Tentation du contrôle des individus, aide à la surveillance, concurrence des services numériques... La smart city pose de nombreux défis aux autorités et habitants. Parmi les propositions pour s'en prémunir, une « portabilité citoyenne » des données de plateformes privées.

Alors que les villes se rêvent en territoires connectés, abreuvés de données des citoyens, la prise en compte des utilisateurs est encore balbutiante. C'est l'un des constats du cinquième cahier IP de la CNIL, consacré à la smart city. Il est publié quelques mois avant la mise en place du Règlement général de protection des données (RGPD), qui renforcera grandement les contraintes de collecte et de traitement à partir de mai.

Le but du cahier : « remettre à leur juste place les discours prométhéens annonçant l’avènement d’une smart city centralisée, pilotée depuis un unique tableau de bord, avec l’algorithme comme grand ordonnateur » écrit Isabelle Falque-Pierrotin, la présidente de la commission. L'ensemble a été rédigé avec 15 experts extérieurs, dont Laurent Alexandre (Doctissimo, DNAVision), Tristan Nitot (Cozy Cloud) et les sociologues Cécile Méadel et Dominique Cardon.

• Télécharger le cahier Smart city et données personnelles de la CNIL

La commission nationale de l'informatique et des libertés ne cible pas de capteurs ou d'usages en particulier, mais les données des smart city dans leur intégralité, peu importe comment elles sont produites et la manière dont elles sont récupérées.

Dans leur volonté de traiter des données, les collectivités doivent apporter des garanties, comme l'implication des citoyens dans la collecte et l'utilisation des informations. Elles doivent aussi s'affirmer face aux acteurs privés dont l'activité redéfinit la ville et préserver les libertés de l'habitant, que le système est censé servir. Autant de sujets dont la CNIL explore les implications complexes.

La ville ne doit pas contrôler ses habitants

L'aménagement du territoire est marqué par deux phénomènes : la métropolisation et la concurrence entre territoires. La smart city, ou le « territoire connecté », est donc une manière d'attirer les entreprises et le capital culturel, estime les auteurs du cahier. C'est « un objet utopique : ville durable, résiliente, créative, fluide, et bien sûr intelligente », censé séduire les gestionnaires de ces futures cités tout en éloignant le citoyen, devenu un simple objet à gérer.

Selon la CNIL, six milliards de personnes sont appelées à être urbaines en 2050, soit les deux tiers de la population mondiale. La vision de la smart city pourrait grandement évoluer d'ici là, comme elle a déjà changé en quelques années. Il y a une dizaine d'années, le concept avait commencé avec une vision monolithique, où l'ensemble des flux et des individus sont contrôlés par l'aménageur (comprendre la ville).

Dans une première vision, la « smart city 1.0 », les infrastructures et les habitants pourraient être suivis et gérés via un tableau de bord unique, traitant en temps réel des données multiples. « La ville se soumet alors au paradigme du solutionnisme technologique, dans lequel les habitudes et les comportements des habitants deviennent tout autant d’informations à gérer et de besoins à créer ou problèmes à résoudre par la seule technologie » dégonfle le cahier.

Cette perspective, c'est celle de Singapour, jugée « non-reproductible », le contrôle du citoyen par les autorités y étant important. La ville « développe de nombreux projets, déploie des capteurs, y compris à l’intérieur des logements, afin de suivre en temps réel les allées et venues des habitants. Ces données pourront être utilisées très largement et avec peu de contrôle ». Désormais, l'idée est qu'il n'y a pas de ville intelligente type.

La smart city, ce sont surtout de grandes promesses des industriels de l'électronique à force de « villes témoins »

Concilier les intérêts des collectivités, citoyens et industriels

La ville doit intégrer l'émergence d'un deuxième acteur : le citoyen, qui peut produire et réutiliser les données. Des outils de crowdsourcing privés comme Foursquare, ou publics à la OpenStreetMap, donnent une nouvelle implication, quand des « hackers », associations et startups ne demandent qu'à exploiter ce matériau public. Il n'est plus question de le voir comme un simple « smartphone ambulant ».

Enfin, la collectivité se trouve face à des industriels, comme Google qui propose Maps ou Waze (et Sidewalk Labs pour la ville), donnant une nouvelle dimension à la ville. De nouvelles sociétés ont un effet direct sur la vie urbaine, les prix de l'immobilier et les déplacements, à l'image d'Airbnb et Uber.

« L’acteur public se retrouve face à des pourvoyeurs de services au public, à grande échelle, sans avoir au préalable de relation avec eux, sans négociation ni contrat » note le cahier de la CNIL. De quoi poser un « nouveau défi » à l'aménageur, centré autour de montagnes de données privatisées. Un acteur comme Airbnb cherche d'ailleurs à échapper aux contraintes, par exemple dans son bras de fer avec la mairie de Paris.

À l'heure des apps, garantir le respect de la vie privée

La protection des données personnelles serait peu prise en compte. Pour la CNIL, la « ville intelligente » intensifie les dangers, avec une collecte massive et des contrôles plus lâches, qui peuvent mener à des inférences (déterminer les goûts et opinions d'un individu, par exemple), à la réidentification d'un utilisateur (via des données mal anonymisées), des réutilisations inattendues (alimentées par l'opacité des systèmes)... À partir d'un consentement fourni sans compréhension ou simplement oublié (le cas typique des conditions d'utilisation validées sans être lues).

Le laboratoire de la CNIL (LINC) travaille déjà sur ces sujets, par exemple via CabAnon, soit l'anonymisation de trajets de taxis newyorkais, sur lesquels l'institution cherche un équilibre entre utilité et vie privée.

