"Mémoire présenté à la Faculté des études supérieures en vue de l'obtention du grade de Maîtrise en LL.M. Droit - Recherche option Droit, Biotechnologies et Sociétés" / Les registres médicaux sont des banques de données, ayant des caractéristiques spécifiques, rassemblant tous les cas d'une maladie sur un territoire précis. Ces informations permettent la mise en place de politiques de santé publique ainsi que l'étude de maladies afin de faire progresser la recherche médicale. La question se pose donc de savoir comment la réglementation concernant le respect de la vie privée s'applique aux particularités des registres. La législation actuellement en vigueur au Québec prévoit l'obligation d'obtenir le consentement du patient avant d'inclure les données le concernant dans le registre. Ces renseignements personnels de santé recueillis dans le registre doivent être protégés afin de respecter la vie privée des participants. Pour cela, des mesures concernant la confidentialité et la sécurité des données doivent être mises en place en vue de leur conservation et durant celle-ci. Après l'utilisation principale de ces données, il est possible de se servir à nouveau de ces renseignements personnels à d'autres fins, qu'il faille ou non les transférer vers une autre banque de données, nationale ou étrangère. Néanmoins cette utilisation secondaire ne peut se faire qu'à certaines conditions, sans porter atteinte au droit des participants concernant le respect de la vie privée. / Medical registries are databases which record aIl cases of a specifie disease found in a given area. Registries provide vital information for public health research and for the implementation of appropriate public policies. The question is : How does the regulation of privacy apply to registries? Legislation currently in force in the province of Quebec requires the consent of a patient in order to inc1ude personal information in the registry. Personal health data in a registry have to be protected to preserve the privacy of research subjects. To ensure data security and confidentiality sorne measures must be taken during their conservation. Secondary use of data is possible under certain conditions aimed at protecting the right to privacy. It is possible to use such personal information again for other purposes even if the data need to be transferred to another national or foreign database.

Thèse numérisée par la Direction des bibliothèques de l'Université de Montréal.

Mémoire numérisé par la Direction des bibliothèques de l'Université de Montréal.

La frontière entre vie privée et vie professionnelle tend vers la confusion. La notion de vie privée est variable par l'importance que chaque individu lui accorde, elle suit également l'évolution de la société. Au sein de la relation de travail, caractérisée par le lien de subordination, quelle place doit-on lui assigner ? S'il est admis qu'il existe bel et bien une sphère privée résiduelle dans l'entreprise, comment la conjuguer efficacement avec les impératifs de productivité du monde du travail ? Malgré une forte protection de la vie privée du travailleur, l'empiètement de la sphère professionnelle sur la sphère privée est un risque supplémentaire de voir la notion se vider de sa substance. Notre étude s'attache à mettre en exergue les mutations intervenues dans l'entreprise notamment par l'usage des nouvelles technologies et les difficultés qu'elles occasionnent au regard de l'impératif de respect des libertés individuelles du salarié. Dans ce contexte, nous envisagerons des solutions pour faire coexister les deux sphères au regard de l'exigence de proportionnalité qui doit présider à la relation de travail. / The border between private and professional life can be confusing. The notion of private life differs from the importance each individual allows it, it follows as well the evolution of the society. Inside the working relationship, distinguished among the subordination connection, which priority should we assign it ? If there is agreement that in the working place a remaining private sphere truly exists, how can we efficiently unite it with the productivity requirements of the working environment ? Despite a strong protection of the employee's private life, the professional sphere stepping into the private one is an additional risk to see this idea to lose its meaning. The goal of our study is to point out the changes that occurred at work especially with the use of new technologies and the difficulties experienced due to the requirements to respect the employee's personal freedom. In this context we are considering some solutions to have those two spheres working together despite the balance requirement that must oversee the working relationship.

