I. Exploitation des données
Quand la donnée devient une matière première politique
Cambridge Analytica s’est développée autour d’une idée particulièrement puissante : exploiter de grandes quantités de données pour mieux segmenter les électeurs, construire des profils et adapter les communications politiques aux publics ciblés.
En soi, l’utilisation de données pour comprendre une population ou adapter une communication n’est pas nécessairement problématique. La difficulté apparaît lorsque la collecte, les finalités, les informations fournies aux personnes et les conditions de réutilisation cessent d’être réellement maîtrisées.
Le problème n’est donc pas la donnée en elle-même. Il est la manière dont elle est obtenue, comprise, réutilisée et transformée en pouvoir d’action sur les personnes.
II. Collecte
Une application, quelques centaines de milliers d’utilisateurs, des dizaines de millions de profils concernés
L’affaire prend notamment sa source dans une application Facebook connue sous le nom « This Is Your Digital Life », développée par Aleksandr Kogan et son entreprise Global Science Research.
Environ 270 000 utilisateurs ont installé l’application. À l’époque, l’architecture de la plateforme Facebook permettait cependant également d’accéder à certaines informations relatives aux amis de ces utilisateurs, selon leurs paramètres et les règles techniques alors applicables.
L’échelle a donc rapidement dépassé les seules personnes ayant directement utilisé l’application. Facebook a estimé par la suite que les informations de jusqu’à 87 millions de personnes, principalement aux États-Unis, avaient pu être indûment partagées avec Cambridge Analytica.
Une question plus complexe qu’une simple absence de consentement
Présenter l’affaire comme une collecte réalisée entièrement « sans consentement » serait toutefois trop simplificateur. Les utilisateurs ayant installé l’application avaient autorisé certains accès conformément au fonctionnement de Facebook de l’époque.
Le problème tient notamment à l’étendue réelle de la collecte, à l’accès aux données de personnes n’ayant pas elles-mêmes installé l’application, aux informations données sur la nature des données récupérées et à leur transmission ultérieure.
La Federal Trade Commission américaine a ainsi conclu en 2019 que Cambridge Analytica avait eu recours à des pratiques trompeuses dans la collecte d’informations personnelles utilisées pour le profilage et le ciblage d’électeurs.
III. Profilage
Du profil individuel au ciblage politique
L’objectif n’était pas seulement de constituer une base de données. Cambridge Analytica s’inscrivait dans une logique de profilage électoral, destinée à segmenter les publics et à améliorer le ciblage des communications politiques.
Une partie importante du récit public de l’entreprise reposait notamment sur la possibilité de produire des profils psychographiques, c’est-à-dire d’inférer certains traits ou caractéristiques à partir des informations disponibles, puis de les utiliser pour adapter les messages adressés à différents groupes d’électeurs.
Les autorités américaines ont établi l’utilisation de données personnelles à des fins de profilage et de ciblage électoral. L’autorité britannique de protection des données a également indiqué qu’une partie des données issues de Facebook avait été utilisée par SCL Elections, opérant sous la marque Cambridge Analytica, dans le contexte de la campagne présidentielle américaine de 2016.
Point de prudence
Cela ne permet pas, à lui seul, d’établir que ces pratiques ont déterminé le résultat de l’élection présidentielle américaine. Mesurer l’effet causal réel d’une stratégie de ciblage politique sur un scrutin constitue une question distincte de celle de la licéité, de la transparence ou de l’éthique de la collecte.
IV. Une nécessaire nuance
Cambridge Analytica et le Brexit : attention au récit devenu légende
Cambridge Analytica a longtemps été associée dans le débat public à la campagne en faveur du Brexit. Plusieurs déclarations publiques avaient laissé entendre l’existence d’une collaboration avec Leave.EU.
Les investigations officielles invitent toutefois à être beaucoup plus prudent. L’Electoral Commission britannique a conclu que la relation entre Leave.EU et Cambridge Analytica n’avait pas dépassé des travaux préliminaires et des échanges destinés à envisager un éventuel contrat.
Elle n’a trouvé aucune preuve permettant d’établir que Cambridge Analytica avait effectivement fourni des services à Leave.EU pour sa campagne référendaire. Le cas Cambridge Analytica rappelle donc aussi une règle élémentaire : lorsqu’un scandale devient mondial, le récit public peut finir par être plus large que ce que les investigations établissent.
V. Conséquences
Quand un risque lié aux données devient un risque d’entreprise
Lorsque l’affaire prend une dimension internationale en 2018, Cambridge Analytica et les sociétés de son écosystème se retrouvent exposées à des enquêtes réglementaires, politiques et médiatiques majeures.
L’entreprise cesse rapidement ses activités. Cambridge Analytica (UK) Limited entre en administration en mai 2018, avant de connaître une procédure de liquidation.
La FTC poursuivra ensuite les conséquences juridiques de l’affaire aux États-Unis, concluant notamment à l’existence de pratiques trompeuses concernant la collecte et l’utilisation des informations personnelles.
Le risque lié aux données ne reste donc pas nécessairement un risque « conformité » isolé. Il peut devenir simultanément un risque juridique, réputationnel, commercial et organisationnel.
VI. Protection des données
Ce que l’affaire permet de comprendre aujourd’hui
Le scandale Cambridge Analytica ne doit pas être réécrit comme une affaire d’application du RGPD : les faits les plus emblématiques sont antérieurs à son applicabilité en mai 2018.
En revanche, il permet de comprendre très concrètement pourquoi plusieurs principes aujourd’hui centraux en matière de protection des données sont essentiels : transparence, loyauté, limitation des finalités, minimisation, maîtrise des destinataires et responsabilisation des acteurs qui exploitent les données.
La confiance est aussi un actif de l’organisation
Une organisation peut absorber une erreur documentaire. Il est beaucoup plus difficile de reconstruire une relation lorsque les personnes considèrent que leurs données ont été utilisées à leur insu, détournées de leur finalité initiale ou exploitées d’une manière qu’elles n’auraient raisonnablement pas anticipée.
La protection des données ne relève donc pas seulement d’une obligation réglementaire. Elle participe aussi à la qualité de la relation entre une organisation et les personnes dont elle traite les informations.
Conclusion
La conformité documentaire ne remplace jamais la maîtrise réelle des pratiques
C’est probablement la leçon la plus durable de l’affaire Cambridge Analytica. Une politique de confidentialité, un registre, des procédures ou des clauses contractuelles ne valent que s’ils correspondent aux pratiques réelles de l’organisation.
Une bonne gouvernance des données suppose de savoir quelles informations sont collectées, pourquoi elles le sont, comment elles sont réutilisées, avec qui elles sont partagées, quelles inférences sont produites et quelles conséquences ces usages peuvent avoir pour les personnes.
Une organisation faillible dans sa documentation mais rigoureuse dans ses pratiques dispose encore d’une base à améliorer.
Une organisation parfaitement documentée mais incapable de maîtriser ce qu’elle fait réellement des données ne possède qu’une conformité de façade.