir une recherche éthique en santé. Par exemple, le projet eHop a réussi à fédérer plusieurs hôpitaux de la Région Grand Ouest (Angers, Brest, Nantes, Poitiers, Rennes, Tours). Le partage en réseau au sein des hôpitaux est au cœur de ce projet.

Par aller plus loin dans le partage, les professionnels dans les hôpitaux français reprennent l’initiative de Framasoft et l’appliquent au domaine de la santé. Ils ont donc créé Interhop.org, association loi 1901 pour promouvoir l’interopérabilité et « le libre » en santé.

Pourquoi interopérer ?

L’interopérabilité des systèmes informatisés est le moteur du partage des connaissances et des compétences ainsi que le moyen de lutter contre l’emprisonnement technologique. En santé, l’interopérabilité est gage de la reproductibilité de la recherche, du partage et de la comparaison des pratiques pour une recherche performante et transparente.

L’interopérabilité est effective grâce aux standards ouverts d’échange définis pour la santé (OMOP et FHIR)

Pourquoi décentraliser ?

Comme dans le cas des logiciels libres, la décentralisation est non seulement une alternative mais aussi un gage d’efficacité dans le machine learning (ou « apprentissage automatique »), l’objectif visé étant de rendre la machine ou l’ordinateur capable d’apporter des solutions à des problèmes compliqués, par le traitement d’une quantité astronomique d’informations.

La décentralisation associée à l’apprentissage fédéré permet de promouvoir la recherche en santé en préservant, d’une part la confidentialité des données, d’autre part la sécurité de leur stockage. Cette technique permet de faire voyager les algorithmes dans chaque centre partenaire sans mobiliser les données. La décentralisation maintient localement les compétences (ingénieurs, soignants) nécessaires à la qualification des données de santé.

Pourquoi partager ?

La solidarité, le partage et l’entraide entre les différents acteurs d’Interhop.org sont les valeurs centrales de l’association. Au même titre qu’Internet est un bien commun, le savoir en informatique médical doit être disponible et accessible à tous. Interhop.org veut promouvoir la dimension éthique particulière que reflète l’ouverture de l’innovation dans le domaine médical et veut prendre des mesures actives pour empêcher la privatisation de la médecine.

Les membres d’Interhop.org s’engagent à partager librement plateforme technique d’analyse big data, algorithmes et logiciels produits par les membres. Les standards ouverts d’échange sont les moyens exclusifs par lesquels ils travaillent et exposent leurs travaux dans le milieu de la santé. Les centres hospitaliers au sein d’Interhop.org décident de se coordonner pour faciliter et agir en synergie.

Pourquoi soigner librement ?

L’interconnexion entre le soin et la recherche est de plus en plus forte. Les technologies développées au sein des hôpitaux sont facilement disponibles pour le patient.

L’Association Interhop.org veut prévenir les risques de vassalisation aux géants du numériques en facilitant la recherche pour une santé toujours améliorée. L’expertise des centres hospitaliers sur leurs données, dans la compréhension des modèles et de l’utilisation des nouvelles technologies au chevet des patients, est très importante. Le tissu d’enseignants-chercheurs est majeur. Ainsi en promouvant le Libre, les membres d’Interhop.org s’engagent pour une santé innovante, locale, à faible coût et protectrice de l’intérêt général.

Les données de santé sont tout à la fois le bien accessible et propre à chaque patient et le patrimoine inaliénable et transparent de la collectivité. Il est important de garder la main sur les technologies employées. Cela passe par des solutions qui privilégient l’interopérabilité et le logiciel libre mais aussi le contrôle des contenus par les patients.

L'association des américains accidentels a porté plainte contre la France auprès de la Commission européenne pour violation du droit de l'Union européenne. Elle accuse la législation américaine Fatca, qui oblige les banques européennes à transmettre au fisc américain les données bancaires de leurs clients nés aux États-Unis, de ne pas respecter le droit communautaire en matière de protection des données.

C'est une nouvelle étape dans le combat mené par les américains accidentels. L'Association des américains accidentels a annoncé avoir déposé, ce jeudi 3 octobre, une plainte contre la France auprès de la Commission européenne, après avoir été déboutée en juillet par le Conseil d'Etat du refus de ses membres d'être assujettis à une réglementation fiscale. Cette réglementation, le Foreign account tax compliance act (Fatca), adopté par Washington en 2010 et appliqué en France depuis 2014, permet à l'administration fiscale américaine de demander aux banques étrangères des informations sur leurs clients considérés comme des "personnes américaines".

L'association considère que l'accord intergouvernemental franco-américain du 14 novembre 2013, qui permet l'application du Fatca en France, "viole le règlement général de l'UE sur la protection des données" en autorisant le stockage et la transmission massifs aux Etats-Unis des données personnelles", selon un communiqué. Selon les "Américains accidentels", le mécanisme de transmission de données "ne tient pas compte du fait que la plupart de ces personnes n'ont aucun lien avec les États-Unis" et "ne permet pas aux personnes concernées d'accéder aux données qu'elles ont transmises ni de corriger les erreurs qui pourraient s'y glisser".

