Un outil d’évaluation de l’impact sur la vie privée du traitement de données de l’Internet des objets ( IoT )

Introduction

Le règle­ment géné­ral de l’UE sur la pro­tec­tion des don­nées ( RGPD ) a intro­du­it l’analyse d’impact rela­ti­ve à la pro­tec­tion des don­nées ( AIPD ) com­me outil d’évaluation des ris­ques asso­ciés à la tech­no­lo­gie et au trai­te­ment des don­nées pour la vie pri­vée. L’AIPD vise ain­si à iden­ti­fier et rédu­i­re les ris­ques de pré­ju­di­ces pour les per­son­nes phy­si­ques. Pour ce fai­re, l’AIPD est effec­tuée cha­que fois qu’il exis­te une pro­ba­bi­li­té con­sidé­ra­ble que le trai­te­ment des don­nées puis­se engend­rer des ris­ques pour les droits et liber­tés des per­son­nes pré­ci­tées. Ce type d’évaluation per­met non seu­le­ment de mes­u­rer la con­for­mi­té à la légis­la­ti­on mais aus­si de s’assurer que les ques­ti­ons de pro­tec­tion des don­nées sont pri­ses en comp­te dès le début du déve­lo­p­pe­ment et de l’utilisation des tech­no­lo­gies de l’information. Ain­si, l’AIPD per­met aux contrôleur·se·s de don­nées d’identifier, de trai­ter et d’atténuer l’impact néga­tif des tech­no­lo­gies de trai­te­ment des don­nées sur les indi­vi­dus. Cepen­dant, com­me la dis­po­si­ti­on léga­le du RGPD est abs­trai­te, la con­du­i­te de tel­les éva­lua­tions est cri­ti­quée car sub­jec­ti­ve ( Wag­ner et Boi­ten 2018 ). Il est dès lors néces­saire d’introduire des direc­ti­ves con­crè­tes et détail­lées dans le pro­ces­sus d’évaluation ain­si que des outils auto­ma­ti­sés capa­bles d’accélérer l’analyse.

Démarche de recherche

Dans le but d’améliorer la métho­do­lo­gie d’évaluation des ris­ques liés à la vie pri­vée, nous avons déve­lo­p­pé un outil pra­tique qui per­met aux orga­ni­sa­ti­ons d’effectuer des éva­lua­tions plus objec­ti­ves. Com­me ce type d’évaluation varie en fonc­tion du domai­ne de mise en œuvre, nous abor­dons un scé­na­rio spé­ci­fi­que de trai­te­ment de don­nées de l’Internet des objets ( IoT ) dans la sur­veil­lan­ce con­nec­tée. Les initia­ti­ves IoT, avec des appa­reils por­ta­bles et des réseaux de cap­teurs, per­met­tent d’accéder à dif­férents types de don­nées. Elles sont mises en œuvre dans les orga­ni­sa­ti­ons pour la sur­veil­lan­ce numé­ri­que princi­pa­le­ment pour détec­ter et pré­ve­nir les pro­blè­mes de san­té et pour atté­nu­er les ris­ques sani­taires. Cepen­dant, leur mise en œuvre s’accompagne de ris­ques pour la vie pri­vée. Nous sou­hai­tons ain­si con­tri­buer à la dis­cus­sion rela­ti­ve à la mise en œuvre de l’AIPD en pro­po­sant une aide pra­tique aux contrôleur·se·s de don­nées sous la for­me d’un outil AIPD auto­ma­ti­sé pour les pro­jets IoT. A tra­vers une appro­che con­ti­nue de ges­ti­on des ris­ques, nous sug­gé­rons un pro­ces­sus d’évaluation struc­tu­ré qui com­prend plu­sieurs pha­ses. Dans la pre­miè­re pha­se, l’outil répond aux ques­ti­ons liées à l’objectif du pro­jet, au con­tex­te et à la natu­re du trai­te­ment des don­nées. La deu­xiè­me pha­se com­prend des ques­ti­ons détail­lées sur l’analyse du flux de don­nées : c.-à‑d. la collec­te, le stocka­ge et l’utilisation des don­nées. Dans cet­te pha­se, les dif­férents rôles sont éga­le­ment iden­ti­fiés pour docu­men­ter les dif­fé­ren­tes per­son­nes impli­quées dans le pro­ces­sus. La troi­siè­me pha­se con­sis­te en une ana­ly­se de la vie pri­vée, au cours de laquel­le les ris­ques d’atteinte à la vie pri­vée sont iden­ti­fiés au moy­en d’une série de ques­ti­ons per­ti­nen­tes et éva­lués par rap­port aux princi­pes de pro­tec­tion de la vie pri­vée. La pha­se fina­le impli­que la docu­men­ta­ti­on et la visua­li­sa­ti­on des résul­tats dans un rap­port ana­ly­sant l’impact sur la vie privée.

Figure 1. Le processus d’évaluation du risque pour la vie privée dans notre outil développé.

Résultats, discussions et implications pour les décideuses et décideurs

L’outil déve­lo­p­pé four­nit des con­seils sur le pro­ces­sus AIPD et docu­men­te les résul­tats pour per­mett­re aux contrôleur·se·s de don­nées d’identifier et de trai­ter les ris­ques décou­lant de l’utilisation de la tech­no­lo­gie IoT. De plus, grâce à la lis­te de con­trô­les, nous four­nis­sons une ana­ly­se de con­fir­ma­ti­on sur le pro­ces­sus de mise en œuvre et la dis­po­ni­bi­li­té de garan­ties dédiées pour pré­ser­ver la con­fi­den­tia­li­té des don­nées. Si cet outil est spé­ci­fi­que­ment déve­lo­p­pé pour le con­tex­te de la sur­veil­lan­ce con­nec­tée, son champ d’application peut encore être éten­du à d’autres tech­no­lo­gies com­me sys­tè­mes d’intelligence arti­fi­ci­el­le avec ges­ti­on algo­rith­mi­que et à d’autres envi­ron­ne­ments de mise en œuvre que la san­té au tra­vail ( ex., ges­ti­on des res­sour­ces humai­nes ). Pour nos recher­ches futures, l’outil va être éva­lué par des praticien·ne·s afin de pou­voir pro­po­ser des exten­si­ons pos­si­bles. Nous sou­hai­tons éga­le­ment tes­ter l’outil auprès des utilisateur·rice·s pour éva­lu­er le rôle du “pri­va­cy pri­ming”, c.-à‑d. obtenir des infor­ma­ti­ons sur les ris­ques pour la vie pri­vée via l’outil, sur l’acceptation de la tech­no­lo­gie con­nec­tée sur le lieu du travail.

Note: cet arti­cle a été publié dans le cad­re de l’IDHEAP Poli­cy brief.

Réfé­rence

Mett­ler, T., & Naous, D. ( 2022 ). Bey­ond Pan­op­tic Sur­veil­lan­ce: On the Ethi­cal Dilem­mas of the Con­nec­ted Work­place. In: Euro­pean Con­fe­rence on Infor­ma­ti­on Sys­tems ( ECIS ). Tim­isoa­ra, Romania

Wag­ner, I. & Boi­ten, E. ( 2018 ). Pri­va­cy Risk Assess­ment: From Art to Sci­ence, by Metrics. In: Data Pri­va­cy Manage­ment, Cryp­to­cur­ren­ci­es and Block­chain Tech­no­lo­gy, pp. 225–241: Springer.

Source de l’i­mage: Unsplash.com

image_pdfimage_print