Introduction

1Si les blockchains, technologies décentralisées de stockage et de transmission d’informations ont suscité dès la publication du livre blanc du Bitcoin (Nakamoto, 2008) une promesse de renouvellement des modalités de la confiance en garantissant la sécurité des transactions sans intermédiaire (Delahaye, 2015 ; Tapscott & Tapscott, 2016), elles demeurent controversées, notamment en matière de vie privée (Lasmoles, 2018). En effet, si les blockchains offrent une défense suffisante pour qu’aucune attaque externe ne puisse accéder à des informations personnelles (Moatti, 2017) en permettant « le respect de la vie privée par l’utilisation proactive de la cryptographie » (Toledano, 2018), elles soulèvent des questions de mise en conformité au Règlement Général européen sur la Protection des Données (RGPD).

3À l’aune de ce cas d’usage, nous montrerons que la question de la protection de la vie privée suscite une série « d’épreuves » (Boltanski et Thévenot, 1991) émaillant la « trajectoire » (Strauss, 1992) de conception et d’expérimentation du service. La première question autour de la vie privée mettant à l’épreuve le collectif des concepteurs est celle de la définition d’une gouvernance révélant les tensions entre le caractère décentralisé de la blockchain et l’exigence, portée par le RGPD, de désigner un responsable du traitement des données. La seconde est celle de la gestion des données à caractère personnel révélant la difficulté que pose l’exercice des droits à l’effacement ou à la modification des données au regard du caractère infalsifiable du registre de la blockchain. Enfin, la dernière épreuve est celle de l’explicabilité révélant les tensions entre la complexité des méthodes de sécurisation mobilisées sur une blockchain et l’exigence de transparence du RGPD. Ces épreuves suscitent des controverses entre les différents concepteurs, mais également avec les expérimentateurs du service dont les conceptions de la technologie et de la vie privée diffèrent. Si pour les concepteurs spécialistes des blockchains participants à la création de ce nouveau service, ces compromis ont bridé le potentiel disruptif de la technologie en en limitant le caractère décentralisé et anonyme, ils ont permis aux yeux des autres concepteurs de conforter le choix de la technologie blockchain comme une « solution de privacy ». Par ailleurs, des compromis sociotechniques garantissant l’acceptabilité du service aux yeux des usagers ont permis de prendre en compte la protection de la vie privée (respect de l’intimité, garantie autour de l’autonomie et du contrôle des données) en allant au-delà des enjeux de mise en conformité.

Blockchains et vie privée : la confiance à l’épreuve

4Dans un contexte de crise de confiance envers les institutions (Algan et Cahuc, 2007), particulièrement les banques, le livre blanc du bitcoin publié sous le pseudonyme de Satoshi Nakamoto (Nakamoto, 2008) détaille les principes qui ont donné le jour aux technologies blockchain. Les blockchains reposent sur la tenue d’un registre décentralisé, certifié et incorruptible. Elles possèdent un fort potentiel disruptif allant bien au-delà du secteur de la Fintech (Zolynski, 2017) en permettant des échanges sécurisés de pair à pair sans l’intermédiaire d’un tiers de confiance, immédiats et presque gratuits, ou l’exécution de programmes autonomes appliquant automatiquement les conditions et termes d’un contrat, sans intervention humaine (smart contracts). Elles sont porteuses d’une conception spécifique de la confiance imaginée comme une réponse à l’érosion des formes de la confiance au sein des sociétés modernes (Rodriguez, 2017).

Deux modèles de confiance opposés

5La blockchain « propose de remplacer des individus ou des institutions dépositaires de la confiance […] par une communauté immatérielle d’individus mus seulement par leur intérêt individuel. […] À la croisée du refus de l’État des libertariens et du communautarisme « technophilique », la blockchain est l’incarnation contemporaine d’une vision où la conjonction d’intérêts privés produirait de la vertu publique. » (Manas et Bosc-Haddad, 2017, p. 103). Les blockchains constituent une combinaison à géométrie variable de techniques permettant la gestion collaborative d’un registre distribué « permettant de créer une certaine confiance entre acteurs sans recourir à une gouvernance et à une organisation centralisée investie de pouvoirs larges et exorbitants. » (Dardayrol, 2017, p. 4). La proposition technologique des blockchains consiste à substituer au tiers de confiance un protocole fiable et robuste, c’est-à-dire « un protocole duquel aucun agent n’a intérêt à dévier » (Gossner, 1997, p. 685) basé sur la notion de consensus décentralisé, sur l’immuabilité et l’auditabilité du registre, ainsi que sur la protection de l’anonymat par la cryptographie (Dardayrol, 2017). Au regard d’une définition de la confiance qui la présente comme « une espérance de fiabilité dans les conduites humaines » (Laurent, 2012, p. 3), la blockchain peut être qualifiée « de système sans confiance (« trusless ») » (Moatti, 2017) parce qu’elle minimise la confiance requise envers un seul acteur du système, le tiers de confiance. Les technologies blockchains répartissent la confiance entre les différents acteurs d’un système via un jeu économique qui les incite à coopérer selon les règles définies par le protocole (Kasireddy, 2018).