Le Conseil d'Etat avait pour sa part estimé lors d'une audience début juillet que le Fatca ne présentait pas de défaut d'exécution "avéré" mais tout au plus "des difficultés techniques de mise en oeuvre". Selon le communiqué de l'association, "la Commission européenne dispose d'un délai de 12 mois à compter du 3 octobre pour examiner l'affaire et décider s'il y a lieu d'engager une procédure formelle d'infraction contre la France." La Fédération bancaire française (FBF) avait pour sa part prévenu fin juillet que les banques françaises "pourraient être contraintes de fermer 40.000 comptes d'ici à la fin 2019 faute d'accord sur l'application d'une règlementation fiscale américaine". En refusant de transmettre les informations demandées par les autorités américaines, les banques s'exposeraient à des sanctions à hauteur de 30% de leurs flux financiers avec les Etats-Unis, avait expliqué le patron de la FBF, Laurent Mignon.

En 2017, les Etats-Unis avaient accepté un moratoire valide jusqu'à la fin décembre 2019, stipulant qu'il n'y aurait pas infraction si, faute d'un identifiant fiscal, les banques fournissaient la date de naissance des clients concernés et leur demandaient chaque année des identifiants fiscaux. Mais cette dérogation prendra fin au 1er janvier 2020, "y compris pour les comptes ouverts avant cette date", selon la FBF. Il y a donc urgence à trouver une solution.

Les sites français ont droit à un sursis d’un an quant au recueil du consentement de leurs visiteurs à se faire traquer. Cette période transitoire offerte par la Cnil aux éditeurs fait enrager les défenseurs de la vie privée et pourrait valoir au régulateur un remontage de bretelles au niveau européen.

Marie-Laure Denis et le collège renouvelé de la Cnil n’étaient pas là pour rigoler. C’était en substance le message envoyé en avril dernier, à l’occasion de la présentation du bilan annuel de l’autorité. Google venait d’écoper d’une amende de 50 millions d’euros pour ne pas avoir respecté les principes du RGPD et le gendarme des données personnelles assurait vouloir « crédibiliser le nouveau cadre juridique ». De la pédagogie, toujours, mais surtout des contrôles et des sanctions renforcées.

Et pourtant, le plan d’action de la Cnil en ce qui concerne le ciblage publicitaire ne va pas dans ce sens. Depuis l’entrée en vigueur du RGPD, le régulateur s’est toujours refusé à offrir une « période de grâce »… jusqu’à aujourd’hui. Le programme de la Cnil consiste à réviser sa recommandation relative aux cookies, en date de 2013, afin de l’adapter au nouveau cadre juridique. Sur le papier, l’harmonisation de ces lignes directrices avec le droit européen, in fine un rappel des « règles de droit applicables », est sensée.

Echec au droit (européen)

Mais la décision d’offrir une période transitoire d’un an fait hausser plus d’un sourcil. A commencer par ceux de la Quadrature du Net. Sur son site, la Cnil explique que, « durant cette période de transition, la poursuite de la navigation comme expression du consentement sera donc considérée par la CNIL comme acceptable ». Soit l’application d'une règle antérieure à l’entrée en vigueur du RGPD.

Ce qui va en outre à l’encontre des lignes directrices du Comité Européen de la Protection des Données, dont la Cnil est co-rédactrice. « Il n’existe aucune possibilité laissée à la CNIL pour repousser jusqu’à juillet 2020 l’application du RGPD » dénonce la Quadrature dans un communiqué. « La décision que la CNIL s’apprête à prendre violerait de plein front le droit européen et justifierait un recours en manquement contre la France par la Commission européenne ».
Open bar sur les cookies jusqu’en juillet 2020

Certes, la Cnil affirme qu’elle « continuera à instruire les plaintes et le cas échéant à contrôler, entre autres, qu’aucun dépôt de cookies n’a lieu avant le recueil du consentement ». Mais cette « période de grâce » courant jusqu’en juillet 2020 implique que le seul fait de faire défiler la page après un bandeau d’information sur le dépôt de cookies vaut consentement de l’internaute (attention donc à vos molettes de souris, un consentement involontaire est si vite arrivé).

L’association assure que cette décision est le résultat de négociations entre la Cnil et le GESTE, syndicat d’éditeurs de contenus en ligne). « Aujourd’hui, la CNIL semble vouloir appliquer un droit différent entre Google et les médias français qui, eux, pourraient se contenter d’un consentement « implicite », violant tranquillement nos libertés fondamentales dans la poursuite de profits publicitaires intolérables » écrit la Quadrature, qui n’exclut pas de former un recours devant le Conseil d’Etat.

L'Inria propose une nouvelle version de sa formation en ligne gratuite à la protection des données personnelles dans le monde numérique.

A une époque où le numérique a envahi tous les pans de notre société, et où les scandales relatifs aux abus sur les données personnelles se multiplient, il est essentiel de bien comprendre l'importance des informations que l'on partage via Internet et, surtout, de savoir les protéger si l'on tient à préserver un tant soit peu sa vie privée. C'est précisément dans ce but que l’Institut national de recherche en informatique et en automatique (Inria) a élaboré l'an dernier un cours en ligne gratuit ouvert à tous (un Mooc, pour Massive Open Online Course). Lancé en février 2018, ce Mooc revient aujourd'hui dans une nouvelle édition avec des mises à jour et de nouveaux modules.

Accessible à tous, sans pré-requis, cette formation s'adresse à tous ceux qui souhaitent comprendre les enjeux de la protection de la vie privée sur Internet et maîtriser les outils numériques sur le plan des données personnelles. Réalisé par des enseignants-chercheurs de l'Inria, il se compose de six modules thématiques aux intitulés clairs, qui couvrent les différents aspects du sujet : Données personnelles et législation ; Protéger ses données et son identité numérique ; Smartphones et vie privée ; Protéger ses emails ; Navigation et traçage sur le Web ; et Consommation et vie privée.

