Cet article décrit notre point de vue sur l’éthique de la collecte de données et la manière dont il se combine avec le cadre juridique suisse pour informer nos pratiques à l’ACS. Si la collecte de données peut présenter de nombreux avantages, notamment l’amélioration des produits, une meilleure planification et la publicité, elle pose également des problèmes potentiels en matière de protection de la vie privée. Cet article décrit également les pratiques de collecte de données de la Swiss Connect Academy et certaines des mesures proactives que nous prenons pour atténuer les risques en matière de protection de la vie privée : privilégier la transparence, respecter les obligations légales et aligner nos intérêts sur ceux de nos utilisateurs.
La façon dont un organisme agit est guidée par ce qu’il perçoit, l’efficacité de ses actions dépend de l’acuité de ses perceptions. Cela vaut aussi bien pour un organisme social que pour un organisme biologique. Il s’applique aussi bien aux plantes qu’aux animaux, aux entreprises ou aux pays. Pour les animaux, la perception et la cognition qui y est associée se déroulent principalement au niveau de l’individu, tandis que pour les organismes sociaux, la collecte et le traitement de l’information se font à la fois au niveau de l’homme et au niveau du groupe. D’une part, cela implique que les organismes sociaux peuvent percevoir sans mécanisme supra-individuel explicite d’acquisition d’informations, car leurs membres s’informent eux-mêmes. D’autre part, une fois qu’une entreprise (puisque c’est l’organisme qui nous intéresse) commence à acquérir des informations de manière systématique, explicite et organisée, ce processus d’acquisition peut plus facilement devenir l’objet d’une réflexion. Dans le même temps, le gain d’efficacité du processus permis par les technologies de l’information, dans la collecte, la conservation et l’analyse des données, rend ce processus tellement plus important dans ses coûts, ses avantages potentiels et ses inconvénients potentiels qu’une réflexion à son sujet devient de plus en plus nécessaire.
La collecte des données des utilisateurs par les grandes entreprises est un sujet qui a souvent été abordé auparavant, et nous espérons présenter, dans cet article, quelques-unes des meilleures et des plus pertinentes de ces idées. Étant donné que les clients de Swiss Connect Academy sont généralement des entreprises et que les utilisateurs de notre plateforme d’apprentissage sont les employés de ces entreprises, notre situation présente un aspect inhabituel par rapport à la collecte de données par Meta ou Google : nos utilisateurs ne sont généralement pas directement nos clients, mais plutôt leurs employés [note de bas de page : on pourrait faire valoir que pour Meta et Google, les clients sont davantage les acheteurs de publicité que les utilisateurs, mais cette différence n’a pas d’incidence sur notre argumentation].
Section 1 – À qui profite la collecte de données ?
Pour une entreprise, décider d’une politique de collecte de données est une question d’équilibre entre des compromis : Minimiser les inconvénients et les coûts tout en optimisant les avantages. Un lecteur méfiant pourrait considérer que les inconvénients de la collecte de données sont souvent subis par des tiers alors que les avantages monétaires sont perçus par l’entreprise. Il s’agit là d’une vision correcte mais partielle des bénéfices : en général, une entreprise gagne principalement de l’argent en échange des bénéfices qu’elle procure au reste de la société. [Les exceptions à cette règle sont très médiatisées et bien connues, parce qu’elles sont inacceptables, et non parce qu’elles sont la norme. À la Swiss connect Academy (SCA), nous ne sommes pas désintéressés, mais tout simplement pas intéressés par le fait de travailler pour obtenir des avantages monétaires non mérités]. Un boulanger gagne de l’argent en faisant du bon pain et Google en aidant les gens à trouver ce qu’ils veulent sur le web [Note de bas de page : Google gagne de l’argent grâce à ses publicités, mais les gens voient les publicités parce qu’ils utilisent Google pour faire des recherches]. Nous continuerons donc candidement à écrire que les avantages de la maximisation sont des avantages pour la société en général.
Pour une entreprise, il y a plusieurs raisons de collecter des données. Les principales sont : la planification interne, le développement de produits, la publicité, la fixation des prix et la revente des données. Une meilleure planification et un meilleur développement des produits tendent à profiter à tout le monde, puisque l’entreprise devient plus apte à satisfaire les besoins de ses clients. Toutefois, une publicité et une tarification mieux informées peuvent présenter des inconvénients pour les clients d’une entreprise : la publicité manipulatrice peut devenir plus efficace et les prix peuvent être adaptés pour être plus élevés pour les clients dont on pense qu’ils sont capables et désireux de payer. Bien entendu, des aspects positifs subsistent : une meilleure publicité peut permettre aux clients d’être informés sur un produit qui leur est utile ou agréable, et certaines personnes pourront s’offrir davantage de services grâce à une meilleure tarification. En revanche, la revente des données est une boîte de Pandore qui ne permet pas de savoir à quelles fins les données peuvent être utilisées : la propagande politique ou la répression, l’évaluation des candidats par les employeurs potentiels ou les assureurs, le chantage, l’usurpation d’identité et d’autres utilisations criminelles deviennent possibles, même si, comme auparavant, l’amélioration du ciblage des produits, de la publicité et de la tarification adaptative sont des conséquences plus courantes. Chez SCA, l’amélioration des produits est la principale utilisation, et nous utilisons également les données pour la planification et la publicité de nos propres produits, mais nous évitons la tarification personnalisée. La collecte de données peut être utilisée de deux manières pour améliorer les produits. Premièrement, elle peut influencer la manière dont les nouveaux produits sont choisis, conçus et ciblés. Deuxièmement, les produits utilisant l’apprentissage automatique bénéficient directement des données collectées en formant le système d’intelligence artificielle sur (une partie de) ces données.
Dans le paragraphe précédent, nous avons examiné les avantages et les inconvénients causés intentionnellement par la collecte de données. Cependant, la collecte de données peut avoir des conséquences involontaires, en particulier les données collectées peuvent être volées ou faire l’objet d’une fuite. Les fuites constituent la menace la plus directe pour la vie privée, car elles transforment des informations privées en informations largement accessibles, voire en connaissances communes. Toutefois, les données volées peuvent également être utilisées sans être divulguées, notamment pour des activités criminelles telles que le vol de comptes bancaires, l’accès illégal à des informations privées ou confidentielles (à l’aide de mots de passe volés), l’usurpation d’identité ou le chantage.
Il est donc important pour une entreprise de protéger ses utilisateurs en protégeant les données qu’elle recueille. Là encore, on peut se demander comment les intérêts d’une entreprise peuvent être alignés sur ceux de ses utilisateurs. La protection des données collectées est coûteuse pour l’entreprise, alors que les coûts du vol de données sont souvent, dans un premier temps, supportés par les utilisateurs. La réponse est double : la transparence et les obligations légales. La transparence permet à une entreprise de tirer profit de son souci de la sécurité en communiquant à ce sujet et en étant choisie par un plus grand nombre de clients pour cette raison. (Le présent document espère, à sa manière, remplir exactement cette fonction !) Cependant, la transparence ne résout pas complètement le problème, car elle fait peser sur les clients la charge de s’assurer que l’entreprise est diligente et exige de cette dernière qu’elle soit suffisamment honnête. Par conséquent, des lois ont été adoptées pour obliger les entreprises à assurer la protection des données et de la vie privée de leurs clients (ou utilisateurs) et des tiers. [Notes de bas de page : Les entreprises sont souvent en mesure d’obtenir des informations sur bien plus que leurs propres utilisateurs. Par exemple, lorsqu’une photo est téléchargée sur un réseau social, les données de toutes les personnes qui y figurent deviennent accessibles]. Ce sujet sera abordé dans la section suivante.
Section 2 – Les réglementations en matière de confidentialité des données catalysent la collecte responsable des données.
Le règlement général sur la protection des données (RGPD) est la réglementation applicable adoptée par l’Union européenne (UE) pour protéger la confidentialité et la sécurité des données personnelles des consommateurs dans tous les États membres. Ses dispositions, amendes et pouvoirs de sanction s’appliquent à tous les États membres mais s’étendent également au-delà du territoire de l’UE si les entreprises collectent des données personnelles relatives à des personnes vivant dans l’UE ou si les effets du traitement des données peuvent avoir des conséquences sur le territoire de l’UE.
