Le droit à la portabilité : deux initiatives dans le cadre du projet NGI DAPSI

Le droit à la portabilité est certainement l’une des innovations les plus intéressantes du RGPD. Il organise la concurrence entre les fournisseurs de service en permettant le transfert des données des individus d’un fournisseur à un autre, mais également et surtout il donne du pouvoir aux individus sur l’exploitation de leurs données. Cependant, avec une série d’obstacles comportementaux mais aussi techniques, ce droit n’est pas facile à exercer.

En 2016, la Commission européenne lance une nouvelle initiative « Next Generation Internet » (NGI) dans le but de façonner l’internet du futur pour qu’il soit plus inclusif, ouvert et transparent.

Dans ce cadre, le projet DAPSI porte sur la possibilité de rendre effectif le droit à la portabilité, en soutenant la mise en place de solutions techniques en open source. (5)

Doté d’un budget de 7 millions d’euros sur une durée de 3 ans (2019-2022), le projet est constitué d’un consortium de 6 partenaires dans 5 Etats membres. La coordination du projet est assurée par Zabala Innovation Consulting en Espagne. Le pôle de compétitivité Cap digital en France est responsable du Work Package portant sur le programme d’accélération.

Avec 3 appels à projets, DAPSI a retenu et financé 46 lauréats parmi lesquels figurent XWiki SAS et Alias.

La SAS XWiki, créée en 2004, emploie aujourd’hui 40 collaborateurs. La société a mis au point Xwiki, une plateforme collaborative accessible en open source permettant le partage de connaissances. En 2014, elle a commencé à développer Cryptpad, une nouvelle solution d'édition collaborative en temps réel et chiffrée, qui, à partir de 2020, a intégré différentes fonctionnalités de partage tout en garantissant qu’à tout moment, le serveur ne pouvait lire l’information des utilisateurs. 

Aujourd’hui, l’industrie numérique propose des niveaux d’interopérabilité très bas, si on la compare au secteur des télécoms. Il n’est pas possible par exemple de faire une visioconférence sur un outil connecté avec l’outil d’un concurrent. La portabilité est une question clef dans la compétition entre les offreurs de solutions, d’autant que les acteurs dominants ont tendance à rajouter des fonctionnalités et de la complexité.

Par ailleurs, les utilisateurs ne se rendent pas toujours compte que le service gratuit offert par le business model massif du web est fourni en échange de la donnée de l’utilisateur qui va être utilisée d’une façon ou d’une autre. Si la RGPD a établi des règles pour informer les utilisateurs, les fournisseurs de services vont souvent utiliser différentes circonvolutions pour que les utilisateurs ne cliquent pas sur « refuser ».

Dans le cadre du projet DAPSI, la société a développé une technologie qui permet de faire des imports/exports de document et Cryptpad offre aujourd’hui une suite collaborative en garantissant une confidentialité des informations, sans tracking ni d’exploitation des données personnelles.

En s’appuyant sur le respect de la protection des données et la propriété des données XWiki promeut les valeurs de l’open source dont le point fort est le contrôle qu'ils offrent aux utilisateurs.

Et face aux enjeux de souveraineté numérique, la société, membre de plusieurs associations promouvant les logiciels libres [1], fait partie des entreprises qui plaident pour des technologies souveraines en Europe.
 

[1] Hub open source, le conseil national des logiciels libres (CNLL), OW2, l’alliance Euclidia

Partant du constat en 2019 que le droit à la portabilité « ne fonctionnait pas », une équipe de développeurs a voulu construire une solution open source pour aider les personnes à récupérer leurs données afin de devenir souverain sur leurs données, récupérer en quelque sorte « leur capital numérique ».

Le projet DAPSI a permis de faire avancer le projet en 2020. Il s’agissait de montrer qu’avec l’appui du projet européen, il était possible de développer une telle technologie avec un laboratoire de recherche public, l’INRIA start up Studio, qui permet d’identifier les données et de les envoyer à un utilisateur.  La création d’une société avec quelques investisseurs financiers a permis la poursuite du projet à partir de 2021.

L’étude menée dans un premier temps auprès de 300 organisations, avec 1000 demandes de données effectuées, a permis de dresser le constat (6). 

La quasi-totalité des entreprises ne respectent pas le droit à la portabilité. Si des données sont fournies, elles n’ont que peu de valeur. Elles se limitent à ce qui est tapé sur le clavier.  Adressées en format word, excel ou pdf, elles ne sont pas lisibles par des machines et ne sont donc pas utilisables. Les demandes font l’objet en retour de demandes de justificatifs…55% des entreprises et 75% des administrations enquêtées ne respectaient pas le délai réglementaire de 30 jours pour envoyer les données. 

98% des entreprises gèrent le sujet en utilisant des documents statiques, des tableurs excel. Le traitement des demandes qui leurs sont formulées est manuel. Le coût pour une demande dans une entreprise de plus de 250 salariés humains et matériels a pu être estimé à 1400 dollars.

La seconde partie du projet a donc consisté à prendre le problème « par l’autre bout », en cherchant à fournir aux entreprises les solutions pour récupérer leurs données.

Avec la technologie mise au point avec l’INRIA, en introduisant des capteurs dans les systèmes d’information, et en accumulant la connaissance de l’ensemble des cas de jurisprudence produits, il a été possible de développer un outil permettant de fournir des instructions dynamiques en temps réel, directement automatisables dans les systèmes d’information.

Ce service offre aux sociétés les meilleures pratiques du RGPD « directement dans leurs codes ». Il a l’ambition de démontrer que la réglementation est applicable en l’état plutôt que de chercher à abaisser son niveau d’exigence.