Le blog de Céline Delforge

La carte à puce Mobib, peu à peu généralisée sur le réseau STIB, pose bon nombre de questionnements quant au respect de la vie privée, aux risques de piratage ou d’utilisation abusive des données ou de dérives publicitaires. Une interpellation à Pascal Smet sur le sujet en commission infrastructure du 16 juillet 2008

M. le président.- La parole est à Mme Delforge pour son interpellation jointe.

Mme Céline Delforge.- M. le président, je ne vais pas revenir sur la description de la carte MOBIB, puisque M. Madrane s'en est parfaitement acquitté. Je suppose que M. le ministre a au moins eu vent d'une émission de la RTBF, qui s'est fortement intéressée à cette carte sous l'angle du respect de la vie privée.

Je me suis plongée dans nos annales parlementaires, car nous avions quelque peu abordé ce problème. J'ai ainsi retrouvé une question écrite de M. de Patoul sur l'adéquation entre MOBIB et le respect de la vie privée. Vous aviez répondu que la commission pour la protection de la vie privée avait été étroitement consultée et impliquée.

Malheureusement, vous ne précisiez pas qu'elle avait manifesté quelques inquiétudes et qu'elle ne souhaitait pas ajouter "le profilage de la clientèle aux finalités pour lesquelles les autorisations en possession de la STIB lui ont été accordées".

Au cours de cette émission, un représentant de la STIB, apparemment en charge de la billétique, déclarait : "Nous allons savoir que tel client est plutôt un utilisateur d'abonnement, de carte de dix voyages. Ça, c'est important, c'est son profil d'achat de type de transport. Nous devrons avoir des actions marketing inévitablement ». La dérive publicitaire est donc clairement annoncée et fait manifestement partie des objectifs du recueil de données personnelles, sans le consentement des intéressés.

Il suffira donc d'être usager de la STIB pour recevoir des publicités. Vous savez que je défends les transports en commun, mais de là à être bombardée de promotions diverses et variées sans en avoir exprimé l'envie ! Quand il ne s'agira pas d'autres sujets : par exemple, les adolescents se rendant souvent à la Porte de Namur pourront ainsi recevoir des promotions pour les inciter à aller manger un hamburger gratuit dans certaines chaînes de fast-food. Le risque est d'autant plus grand qu'à terme, d'autres entreprises, partenaires de la STIB, auront accès à MOBIB.

La question est donc très simple : sera-t-il encore possible d'être un utilisateur de transports en commun sans automatiquement devenir un objet de marketing? Comme utilisatrice de service public, cela me pose un problème. Comment garantir que les enfants ne seront pas également la cible de publicitaires?

Cette relation entre l'utilisation d'un service public et l'envoi ciblé de publicités est quand même relativement particulière. Comment le voyageur pourra-t-il accéder aux données qui le concernent, qu'elles soient en possession de la STIB ou d'autres opérateurs actifs dans le processus ? Comment pourra-t-il être informé, régulièrement et à titre individuel, de l'usage des données à son sujet ?

Quelles sont les garanties que ce système ne risque pas rapidement d'être piraté, que ce soit dans un but de fraude ou dans un objectif bien plus angoissant de recueil illégal de données personnelles? Quelles sont les garanties qu'une fois le système mis en place, il n'y aura pas de changement dans l'utilisation des données ? Combien de personnes de la STIB auront accès à ces informations ? Qui seront-elles, quel sera leur statut ? Sous quelles conditions: vont-elles devoir prêter serment, signer un document ?

Serait-il possible de dissocier les informations contenues sur la puce de celles concernant l'identité du détenteur du titre de transport ? Il suffirait d'utiliser une carte avec le nom et la photo du détenteur, sans que ces informations figurent sur la puce. Dans ce cas, les données en termes de gestion de la mobilité seraient disponibles, tout en protégeant l'identité des voyageurs. Sinon, il sera facile d'identifier les trajets parcourus par telle ou telle personne, un député ou un conseiller communal par exemple, qui bénéficie d'un libre-parcours.

