Google a annoncé le vendredi 20 juillet 2018 sa collaboration avec Facebook, Twitter et Microsoft sur le “Data Transfer Project” destiné à faciliter la portabilité des données.
Rappels préalables sur le principe de portabilité des données
Le droit à la portabilité des données est introduit par l’article 20 du Règlement européen sur la protection des données personnelles (RGPD):
“Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable de traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable de traitement.
Lorsque la personne concernée exerce son droit à la portabilité des données en application du paragraphe 1, elle a le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible. “
Comme l’explique la CNIL, ce droit permet de “demander à récupérer des données que vous avez fournies à une plateforme, pour un usage personnel ou pour les transmettre à un tiers de votre choix”. Elle ajoute que l’organisme “doit vous proposer des formats de données adaptées au type de données concernées, en privilégiant des formats ouverts, interopérables”.
Les données devant être réutilisables, les formats informatiques dits “ouverts” sont adaptés : ils sont facilement ouvrables et modifiables par différents logiciels et permettent cette interopérabilité.
Cependant, les données au format dit “propriétaire” peuvent nécessiter un programme particulier pour être réutilisés. La portabilité de telles informations peut donc être compromise. Si elle est possible, une étape de téléchargement et de conversion est toutefois nécessaire pour transférer ces données vers une nouvelle plateforme.
L’enjeu de la portabilité des données est un sujet qui intéresse Google depuis plusieurs années. C’est ainsi qu’en 2011 naissait le projet “Takeout”, devenu “Download Your Data”. Ce dernier permet aux utilisateurs de transférer leurs données entre les services proposés par Google grâce à des services de stockages tels que Dropbox, Box et OneDrive.
Le “Data Transfer Project”
Le “Data Transfer Project” est plus ambitieux que le précédent projet. Il intègre les obligations issues du GDPR. Les fonctionnalités développées permettent le transfert ou le téléchargement direct de données d’une plateforme à une autre.
L’utilisateur évite ainsi les deux étapes de téléchargement traditionnelles, à savoir : télécharger les données qu’il souhaite récupérer (download) et les charger vers un nouveau serveur (upload).
En outre, le “Data Transfer Project” prend en compte les risques d’incompatibilité fichier des serveurs et de leurs données. Les responsables de traitement impliqués travaillent sur des outils et des formats de fichiers informatiques standardisés et communs.
Les propriétaires API (Applications Programming Interface) sont convertibles selon un ensemble de formats standard. A ce jour, ces adaptateurs correspondent à cinq types de données, utilisés par sept fournisseurs.
Enjeux
Deux intérêts majeurs sont mis en avant par Google dans ce projet :
la protection des données personnelles de la personne concernée ;
le contrôle de la personne sur ses données.
“Data Transfer Project” passe par l’autorisation préalable du transfert par l’entreprise et par l’identification de chaque utilisateur à un compte indépendant. Toutes les données, actives ou non, sont cryptées. Le protocole de transfert passe par une confidentialité de transmission parfaite (perfect forward secrecy - PFS) et requiert une clé de cryptage différente pour chaque transfert.
Par ailleurs, le projet se développe en Open source, ou code source ouvert. Son principe est tourné vers le développement collaboratif : l’accès au code est ouvert à tout le monde afin qu’il soit amélioré puis redistribué. Google y voit aussi l’opportunité pour les utilisateurs de vérifier que des données personnelles ne sont pas collectées ou utilisées pour des traitements automatisés de données, notamment de profilage.
Pour rappel, le profilage est défini par l’article 4 GDPR :
“Toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique”.
Dans son communiqué, Google a aussi fortement incité les développeurs à se joindre à cette initiative pour compléter et agrandir le set de données, le nombre de fournisseurs et d’hébergements.
Contexte d’actualité difficile pour Google
La promotion du “Data Transfer Project” intervient cependant dans une actualité tendue pour Google. Le géant mondial a été condamné à une amende record de 4,34 milliards d’euros par la Commission européenne le 17 juillet dernier pour pratiques illégales concernant les appareils mobiles Android en vue de renforcer la position dominante de son moteur de recherche.
La commissaire chargée de la politique de concurrence, Margrethe Vestager, a expliqué : “Aujourd’hui, l’internet mobile représente plus de la moitié du trafic internet mondial. Il a changé la vie de millions d’Européens. L’affaire qui nous occupe porte sur trois types de restrictions imposées par Google aux fabricants d’appareils Android et aux opérateurs de réseaux pour faire en sorte que le trafic sur les appareils Android soit dirigé vers le moteur de recherche de Google. De cette manière, Google utilise Android comme un véhicule pour consolider la position dominante de son moteur de recherche. Ces pratiques ont privé ses concurrents de la possibilité d’innover et de lui livrer concurrence par leurs mérites. Elles ont privé les consommateurs européens des avantages d’une concurrence effective sur le marché important des appareils mobiles. Cette pratique est illégale au regard des règles de l’UE en matière de pratiques anticoncurrentielles”.
Espérons qu’aucun nouvel obstacle ne viendra freiner cette initiative a priori en faveur de l’utilisateur.
Claire GIMENES
Pour lire la déclaration de Google sur le Data Transfer Project : https://opensource.googleblog.com/2018/07/introducing-data-transfer-project.html
Pour lire le communiqué de presse de la Commission européenne sur la condamnation de Google : http://europa.eu/rapid/press-release_IP-18-4581_fr.htm
Pour en savoir plus sur le droit à la portabilité des données : https://www.cnil.fr/fr/le-droit-la-portabilite-obtenir-et-reutiliser-une-copie-de-vos-donnees
Comments