La protection de la vie privée à l’ère des “données massives” et de l’omniprésence de la puissance informatique : les analyses prédictives, les réseaux sociaux et les appareils mobiles

Commentaires dans le cadre du Rendez-vous de la sécurité de l’information 2013

Le 9 mai 2013
Montréal (Québec)

Allocution prononcée par Patricia Kosseim et Kate Wilson
Commissariat à la protection de la vie privée du Canada

(La version prononcée fait foi)

---

Je suis très heureuse d’être parmi vous ce matin lors de ce septième Rendez-vous de la sécurité de l’information, surtout ici à Montréal, ma ville natale, où je retrouve de si beaux souvenirs. Je tiens à remercier l’ASIMM de m’avoir invitée à vous adresser aujourd’hui.

Je suis accompagnée aujourd’hui de Kate Wilson, qui est avocate au Commissariat. Nous serons toutes les deux très heureuses de répondre à vos questions après mon allocution.

L’importance de la protection de la vie privée

Permettez-moi de prendre comme point de départ la question suivante : La protection de la vie privée s’oppose-t-elle nécessairement au progrès et à l’innovation?

La professeure Julie Cohen se penche sur cette question dans un article qui paraîtra bientôt dans la revue de la Faculté de droit de l’Université Harvard. Elle suggère que, contrairement à ce que peut laisser croire sa réputation souvent négative, la protection de la vie privée, au lieu de promouvoir le statu quo, est une force dynamique essentielle à l’épanouissement de l’individu et au développement d’une société innovatrice.

Le point de vue des entreprises

Les entreprises semblent de plus en plus reconnaître l’importance centrale de la protection de la vie privée. Un sondage mené auprès d’entreprises canadiennes pour le compte du Commissariat en 2012 semble confirmer cette tendance:

• Près de la moitié des entreprises (49 %) ont indiqué que la protection des renseignements personnels est un objectif important au sein de leur entreprise.
• 39 % d’entre elles considèrent que la protection des renseignements personnels constitue un avantage concurrentiel.

Le point de vue des Canadiennes et des Canadiens

Et les Canadiens, qu’en pensent-ils? C’est une question qui intéresse naturellement le Commissariat et nous avons entrepris, l’automne dernier, un sondage auprès des consommateurs. Les résultats sont révélateurs :

• Les deux tiers des Canadiens sont préoccupés par la protection de leur vie privée, et un quart s’est déclaré extrêmement préoccupé.
• Sept répondants sur dix estiment que leurs renseignements personnels sont moins protégés dans le cadre de leurs activités quotidiennes qu’il y a dix ans.
• 71 % des répondants estiment que la protection des renseignements personnels des Canadiens sera l’un des enjeux les plus importants auxquels le Canada devra faire face au cours des dix prochaines années.
• Pourtant, seulement 13 % sont sûrs que les entreprises prennent au sérieux la protection de leurs renseignements personnels; le pourcentage augmente à 21 % en ce qui a trait à la confiance dans les institutions gouvernementales.

Trois tendances importantes

C’est sur cette toile de fond que j’aimerais vous présenter un survol du travail récent du Commissariat. J’aimerais notamment vous parler de trois tendances, souvent interreliées, qui découlent des progrès technologiques et socioculturels, et qui ont un impact énorme sur la protection de la vie privée :

a) la première est l’arrivée de l’ère des « données massives »; la capacité de plus en plus commune de capter, d’analyser, de combiner, de partager et d’interpréter des volumes de données autrefois inimaginables;

b) la deuxième est le rôle, tant en milieu personnel que professionnel, du réseautage social;

c) enfin, la troisième est l’omniprésence de la puissance informatique au quotidien, souvent sous forme d’appareils de plus en plus petits et portatifs.

L’éventail d’exemples des activités du Commissariat que je vais vous présenter rend compte de la diversité de notre mandat et des activités que nous entreprenons à l’appui de la protection de la vie privée, y compris les enquêtes, la recherche et la sensibilisation du grand public – le tout, au niveau fédéral, bien entendu.

1) Les données massives et les analyses prédictives

Depuis plusieurs années, le Commissariat s’intéresse aux répercussions de l’ère des données massives sur la protection de la vie privée.