Dans le dispositif seront également disponibles des cartes MOBIB jetables. Avez-vous prévu un système de recyclage de ces cartes ? Celles-ci contiennent en effet du métal et du plastique et sont de nature à davantage polluer que l'actuel ticket en carton.

M. le président.- La parole est à M. Smet.

M. Pascal Smet, ministre.- A la lecture de l'avis de la commission pour la protection de la vie privée, il semble qu'il y ait malentendu. La STIB a informé la commission pour la protection de la vie privée de son intention de substituer à sa billetterie magnétique un système plus moderne de carte à puce. Elle a donc pris connaissance du projet MOBIB, mis actuellement en service par la STIB.

La STIB a également informé la commission du fait que cette carte contiendrait des données à caractère personnel (nom, prénom, âge et photo du titulaire), permettant d'identifier le bénéficiaire de la prestation de transport. Soulignons que l'introduction par la STIB d'une carte personnalisée n'a pas été mise en cause par la commission pour la protection de la vie privée. Le système actuel n'apporte d'ailleurs rien de nouveau, puisque ces données apparaissaient déjà sur les anciens abonnements. En outre, la situation est semblable dans les autres Régions.

Moyennant la non-utilisation des données à des fins de profilage, la commission pour la protection de la vie privée a donc accepté, dans sa décision du 23 janvier 2008, la demande d'autorisation introduite par la STIB et a admis que celle-ci fasse appel à des sous-traitants pour la confection des cartes. La commission a indiqué que, sur le verso du formulaire MOBIB, il devait être précisé - ce qui a été fait - que les données collectées ne seraient en aucun cas communiquées à des tiers à des fins de marketing direct.

Le "profilage", que la STIB souhaitait initialement réaliser, consistait uniquement à poser des questions relatives au profil de sa clientèle, dans le but d'adapter au mieux son offre de transport. Il s'agissait de questions relatives à la profession du client - employé, retraité, indépendant, sans emploi, étudiant, ouvrier ou autre -, au temps depuis lequel il est client de la STIB - moins d'un an, d'un an à cinq ans ou plus de cinq ans -, et au fait qu'il possède éventuellement un véhicule personnel pour ses déplacements quotidiens.

La commission de la protection de la vie privée a remis un avis négatif sur ces trois questions, pour une raison inexplicable, car ces données sont d'un ordre très général et ne permettent à aucun moment d'identifier davantage l'utilisateur. N'importe quel site web ou n'importe quelle banque pose des questions de cet ordre, en entrant même davantage dans les détails. Toutes les autres questions sont acceptées et autorisées.

La STIB sera à présent obligée de réaliser une enquête très coûteuse auprès de ses clients. Il ne s'agissait en aucune manière de suivre l'itinéraire du client. Il n'y a donc pas lieu aujourd'hui de créer un amalgame entre cette notion de "profilage" et un "suivi individualisé du parcours du client", qui est d'ailleurs inexistant, puisqu'on ne demande pas un droit de diffusion des données personnelles. Contrairement à d'autres réseaux comme celui de la SNCB et de De Lijn, la STIB ne demande pas quand on sort, mais simplement quand on entre sur son réseau.

A la suite de la décision de la commission de la protection de la vie privée, la STIB a supprimé les questions relatives au profil de ses clients dans le formulaire de demande de la carte MOBIB.

A propos d'une hypothétique traçabilité des utilisateurs des transports publics bruxellois, il convient de préciser que la STIB a adopté des principes rigoureux de gestion interne des données.

Voici comment ceux-ci s'organisent. En plus des données personnelles de son titulaire, la carte MOBIB contiendra les titres de transport achetés ou reçus par ses clients, ainsi que les dates de validité des abonnements et le solde des voyages toujours disponibles sur la carte.

Lors de l'utilisation des transports publics, le client doit présenter sa carte devant un appareil de validation, afin que celui-ci lise électroniquement les contrats actifs dans la carte. Le valideur, comme son nom l'indique, valide alors le titre de transport et, dans un avenir plus éloigné, permettra l'ouverture des portes d'accès qu'il est prévu d'installer dans le métro et le pré-métro.