Attention : si le cours est diffusé en vidéo, avec une approche résolument pédagogique, il réclame un véritable investissement personnel. Il faut en effet compter une quinzaine d'heures pour le visionnage complet et environ deux heures de travail par semaine pour en tirer réellement parti. Rien à voir donc avec un simple tuto publié sur YouTube. Mais le jeu en vaut clairement la chandelle car, si les experts n'apprendront sans doute pas grand chose, il permet de prendre conscience des mécanismes mis en place par les acteurs du numérique pour récolter des données personnelles et d'apprendre à contrôler les informations partagées, aussi bien sur ordinateur que sur smartphone, sur le Web, sur les réseaux sociaux et dans des applications. Et si le rythme est libre, il convient de ne pas trop traîner pour suivre cette formation ô combien utile, le cours n'étant en ligne que jusqu'au 30 juillet 2019.

Si le RGPD est entré en application récemment, en plaçant l’Europe à l’avant-garde de la protection des données à caractère personnel, il ne doit pas nous dissuader de nous interroger en profondeur sur la question des identités, dont les contours se sont redéfinis à l’ère numérique. Il s’agit bel et bien de porter une réflexion critique sur des enjeux éthiques et philosophiques majeurs, au-delà de la seule question de la protection des informations personnelles et de la privacy.

Les politiques actuelles sur la protection des données mettent l’accent sur les droits de la personne. Mais elles ne prennent pas la mesure de la manière dont l’exercice de notre libre arbitre se voit de plus en plus empêché au sein d’environnements technologiques complexes, et encore moins des effets de la métamorphose numérique sur les processus de subjectivation, le devenir-soi de l’individu. On considère le plus souvent, dans ces textes, un sujet déjà constitué, capable d’exercer ses droits, sa propre volonté et ses principes. Or, le propre des technologies numériques – telle est la thèse ici défendue – est de participer à la formation des subjectivités selon un mode nouveau : en redistribuant sans cesse le jeu des contraintes et des incitations, elles créent les conditions d’une plus grande malléabilité des individus. Nous détaillons ces processus dans notre ouvrage Les identités numériques en tension.

Si les moyens mis en place par le RGPD sont clairement nécessaires pour soutenir l’initiative et l’autonomie de l’individu dans la gestion de sa vie numérique, il faut cependant souligner que les notions mêmes de consentement et de contrôle par l’utilisateur vis-à-vis de ses données, et sur lesquels le mouvement actuel repose, restent problématiques. Et cela parce que deux logiques, distinctes mais concordantes, sont aujourd’hui à l’œuvre.

Nouvelle visibilité des individus

Si une certaine sensibilité des utilisateurs aux traces laissées volontairement ou involontairement au cours de leurs activités en ligne, et dont il peut avoir connaissance (comme, par exemple, des métadonnées de connexion), semble s’accroître, et peut servir de support à l’approche basée sur le consentement, cette dynamique rencontre assez vite ses limites.

Tout d’abord, la multiplication des informations récoltées rend irréaliste l’exercice systématique du consentement et le contrôle par l’utilisateur, ne serait-ce qu’en raison de la surcharge cognitive que cet exercice effectif exigerait de sa part. Ensuite, le changement de nature des moyens techniques de collecte, exemplifiée par l’avènement des objets connectés, conduit à la démultiplication des capteurs qui collectent les données sans même que l’utilisateur puisse s’en rendre compte, comme le montre l’exemple, de moins en moins hypothétique, de la vidéo-surveillance couplée à la reconnaissance faciale et, plus amplement, le cas de toutes les connaissances que les opérateurs acquièrent sur la base de ces données. Il s’agit ici d’une couche de l’identité numérique dont le contenu et de nombreuses exploitations possibles sont absolument inconnus de la personne qui en est la source.

Qui plus est, une forte tendance des acteurs, étatiques et privés, consiste à vouloir décrire l’individu de manière exhaustive et totale, en créant le risque de le réduire à un ensemble de plus en plus complet d’attributs. Dans ce nouveau régime de pouvoir, le visible se réduit à ce qui peut être saisi en données, à ce qui relève de la mise à disposition immédiate des êtres, comme s’il s’agissait en fin de compte de simples objets.

Les ambiguïtés du contrôle

La deuxième logique à l’œuvre dans nos sociétés hypermodernes touche à l’inscription de ce paradigme basé sur la protection et le consentement dans les mécanismes de la société néolibérale. La société contemporaine conjugue en effet deux aspects en matière de privacy : il s’agit de considérer l’individu comme étant visible de manière permanente, et comme étant responsable individuellement pour ce qui est vu de lui. Un tel ensemble de normes sociales se consolide à chaque fois que l’utilisateur exerce le consentement – ou l’opposition – à l’utilisation de ses données. En effet, à chaque itération, l’utilisateur renforce sa compréhension de soi-même comme l’auteur et le responsable de la circulation des données. Il endosse aussi l’injonction à la maîtrise des données alors même que cette dernière est le plus souvent illusoire. Surtout, il endosse l’injonction à calculer les bénéfices que le partage des informations peut lui apporter. En ce sens, l’application stricte et croissante du paradigme de consentement peut être considérée comme étant corrélative d’une conception de l’individu qui devient non seulement l’objet d’une visibilité quasi-totale, mais aussi – et surtout – un agent économique rationnel, à même d’analyser son agir en termes de coûts et de bénéfices.

