Revendre ses données « personnelles », la fausse bonne idée

En quelques années, nos données personnelles ont été transformées en monnaie d’échange contre une boîte mail, un espace de stockage en ligne ou encore un réseau d’ « amis ». Considérant la richesse accumulée par les sociétés pourvoyeuses de ces services, nous avons compris à quel point cette relation était asymétrique. Aujourd’hui, certains en appellent au « partage des richesses » en proposant que nous puissions tirer quelque chose de ces données en les vendant plutôt qu’en les cédant gratuitement. Cette idée qui fait son chemin relève d’une idéologie libérale assumée (voire le rapport du Think-tank Génération Libre) qui ne va pas sans poser quelques questions de fond. Creusons.

De quelles données parle-t-on ?

On parle ici de toutes les données que nous transmettons consciemment ou non en utilisant un service en ligne : données personnelles (âge, sexe, etc.), géolocalisation, comportements d’achats mais aussi des méta-données (des données sur les données : heure d’envoi d’un SMS, graphe social, temps passé dans un endroit, etc.). Il y a des données évidentes à comprendre pour le commun des mortels et d’autres moins puisque la valeur ne réside pas à proprement parler dans les données mais dans la capacité d’une plateforme à les faire parler. Par exemple, le type d’ordinateur que vous utilisez couplé à votre géolocalisation, à vos amis Facebook, votre âge et vos données de navigation peuvent dévoiler des choses sur votre personne (comme par exemple, pour qui vous aller voter ou quelle (mal)chance vous aurez d’être victime d’un cancer). Exemples fictifs mais qui pourrait bien s’avérer réels. Signalons au passage que vos données « personnelles » sont aussi les données de votre entourage, elles sont donc relationnelles (cette consubstantialité à elle seule dénote leur caractère commun).

Que valent les données personnelles ?

C’est difficile à dire. D’ailleurs, le rapport de Génération Libre ne prévoit rien à cet endroit crucial. Il est juste question de « restaurer l’équilibre (…) dans une perspective éthique » (on y reviendra). En réalité, les calculs présentés ici et là parlent de quelques dizaine d’euros par an (calculés à partir du rapport chiffre d’affaire / nombre d’utilisateurs de Facebook, par exemple, mais encore une fois ce calcul n’est valable que si l’on considère comme individuel ce qui relève du commun). Comme nous le disions précédemment, vos données toutes seules ne valent pas grand-chose. Les données d’un seul individu doivent venir alimenter une masse de données produites collectivement pour créer de la valeur. La multitude permet (parfois) de confirmer des certitudes : si vous êtes tout seul à signaler un incident sur le GPS Waze, il est peu probable que le système prévienne tous les autres utilisateurs, il lui faudra un certain nombre d’autres preuves qui viennent étayer la vôtre (d’autres utilisateurs qui signalent l’incident).

Comme le soulignait récemment Eric Vidalenc, les données sont un peu comme un droit de vote en démocratie : « mon vote (mes données) seul(es) ne change (valent) rien, pourtant le résultat (du vote) est bien l’ensemble de tous ces votes (données) qui ne changent et ne valent rien. » Bien sûr, un vote (en démocratie et pour élire des représentants politiques) n’a pas de valeur (et donc, pas de prix), c’est un acte citoyen qui repose sur une certaine conception de l’organisation des décisions humaines. A priori, c’est un peu différent avec les données personnelles (en fait pas tellement comme on le verra plus tard).

Pourquoi ils veulent nos données ?

On entend partout que les données sont « le nouvel or noir » : nous serions donc devenus des petits puits de pétrole convoités par les groupes technologiques. Les données seraient un moyen de nous connaître le plus finement possible (mieux que nous-mêmes, entend-on parfois dire, sans rire) afin de nous fournir les meilleurs services du monde. A l’appui de cette vérité définitive, une citation du pseudo-philosophe transhumaniste Nick Bostrom qui considère que la technologie est responsable de toutes les améliorations du genre humain, une assertion pour le moins discutable[1]. Et Génération Libre d’expliquer :

« Ainsi, le citoyen-consommateur digital nourrit un véritable paradoxe : il veut que les services qui lui sont proposés soient les plus personnalisés possible, adaptés à son besoin spécifique que les parcours soient fluides et « sans couture », et tout cela, sans débourser un centime. Mais dans le même temps, il souhaite un relatif anonymat et un contrôle absolu sur ses données personnelles. Ces attentes sont-elles conciliables ? » (P37)

