Quatre composants majeurs de toute smart city constituent une vulnérabilité pour les collectivités : les réseaux qui maillent les territoires ; les infrastructures qui aménagent les espaces et concernent les secteurs de la mobilité, de l’électricité, de la gestion de l’eau, etc. ; les objets connectés qui apportent de la connaissance et de l’intelligence ; les données collectées, stockées et analysées. La moindre faille de sécurité peut entraîner un dysfonctionnement, à l’image de la prise de contrôle d’un panneau d’affichage de la ville, une atteinte à la vie privée, comme le rappelait récemment la CNIL, voire un risque vital, si on imagine le sabotage d’un système de gestion de l’eau potable.
Afin de préserver ces technologies et ces données, éléments-clés des smart cities, des mesures de sécurité doivent être mises en place ; et les responsabilités juridiques définies entre toutes les parties prenantes. À qui appartiennent les équipements technologiques déployés dans la ville ? Qui doit en assurer la maintenance à long terme ? Qui possède les données qui en proviennent ? Autant de questions qui doivent servir de socle pour élaborer des contrats entre les collectivités et les acteurs privés, notamment les délégataires de services publics.

Une attention accrue portée aux contrats et aux licences

Avocat à la cour, Nathalie Plouviet présente le cas des véhicules autonomes : « Leur développement passe forcément par le déploiement de capteurs sur les routes. Or, à qui appartiennent-ils ? Et en cas d’accident à cause de leur dysfonctionnement, qui sera responsable ? Pour répondre à cela, la ville va devoir analyser, au cas par cas, ce qui lui appartient ou non. » En fonction des réponses, les contrats pourront être établis en précisant les responsabilités des élus, et donc les mesures qu’ils doivent prendre pour sécuriser les équipements. Il en va de même pour la question des données (qui les possède, qui les traite, qui les conserve...), qu’elles soient publiques ou à caractère personnel. Dans le cadre d’une collecte d’information auprès des usagers, avec pour finalité de développer un nouveau service public de mobilité par exemple, il conviendra d’apporter une attention particulière à la question du consentement et aux licences d’utilisation des données.
Pour encadrer ces différents aspects de la smart city, « la justice est assez timide, commente Myriam Quemener, magistrat détaché au ministère de l'Intérieur dans le cadre de la Mission de lutte contre les cybermenaces. Or, les villes connectées augmentent la surface d’attaque des cyber-délinquants. » Heureusement, le droit pénal tend à évoluer pour s’adapter aux technologies. Ainsi, la Loi Godfrain qui prévoit depuis 1988 des dispositions en cas d’atteinte aux systèmes de traitement automatisé de données, considère aujourd’hui que les objets connectés sont justement des systèmes de traitement automatisé de données. Mais si la justice s’empare du sujet des villes intelligentes, certaines communes, non-conscientes des enjeux, prennent des risques. Et ce n’est pas faute de tenter de les sensibiliser : depuis le début du cycle d’ateliers sur les smart cities organisé par France Stratégie – dont deux consacrés aux questions de sécurité – aucune collectivité n’a souhaité y participer...