Big Data & vie privée: quand Twitter permet d'identifier les dépressifs

Samaritain, l'A.I. à la Meilleur des mondes de la série TV People of Interest, ça vous rappelle quelque chose? L'an dernier, une firme a créé un mini-Samaritain pour détecter les personnes à tendance suicidaire sur Twitter... Ou les dangers du Big Data.

Le numéro spécial de Science sur l'intelligence artificielle contient un article intéressant, intitulé "Data, privacy, and the greater good" (17 juillet 2015, vol. 349, n°6245, p.253-255).

Les auteurs, E. Horvitz et D. Mulligan, adressent la question des menaces pesant sur la vie privée au vu de l'analyse automatisée du Big Data et des procédés de machine-learning, qui permettent de tirer des inférences potentiellement indiscrètes à partir de données privées rendues publiques (i.e. pages Facebook, fils Twitter, etc.), lesquelles elles ne révèlent a priori rien de sensibles. Seul la coordination des données constitue en effet le caractère sensible de l'information obtenue. Ils insistent à bon droit sur la non-opérativité du concept de "données anonymes" (fortement présent dans la législation) puisqu'il est désormais possible, dans de nombreux cas, de ré-identifier ces données.

Quelques exemples édifiants - qui soulignent, contre d'innombrables tribunes récentes dans les médias, que la santé n'est pas nécessairement un argument de choc pour le partage des données... 

En 2014, une application britannique opérant sur Twitter, nommée Good Samaritan (après la série People of Interest?), affirmait pouvoir détecter, en analysant les fils de discussion, les personnes sujettes à d'éventuels comportements suicidaires. En à peine une semaine, 3 000 personnes s'étaient inscrites à l'application, identifiant les tweets jugés dépressifs de 900 000 comptes! Bien que l'entreprise niait être le gestionnaire des données (data controller, un détail crucial eu égard au droit de la vie privée), elle ferma le service aussitôt, suite à l'émotion soulevée (voir la pétition Shut Down Samaritan Alert). Quoique cette firme n'avait évidemment comme seul but le bienfait de l'humanité, ses détracteurs soulignaient que l'appli pouvait être utilisée par d'éventuelles personnes mal-intentionnées afin de traquer les tweeters fragiles (les dits stalkers). 

Sans tomber sur des psychopathes, on frémit à l'idée de patrons s'abonnant aux comptes tweeters de leurs employés... à des amis ou proches s'intéressant un peu trop à vos états d'âmes... ou à Google estimant votre taux de bonheur en fonction de votre localisation GPS et de l'usage de vos applis sur téléphone. Il est vrai que ce taux est un critère indéniable du bien-être, et doit être pris en compte par toute conception un tant soit peu large de la santé. N'est-ce pas?

Outre Samaritan, des chercheurs de Palo Alto, toujours à la pointe du progrès, ont soutenu qu'on pouvait utiliser Facebook pour détecter les "dépressions post-partum" (1). Cela permettrait sans doute un grand bénéfice pour l'humanité, par exemple en permettant d'envoyer des opérateurs agréés pour vous contraindre à un traitement thérapeutique voire préventif (et oui, il faut être pro-actif!), ou du moins à faire du sport. Ou encore en permettant à un employeur potentiel de mettre en balance ce CV excellent avec ce signe non moins certain d'une moindre productivité. Gagnant-gagnant?

L'article contient également quelques indications sur les rapports de l'administration Obama sur ce sujet.

Notes et références: 

(1) M. De Choudhury, S. Counts, E. Horvitz, A. Hoff, Characterizing and predicting postpartum depression from Facebook data, in Proceedings of International Conference on Weblogs and Social Media [Association for the Advancement of Artificial Intelligence (AAAI), Palo Alto, CA, 2014]

 A lire: Horvitz et Mulligan, Science magazine, 17 juillet 2015, 349 (6245): 253-255, http://www.sciencemag.org 

Voir aussi : "Nos tweets peuvent-ils prédire une attaque cardiaque?", Internet Actu , 6 mai 2015, et le site du psychologue (un doctorant bien loti!) en question : http://www.jeichstaedt.com

Et pour l'anecdote, le premier psychothérapeute robotisé de l'histoire: http://psych.fullerton.edu/mbirnbaum/psych101/Eliza.htm  

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Google hors-la-loi, selon l'enquête du G29

Too big to regulate? Le cas Google, épinglé par la CNIL et ses homologues européens, pose in fine la question non pas seulement de la régulation de la firme, mais de la capacité de telles autorités de protection des données personnelles à assurer leur mission.

D'une part, le modèle économique de Google lui-même semble réfractaire aux principes du droit des données personnelles. D'autre part, peut-on se contenter, en de telles matières, d'une co-régulation et de procédures de recommandations émanant de la CNIL et consorts ? Ne faut-il pas sanctionner, plutôt que simplement encourager ?

L'enquête du G29 sur les règles de confidentialité de Google

Google, qui « a en Europe une part de marché d'environ 90 % sur les moteurs de recherche et d'environ 50 % sur les systèmes d’exploitation de smartphones », vient de se faire taper sur les doigts par l'ensemble des CNIL européennes, comme l'annonce le site de la Commission nationale Informatique et Libertés (site peu "user friendly" au demeurant, avec des changements d'URL, des liens morts, et un archivage peu lisible, en particulier pour les documents du dossier /fileadmin/...).

La CNIL a en effet été chargée par le G29, qui réunit les autorités de protection des données personnelles de l'UE, de l'enquête sur les Règles de confidentialité adoptées par le moteur de recherche et refondues en mars 2012 afin d'être les mêmes pour tous les services de la firme. Avertissement repris par l'Asia Pacific Privacy Authorities...

