Mobilité, innovation et protection des données

Le 26 mai dernier, Propulsion Québec, la grappe des transports électriques et intelligents, a organisé un événement dédié à la cybersécurité et à la sûreté dans les transports. Cet événement a regroupé 17 experts et 150 participants. L’un des panels avait pour sujet « Assurer la protection des données dans un contexte d’innovation collaborative en mobilité ». Animé par Elsa Bruyère, Cofondatrice et Chef de l’Impact (CIO), Fabrique_A, il a rassemblé plusieurs experts qui ont partagé avec nous leurs connaissances et bonnes pratiques sur la protection des données dans le secteur de la mobilité :

Deux grandes utilisations des données de mobilité des personnes peuvent être distinguées :

Cependant le partage de ces données les expose à des risques de sécurité et pour la vie privée notamment lorsqu’il s’agit d’innovation, de technologie ou d’identité des personnes.

« Les données liées à l’énergie peuvent permettre de bloquer un pays. Pour les transports, il est possible d’imaginer de mauvais scénarios où tous les feux de circulation pourraient simultanément passer au vert ou des métros qui ne suivraient plus leur itinéraire. Au milieu, on retrouve l’utilisateur comme élément central. » Eric-Pierre Dufour.

La criticité d’une donnée dépend en grand partie de son potentiel d’inférence c’est-à-dire ce qu’on peut déduire une personne. La première chose que l’on peut déduire, ce sont ses centres d’intérêts grâce aux endroits auxquels elle s’arrête fréquemment, qu’on appelle en général ses points d’intérêts. On peut penser d’une personne qui se rend régulièrement à hôpital parce qu’elle a des problèmes de santé. Ceci peut être vu comme l’analogue dans le monde physique de ce qu’on pourrait déduire du comportement de navigation sur Internet où il est également possible de construire un profil précis d’une personne en fonction des sites web qu’elle consulte.

« C’est identique pour la mobilité, on peut déduire vos centres d’intérêts et des données précises de votre profil en fonction des endroits où vous vous rendez fréquemment. On se déplace tous de manière unique et répétitive ce qui facilite l’identification des personnes lors de partage de données.» Sébastien Gambs.

« Si on prend l’exemple de la mobilité urbaine on va souvent retrouver des données qui concerne les déplacements. Elles peuvent venir d’entreprises privées avec des déplacements en taxi, du transport partagé ou collectif. Ces entreprises vont récolter les données de la personne et il va être possible de les identifier avec leur numéro d’usagers, le numéro de leur carte de crédit ou leur date de naissance. Même si les données sont rendues anonymes il y a un enjeu avec le croisement des données sur les réseaux sociaux par exemple. » Karine Saboui.

La donnée de mobilité est difficile à anonymiser car elle est corrélée, c’est-à-dire que les localisations d’une personne ne sont pas indépendantes mais reliées entre elles. Une des solutions est la donnée synthétique. Des modèles génératifs vont être entrainés sur un petit échantillon de données grâce à l’intelligence artificielle puis produire des données en plus grande quantité qui seront assimilées à des données réalistes. Mais ici encore il y a un problème, si les données sont semblables à des données réalistes, il devient possible d’en tirer des informations sensibles.

D’après Sébastien Gambs, une bonne pratique serait d’expliquer le processus pour rendre les données anonymes, ce qui permettrait à plusieurs acteurs de mettre en place une amélioration continue et une identification des failles.

Pour qu’il puisse avoir des échanges il faut formaliser des ententes, des accords entre le secteur privé et le secteur public. Il faut également encadrer le partage de ces données et se poser la question de l’utilité du partage de certaines données.

Deux projets de lois sont toujours en attente d’adoption :

Le projet de loi 64 va inclure l’obligation d’intégrer des évaluations des facteurs relatifs à la vie privée afin d’anticiper les risques et de proposer des solutions visant à les éliminer ou à les minimiser. Cette cartographie permettra, en cas d’attaque, de savoir où  sont les données, leur niveau de sensibilité pour une meilleure réaction.

« Le terme de confiance est le nerf de la guerre. Quand les organisations mettent en place des systèmes, elles doivent tenir compte  :

– de la sécurité et de la protection de la vie privée car ils véhiculent des renseignements personnels donc sensibles ;

– du consentement : le citoyen doit être informé des données qui sont extraits à son sujet et de l’usage qui va en être fait. » Me Cynthia Chassigneux.

Une chose sur laquelle nos experts sont unanimes : la co-construction ! C’est le partage des processus de sécurisation des données et une collaboration entre tous les acteurs du système qui permettront une meilleure avancée sur la protection et le partage des données.