Le data trust : nouvel outil de mise en capacité du citoyen

Cette apparente contradiction peut s’expliquer assez simplement : les utilisateurs souhaitent protéger leur vie privée, sans contraindre leurs usages et avoir notamment à lire des politiques de confidentialité longues et complexes. Diverses alternatives se développent dans le but de rendre à l’utilisateur le contrôle de ses données personnelles, directement ou indirectement. Le concept des systèmes de gestion des données personnelles(Personal Information Management Systems, ou PIMS) prévoit par exemple de doter les citoyens d’outils leur permettant de collecter, partager et gérer eux-mêmes leurs propres données : des services tels que Digi.me ou Fair&Smart appliquent ce modèle. L’Union européenne, pour sa part, a décidé en février dernier d’essayer une autre méthode au travers du TRUSTS Project. Cette initiative, qui devrait voir le jour en 2022, doit voir émerger un pool pan-européen de données d’utilisateurs, qu’elles soient personnelles ou non. Dans le cadre de ce programme-pilote, des données seront collectées et stockées par un intermédiaire, sous l’égide d’un consortium d’entreprises, d’institutions publiques et de chercheurs, qui autoriserait ou non les différents acteurs souhaitant les utiliser à y accéder selon des critères prédéfinis. Ce modèle est celui du data trust, proposé en 2018 par Tim Berners-Lee, inventeur du web, et repose sur l’idée que la meilleure solution ne serait pas de laisser l’utilisateur final gérer ses données. En effet, cela lui ajouterait un fardeau, et le laisserait toujours aussi seul face aux grands acteurs numériques lorsqu’il s’agirait de faire entendre sa voix. Au contraire, à travers un data trust, les données générées par un individu sont confiées à un tiers de confiance, le data trustee, qui les gère entièrement à sa place (collecte, partage, anonymisation…) en respectant ses volontés (avec qui partager, dans quel but…). Sur le papier, un tel système semble idoine pour permettre aux citoyens de maîtriser leurs données personnelles. Ce mois-ci, SERIOUS.LINKS interroge l’objet de data trust. Ce système peut-il, grâce à un fonctionnement par essence transparent et respectueux des exigences de chaque utilisateur, s’imposer comme un mode alternatif de collecte et d’exploitation des données ?

Comment le data trust dépasse les limites du système actuel

Des avantages tant pour le citoyen fournisseur de données que pour les acteurs les utilisant ?

Pour se développer auprès du grand public, une technologie se doit d’être intuitive. Les acteurs de la Tech l’ont bien compris, et proposent souvent des interfaces d’une grande simplicité. Il n’en va toutefois pas de même de leurs conditions d’utilisation, et là se trouve la principale raison pour laquelle les utilisateurs s’en détournent : longueur et trop grande technicité sont souvent de mise. Dans une certaine mesure, on pourrait ainsi assimiler ces conditions générales à un contrat d’adhésion : l’utilisateur n’a aucun pouvoir de négociation, et n’a pas le choix que d’accepter l’intégralité de ces politiques s’il souhaite profiter du service. Or, c’est le plus souvent dans ces contrats d’adhésion, particulièrement utilisés en droit de la consommation, que le juge découvre des clauses abusives. Entré en application en mai 2018, le Règlement général sur la protection des données (RGPD), applicable à tous les services en ligne proposés au sein de l’Union européenne même lorsqu’ils sont détenus par des sociétés étrangères, est venu clarifier les droits des utilisateurs en la matière (information, opposition, accès, rectification…), mais s’avère encore imparfait. Dans une communication du 24 juin dernier, la Commission européenne dresse un bilan du règlement, deux ans après son adoption. Bien qu’elle se félicite des apports du RGPD, elle ne manque pas de noter plusieurs axes d’amélioration : trop grande complexité dans son application, notamment pour les PME, manque de coordination entre les États membres pour son application, ou encore difficultés de mise en application de certains droits (comme le droit à la portabilité, du fait d’un manque de standards). D’autant que des services en ligne fonctionnent comme des boîtes noires : quand bien même la politique de gestion des données est claire et conforme à la législation, impossible pour l’utilisateur de contrôler l’usage qui sera fait de ses données. Le récent scandale Cambridge Analytica n’en est qu’un des nombreux exemples. Il serait inefficace pour la protection des citoyens de persister avec ce modèle, qui autorise aux acteurs de l’économie numérique presque tout type d’utilisation dès lors qu’ils recueillent le consentement, qui n’a “d’éclairé” que le nom, du consommateur.