6À l’inverse, le RGPD renvoie aux fondements du droit, pour qui les relations sociales primaires (affectives, économiques, politiques) s’inscrivent sous l’égide du tiers institué, le tiers est à la fois une autorité en position de « troisième personne » – juge – ; mais aussi une fonction tierce intériorisée par les individus devenus sujets de droit (Ost, 2021). Les principes de la blockchain s’opposent aux trois finalités du droit c’est-à-dire, premièrement, la formulation d’un équilibre général des intérêts sociaux et des valeurs en conflits, deuxièmement, équilibre qui est susceptible d’être appliqué le cas échéant par la contrainte (une contrainte réglée), et troisièmement qui est toujours susceptible d’être remis en discussion dans le cadre de procédures (réglées elles aussi) (Ost, 2020, p. 6).

7Les technologies blockchains et le RGPD renvoient ainsi à deux modèles de confiance dont les principes s’opposent (Manas, Bosc-Haddad, 2017). Les propriétés des blockchains constituent une proposition de confiance en un « système expert » caractéristique de la modernité (Giddens, 1994), tandis que le RGPD reflète une conception de la confiance comme « empire du tiers » (Ost, 2021). Lorsque que le RGPD exige de définir un responsable de traitement pour tout traitement de données à caractère personnel, il contrevient au fonctionnement décentralisé de la blockchain. Le droit accordé aux usagers d’effacer et de modifier leurs données à caractère personnel s’oppose à l’immuabilité du registre ; tandis que l’exigence d’explicabilité s’applique difficilement à la mise en œuvre d’algorithmes cryptographiques complexes, masquant une partie des informations. Ces antagonismes entre blockchains et RGPD (cf. tab.1) – décentralisation versus responsabilité, anonymat versus protection des données à caractère personnel, sécurité versus transparence – constituent des défis pour les concepteurs de services, notamment si un traitement de données à caractère personnel est effectué.

Tableau 1. Blockchains et RGPD, deux modèles de confiance opposés

PRINCIPES DES BLOCKCHAINS			PRINCIPES DU RGPD
PRINCIPES	MISE EN ŒUVRE		PRINCIPES	MISE EN ŒUVRE
DECENTRALISATION	Blockchains publiques (sans tiers de confiance), privée (entité centralisée) ou semi-privées (consortium)	versus	RESPONSABILITE DU TRAITEMENT	Nomination d’un responsable de traitement, tenue d’un registre des traitements et limitation des finalités
ANONYMAT	Anonymat et historique infalsifiable de tous les échanges	versus	PROTECTION DES DONNEES A CARACTERE PERSONNEL	Collecte du consentement en l’absence d’autre base juridique, minimisation des données et de leur conservation, exercice des droits (à l’information, à l’effacement, à la rectification)
SECURITE	Algorithmes cryptographiques et protocoles de transmission sécurisée	versus	TRANSPARENCE	Transparence des algorithmes et finalité de l’explicabilité
Conception de la confiance comme « système expert » (Giddens, 1994)		versus	Conception de la confiance comme « empire du tiers » (Ost, 2021)

8Au-delà des questions de mise en conformité, certains principes des blockchains – notamment l’utilisation anonyme de clés publiques et la création de nouvelles paires de clés pour chaque transaction garantissant l’anonymat – énoncés dès le livre blanc du bitcoin (Nakamoto, 2008) renvoient à une conception très spécifique de la vie privée qui n’est pas celle du RGPD. Ce dernier qui entend responsabiliser les organismes privés et publics sur le traitement de leurs données, rabat en partie la notion de vie privée sur celle de l’identification d’un individu. Le RGPD est porteur d’une conception indirecte de la responsabilité. À l’inverse, la conception de la vie privée que recèlent les technologies blockchains est guidée par la défense de la « propriété de soi » (Gharbi, Sambuc, 2022) afin que les individus puissent conserver le contrôle sur eux-mêmes et tout ce qui constitue une extension de leur personne (dont les données à caractère personnel). Cette conception peut entrer en contradiction avec l’essence contextuelle et relationnelle de la vie privée (Nissembaum, 2009) qui veut qu’un individu puisse maintenir des degrés variés d’intimité vis-à-vis des autres (De Cew, 2006). Ces trois conceptions de la vie privée vont au cours de la trajectoire de conception et d’expérimentation du service entrer en confrontation et connaître une série de frottements à l’origine de la recherche de compromis par les acteurs.

9Ces controverses s’expriment à l’occasion des choix techniques à opérer au moment de la conception du service. Comme le montrent les initiateurs du modèle SCOT (Social Construction Of Technology) lorsqu’ils étudient les trajectoires d’innovations techniques, ces dernières sont investies de significations différentes suscitant l’émergence de controverses, principalement sur leurs avantages, les usages, les problèmes qu’ils posent (Bijker, Hugues, Pinch, 1987 ; Bijker, 1995). Ces controverses sont tranchées par une série de déplacements, de nature technique ou morale, qui permettent de clore et de stabiliser un « cadre technologique » (Gaglio, 2021). Ils débouchent sur des compromis sociotechniques (Akrich et al., 2006) susceptibles d’autoriser l’articulation entre exigences réglementaires de protection de la vie privée et l’offre de service, en garantissant les conditions d’acceptabilité de la technologie par les usagers. Ces compromis s’opèrent au prix d’une réduction des promesses initiales associées à la technologie blockchain étudiée ici, mais offrent la possibilité de définir des solutions faisant l’objet de consensus au sein du consortium d’acteurs.