Combiner n'importe quelle donnée, de n'importe quel service, pour n'importe quelle finalité... 

La lettre du G29 explique le mieux la situation :

En second lieu, l'enquête a confirmé nos inquiétudes [our concerns] concernant la combinaison des données entre les différents services [gérés par Google]. La nouvelle politique de protection des données personnelles (Privacy Policy) permet à Google de combiner presque n'importe quelle donnée de n'importe quel service pour n'importe quelle finalité [The new Privacy Policy allows Google to combine almost any data from any services for any purposes.].

En bref, l'ampleur prise par ce qui n'était, à l'origine, qu'un moteur de recherche, mais dont les activités se démultiplient, suscitant aux Etats-Unis l'intérêt de la Federal Trade Commission (FTC) chargée de la réglementation anti-trust (Washington Post, 15/10/12), constitue une réelle menace sur notre vie privée ; à titre d'exemple sur ce que le data-mining permet, cf. VISA prédit les divorces, Vos Papiers!, 15/04/10.

Ainsi, Google s'affranchit allègrement des principes les plus élémentaires de la législation Informatique et libertés, tel que codifiés, notamment, par la directive 95/46/CE sur la protection des données personnelles. La CNIL rappelle ainsi que « la combinaison de données entre services doit respecter les principes de la proportionnalité, de limitation des finalités, de minimisation de données et du droit d’opposition. Google ne souscrit pas publiquement à ces principes » (ici et au long du texte, il s'agit de la CNIL mandatée par le G29 qui parle). 

Des données multiples, de l'historique de navigation aux données biométriques ...

Ces données sont multiples: il s'agit tant de données de connexion et de navigation, que de données personnelles, telles les adresses IP, la localisation géographique, le numéro de téléphone, le numéro de carte crédit, ainsi que les données biométriques, en particulier celles liées à la reconnaissance automatisée du visage (il s'agit de la fonction 'Find My Face', comme ne le précise pas la CNIL), qui n'est « pas mentionnée dans les Règles actuelles » de confidentialité (CNIL, ibid).

... à des fins diverses, de la fourniture de services à la publicité ciblée jusqu'à la recherche universitaire.

A quoi servent ces données? Ceci n'est pas expliqué par Google, contrairement aux principes d'information, sans parler du respect de la proportionnalité quant à la finalité poursuivie. Or, l'un des problèmes majeurs concerne ce mélange des genres : Google s'est fait une spécialité d'accumulation de données brutes, pouvant être utilisées voire vendues ensuite, sans trop savoir à quels usages. En bref, son modèle économique repose sur cette accumulation de données : aux utilisateurs-clients qui voudront y accéder d'y trouver une utilité, et si celle-ci est répréhensible, Google s'en lave les mains...

Ainsi, selon la CNIL:

Le Groupe de l’Article 29 a identifié huit différentes finalités pour la combinaison de données entre les services de Google :

- La fourniture de services où l'utilisateur demande la combinaison des données (cas n° 1) (ex. : Contacts et Gmail)

- La fourniture de services demandés par l'utilisateur, mais où la combinaison des données s'applique sans que l'utilisateur n'en soit directement informé (cas n° 2) (ex. : personnalisation de résultats de recherche)

- Finalité de sécurité (cas n° 3)

- Finalité de développement de produits et d'innovation marketing (cas n° 4)

- La mise à disposition du Compte Google (cas n° 5)

- Finalité de publicité (cas n° 6)

- Finalité d'analyse de fréquentation (cas n° 7)

- Finalité de recherche universitaire (cas n° 8)

 Or, 

Pour quatre des huit finalités susvisées, le Groupe de l’Article 29 a établi l'absence de base légale pour la combinaison de données entre services.

C’est le cas de la fourniture de services où la combinaison des données s'applique sans que l'utilisateur n'en soit directement informé (cas n° 2) et des finalités de développement de produits et d'innovation marketing (cas n° 4), de publicité (cas n° 6) et d'analyse de fréquentation (cas n° 7).

En clair: Google est hors-la-loi. Les principes les plus élémentaires du droit de la protection des données personnelles (principe de proportionnalité, de finalité, d'information, etc.) ne sont pas respectés. La possibilité d'opt-out n'existe pas, a fortiori pour les utilisateurs « secondaires », ou « passifs »,  de Google (« Les utilisateurs passifs, selon la définition figurant dans le questionnaire envoyé le 16 mars, sont des utilisateurs qui ne sollicitent pas directement un service Google, mais dont les données sont malgré tout collectées, généralement par le biais de plateformes publicitaires tierces, d’analyses ou de boutons +1 »). De plus, « Google n'a pas été en mesure de fournir une durée maximale ou habituelle de conservation des données personnelles traitées »....

S'agissant de l'analyse de la fréquentation, lié au service AdWords, la CNIL précise :

En ce qui concerne Google Analytics et la combinaison de données à des fins d'analyse de fréquentation, des mécanismes spécifiques de protection ont été mis en place pour les utilisateurs allemands : la combinaison de données entre services est exclue, un contrat spécifique est signé entre Google et le site web et les clients peuvent automatiquement anonymiser l'adresse IP partagée avec Google. Ces conditions peuvent assurer une protection adéquate des données personnelles et devraient être étendues à tous les États membres européens.

Too big to regulate ? Quand le G29 « encourage » Google à respecter le droit...

Cette indifférence hautaine de Google envers les  principes élémentaires du droit de la protection des données personnelles pose question. Comment, par exemple, la firme peut-elle ne pas être « en mesure de fournir une durée maximale ou habituelle de conservation des données personnelles traitées » ? 