Le modèle du data trust s’avère ici pertinent, en ce qu’il se fonde avant tout sur la transparence. Dans ce schéma de gouvernance des données, les données peuvent être utilisées par les services en ligne, mais jamais dans un but que l’utilisateur n’aura pas choisi. D’ailleurs, rien ne l’oblige à partager ses données avec des tiers : selon le type de data trust en place, il peut très bien décider de ne l’autoriser à les fournir qu’aux prestataires des services qu’il utilise, sans autre but que leur propre utilisation.

Le data trust présente donc un double intérêt. En simplifiant et en rendant plus transparentes tant la collecte que l’utilisation des données personnelles des utilisateurs, il permet aux acteurs de la société numérique (entreprises, organismes publics…) de bénéficier de pools potentiellement massifs de données. Le développement du big data a conduit les acteurs à mener une véritable course à la valorisation des données, les poussant souvent à collecter et conserver un très grand nombre d’informations qu’ils n’utilisent pas nécessairement. En outre, il peut s’avérer complexe pour les acteurs du monde de la recherche de pouvoir rassembler suffisamment de données en vue de la réalisation d’études, qu’elles soient médicales, scientifiques ou autres. Les différents types de data trusts existant, par leur spécialisation, permettraient de leur fournir ces données, tout en garantissant qu’elles soient utilisées de façon conforme aux volontés des citoyens : l’écosystème du data trust est suffisamment large pour le permettre. Le domaine de la santé s’y prête tout particulièrement. On peut effectivement imaginer un tel pool de données, mises en communs par des institutions publiques ou privées en charge de la santé dans un État donné. Dans ce scénario, le trust pourra fournir les données des citoyens à des chercheurs, tout en s’assurant que seules les données réellement nécessaires à l’étude sont transmises, après anonymisation, et que l’utilisateur est d’accord avec une telle utilisation des données qu’il a lui-même produites. Plusieurs projets de Health Data Trust commencent à se développer, comme le Health Data Hub mis en place par les autorités françaises, et pourraient permettre d’aller beaucoup plus loin qu’aujourd’hui dans la recherche médicale.

Une gouvernance des données capable d’atténuer l’asymétrie des pouvoirs entre les citoyens et les acteurs du numérique ?

Pourquoi faire confiance à un data trust plus que directement aux acteurs ? Principalement car le système actuel, fondé sur le consentement libre, spécifique, éclairé et univoque de l’utilisateur (imposé par le RGPD), montre ses limites. D’une part, car la liberté de l’utilisateur n’est pas toujours garantie en pratique : ainsi, quelle liberté pour un utilisateur ayant le choix entre confier ses données de transports en commun à une régie de transports publics dans le cadre d’un abonnement mensuel, ou refuser ce partage de données mais se trouver contraint de voyager à l’aide de tickets individuels bien plus onéreux ? D’autre part, car des acteurs du numérique possèdent aujourd’hui des moyens tels qu’on peut les assimiler à des “fabriques du consentement”, comme le théorisait Noam Chomsky en 1988.