Entendons-nous, dans ce schéma numérico-libéral, tous les individus veulent des services personnalisés d’eux-mêmes et non pas parce qu’on les y a poussés, avec de la publicité par exemple (cette croyance mériterait à elle-seule un développement philosophique autour de la vision du monde déployée par ce think-tank et l’idéologie de la Silicon Valley en général[2]). La deuxième brique de ce modèle sous-tend que la collecte massive de nos données permet de nous délivrer le meilleur service du monde. C’est seulement partiellement vrai. Soyons clairs : jamais (jamais !) la masse de données qu’un acteur détiendrait sur votre compte ne pourrait lui permettre de mettre au point un service absolument et totalement personnalisé, et ce pour deux raisons. D’une part, il est tout bonnement impossible pour une entreprise, quelle qu’elle soit et quoi qu’elle vende, de mettre en face de chaque individu une offre ou un service, à plus forte raison quand ce nombre de clients est important. Même dans le cas où une granularité très importante d’informations vous concernant permettrait de vous cibler très précisément, vous rentreriez toujours dans une catégorie, celle des individus qui, en gros, « vous ressemblent ».

L’autre raison (qui est plutôt une explication) est que la personnalisation à outrance est un mythe : elle repose sur la croyance que tout peut être réduit à des données et que ces données peuvent, comme les deux faces d’une même médaille, reconstituer le réel (présent et futur) par simple jeu statistique. Rien n’est plus faux, de nombreux cas ont montré qu’un bon système prédictif ne dépend pas que de la masse d’informations collectée. Le système de prédiction du crime Compas, qui prétend prévoir les récidives grâce à 137 critères n’est pas plus performant qu’un groupe de personnes inexpérimentées qui répondent à la question : « Pensez-vous que cette personne commettra un autre crime d’ici deux ans ? » Ajoutons à cela que de nombreux services en ligne (moteurs de recherche comme Qwant, réseaux sociaux comme Whaller) fonctionnent parfaitement sans collecter abusivement vos données – donc pas la peine de crier à la mort de l’innovation, il sera toujours possible d’innover même sans collecter toutes les données de tout le monde. Tout comme le font de nombreux services utilisant l’intelligence artificielle (voir par exemple : no, you don’t need personal data for personalization). Attention, nous ne disons pas que les données ne servent à rien (elles peuvent même être très utiles dans des tas de domaines, comme la médecine par exemple – doit-on la laisser à Google dans ce cas ? avec quelles garanties ?) mais que leur collecte démesurée repose aussi sur un dogme (et que la stratégie de revente des données personnelles n’est peut-être qu’une excuse pour aller un peu plus loin, par exemple en vous payant pour collecter votre génome, qui sait).

Donner mes données n’est pas neutre

L’argument de Génération Libre est, en gros, le suivant : quitte à se faire plumer, autant demander quelques grains de maïs au passage. Acter le fait que chacun puisse vendre ses données revient à entériner le fait qu’une stratégie entrepreneuriale (marquée idéologiquement) devient un modèle de société. Outre le fait que la vente risque de ne pas vous rapporter grand-chose (quelque dizaines d’euros par an tout au plus), c’est un premier pas vers une marchandisation plus profonde de la personne (de ses déplacements, de son réseau d’amis, de ses conversations privées, etc.). Si le seul argument en faveur de cette thèse est de dire que « c’est déjà le cas » (P94 où on déplore que « le cyber-citoyen est (déjà) désapproprié de son droit d’abusus »), alors autant acter une fois pour toute que tout combat sur le terrain politique avec certaines sociétés hégémoniques est vain (fin de l’histoire).

C’est toute la question de la neutralité technologique qui est centrale ici, la récolte de données personnelles change littéralement le monde. La technologie n’est pas neutre, elle est truffée de valeurs morales, elle est une affaire politique. Corollaire, la question technologique doit être traitée collectivement et non individuellement (et ce même si ce « individuellement » est un courtier en données). Quand le Think tank Génération Libre dit que « Dans ce contexte, notre proposition consiste à déplacer la responsabilité de la donnée de la plateforme ou de l’entreprise vers son propriétaire » il affirme en filigrane que le seul et unique problème occasionné par les plateformes numériques est économique (et que l’éthique relève de l’individu : j’accepte ou je refuse). Quand Génération libre titre « le respect des choix individuels, un enjeu éthique » (P41), on entend surtout l’inverse : « le respect de l’éthique, un enjeu individuel ».