Il ne s'agit pas là, a priori, d'une requête exorbitante. Chaque traitement de données autorisé par la CNIL, ne serait-ce que par la procédure simplifiée, est censé respecter ces principes. Ce qui représente un coût pour les PME (mise en place des correspondants Informatique et libertés, etc.). Or, Google, qui effectue des bénéfices records, aura du mal à nous faire pleurer en mettant en avant le coût du respect du droit.

S'abritant derrière le secret commercial de ses algorithmes, la firme se fonde sur un modèle économique opaque, d'accumulation de données brutes concernant les internautes, qu'elle espère bien pouvoir commercialiser. Quant à la question de l'usage, que ce soit par elle, ou par ses clients, de ces données, elle ne s'y intéresse guère... 

Dès lors, la vraie question est de savoir si on peut se contenter de simple « recommandations » du G29, qui n'ont aucun caractère contraignant, alors même qu'il a constaté l'absence de base légale du fonctionnement de Google. Suffit-il, par exemple, de ce que « le Groupe de l’Article 29 encourage Google à respecter le principe d’une durée de conservation strictement limitée au regard des finalités » ?

Ceci, d'autant plus que, selon la CNIL, « les risques associés à la combinaison de données entre services sont élevés pour les personnes concernées : violation de données, malveillance interne, réquisitions judiciaires, etc. », et qu'on sort donc du champ strict du droit à la vie privée pour entrer dans le champ du droit pénal. Vu l'importance des enjeux, la procédure de « co-régulation » à l'amiable, appelée de ses voeux par le G29, paraît douteuse.  

La CNIL est habilitée à prendre des mesures de sanction : ne serait-ce pas, vu l'étendue des activités illégales (pardon, privées de base légale) de Google, opportun ? La Commission européenne, les Etats-membres, le Parlement européen et les tribunaux ne devraient-ils pas prendre ce sujet à bras-le-corps, en exigeant que tout ceci soit éclairci par Google, et de façon générale par les firmes fonctionnant sur des modèles similaires (Facebook, etc.) ?

Etant donné le modèle économique même sur lequel est fondé Google, il est en effet peu probable que la firme se conforme d'elle-même au droit commun. En fait, le respect des principes élémentaires du droit, notamment des principes de proportionnalité, de finalité, et de durée de conservation, vont à l'encontre même du modèle Google, fondé sur l'exploitation de données brutes à des fins encore indéterminées.

Voir aussi, sur ce site :

Messages labellisés Google, dont, en particulier :

Google et le mot-clé "juif": devant les juges, 10 mai 2012

Google et le droit à l'oubli en Espagne, 8 février 2011

Et Data-mining: VISA prédit les divorces, 15 avril 2010

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Licenciement Facebook : un mur murmure-t-il ?

La récente affaire Facebook du licenciement de salariés pour "faute grave" en raison de la publication de messages jugés offensants vis-à-vis de l'entreprise a suscité un certain émoi.  En rappelant les éléments principaux de l'affaire et certains commentaires, nous nous interrogeons sur une décision de justice qui conduit à transformer un espace de communication restreint, à savoir aux "amis des amis" sur Facebook, en espace public, où la protection au droit à la vie privée ne s'applique plus, permettant ainsi d'étendre l'emprise de l'entreprise sur ses salariés.

De l'impossibilité de dériver d'une insuffisante protection de la vie privée par les moyens techniques l'inexistence d'un droit à la vie privée 

Sur Bugbrother, Jean-Marc Manach publiait, en octobre, un article intitulé Pour en finir avec les licenciements Facebook, où il semblait considérer que les échanges Facebook relevaient de la correspondance privée; une fois venu le jugement condamnant les salariés pour "rébellion envers la hiérarchie", il publie Pour en finir avec la "vie privée" sur Facebook, qui prend la position résolument inverse : sous le prétexte qu'en fait, il n'y aurait pas de "vie privée" sur Facebook, il faudrait refuser d'accorder une protection en droit du caractère privé des échanges sur de tels réseaux sociaux. 

Le juriste ou le logicien n'aura pas de mal à reconnaître dans ce raisonnement le sophisme dit de Hume, parfois appelé "loi de Hume", consistant à induire d'un état de fait un devoir. En d'autres termes, que les hommes se tuent entre eux, on ne peut conclure qu'ils doivent se tuer entre eux. 

Au-delà de la logique défectueuse de ce billet [voir cependant le commentaire de J.-M. Manach ci-dessous], qui a suscité un certain nombre de commentaires critiques (à juste titre), un juriste spécialiste du droit de la communication soutient lui aussi la décision des Prud'hommes... dont on verra si elle sera entérinée par la cour d'appel. Dans un billet au titre quasi-moralisateur, De tes propos sur Facebook tu te méfieras, Eric Barbry affirme en gros que, selon la loi du 30 septembre 1986 relative à la liberté de communication, les "murs Facebook", sur lesquels ont été tenus les propos litigieux, ne sauraient être assimilés à une "correspondance privée". Selon lui:

La correspondance privée n’est pas définie par la loi. Elle s’oppose simplement à la « communication au public par voie électronique » qui est définie à l’article 2 de la loi du 20 septembre 1986 comme « toute mise à disposition du public ou de catégories de public, par un procédé de communication électronique, de signes, de signaux, d’écrits, d’images, de sons ou de messages de toute nature qui n’ont pas le caractère d’une correspondance privée ».