Cette difficulté fondamentale fait que les enjeux futurs des identités numériques ne se réduisent pas à donner plus de contrôle explicite, ou plus de consentement éclairé. Il convient bel et bien de trouver d’autres voies complémentaires, qui se situent sans doute du côté des pratiques (et non simplement des « usages ») des utilisateurs, à condition que de telles pratiques mettent en place des stratégies de résistance pour contourner l’impératif de visibilité absolue et de définition de l’individu comme agent économique rationnel.

De telles pratiques digitales doivent en outre nous inciter à dépasser la compréhension de l’échange social – numérique ou non – sous le régime du calcul des bénéfices que l’on en retire ou des externalités. Ainsi, les enjeux soulevés par les identités numériques dépassent largement les enjeux de protection de l’individu ou les enjeux des « modèles d’affaires », et touchent à la manière même dont la société dans son ensemble conçoit la signification de l’échange social. Dans un tel horizon, il est primordial d’affronter les ambivalences et les jeux de tension qui sont intrinsèques aux technologies numériques, en examinant les nouveaux modes de subjectivation qui sont induits dans ces opérations. C’est à partir d’un tel exercice de discernement que pourra advenir un mode de gouvernance des données plus responsable.

« S’agissant de notre profil numérique, les données que nous choisissons de partager ne sont que la pointe de l’iceberg. Nous ne voyons pas le reste, cachés sous la surface des interfaces conviviales des applications mobiles et des services en ligne. Les données les plus précieuses sur nous sont inférées hors de notre contrôle et sans notre consentement. Or, ce sont ces couches plus profondes et que nous ne pouvons pas contrôler qui prennent réellement les décisions qui nous affectent, pas nous », explique Katarzyna Szymielewicz (@szymielewicz), cofondatrice et présidente de la Fondation Panoptykon, une association polonaise de défense des libertés individuelles et des droits de l’homme dans la société de surveillance (qu’on pourrait considérer comme l’équivalent de la Quadrature du Net en France) – dans une tribune pour Quartz.

Dans un graphique particulièrement parlant (à consulter en haute définition), la Fondation Panoptykon détaille les 3 couches d’information qui composent nos identités en ligne.

La première couche d’information est la seule sur laquelle nous avons le contrôle. Elle se compose des données que nous insérons dans les médias sociaux ou les applications (informations de profil, publications, requêtes, photos, événements, déplacements…).

La seconde couche est constituée d’observations comportementales et de métadonnées qui donnent un contexte à ces choix : position en temps réel, graphe de nos relations intimes et professionnelles, le temps que nous passons, les habitudes d’achat, les mouvements de nos souris ou de nos doigts…

La troisième couche est composée des interprétations de la première et de la seconde couche. Nos données sont analysées et comparées en permanence à d’autres profils pour inférer des corrélations statistiques significatives… Ce qu’on appelle souvent la personnalisation, mais qui vise plus à nous catégoriser qu’à nous distinguer.

Le problème est que si l’utilisateur contrôle la première couche, ce n’est pas le cas des deux autres. Or ces inférences permettent de déterminer beaucoup de nos comportements : profil psychométrique, QI, situation familiale, maladies, obsessions, engagements… Or, nombre de décisions contraignantes sont prises depuis ces interprétations et corrélations. Le problème est que le « double » numérique que le traitement de ces données produit ne nous est pas accessible… et que si nous y avions accès, nous pourrions ne pas nous y reconnaître. « Que diriez-vous si vous découvriez que votre « double de données » est malade ou émotionnellement instable, sans possibilité de crédit, ou plus simplement pas assez cool, et tout cela à cause de la façon dont vous faites vos requêtes en ligne ou de vos relations en ligne ? »

Les algorithmes prennent des décisions basées sur des corrélations statistiques. Et il est possible – même fréquent – qu’un algorithme interprète mal votre comportement… Le problème, souligne Katarzyna Szymielewicz est que si le résultat de cette analyse est discriminatoire ou injuste – « par exemple que votre demande de crédit est refusée parce que vous vivez dans le « mauvais » quartier, ou que votre demande d’emploi ne parvient pas à aboutir parce que votre réseau de relation n’est pas « suffisamment robuste » » – il n’y a aucune incitation du marché à le corriger. Pour la présidente de Panoptykon, nous ne sommes pas si loin du Score de crédit social chinois ! Nous devons reprendre le contrôle du traitement dont nous sommes l’objet.

Pour cela, il nous faut d’abord mieux contrôler la première couche de notre profil. Nous pouvons chiffrer nos communications, désactiver les métadonnées de nos images, veiller à ce que nos téléphones n’aient pas accès par défaut à nos emplacements, réfléchir à ce que nous partageons… Mais même en faisant ces efforts, nous ne pouvons pas contrôler ce qui est observé et interprété par les algorithmes dans les deuxièmes et troisièmes couches de nos profils. Pour Katarzyna Szymielewicz, il nous faut agir collectivement pour convaincre ceux qui font du profilage de modifier leur approche, de nous montrer leurs calculs, de nous demander notre consentement et de le respecter. Le RGPD accorde aux utilisateurs le droit de vérifier leurs données, y compris les profils marketing générés par-devers eux. « Tant que nous traitons les courtiers en données et les spécialistes du marketing comme des ennemis et qu’ils nous traitent comme une ressource exploitation, il n’y aura pas de place pour une conversation constructive ».