Les choses sont évidemment un peu plus complexe. Pourquoi la grogne a tant monté au sujet des sociétés du numérique ? Le partage des richesses (rappel : ces sociétés refusent de se soumettre l’impôt, la base même du vivre ensemble) est un parmi de nombreux problèmes : traitement différencié des informations présentés après une requête ou dans le fil d’actualité (quand Google déréférence des sites de gauche, quand Facebook change son algorithme, etc.), addiction aux écrans (économie de l’attention – non ça ne va pas s’arrêter même si on revend nos données), biais algorithmiques en tous genres, obsolescence programmée (et son impact écologique), position monopolistique (épisode 345), liens avec les agences de renseignement, bref, c’est tout le projet civilisationnel de ces sociétés qui pose question (voir à ce sujet l’excellent – et long – billet de Laurent Calixte : Apple, Google, Amazon, Facebook sont-ils devenus des partis politiques ?). Accepter des micro-rémunérations corrélées aux données personnelles, c’est graver dans le marbre que les discussions collectives deviennent des petites négociations individuelles (pour un projet civilisationnel bien particulier, tout compte fait cette analogie avec le vote n’est pas si idiote). Ce micro-revenu est d’ailleurs en parfaite cohérence avec la promotion d’un revenu universel tel le que propose Génération Libre (attention, il y a plein de revenus universels différents) façon néo-libérale : on vous donne le minimum pour ne pas trop vous ennuyer dans ce nouveau monde plein de machines (dont personne n’a discuté au préalable, faute au déterminisme technologique, mais c’est encore un autre sujet). Ce qui nous laisse avec l’amère sensation d’avoir gagné quelque chose, alors que c’est justement le projet des libertariens. L’argumentaire de Génération Libre est subtil puisqu’il explicite un certain nombre de ces problèmes (surveillance de masse, ciblage publicitaire abusif, croisements de données non choisis) tout en prétendant qu’à partir du moment où l’on se ferait payer pour ses données, on deviendrait conscient – et consentant –  quant à l’usage qui pourra en être fait…).

Pourquoi l’analogie avec le vote n’est pas si idiote

On s’en doute, si un tel principe était acté dans la loi, il ne se limiterait pas aux quelques sociétés souvent citées (Google et Facebook au premier plan). Ce serait une brèche vers ce genre de modèle et la possibilité logique de le faire s’étendre à d’autres secteurs (par exemple l’assurance, ce qui revient dans ce cas à abandonner purement et simplement le modèle mutualiste pour un modèle totalement individualiste). Mais nous sommes encore relativement bien protégés de ces abus, du moins en Europe.

Par ailleurs, si chacun peut convenir que quelques dizaines d’euros par an, ce n’est pas grand-chose, il se trouve qu’une telle source de revenu, même aussi minime, une fois verrouillée, sera difficile à retirer à certaines populations : nous ne sommes pas tous égaux devant la revente de nos données (donc pas tous égaux devant la liberté de ne pas les vendre, c’est à dire devant le droit à la vie privée). La grande ironie réside bien sûr dans le fait que ces sociétés refusent de se soumettre à l’impôt et proposent ensuite à chaque individu un deal dont on se demande bien quels seront les arguments que pourront faire peser dans la balance les gens normaux. Pour faire court, si l’Europe veut se doter d’une stratégie en matière numérique, la dernière chose à faire est d’autoriser de grandes sociétés à donner directement de l’argent aux citoyens en échange de leurs données. Comme le dit l’adage : « revendre ses données, reprendre, c’est voler ».

Par ailleurs, pour les promoteurs du micro-revenu, ce système aurait l’avantage d’offrir une vraie maîtrise par l’utilisateur de ses données, alors qu’aujourd’hui il n’a qu’une connaissance réduite des traitements qui peuvent être effectués avec ces données car la description de leur utilisation est noyée dans des conditions générales d’utilisation (CGU) que l’on valide bien souvent sans les lire. D’une part, revendre n’est pas maîtriser, c’est revendre (il y a fort à parier que le prix de vente soit le seul critère qui compte quand on devra cliquer sur « accepter » après avoir lu les conditions de vente du courtier). D’autre part, les conditions générales d’utilisation ne risquent pas de disparaître du jour au lendemain (il faut actuellement des mois pour les lire, il en sera toujours ainsi). « Responsabiliser l’individu » ne le rend malheureusement pas automatiquement responsable, ça ne lui donne pas plus de temps pour lire ni pour s’enquérir des logiques géopolitiques à l’oeuvre dans ces luttes entre Titans, Etats d’un côté (encore un peu démocratique, quoi qu’on en pense) et géants du numérique de l’autre (euh…).