Le data trust envisage de résoudre cette asymétrie entre l’utilisateur et le service en ligne par une gouvernance “solide”. Certains auteurs mettent en avant les défauts de l’approche actuelle en la comparant à une démocratie féodale. Si le partage de données avec d’autres acteurs n’est pas une mauvaise chose en soi, l’utilisateur qui les produit n’est généralement qu’en partie associé à cette étape. Neil Lawrence, professeur à l’Université de Cambridge, propose que la gouvernance des données s’inspire de l’évolution de la démocratie britannique. Avant que ne se développe le suffrage universel, le droit de vote fut accordé aux propriétaires terriens. Des freehold land societies ont alors été créées, pour acheter de grandes étendues de terre, trop chères pour être acquises par un individu lambda, et les subdiviser en multiples lots, permettant à tout citoyen d’en louer un contre une sorte d’abonnement. Selon le chercheur, bien que la production et le partage de données par un utilisateur ne soient pas en tous points comparables à une propriété terrienne (notamment en ce qu’il n’existe pas de régime de propriété des données personnelles en tant que tel) la démocratie des données pourrait être atteinte à travers le data trust, de la même manière que la démocratie politique a été atteinte : par la mise en commun de ressources individuelles. À cet égard, l’Open Data Institute (ODI), institut de recherche travaillant entre autres sur la question du data trust, propose six piliers autour desquels organiser un tel organisme : un but précis, un processus décisionnel défini en amont de sa création, un modèle de partage des bénéfices, une véritable structure juridique, des droits aux utilisateurs sur les données qu’ils partagent, et un financement durable. Ce mode de gouvernance s’apparente à une approche ascendante des données (bottom-up approach) : en se regroupant et partageant leurs données autour d’enjeux sociaux ou économiques, les utilisateurs fournisseurs de données pourraient donc représenter un contrepoids important et ne plus subir la volonté unilatérale de certains services en ligne. La simple terminologie utilisée en dit long sur l’équilibre des forces entre les utilisateurs et les services en ligne, que ce concept tend à rétablir en inversant les rôles : dans un data trust, les premiers sont définis comme les “fournisseurs de données”, là où les seconds deviennent “utilisateurs de données”. Le concept même de données redevient central, et leur gouvernance n’est plus tant une contrainte passive qu’un véritable service fourni.

Un système prometteur mais encore insuffisamment mature

Les obligations légales du trust permettent-elles d’assurer le strict respect des données personnelles ?

Le data trust semble ainsi offrir d’intéressantes promesses. Pourtant, pour sortir du modèle théorique duquel il peine à s’extraire, il faudra convaincre les utilisateurs de lui faire confiance. À cet égard, il est nécessaire d’en étudier les aspects juridiques et de revenir au concept de trust en lui-même. Ce mot, qu’on peut traduire par “confiance” en Français, désigne également un instrument juridique anglo-saxon séculaire, qui correspond peu ou prou au fiducie. Dans un trust, un individu (settlor) transfère certains de ses biens à un intermédiaire de confiance (trustee), à charge pour ce dernier de les administrer pour le compte de bénéficiaires tiers (ou du settlor lui-même). Il ne s’agit pas d’un contrat à proprement parler, ce qui n’empêche pas le trustee d’engager sa responsabilité dans sa gestion des biens : on parle d’obligation fiduciaire, une sorte de responsabilité morale produisant des effets juridiques. En d’autres termes, il doit toujours agir dans le meilleur intérêt du bénéficiaire, en faisant preuve de prudence, d’impartialité et, surtout, de loyauté à son égard. On pourrait alors penser que le data trust fait l’objet d’une organisation contrainte par la législation : il n’en est rien. Comme tout trust, un data trust peut prendre différentes formes, de l’entreprise à l’association à but non-lucratif, en passant par l’autorité administrative, dès lors que sa structure est définie en amont (pour éviter toute fraude potentielle) et qu’elle répond au but qu’il s’est fixé. À titre d’exemple tiré d’un autre domaine, l’Oversight Board, créé par Facebook en 2019 pour travailler sur les questions de modération en ligne, est établi comme purpose trust, une manière de garantir son indépendance et son impartialité. Cette étape est importante, car elle permettra de fixer précisément le cadre de responsabilité applicable, en plus des lois et règlements en vigueur. Mais dès lors que l’on parle de responsabilité, la question de la réparation doit être posée : si le trustee ne respecte pas ses obligations, doit-il, et si oui, comment, réparer sa faute auprès des utilisateurs affectés ? Une approche possible serait de considérer que pour les data trustsfournissant des données utiles à des secteurs essentiels tels que la recherche médicale et remplissant donc une mission d’intérêt public, l’État pourrait créer une sorte de fonds d’indemnisation des victimes, sur le modèle duFonds de Garantie des Assurances Obligatoires de dommages.