Conception et expérimentation d’un service de mobilité

10Cet article s’appuie sur une enquête de sociologie qualitative de terrain réalisée entre novembre 2020 et janvier 2021 auprès des concepteurs et des expérimentateurs d’un service de mobilité. Le service en question repose sur une blockchain et cherche à répondre aux nouveaux besoins liés à l’électrification des flottes d’entreprise, en traçant la recharge des véhicules électriques (personnels) au travail ou des véhicules (professionnels) à la maison en vue du remboursement des frais des salariés. Cette enquête avait pour objectif de saisir la manière dont les enjeux de vie privée se posaient tant du point de vue de la conception que de l’usage autour des technologies blockchains ; ainsi que les tensions générées par leur confrontation.

11L’enquête sociologique réalisée entre novembre 2020 et janvier 2021 en région nantaise s’est déroulée en deux phases :

• interviews d’une douzaine de concepteurs du service appartenant aux diverses entreprises du consortium (issues du monde des nouvelles technologies, ici essentiellement des concepteurs spécialistes de la blockchain ; issues du monde de l’énergie, fournisseur et distributeur d’électricité ; issues du monde de la mobilité, entreprises de transport).

• interviews d’une douzaine d’expérimentateurs du service (salariés des entreprises du consortium testant le service).

12L’électrification des flottes de véhicules professionnels implique un changement de modèle de gestion. Alors que la gestion d’un parc de voitures thermiques repose sur un modèle du « juste-à-temps » (les salariés disposent d’une carte essence ou se font rembourser des indemnités kilométriques), la gestion d’une flotte électrique est fondée sur un modèle de « l’anticipation » qui exige que les voitures soient suffisamment chargées au moment du départ pour effectuer le trajet. La recharge s’effectue soit sur le lieu de travail, soit au domicile du salarié et son coût est répercuté sur la facture d’énergie du site professionnel ou sur la facture du domicile. Il est alors difficile de distinguer le coût des recharges sur des factures agrégeant un ensemble d’usages et donc pour les employeurs de rembourser ou de facturer les frais de recharge.

13Pour répondre à ce nouveau besoin de traçage et de certification des recharges des voitures électriques, les concepteurs du service proposent une combinaison de plusieurs technologies :

• une blockchain pour l’écriture des charges validées et le stockage de l’information de manière sécurisée et fiable ;

• mais aussi des objets communicants (IOT) installés dans les véhicules autorisant l’échange d’information avec les bornes de recharge ;

• une application mobile pour les salariés leur offrant la possibilité de déclarer le début et la fin de la charge du véhicule et d’autoriser le croisement de cette information avec les données de consommation électrique issues du compteur Linky (ce qui certifie auprès de l’employeur l’effectivité de la recharge à domicile) ;

• une application Web à destination des gestionnaires d’entreprise facilitant le suivi des recharges.

Un service conçu et expérimenté par un collectif hybride

15L’objectif est de concevoir un service accompagnant le développement de la mobilité électrique pour tracer et certifier dans une blockchain les recharges des véhicules. Le cadre expérimental constitue pour ces pionniers l’opportunité de promouvoir de nouvelles pratiques (de mobilité, d’exploitation des données, de distribution du pouvoir, etc.) et de former des coopérations dépassant les frontières classiques de l’organisation. Gilbert de Terssac (1996, p. 2) rappelle, dans des travaux pionniers portant sur le travail de conception, que « la conception de nouveaux produits ou de nouveaux services est un domaine d’action dans lequel la coopération est indispensable : d’abord parce que le nombre d’informations et de connaissances à manipuler est très grand. Ensuite, parce qu’il y a une interdépendance cognitive des individus : les savoirs détenus sont répartis entre plusieurs individus. Enfin, parce que le résultat est incertain et que le chemin qu’il faut suivre pour y arriver est peu connu, voir inconnu ». Les concepteurs voient dans la constitution de ce collectif hybride une opportunité d’accéder à des spécialistes des différentes technologies mobilisées dans le cadre de l’expérimentation, mais aussi d’élargir leurs connaissances des enjeux des différents secteurs.

17La conception de ce service s’est également nourrie de la mise en place d’un cadre expérimental afin de tester et de valider les solutions retenues en intégrant les préoccupations et les contraintes des utilisateurs dans la conception de l’outil, et ce de deux manières. La première est l’intégration des savoirs des concepteurs qui se perçoivent avant tout comme des usagers à l’affût de nouvelles technologies qu’ils imaginent comme susceptibles de transformer les pratiques, autour de la mobilité, du numérique, de l’innovation sociale et territoriale. Au-delà de leurs appartenances professionnelles et des compétences acquises dans ces sphères respectives, ce sont des « passionnés » affichant des convictions personnelles et appartenant à des « communautés » de pratiques au sein desquelles ils puisent et construisent des savoir-faire. Ces communautés de pratiques se constituent autour de la participation à des forums de discussion qui, comme le montre V. Beaudouin (2016), constituent des espaces de coproduction de la connaissance, et invitent à renouveler le mode de construction et de transmission du savoir (Beaudouin, 2019). Cette participation a pour particularité de déborder de la sphère strictement professionnelle, comme le notait Norbert Alter (2000) à propos des innovateurs, c’est sur leur temps privé qu’ils développent savoir-faire, réflexions, compétences, liens sociaux. Ces derniers sont réinvestis dans le champ professionnel et élargissent leurs horizons en mettant en œuvre une série de convictions personnelles. La seconde est le test du service auprès de salariés des entreprises ayant rejoint le consortium. Les salariés qui ont accepté de tester le service présentent, même si leurs activités professionnelles sont très éloignées des activités de conception, un profil très proche des concepteurs. Eux aussi se distinguent par leur intérêt pour les nouvelles technologies et leur habitude de participer à des dispositifs expérimentaux perçus comme susceptibles d’élargir leur horizon professionnel. Néanmoins, leur condition de salariés fait émerger des points de vue spécifiques en matière de vie privée. Notamment, la diffusion d’informations appréhendées comme relevant de la sphère privée, telle que leur consommation d’énergie à domicile ou bien leurs heures de recharge ou encore la localisation de leur véhicule auprès de leurs employeurs est particulièrement questionnée par ces usagers.

