«Il faut être extrêmement prudent!» Invité par Paperjam à analyser le projet de Proximus, en Belgique, de transférer des données de géolocalisation de ses clients à une société privée pour tenter de prédire comment le coronavirus pourrait se propager, le commissaire à la Commission nationale pour la protection des données, , marche sur des œufs.
«Il est très difficile de se prononcer sur ce projet sans voir le détail de l’opération», explique-t-il. «Il semble quand même que la base légale invoquée n’est pas bonne. Certes, l’article 9 du règlement européen sur la protection des données permet de transférer des données de santé pour des raisons de ce type. Mais seulement des données de santé. Or, les données de géolocalisation ne sont pas des données de santé. Après, il faut voir quelles données sont transmises, comment elles sont transmises, comment elles sont traitées et comment elles sont conservées.»
Deux exemples… avant le RGPD
Selon nos confrères du Soir, Proximus aurait donné son accord à l’utilisation par la société belge, également présente au Luxembourg, Real Impact Analytics (devenue Riaktr) des informations sur le bornage des smartphones de ses clients belges.
En gros, à chaque fois qu’un utilisateur se déplace, son smartphone est repéré par des bornes. Réunir toutes ces données permettrait de tout connaître des déplacements des uns et des autres et donc de savoir qui a été en contact avec qui. Si quelqu’un est infecté et placé en observation, les autorités pourraient remonter plus vite vers les personnes qui ont été en contact avec la personne infectée, les prévenir et les mettre en quarantaine avant qu’elles-mêmes aient eu le temps de transmettre le coronavirus à d’autres personnes.
Selon nos confrères, la ministre fédérale de la Santé, Maggie De Block, dispose d’une note depuis mardi et doit donner son aval. Cette possibilité aurait été utilisée en 2014 – avant l’entrée en vigueur du RGPD –, en collaboration avec les Nations unies, pour une autre épidémie grave, Ebola, puis en 2016 pour Zika. Tout le processus avait été géré sous la supervision du ministère public et avait valu à ses promoteurs le prix Innovators Under 35 du MIT.
Samedi matin, sur Twitter, le Digital Champion de la France et vice-président du Conseil national du numérique français (CNN), Gilles Babinet, régulièrement invité à l’ICT Spring, regrettait aussi qu’on ne réédite pas l’opération.
L’exemple cité par ce dernier est-il vraiment un exemple? Pas sûr. Ce projet, mené en Italie, est dirigé par une société spécialisée dans le marketing et le ciblage publicitaire… établie à New York. Derrière son côté transparent, Cuebiq ne dit pas grand-chose des données qu’elle utilise: les 14 pages de ce qu’elle considère être sa méthodologie ne renseignent pas que sur une technique connue des marketeurs, l’«incrémental». Encore une fois, grossièrement, il s’agit de vérifier la différence entre deux jeux de données après une action, dans son cas une offre publicitaire sur un groupe cible qui a accepté de partager ses données.
Par exemple, prenons 200 clients de certaines marques. Une marque décide de lancer une campagne de publicité. Cuebiq étudie la variation de la fréquentation du site physique de la marque avant et après la campagne et livre une étude d’impact de la publicité, qu’elle étend, selon des règles non définies, à l’ensemble des clients potentiels.
Ebola en 2013, le Covid-19 en Chine
Pour Ebola, en 2013, . Elles avaient été croisées avec celles connues de Côte d’Ivoire et de cette région du globe pour en déduire les mouvements de population et anticiper la contagion de cette fièvre ravageuse.
En 2008, Google avait lancé le premier exercice sur le sujet avec Google Flu Trends, qui avait dû être corrigé parce que les estimations liées à ces technologies balbutiantes – c’était il y a 12 ans – surestimaient le nombre de victimes.
Réputée moins regardante avec les données, la Chine a-t-elle utilisé ce genre de technologie pour endiguer la propagation de ce virus né sur un marché aux animaux à Wuhan? Il est difficile de le dire avec certitude, mais une chercheuse a publié, samedi aussi, un long billet de blog sur l’utilisation de données spatiales.
, la Chine a utilisé les données de son «GPS», le système de géolocalisation américain, WeChat, le WhatsApp chinois, des drones de désinfection et une plate-forme de gestion de la prévention des épidémies, HaiGe, pour contenir l’épidémie.
Aucun de ces cas ne correspond à la configuration de l’Union européenne depuis l’entrée en vigueur du règlement européen sur la protection des données. Faut-il l’adapter à ce genre de réalité pour gagner en efficacité? La question reste entière.
Mais une chose est déjà sûre: les hackers s’en donnent à cœur joie et ont installé des logiciels malveillants sur nombre de cartes de propagation du coronavirus. Les consulter, un risque de contamination supplémentaire.