Le fait de « communiquer » avec ses « amis » et plus encore avec les « amis de ces amis » ne saurait être entendu comme autre chose [sic] que la mise à disposition d’une catégorie de public d’écrits » qui ne peuvent par nature [sic] relever de la « correspondance » privée.

Pour autant, tout n’est pas nécessairement « public » sur Facebook et sur les réseaux sociaux en général. Il existe en effet bien d’autres moyens de communiquer sur son « mur » ou sur son « espace partagé ». Tous les services ou presque proposent en effet des services de messagerie qui eux, par principe et sauf s’ils sont utilisés pour un envoi en masse, relèveront de la correspondance privée.

Bref, E. Barbry pense que c'est à juste titre que les prud'hommes ont considéré que communiquer sur un mur Facebook, dont l'accès était ouvert aux "amis des amis", ne saurait se prévaloir du titre de correspondance privée, à l'inverse d'un service de messagerie (donc de toutes les formes d'email, dont on sait également qu'ils peuvent être forwardés à de parfaits inconnus, et ne sont donc pas privés au sens technique, mais seulement juridique, du terme).

C'est en effet le raisonnement tenu par le conseil des prud'hommes, et c'était là le principal problème qu'ils avaient à trancher. En mai, le juriste Vincent Dufief rappelait, dans Licencié à cause de Facebook : ce que (ne) dit (pas) le droit, que:

la jurisprudence a établi les contours de ce qui était privé ou public : en substance, en droit de la presse, les tribunaux jugent que les propos sont publics lorsqu’ils sont adressés à « diverses personnes qui ne sont pas liées entre elles par une communauté d’intérêts » (Cass. Crim 24.01.1995 / Cass.civ. 23.09.1999). Tel est par exemple le cas d’une «lettre ouverte» adressée à certaines personnes, mais pouvant parfaitement être lue par d’autres (car cette lettre n’était pas confidentielle).

Le cercle des "amis des amis" doit-il être protégé par le droit à la vie privée et à la confidentialité des échanges ?

Or, le jugement n'a pas invoqué cette notion d'absence de "communauté d'intérêts", mais a simplement considéré que le droit au respect de la vie privée des salariés n'avait pas été violé parce que "l'usage de Facebook [permet] d'avoir accès à des informations sur la vie privée lues par des personnes auxquelles elles ne sont pas destinées". Rappelons que l'entreprise a eu vent de ces échanges par la copie d'écran du profil Facebook d'un salarié, transmise par un autre salarié, "ami d'ami" sur Facebook.  Le conseil des prud'hommes précise en effet que "ce mode d'accès à Facebook dépasse la sphère privée" et que "par le mode d'accès choisi, cette page était susceptible d'être lue par des personnes extérieures à l'entreprise, nuisant à son image."

Votre vie privée n'est pas protégée dès lors que vous l'exposez à des inconnus, semblent ainsi dire les prud'hommes. On retombe en gros sur le raisonnement de J.-M. Manach. Mais comme le rappelait un collègue d'E. Barbry lors d'une interview au Post, cela soulève la difficulté de compréhension des paramètres Facebook. En bref, on présume que donner accès à son mur à "ses amis et leurs amis" constitue un exhibitionnisme volontaire de sa vie privée. N'étant pas utilisateur de Facebook, il me semble que cela n'est pas une présomption choquante.

Mais on revient à l'impossibilité humienne de conclure, d'un fait, un devoir. La justice trace ici une limite entre espace public et espace privé, considérant que donner accès aux "amis de ses amis" à son profil Facebook constitue, de fait, un abandon du respect au droit à sa vie privée.  Pour E. Barbry, il en va même de la "nature" de ce mode d'accès, qui ne "saurait être considéré" comme une correspondance privée.

On est en droit de se demander: pourquoi? Certes, pour un non-utilisateur de Facebook, il s'agit sans doute d'une forme d'exhibitionnisme. Mais celle-ci reste toutefois limitée dans les cercles d'une communauté, à savoir celle des "amis de ses amis". Il ne s'agit pas, comme ici, d'un blog public. Le droit français vient pourtant d'assimiler purement et simplement les deux.

Pour J.-M. Manach, il a bien fait, car on ne peut pas "espérer pouvoir mener une “vie privée” dès lors que l’on s’exprime devant des dizaines, et plus souvent encore des centaines, d’”amis” qui n’en ont souvent que le nom, et que l’on ne connaît généralement pas vraiment". Dès lors, selon lui, cela ne doit mener à aucune censure, mais à responsabiliser les internautes. On rejoint ici le titre moralisateur du billet d'E. Barbry, "méfiez-vous de vos propos"... Peut-on croire que cette invocation à la responsabilisation ne constituerait pas, elle aussi, une forme de censure?  Dans Oublier le droit à l'oubli, on avait rappelé que :

La responsabilité individuelle, fondement du droit jusqu'à nouvel ordre, n'a aucun rapport avec le fait que tous vos actes et paroles soient accessibles de façon permanente par votre patron, votre ex, vos arrières-petits-enfants ou le militant néonazi s'amusant à répertorier tous les changements de noms de personnes d'origine juive, maghrébine ou arménienne.

Contrairement à ce que prétend Hugo Roy, cité par Manach, publier un écrit n'implique pas, ipso facto, qu'il soit public. Pas, en tout cas, quand il s'agit de publication dans un cercle restreint: sinon, il n'y aurait plus aucun sens à parler de secret des correspondances.  Ni non plus, par exemple, de conserver confidentiel les compte-rendus publiés de certaines délibérations, comme celles du Conseil constitutionnel, ou, pendant longtemps, des débats parlementaires. Il y a toujours eu, en fait comme en droit, des distinctions entre niveaux de publicité des écrits.

