Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 309

ont le sentiment que s'ils sont en conformité
avec la loi, ils ont réglé l'affaire. Or, ce n'est pas le
cas. Regardez le débat sur Stop Covid. La Cnil a
rendu un avis très éclairé et pédagogique dont je
conseille la lecture aux personnes qui travaillent
sur le sujet de la smart city. On met en place
un dispositif qui respecte les règles mais les
personnes dont les données sont collectées n'ont
pas confiance dans l'utilisation qui va être faite
des données. A Toronto, Google a fait des efforts
exceptionnels. Il a déployé des outils, construit
des prototypes d'information des personnes, de
transparence et de maîtrise de chaque individu
de ses données dans la smart city. Il a été jusqu'à
imaginer que la personne, qui quitte le quartier,
puisse avec son smartphone effacer les données
collectées. Aucune ville en France ou en Europe
qui travaille sur ces problématiques n'a été aussi
loin que Google, mais il est seul à avoir les moyens
de déployer de tels outils, et ça pose problème. Le
système proposé est absolument bluffant, sur le
papier en tout cas.
Pourquoi le système de protection déployé par
Google n'a pas convaincu ?
Parce que c'est Google. Dan Doctoroff, le PDG
de Sidewalk Labs, la filiale de Google en charge
du projet de Toronto, l'a dit clairement devant la
Chambre des communes au Canada : « je sais
que nous ne sommes pas crus parce que c'est
Google ». Pourtant, il a exploré une voie très
intéressante alors que les collectivités en France,
même les plus vertueuses, se contentent d'être
conformes au RGPD.

les citoyens dans la gouvernance de ce dispositif.
Prenons un exemple dans le domaine de la santé.
Harmonie Mutuelle a organisé une conférence de
consensus avec ses adhérents sur l'utilisation des
données. Je trouve cette démarche exemplaire
et elle pourrait inspirer des villes intelligentes.
Enfin, dans ce cadre de confiance, il convient
d'impliquer les citoyens aux usages. Quand
on crée une rue connectée, il faut impliquer
les habitants du quartier, leur expliquer quelles
données sont collectées. Quant à l'inclusion by
design, c'est un autre volet fondamental car ces
nouveaux systèmes de régulation et de gestion
des villes avec beaucoup de données peuvent être
très efficaces mais parallèlement peuvent générer
de l'exclusion. Par exemple, grâce à un système de
mobilité piloté par la donnée, Mobility as a service
(MaaS), qui gère aussi bien des vélos en libreservice, l'accès aux transports en commun ou
co-voiturage, on va aider les personnes à changer
de comportement et on va orchestrer le recul de
la voiture individuelle et œuvrer pour la transition
environnementale. Ça va marcher avec une
application mobile. Or, certaines personnes n'ont
pas de smartphone ou ne savent pas installer une
application, et sont donc exclues de ce progrès.

Dans votre livre, vous évoquez l'idée d'un tiers
de confiance, d'un data trust urbain. C'est ce
que Google avait proposé à Toronto. Pourquoi
un tiers de confiance vous semble nécessaire ?
C'est un point capital. Même si en France l'acteur
public est un acteur de confiance, ce n'est pas la
même chose pour une administration de gérer en
direct les données de ses administrés que d'être
Vous aviez évoqué trois concepts : privacy by
opérateur de lieux où on va croiser, partager,
design, confiance by design et inclusion by
mêler et améliorer la gestion globale des politiques
design constituent les trois axes qui doivent
et de l'espace public. Pour mettre en place ces
guider les élus tentés par l'aventure de la smart
dispositifs, on va croiser des données qui ont
city. Pourquoi ?
des statuts différents : des
En France, on se contente
données publiques avec
« Beaucoup d'acteurs publics et
d'une privacy by design.
des données d'entreprises
Or, ça ne suffit pas car
ou
pas,
privés ont le sentiment que s'ils sont délégataires
la confiance doit être
voire
des
sociétés
tierces
en conformité avec la loi, ils ont
construite au fur et à
comme Waze ou AirBnb,
réglé l'affaire. Or, ce n'est pas le cas.
mesure qu'on déploie des
des données personnelles
Regardez le débat sur Stop Covid. »
processus qui utilisent de
y compris celles mises
plus en plus de données.
à disposition par les
La confiance ne doit pas se
personnes dans le cadre du
construire après coup, mais dans la conception
self data (des cyclistes qui acceptent d'actionner
du processus de fabrication et de la gestion de
une balise GPS qui enregistrent leur trajet pour
la ville intelligente, c'est pourquoi je parle de
modéliser les futures pistes cyclables), etc. On
confiance by design. Cela comprend l'obligation
crée un espace de partage dont l'objectif est de
de construire un cadre de règles applicables
travailler sur l'analyse des données, qui serait
dans lesquelles on implique les citoyens. Cela
techniquement le porteur et le garant de cette
inclut bien sûr la loi, mais aussi une charte de
exploitation et de cette valorisation des données.
la donnée comme l'a fait Nantes ou mettre en
Le tiers de confiance peut prendre des formes
place un comité éthique comme Dijon est en
juridiques diverses. Par exemple, dans le monde
train de le faire. Ensuite, il s'agit d'impliquer
de la santé, il existe des coopératives de données
EXPERTISES Septembre 2020

309

Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia