¿ de quién, de quién son estos datos ? (*)

Table ronde à l’office parlementaire d’évaluation des choix scientifiques et technologiques, février 2013.
On passe énormément de temps à parler des risques du numérique. Cette attitude négative est préjudiciable pour l’industrie française. Si la high-tech californienne a été aussi efficace, c’est peut-être aussi parce qu’elle pensait aux nouvelles fonctionnalités du numérique plus qu’à ses risques. Il faudrait donc parler plus souvent des apports considérables du numérique et des réseaux sociaux. Il faudrait parler du plaisir des jeunes sur Facebook, de la richesse de certains débats sur Twitter, dire comment des personnes âgées brisent leur isolement avec les réseaux sociaux.  On aurait des tas de choses à raconter. Mais nous sommes ici pour parler des risques des réseaux sociaux, pas de leurs bienfaits.
Vous trouverez facilement sur le Web des listes de ces risques avec, en tête de gondole, la perte de repères et les addictions ; le Docteur Valleur vient juste de nous parler de l’une d’entre elles, la « masturbation assistée par ordinateur ». Je vais plutôt me concentrer sur un risque particulier que je trouve particulièrement sérieux, l’atteinte à la vie privée.
Les réseaux sociaux récupèrent des tas de données sur vous. Pourquoi ? Pour mieux vous servir. Par exemple, pour vous recommander un restaurant, c’est mieux si on connaît vos goûts, vos interdits alimentaires, vos problèmes de santé, le temps dont vous disposez avant votre prochain rendez-vous, et les mêmes informations pour la personne qui partage votre lunch. Et avec toutes les données des utilisateurs, on va pouvoir faire de la fouille de données et découvrir des tas de trucs sur vous et sur le monde entier. Tiens ça tombe bien, si on sait tout ça, on va pouvoir mieux cibler les pubs.
Alors toutes ces données que vous voudriez privées circulent sur la Toile ? Oui ! Le Web est devenu un village global où ce que vous faites est à la vue de tous. On n’a pas le choix ; il faut accepter de vivre dans ce village même si cela s’accompagne de la perte d’une certaine vie privée. Oui ! Le Web expose vos informations privées. Des tas de systèmes récupèrent des informations sur vous parfois sans même que vous le sachiez. Pour vérifier que la  situation est encore bien pire que dans vos pires cauchemars, vous pouvez utiliser un logiciel comme Collusion.  Vous surfez le Web, quelques pages visitées, et Collusion vous montre que plus d’une dizaine de serveurs Web savent déjà ce que vous faites. Essayez de comprendre pourquoi quand vous consultez une page du Monde, Facebook est notifié de votre passage dans ce journal. 
A part se débrancher, y-a-t-il quelque chose à faire pour protéger ses données privées sur les réseaux sociaux ? Oui ! On peut œuvrer dans quatre directions : la loi, les associations, l’éducation, et la recherche.
La loi. On dispose en France sans doute mieux qu’ailleurs de lois pour protéger les données privées comme par exemple la loi « Informatique et Liberté ». Mais ça ne suffit pas. Essayez par exemple de faire respecter le droit à l’oubli. La première chose qu’on doit faire dans de nombreux réseaux sociaux, c’est de signer sans le lire un contrat de 20 pages en caractères illisibles par lequel en gros on abandonne tout droit sur ses données. C’est juste inacceptable. Le législateur devrait faire le ménage en interdisant de telles pratiques et en encourageant des pratiques plus saines. La difficulté dans ce cadre c’est de savoir de quel législateur on parle. Prenez le cas d’un internaute français utilisant depuis la Chine un réseau social américain hébergé en Irlande ? Quelle juridiction s’applique ?
Les associations. Des systèmes comme Facebook ne valent absolument rien sans les données que les internautes mettent dedans. Technologiquement, ils n’apportent pas grand-chose. Ils sont relativement interchangeables. Les associations d’utilisateurs disposent donc de l’arme absolue : le boycott. C’est par exemple ce qui s’est passé récemment avec Instagram, une filiale de Facebook,  qui a été obligée de reculer devant la pression des internautes. Les associations doivent arriver à imposer aux réseaux sociaux des règles de bonne conduite.  Et cela passe par la transformation de chacun en « citoyen maitre de son destin numérique », donc par l’éducation.
L’éducation. Il faut apprendre aux gosses et aux adultes aussi à se protéger. Oui certes l’enseignement des usages du numérique est essentiel. Mais cela ne suffit pas. Il faut aussi enseigner la science au cœur du numérique, l’informatique. Le citoyen doit apprendre les bases de l’informatique pour pouvoir comprendre ce qu’il fait, devenir un acteur dans la gestion de son information et pas juste un utilisateur dépassé par la technologie. Comment voulez-vous apprendre à quelqu’un les risques qu’il court en autorisant une application Facebook à lire ses données si la personne ne sait pas ce que c’est qu’une base de données, n’a jamais vu la moindre ligne de code, ne sait pas la différence qu’il y a entre une application qui s’exécute sur sa machine, et une autre qui s’exécute sur une machine inconnue, d’un pays inconnu, etc. ?
La recherche. La recherche peut aider à développer de nouvelles techniques, de nouveaux outils pour mieux protéger les informations privées. Je travaille par exemple sur le contrôle d’accès dans un cadre général comme celui de l’internet. Nous étudions des mécanismes de contrôle d’accès compliqués. Mais une difficulté, c’est que l’internaute « moyen » ne veut pas se fatiguer à spécifier des politiques de contrôle d’accès compliquées. Il faut donc l’aider en utilisant des techniques d’apprentissage automatique super sophistiquées. Et puis il faut utiliser pour les données des techniques connues de traçabilité et de gestion de la provenance. C’est par exemple la clé pour pouvoir garantir le droit à l’oubli ou supporter des politiques de rétention d’information (spécifiant par exemple la destruction de l’information après un temps donné). On pourrait aussi imaginer de développer des réseaux sociaux en logiciel libre. De tels systèmes tournant sur des machines directement contrôlées par les internautes... C’est un rêve ?
Voilà pour ce tour d’horizon rapide. Je conclurai par un exemple et une idée très bête. L’exemple nous vient encore une fois des Etats-Unis. Un employeur pour sélectionner des employés à l’embauche leur demandait leurs mots de passe Facebook, pour consulter leurs données privées. Pourquoi ne pas aussi demander aux futurs employés de céder leurs collections de timbres à la société en question. Les données privées ne sont-elles pas privées ? Les données d’un internaute dans un réseau social, sont privées. Elles appartiennent à cet internaute et à personne d’autre. Cette propriété est inaliénable et il faut aider l’internaute à se réapproprier ses données.

(*) A qui, à qui sont ces données, d’après Andaluces De Jaen de Paco Ibanez ; avec l’aide de Google translate.