La loi Informatique et Libertés et son décret d’application ont été modifiés afin de mettre en conformité le droit national avec le cadre juridique européen. Ces textes permettent la mise en œuvre concrète du Règlement général sur la protection des données (RGPD) et de la Directive « police-justice », applicable aux fichiers de la sphère pénale. La lisibilité du cadre juridique national sera améliorée par une ordonnance qui sera prise dans un délai de six mois.

La nouvelle loi Informatique et Libertés permet l’application effective des textes européens, qui représentent un progrès majeur pour la protection des données personnelles des citoyens et la sécurité juridique des acteurs économiques.

Elle dote notamment la CNIL des pouvoirs nécessaires à l’exercice de ses missions, dans un contexte marqué par la reconnaissance de nouveaux droits aux citoyens et le renforcement de la responsabilité des opérateurs.

Elle organise l’articulation nécessaire des procédures internes de la CNIL aux nouveaux mécanismes de coopération européenne.

Elle exerce certaines des « marges de manœuvre nationales » autorisées par le RGPD, transpose en droit français la Directive « police-justice » et modifie certaines de ses dispositions pour les rapprocher de la lettre du RGPD.

La bonne compréhension du cadre juridique suppose de combiner désormais les deux niveaux, européen et national. Le RGPD s’applique directement en droit français : il remplace sur de nombreux points (droits des personnes, bases légales des traitements, mesures de sécurité à mettre en œuvre, transferts, etc.) la loi nationale. Sur d’autres points (les « marges de manœuvre nationales »), la loi Informatique et Libertés reste en vigueur et vient compléter le RGPD : il s’agit par exemple du traitement des données de santé ou des données d’infraction, de la fixation à 15 ans du seuil d’âge du consentement des mineurs aux services en ligne, des dispositions relatives à la mort numérique, etc. Enfin, la loi nationale reste pleinement applicable pour tous les fichiers « répressifs », qu’il s’agisse de la sphère pénale ou du domaine du renseignement et de la sûreté de l’Etat. De nombreuses dispositions spéciales sont prévues en ces matières.

Une ordonnance de réécriture complète de la loi Informatique et Libertés est prévue, dans un délai de six mois, notamment afin de résoudre ces difficultés de lisibilité de ce cadre juridique composite. Dans l’attente, il convient de prêter une attention particulière au cadre juridique applicable à chaque traitement.

Le droit national a également été complété par un nouveau décret d’application de la loi Informatique et Libertés, qui achève la mise en conformité du droit national au cadre juridique européen. Ce décret, sur lequel la CNIL a rendu un avis le 21 juin 2018, a été publié le 3 août 2018. Il fixe plus précisément les délais et procédures applicables aux différentes missions de la CNIL et précise certaines dispositions de la loi.

Au-delà de l'usage de l'application Google Maps, le service de Google alimente un écosystème habitué de longue date à une quasi-gratuité. Aujourd'hui, Google change les règles.

Mise à jour du 16 juillet 2018 : la mise à jour tarifaire de Google Maps est entrée en vigueur après quelques semaines de retard. Les développeurs qui utilisent la Google Maps Platform ont pu recevoir un courriel.

Cela signifie en pratique que des sites pourraient voir leur utilisation de Google Maps invalidée par Google (s’ils n’ont tout simplement pas accepté les nouvelles CGU) — cela concernera les pages jamais mises à jour. Les gros utilisateurs qui ont bien compris l’augmentation tarifaire qui les attend devront s’y tenir… ou changer rapidement de plateforme. Une source qui a préféré rester anonyme nous indique que des délais ont pu être accordés à des professionnels qui n’auraient pas eu le temps de plancher sur le sujet.

Demain, les sites web avec des modules de cartographie non fonctionnels devraient commencer à apparaître.

Article original du 9 mai 2018 : On en a lu beaucoup, des chaînes d’e-mail ou de publications sur les réseaux sociaux qui disaient que tel ou tel service allait devenir payant. Alors quand cela arrive véritablement, on a un peu de mal à y croire. C’est pourtant ce que les utilisateurs professionnels de Google Maps ont découvert début mai 2018. Coupons court à toute polémique : l’application que vous utilisez sur votre smartphone nommée Maps ou la version web de Google Maps ne devient pas payante. C’est l’utilisation par les entreprises du service de Google qui va être monétisé… ce qui crée un vent de panique, plutôt justifié.

Mais de quoi est-il question ? Grosso modo, d’une nouvelle tarification qui entre en vigueur le 16 juillet 2018 — initialement le 11 juin, Google a pris du retard — et dont les détails peuvent être consultés sur cette page. Avant cela, Google laissait les entreprises utiliser Google Maps de manière assez libre, les seuils de vues qui déclenchaient une tarification n’arrivant qu’assez tard. Une carte dynamique pouvait s’afficher 25 000 fois par jour sur un site sans que l’entreprise qui l’a affichée ne débourse un centime. Les nouveaux tarifs sont radicalement différents : la même carte dynamique est gratuite pour 28 000 affichages… par mois. La tarification se fait ensuite au pack de 1 000 vues supplémentaires et est dégressive une fois un certain palier atteint.

D’après Fabien Nicollet, développeur spécialisé sur les applications professionnelles cartographie pour Business Geografic contacté par Numerama, les gros utilisateurs de Google Maps ne risquent rien : ils paient déjà Google pour une utilisation massive de données de géolocalisation.

