Smart City : Bradbury à la CNIL

La Commission nationale de l'informatique et des libertés (CNIL) vient de mettre en ligne un cahier rédigé par son Laboratoire d'innovation numérique, intitulé : Smart City et données personnelles. Quels enjeux de politiques publiques et de vie privée ?  Sa lecture donne un peu le sentiment que ses auteurs ont imaginé une nouvelle version de La Ville de Ray Bradbury, mais il n'en est rien.  Il ne s'agit pas d'un récit de science fiction. Toutes les technologies nouvelles qu'ils évoquent sont aujourd'hui une réalité, même si certaines d'entre elles demeurent encore expérimentales. En revanche, la question posée est celle de leur centralisation dans un avenir proche. Sur ce plan, le rapport CNIL prend l'apparence d'une mise en garde : la Smart City n'est pas un progrès en soi, un idéal porté par d'indéniables avancées technologiques, c'est d'abord un système centralisé qui risque de laminer un certain nombre de libertés.

Smart City ou "l'imaginaire solutionniste"

La notion de Smart City remonte aux années 2000 et repose sur l'idée d'une gestion urbaine centralisée autour d'un ou plusieurs opérateurs gérant l'espace public. Voies publiques, réseaux de transports, éclairage, pollution, sécurité, toutes les fonctions de la cité doivent ainsi être prises en charge par un système unique. Le rapport envisage ainsi une ville "pilotée depuis un unique tableau de bord, avec l'algorithme comme grand ordonnateur". 

L'idée n'est pas nouvelle. Sur le plan théorique, la Smart City n'est pas éloignée de la cybernétique qui repose sur l'idée que l'être humain et la machine forment un système unique dont le gestionnaire contrôle tous les éléments. Elle n'est pas davantage éloignée des rêves de certains urbanistes qui, bien avant la révolution numérique, ont créé des villes à partir d'un schéma organisateur centralisé. On songe à La Corbusier à Chandigarh ou à Niemeyer à Brasilia. Mais Chandigarh serait en ruines sans le secours de l'Unesco et Brasilia demeure une cité purement administrative que ses fonctionnaires-habitants désertent chaque week-end pour rentrer à Rio. 

Ces précédents montrent les limites de ces utopies urbaines qui créent des systèmes organisés et auto-suffisants d'où l'habitant est étrangement absent. A dire vrai, il n'est pas tout à fait absent, mais perçu comme une contrainte, un problème qu'il convient de gérer, au même titre que l'éclairage public. La Smart City ne fait pas exception. On affirme généralement que l'habitant est au centre du système, avant d'envisager ses habitudes et comportements comme autant d'informations à gérer ou de problèmes à résoudre. 

La Smart City vise donc d'abord à trouver des solutions, essentiellement à désengorger, décongestionner la ville, c'est à dire à gérer des flux. Cette mission relève certes de l'intérêt général, mais ses conséquences sur les libertés publiques ne sont jamais sérieusement analysées. Sur ce point, le rapport de la CNIL fait oeuvre utile.

Privacy ou vie privée

La première liberté en cause est, à l'évidence, le droit au respect de la vie privée. Les spécialistes d'intelligence artificielle et de robotique qui monopolisent actuellement le discours sur la Smart City affirment toujours, dans une sorte de choeur antique numérisé, que la Privacy relève d'une impérieuse nécessité. Que l'on se rassure, ils veillent à tout, et proposent la Privacy by Design, ce qui signifie que notre vie privée est prise en compte dès la construction du système. L'emploi du mot anglais est loin d'être neutre, car le concept de Privacy est moins exigeant que notre droit au respect de la vie privée. Il cède en effet devant les nécessités de la libre circulation des données considérées aux Etats-Unis comme des biens susceptibles d'une appropriation privée. Dormez tranquille, ayez confiance.. puisque l'on vous dit que votre vie privée est protégée. 

La Smart City, telle qu'elle actuellement imaginée et parfois expérimentée, ne se préoccupe pourtant pas beaucoup de la protection des données personnelles. Les moyens techniques permettent une captation de plus en plus importante et rapide des données personnelles. Ce Big Data peut être utilisé pour gérer la Smart City et les données de déplacement sont par exemple utiles pour fluidifier les flux. Mais elles peuvent aussi être vendues car elles permettent d'établir un profil de déplacement susceptible d'intéresser bon nombre d'annonceurs. Elles peuvent aussi être utilisées à des fins sécuritaires pour suivre l'itinéraire des personnes qui effectuent tel trajet entre les quartiers périphériques considérés comme sensibles et le centre ville. Bref, l'utilisation des données ainsi captées peut être extrêmement diversifiée, et cette diversification est d'autant plus aisée que le propriétaire des données ignore le plus souvent leur captation.

