LTAP - La reconnaissance faciale

La reconnaissance faciale au coeur du débat

C'est un vrai sujet de société C'est un vrai sujet de société C'est un vrai sujet de société C'est un vrai sujet de société C'est un vrai sujet de société C'est un vrai sujet de société


La CNIL lance un outil d’analyse d’impacts des traitements

Le 23 novembre, la CNIL a lançé l’application PIA, un outil d’analyse d’impacts des traitements.

A partir du site, on peut maintenant télécharger l’application ou l’installer sur un serveur interne et effectuer ses EIVP (Etude d’Impact sur la Vie Privée) ou PIA (Privacy Impact Assessment).

L’Etude d’Impact sur la Vie Privée (EIVP)

Introduite dans le Règlement Général sur la Protection des Données (RGDP), l’analyse d’impact est une méthode d’évaluation de risques dédiée à la protection de la vie privée. C’est un point important.

En effet, l’ensemble du RGPD a pour unique objectif la protection de la vie privée mais en réalité, techniquement, l’ensemble des obligations du RGPD vise à la protection des données et informations personnelles, dès le moment où elles sont collectées et jusqu’à leur suppression.

Tout comme la loi informatique et libertés, le RGPD encadre principalement la sécurité des données. Du point de vue juridique, il permet aux personnes concernées de solliciter l’accès à leurs données personnelles et de comprendre leur utilisation par l’entreprise ou l’organisme ayant collecté ce type d’information.

Pour répondre à ces obligations du côté des entreprises et des administrations, la déclaration des traitements (dans un Registre) et l’audit des traitements (la Privacy by design) permettent d’identifier les points d’amélioration à mettre en œuvre avant de lancer un traitement en production, ou s’il a déjà été lancé de pouvoir corriger les points faibles.

Dans le contexte de la Privacy, le RGPD s’inscrit dans le prolongement de la loi Informatique et liberté de 1978. Certaines obligations ont été renforcées et de nouvelles règles comme la portabilité ou le droit à l’effacement des données sont désormais de rigueur. Ainsi, les organisations les plus avancées sur cette discipline maîtrisent ce cadre et, depuis bientôt 40 ans, ont eu le temps de s’y préparer. En revanche, l’analyse d’impacts sur la vie privée, dite EIVP ou PIA sort de ce cadre.

Cette approche engage une réflexion sur la donnée parce qu’elle considère que les données ne sont pas neutres. Les données et informations peuvent avoir des impacts sur la vie des personnes concernées.

Dans une société en transition où l’on voit une explosion des données produites, cet outil force les producteurs à réfléchir aux enjeux des processus qu’ils mettent en oeuvre : c’est la dimension éthique et déontologique de la gestion responsable des données.

C’est la réponse qu’attendent les usagers et clients, en termes de confiance sur la posture des entreprises et organisations qui collectent leurs données.

Nous constatons que les acteurs de la conformité les plus chevronnés sont toutefois interrogés et questionnés par ce changement de paradigme qui engage une nouvelle forme de la modélisation de cette obligation “quasi philosphique”.

 

Le PIA, toute une histoire…

L’analyse d’impact est apparue il y a plusieurs années comme un processus d’amélioration continue. Elle nous vient des anglo-saxons et sa création n’est pas sans lien avec quelques gros scandales liés à des fuites de données. Plus largement, elle a été également pensée comme un moyen de rassurer les individus, tant en termes de sécurité que d’éthique. En parallèle de la protection des données, elle visait à prévenir les impacts sur la vie privée, consécutifs aux collectes et traitements des informations personnelles.

Elle s’organise en deux actes, un audit des impacts et une gestion des risques en mode projet, afin de mettre en oeuvre les réponses juridiques, organisationnelles et techniques ayant pour objectifs de réduire les menaces.

Dans le scandale du piratage des données du site de rencontres Ashley Madison, on aurait dû inscrire dans le PIA, l’impact psychologique sur un utilisateur de la divulgation de son adhésion aux services de l’entreprise auprès de son ou sa compagne.L’évaluation de ce PIA aurait du être maximale car le suicide aurait du apparaître comme un risque, le hacking de la base de données comme une menace.

Peut être certaines mesures plus drastiques auraient pu être prises, pour des raisons éthiques et financières… Depuis 2011, se cache derrière le fil tweeter @piawatch un expert du sujet : Eric Charikhane, titulaire du master de l’ISEP, sur la protection des données personnelles, qui en parlerait mieux que moi.