Au cours des dernières années les progrès technologiques permettant de collecter, stocker et traiter d'importantes quantités de données pour un faible coût, ont soulevés de sérieux problèmes concernant la vie privée. La protection de la vie privée concerne de nombreux domaines, en particulier les sites internet fréquemment utilisés comme les moteurs de recherche (ex. : Google, Bing, Yahoo!). Ces services permettent aux utilisateurs de retrouver efficacement du contenu sur Internet en exploitant leurs données personnelles. Dans ce contexte, développer des solutions pour permettre aux utilisateurs d'utiliser ces moteurs de recherche tout en protégeant leurs vies privées est devenu primordial. Dans cette thèse, nous introduirons SimAttack, une attaque contre les solutions protégeant la vie privée de l'utilisateur dans ses interactions avec les moteurs de recherche. Cette attaque vise à retrouver les requêtes initialement envoyées par l'utilisateur. Nous avons montré avec cette attaque que trois mécanismes représentatifs de l’état de l’art ne sont pas satisfaisants pour protéger la vie privée des utilisateurs. Par conséquent, nous avons développé PEAS, un nouveau mécanisme de protection qui améliore la protection de la vie privée de l'utilisateur. Cette solution repose sur deux types de protection : cacher l'identité de l'utilisateur (par une succession de deux serveurs) et masquer sa requête (en la combinant avec des fausses requêtes). Afin de générer des fausses requêtes réalistes, PEAS se base sur les précédentes requêtes envoyées par les utilisateurs du système. Pour finir, nous présenterons des mécanismes permettant d'identifier la sensibilité des requêtes. Notre objectif est d'adapter les mécanismes de protection existants pour protéger uniquement les requêtes sensibles, et ainsi économiser des ressources (ex. : CPU, mémoire vive). Nous avons développé deux modules pour identifier les requêtes sensibles. En déployant ces modules sur des mécanismes de protection existants, nous avons établi qu'ils permettent d'améliorer considérablement leurs performances. / During the last few years, the technological progress in collecting, storing and processing a large quantity of data for a reasonable cost has raised serious privacy issues. Privacy concerns many areas, but is especially important in frequently used services like search engines (e.g., Google, Bing, Yahoo!). These services allow users to retrieve relevant content on the Internet by exploiting their personal data. In this context, developing solutions to enable users to use these services in a privacy-preserving way is becoming increasingly important. In this thesis, we introduce SimAttack an attack against existing protection mechanism to query search engines in a privacy-preserving way. This attack aims at retrieving the original user query. We show with this attack that three representative state-of-the-art solutions do not protect the user privacy in a satisfactory manner. We therefore develop PEAS a new protection mechanism that better protects the user privacy. This solution leverages two types of protection: hiding the user identity (with a succession of two nodes) and masking users' queries (by combining them with several fake queries). To generate realistic fake queries, PEAS exploits previous queries sent by the users in the system. Finally, we present mechanisms to identify sensitive queries. Our goal is to adapt existing protection mechanisms to protect sensitive queries only, and thus save user resources (e.g., CPU, RAM). We design two modules to identify sensitive queries. By deploying these modules on real protection mechanisms, we establish empirically that they dramatically improve the performance of the protection mechanisms.