En raison de l’importance du GDPR pour renforcer la confiance des consommateurs dans le traitement des données et pour donner plus de droits aux individus concernant leurs données, cette loi est considérée dans le monde entier comme un exemple législatif positif qui établit des normes internationales pour la protection des données et de la vie privée.
Bien que la Suisse ne fasse pas partie de l’UE, le gouvernement suisse a promulgué sa propre loi sur la protection des données, appelée Loi fédérale sur la protection des données (LPD), qui s’applique au traitement des données personnelles par des personnes physiques, des personnes privées ou des entreprises.
En 2020, la LPD a été entièrement révisée (nFADP) et devait entrer en vigueur en 2022, mais cette échéance a été repoussée au 1er septembre 2023.
Le nFADP s’inspire largement du GDPR ; cependant, il introduit quelques dispositions distinctes dans un effort d’adaptation aux nouveaux changements sociaux et technologiques que nous connaissons aujourd’hui. Par exemple, le nFADP renforce la transparence du traitement des données à l’égard des consommateurs en augmentant les obligations des sous-traitants de fournir des informations plus complètes sur les données qu’ils collectent. Le nFADP cherche également à accroître la responsabilité des infractions et du non-respect des règles au sein des structures des entreprises en prévoyant des sanctions sous la forme d’amendes pour les personnes physiques/employés, au lieu d’amender uniquement les entreprises, comme c’est le cas dans le GDPR. Par conséquent, tout employé qui commet une violation de la vie privée sera tenu pour responsable, à condition que son action ait été intentionnelle.
Plus les risques associés à un certain ensemble de données sont élevés, plus les dispositions légales sont strictes.
Une approche d’évaluation des risques a été élaborée en divisant les données en trois catégories : les données personnelles, les données sensibles et les données non personnelles.
En général, les données personnelles sont tout ce qui peut être utilisé pour identifier une personne, par exemple : une adresse IP, un titre ou une distinction qui pourrait identifier une personne de manière unique, un identifiant de cookie. Par conséquent, non seulement le nom, l’adresse, le portrait ou la photo et le numéro de téléphone sont considérés comme des données à caractère personnel, mais aussi toute autre information qui pourrait être utilisée en corroboration avec d’autres données pour identifier une personne.
Seules les données à caractère personnel sont soumises au RGPD, mais qu’en est-il de l’anonymisation des données à caractère personnel ?
Les données non personnelles peuvent être tout type de données qui ne contiennent pas d’informations permettant d’identifier une personne. Les données non personnelles ne sont pas réglementées et peuvent être collectées à n’importe quelle fin sans consentement et stockées pour une durée indéterminée.
Supposons que les données soient modifiées de telle sorte qu’il devienne impossible de retrouver le lien entre les données anonymes et une personne. D’un point de vue juridique, ces données sont considérées comme non personnelles.
Un cas intéressant est celui où les identifiants personnels d’un ensemble de données sont cryptés, masqués ou cachés, mais où une réassociation ultérieure avec les personnes concernées est toujours possible ou souhaitée. Dans ce cas, les données pseudonymisées ont le statut juridique de données à caractère personnel, mais uniquement pour ceux qui peuvent décrypter ou réidentifier les personnes concernées de quelque manière que ce soit.
L’anonymisation ou la pseudonymisation des données est un excellent outil pour protéger les informations privées, réduire les risques de violation des données et garantir la conformité. Néanmoins, cela peut s’avérer difficile, en particulier avec des ensembles de données plus complexes ou mixtes. Il est difficile de dire s’il ne sera plus possible d’identifier une personne ou de relier les sujets à l’ensemble des données en raison des progrès technologiques ou des grandes quantités de données collectées et stockées au fil du temps. Dans la prochaine section de l’article, nous reviendrons sur ce sujet et nous parlerons plus en détail de l’anonymisation au sein de l’ACS.
Section 3 – Comment assurons-nous la sécurité des données chez SCA ?