Or, le fait que Facebook ait accès aux données que vous publiez n'a rien à voir avec l'accès de votre employeur à ces mêmes données. Il s'agit bien d'un cercle restreint, celui des "amis de vos amis". Rappelons que selon L'Espace public de Habermas, la sphère publique était originellement un espace interne au privé, la "sphère des personnes privées rassemblées en un public", ou l'espace de la libre discussion.  Plutôt que de prendre en compte ce degré intermédiaire entre le journal intime et la lettre ouverte, le Conseil des prud'hommes a tout simplement favorisé l'emprise de la hiérarchie de l'entreprise sur ses salariés. Il n'a pas seulement jugé les propos outranciers: il a aussi considéré qu'il ne saurait y avoir, du moins sur les réseaux sociaux, de discussion publique, à l'intérieur d'un cercle restreint, concernant l'entreprise, dès lors que les échanges sont accessibles à d'autres que les seuls employés - nuance capitale.  

Cette nuance est probablement la plus importante, puisqu'elle laisse peut-être ouverte une voie étroite à la critique de l'entreprise au sein d'un groupe Facebook spécifique - mais un tel groupe pourrait-il exister sans être surveillé, voire infiltré? De plus, cette maigre possibilité contraint les salariés à séparer nettement leur vie professionnelle de leur vie personnelle. Ce qui n'est peut-être pas plus mal.

Des régimes divers de communication et de l'emprise de l'entreprise sur la vie des salariés

Le vrai débat est là: quelle position le droit doit-il adopter face à ces régimes divers de communication, oscillant entre différents degrés de publicité et de confidentialité? Refuser de prendre en compte cette échelle variable relève du manichéisme. L'autre question concerne les interesections entre la vie professionnelle et la vie personnelle. Or, si tracer une barrière entre les deux semble souhaitable, on sait - et la récente épidémie de suicides l'a rappelé de façon dramatique - à quel point celle-ci est fragile, du fait même des pratiques du management moderne.

Cela ne veut pas dire que tout propos serait acceptable dès lors qu'il serait privé. En l'espèce, on comprend qu'E. Barbry considère légitime que les propos en question aient été condamnés (il s'agissait en gros d'un "complot" sarcastique visant à se moquer à longueur de journée de la hiérarchie, forme comme une autre de résistance à l'ordre managérial, dont Bonjour Paresse avait fait l'inventaire). De là à refuser d'accorder à ces espaces intermédiaires la protection de tout droit à la vie privée...

Les autres arguments invoqués ne sont guère pertinents. En particulier, le fait que ces "amis Facebook" ne soient pas "réellement" vos "vrais" amis ne devrait rien changer à l'interprétation de cette affaire. Dans la "vraie vie", tous vos amis et les amis de vos amis sont-ils aussi vos "vrais amis"? N'est-ce pas, précisément, qu'à force d'épreuves et de trahisons, comme celle ici effectuée par l'un des salarié "ami d'ami" du licencié, que l'on reconnaît ses "vrais amis"?  

Voir aussi: Oublier le droit à l'oubli, billet du 28 avril 2010.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Data-mining: VISA prédit les divorces

Comment prédire vos prochains déplacements? Vos prochains achats de livres? de billets d'avions? Saviez-vous que ceux qui achètent des graines Premium pour oiseaux tendent à rembourser leurs crédits? Que VISA devine si vous allez divorcer en fonction de vos achats ? L'élaboration de profils de consommateurs via le data-mining (exploitation de données) tend à se généraliser dans la finance, surtout aux Etats-Unis où les crédits de consommation ont explosé ces dernières années. Le profilage explose aussi dans le secteur commercial...

 

Un article récent d'un blog du New York Daily, répercuté sur le blog-Libé de Lorraine Millot, correspondante du quotidien à Washington, a remis au goût du jour le livre de l'économétriste Ian Ayres, Super Crunchers (2007; littéralement "Super Broyeur"). VISA vient en effet de démentir formellement l'un des exemples de son livre, selon lequel les compagnies de cartes bancaires prédiraient les divorces (les couples en instance de divorce étant apparemment de mauvais payeurs de crédits) selon leurs achats. Au-delà de cet exemple, Ayres montre comment le data-mining mène à l'élaboration de profils de consommateurs et remplace ainsi des métiers qualifiés: les ordinateurs se chargent de remplacer l'évaluation de l'œil expert. Amazon prédit ainsi les "livres qui vous intéressent", d'autres prédisent vos déplacements, nombreux sont ceux qui essaient d'établir votre profil bancaire (bon ou mauvais client), etc.

L'établissement de tels profils psychologiques, comme le rappelait le New York Times l'année dernière, peu après la crise des subprimes, sert aussi à aider les banques à persuader leurs clients de rembourser la plus grosse partie possible de leurs dettes. Elle permet aussi d'individualiser les taux d'intérêts selon les profils, etc. Cet article tragi-comique rappelait en 2009 que la moyenne des foyers américains avaient plus de 10 000 $ de dettes de cartes de crédit. La firme canadienne Canadian Tire, qui vend de l'électronique, de l'équipement sportif, etc., et distribue des cartes de crédit, a été la première à investir, en 2002, sur ce marché de la prédiction.

Les firmes sont réticentes à avouer qu'elles font usage de ces techniques, craignant que cela ne les rende impopulaire voire suscitent du contentieux. Des fonds de pension ont ainsi contacté Loop, un site de réseaux sociaux, qui affirme pouvoir prétendre prédire à 90% vos déplacements du lendemain; le site a décliné, craignant apparemment des contentieux futurs.

