Demander un restaurant autour de soi semble anodin : le téléphone trouve une position, le service classe quelques adresses, puis on choisit. Pourtant, la coordonnée qui rend ce service peut traverser le GPS, le système d’exploitation, l’application, le réseau et le fournisseur avant d’apparaître sur la carte.

Le récepteur GPS n’envoie pas un signal aux satellites. Il écoute des messages horodatés provenant de plusieurs satellites dont la position est connue. En comparant le temps de trajet des signaux, il estime sa distance à chacun. Avec au moins quatre satellites, il résout les trois dimensions et l’erreur de sa propre horloge. On parle souvent de triangulation; techniquement, il s’agit plutôt de trilatération par distances.

Exemple : une coordonnée avec son incertitude

La mesure n’est jamais parfaite. L’atmosphère retarde les signaux, les bâtiments les réfléchissent et le ciel peut être partiellement bloqué. En ville, un signal réfléchi parcourt un chemin plus long et déplace la position. Le téléphone combine donc souvent le GPS avec les antennes cellulaires et les réseaux Wi-Fi connus pour obtenir plus vite une estimation.

Une observation utile devrait ressembler à ceci :

latitude, longitude, horodatage, précision_estimée, source

La précision est essentielle. Si l’incertitude vaut 800 mètres, l’application ne devrait pas conclure que je suis dans un commerce précis. Pour une liste de restaurants, ce rayon peut suffire; pour déclencher l’ouverture d’une porte, sûrement pas.

Le problème de vie privée commence lorsque la donnée quitte le calcul local. L’application peut transmettre la latitude, la longitude, un identifiant de compte, l’adresse IP et l’heure. Le serveur cherche les commerces proches, journalise la requête pour l’exploitation, puis un autre système peut l’utiliser pour l’analytique ou la publicité. Ce sont plusieurs copies avec des durées de conservation différentes.

Une série de points devient un portrait

Une position isolée dit peu. Des points répétés à 23 h au même endroit suggèrent un domicile; de 9 h à 17 h, un lieu de travail. Les trajets réguliers révèlent des habitudes et les arrêts peuvent indiquer des activités sensibles. Retirer le nom ne rend pas nécessairement la série anonyme : recouper domicile et travail peut suffire à retrouver une personne.

Je concevrais le service selon la minimisation. Pour « restaurants à moins de deux kilomètres », le serveur n’a peut-être besoin que d’une position arrondie et d’une requête instantanée. Il peut retourner les résultats sans conserver l’historique. Si un historique améliore réellement le produit, il faut l’expliquer séparément, donner une durée et permettre de l’effacer.

Les permissions doivent correspondre au moment d’usage : position pendant l’utilisation plutôt qu’en permanence. Un indicateur visible aide à comprendre qu’un accès a lieu. Le transport doit être chiffré et les employés ou systèmes internes ne devraient pas recevoir la position brute sans rôle justifié. Les journaux de diagnostic demandent eux aussi une rétention courte et un accès contrôlé.

Il faut prévoir les erreurs. Une position vieille de vingt minutes ne devrait pas déclencher une action actuelle; un saut de plusieurs kilomètres en une seconde est probablement une mesure mauvaise; une absence de GPS doit produire un mode dégradé, pas un consentement forcé.

Dans un vrai projet, je dessinerais la donnée de localisation depuis le capteur jusqu’à sa dernière copie, puis j’effacerais chaque conservation qui n’est pas nécessaire au service annoncé. Donner sa position maintenant ne devrait pas automatiquement créer un dossier permanent sur ses déplacements.