18Ainsi, des confrontations et des divergences émergent à l’occasion de plusieurs « épreuves » émaillant la trajectoire de conception du service. Nous tenterons dans cet article de présenter à la fois ces épreuves, mais aussi les compromis sociotechniques opérés par les acteurs pour tenter de les dépasser.

Première épreuve de privacy : la définition d’une gouvernance

20Ces indications clarifiant le statut des mineurs et renvoyant la responsabilité sur le « participant » ne résout pas définitivement la question de la désignation d’un responsable de traitement, notamment comme dans le cas qui nous occupe, celui d’un consortium réunissant un ensemble de « participants ». Comment a été désigné celui qui a endossé la responsabilité du traitement et en quoi cette désignation a-t-elle constitué une épreuve pour le consortium ?

La blockchain de consortium : un compromis sur le choix du protocole

21La question de la désignation d’un responsable de traitement s’est posée à l’issue d’un premier compromis sociotechnique autour de la technologie blockchain établi au moment de la création du consortium : celui du choix du protocole. Les concepteurs de blockchains qui tiennent énormément au caractère décentralisé de la technologie susceptible à leurs yeux de transformer les relations de pouvoir au sein d’un secteur en permettant que des échanges s’opèrent sans tiers de confiance, conservent pour horizon le choix d’une blockchain complètement ouverte et publique (permissionless). Les concepteurs interviewés plaident pour une blockchain ouverte, car ils gardent pour horizon une conception de la technologie susceptible de favoriser les échanges sans intermédiaire au sein d’une société horizontale et donc des formes d’administration démocratique indépendantes d’institutions centralisées non représentatives ou défaillantes. À l’inverse, les concepteurs des autres secteurs connaissent mal les blockchains qu’ils associent spontanément au controversé bitcoin :

« Je pense qu’il ne faut pas mettre en avant la blockchain, parce que sinon on va retrouver dans ce débat dogmatique de dire blockchain égal, preuve de travail, égal mineur, égal la Chine, égal des consommations d’énergie, du blanchiment d’argent de la prostitution et de la drogue… et donc on va, on va revenir sur quelque chose qui n’a rien à voir avec le déploiement d’un véhicule électrique. » (Concepteur, Secteur de la mobilité).

22Ces derniers sont par ailleurs méfiants à l’égard des systèmes décentralisés très éloignés des modes de fonctionnement courants au sein de leurs propres secteurs. La gouvernance des données est une question très sensible dans leurs environnements de travail et ils témoignent de cultures professionnelles très orientées sur la préservation de la confidentialité. Les concepteurs des mondes de la mobilité et de l’énergie émettent comme condition préalable à l’usage d’une blockchain de restreindre son accès aux membres du consortium.

23Un premier compromis technique va permettre de réconcilier ces deux visions de la technologie : la blockchain de consortium. Si les concepteurs de blockchains gardent pour horizon la blockchain publique et décentralisée, les autres concepteurs du service se rallient à la technologie sur la base de son caractère restreint, limité au consortium et sur les modalités classiques de gouvernance qui sont associées à la gestion des données. Pour les concepteurs de blockchains, cette restriction initiale de la technologie aux limites du consortium restreint grandement les apports de la technologie, allant jusqu’à remettre en cause la plus-value de l’usage d’une blockchain pour certifier les données, qu’ils comparent alors à un système centralisé de gestion des données :

« Pour moi, quand je suis arrivé dans ce sujet, je me suis dit, et je pense que je ne suis pas le seul à me l’être dit, on a essayé de mettre de la blockchain là où il n’y en avait pas forcément besoin. Pour moi, le use case blockchain pur, ça serait celui qui ne pourrait pas être remplacé par un système centralisé. » (Concepteur de blockchains, secteur de l’électricité)

24À l’inverse, les autres concepteurs découvrent et valorisent la blockchain comme étant une technique ouvrant à l’interopérabilité et garantissant la sécurité des données :

« On ne se passe pas forcément d’intermédiaires, mais qu’au moins, les intermédiaires entre eux ont un protocole pour se faire confiance. » (Concepteur, secteur de la mobilité)

La désignation du responsable de traitement : une épreuve pour la coopération

« Et parfois, ce n’est pas forcément évident. Quand il y a des projets où les parties prenantes sont un peu imbriquées, de déterminer qui est vraiment responsable de traitement, qui est sous-traitant, de voir si potentiellement il y a des cas de responsabilité conjointe, c’est-à-dire que les parties déterminent ensemble les finalités et les moyens de traitement. Et cela, toute cette gouvernance du RGPD, elle n’est pas forcément non plus très simple à appliquer sur une technologie du type blockchain. » (Juriste, secteur de l’électricité)