Les systèmes de recommandation se sont imposés comme étant des outils indispensables face à une quantité de données qui ne cesse chaque jour de croître depuis l'avènement d'Internet. Leur objectif est de proposer aux utilisateurs des items susceptibles de les intéresser sans que ces derniers n'aient besoin d'agir pour les obtenir. Après s'être majoritairement focalisés sur la précision de la prédiction d'intérêt, ces systèmes ont évolué pour prendre en compte d'autres critères dans leur processus de recommandation, tels que les facteurs humains inhérents à la prise de décision, afin d'améliorer la qualité et l'utilité des recommandations. Cependant, la prise en compte de certains facteurs humains tels que la diversité et le contexte demeure critiquable. Alors que le contexte des utilisateurs est inféré sur la base d'informations collectées à l'insu de leur vie privée, la prise en compte de la diversité est quant à elle réduite à une dimension qu'un système se doit de maximiser. Or, certains travaux récents démontrent que la diversité correspond à un besoin évoluant dynamiquement au cours du temps, et dont la proportion à insuffler dans les recommandations est dépendante de la tâche effectuée (i.e du contexte). Partant du postulat inverse selon lequel l'analyse de l'évolution de la diversité au cours du temps permet de définir le contexte de l'utilisateur, nous proposons dans ce manuscrit une nouvelle approche de modélisation contextuelle basée sur la diversité. En effet, nous soutenons qu'une variation de diversité remarquable peut être la conséquence d'un changement de contexte et qu'il faut alors adapter la stratégie de recommandation en conséquence. Nous présentons la première approche de la littérature permettant de modéliser en temps réel l'évolution de la diversité, ainsi qu'une nouvelle famille de contextes dits implicites n'exploitant aucune donnée sensible. La possibilité de remplacer les contextes traditionnels (explicites) par les contextes implicites est confirmée de plusieurs manières. Premièrement, nous démontrons sur deux corpus issus d'applications réelles qu'il existe un fort recouvrement entre les changements de contextes explicites et les changements de contextes implicites. Deuxièmement, une étude utilisateur impliquant de nombreux participants nous permet de démontrer l'existence de liens entre les contextes explicites et les caractéristiques des items consultés dans ces derniers. Fort de ces constats et du potentiel offert par nos modèles, nous présentons également plusieurs approches de recommandation et de prise en compte des besoins des utilisateurs / Recommender Systems (RS) have become essential tools to deal with an endless increasing amount of data available on the Internet. Their goal is to provide items that may interest users before they have to find them by themselves. After being exclusively focused on the precision of users' interests prediction task, RS had to evolve by taking into account other criteria like human factors involved in the decision-making process while computing recommendations, so as to improve their quality and usefulness of recommendations. Nevertheless, the way some human factors, such as context and diversity needs, are managed remains open to criticism. While context-aware recommendations relies on exploiting data that are collected without any consideration for users' privacy, diversity has been coming down to a dimension which has to be maximized. However recent studies demonstrate that diversity corresponds to a need which evolves dynamically over time. In addition, the optimal amount of diversity to provide in the recommendations depends on the on-going task of users (i.e their contexts). Thereby, we argue that analyzing the evolution of diversity over time would be a promising way to define a user's context, under the condition that context is now defined by item attributes. Indeed, we support the idea that a sudden variation of diversity can reflect a change of user's context which requires to adapt the recommendation strategy. We present in this manuscript the first approach to model the evolution of diversity over time and a new kind of context, called ``implicit contexts'', that are respectful of privacy (in opposition to explicit contexts). We confirm the benefits of implicit contexts compared to explicit contexts from several points of view. As a first step, using two large music streaming datasets we demonstrate that explicit and implicit context changes are highly correlated. As a second step, a user study involving many participants allowed us to demonstrate the links between the explicit contexts and the characteristics of the items consulted in the meantime. Based on these observations and the advantages offered by our models, we also present several approaches to provide privacy-preserving context-aware recommendations and to take into account user's needs