Bref, payer pour ses données ressemble plutôt à un vote censitaire inversé qu’à un vrai vote. C’est une façon d’amener les illettrés à l’isoloir afin de les faire voter pour un projet technologique opaque contre un plat de lentilles pour la seule raison qu’aucune politique sérieuse n’aura voulu prendre le problème à la racine.

Que faut-il faire ?

Il n’y a pas de réponse toute faite, il y a des choix politiques compliqués, qui demandent à ce qu’on se pose les bonnes questions et à ce qu’on réfléchisse au type de société que l’on souhaite promouvoir, et si ce modèle vaut la peine d’être troqué contre quelques euros par an. Je ne saurais que vous encourager à poursuivre la réflexion sur le blog de Lionel Maurel avec cet article Evgeny Morozov et le « domaine public » des données personnelles, ou encore celui-ci Données personnelles et Communs : une cartographie des thèses en présence. Par ailleurs, il existe déjà des dizaines d’alternatives aux GAFAS, certaines citées dans l’article. J’ai croisé dans ma carrière de consultant de dizaines de start-ups qui peinaient à lever des fonds (c’est encore un autre problème mais ne mélangeons pas tout) pour mettre en place des contre-modèles aux GAFAS (notamment dans le secteur du webmail). Il faut les soutenir beaucoup plus clairement.

Quelques articles de référence :

Faut pas prendre les usagers des GAFAM pour des Datas sauvages. Olivier Ertzscheid (Chercheur en sciences de l’information et de la communication, maître de conférences à l’université de Nantes)

La vie privée et les travailleurs de la donnée, Antonio A. Casilli (EHESS)

Données personnelles : la monnaie du XXIe siècle ? Par Hugo Bonnafé (OVH)

RGPD : quelle place pour l’action collective ? Par Valérie Peugeot, chercheuse, qui traite du renforcement possible des capacités collectives dans le cadre du Règlement général sur la protection des données (RGPD) puisque concrètement, le débat se situe surtout là (pour le moment).

[1] Bostrom déclare que « Le changement technologique est en grande partie responsable de l’amélioration de la condition humaine. » Il est d’ailleurs symptomatique que cette citation renvoie à une note signalant que ce débat est loin d’être tranché. En témoigne la mention de Jacques Ellul, relégué au bas de page, on pourrait faire l’inverse (citer Jacques Ellul et renvoyer Bostrom au bas de page, mais alors tout l’édifice idéologique s’effondrerait). Finalement, ce débat autour des données pourrait s’arrêter à cette unique confrontation.

[2] On notera par exemple les petits scénarios développés en fin de rapport pour expliquer en quoi se faire payer pour ses données sera super en 2021. Quand on voit de quel individu on parle, il y a de quoi s’inquiéter sur la vision du monde (ô combien technicienne) qui sous-tend tout l’édifice idéologique :

21 juin 2021. Karim se réveille à peine. Une lumière estivale pénètre dans la pièce à mesure que les stores de son appartement se lèvent automatiquement. La radio s’allume sur son smartphone. Karim a faim. Il a néanmoins ignoré l’alerte de son réfrigérateur sur la pénurie d’aliments nécessaires à son petit déjeuner, et se contente d’un simple café déjà préparé par sa machine reliée à l’alarme de son téléphone. Chez lui, tout est programmé à distance et interconnecté pour lui assurer le meilleur réveil possible. Tout est calculé en fonction de ses phases de sommeil et de son temps de préparation avant de se rendre au travail. L’interconnexion constante entre différents appareils génère une quantité importante de données sur ses va-et-vient quotidiens, son Etat de santé, ses habitudes de consommation2. Ces appareils sont aussi source de risques informatiques. Karim en a conscience et souhaite protéger cette intimité, tout en limitant le piratage éventuel de cette domotique. Dans ce cas, deux options s’offrent à lui. La première consiste à sélectionner chacun des appareils qui intègrent dès la conception un mécanisme de protection des données, notamment par chiffrement3. Néanmoins, le transfert de données entre les différents appareils n’est pas toujours garanti. Karim opte pour une solution distribuée. Chacun des appareils est connecté à une même API. La transmission de toutes les données se fait via une chaîne de blocs dédiée4 et protège ainsi la domotique de Karim de potentielles attaques tout en garantissant la confidentialité de sa vie privée.