Difficile aujourd'hui de ne pas avoir conscience du profilage qui est réalisé sur Internet et notamment sur les réseaux sociaux. Ces outils de communication et d'information ont véritablement changé le quotidien de milliards d'individus, mais les conséquences de ces pratiques se révèlent être de plus en plus préoccupantes. Ce projet de recherche est une analyse des évolutions techniques et juridiques encadrant les pratiques de profilage commercial sur les réseaux sociaux, confrontées aux enjeux économiques et sociaux qu'elles soulèvent. L'étude se propose de faire une présentation globale du cadre juridique entourant ces pratiques, d'évoquer notamment ses limites, avant de proposer d'éventuels éléments de réponses. Les pratiques existantes permettent dans un premier temps, les publicités ciblées, mais dans un second, ouvrent la porte à d'autres finalités souvent méconnues des utilisateurs de réseaux sociaux : La collecte de masse des données personnelles et leurs utilisations pour maximiser les profits des entreprises et créer une réelle asymétrie dans leur relation avec les utilisateurs. Ces derniers sont alors placés dans cette position de vulnérabilité, qui naît de l'opacité avec laquelle les organismes viennent manipuler ou échanger leurs données en permanence à leur insu. C'est donc cette situation que les législateurs tentent de rééquilibrer. Cependant, il suffit d'imaginer la mise en place d'une réelle protection de la vie privée des citoyens, face à l'aménagement de bonnes conditions pour l'exercice du commerce, pour comprendre la contradiction.

Désormais, l'analyse des scènes denses s'impose incontestablement comme une tâche importante pour contrôler et gérer les foules. Notre recherche a pour objectifs d'apporter des solutions à l'estimation de la densité de la foule et de prouver l'utilité de cette estimation comme préalable pour d'autres applications. Concernant le premier objectif, afin de cerner les difficultés de la détection de personnes dans une foule, on se focalise sur l'estimation de la densité basée sur un niveau d'analyse bas. Dans un premier temps, on démontre que nos approches sont plus adéquates que les méthodes de l’état de l’art que ce soit pour compter les individus ou pour estimer le niveau de la foule. Dans un second temps, nous proposons une approche innovante dans laquelle une estimation locale au niveau des pixels remplace l'estimation au niveau global de la foule ou le nombre des personnes. Elle est basée sur l’utilisation des suivis de caractéristiques visuelles dans une fonction de densité. Notre recherche a également pour objectif d'utiliser la densité comme information supplémentaire pour affiner d'autres tâches. D'abord, nous avons utilisé la mesure de la densité qui comporte une description pertinente à la répartition spatiale des individus afin d'améliorer leur détection et leur suivi dans les foules. Ensuite, en prenant en compte la notion de la protection de la vie privée, nous ajustons le niveau de floutage en fonction de la densité de la foule. Enfin, nous nous appuyons sur l’estimation locale de la densité ainsi que sur le mouvement en tant qu'attributs pour des applications de haut niveau telles que la détection des évolutions et la reconnaissance des événements. / Crowd analysis has recently emerged as an increasingly important problem for crowd monitoring and management in the visual surveillance community. In this thesis, our objectives are to address the problems of crowd density estimation and to investigate the usefulness of such estimation as additional information to other applications. Towards the first goal, we focus on the problems related to the estimation of the crowd density using low level features in order to avert typical problems in detection of high density crowd. We demonstrate in this dissertation, that the proposed approaches perform better than the baseline methods, either for counting people, or alternatively for estimating the crowd level. Afterwards, we propose a novel approach, in which local information at the pixel level substitutes the overall crowd level or person count. It is based on modeling time-varying dynamics of the crowd density using sparse feature tracks as observations of a probabilistic density function. The second goal is to use crowd density as additional information to complement other tasks related to video surveillance in crowds. First, we use the proposed crowd density measure which conveys rich information about the local distributions of persons to improve human detection and tracking in videos of high density crowds. Second, we investigate the concept of crowd context-aware privacy protection by adjusting the obfuscation level according to the crowd density. Finally, we employ additional information about the local density together with regular motion patterns as crowd attributes for high level applications such as crowd change detection and event recognition.