Les données de validation (numéro de carte, lieu, date et heure de validation), qui ne comprennent pas l'identité de l'utilisateur, sont stockées physiquement dans une base de données, séparée de celle des clients.

(…)

Mme Céline Delforge.- M. le ministre, la puce contient-elle l'identité du client ?

M. Pascal Smet, ministre.- Oui, l'identité est bien reprise. En revanche, au moment de la validation, c'est le numéro de la carte qui est enregistré, pas l'identité de la personne. Pour établir la correspondance entre le numéro et le client, il faut avoir accès à une banque de données distincte. Les lois se montrent très sévères en la matière, menaçant de peine d'emprisonnement quiconque y contrevient. Les fonctionnaires de la STIB ne vont donc pas commencer à s'amuser avec ces données.

Ces données de validation sont indispensables à la STIB pour calibrer son offre de transport de manière à lui permettre de répondre au mieux à la demande réelle de sa clientèle, conformément aux obligations de son contrat de gestion. Les données de validation enregistrées sont anonymes, mais elles comprennent cependant le numéro de la carte. Cela pourrait permettre à des personnes qui auraient accès à l'ensemble des bases de données d'identifier par rapprochement les clients concernés. Soucieuse de garantir l'anonymat des données de validation, et afin d'éviter que l'itinéraire d'un client puisse être retracé, la STIB a inscrit le principe selon lequel une même personne ne peut avoir accès aux différentes bases de données. Je connais ce type de système par coeur, puisque j'ai été commissaire général aux apatrides.

Nous pouvons savoir qui a consulté la banque de données, et pour quelles raisons. Les données de validation ne sont donc jamais jointes aux données nominatives des utilisateurs. Dès lors, contrairement à ce qui a été parfois affirmé de manière erronée dans les médias, il n'existe par conséquent aucune donnée nominative comportant des renseignements sur la validation, qui soit conservée ni un mois, ni 48h, ni même une heure. Si des données de validation devaient être conservées, celles-ci ne le seraient que de manière anonyme et pour un temps limité.

En effet, la répression de la fraude implique également que la STIB soit en mesure de prouver les éventuelles infractions aux obligations des utilisateurs des transports publics qu'elle constaterait. A cette fin, il est indispensable que la STIB puisse produire un extrait des données de validation des titres de transport en cas de contestation de l'infraction par le voyageur.

L'employé qui pourrait avoir accès à des données personnelles dans le cadre de la répression de la fraude est tenu à la plus stricte confidentialité et s'engage au respect et à la non divulgation des informations dont il aurait connaissance en vertu de ses missions professionnelles.

J'espère que ces indications sont de nature à mieux vous informer et à vous rassurer quant au respect par la STIB des aspects liés à la protection de la vie privée dans le cadre du projet MOBIB. Tout abus sera sanctionné par de lourdes peines.

En réponse aux questions de Madame Delforge qui craint que le voyageur de la STIB ne devienne un outil de marketing ou la proie de publicitaires, je vous informe que les seuls produits ou services qui pourront faire l'objet d'une promotion commerciale et/ou de l'envoi d'une newsletter sont ceux offerts par la STIB. Les données recueillies via le formulaire MOBIB ne seront en aucun cas communiquées à des tiers à des fins de marketing direct. Le formulaire MOBIB énumère les finalités d'utilisation des données transmises, à savoir : fabrication, utilisation de la carte MOBIB, conclusion et gestion des contrats de transports, et enfin envoi ciblé de promotions commerciales et/ou de la newsletter, uniquement pour des produits ou services de la STIB.

Il y est également précisé que dans le cas où la STIB ou ses sous-traitants seraient amenés à effectuer d'autres traitements des données, le client sera contacté et il lui sera loisible de refuser. Enfin, ce n'est ni à la STIB, ni au gouvernement, ni au parlement de se prononcer sur le fait que tel ou tel aspect de l'utilisation de la carte MOBIB respecterait ou non le principe de la vie privée, mais bien à l'institution fédérale compétente en la matière, à savoir la commission de la protection de la vie privée, laquelle applique les lois et les normes de ce pays. Nous devons par contre veiller attentivement à ce que les décisions de cette commission soient scrupuleusement respectées. Le respect de la vie privée est une priorité fondamentale.

