Dans ce chapitre, nous revenons plus en détail sur le problème du stockage et de l’accès aux données personnelles.
Quel type d'acteur peut avoir accès à vos données ?
Lorsqu’on considère une donnée personnelle, il faut distinguer quatre catégories d’acteurs :
la première catégorie est assez petite, puisqu’il s’agit simplement de la personne ou des personnes concernées par la donnée elle-même. Nous ne discuterons pas ici de la question de la propriété de la donnée, par exemple, est-ce que je suis propriétaire de ma date de naissance, ou bien est-ce l’État qui en est propriétaire, ou tout simplement est-ce que la question de la propriété des données fait sens ? Nous nous intéressons simplement à identifier la personne concernée par la donnée. Toutefois, si on considère une photo de plusieurs personnes, cette première catégorie sera composée par l’ensemble des personnes apparaissant sur la photo. Le propriétaire de la photo pourrait être le photographe ;
la deuxième catégorie concerne d’autres personnes ou entités qui sont connues de la personne concernée par la donnée, et avec lesquelles elle souhaite partager cette donnée. Il s’agit par exemple d’amis avec lesquels on veut partager une photo, ou d’entreprises auprès desquelles l’individu souhaite obtenir un service ou un produit et doit donner son adresse pour se faire facturer ;
la troisième catégorie concerne les individus ou entités qui gèrent cette donnée personnelle. Il peut s’agir par exemple d’employés d’entreprises proposant un service de réseau social ou de stockage dans le cloud ;
la quatrième catégorie concerne tous les autres individus ou entités, c'est-à-dire les entités avec lesquelles l’individu ne souhaite pas partager cette donnée.
La personne concernée par les données
Les individus de la catégorie 1 peuvent avoir le droit d’accéder à la donnée, de la modifier ou même l’effacer. Ces droits sont garantis dans le RGPD par plusieurs articles : l’article 12 intitulé « Transparence des informations et des communications et modalités de l'exercice des droits de la personne concernée », l’article 16 intitulé « Le droit à la rectification », et l’article 17 intitulé « Le droit à l’effacement ».
Les personnes avec qui on a partagé la donnée
Considérons maintenant les individus de la catégorie 2. En général, ce type d’interaction arrive dans des réseaux sociaux, avec le partage de photos ou de données issues de capteurs personnels.
Souvent, un mécanisme assez simple de groupes et de permissions est mis en place, ce qui permet de simplifier le partage, plutôt que d’être obligé de définir très exactement quels autres utilisateurs peuvent accéder à la donnée. Ainsi, l’utilisateur pourra définir par des règles simples quels groupes peuvent accéder à telle ou telle ressource. La difficulté ici est de permettre une gestion claire des droits, y compris par des utilisateurs néophytes. Bien entendu, pour pouvoir bénéficier de ce partage, il faut que ces autres utilisateurs soient enregistrés sur l’application.
Les personnes qui gèrent les données
Venons-en maintenant à la troisième catégorie : le fournisseur de services lui-même et ses employés.
Comme nous l’avons déjà dit, il faut toujours s’interroger sur le « business model » de telles applications, ce qui permet souvent de comprendre pourquoi elles sont « gratuites ». Néanmoins, que l’application soit quelque chose d’aussi trivial qu’un jeu, ou aussi sérieux qu’une base de données médicales, le problème reste le même : il faut garantir la confidentialité des données gérées par le système. Or, dans la vaste majorité des cas, les données sont gérées dans des bases de données, dans des serveurs.
Les administrateurs sont donc un facteur de risque, ou plus précisément des adversaires qu’il convient de considérer lorsqu’on développe une application gérant des données personnelles. Bien sûr, dans la vaste majorité des cas, les employés et l’entreprise sont honnêtes, mais il existe néanmoins un risque de tomber sur un employé malhonnête souhaitant récupérer les données pour des objectifs frauduleux.
Toutefois, utiliser des techniques de chiffrement impose de gérer des clés de chiffrement, c'est-à-dire les clés utilisées pour communiquer avec un individu précis. Gérer des clés de chiffrement signifie stocker quelque part ces clés de chiffrement, par exemple sur son ordinateur, ce qui fait qu’on peut également être victime de piratages divers...
Et le reste du monde ?
La quatrième catégorie est très large, puisqu’elle correspond à tout le reste du monde !
Ainsi, il est souvent possible, en utilisant des données librement accessibles, de déduire un grand nombre d’informations personnelles sur des individus. Certaines entreprises, appelées des « data brokers » en ont fait leur gagne-pain, par exemple le site intelius.com qui propose de fournir les informations personnelles d’un individu, lorsque vous lui fournissez son nom.
Que doit faire le développeur d'une application gérant des données personnelles ?
On voit donc qu’il est capital, lorsqu’on est développeur d’application gérant des données personnelles, de s’assurer que les utilisateurs ont bien les moyens de comprendre comment fonctionne le contrôle d’accès, par le biais d’interfaces simples, mais également de réduire le risque d’accès illicite à des données, y compris par les administrateurs de l’application.