Il est inévitable de conserver des données personnelles. Il suffit que des étudiants s’inscrivent à un cours sur notre site web pour que nous disposions d’informations personnelles de base les concernant et que nous les protégions. Nous nous assurons de recevoir le consentement éclairé de la personne concernée en formulant notre politique de confidentialité de manière claire et transparente, avec des informations spécifiques et actualisées sur les données que nous collectons. Notre politique de confidentialité est disponible en bas de page de notre site web. Toutefois, nous ne collectons aucune donnée sensible et nous ne vendons ni ne partageons aucune donnée personnelle.
Chez SCA, les données personnelles sont rendues anonymes conformément aux normes GDPR et nFADP, tandis que nous maintenons les mêmes normes de sécurité élevées pour les données non personnelles et personnelles. En interne, seuls quelques employés ont accès aux données non personnelles de SCA, et encore moins aux données personnelles. Nous gérons les autorisations des utilisateurs individuels afin de limiter au maximum l’accès aux ensembles de données. Même au sein de l’entreprise, nous évitons de partager les données, nous partageons plutôt les résultats découlant du traitement des données sur la base du « besoin de savoir ».
SCA veille à ce que la sécurité des données de ses utilisateurs ne dépende pas des entreprises avec lesquelles elle travaille en anonymisant les informations qu’elle partage avec elles. Cela signifie que les informations auxquelles ces entreprises ont accès ont tous les noms des apprenants (ou dans certains cas les adresses électroniques) remplacés par des codes (et des adresses électroniques basées sur des codes) et que SCA est seule en possession de la table de correspondance entre les noms des apprenants (et d’autres caractéristiques d’identification comme les adresses électroniques ou les adresses physiques qui constituent des données à caractère personnel) et les codes. De plus, nous ne donnons accès aux données (anonymisées) des apprenants, le plus souvent possible, qu’à des entreprises basées et hébergeant leur serveur en Suisse.
Le remplacement des noms par des codes appelés identifiants se fait automatiquement. Par exemple, lorsqu’un élève répond à une question dans l’application SCA, si la question est hébergée par Taskbase, elle est demandée sur la base d’un code pour l’apprenant et le serveur Taskbase nous renvoie des données en utilisant le même code. Les données reçues par nos serveurs sont ensuite désanonymisées pour fournir un retour d’information à l’étudiant et pour une utilisation interne dans le cadre de l’analyse.
Chez SCA, nous sensibilisons nos employés à la protection des données et nous leur expliquons comment ils peuvent mieux contribuer à cette protection. Outre l’utilisation d’outils et de logiciels de sécurité (tels que le cryptage, l’antivirus et la double authentification), le partage de tout type de fichier en externe/interne se fait de manière responsable en évitant de l’envoyer par courrier électronique personnel ou par le biais d’outils de partage de fichiers grand public. Il est important pour nous de disposer d’une infrastructure sûre où nous conservons nos données et d’éviter le transfert temporaire de données par l’intermédiaire de serveurs situés à l’étranger. C’est pourquoi nous avons choisi un service de stockage en nuage basé en Suisse et entièrement conforme aux lois sur la protection des données.
On ne saurait trop insister sur l’importance de la collecte de données et sur ses avantages et inconvénients potentiels, en particulier dans la société actuelle où les technologies de l’information facilitent grandement la collecte, la conservation et l’analyse des données. Nous avons décrit les pratiques de collecte de données à la Swiss Connect Academy et contextualisé ces pratiques en expliquant leur cadre juridique et les valeurs auxquelles elles répondent. Cependant, nous avons essayé de décrire une cible mouvante : Nous révisons régulièrement nos pratiques de sécurité et réfléchissons à la manière de rester fidèles à nos valeurs, comme la protection de nos utilisateurs et de leur vie privée, car, comme le proclame la Reine rouge, « il faut courir sans cesse pour rester au même endroit ».
1.Article 3 GDPR. Territorial scope
2.Chapter 3 revFADP: Obligations of the person responsible and the processor
3.Article 60 revFADP: Violation of information, disclosure and cooperation obligations