Chacun peut évidemment avoir sa propre opinion, mais notre système actuel de droit nous oblige de tenir compte de la loi fédérale ou du Code pénal. C'est la base de référence. On pourrait trouver que la loi sur la vie privée n'est pas assez stricte, mais c'est un autre débat. Le juge qui doit décider si l'affaire respecte la vie privée est la commission pour la protection de la vie privée. Il est loisible à chacun d'avoir sa propre opinion. Toutefois, la STIB sera toujours obligée de respecter les décisions de la commission de protection de la vie privée.

(…)

En ce qui concerne la question de Mme Delforge, relative à la sécurisation lors de la transmission des informations, la STIB me signale que, pour chaque valideur, le code de sécurité est vérifié avant la transmission des données et que celles-ci sont également codées. Cette sécurisation à différents niveaux assure la protection des données. Quant au recyclage des cartes à puce jetables, il est prévu à terme. Il est convenu avec le fournisseur que le recyclage des cartes sera pris en charge par ce dernier. Le papier de la carte peut être recyclé, l'encre argentée est biodégradable et la puce peutêtre fondue pour réutilisation.

(poursuivant en néerlandais)

Un petit problème subsiste effectivement pour la délivrance des cartes MOBIB, qui sera résolu le plus rapidement possible. La STIB en a informé les demandeurs par courrier. Chaque chauffeur dispose d'un manuel complet sur le contrôle des titres de transport.

(poursuivant en français)

J'ai également lu l'avis de la commission pour la protection de la vie privée. A part quelques remarques ou des notions à ajouter, elle ne constate de problème qu'à propos de trois questions du formulaire : celle concernant la situation d'employé, de retraité ou d'indépendant, celle concernant la possession ou non d'une voiture et celle demandant si la personne est un client. Je tiens les deux formulaires à votre disposition. En matière de traitement des données, tout a été accepté par la commission. J'admets que le langage juridique est sans doute difficile.

Je l'ai remarqué en lisant les pages A3 et A4. Le texte comporte des termes assez forts, mais lorsqu'on vérifie à quoi ils correspondent, l'impact est assez limité.

(…)

M. le président.- La parole est à Mme Delforge

Mme Céline Delforge.- M. le ministre, si la STIB doit disposer d'un fichage et d'une traçabilité complète de ses clients pour savoir comment répondre à leurs attentes, je peux émettre d'autres idées concernant les ruptures de charge, les temps d'attente, les fréquences, etc. Nul besoin de se servir d'un système informatique très subtil pour savoir comment améliorer le service de la STIB à ses usagers. Faire passer pour indispensable quelque chose qui n'existait pas jusqu'à présent, c'est légèrement fallacieux.

D'autre part, votre réponse à propos de la vie privée est plutôt contradictoire : "il existe deux bases de données qui ne peuvent être corrélées... mais en fait si, pour des raisons techniques, et afin de traquer les fraudeurs". Je suppose que, peu après, il en ira de même avec les TEC, Interparking, etc. J'imagine que nous aurons un numéro de client pour tous les opérateurs et qu'il sera possible d'établir des recoupements assez intéressants, que ce soit à des fins de marketing ou pour tracer des gens. Je rappelle qu'il existe une polémique sur les techniques spéciales d'enquête et de recherche, sur l'application de plusieurs lois et sur la filature à leur insu de personnes innocentes .

J'estime que c'est une grave erreur d'affirmer que les technologies, leur application, le respect de la vie privée et les questions éthiques, ne doivent plus être discutées dans les enceintes politiques. Vous nous dites qu'il y a des lois et qu'il existe une commission pour la protection de la vie privée. Or, celle du pays voisin pense autrement. C'est la preuve qu'il y a à tout le moins matière à interprétation et que nous avons un rôle politique à jouer.