Aujourd’hui, le PIA est intégré au RGPD comme une obligation, il est déclenché dans trois situations: suite à un audit de traitement, dans des cas spécifiques encadrés ou à la discrétion du DPD*/DPO/CIL sur tout objet qu’il estime devoir être évalué.

Pour ceux et celles qui considèrent la Privacy comme un enjeu social et économique, le PIA est un outil de prédilection : c’est le seul qui permette de penser la protection de la vie privée en amont de toute action et dans le temps. Pour ceux qui voient la Privacy seulement du point de vue juridique, le PIA est un véritable bouleversement car il vient alourdir une suite de contraintes déjà considérées comme complexes.

 

La CNIL doit réagir !

Depuis le vote de la réglementation, par son approche plus technique que juridique, le PIA est une question brûlante.

Les acteurs de la conformité rechignaient à sa mise en oeuvre sans une feuille de route claire et voulaient savoir de l’autorité de contrôle “comment faire” avec cette obligation dans la vraie vie.

 

La CNIL répond à l’appel !

Grâce à un appel à contributions sur le PIA pour répondre aux besoins de compréhension des DPO, la CNIL vient de produire un outil gratuit et complet qui modélise les contraintes techniques et apporte une méthodologie claire.

La CNIL a donc choisi le PIA comme cheval de Troie. Elle aurait pu choisir la déclaration des traitements pour les responsables de traitements ou la déclaration des activités pour un Registre sous-traitant, qui sont également des questions pressantes et des actions à mettre en oeuvre bien avant les PIA.

 

L’application PIA de la CNIL : une approche questionnante

Choisir le PIA comme première application mise à disposition du marché, c’est donner un éclairage fort sur la protection de la vie privée qui est la finalité de la Privacy, alors que la protection des données personnelles n’en est qu’un moyen.

Aborder la mise en conformité par cet outil, c’est aller au coeur du problème et ensuite y intégrer progressivement l’ensemble des éléments nécessaires. A titre personnel, cette approche me séduit beaucoup car elle associe immédiatement la protection des données et celle de la vie privée. Elle permet un diagnostic des risques d’impacts et des non-conformités majeures dans un même espace d’audit déclaratif.

Il est à noter que :

Le législateur a défini des critères de déclenchement pour les analyses d’impacts, il ne considère pas que l’ensemble des traitements doivent être soumis au PIA.

Cela dit les professionnels prévoient que de nombreux traitements rentreront dans ces critères. Le législateur a défini que l’analyse d’impacts pouvait porter sur d’autres objets d’analyses qu’un traitement. Les professionnels prévoient que le PIA sera un excellent outil pour des projets qui engendreront de nombreux traitements comme au hasard la création d’un chatbot.

On peut se poser la question, la CNIL veut-elle faire du PIA la nouvelle déclaration des traitements ?

L’application PIA proposée par la CNIL est parfaite pour des analyses d’impacts de traitements mais elle ne répond pas à l’ensemble des cas décrits par le RGPD. En intégrant des éléments de formalités déclaratives des traitements, on peut faire le choix de déclarer ces traitements en analysant leurs impacts simultanément, ce qui est une approche intéressante mais cela sera-t-il considéré comme conforme en cas de contôle, c’est encore à vérifier.

Que l’on considère que le PIA puisse être une façon de déclarer les traitements ou pas, l’application PIA, aussi bien réalisée soit-elle, ne permettra pas aux DPO, peu ou pas formés, de produire un registre sans l’accompagnement de professionnels de la Privacy.

 

Dans quel contexte arrive le PIA ?

Historiquement, la Privacy n’est un enjeu que pour très peu d’organisations et d’entreprises et quand elle l’est, c’est sous l’unique prisme de la contrainte légale ou réglementaire, assez peu souvent sous le prisme de la valorisation d’un capital immatériel demandant l’inclusion des différentes parties prenantes.

Passer de cette approche réglementaire à une vision de gestion responsable d’un capital sensible va prendre du temps car il existe peu de DPO expérimentés sur le marché. En majorité, ils sont déjà en postes et ceux à venir cherchent à se former.