26D’autre part, la désignation du responsable de traitement met en lumière l’inégale distribution des compétences des membres du consortium concernant la technologie et la gestion des données. Les membres du consortium ont d’abord imaginé que les start-ups spécialisées dans la technologie blockchain prendraient en charge ce rôle de responsable de traitement, car leurs concepteurs disposent des compétences nécessaires à la compréhension des modalités de traitement des données sur une blockchain. Mais la position de « sous-traitant » des start-up spécialistes des blockchains invalide cette solution de l’exercice d’une responsabilité entière ou partagée par l’ensemble des membres du consortium :

« Quelle organisation on souhaite en termes de RGPD ? C’est qui le responsable de traitement ? » Et là, personne n’a levé la main, alors qu’on pensait que ça allait être les start-up ou la SS2I. » (Concepteur, secteur de l’électricité)

27Conformément aux recommandations de la Cnil, les juristes réorientent la responsabilité du traitement sur l’entreprise à l’origine de la conception du service et gérante de la chaîne de blocs. L’acceptation du rôle de responsable de traitement par ce partenaire industriel, même si ce dernier n’alimente pas le service par un flux de données va solutionner le problème.

28Néanmoins, la définition d’un responsable de traitement introduit une forme de recentralisation du fonctionnement du consortium en attribuant la responsabilité du traitement à un de ses membres. La responsabilité n’est plus partagée de manière égale entre l’ensemble des membres du consortium, ce qui heurte les imaginaires sociotechniques associés à la technologie par les concepteurs spécialistes des blockchains qui partagent une éthique aux racines libertariennes. La désignation d’un responsable de traitement au sein du consortium, en conformité aux exigences du RGPD contribue à se priver de la promesse disruptive d’une technologie parfaitement décentralisée. Néanmoins, l’expérimentation met en lumière des bénéfices de la technologie et valide ses apports aux yeux des autres concepteurs du service. D’une part, la blockchain se révèle moins coûteuse que la gestion d’une plateforme centralisée, mobilisant des téléopérateurs supervisant la gestion des informations, ce qui crédibilise le modèle économique du service (rapportant peu de valeur, puisqu’il concerne de petites transactions – le coût d’une recharge électrique étant faible). D’autre part, la blockchain de consortium apparaît comme un moyen de sécuriser le stockage de données et de garantir la confiance au sein d’un consortium rassemblant des partenaires variés. Les concepteurs spécialistes des blockchains découvrent ici un nouvel usage de la technologie susceptible de séduire les milieux industriels.

Deuxième épreuve de privacy : la gestion des données à caractère personnel

« Une donnée à caractère personnel, c’est tout ce qui est rattachable, directement ou indirectement, à une personne physique. Dans le cadre du service, cela peut être par exemple un numéro de plaque d’immatriculation, une adresse IP (Internet Protocol), un numéro de téléphone, une adresse électronique, un nom, un prénom, un numéro d’identification, je ne sais pas un numéro de contrat par exemple pour quelqu’un qui est titulaire d’un contrat d’électricité, ce genre de choses. Donc, cela va très loin c’est-à-dire qu’en pratique, il y a énormément d’informations qui sont qualifiables de données à caractère personnel. Par exemple, la courbe de charge de quelqu’un, d’un client, d’une personne physique, c’est une donnée à caractère personnel c’est-à-dire que c’est une empreinte de sa consommation d’électricité. C’est bien relié à une personne physique. » (Juriste, secteur de l’électricité)

30Dans quelle mesure, l’inscription des données à caractère personnel a-t-elle constitué une épreuve dans la trajectoire de conception du service ? A-t-elle débouché sur l’élaboration d’un compromis sociotechnique ?

Un premier compromis pratique : la mise en place d’un système « off-chain » pour stocker les données personnelles

« Mais, vous pouvez faire une partie pour certifier les informations sur une blockchain et le reste, l’échange, vous pouvez les faire off-chain. Quand on utilise une blockchain, on n’est pas obligé de l’utiliser complètement en mettant toute la donnée dessus. On peut s’en servir vraiment pour les objectifs qui nous intéressent et faire le reste off-chain, ce n’est pas un souci. Toutes les informations confidentielles sont stockées à part et on va juste stocker un hash de cette information-là sur la blockchain. Le serveur qui permet d’accéder à ces informations là vérifie que vous êtes propriétaires du certificat pour pouvoir accéder aux données. » (Concepteur de blockchains, secteur des nouvelles technologies)

32Les concepteurs issus des mondes de l’énergie et de la mobilité ont vu la possibilité d’adhérer à un cadre juridique strict et de juguler les contestations associées aux données énergétiques et au compteur Linky (Danieli, 2018) ou aux données de géolocalisation qui renseignent sur les comportements des usagers :

« Il ne faut pas oublier qu’on est sous le feu des projecteurs et que bien que ce soit une expé, on n’est jamais à l’abri. On sait que Linky, c’est vraiment un sujet médiatiquement sensible. Et aujourd’hui, la Cnil n’est pas très favorable. Elle trouve que tout ce qui est blockchain n’est pas forcément protecteur des données à caractère personnel. Donc, on a été très vigilants pour vraiment essayer d’être le plus protecteur possible. » (Concepteur, secteur de l’électricité).