Le problème essentiel réside alors dans la perte de contrôle de la personne sur ses données personnelles. La ville de Londres a ainsi expérimenté en 2016 un système de Pocketsourcing, le wifi des smartphones des utilisateurs des transports publics étant utilisé à leur insu pour connaître et gérer les flux de voyageurs. Rien de bien grave sans doute, si ce n'est que le propriétaire du téléphone est utilisé comme un capteur passif. Il n'a aucun droit de contrôler son utilisation par des tiers. En l'espèce, la question est posée en termes d'efficacité de la gestion des flux, pas en termes de libertés publiques. Il serait pourtant intéressant de savoir si l'on a le droit de refuser la transmission de ses données de localisation, y compris dans un but d'intérêt général. Dans tous les cas, le principe du consentement qui gouverne l'ensemble du droit européen des données personnelles se trouve écarté ou ignoré. 

Metropolis. Fritz Lang 1927

L'intérêt général

Mais précisément s'agit-il encore d'intérêt général ? On peut en douter car la Smart City se construit grâce à des services gratuits proposés par les géants du secteur. On a ainsi vu Alphabet (Google) proposer à la ville de New York de remplacer les anciennes cabines téléphoniques par des bornes wifi gratuites mais ne donnant accès qu'au moteur de recherches Google. On a vu aussi Uber mettre en place des "transports de proximité" dans des petites villes de Floride dans lesquelles les bus n'étaient plus rentables. Le service n'était subventionné par la ville qu'à 25 % de son coût. En revanche, les données collectées n'étaient pas mise à disposition de la ville mais revendues par Uber. Peut-on encore parler de service public, dès lors que la collectivité publique ne maîtrise plus le service ? 

La Smart City s'analyse ainsi comme un processus de privatisation, en dehors de tout cadre juridique. Les collectivités ne fournissent plus le service et ne le contrôlent plus, en l'absence de contrat de délégation. Elles sont entre les mains des GAFA qui enserrent l'économie locale dans une sorte de "noeud coulant" qui place les acteurs publics dans une position de soumission. Dès lors, l'intérêt général risque de devenir le produit d'un nouvel algorithme, calculé à partir des intérêts particuliers des différents usagers et de l'intérêt de l'entreprise elle-même. 

Liberté de circulation

Le rapport de la CNIL livre des analyses semblables pour d'autres libertés également menacées. Tel est le cas de la liberté de circulation, dès lors que la Smart City a d'abord pour mission de fluidifier les flux de voyageurs. Des systèmes de barrières et d'itinéraires de dégagement en temps réel ont ainsi déjà été expérimentés dans certains villes, fonctionnant à partir des données de localisation. Rien n'empêcherait cependant, sur un plan purement technique, d'utiliser le système à d'autres fins, par exemple pour empêcher des manifestants d'atteindre le centre-ville.  

Sécurité

De la même manière, l'utilisation de la vidéo-protection a pour objet d'assurer la sécurité des personnes, et l'on assiste aujourd'hui à un véritable généralisation de ces systèmes. Associés à la biométrie, ils permettent une identification de la personne et certains proposent déjà de l'utiliser pour déceler les comportements suspects. Là encore, la menace n'est pas négligeable d'un algorithme définissant les critères de ce qui peut apparaître comme un tel comportement. C'est ici le droit d'être différent, le droit d'être imprévisible qui est menacé, au nom d'un hypothétique "décèlement précoce". Gare au distrait qui repasse trois fois au même endroit en quelques minutes parce qu'il a oublié ses clefs, gare à celui qui marche trop vite, ou trop lentement.. 

Le tableau est-il trop sombre ? Théoriquement non, et la CNIL a le courage de mettre sur la place publique des questions qui restent, pour le moment, dans la plus grande opacité. Ce rapport témoigne de son indépendance et du fait que le lobbying des GAFA reste sans effet sur sa réflexion. 

Les solutions proposées résident d'ailleurs essentiellement dans une nouvelle territorialisation du droit, pour soumettre les acteurs du secteur au droit européen. Il ne fait guère de doute que le rapport s'inscrit dans la préparation de la mise en oeuvre du Règlement général de la protection des données qui entrera en vigueur en mai 2018. Il marque également une intervention dans le débat qui se développe au parlement européen sur le règlement e-privacy, débat actuellement très vif sur la question du consentement à la collecte et à l'utilisation des données personnelles. 

Au-delà des solutions juridiques, certainement indispensables, on doit cependant se demander si la Smart City ne demeure pas un mythe. Certes, chacune des technologies étudiées existe bel et bien, mais leur centralisation absolue demeure peu probable. Un système totalement centralisé est un "colosse aux pieds d'argile" qui porte en lui ses vulnérabilités, comme tout système intégré. Le moindre bug risque ainsi de conduire la Smart City au Black out ou au déni de service. Surtout, la Smart City est la cible idéale d'une cyberattaque.. Il ne reste plus qu'à espérer que ces menaces susciteront d'autres réflexions sur les avantages des systèmes plus décentralisés, plus proches des habitants et même issus de leurs demandes. Une autre manière de penser l'utopie urbaine.

Sur le Big Data : Chapitre 8 section 5 § 1 du manuel de libertés publiques : version e-book, version papier.