Les CILs et DPO qui n’ont pas été formés à la discipline de la Privacy ont souvent été recrutés sur des profils juridiques. Ils n’ont pas tous les compétences techniques, managériales d’accompagnement au changement, ou encore de communication et de pédagogie souvent indispensables à leurs missions.

CIL : Correspondant Informatique et Liberté

DPO : Data Protection Officer ou DPD : Délégué à la Gestion des Données

La proposition de la CNIL sur l’inclusion des formalités déclaratives des traitements dans le PIA risque de surprendre et déstabiliser beaucoup de nos jeunes acteurs de la conformité.

 

Get on the bus !

Aujourd’hui, le marché a besoin de comprendre et de connaître ce que signifie une gestion responsable des données. Les responsables de traitements ont besoin d’évaluer les enjeux de la mise en conformité. Garants de la conformité, les responsables de la Privacy doivent sensibiliser les responsables et gérer la mise en conformité de leurs organisations. Pour mener à bien leurs missions, les DPD (DPO) ont besoin d’accompagnement et d’outils.

Réunissant des professionnels de la Privacy depuis 14 ans, l’équipe de DATA TRANSITION a conçu des outils précis et adaptés à toutes les obligations du RGPD, pour répondre aux besoins métiers de toutes les formes et tailles d’organisations. En modélisant les contraintes et l’esprit de la loi dans les outils de My DT PRIVACY, notre approche métier de la conformité répond pleinement aux besoins du marché.

Nos outils sont articulables entre eux pour couvrir toutes les problématiques à résoudre, en permettant le pilotage des projets d’amélioration de la conformité avec l’ensemble des acteurs internes et externes.

Ils intègrent diagnostics, audits, bilans et alertes PIA, actions correctives et recommandations automatisées.

Afin de transférer le plus de connaissances possibles aux utilisateurs, nos logiciels DT Privacy intègrent une aide pédagogique permanente.

Pour accompagner les organisations et les acteurs de la conformité dans leurs démarches Privacy, quels que soient leurs besoins et leur niveau de maturité sur ce sujet passionant, l’équipe d’experts es-Privacy de DATA TRANSITION propose également des programmes de mentoring.


Tinder produit 800 pages d'informations personnelles en un clic

Tinder produit 800 pages d’informations personnelles en un clic

Une française demande un accès à ses données personnelles à une application de rencontre en ligne !

Nous pouvons saluer cette application qui est en capacité de répondre de façon exhaustive à l’exercice du droit d’accès, c’est déjà une belle prouesse.

Nous pouvons également saluer que cette application considère comme informations personnelles toutes les informations qui sont rattachées au profil de cette « data subject » ou personne concernée et pas simplement des données qui permettent de l’identifier directement.

Quoique nous ne sachions pas si toutes ces informations de géolocalisation lui ont été fournies…

Ce qui la surprend, c’est la quantité d’informations personnelles que possède cette application sur elle, sachant que c’est elle qui en a produit une belle quantité mais que ses interactions avec d’autres personnes en fournissent finalement une quantité tout aussi importante, voire plus importante, et qui finalement identifie plus précisément qui elle est même si ce qui elle est est a relativiser dans un contexte particulier.

C’est d’autant plus important que le sujet est d’ordre privé : la vie amoureuse, sexuelle, les préférences sexuelles, les comportements de séduction, les orientations, etc.

Cette femme se dit impressionnée, puis inquiète sur ce qui pourrait être fait de ses données…

Cette femme étant européenne, le RGDP/GDPR s’applique à ses données personnelles partout où elles sont collectées et traitées dans le monde et donc aussi à TINDER.

Cela signifie quoi ?

La première chose, c’est qu’elle peut exercer son droit d’accès, ce qu’elle a fait et il semble qu’il ait été traité correctement.

Elle pourrait également demander l’intégralité des traitements, ceci incluant les transferts à tous les destinataires des données la concernant et que l’application effectue.

Elle constaterait très certainement que le consentement qu’elle a volontairement donné en cliquant sur une case à cocher lors de son inscription ne correspond pas exactement à un consentement éclairé, tel que le RGDP le définit.

Cela s’apparente donc à une collecte déloyale.