Actuellement, la technologie RFID (Radio Frequency Identification) est utilisée dans plusieurs domaines d'applications allant de l'identification dans les chaines d'approvisionnement à l'authentification dans les applications les plus sensibles telles que: les titres de transport, la médicine, les systèmes de surveillance, les cartes de crédit ou encore le passeport biométrique. Cependant, la nature sans-fil des données échangées rend cette technologie vulnérable à un certain nombre d'attaques et de nouvelles menaces. Ceci, engendre deux principaux problèmes à savoir; celui lié à la sécurité des informations échangées et celui lié à l'atteinte à la vie privée du propriétaire de l'étiquette. Par conséquent, cette technologie nécessite l'emploi de mécanismes de sécurité pour lutter contre tout type d'attaque et menace, ce qui peut se donner par le service authentification. Néanmoins, il se trouve que les étiquettes RFID imposent de fortes contraintes en termes de ressources matérielles telles que le temps de calcul, l'espace de stockage et l'énergie consommée et communication, ainsi, les primitives cryptographiques classiques telles que l'AES (Advanced Encryption Standard), le RSA (Rivest, Shamir and Adleman), etc. ne peuvent plus être employées. C'est pourquoi, dans la plupart des applications RFID, que nous retrouvons sur le marché, adoptent la cryptographie légère ou ultralégère (à faible coût) qui s'avère la principale solution pour résoudre le problème de capacité limitée, mais son limitation réside dans son niveau de sécurité. Ainsi, avec les moyens de calcul que nous disposons aujourd'hui, ces systèmes deviennent de plus en plus vulnérables à un nombre important d'attaques, d'où la nécessité de chercher des primitives cryptographiques qui soient à la fois robustes et sûres envers tout type d'attaques et en conformités avec contraintes imposées par les étiquettes RFID. Par conséquent, l'étude et l'exploitation des applications RFID est d'intérêt primordial afin de mieux comprendre et maitriser les menaces et les risques de cette technologie. A travers les travaux de recherche présentés dans cette thèse, nous nous sommes inscrits dans cette compétition qui consiste à chercher des solutions permettant de résoudre les problèmes liés à la sécurité de systèmes RFID, allant de l'authentification ultralégère à celle adoptant les courbes elliptiques (ECC) pour les étiquettes actives ou encore à la génération de clés de chiffrement pour les crypto-systèmes ECC. Parmi les tâches développées au cours de ces travaux de thèse, nous avons proposé de nouveaux protocoles d'authentification RFID en utilisant les concepts des courbes elliptiques qui présentent plus d'efficacité, de sécurité et de robustesse. Dans part, nous avons cryptanalyé, développé et proposé des protocoles d'authentification légers et ultralégers convenables aux étiquettes à faible coût. Plus loin, une autre contribution importante qui rentre dans le cadre de la génération aléatoire des clés de chiffrement, nous avons proposé un nouveau générateur pseudo aléatoire (PRNG) construit à base de plusieurs courbes elliptiques auto-sélectionnées convenable aux applications de type sécurisation des systèmes embarqués, la sécurité et simulations informatiques ou plus encore pour les systèmes miniaturisés à base des ECC tels que les cartes à puces et les étiquettes RFID. / The deployment and use of radio-frequency identification (RFID) technology is growing rapidly in different aspects of our daily life. This technology is used not only in traditional applications such as access control and container identification but also in security services such as in biometric passports, medicine, RFID-embedded cards. However, the main drawback of exchanging data wirelessly is the security issue. These systems are especially vulnerable to different attacks such as, eavesdropping attack, tracking attack, active attacks. For these reasons, the security and privacy of the RFID systems are to be addressed seriously and considered as a crucial matter before deploying this technology. These security mechanisms may be given by the authentication service. However, it turns out that RFID tags impose challenging constraints in terms of storage requirements, computing power, bandwidth and computational cost, thus, it is hard for them to implement or to adapt the existing custom cryptographic primitives and protocols or modern ciphers, such as AES (Advanced Encryption standard), RSA (Rivest, Shamir and Adleman), etc., which require a huge computational workload and storage space. Hence only lightweight cryptographic primitives can be implemented. Therefore, with the development of the calculation means, these systems are becoming increasingly vulnerable to a significant number of attacks. Consequently, the need for strong and secure cryptographic primitives compliant with the tag's challenging constraints must be addressed seriously. In addition, the study and the exploitation of the RFID applications is paramount interest in order to understand and master the threats and risks of this technology. Through the research presented in this thesis, we entered in this competition which consists to find solutions and solving problems related to the RFID systems security, ranging from the use of the lightweight authentication to those adopting elliptic curves cryptography. Among the tasks developed in the thesis works, we have proposed new RFID authentication protocols using the elliptic curves concepts that present more efficiency, security and robustness. In the other hand, we have cryptanalyzed, developed and proposed efficient lightweight and ultra-lightweight authentication protocols suitable for low cost RFID tags. Further, another important contribution which comes within the framework of the random generation of encryption keys, we have proposed a new pseudo-random generator (PRNG) constructed by randomly selecting points from elliptic curves, suitable for applications such as security systems, computer physic simulations, cryptographic applications and control coding.

Cette thèse de doctorat porte sur la dimension externe de la protection des données à caractère personnel dans le droit de l’Union Européenne, c’est-à-dire sur l’analyse des mécanismes à travers lesquels le droit de l’Union assure aux données qui sont transférées vers les Pays tiers, un haut degré de protection. Le travail se propose, donc, de mettre en évidence les résultats obtenus grâce à cette véritable politique étrangère législative de l’Union européenne. / This doctoral thesis deals with the external dimension of the protection of personal data, thus of the mechanisms by which the law of the European Union ensures an adequate level of protection to the personal data that are transferred to third countries. Under this perspective, the aim of the thesis is to underline the achievements of what amounts to a “legislative foreign policy” of the European Union aimed at the protection of personal data as a fundamental right of the individuals.