Vous vous rendez compte de l’ampleur des données massives? Comme le décrivent les auteurs Cukier et Schoenberger dans un article qui vient de paraître dans le journal Foreign Affairs :

Au troisième siècle avant J. C., la bibliothèque d’Alexandrie était considérée comme le dépositaire de la totalité des connaissances humaines. De nos jours, il y a suffisamment d’information dans le monde pour donner à chaque personne vivante l’équivalent de 320 fois ce que contenait, selon les historiens, la collection complète de la bibliothèque d’Alexandrie, soit une quantité estimative de 1 200 exaoctets. Si toute cette information était transférée sur des CD, et que ceux ci étaient empilés, on se retrouverait avec cinq piles distinctes qui atteindraient la lune. [traduction]

Ce qui est de plus en plus intéressant, du point de vue des utilisateurs des données massives, ce n’est plus de dresser un portrait factuel de ce qui est, mais de prédire, à partir des données, ce qui pourrait être – c’est en quoi consiste le phénomène des analyses prédictives.

En 2012, nous avons entrepris une recherche approfondie au sujet de l’analyse prédictive, de certaines de ses applications et des conséquences possibles en matière de protection de la vie privée.

Les analyses prédictives, qu’il importe de distinguer du simple processus du « forage des données », comportent un niveau de complexité plus élevé; au lieu de simplement noter les tendances révélées par nos comportements, elles tentent de prédire nos intentions et nos comportements futurs.

Comme le décrit si bien l’un de nos chercheurs :

« D’un côté, les données massives et une analyse prédictive intelligente pourraient contribuer à faire avancer la recherche, à stimuler l’innovation et à générer de nouvelles approches en vue d’une meilleure compréhension du monde et de la prise de décisions importantes et socialement bénéfiques dans des domaines comme la santé publique, le développement et la prévision économique. D’un autre côté, une analyse poussée entraîne une augmentation de la collecte, du partage et du couplage des données, et peut également s’avérer... invasive, intrusive et discriminatoire… »

Les analyses prédictives posent aussi un défi très particulier : celui de la transparence. La majorité des individus ignore tout à fait l’existence des activités d’analyse prédictive puisque celles ci se déroulent en arrière-plan. On peut qualifier d’« opaques » le processus d’analyse et les résultats obtenus.

Les analyses prédictives nous forcent aussi à examiner de nouveau notre compréhension de certains concepts de base de notre milieu, comme « les renseignements personnels » et « la finalité » de la collecte et de l’utilisation des données. Comment déterminer le moment précis où des données disparates se convertissent en renseignements personnels? Comment communiquer la finalité d’une collecte de données à l’avance lorsqu’elle n’est même pas apparente pour l’entreprise qui l’effectue?

Il est évident que les analyses prédictives pourraient avoir des répercussions impressionnantes dans un éventail de domaines, mais un suivi important et contextuel devra avoir lieu pour veiller à ce qu’elles soient effectuées d’une manière qui respecte la vie privée des personnes concernées.

a) Publicité comportementale en ligne

Nous nous sommes récemment penchés sur un phénomène qui se sert de plus en plus d’analyses prédictives : celui de la publicité comportementale en ligne.

Compte tenu de la croissance importante des activités de suivi et de ciblage des individus en ligne, le Commissariat a, en décembre 2011, émis des lignes directrices sur la protection de la vie privée dans le contexte de la publicité comportementale en ligne.

Le suivi et le ciblage des individus en ligne deviennent de plus en plus intéressants pour le secteur du marketing, notamment en raison de l’amélioration constante de la capacité de traiter des quantités énormes de données pour cerner des habitudes, dégager des profils personnels détaillés des utilisateurs et de là, de prédire leurs modes de comportement.

En émettant ces lignes directrices, nous avons voulu souligner quelques « règles de base » :