Cf. aussi Era Of The Super Cruncher, Newsweek, 17/09/07

Recension de Super Cruncher: L'ordinateur neuronal, Nonfiction.fr, 16/02/08, qui part d'une discussion de L'homme neuronal de J.-P. Changeux.

Biométrie et identification #1.0.8 ("Carnivore et les réseaux sociaux" et le profilage publicitaire)

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Biométrie et identification #1.0.8

L'Humanité et la biométrie: ou quand le quotidien de Jaurès se fait porte-parole de la CNIL. L’utilisation de la biométrie au travail doit être encadrée, L'Humanité, 29/03/10.

Inde: le Washington Post s'intéresse au projet d'identification biométrique de l'Inde (iris et empreinte digitale), l'un des plus importants de la planète.

Rama Lakshmi, Biometric identity project in India aims to provide for poor, end corruption, Washington Post, 28/03/10.

Vos papiers! L'Identification biométrique en Inde, 29/03/10, pour plus d'info.

SWIFT : la Commission européenne a adopté le 24 mars un projet de mandat pour entamer les négociations avec les Etats-Unis concernant le transfert de données bancaires dans le cadre du programme controversé TFTP (Terrorist Finance Tracking Program). Ce projet prévoit des garanties supérieures concernant la vie privée et les droits fondamentaux, suite au rejet, le 11 février 2010, par le Parlement européen de l'accord intérimaire TFPT. Celles-ci incluent notamment un droit de recours administratif et juridictionnel, l'obligation faite à la Commission de rédiger un rapport annuel pour le Parlement, et des limites imposées au transfert des données vis-à-vis de pays tiers (qui peuvent être bien peu démocratiques).

Cf. communiqué de la Commission, 24/03/10, doc. IP/10/348
et memo 10/101 (en anglais).
Voir également Quand les banquiers informent la police, Le Monde diplomatique, avril 2010

CARNIVORE et les réseaux sociaux: exhiber ses achats sur FaceBook, afin d'être "conseillé" par les entreprises? Stimuler l'essor des réseaux sociaux, un "facteur de démocratisation"? Ou la mise en place d'une "dictature numérique"? "Big Brother" n'a qu'à visiter les réseaux sociaux, sur Les Echos, 26/03/10.

Internet des Objets (IOT): un comité du Parlement européen a examiné le projet de rapport sur l'Internet of Things, nouvel enjeu de la lutte pour la protection de la vie privée. L'association EDRI livre son analyse à ce sujet: EP, EDPS and EDRI on RFID and the Internet of Things, 24/03/10.

Pour une brève présentation officielle de l'IOT, cf. La technologie RFID en passe de révolutionner nos vies quotidiennes ?, Europarl, 22/03/10.

Programme de Stockholm: une analyse très critique du nouveau programme de l'UE concernant le prétendu "espace de liberté, sécurité et justice". Quelques mesures prévues:

- généralisation du "principe d'accessibilité", c'est-à-dire de l'obligation de laisser les autorités d'autres Etats-membres accéder aux différentes bases de données nationales (CIS, SIS, VIS, EURODAC...);

- permettre l'accès des agences de renseignement aux fichiers policiers, introduisant la confusion entre ces organismes par nature très différents;

- création de différents fichiers européens (European Criminal Records Information System (ECRIS), European Index for Convicted Third Country Nationals (EICTCN), European Police Records Index System (EPRIS), et European Crime Prevention Network (EUCPN).

- militarisation des frontières extérieures (EUROSUR) en liaison avec un programme d'"externalisation de l'asile" (c'est-à-dire des centres de rétention; un peu moins de 10% de l'aide accordée à l'Ukraine entre 2007 et 2010 a été consacrée à la construction de centres de rétention) et subordination de l'aide au développement à l'acceptation d'accords de réadmission des étrangers refoulés;

- généraliser l'emploi de SitCen, structure européenne de renseignement qui coordonne les données élaborées par les différents services nationaux;

Christine Wicht, More security at any price. The Stockholm Programme of the European Union, Eurozine, 24/03/10.

Des diplômes RFID: l'Université américaine de Dubaï met en place une puce RFID (technologie d'Amricon) sur les certificats de diplôme, afin de les protéger et d'automatiser leur lecture. American University in Dubai adopts Amricon Smart Technology, AMEInfo.com, 22/03/10.

Passeport électronique: un rapport d'Acuity Market Intelligence, intitulé "The Global ePassport & eVisa Industry Report", estime que 28% des passeports en circulation en 2009 sont des passeports électroniques, taux qui monte en 57% pour ceux qui ont été émis en 2009. Ce dernier taux devrait monter à 88% en 2014, ce qui ferait qu'environ 80% des passeports en circulation en 2015 seront des passeports électroniques. Un passeport électronique contient une puce sur laquelle sont inscrite les données nominatives; de plus en plus, mais pas nécessairement, cette puce contient également des caractéristiques biométriques. Communiqué d'Acuity Market Intelligence, 22/03/10.

Ciblage publicitaire: tribune de Gérard Noël, vice-PDG de l'UGA (Union générale des annonceurs) concernant le "ciblage publicitaire" et la pub en général sur Internet. Cette technique consiste à bâtir un profil de l'internaute à partir des données recueillies au cours de sa navigation, afin ensuite, à l'aide de statistiques, de cibler sa "personnalité", ou plutôt son profil de consommateur. Sur Forum Droits Internet, 16/03/10.



Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Contrôler l'Internet: la "cyberguerre" selon Ron Deibert et Rafal Rohozinski

Les récentes manifestations en Iran, où Twitter a été l'un des facteurs de propagation de la mobilisation dans la rue, ou d'autres événements similaires en Chine (avec le retrait de Google), lors de la guerre russo-géorgienne, etc., ont attiré l'attention sur les nouveaux moyens de contrôle de l'Internet. Nous résumons ici les principaux points d'un article, en anglais, de Ron Deibert et Rafal Rohozinski (Cyberwars, Eurozine, 26/03/10), deux membres du projet Open Net Initiative destiné à lutter contre toutes les formes de censure, juridique ou technique, sur Internet. 

On pourrait croire qu'un tel intérêt s'éloignerait du projet initial de ce blog, centré sur l'analyse des procédures d'identification, dans le monde réel ou "virtuel". Il n'en est évidemment rien: l'identification est au cœur du contrôle de la liberté d'expression sur Internet, tout comme elle est au cœur du contrôle de la liberté de circulation dans l'espace géographique réel.

Selon Donbeirt et Rohozinski, l'évolution du contrôle politique sur Internet tend vers ce qu'ils appellent les "next generation" controls, ou contrôles de la prochaine génération. Ceux-ci se caractérisent par le déplacement de l'accent du contrôle des accès physiques et infrastructuraux à Internet à un contrôle plus souple, autorisant l'accès en général à Internet tout en contrôlant les formes et modalités d'expression.

Le premier moyen de contrôle est, bien sûr, juridique: il s'agit non seulement d'utiliser la législation concernant la liberté de la presse ou des médias de communication électronique, c'est-à-dire les lois autorisant la censure, mais aussi de faire appel à des dispositions législatives plus anciennes qu'on mobilise à cet effet. Les auteurs évoquent ainsi la censure dont a fait objet l'Open Net Initiative lui-même lors du Sommet sur la gouvernance de l'Internet à Charm-el-Cheik (novembre 2009): en raison des mentions de la Chine, les organisateurs ont invoqué des règles interdisant la publicité sur les lieux du sommet pour faire retirer les bandeaux de l'Open Net. Ces règles étaient néanmoins appliquées de façon très variable... Toute sanction juridique exige cependant l'identification des prévenus: elles requièrent donc la mise en place de dispositifs techniques d'identification.

Mais l'essentiel des contrôles n'est peut-être pas de nature juridique, ce qui s'explique, entre autres, par la nature privée des opérateurs fournissant l'infrastructure du net. Ceux-ci peuvent en effet être soumis à diverses pressions politiques, conduisant à un hiatus évident entre la politique effective d'un gouvernement et sa législation. Des sites comme You Tube, Facebook, etc., sont ainsi confrontés à des pressions pour faire retirer certaines vidéos ou posts.

En Iran, la Garde révolutionnaire, principal bras armé du régime des mollahs, est propriétaire de la firme nationale de télécommunications: elle a pu ainsi exercer des pressions sur celle-ci lors des manifestations contre le régime. Les auteurs évoquent aussi l'affaire Tom Skype, lors de laquelle le service de communication téléphonique en ligne a espionné ses clients pour le compte des autorités chinoises. Un tel "outsourcing" du contrôle rend la responsabilité des autorités beaucoup plus difficile à établir en droit, conduisant aussi à rendre floue la frontière entre privé et public. Par ailleurs, le recours croissant des ONG à des réseaux sociaux, afin d'informer et de mobiliser, fragilise celles-ci: Reporters sans Frontières avait ainsi ingénument mis un lien vers une pétition sur Facebook pour la libération du Tibétain Dhondup Wangchen: le site était en fait un leurre mis en place par les autorités chinoises...

Un autre moyen courant est le "just-in time blocking" (blocage juste à temps): il s'agit alors d'attaquer certains serveurs, soit par des pirates (officiellement liés, ou non, aux autorités), soit en coupant les sources d'électricité, afin d'empêcher l'accès à certains sites et informations pour une brève période. Attaques courantes en Asie centrale, celles-ci peuvent aussi se faire passer pour de simples problèmes techniques, courant dans des pays où l'infrastructure matérielle du net demeure fragile.

Enfin, la "cyberguerre" actuelle - on peut questionner l'usage de ce terme pour désigner davantage le contrôle des autorités sur le net qu'une guerre étatique menée via des moyens informatiques - se caractérise par la confusion des acteurs privés, individuels et plus ou moins indépendants, et des autorités publiques (ou leurs agences de renseignement). Des groupes militants peuvent ainsi participer à l'intoxication sur des forums (le Wu Mao Dang en Chine, ou parti des 50 centimes, nommé ainsi parce que chaque membre serait payé 50 cents à chaque fois qu'il poste en faveur du gouvernement) pour le compte de la politique nationale. Une telle confusion de la barrière privé/public, individuel/étatique, permet aux responsables politiques de décliner officiellement toute responsabilité dans les attaques visant des contestataires.

Lire l'article en anglais: Ron Deibert, Rafal Rohozinski, Cyberwar, Eurozine, 26 mars 2010.

Site de l'Open Net Initiative.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

Biométrie et identification #1.0.7

"L'Identité augmentée", ou plutôt, la curiosité systématisée. Vous voulez savoir comment s'appelle la personne que vous venez de croiser? Il suffira peut-être, si ce projet aboutit, de pointer votre téléphone vers lui: il reconnaîtra son visage, le mettra en rapport avec les "réseaux sociaux" d'Internet, et bim! nom, prénom, copains, activité professionnelle, photos de soirée, hobbies, bref, le kit parfait du petit espion. La parade? On y réfléchira plus tard; à l'heure actuelle, il n'y a toujours rien pour empêcher votre ami/ennemi fan des réseaux sociaux d'afficher votre photo sur Facebook... Sur L'Informaticien, 25/02/10.