33Mais cette solution est également valorisée par les concepteurs de blockchains parce qu’elle préserve en partie le caractère ouvert de la blockchain et son transfert potentiel dans un second temps (au moment de l’industrialisation du service) sur une blockchain publique. Les concepteurs de blockchains se distinguent par une conception très spécifique du traitement des données à caractère personnel conforme à l’éthique aux racines libertaires qui guide leur conception de la « vie privée ». Ils souhaitent permettre aux personnes de garder la main sur leurs données. L’horizon n’est pas la gestion des données sur des serveurs centralisés et sécurisés, comme ce qui s’est fait dans le service, mais la possibilité de garder les données au plus près de l’utilisateur. Cette recherche de décentralisation est conforme aux valeurs affichées par les concepteurs de blockchains et aux qualités qu’ils prêtent à la technologie :

« Ce que j’aime avec ces technologies là, c’est que finalement, la question de l’ownership de la donnée devient centrale, et finalement, que ce soit une entreprise ou un end-user, c’est exactement la même chose. De manière vraiment idéologique, je pense que commencer un projet en se posant la question « à qui est la donnée ? », et du coup, de se dire qu’on ne va la mettre sur un serveur centralisé, mais qu’on va toujours la laisser très proche de celui qui possède la donnée. » (Concepteur de blockchains, secteur des nouvelles technologies)

« J’adore le principe de donner mon consentement de manière explicite sur ce que j’autorise ou pas, parce que c’est moi le propriétaire de la donnée, donc heureusement, c’est moi qui peux filtrer ce que je partage et ce que je ne partage pas, mais le souci, c’est que je devrais pouvoir faire ça sans Facebook. La souveraineté de mon identité, ça devrait être moi-même, et pas une boîte américaine. Donc en fait, si je devais designer un service complètement décentralisé By Design, le consentement se ferait côté clients, et il n’y aurait pas besoin d’un tiers pour donner un consentement. » (Concepteur de blockchains, secteur des nouvelles technologies)

« Je voulais juste apporter aussi… désolé, c’est un sujet un peu technique, mais la preuve à divulgation nulle de connaissances. En anglais, on dit Zero Knowledge Proof. Il y a un gros espoir que ces technologies apportent enfin ce besoin de privacy. » (Concepteur de blockchains, secteur des nouvelles technologies)

36L’autorité algorithmique et l’automatisation des process que recèle la technologie sont perçues comme des garanties à l’objectivité. Primavera De Filippi rappelle que la régulation par le code est devenue une pratique courante sur Internet et que la Blockchain incarne cette vertu en certifiant « des règles incontournables, et dont l’exécution sera garantie par la technologie sous-jacente sans besoin de l’intervention d’un tiers. » (2018, p. 117). Les représentations des concepteurs de blockchains s’inscrivent donc dans une forme de « solutionnisme » technologique (Ellul, 1988). Ils entendent résoudre les problèmes de confiance sur un marché par des solutions techniques. Ainsi, les concepteurs de blockchains témoignent d’une culture professionnelle agrégeant des valeurs, des représentations et des pratiques propres aux mondes de la conception (Levy, 2013). Ces dernières façonnent également leur lecture de la vie privée. Ils se distinguent des autres concepteurs, qui ne retiendront pas leurs propositions, notamment le ZKP perçu comme trop complexe techniquement et peu à même de garantir la confiance des usagers finaux.

Un second compromis social : la minimisation des données stockées sur la blockchain

37La deuxième orientation retenue pour gérer les données à caractère personnel a été de minimiser très fortement les données inscrites sur la blockchain. Notamment les courbes de charge – dont les données croisées avec la déclaration de recharge de l’usager permettent de certifier l’existence d’une recharge sont stockées dans un système off-chain en conformité avec le RGPD – ne sont pas inscrites sur la blockchain. Seules les durées de recharge ont été inscrites dans la blockchain, la durée n’étant pas considérée comme une donnée à caractère personnel puisqu’on ne peut pas identifier une personne à partir de cette seule information.

38Ce souhait, pour des raisons juridiques, de minimiser les données retenues a permis la prise en compte des conditions d’acceptabilité des usagers finaux. Ainsi, les salariés impliqués dans l’expérimentation ne souhaitaient ni donner à voir les heures de recharge à leurs employeurs pour les recharges à domicile ni que leurs véhicules soient géolocalisés (deux options qui étaient envisagées au départ de l’expérimentation) :

« Je me suis dit, ce sont les données qui vont avec l’usage et la charge de mon véhicule. Franchement, ça me faisait peur. Par contre, effectivement, c’est un véhicule à usage privé. Je ne souhaiterais pas qu’il y ait de géolocalisation, par exemple. Ou de localisation qui soit donnée à mon employeur. Pour moi, voilà, que je me charge et combien de temps je me charge, je trouve ça normal. Tout le reste, je ne vois pas quel est son intérêt à avoir ce genre d’information. » (Expérimentatrice, femme)

39En effet, ces données pourraient renseigner leur employeur sur leurs horaires de présence à leur domicile ou sur leurs déplacements ; mais ils ne voient aucun inconvénient à transmettre les durées de recharge via le service. On voit bien, à travers cet exemple, que les enjeux de protection des données à caractère personnel sont profondément contextuels (Nissenbaum, 2009) et liés à « l’ampleur du contrôle qu’un individu peut exercer sur le type d’informations le concernant » (De Cew, 2006). Les données à caractère personnel peuvent être appréhendées comme des « marchandises contestées » (Barraud de Lagerie et Kessous, 2015). En effet, parce qu’elles touchent à l’intimité des personnes, leur intégrité, la santé publique ou l’ordre public certaines données soulèvent des controverses morales. Ici, la circulation des données de sphères privées (données de consommation électrique au domicile données de localisation du véhicule personnel) vers des sphères publiques (ici la sphère professionnelle, via le partage de ces données avec leur employeur) :