On fait allusion ici aux sites de réservation touristique ou de cartographie GPS personnalisée, faisant autant d’appels à Google Maps qu’ils ont de visiteurs. Mais l’interface de programmation (API) de Google Maps n’est pas utilisée que par des mastodontes du web : startups, développeurs indépendants et TPE-PME utilisent aussi ces outils — c’est d’ailleurs l’une des API les plus utilisées au monde.

Un changement brutal

Pour ces entreprises qui dépassent les quotas gratuits, les choses vont changer du jour au lendemain : elles vont devoir payer, parfois cher, pour un service qui a longtemps été mis à disposition gratuitement. Les usages qui entrent dans le quota gratuit ne paieront rien, mais les utilisateurs devront tout de même renseigner leur carte bancaire pour continuer à utiliser Maps. « On parle de toutes les utilisations de l’API Google Maps, soit des centaines de milliers, voire des millions de pages internet, poursuit Fabien Nicollet. Pour ces entreprises, si elles n’ont pas renseigné de carte bancaire dans leur Google Console, c’est rideau. On ne sait pas encore sous quelle forme apparaîtront les cartes, mais a priori, cela ne fonctionnera plus. »

Le risque est de se retrouver avec un site qui affiche un message d’erreur à la place d’une carte. Et ce risque concerne tous les utilisateurs, du petit restaurant qui n’a qu’une centaine d’affichages par mois et qui ne sera jamais facturé au site du gouvernement qui utilise Google Maps : même les utilisateurs qui resteront dans la tranche gratuite devront renseigner une carte bancaire pour pouvoir continuer à utiliser l’API Google Maps.

Une énorme partie de ces utilisateurs qui ont un usage personnel des API de Google Maps, ne verront donc pas de changement, si ce n’est une mauvaise surprise le jour où ils constateront que le site de leur petite boutique affiche une erreur sur la page « Où nous trouver ». Mais pour toutes les entreprises de taille moyenne dont le cœur de métier est la cartographie, cela ne laisse qu’un mois pour se préparer. Et les options ne sont pas nombreuses : le concurrent ouvert Open Street Maps (OSM) ne propose pas autant de services que Google Maps. « OSM peut être gratuit, mais il ne propose pas ce que Google Maps propose : géocodage, itinéraire, Street View, Google Places, etc. », précise Fabien Nicollet.

Pour Christian Quest, ingénieur qui a consacré une publication Medium au sujet, ces difficultés doivent être converties le plus rapidement possible en opportunités : entre les business qui paient de toute façon leur utilisation de Google Maps et les particuliers ou petits qui ne verront pas de changement, se dresse aujourd’hui un marché sur lequel une concurrence aurait tout intérêt à s’implanter.

Et en effet, toutes ces entreprises pour qui l’abonnement sera devenu trop cher seront à la recherche d’alternatives moins onéreuses pour répondre à des besoins spécifiques que seul Google Maps était capable de proposer.

À bon entendeur.

Le 25 mai 2018, entre en vigueur, le règlement européen sur la protection des données personnelles. Voté par le parlement européen le 14 avril 2016, le règlement n°2016/679 s'applique d'autorité dans l'ensemble des 28 pays de l'Union européenne sans que chaque état n'ait à l'adopter. Les objectifs du règlement sont d'accroître la protection des personnes concernées par le traitement des données personnelles et de responsabiliser les acteurs de ce traitement.
Qu'est-ce que ça nous apporte en tant qu'individus ? Et en quoi devrait-il s'appliquer à nos petits sites amateurs ou associatifs ?
Que faut-il faire ? ce n'est pas encore bien clairement expliqué, mais il n'y a plus trop de temps maintenant.

Les principes clés du RGPD selon la synthèse de Wikipedia :

• cadre légal harmonisé au sein de l'UE
• application extra-territoriale aux sociétés extra-européennes dès qu'elles ciblent des résidents européens par le profilage et leur proposent des biens et services
• consentement explicite et positif des citoyens pour reprendre le contrôle de leurs données privées
• droit à l'effacement des données personnelles
• droit à la portabilité des données personnelles (pouvoir les transférer d'un service à un autre)
• profilage : toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant - article 22
• imposer aux organisations la protection des données personnelles dès la conception des produits, services et systèmes et la sécurisation par défaut du système d’information - article 25
• notification en cas de fuite des données
• Majorité numérique fixée à 16 ans par l'UE, mais peut être adaptée selon les pays : en France, c'est à partir de 15 ans qu'un adolescent protège lui-même ses données et pourra, par exemple, s'inscrire sur les réseaux sociaux sans autorisation parentale.

Des réactions au RGPD notamment à l'étranger

Google, Microsoft et les autres, mettent à jour leurs conditions générales d'utilisation et en profitent pour nous extorquer des acceptations exprès et détaillées pour un paquet d'utilisations de nos données dont on ne soupçonnait même pas l'existence. Avec chaque fois, comme pour la mise à jour de Windows la semaine passée, un bel argumentaire plus marketing que juridique pour détailler tout ce qu'on loupe en refusant, le tout relevant parfois du chantage : tu acceptes expressément ou ton compte est supprimé. "Voulez-vous vraiment les refuser? Vous ne serez plus en mesure d'utiliser le site web et les applications pour tablettes ou mobiles d'Airbnb si vous refusez les conditions actualisées." Voilà pour le consentement libre et éclairé. Notons que fin avril-début mai, Google a supprimé son slogan de 18 ans "Don't be evil" (ne soyez pas maléfique) du code de conduite distribué aux employés. Tirez-en les conclusions que vous voulez.

