Sécuriser les élections pour éviter une affaire Cambridge Analytica en Suisse

Comment éviter une affaire Cambridge Analytica en Suisse lors des prochaines élections fédérales? Le préposé fédéral à la protection des données et à la transparence (PFPDT) Adrian Lobsiger s’en préoccupe. A la rentrée, il réunira ses confrères des cantons, leur association faîtière Privatim, des politologues et des experts pour mettre sur pied un programme de prévention contre un possible détournement de données. Il compte émettre des lignes directrices afin que les citoyens soient informés des méthodes de traitement des informations personnelles. Comme il l’a dit lundi à l’occasion de sa conférence de presse bilan, Adrian Lobsiger souhaite que la Suisse ne vive pas ce qui s’est passé lors du vote sur le Brexit et de l’élection présidentielle américaine de 2016.

Lire aussi: Cambridge Analytica met la clé sous la porte

Dans ces deux cas, l’intermédiaire britannique Cambridge Analytica a été accusé d’avoir exploité sans leur accord les informations concernant près de 90 millions de clients Facebook à des fins politiques. Celles-ci auraient été utilisées pour mettre au point un logiciel permettant de prédire et d’influencer le vote des électeurs américains lors de la campagne présidentielle qui a débouché sur la victoire de Donald Trump. Cambridge Analytica a démenti, mais la société s’est par la suite sabordée. «Nous souhaitons éviter cela et informer assez tôt les électeurs suisses. Ce sera une première de la part des autorités de protection des données», résume Adrian Lobsiger.

«Consentement explicite» exigé

Le préposé fédéral a déjà publié en octobre 2017 des directives sur l’utilisation d’outils de gestion de campagne en ligne. Celles-ci insistent sur le «consentement explicite» des personnes contactées par les partis politiques ou des groupes d’intérêts utilisant des applications pour donner de l’écho à leurs campagnes politiques et interagir avec ces citoyens. La feuille d’information définit de manière très stricte la notion de «consentement explicite». La personne visée doit s’être enregistrée elle-même sur le site internet des responsables d’une campagne ou d’un parti politique et avoir donné son accord pour que ses données soient utilisées dans ce cadre.

Le fait d’accepter de manière générale les conditions d’utilisation ou un simple abonnement à un profil, à une page ou à une plateforme sur un réseau social ne constitue pas un «consentement explicite». Par ailleurs, l’accord donné doit pouvoir être révoqué en tout temps et des «informations complètes et transparentes» sur l’utilisation des données doivent être fournies. Avec ces revendications, Adrian Lobisger veut consacrer le principe de l’autodétermination des citoyens.

A l’image des campagnes électorales et des votations, la numérisation de la société ne fait que multiplier les défis pour les autorités de protection des données. Sur ce plan, Adrian Lobsiger juge légitimes les revendications de ses collègues des cantons, qui réclament 200 postes supplémentaires. Les services cantonaux de la transparence se résument aujourd’hui à une cinquantaine de postes répartis sur l’ensemble du territoire, qui s’ajoutent aux 26 du PFPDT. «Alors que nous nous occupons des entreprises, les préposés cantonaux ont la charge de surveiller les administrations publiques. Mais l’hétérogénéité des moyens dont disposent les cantons est un problème. Nous soutenons donc leurs revendications», s’exclame-t-il.

L’affaire Helsana +

La police est un bon exemple de la répartition des tâches de contrôle des données entre la Confédération et les cantons. Ces derniers peuvent s’appuyer sur une loi qui définit les activités policières à leur niveau. Mais les tâches de police sur le plan fédéral sont réparties dans une dizaine de lois différentes, comme celles sur la lutte contre le terrorisme ou sur les substances explosives. Adrian Lobsiger plaide pour la concentration de ces missions dans une seule et unique base légale, qui serait une loi sur les activités de police de la Confédération.

Parmi les entreprises scrutées par le PFPDT, il y a les caisses maladie. Il a notamment examiné les programmes bonus santé myStep de la CSS, Benevita de Swica et Helsana + de Helsana. Dans les deux premiers cas, le préposé fédéral a pu s’assurer que les informations enregistrées qui donnent droit à des remises de primes ou à des conseils personnalisés dans les assurances complémentaires n’étaient pas transmises à des tiers à des fins publicitaires. Le cas de Helsana + est différent. Comme il s’adresse également à ceux qui n’ont que l’assurance de base auprès de cette caisse, le PFPDT soupçonne une utilisation illicite d’informations de l’assurance de base. Il a porté l’affaire devant le Tribunal administratif fédéral.