« Moi, je suis un utilisateur qui n’a pas envie de dire à son employeur à quelle heure il fait ses recharges, si ce n’est pas une information qui intéresse l’employeur ben pourquoi la mettre... Parfois, il ne faut pas chercher les détails si on n’en a pas besoin. » (Expérimentateur, homme)

40La situation de co-design, qui résulte de la mise en place d’une démarche de retour d’expérience tout au long de l’expérimentation du service, et les dispositifs de retour d’expérience auprès des utilisateurs, ont permis de mettre en lumière ces réticences et de proposer des solutions de minimisation des données. Les courbes de charges complètes ne sont plus intégrées à la blockchain, mais conservées dans un système off-chain, seule la donnée de durée de recharge est placée sur la blockchain. Ainsi, la blockchain mise en place est réellement privacy by design en accord avec la lecture qu’en font les usagers ; elle ne répond pas toutefois à l’ambition des concepteurs de blockchains de garder la donnée au plus près de son propriétaire.

Troisième épreuve de privacy : un parcours usager à l’épreuve de la mise en conformité et de l’explicabilité

La multiplication des demandes de consentement à la source d’un parcours usagers complexe

42Les exigences d’une mise en conformité à l’égard de la législation en matière de vie privée ont conféré un poids important aux juristes dans le design de l’expérimentation. Ces derniers ont fait valoir une application stricte, voire extensive du RGPD en exigeant une multiplication des demandes de consentement dans trois dispositifs : via la signature d’une convention d’expérimentation, via les applications de gestion clientèle autorisant l’accès aux données du compteur Linky et via l’application mobile lors de chaque déclaration de recharge par le salarié :

« Finalement, tout ce qu’on y a mis, c’était très classique RGPD. Au fond, rien n’a été créé ni inventé. Là, par exemple, sur l’application, on leur a dit qu’il fallait une croix pour cocher « j’accepte » ; mais forcément on va aussi lui faire signer un petit papier dans lequel il accepte effectivement aussi de communiquer ses courbes de charge. C’est ceinture et bretelles ! ! ! » (Juriste, Secteur de l’énergie)

43Les expérimentateurs estiment, quant à eux, que les consentements recueillis dans le cadre de l’expérimentation pour autoriser l’accès et le traitement de leurs données ne constituent pas une véritable garantie pour l’usager, mais plutôt une garantie pour les institutions qui captent et traitent les données :

« En fin de compte, cette sécurisation à outrance de demander l’autorisation d’utiliser les données. Je l’accepte tout le temps. On m’a rajouté une ligne d’acceptation pour me demander mon consentement. Le RGPD, ça a plutôt tendance à protéger ceux qui éditent les données plus que ceux qui les utilisent. Ce petit pop-up qui s’ouvre pour te dire vous acceptez ? Bah si je dis non, je ne peux pas valider ma charge, donc c’est un peu une fumisterie. Pour moi usager, je m’entends. » (Expérimentateur, homme)

44Pour les expérimentateurs, la confiance en matière de protection de la vie privée résulte moins de l’existence de demande de consentement que du triptyque transparence, sécurité et minimisation des données. La transparence correspond à leur souhait de connaître précisément les données divulguées et à qui elles le sont ; la sécurité concerne les protocoles afin d’éviter les situations d’attaques sur les données et les fuites de privacy, enfin la minimisation des données correspond à leur attente de réduire au strict minimum les données nécessaires à l’utilisation du service :

« En fait, ce qui se passe dans ma tête quand je lis ce genre de choses, c’est : “quelle est l’information que je divulgue, et à qui ?”. » (Expérimentateur, homme).

45Aux yeux des usagers finaux, les dispositifs de demande de consentement ne sont pas suffisants pour « combler les déficits de familiarité » (Giddens, 1994) liés aux évolutions numériques en matière de la protection des données personnelles et garantir leur confiance. Ils partagent spontanément la lecture critique de ces dispositifs comme relevant d’une « farce du consentement » (Nissembaum, 2018) accordant une liberté de choix illusoire, car matériellement impossible dans de nombreuses situations. « La multiplication des informations récoltées rend irréaliste l’exercice du consentement et du contrôle, ne serait-ce qu’à cause de la surcharge cognitive que son exercice effectif exigerait de l’utilisateur » (Khatchatourov, 2019, p. 107) ; mais aussi, en raison de la délégation à l’échelle de l’individu d’une décision dont il maîtrise mal les conséquences – faute d’information et de contrôle sur l’usage réel qui est ou sera fait de ses données par les acteurs économiques ou institutionnels (Clarke, 1994). Cette démultiplication des consentements, ainsi que l’intrication des technologies ont contribué à façonner un parcours usager complexe, peu réaliste pour un service appelé à être industrialisé, notamment en raison des bugs techniques pouvant se produire à chaque étape et retardant l’accès au service :

« En termes d’utilisateur, on a juste un smartphone à utiliser avec une application, c’est plutôt facile. En tout cas par rapport à l’usage, c’est plutôt simple d’utilisation. Après la prise en main, l’installation, c’est vrai qu’il y a l’accord client, le consentement à donner l’accès aux données du compteur Linky. Et donc on a eu quelques soucis, alors soit sur la création de compte, soit avec la mise en œuvre du consentement Enedis. On a eu des frictions. Une fois que j’ai passé la validation et l’association de ma clé publique avec le compte de l’entreprise, ça s’est arrangé. Mais ce n’est pas simple. » (Expérimentateur, homme)

Un système de clés de sécurité opaque : sécurisation versus explicabilité

46Face à ce parcours usager complexe et à leur représentation de la blockchain comme étant une technologie peu explicable et controversée, les concepteurs ont fait le choix d’invisibiliser la technologie aux yeux des expérimentateurs, c’est-à-dire que le service a été présenté sans mention de l’existence d’une blockchain certifiant les recharges. Or, la blockchain est publicisée dans d’autres espaces notamment dans le cadre de la communication accompagnant cette innovation sur les réseaux sociaux qui met en avant la blockchain comme un des atouts du projet et est accessible aux expérimentateurs de cette façon ; de la même manière, certaines caractéristiques de la blockchain, dont le système de clé, sollicitent la contribution de l’usager final et rendent la technologie perceptible.