Selon Le Hollandais Volant , "Ça y est : des dizaines de sites bloquent les utilisateurs européens car l'UE veut protéger nos données mais les sites refusent de se bouger pour nous."
C'est la première conséquence de la future applicabilité du règlement européen sur la protection des données personnelles : le bannissement des internautes Européens. Le même effet qu'une censure.
Il y en a même qui en font du business pour aider les sociétés à bannir les internautes européens. L'article qualifie d'infâme le RGPD.
Certaines entreprises se détourneraient déjà du marché européen. https://www.bleepingcomputer.com/news/security/new-service-blocks-eu-users-so-companies-can-save-thousands-on-gdpr-compliance/

Et pendant ce temps, le 23 mars dernier, le congrès américain a voté en procédure accélérée le Cloud Act qui renforce l'ingérence des autorités américaines sur les opérateurs de cloud américains et s'oppose donc frontalement au RGPD qui interdit dans son article 48 les transferts ou divulgations de données hors de l'UE. Le Cloud Act :

• peut contraindre les entreprises américaines à divulguer des informations personnelles sur leurs utilisateurs dans le cadre d'enquêtes, même lorsqu'elles ne sont pas stockées sur le territoire américain
• permet à l'exécutif américain de négocier avec d'autres gouvernements des accords bilatéraux pour des échanges d'informations, sans recourir au juge pour faire valider les demandes.
  Source Les Échos

Sommes nous concernés pour nos sites web?

Rappelons l'article 25 du RGPD : imposer aux organisations la protection des données personnelles dès la conception des produits, services et systèmes et la sécurisation par défaut du système d’information, c'est là où les webmestres utilisateurs de CMS demandent des adaptations aux codeurs. Pour les CMS que j'utilise, ça carbure un peu et les webmestres utilisateurs européens sont plus exigeants que les autres, demandant un pack de conformité au RGPD prêt à installer. Mais les codeurs du monde du logiciel libre ne disposent pas de l'armada de juristes des acteurs commerciaux du secteur et tardent à fournir une solution complète.

Quelle solution, d'ailleurs ? Nous ne collectons pas grand chose : il y a bien la pose des cookies pour le bon fonctionnement, la collecte de quelques infos au moment de l'inscription membre ou info-lettre.

Sûr qu'en cas d'utilisation de services externes (partage, cartes, pub, stats de visites ...) ça pose aussi des cookies et ça collecte des données et dès le 25 mai, ce sera au webmestre de demander le consentement (pour les cookies et l'utilisation des données perso) aux visiteurs pour chacun des services externes présents sur le site. Ça va refroidir un peu ceux qui ont l'habitude de parsemer leur site d'icônes de partage social, de cartes Google, de pubs Adsense et même de vidéos YouTube.

Donc, j'ai bien cherché, lu et relu sur le RGPD, puis digéré les commentaires, y compris l'intégralité de ce qu'en dit la CNIL. Et la somme de tout cela, c'est RIEN. Du moins pour les sites web de particuliers.

De tout ce fatras de littérature sur le sujet, il transparaît que ce règlement européen ne s'applique qu'aux professionnels et aux grosses associations. Et comme la CNIL en France, telle ses équivalents dans les autres pays de l'UE, est dessaisie de toutes ses attributions, que les déclarations de sites web sont supprimées, il ne resterait comme obligation pour les sites web non professionnels que la gestion des cookies, pour se mettre en conformité avec la législation. Mais ça ne concerne pas le RGPD. Et encore, si ces cookies ne servent qu'à assurer le bon fonctionnement du service fourni par le site, il n'y a pas de consentement à obtenir, juste une information que des cookies sont installés sur l'appareil de l'internaute et qu'il peut les détruire comme indiqué dans le mode d'emploi de son navigateur. En matière de cookie, l'enregistrement d'un consentement ne concernerait que des sites qui utilisent les infos collectées à des fins de marketing ou de profilage.

Pour le site de généalogie, j'ai ajouté dans le footer que si une personne trouve son nom sur le site, elle peut demander à ce qu'il soit effacé par le formulaire de contact. Mais l'obligation existait bien avant le RGPD.

Selon le RGPD, le listage des logs fait l'objet d'une exception au consentement exprès, du moment que cette collecte est réalisée pour des raisons de sécurité et dans une optique d'identification en cas de pratiques illégales de certains internautes. Toutefois, il convient :

• d'informer les visiteurs de cette pratique
• de détruire les logs au-delà d'une durée raisonnable (1 an maximum, il me semble)
• de veiller à ce que les logs ne soient pas publiquement accessibles. (c'est le problème actuel avec mes sites de généalogie, et en attendant une solution, j'ai configuré la collecte à zéro enregistrement et vidé les fichiers de logs)

Sur le site de la CNIL, dont la seule fonction désormais semble être l'assistance à la mise en application du RGPD, il n'existe que 2 catégories de public :

• les professionnels qui doivent s'équiper de tout une panoplie d'obligations (registre, études d'impact des traitements, délégué ...) pour démontrer qu'ils ne sont pas les horribles profiteurs qui pillent nos données persos pour se faire un max de blé sur notre dos.
• les particuliers qui sont par nature des exploités qu'il convient d'aider à se révolter pour défendre les pauvres droits qui leur restent.