L'étrange conception de la vie privée de NKM: on avait déjà évoqué le projet controversé d'identifiant numérique unique de Nathalie Kosciosku-Morizet, secrétaire d'Etat à l'économie numérique. A Rennes, elle lance des pistes paradoxales pour "protéger la vie privée" sur Internet...

Imposer des "nouveaux modes d'identification, avec prise de contact physique": ou comment parler de biométrie sans le dire: le paradoxe inhérent à la biométrie, simultanément moyen de protection de la vie privée et menace sur celle-ci, s'étale ici en toute lumière. Cette volonté politique de lier l'identité civile, réelle, à "l'identité numérique" est une tendance lourde: l'Allemagne s'apprête aussi à relier la carte d'identité à celle-ci.

Ne soyons pas, toutefois, trop mauvaise langue: NKM envisagerait aussi une éventuelle obligation légale de destruction des données personnelles ("droit à l'oubli").

Enfin, jamais à court d'idées, elle invente le concept d'"Internet segmenté": l'un, où l'on serait surveillé de bout en bout, soumis à l'injonction de montrer patte blanche et d'ôter ce voile numérique de son visage, et l'autre où la liberté de l'anonymat serait maintenue, parce que, dit-elle, "il y aura toujours un plaisir et un intérêt à surfer de manière anonyme…" Sur Libé-Rennes, 26/03/10.

Base élèves: la précédente revue de presse évoquait le rapport du Conseil aux droits de l'homme qui mettait en garde la France contre les sanctions des professeurs refusant d'inscrire les gamins à ce fichier, s'alarmant par ailleurs des données inscrites. Cela ne semble guère émouvoir la "patrie des droits de l'homme": une commission administrative doit examiner le retrait de leur fonction de deux directeurs d'école de l'Isère. Sur Le Monde, 26/03/10.

CNIL: le Sénat a adopté en première lecture, le 23 mars 2010, une proposition de loi "visant à mieux garantir le droit à la vie privée à l'heure du numérique", et qui doit notamment renforcer les pouvoirs et l'indépendance de cette autorité administrative. Mais, comme le remarque le blog Libertés surveillées, l'Assemblée devrait sans doute expurger ces mesures intolérables pour la majorité présidentielle, qui ne goûte guère l'indépendance en général.

Cf. aussi Internet: une proposition de loi contre les atteintes à la vie privée, Dalloz, 26/03/10; Vie privée et Internet: le Sénat veut davantage protéger les citoyens, ITEspresso, 26/03/10; et Indépendance des autorités de protection des données: l'Allemagne condamnée, ici même.

 

FIJAIS: un arrêt consacre l'automaticité de l'inscription au fichier pour les personnes condamnées pour une infraction mentionnée à l'article 706-47 du code de procédure pénale, punie d'une peine d'emprisonnement supérieure à cinq ans. Cf. Infraction sexuelle: consécration de l'automaticité de l'inscription au fichier, Dalloz, 25/03/10.

Piratage de données personnelles: plusieurs affaires récentes...

Aux Etats-Unis, Albert Gonzalez, 28 ans, qui a travaillé un temps pour les services secrets, se prend 20 ans de prison pour avoir piraté les coordonnées bancaires de pas moins de 90 millions de cartes de paiement, indique Le Monde du 26/03/10.

En France, un internaute a eu accès aux noms, prénoms, téléphone, et date de naissance (mais pas aux comptes bancaires) des millions de fichiers clients de la SNCF. Une brèche temporaire de sécurité; n'empêche que selon le Canard enchaîné, ces fichiers valent entre 8 et 20 euros par personne, sur le marché noir des publicitaires... Sur Le Monde, 17/03/10 et Libération, 19/03/10.

Et de nouveau aux Etats-Unis, un pirate a obtenu les noms, prénoms, adresses et surtout numéro de Sécurité sociale de 3,3 millions de clients de l'ECMC, qui s'occupe de prêts étudiants. Sur le Washington Post, 27/03/10.

Mères porteuses & état civil: la cour d'appel a reconnu la filiation des jumelles du couple Menesson, nées aux Etats-Unis via les services d'une "mère porteuse", tout en refusant l'inscription de celle-ci à l'état civil. Une décision en demi-teinte, donc: si le juge était allé plus loin, il aurait de facto autorisé la dite "gestation pour autrui" (GPA), qui demeure, à ce jour, interdite... en France.

Sur Libération, 18/03/10 ; cf. aussi Spanish Homosexual Couple and Surrogate Pregnancy (II) sur Conflict of laws.net, 14/03/09 et l'interview du sociologue Bertrand Pulman, très favorable à la légalisation de la GPA, sur Rue 89, 19/03/10.

Transsexualité: dans notre article sur la récente décision française de retirer la transsexualité de la liste des maladies mentales, décision plus complexe et contestable qu'il n'y paraît, nous avions signalé un article d'Aujourd'hui l'Inde qui indique qu'au Tamil Nadu, les transsexuels peuvent cocher une case "T" sur leurs papiers d'identité plutôt que d'être contraints de choisir la case "homme" ou "femme". C'est aujourd'hui au tour de l'Australie d'admettre qu'un transsexuel puisse, cette fois, ne cocher aucune des deux cases. De là à ce que la CEDH (Cour européenne des droits de l'homme) juge, comme elle l'a fait pour la case "religion" sur les cartes d'identité, qu'on pourrait tout simplement supprimer la case "sexe" sur les papiers, comme le souhaite certaines associations LGBT, il faudrait une petite révolution... Sur Libération, 17/03/10.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.