De ce fait, ce choix d’invisibiliser la technologie aux yeux de l’usager final s’avère, dans les faits, relativement discutable. En effet, les utilisateurs évoquent une série de craintes et d’incompréhensions autour du système de clés de la blockchain ; chaque participant possède une clé publique et une clé privée correspondante : la clé publique est semblable à un identifiant, une adresse ; la clé privée permet d’apposer sa signature sur une transaction :

« Les seules infos que j’ai, c’est au niveau de mon profil, clé publique et tout ça. Je n’ai pas beaucoup d’éléments. Je ne comprenais pas à quoi ça servait. » (Expérimentatrice, femme)

47Ce système censé apporter de la sécurité dans l’échange, mais aussi de la privacy par l’anonymisation de l’identité des participants à l’échange ne convainc pas les utilisateurs, qui demeurent méfiants à l’égard du système des clés :

« Non, ce n’est pas trop ça. Ce n’est pas très sécurisant, parce que n’importe qui a ces 12 mots peut faire ce qu’il veut où il veut. Quand on crée un compte avec un nom, un email et un mot de passe, si le compte est compromis, il suffit de récupérer avec l’email et de changer de mot de passe. Là, on est un peu coincés. » (Expérimentateur, homme)

48Ces deux dimensions, recueil des consentements et systèmes de clé, façonnent le parcours client. Ils ajoutent de la complexité et génèrent un déficit de transparence et d’explicabilité, alors que ces exigences sont portées par le RGPD, mais également par les usagers finaux.

Conclusion

49Les concepteurs ont dû trancher en fonction des objectifs du projet et des contraintes qui lui sont attachés les trois dilemmes associés à la protection de la vie privée sur une blockchain. Cette résolution passe par la mise en place de compromis sociotechniques entre des concepteurs et des expérimentateurs aux représentations différenciées. Le premier est la décentralisation versus la responsabilité, qui se pose autour de la désignation d’un responsable de traitement. Le deuxième est celui de l’anonymat et de l’identification qui se pose autour de la gestion des données à caractère personnel. Le troisième est la transparence versus la confidentialité.

50Comme nous l’avons retracé au travers de cette expérimentation spécifique, la gestion de la protection de la vie privée constitue une compétence reposant sur des expertises non stabilisées, se répartissant à la fois sur les usagers et sur un ensemble de métiers, et exigeant de ce fait des collaborations pour être mise en œuvre. Le respect de la vie privée constitue ainsi un enjeu distribué dans les écosystèmes d’innovation, générant des compromis sociotechniques révélant des conceptions différentes entre des concepteurs issus d’horizons variés et des usagers des technologies. La notion même de vie privée et des moyens de la préserver ne font pas non plus l’objet de consensus entre les différents concepteurs et les usagers.

51Les concepteurs du service issus des univers de la mobilité et de l’énergie ne défendent pas une vision puriste de la technologie comme devant absolument garantir transparence et décentralisation en s’appuyant sur un protocole ouvert, telle que la voit les concepteurs spécialistes des blockchains issus des univers des nouvelles technologies. Ces derniers témoignent en effet autour de cette technologie d’un « imaginaire » riche articulant recherche de décentralisation ancrée dans un substrat idéologique libertarien et recherche de justice sociale fondée sur des technologies automatisées, neutres et incorruptibles permettant de se dispenser de « tiers de confiance » institutionnels ou humains qui confisquent aux individus leurs droits les plus essentiels. Cet imaginaire guide les choix qu’ils défendent en matière de choix technologiques, mais également en matière de vie privée.

52Néanmoins, ces conceptions vont faire l’objet de compromis au regard des exigences réglementaires, mais aussi d’autres conceptions de la technologie portées par les concepteurs industriels et les expérimentateurs. Les concepteurs issus des secteurs de la mobilité et de l’électricité au départ méfiants à l’égard des blockchains découvrent leurs propriétés et défendent une vision de ces technologies comme des outils permettant l’interopérabilité (mise à disposition de données, de façon sécurisée et simple techniquement, entre parties prenantes multiples), correspondant au cas d’usage de l’expérimentation qui mobilise des données issues de sources variées et nombreuses (compteurs, moyens de production, véhicules, datacenters...) traitées par des acteurs multiples (particuliers, SME, grands comptes, services publics, collectivités locales...). La blockchain de consortium est apparue comme un compromis technique entre ces deux visions. Aux yeux des concepteurs de blockchain, ces compromis ont bridé le potentiel disruptif de la technologie blockchain, en recentralisant la gestion des données et en perdant le caractère ouvert de la blockchain, mais ils ont permis aux yeux des autres concepteurs l’émergence d’usages et de bénéfices inattendus de la technologie, notamment comme celui d’apparaître comme une « solution » de privacy.