• Bien que l’étude de la question doit se faire au cas par cas, la publicité comportementale en ligne exige généralement l’utilisation de « renseignements personnels », car il est de plus en plus raisonnablement possible de coupler des données disparates de manière à les lier à un individu identifiable;
• Même si la publicité peut aider à financer l’accès gratuit au contenu en ligne, il est néanmoins essentiel que les pratiques de publicités en ligne respectent le principe fondamental du consentement;
• Le consentement négatif peut être valable dans la mesure où certaines conditions sont respectées, par exemple, aviser les personnes des objectifs de la pratique de façon claire et compréhensible et au plus tard au moment de la collecte, leur permettre de renoncer facilement à la pratique, et faire en sorte que leur renonciation soit immédiate et durable, que les renseignements recueillis et utilisés soient limités aux renseignements non sensibles dans la mesure du possible et qu’ils soient éventuellement détruits ou anonymisés dans les plus brefs délais;
• Nous avons aussi indiqué qu’une organisation ne devrait pas faire appel à des technologies susceptibles de nuire à la capacité de l’utilisateur de faire un choix, comme les témoins soi-disant « zombie » ou les super témoins;
• Dernièrement, comme pratique exemplaire, étant donné la difficulté de franchir l’obstacle d’un consentement éclairé chez les enfants, nous avons recommandé d’éviter tout suivi ou ciblage des enfants en ligne.

La publicité comportementale en ligne peut donc être considérée comme une activité « raisonnable » en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), pourvu qu’elle soit effectuée à l’intérieur de ces paramètres.

2) Réseautage social : les répercussions de cette nouvelle culture sur le plan individuel

Le deuxième phénomène dont j’aimerais parler ce matin est le réseautage social. Je sais que Me Boyle vous offrira une présentation ce matin sur l’usage des réseaux sociaux en milieu organisationnel, mais je tiens simplement à vous souligner deux exemples récents du travail du Commissariat dans ce domaine :

a) L’enquête sur Nexopia

En mars 2012, le Commissariat a terminé une enquête approfondie sur une plainte concernant les pratiques et les politiques en matière de protection des renseignements personnels de Nexopia, un site de réseautage social destiné aux jeunes.

L’enquête – qui a été déclenchée à la suite d’une plainte déposée par le Centre pour la défense de l’intérêt public – a été menée au titre de la LPRPDE. Elle a permis de constater que Nexopia contrevenait à plusieurs aspects de la LPRPDE et elle a entraîné la formulation de 24 recommandations. Les recommandations portaient sur divers aspects du réseau social, dont les paramètres de confidentialité par défaut, la validité du consentement lors de l’inscription et l’échange de renseignements personnels avec des tierces parties.

La commissaire était satisfaite de la réponse de l’organisation à la grande majorité des recommandations, mais quatre d’entre elles, qui étaient liées à la conservation des renseignements personnels, n’étaient toujours pas résolues à la fin de l’enquête.

À la suite de la publication du rapport de conclusions, la commissaire a demandé à la Cour fédérale de rendre une ordonnance obligeant Nexopia à cesser de conserver des renseignements personnels pendant une période indéterminée et à créer à cette fin une fonction de suppression.

Nexopia a changé de main après le dépôt de la requête. Le nouveau propriétaire s’est engagé à donner suite à toutes les recommandations formulées dans le rapport de conclusions avant le 30 avril 2013 et nous avons suspendu la requête en conséquence. Comme convenu, Nexopia a fourni une description des mesures prises pour donner suite aux recommandations à la fin du mois dernier; nous sommes présentement en train de les analyser.

b) LinkedIn et le vol de mots de passe

En juin 2012, le réseautage social a encore fait les manchettes lors de la cyberattaque de près de 6,5 millions de mots de passe d’utilisateurs du réseau professionnel LinkedIn. Ces mots de passe furent ensuite affichés en ligne.

Au cours des jours et des semaines qui ont suivi la cyberattaque, LinkedIn a collaboré avec le Commissariat ainsi qu’avec ses homologues de la Colombie Britannique, de l’Alberta et du Québec pour tenter de comprendre ce qui aurait pu se passer pour permettre un tel vol, mais aussi pour déterminer quelles mesures de cybersécurité la compagnie allait devoir prendre pour éviter qu’un tel incident se reproduise.

L’incident a servi à rappeler que la cybersécurité constitue une obligation de moyens et non de résultats. On doit s’attendre au fait qu’il y aura des cyberattaques et même au fait que certaines d’entre elles auront du succès. Ce qui importe, pour les organisations, c’est d’établir et de maintenir une culture de cybersécurité, culture qui se traduit par des efforts continuels sur le plan de prévention ainsi qu’une intervention rapide en cas d’attaque réussie.

3) Appareils mobiles : Les répercussions quotidiennes de l’omniprésence de la puissance informatique

La troisième tendance dont j’aimerais vous parler est celle de l’omniprésence de l’informatique mobile dans la société d’aujourd’hui. En effet, nous ne sommes jamais loin d’une forme quelconque de puissance informatique. Non seulement pouvons nous constater l’incidence énorme des appareils mobiles sur notre rythme de vie quotidien, mais nous nous rendons également compte que les divers appareils sur lesquels nous comptons sont eux mêmes de plus en plus connectés à un réseau afin de faciliter l’échange et l’analyse d’importants volumes de données recueillies à notre sujet.

a) Appareils mobiles : Document d’orientation « Une occasion à saisir : Développer des applis mobiles dans le respect du droit à la vie privée »

Si l’ère du téléphone intelligent confère aux consommateurs une connectivité et une commodité sans pareil, elle entraîne également un risque de surveillance globale.

La communication d’information pertinente sur les choix en matière de protection des renseignements personnels représente un défi particulier dans l’espace mobile, où l’écran est petit et l’attention de l’utilisateur intermittente.

De plus, la vitesse de développement des applications mobiles, la complexité de l’écosystème des applications mobiles, qui comprend de nombreux intervenants, ainsi que la possibilité de joindre des centaines de milliers d’utilisateurs dans un laps de temps très court rendent cette tendance particulièrement complexe et multidimensionnelle.

Compte tenu de ces phénomènes, le Commissariat a collaboré avec ses homologues en Alberta et en Colombie Britannique afin de produire un document d’orientation sur le développement des applications mobiles dans le respect du droit à la vie privée.

Permettez-moi de vous transmettre l’essentiel du contenu de notre document d’orientation, qui s’adresse particulièrement aux concepteurs d’applications mobiles :

• Les concepteurs d’applications mobiles sont responsables de leur conduite et de leur code. Qu’ils fassent partie d’une grande entreprise ou qu’ils travaillent à leur compte, les concepteurs sont responsables de tout renseignement personnel recueilli, utilisé ou communiqué par leur application mobile.
• Il importe qu’ils soient ouverts et transparents à propos de leurs pratiques de protection de la vie privée. Ils devraient renseigner les utilisateurs au sujet de leurs pratiques en des termes clairs et faciles à comprendre et veiller à consigner l’information de façon à ce qu’elle soit facilement accessible aux utilisateurs.
• Les concepteurs ne doivent recueillir et conserver que les renseignements dont leur application a besoin pour fonctionner, et ils doivent protéger ces renseignements.
• Ils doivent obtenir un consentement éclairé malgré le défi lié à la petitesse de l’écran; certaines options comprennent l’organisation de l’information en couches, l’offre d’un tableau de bord pour la protection des renseignements personnels ou l’utilisation de graphiques.
• Les concepteurs doivent comprendre que le choix du moment de la communication de l’avis à l’utilisateur et de l’obtention du consentement est déterminant. Des avis juste à temps assortis de couleurs ou de sons peuvent être des façons efficaces d’attirer l’attention des utilisateurs sans qu’ils se lassent des avis.

Je vous invite à consulter non seulement notre document d’orientation, qui est disponible sur notre site Web, mais aussi à télécharger notre application mobile, qui a été lancée en janvier 2013. Appelée « applimaVIEPRIVÉE », l’application du Commissariat a été conçue pour instruire les utilisateurs sur la meilleure façon de protéger les renseignements personnels sur leurs appareils mobiles. Elle peut être téléchargée gratuitement à partir des appareils Apple, Android ou Blackberry.

b) Enquête sur WhatsApp

Sur le plan de la conformité, le Commissariat a récemment entrepris, en collaboration avec son homologue néerlandais (la Dutch Data Protection Authority), une enquête sur le traitement des renseignements personnels par WhatsApp Inc., une société californienne qui conçoit des applications mobiles et qui est connue pour sa populaire application de messagerie mobile.

L’enquête coordonnée était une première mondiale : deux autorités nationales de protection des données ont examiné de concert les pratiques de protection des renseignements personnels d’une entreprise ayant des millions de consommateurs partout dans le monde.

