L’usage des données personnelles

Indéniablement, le développement des Smart Cities implique la collecte de données personnelles à grande échelle. La sécurité y est assurée par des systèmes de vidéoprotection performants, captant a minima l’image des individus, jusqu’à assurer la reconnaissance faciale de ceux identifiés comme «à risque» ou à détecter des mouvements potentiellement suspects. La circulation y est fluide grâce aux capteurs de tous types1 qui réorientent en temps réel le trafic des véhicules. Les individus y bénéficient d’une meilleure qualité de vie à laquelle nombre d’entre eux aspirent. 

Ces avantages ont un prix : la donnée personnelle qui permet d’établir les modèles prédictifs et d’alimenter les outils d’intelligence artificielle. L’individu perd le contrôle sur sa vie privée et son anonymat. 

Les risques pour les droits et libertés des individus

L’alimentation constante en informations, nécessaire au fonctionnement des outils numériques des Smart Cities, conduit à un traitement massif des données de déplacement, de comportement, de consommation et même de santé des individus, qui peuvent être collectées à leur insu, via des applications et capteurs dissimulés dans des objets de toute sorte. 

Les données, originellement collectées à des fins légitimes, peuvent être détournées et utilisées à des fins contraires aux intérêts des individus. 

En outre, les systèmes numériques intégrés des Smart Cities sont particulièrement vulnérables aux cyber-attaques et failles de sécurité susceptibles de conduire à la dispersion des informations et à leur usage non autorisé par des personnes mal intentionnées, sans parler du hacking des outils d’intelligence artificielle. 

Le traitement des données par les Smart Cities n’est heureusement pas une zone de non-droit.

Les garde-fous offerts par le RGPD   

Le RGPD2 s’applique pleinement aux Smart Cities et à leurs opérateurs publics comme privés, européens ou non, dès lors que leurs services ciblent un citoyen européen. 

Le RGPD implique le respect de principes de transparence et de loyauté des traitements de données personnelles, qui peuvent pour l’essentiel s’appliquer aux Smart Cities. 

Il est vrai que l’obligation d’information ne peut être appliquée systématiquement dans le cadre des Smart Cities. Les capteurs étant partout, une information exhaustive - et a fortiori l’obtention d’un consentement éclairé - semble utopique. Une solution pourra consister dans l’application stricte des principes de Privacy by Design et de Privacy by Default développés par le RGPD. L’anonymisation, par opposition à la simple pseudonymisation, sera ainsi essentielle à la légalité des traitements. En toute hypothèse, le principe de minimisation des données devra être appliqué dès lors que la collecte de données identifiantes sera nécessaire : les données ne devront être collectées que si elles sont indispensables et ne devront pas être conservées plus longtemps que requis au regard des finalités poursuivies.

Les responsables de traitement devront permettre aux personnes d’exercer les droits qui leurs sont reconnus par le RGPD3. Ils devront mener leurs analyses d’impact, nommer un délégué à la protection des données, tenir un registre de leurs activités de traitement, sécuriser leurs systèmes d’information et leur relations contractuelles avec leurs sous-traitants. 

Les sanctions encourues en cas de manquement peuvent atteindre 4 % du chiffre d’affaires mondial du responsable de traitement. La plus Smart des Cities sera sans doute celle qui aura su se développer tout en préservant la vie privée des citoyens.

1. Capteurs intégrés dans les revêtements des routes, sur les panneaux publicitaires, dans les bornes wifi, etc.

2. Règlement européen 2016/679 dit règlement général sur la protection des données.

3. Droit à l’oubli, droit d’accès et de rectification, droit à la portabilité, etc.