Comment concevoir la vie privée des passagers à l’ère de la voiture autonome ?

Les voitures connectées sont de plus en plus nombreuses sur les routes françaises : 10% des Français possédaient déjà un véhicule connecté en octobre 2015 et 24% déclarent leur intention d’en acheter un. Si leur arrivée donne souvent lieu à des questionnements sur la sécurité et la responsabilité en cas d’accident, elle amène aussi des interrogations relatives à la gestion de la vie privée des passagers, d'autant plus aigues avec des véhicules de plus en plus autonomes qui s'appuient sur un nombre de capteurs grandissant. Ces développements contribuent à une mutation dans le rapport au véhicule et à sa consommation en s'orientant vers du transport-as-a-service. 

Dans ce contexte, que se passera-t-il lorsque le fournisseur de ce service souhaitera contrôler l’utilisation de son matériel par les passagers ? Comment gérer le consentement de la collecte de données personnelles par un véhicule autonome ? Quels sont les paramètres à prendre en compte pour garantir de la vie privée des passagers lors de l’utilisation de ces véhicules ?

De l'intérêt d'adopter une approche de privacy by design

Dans son article « Proactive Privacy for a driverless age », Joshua Schoonmaker propose son regard sur ces questions. Commençant par une analyse de la situation juridique et réglementaire aux Etats-Unis, il propose une réflexion sur l’intérêt d’adopter une approche de privacy by design pour ces véhicules.

A cette fin, Schoonmaker propose de considérer treize principaux acteurs dans une approche privacy by design. Au-delà du consommateur, les fournisseurs du matériel (constructeurs d’automobiles, développeurs d’OS et des systèmes de contrôles, développeurs d’applications, fournisseurs d’accès à internet), les fournisseurs de services liés au véhicule (entreprises de transport-as-a-service, services d’entretien et de réparation, assureurs), les acteurs utilisant la donnée à d’autres fins (parties tierces achetant la donnée, autorités policières, régulateurs, chercheurs) ainsi que… les délinquants, qui pourraient avoir intérêt à accéder aux données personnelles des passagers. Tous (sources de vulnérabilités ou de risques) devraient donc être pris en compte dans l’élaboration d’une approche privacy by design pour les véhicules autonomes.

Selon l’auteur, les différents types de données collectées peuvent aller des informations d’identification et de géolocalisation, jusqu’aux conversations et aux vidéos des caméras de surveillance à l’intérieur du véhicule, en passant par les informations dérivées de la géolocalisation ou de la vidéo- et audiosurveillance ainsi que les données passant par le Wifi du véhicule. La liste proposée n’a pas vocation à être exhaustive. D’autres types de données personnelles pourront ainsi faire l’objet d’un traitement en fonction du développement technologique à venir.
En se basant sur des principes de la protection des données personnelles mis en avant par la Federal Trade Commission, Schoonmaker considère ensuite cinq aspects du privacy by design qu’il met en relation avec les véhicules autonomes : la sécurité des données, la limitation à une collecte raisonnable de données (ce qui en Europe sera plutôt appelé minimisation des données), les politiques de conservation et d’effacement de données, l’exactitude des données, et la transparence envers les consommateurs concernant le traitement de leurs données. Ces principes sont d’ailleurs très proches de ceux présents dans la législation européenne sur la protection des données, à l’article 5 du règlement 2016/679.

Mais ce sont surtout certaines réflexions sur la sécurité des données qui sont plus poussées dans cette étude, l’application des autres principes restant finalement très traditionnelle. A l’instar d’autres univers de consommation, le fait que l’on privilégie de plus en plus l’usage du véhicule à sa propriété renforce certains enjeux de sécurité.
Ainsi, d’une part, le chiffrement, les pare-feu, l’authentification, la gestion des droits d’accès et la vérification automatisée du bon fonctionnement des logiciels peuvent aider à assurer la sécurité des données. D’autre part, il faut empêcher les passagers d’accéder aux données des autres par les interfaces au sein de la voiture en intégrant la déconnexion régulière automatisée et en rendant l’accès physique aux moyens de traitement (p.ex. les caméras) impossible. Effectivement, Schoonmaker compare le véhicule autonome au smartphone en termes de la richesse des données collectées. Cependant, il souligne la grande différence entre les deux objets : si l’un se trouve d’habitude à proximité de son propriétaire et utilisateur, l’autre se trouvera souvent loin de son propriétaire. L’accès physique aux équipements de traitement de données dans les véhicules par un grand nombre de personnes rend la question de la sécurité physique des données encore plus importante.

Pour conclure, si beaucoup de questions restent ouvertes, l’étude présente quelques pistes de réflexion intéressantes sur la protection de la vie privée à poursuivre si le développement du véhicule connecté évolue vers un déploiement de voitures autonomes.