Face aux collectivités qui gèrent la ville, les acteurs privés transforment « la vie dans la ville », avec la promesse d'un quotidien simplifié en contrepartie d'informations personnelles. Le cahier revient brièvement sur l'idée qu'un service gratuit fait de son utilisateur son produit ou son travailleur, et sur la conception des interfaces qui dirige (au moins dans une certaine mesure) nos comportements.

Les services ont leurs propres objectifs commerciaux, donc leur propre logique dans l'organisation de l'espace public. Pour les rédacteurs, la question de la loyauté des directions et recommandations doit rapidement se poser. L'aménageur public, lui, devrait mieux valoriser ses infrastructures dans ses discussions avec ces plateformes, ce qu'il ne ferait pas aujourd'hui.

La commission encourage donc de garantir le respect des finalités, pour que les données ne soient traitées que dans le cadre prévu, et non croisées sans consentement. L'anonymisation et la pseudonymisation sont des clés, quand le respect de la vie privée doit devenir un critère compétitif. L'institution veut aussi aider les collectivités dans cette « gouvernance » des données, avec des conseils et certifications. 

La fluidité serait un Graal trompeur

La smart city est une question d'aménagement du territoire. L'intuition est que l'idéal est d'avoir une ville aux déplacements fluides, sans anicroche, qui dirige les flux de personnes de manière optimisée. Pour la CNIL, il faut pourtant se méfier de cette vision, d'autant que cet objectif de contrôle peut s'opposer au respect de la vie privée, voire à l'égoïsme de chaque individu (qui peut privilégier son trajet à la fluidité du trafic). La logique s'étendrait aussi à d'autres réseaux (énergie, eau...), qu'il s'agit aussi de barder de capteurs.

Une collectivité doit à la fois tenir compte de ses objectifs, des optimisations fournies par les services privés (comme les trajets de Google Maps qui font passer les internautes vers une rue particulière) et des besoins à long terme, comme la mobilité sociale. Tout cela doit rester sa décision, qui ne doit pas empiéter sur les libertés individuelles. Le logement doit ainsi rester écarté de ces considérations, quand l'habitant doit conserver sa capacité de choix, sans « diktat » de la ville.

Pour la commission, il faut considérer la géolocalisation comme une information particulièrement sensible, « sanctuariser le logement » destiné à rester un lieu privé, organiser un retour de données de qualité vers la collectivité et concevoir une réutilisation des données fine, « distinguant les situations et les finalités ». Les partenariats public-privé (PPP) doivent être renégociés, pensent les auteurs, pour automatiser la collecte de données utiles par la ville, comme la mairie de Paris sur le Vélib', par exemple.

La smart city comme vecteur de surveillance

En parallèle, « la possibilité de l’anonymat dans la ville est en train de s’évanouir » prévient la CNIL. La sécurité serait considérée comme un flux supplémentaire à gérer via un tableau de bord unique, alimentée par des capteurs (dont les caméras) et les masses de données des habitants, pour une surveillance invisible.

Contrer ce phénomène serait difficile, tant le respect de la finalité est oublié, à l'occasion ouverture des données avec des tiers, à cause de modèles économiques d'acteurs privés ou pour des raisons de sécurité publique (qui se soucierait peu de la source de l'information exploitée). Pour l'institution, des comportements suspects ne pourront rester anonymes, entre autres à cause de la vidéosurveillance couplée à la biométrie, comme l'a récemment installé Moscou sur une partie de ses caméras.

« Une telle tendance a des effets sur les comportements des individus bien connus, que les anglo-saxons dénomment « chilling effect » (effet refroidissant, en traduction littérale), c’est-à-dire un effet d’éviction sur un comportement ou l’exercice d’un droit parce que les individus anticipent des conséquences coercitives ou désagréables » rappellent les chercheurs.

Cette pression publique constante sur l'individu peut s'accumuler avec l'exploitation commerciale de ces informations, pour personnaliser l'expérience urbaine. La commission recommande donc d'améliorer ses propres capacités de contrôle a posteriori des traitements, de promouvoir l'anonymisation (en particulier pour la mesure d'affluence urbaine), d'inventer des « Do Not Track » des objets connectés et de favoriser l'expérimentation de techniques protégeant la vie privée.

Le « privacy by design », marotte des pouvoirs publics (CNIL comprise) est mis en avant, comme moyen de lutte contre l'exploitation massive des données à des fins de contrôle social.

Rééquilibrer les rapports public-privé par les données

Enfin, au-delà même du « privacy by design », la CNIL cherche une manière de redonner à la ville des données d'acteurs privés. Deux pistes sont explorées : une obligation légale de fournir des informations sur les citoyens, ou l'obtention de données déjà agrégées et anonymisées, directement utilisables pour l'action publique. La difficulté principale est le respect du droit des entreprises qui détiennent ces informations, la commission envisageant de nouvelles pistes légales.

Elle suggère donc un « open data du secteur privé », pour les données dont l'intérêt public est avéré. Dans la majorité des cas, il devrait donc être anonymisé, en laissant l'entreprise maître des informations collectées. Une alternative serait une simple API, ouverte par la plateforme privée, qui évite un lourd travail d'anonymisation et d'export régulier. Cela ouvrirait la voie à la réutilisation de l'API par d'autres sociétés, sur les informations d'intérêt général.

Dernière idée : une « portabilité citoyenne » des données. Le Règlement européen de protection des données, en mai, ouvre un droit à la portabilité des données. Pour les experts invités par la CNIL, il y a donc matière à demander en masse d'exporter des données, soit pour les fournir à un acteur public (en lui faisant confiance), soit pour les mettre en commun et les exploiter sur des projets tiers.

« Un tel processus permettrait dans une vision plus prospective, d’aboutir à la création bottom up d’un « commun » informationnel, construit par les individus au profit de l’intérêt général » conclut le cahier, sur une note d'espoir.