De même, si l’on s’en tient au modèle de l’ODI, l’utilisateur devrait conserver des droits sur les données qu’il partage. Le cadre réglementaire actuel, fixé en France par le RGPD et la loi Informatique et Libertés du 6 janvier 1978, prévoit un droit à la suppression des informations personnelles d’un utilisateur qui en ferait la demande. Or, le travail du trustee consiste précisément en l’anonymisation des données qu’il reçoit, pour qu’elles puissent être partagées avec tout service en ligne qui en ferait la demande (la société Trūata, créée par IBM et Mastercard pour dé-identifier les données de leurs clients, en est un bon exemple). Et  par principe, des données anonymisées ne peuvent pas être ré-identifiées (c’est ce qui différencie l’anonymisation de la pseudonymisation). Ces questions restent en suspens. Le concept de data trust est récent, et le droit a souvent du mal à proposer des solutions rapides aux nouveaux problèmes que peut poser la transformation numérique. Dans ce contexte incertain, le data trust peut avoir des difficultés à séduire les utilisateurs.

Ces garanties juridiques sont-elles suffisantes pour rassurer les utilisateurs ? L’échec de “Quayside”

Un data trust n’aurait pas de sens sans données, et une fois le modèle théorique établi, il s’agit désormais de convaincre les citoyens de sa pertinence. Une de ses applications les plus plébiscitées se trouve au cœur de la ville intelligente. En pratique, une tentative de mise en place d’un tel système a été très médiatisée, bien qu’elle se soit soldée par un échec : le projet Quayside, initié par Sidewalk Labs (filiale d’Alphabet, maison-mère de Google). En juin 2017, la Ville de Toronto a lancé un appel à projet pour la rénovation du quartier Quayside, ancienne zone industrielle de 4,9 hectares en banlieue de la capitale de l’Ontario. Sidewalk Labs y a répondu par une initiative d’envergure : faire de cette friche un quartier entièrement connecté. Voitures électriques et autonomes, régulation intelligente du trafic routier, optimisation algorithmique de la qualité de l’air et de la consommation d’énergie… Un projet ambitieux, “aboutissement de 10 ans de réflexion sur la manière dont la technologie peut améliorer la vie des gens”, d’après le CEO d’Alphabet, Eric Schmidt. Mais, pour fonctionner, Quayside aurait dû collecter une quantité très importante de données auprès des citoyens, grâce à de multiples capteurs situés partout dans la ville. Ainsi est né le mouvement #BlockSidewalk, collectif citoyen opposé au projet en raison de son manque de transparence. Alphabet s’était pourtant engagée à ne pas exploiter commercialement les données récupérées. En effet, toutes les données auraient été collectées par un civic data trust, organisme qui aurait eu la responsabilité de contrôler la collecte et le partage des données, sur mandat (explicite ou tacite) des habitants du quartier, en supervisant notamment l’anonymisation de ces données. Malgré cette promesse, le succès n’a pas été pas au rendez-vous : en juin dernier, Sidewalk Labs a annoncé l’abandon du projet Quayside, invoquant officiellement l’incertitude économique créée par la crise sanitaire de l’année 2020. Il semblerait, en réalité, qu’il s’agisse également d’un manque de confiance des citoyens dans l’entreprise, au regard de la protection des données personnelles : en juillet 2019, 60% d’entre eux affirmaient ne pas faire confiance à Sidewalk Labs pour collecter leurs données, et les promesses d’une gouvernance démocratique n’ont pas suffi à changer la donne. Parmi les raisons qui pourraient expliquer cette méfiance, il semble que les habitants n’aient pas été rassurés par le statut juridique d’entreprise à but lucratif de Sidewalk pour la gestion des données, ni par la constitution du civic data trustproposée (cinq membres, dont un expert en propriété intellectuelle, un académique, deux représentants, respectivement de l’administration et des entreprises, et un seul représentant des habitants du quartier).

Le data trust : une étape intermédiaire vers une vigilance accrue des citoyens

S’il n’est pas encore exempt de questionnements, le data trust a le mérite de proposer une alternative au modèle – à bout de souffle – du consentement éclairé. Il est difficile de prendre du recul sur son fonctionnement pratique : en effet, très peu de projets de data trusts ont vu le jour, que ce soit pour des raisons de complexité technique ou par manque d’adhésion des utilisateurs. Le développement de cette stratégie d’exploitation des données pourrait s’accompagner de la mise en place de standards solides, qui renforceraient cette confiance. Bien que le data trustvise à simplifier la gestion des données pour les citoyens, gardons toutefois à l’esprit que rien ne remplacera la vigilance d’un utilisateur averti et donc le besoin d’accroître la littératie numérique et la maîtrise de ces enjeux par les citoyens.