L'objectif de ce travail de thèse est de proposer un canevas sémantique intégrant un méta-modèle et des outils de raisonnement permettant à tout concepteur de système ubiquitaire de mettre en oeuvre facilement des mécanismes de gestion des politiques de la vie privée. Le canevas proposé intègre une architecture middleware générique qui offre des composants pour définir, administrer et contrôler l'application des politiques de confidentialité. Notre approche proposée est hybride. Elle est fondée sur l’ingénierie dirigée par les modèles et sur un raisonnement à base d'ontologies et de règles d'inférence opérant selon l'hypothèse du monde clos. Le méta-modèle proposé est caractérisé par un niveau d'abstraction et d'expressivité élevé permettant de définir des politiques de gestion de la vie privée indépendamment du domaine d'application pouvant être adaptées à différents contextes. Il définit, aussi, un cadre conceptuel pour établir des modèles de règles génériques et décidables permettant de prendre des décisions de contrôle cohérentes pour la protection de la vie privée. Ces modèles de règles sont mis en oeuvre grâce au langage de règles SmartRules permettant de mettre en oeuvre un contrôle adaptatif. Ce dernier est basé sur un raisonnement non-monotone et une représentation des instances de concepts selon la supposition du nom unique. Nous avons validé le canevas proposé à travers un scénario typique mettant en oeuvre des services d'assistance ambiante sensibles à la vie privée de personne âgée. / This thesis aims at proposing a semantic framework that integrates a meta-model and reasoning tools allowing any ubiquitous system designer to easily implement mechanisms to manage privacy policies. The proposed framework includes a generic middleware architecture that provides components to define, manage and monitor the implementation of privacy policies. Our approach is an hybrid one based on Model-Driven Engineering and a reasoning based on ontologies and inference rules operating on the assumption of the closed world. The proposed meta-model is characterized by a high level of abstraction and expressiveness to define privacy policies management regardless of the domain application and can be adapted to different contexts. It defines, also, a conceptual framework for generic decidable modelling rules to make consistent control decisions on user privacy. These model rules are implemented using the SmartRules language that could implement an adaptive control. The latter is based on a non-monotonic reasoning and representation of instances of concepts according to the unique name assumption. We have validated the proposed semantic framework through a typical scenario that implements support ambient intelligence privacy-aware services for elderly.

Nous construisons une analyse des dispositifs identitaires contemporains (dont les réseaux socionumériques) sur plusieurs niveaux : au niveau informatique (modèle conceptuel clôturant représentations sociales et sociabilités) ; au niveau microsocial (négociation des singularités subjectives et ancrage des normes sociales) ; au niveau économique (stratégies hégémoniques et partenariat avec les industries culturelles) ; au niveau sociopolitique (expérimentation de postures individuelles sur la base d'expériences affectives et dans un cercle privé rendant possible l'engagement dans les processus délibératifs constituant le sens commun). Pour appréhender ces enjeux, nous avons mis en œuvre une méthodologie immersive et multi-située en compagnie d'une population composée de figures du sujet contemporain : des apprentis en BTS dans le secteur du Tertiaire, soumis à un complexe de contraintes, et engagés au niveau personnel et socioprofessionnel dans divers dispositifs identitaires. Il ressort de ces analyses plusieurs propositions théoriques, dont celle du cadre privatif présenté comme ensemble de contraintes identitaires définies ou négociées par les interactants et resitué au niveau informatique (ingénierie de la vie privée médiatisée), microsocial (veille mutuelle), économique (modèle socioéconomique du salon), sociopolitique (espace anecdotique), et méthodologique (immersion auprès des usagers). / We build an analysis of contemporary identity devices (including social network sites) on several levels: computer (conceptual model ending social representations and sociability), microsocial (negotiating subjective singularities and anchoring social norms), economics (hegemonic strategies and partnerships with cultural industries), socio-political (experimenting individual postures based on emotional experiences in a « private club model » and making it possible to engage in deliberative processes constituting common sense). To understand these issues, we have implemented an immersive and multi-situated methodology located in a population composed of contemporary subject's figures: young apprentices in the Tertiary, subject to complex constraints, and committed personal level, social and professional identity in various devices. It is clear from these analyzes several theoretical proposals, including the « privatory framework » presented as a set of identity constraints defined or negotiated by interactants and situating in Computer Science (engineering publicized privacy), the micro (mutual insight), economic (socioeconomic model of the « private club »), socio-political (anecdotical sphere) and methodological (immersion to users).