Intelligence artificielle, big data et blockchain

La LPD est neutre sur le plan technologique : on entend par traitement toute opération relative à des données personnelles, « quels que soient les moyens et procédés utilisés » (art. 5, let. d). Les nouvelles technologies n’ont donc pas besoin de leur propre loi sur la protection des données – les règles existantes s’appliquent aussi à elles.

Intelligence artificielle

Le PFPDT a constaté que la LPD est directement applicable aux traitements de données reposant sur l’IA. Il en découle notamment :

Transparence : les fournisseurs doivent indiquer à quelle fin ils traitent vos données (art. 19) – y compris si vos saisies sont utilisées pour l’entraînement.
Décisions automatisées : si une IA décide seule à votre sujet, vous disposez des droits prévus à l’art. 21 (information, possibilité de faire valoir votre point de vue, réexamen par une personne).
Analyse d’impact : précisément lors de l’utilisation de nouvelles technologies, il peut exister un risque élevé qui exige une analyse d’impact relative à la protection des données (art. 22, al. 2).
Exactitude : les informations qu’une IA génère à votre sujet doivent elles aussi être exactes ; vous pouvez en demander la rectification (art. 6, al. 5, art. 32).

Conseil : ne saisissez pas de données de santé, de mots de passe ou de documents confidentiels dans des chatbots, et vérifiez dans les paramètres si vos saisies peuvent être utilisées pour l’entraînement.

Big data

Les grandes analyses de données servent souvent à établir des profils afin de prédire des comportements ou des préférences (profilage, art. 5, let. f). Les points importants sont ici :

Limitation des finalités : les données ne peuvent pas être réutilisées à volonté pour de nouvelles finalités non reconnaissables (art. 6, al. 3).
Anonymisation : les données véritablement anonymes ne relèvent pas de la LPD. Mais si une personne peut à nouveau être identifiée par recoupement, il s’agit toujours de données personnelles.
Recherche et statistique : des allègements s’appliquent aux fins ne se rapportant pas à des personnes, pour autant que les données soient anonymisées et que les résultats soient publiés sous une forme ne permettant pas d’identifier les personnes concernées (art. 31, al. 2, let. e).

Blockchain

Même des adresses de portefeuille pseudonymes peuvent constituer des données personnelles si elles peuvent être attribuées à une personne. Comme les inscriptions dans une blockchain ne peuvent guère être modifiées ou effacées, il en résulte une tension avec l’obligation de rectifier ou d’effacer les données inexactes ou qui ne sont plus nécessaires. Les applications respectueuses de la protection des données évitent donc autant que possible de stocker des données personnelles directement sur la blockchain. Dans les réseaux décentralisés, il peut en outre être difficile de déterminer qui est le responsable du traitement.

Vers le texte de loi : art. 21 LPD – décisions individuelles automatisées.