Nous ne sommes pas idiots, nous sommes capables de réfléchir ! Des dérives sont peut-être possibles et des précautions doivent être prises. Des choix politiques doivent donc être opérés. Même si nous ne sommes pas d'accord avec vous, ne nous déniez pas le droit de nous pencher sur la question et de nous en inquiéter.

Je suis du même avis que M. Madrane, votre réponse n'a pas apaisé certaines de nos inquiétudes, puisque des données pourront être croisées, notamment pour la répression de fraude. Je crois que les verrous n'existent pas. Dissocier les informations sur la validité de la carte de celles concernant l'identité du détenteur me paraît une solution acceptable.

Par ailleurs, je me réjouis du fait que les cartes MOBIB jetables seront recyclées.

(…)

M. le président.- La parole est à M. Smet.

M. Pascal Smet, ministre.- Je suis juriste de formation. Nous sommes dans un état de droit et il appartient aux tribunaux ou aux commissions spéciales de faire appliquer les lois sur la vie privée. Ce fut le cas ici. C'est à la commission créée à cette fin qu'il appartient de juger si le système projeté respecte les lois fédérales ou internationales sur le respect de la vie privée.

Chacun a évidemment le droit d'estimer que ces lois ne sont pas suffisamment strictes. Nous pouvons avoir un débat à ce sujet, car c'est notre rôle, mais ce n'est ni à moi, ni au gouvernement, ni au parlement de juger si les lois sont respectées.

Je suis à cet égard bien plus préoccupé par ce qui se passe sur le plan international. Lorsque nous voulons nous rendre en Amérique, nos données sont automatiquement transmises aux autorités américaines. C'est inquiétant. J'estime que le respect de la vie privée est très important. Je ne voudrais pas que la STIB fasse savoir que Céline Delforge a oblitéré sa carte à une heure du matin à tel endroit. Je ne voudrais pas non plus que la STIB dise quels membres de la commission Infrastructure utilisent une carte MOBIB. Ce sont évidemment des choses qu'elle ne peut pas faire. Nos lois sur la protection de la vie privée prévoient des sanctions très lourdes pour ceux qui se permettraient de telles dérives. Il faudrait vraiment être idiot pour dévoiler de telles informations.

Pourquoi avons-nous choisi cette solution à Bruxelles ? Nos valideurs sont en fin de vie. Au moment de les remplacer, la STIB a voulu s'inscrire dans une tendance qui se retrouve partout en Europe : Navigo à Paris, que vous avez mentionné, Oyster card à Londres, etc. Je trouve que l'introduction de cette carte est la preuve d'une bonne gestion.

La STIB est obligée de respecter l'avis de la commission pour la protection de la vie privée. Il n'y a pas de choix, pas de débat possible. La carte sera-t-elle anonyme ? Allez vérifier en France, mais à mon avis, une carte n'est jamais anonyme. Il y a toujours moyen de retrouver le nom du détenteur, puisqu'elle porte un numéro.

Ici, les précautions nécessaires ont été prises : les banques de données sont séparées, un nombre limité et connu de personnes y ont accès et, quand des informations sont consultées, le système informatique enregistre le nom de la personne qui le fait et à quel moment. De plus, en cas d'abus, les sanctions sont très élevées.

Les TEC et De Lijn sont soumis aux mêmes règles que nous. D'ailleurs, la technologie Calypso que nous utilisons est la même. Quand Interparking ou Cambio consulte vos données, ils ont accès à votre nom, comme quand vous utilisez le parking ou un abonnement. Cela sera peut-être intégré sur la même carte.

Il y a moins de données sur MOBIB que sur votre carte d'identité. Quand vous louez un dvd, on vous la demande, et on copie les données reprises sur la puce. Quelle est la différence entre retranscrire les données et les copier électroniquement ? C'est la seule raison pour laquelle ces données sont sur la puce, pour pouvoir les lire de manière électronique.

C'est la même chose à l'hôpital, à la mutuelle,... Vous pouvez demander à tout moment à la STIB ce qui se trouve sur votre puce, conformément à la loi fédérale sur la vie privée. Heureusement, il existe encore une loi fédérale sur la protection de la vie privée, avec un traitement des données identiques pour tous.