L’enquête a conclu que WhatsApp était en violation des lois sur la protection des renseignements personnels aux Pays Bas et au Canada. Ses pratiques transgressaient certains principes acceptés mondialement en matière de protection des renseignements personnels, principalement en ce qui a trait à la conservation, à la protection et à la communication des renseignements personnels. Voici nos principales constatations :

Téléchargement automatique et conservation de tous les contacts des appareils mobiles

Pour faciliter la communication entre ses utilisateurs, WhatsApp enrichit les listes de contacts de ses abonnés au moyen du téléchargement automatique des numéros de téléphone enregistrés dans leur appareil mobile. Cependant, même les numéros de téléphone des personnes qui ne sont pas des utilisateurs de WhatsApp sont téléchargés et conservés dans les serveurs de WhatsApp. Bien que les données soient converties sous une forme condensée, nous avons constaté que le processus de chiffrement utilisé ne suffit quand même pas à assurer l’anonymat.

Au moment de l’enquête, les utilisateurs de la plupart des systèmes d’exploitation n’avaient pas d’autre choix, comme condition de service, que d’accepter le téléchargement automatique et la conservation de tous les numéros de téléphone figurant dans leur carnet d’adresses. Toutefois, à la suite de l’enquête, WhatsApp a indiqué son intention d’intégrer une fonctionnalité pour tous les systèmes d’exploitation permettant aux utilisateurs de télécharger manuellement et de gérer les adresses de leurs propres contacts, y compris les utilisateurs « hors réseau ».

Messages transmis sans chiffrement

Au début de l’enquête, les messages envoyés au moyen de WhatsApp n’étaient pas chiffrés et risquaient par conséquent d’être interceptés, surtout lorsqu’ils étaient envoyés à partir de réseaux Wi-Fi non protégés. En septembre 2012, donnant suite dans une certaine mesure à l’enquête, WhatsApp a commencé à utiliser le chiffrement pour son service de messagerie.

Utilisation de mots de passe faibles pour l’échange de messages

L’enquête a également révélé que WhatsApp générait des mots de passe pour l’échange de messages en utilisant des renseignements associés aux appareils, comme des adresses MAC, qui peuvent être assez facilement découverts. Il existait, par conséquent, un risque réel qu’un tiers découvre ces mots de passe et s’en serve pour envoyer et recevoir des messages au nom des utilisateurs sans que ceux ci le sachent. La version la plus récente de l’application comprend un niveau renforcé de protection du mot de passe, avec des clés générées aléatoirement pour l’authentification.

Le Commissariat est satisfait de la réactivité de WhatsApp lors de l’enquête, mais nous continuerons de surveiller ses progrès dans la mise en œuvre de nos recommandations.

Conclusion

De temps à autre, il est important de reconnaître jusqu’à quel point les changements que nous vivons à présent sont fondamentaux.

Comme le résument si bien les auteurs Cukier et Mayer Schoenberger :

Les données massives sont sur le point de transformer notre façon de vivre, de travailler et de penser. Une vision du monde fondée sur l’importance des causes est mise en question par une prépondérance des corrélations. La possession des connaissances, qui signifiait autrefois une compréhension du passé, est en voie de signifier la capacité de prédire l’avenir. Les défis posés par les données massives ne seront pas faciles à surmonter. Ils constituent plutôt tout simplement la prochaine étape dans le débat sans fin sur la façon de mieux comprendre le monde. [traduction]

Si la protection de la vie privée doit jouer un rôle de facilitation de l’innovation à l’ère des données massives, nous devons aussi nous assurer d’employer des approches tout aussi innovatrices en vue de la protection de la vie privée.

Il est en outre évident que la protection de la vie privée ne peut être assurée après-coup; il est essentiel d’y songer en amont de nouveaux projets et de faire de la vie privée une partie intégrale de l’élaboration de tout processus innovateur.

Cela dit, puisque l’innovation se fait à grands pas et s’accompagne de changements dont il est difficile de prédire toutes les conséquences, il importe d’être transparents au sujet des risques, de bien les gérer et de prendre ses responsabilités pour les résultats qui en découlent.

En conclusion, étant donnée l’énormité des changements auxquels nous sommes confrontés, et dans l’esprit de l’innovation, permettez-moi de répondre succinctement à votre question : Osons le risque? Oui, d’accord, mais faisons-le de manière éclairée, transparente et responsable. Nous comptons sur les membres de votre profession dans le monde de la sécurité de l’information pour nous aider ainsi.

Merci.