Entre les deux, il n'y a personne. Les petit sites de particuliers ou d'association n'existent pas.

Le responsable des sites d'un ministère rejoint mon analyse quand je l'interroge sur les implications du RGPD sur notre site d'association :

"Tout ce que vous risqueriez, dans le pire des cas, c'est un rappel à l'ordre de la part de la CNIL, qui vous expliquerait alors où vous pêchez. Et encore, il faudrait au préalable qu'une plainte soit déposée par un membre du site."

Ce qui importe :

• ne jamais stocker les mots de passe des comptes des utilisateurs en clair dans les bases de données
• tenir précisément la liste des contacts pour lesquels vous stockeriez des données personnelles de façon à pouvoir les alerter en cas d'attaque réussie ou d'exfiltration illégitime de leurs données.
• pour les newsletters, faire une campagne annuelle auprès de tous les destinataires pour leur demander de confirmer leur intention de recevoir la newsletter. Dans le cas de notre association, il s'agit surtout des mails d'information. Car pour le bulletin, leur adhésion vaut consentement (le préciser dans le formulaire d'abonnement et/ou de paiement)"

Mais comme nous le martèle Rick Falkvinge, militant des libertés numériques et fondateur du Parti Pirate suédois : La vie privée demeure de votre responsabilité. Depuis janvier, Framasoft traduit sur son blog les 21 billets de sa réflexion : 21 degrés de liberté. "Dans une série de 21 articles sur ce blog nous examinerons comment le droit à la vie privée, une liberté fondamentale, a complètement disparu quand on est passé à l’ère numérique. Sa dégradation n’est rien moins que catastrophique. Nous aborderons toute une série de domaines dans lesquels la vie privée a tout simplement disparu avec la transition vers le numérique, et où cela nous mène. Pour chacune de ces thématiques, nous examinerons la position des différentes juridictions et les tendances qui se dessinent. La motivation principale est claire — il n’est absolument pas déraisonnable de penser que nos enfants devraient avoir au moins les mêmes libertés fondamentales individuelles que celles dont jouissaient nos parents, et aujourd’hui ce n’est pas le cas. Pas du tout."

Voir là : https://framablog.org/2018/01/15/21-degres-de-liberte-01/

à lire aussi : Les textes officiels sur le site de la CNIL
Source(s) : Wikipedia, Le Hollandais Volant, BleepingComputer, Les Echos

Juridique : Le bureau d’enregistrement a annoncé que les données personnelles contenues dans son registre WHOIS seraient dorénavant privées par défaut, en conformité avec le RGPD. Une tendance de plus en plus suivie parmi les bureaux d’enregistrement européens, malgré les efforts de l’Icann pour inverser la tendance.
Louis Adam

Par Louis Adam | Mercredi 11 Juillet 2018
Suivre @zdnetfr

Dans un communiqué publié hier, le bureau d’enregistrement de nom de domaine Gandi a annoncé un changement sur la façon dont sont gérées les données accessibles via le service WHOIS, qui permet de se renseigner sur le propriétaire d’un nom de domaine. Les données personnelles mises à disposition au travers du service ne seront dorénavant plus consultables publiquement par défaut : il faudra que le titulaire du nom de domaine change un paramètre pour rendre les données en question accessible à tous.

C’est un changement qui pourrait paraître anodin au premier abord : le RGPD, entré en vigueur au mois de mai 2018, renforce en effet la protection des données personnelles des citoyens européens. Le service WHOIS, dont les données sont à l’origine publiques par défaut, exposait ainsi plusieurs noms, numéros et adresse email d’internautes qui étaient alors accessibles à n’importe qui, sauf si l’utilisateur acceptait de payer pour un service protégeant l’accès à ces données.

A lire, notre dossier : RGPD : tout pour être prêt<<<

Avec le RGPD, les bureaux d’enregistrement européens préfèrent donc inverser la tendance et proposer des données protégées par défaut, assortis d’une option pour les rendre éventuellement accessibles au public.

Gandi n’est pas le seul à avoir sauté le pas : OVH a ainsi récemment annoncé avoir mis en place une politique similaire de son côté. Mais l’Icann, la société chargée de veiller et d’organiser l’attribution des noms de domaines sur le réseau, voit cette évolution d’un très mauvais œil.
Une polémique qui traine en longueur

L’Icann est en effet vent debout face à ces initiatives et n’est pas seule dans son combat : aux États Unis, nombre de chercheurs en sécurité se sont élevés contre cet effet du RGPD, qui vient limiter leur accès aux données contenues dans le registre WHOIS. Pour les autorités américaines, la crainte d’un service WHOIS « fragmenté » est réelle : ces données étaient en effet fréquemment utilisées dans le cadre d’enquête et la question de savoir qui aura accès aux informations contenues dans les registres anonymisés reste encore à débattre.

L’Icann avait d’ailleurs intenté une action en justice à l’égard d’un registrar allemand qui avait choisi d’arrêter de collecter les données administratives et personnelles de ses clients afin de se mettre en conformité avec l’article 5 du RGPD, qui encadre le traitement des données personnelles. Le recours déposé par l’Icann devant les tribunaux allemands s’est néanmoins heurté à un mur.

La cour régionale de Bronn a ainsi débouté l’Icann de son action, en jugeant que l’entreprise américaine n’avait pas su présenter des arguments convaincants pour plaider sa cause, comme le rapporte The National Law Review. L’Icann a fait appel de cette décision.