Pas de smart city sans data. La ville intelligente est irriguée par un flux continu de données. Distributeurs de réseaux (eau, électricité, gaz, télécoms), gestionnaires d’infrastructures publiques (bâtiments, parkings), opérateurs des nouvelles mobilités et régies de transports… tous les acteurs de la smart city sont des producteurs de données en puissance. Jusqu’au citoyen qui peut, depuis son smartphone, alerter les services municipaux de la dégradation d’un mobilier urbain.

À qui appartient ce formidable patrimoine informationnel et qui le gère ? La maîtrise des données urbaines est au cœur des enjeux de la smart city. Depuis la loi pour une République numérique de 2016, les collectivités locales de plus de 3 500 habitants sont tenues de publier, dans un format ouvert et exploitable, les données revêtant un intérêt économique, social, sanitaire ou environnemental. Un appel à l’open data difficile à gérer pour les petites villes.

Du côté du privé, l’ouverture des données a longtemps été bloquée. Les entreprises qui gèrent un grand nombre de services urbains - eau, déchets, énergies, mobilités – se sont longtemps retranchées derrière leurs obligations de responsable de traitement au sens de la CNIL.

Le RGPD change la donne. Au regard du règlement européen sur la protection des données personnelles, ces délégataires de service public (DSP) peuvent être contractuellement considérés comme sous-traitants. À ce titre, ils sont tenus d’assurer la sécurité et la confidentialité des données, mais c’est le responsable de traitement, en l’occurrence la collectivité locale, qui en reste propriétaire. Dans cette volonté de recouvrer la pleine souveraineté sur ses données, Paris a inauguré, en mai dernier son propre datacenter, situé dans le nord de la capitale.

Enfin, il y a une troisième catégorie d’acteurs, bien à part : les GAFA. Google (Waze, Google Maps, Waymo) ou Uber produisent un service au public, mais ne relèvent pas du service public. Leur modèle économique repose sur la valorisation des données en échange de la gratuité dudit service. Des signes d’ouverture sont toutefois apparus. Depuis deux ans à Paris, Uber a libéré les données de déplacement de ces VTC, préalablement agrégées et anonymisées. De même, Waze, via sa plateforme « Connected Citizens », propose un accès en temps réel aux données générées par ses utilisateurs.

Google City, « une ville administrée par la donnée »

En revanche, l’expérience menée par Sidewalk Labs à Toronto suscite nombre d’interrogations. Cette filiale de Google a décidé de transformer un quartier de la cité canadienne en vitrine de la ville du futur. Dans cette « Google City » comme le décrit un article du Monde, « des voitures autonomes évoluent en surface, des robots évacuent les déchets et livrent des colis à travers des tunnels… ». Des batteries de capteurs enregistrent en temps réel le moindre mouvement dans le quartier, « donnant corps au rêve – ou au cauchemar – d’une ville intégralement administrée grâce à ses données. »

En dépit des concessions faites par Google – désignation d’un tiers de confiance (civic data trust) – les craintes sur la confidentialité et le risque d’un usage mercantile des données ont monté une partie de la population contre le projet. La ville de Toronto se donne jusqu’à la fin du mois pour décider si elle continue ou non l’aventure. Ce cas pose la question de la compatibilité de la smart city avec la data privacy. Est-il possible de respecter la vie privée sans entraver l’émergence de services innovants ? La CNIL a tenté de répondre il y a deux ans à cette question dans un cahier innovation et prospective. La Quadrature du Net dénonce, quant à elle, les villes qui sous couvert de smart city font de la safe city en dopant « leurs projets de surveillance policière dopée aux big data ».

Pour Florian Carriere, senior manager chez Wavestone, il y a comme toujours un mouvement de balancier. « Il fut un temps où les GAFA assumaient de faire business avec nos données. Maintenant sous la pression du public, il est question de tout fermer. Il faut trouver le bon compromis. » Il rappelle que d'un point de vue technique, il est possible d'anonymiser ou de pseudonymiser les données personnelles « à condition de ne pas descendre très bas, des recoupements permettant alors de retrouver l'identité. Il faut partir d'un ilot de population suffisamment grand ou dense. »

À ses yeux, le problème est donc moins technique que de gouvernance. Florian Carriere pointe le risque de balkanisation des données urbaines où chaque producteur reste dans son couloir. « Avec ce repli sur soi et le manque de confiance entre acteurs, les données restent silotées. »

Selon lui, il faut partir non des données, mais des services nés de la combinaison des données publiques et privées. « Une fois que l'on a montré tout l'intérêt de partager ses données, que cela est générateur de valeur pour tous les acteurs de la chaîne, il est possible de réunir tout le monde autour de la table, y compris des entreprises concurrentes. » Mais pour cela, il faut trouver le bon acteur qui va incarner le rôle de tiers de confiance. « À l'évidence, cela doit être la collectivité locale ou la communauté de communes en fonction de l'échelle. » Wavestone travaille sur ce sujet avec des régions, dont l'Ile-de-France.

En ce sens, le projet de "self-data territorial" qui vient de s’achever peut servir d’exemple. Initié par la Fondation Internet Nouvelle Génération, il associait des collectivités - Lyon, La Rochelle et Nantes Métropole - et des opérateurs comme Enedis, Engie, GRDF et EDF. L’objectif était de replacer le citoyen au cœur du cycle de vie de la donnée urbaine. Tout un programme.