Si la société éditant cette application a réalisé un PIA (analyse d’impact sur la vie privée), elle pourra peut être démontrer que toutes les données qu’elle transfert à des tiers sont totalement anonymisées et ne peuvent permettre de remonter jusqu’à l’identité de l’utilisatrice. Elle pourra peut être également démontrer que tous les moyens de sécurité ont été pris pour protéger les données en cas d’intrusion dans ses systèmes d’information, pour supprimer les risques de compromission des données, et donc d’impact sur la vie privée (un chiffrement solide et fiable, par exemple).

Si ce n’est pas le cas, l’utilisatrice peut porter plainte, seule ou par le biais d’une plainte collective, auprès d’une association agréée pour la représenter et représenter celles et ceux qui porteront l’action avec elle.

Elle pourrait, seule ou en complément de la plainte collective, demander de faire valoir son droit de suppression de ses données auprès des responsables légaux.

Bien que les procédures soient longues et rébarbatives, du fait de l’opacité entretenue sur le sujet de la PRIVACY auprès du grand public, elles existent et les jugements feront jurisprudence !


La justice prédictive ... l'ère des PreCogn arrive.

La justice prédictive … l’ère des PreCogn arrive.

Ce type d’annonce est toujours impressionnante, personnellement, elles me font peur.

Comment ne pas imaginer rapidement toutes sortes de décisions éminemment impactantes laissées à la libre appréciation de machines apprenantes et insensibles ?

La prédectivité, c’est quoi ?

On peut se souvenir des “precog” de Minority Report pour se faire une idée assez juste. Ces entités, humaines et jumelles accompagnées de leur maman étaient en capacité de prévoir en fonction de l’intégralité des comportements, histoire de vie, psychologie, émotions d’un individu ce qu’il/elle ferait dans une situation précise.

Elles avaient donc pour mission de tout collecter, d’analyser et de prévoir pour une élite policière les lieux, personnes et actes criminelles qui allaient se dérouler et qu’ils devaient donc pouvoir empêcher.

Comment faisaient-elles, nul ne le sait … et le suspense du film repose sur l’obligation de retrouver dans la mémoire d’une de ces entité, l’endroit exact ou une donnée enregistrée a été modifiée, entraînant une prévision erronée et donc une arrestation préventive non justifiée.

Je vous invite à revoir le film pour évaluer le combat pour retrouver cette donnée 🙂

Revenons à la réalité …

Les outils d’aide à la décision permettent aujourd’hui de regrouper immensément plus de données pour décider et ça c’est plutôt bien.

En matière de justice, le magistrat est le garant de la compréhension de l’éco-système pour émettre un jugement et une sanction a partir d’un fait délictuel et/ou criminel.

Ceci explique pourquoi à constat factuel égal, le jugement et les sanctions peuvent être différentes et ça c’est essentiel.

Permettre à ces magistrats d’accéder à une documentation beaucoup plus fine, profonde tant des jugements, sanctions donnés sur des faits similaires en pouvant même en mesurer les résultats sur les personnes concernées (quel type de sanction a éviter de la récidive, a permis de la réinsertion, quel type d’application de la peine a été la plus efficace etc) que d’accéder aux profils psychologique, psychiatriques, aux notes des acteurs (policiers, gendarmes mais aussi avocats) semblent très bien. Cela permettra une rapide construction d’un éco-système plus large, plus fiable et qui s’inscrit dans une évolution pour mieux décider, juger et sanctionner.

Mais, car il y a toujours un mais, nous entrons dans l’air de l’intelligence artificielle et des machines apprenantes qui sélectionnent, en fonction de ce qu’elles apprennent, les données qui leurs semblent pertinentes à nous soumettre pour nous aider à décider.

La loi dite “Lemaire” oblige à expliquer les algorithmes qui nourrissent ces processus de sélection et d’en identifier clairement les critères.

Le GDPR obligera à partir de mai 2018 a pouvoir en cas d’automatisation de décision concernant une personne à pouvoir permettre un recours de cette décision auprès d’un humain qualifié pour réviser le process de décision, le valider ou l’invalider en fonction de son analyse et de son expérience.

Et là, j’ai à nouveau un peu peur car pour permettre aux machines d’apprendre, on les entraîne en leur donnant de la nourriture sous forme de données, de liens entre ses données, d’options de réponses en fonction de ces liens et tourne tourne les itérations pour les rendre de plus en plus intelligentes.

Mais tout comme les “precog”, personne ne sait comment les machines apprennent 🙂

Article d’origine sur Medium.com