La société de l’information dans laquelle nous vivons repose notamment sur notre capacité à échanger des informations de façon sécurisée. Ces échanges sécurisés sont réalisés au moyen de protocoles cryptographiques. Ils explicitent comment les différents agents communicants doivent se comporter et exploitent des primitives cryptographiques (e.g. chiffrement, signature) pour protéger les échanges. Étant donné leur prédominance et leur importance, il est crucial de s’assurer que ces protocoles accomplissent réellement leurs objectifs. Parmi ces objectifs, on trouve de plus en plus de propriétés en lien avec la vie privée (e.g. anonymat, non-traçabilité). Malheureusement, les protocoles développés et déployés souffrent souvent de défauts de conception entraînant un cycle interminable entre découverte d’attaques et amélioration des protocoles.Pour en sortir, nous prônons l’analyse mécanisée de ces protocoles par des méthodes formelles qui, via leurs fondements mathématiques, permettent une analyse rigoureuse apportant des garanties fortes sur la sécurité attendue. Parmi celles-ci, la vérification dans le modèle symbolique offre de grandes opportunités d’automatisation. La plupart des propriétés en lien avec la vie privée sont alors modélisées par l’équivalence entre deux systèmes. Toutefois, vérifier cette équivalence est indécidable dans le cas général. Deux approches ont alors émergé. Premièrement, pour un nombre borné de sessions d’un protocole, il est possible de symboliquement explorer toutes ses exécutions possibles et d’en déduire des procédures de décision pour l’équivalence. Deuxièmement, il existe des méthodes de semi-décision du problème dans le cas général qui exploitent des abstractions, notamment en considérant une forme forte d’équivalence.Nous avons identifié un problème majeur pour chacune des deux méthodes de l’état de l’art qui limitent grandement leur impact en pratique. Premièrement, les méthodes et outils qui explorent symboliquement les exécutions souffrent de l’explosion combinatoire du nombre d’états, causée par la nature concurrente des systèmes étudiés. Deuxièmenent, dans le cas non borné, la forme forte d’équivalence considérée se trouve être trop imprécise pour vérifier certaines propriétés telle que la non traçabilité, rendant cette approche inopérante pour ces propriétés.Dans cette thèse, nous proposons une solution à chacun des problèmes. Ces solutions prennent la forme de contributions théoriques, mais nous nous efforçons de les mettre en pratique via des implémentations afin de confirmer leurs impacts pratiques qui se révèlent importants.Tout d’abord, nous développons des méthodes de réduction d’ordres partiels pour réduire drastiquement le nombre d’états à explorer tout en s’assurant que l’on ne perd pas d’attaques. Nos méthodes sont conçues pour le cadre exigeant de la sécurité et sont prouvées correctes et complètes vis-à-vis de l’équivalence. Nous montrons comment elles peuvent s’intégrer naturellement dans les outils existants. Nous prouvons la correction de cette intégration dans un outil et proposons une implémentation complète. Finalement, nous mesurons le gain significatif en efficacité ainsi obtenu et nous en déduisons que nos méthodes permettent l’analyse d’un plus grand nombre de protocoles.Ensuite, pour résoudre le problème de précision dans le cas non-borné, nous proposons une nouvelle démarche qui consiste à assurer la vie privée via des conditions suffisantes. Nous définissons deux propriétés qui impliquent systématiquement la non-traçabilité et l’anonymat et qui sont facilement vérifiables via les outils existants (e.g. ProVerif). Nous avons implémenté un nouvel outil qui met en pratique cette méthode résolvant le problème de précision de l’état de l’art pour une large classe de protocoles. Cette nouvelle approche a permis les premières analyses de plusieurs protocoles industriels incluant des protocoles largement déployés, ainsi que la découverte de nouvelles attaques. / The information society we belong to heavily relies on secure information exchanges. To exchange information securely, one should use security protocols that specify how communicating agents should behave notably by using cryptographic primitives (e.g. encryption, signature). Given their ubiquitous and critical nature, we need to reach an extremely high level of confidence that they actually meet their goals. Those goals can be various and depend on the usage context but, more and more often, they include privacy properties (e.g. anonymity, unlinkability). Unfortunately, designed and deployed security protocols are often flawed and critical attacks are regularly disclosed, even on protocols of utmost importance, leading to the never-ending cycle between attack and fix.To break the present stalemate, we advocate the use of formal methods providing rigorous, mathematical frameworks and techniques to analyse security protocols. One such method allowing for a very high level of automation consists in analysing security protocols in the symbolic model and modelling privacy properties as equivalences between two systems. Unfortunately, deciding such equivalences is actually undecidable in the general case. To circumvent undecidability, two main approaches have emerged. First, for a bounded number of agents and sessions of the security protocol to analyse, it is possible to symbolically explore all possible executions yielding decision procedures for equivalence between systems. Second, for the general case, one can semi-decide the problem leveraging dedicated abstractions, notably relying on a strong form of equivalence (i.e. diff-equivalence).The two approaches, i.e. decision for the bounded case or semi-decision for the unbounded case, suffer from two different problems that significantly limit their practical impact. First, (symbolically) exploring all possible executions leads to the so-called states space explosion problem caused by the concurrency nature of security protocols. Concerning the unbounded case, diff-equivalence is actually too imprecise to meaningfully analyse some privacy properties such as unlinkability, nullifying methods and tools relying on it for such cases.In the present thesis, we address those two problems, going back and forth between theory and practice. Practical aspects motivate our work but our solutions actually take the form of theoretical developments. Moreover, we make the effort to confirm practical relevance of our solutions by putting them into practice (implementations) on real-world case studies (analysis of real-world security protocols).First, we have developed new partial order reduction techniques in order to dramatically reduce the number of states to explore without loosing any attack. We design them to be compatible with equivalence verification and such that they can be nicely integrated in frameworks on which existing procedures and tools are based. We formally prove the soundness of such an integration in a tool and provide a full implementation. We are thus able to provide benchmarks showing dramatic speedups brought by our techniques and conclude that more protocols can henceforth be analysed.Second, to solve the precision issue for the unbounded case, we propose a new methodology based on the idea to ensure privacy via sufficient conditions. We present two conditions that always imply unlinkability and anonymity that can be verified using existing tools (e.g. ProVerif). We implement a tool that puts this methodology into practice, hence solving the precision issue for a large class of protocols. This novel approach allows us to conduct the first formal analysis of some real-world protocols (some of them being widely deployed) and the discovery of novel attacks.

Thèse en cotutelle : Université Laval, Québec, Canada et Université Paris-Saclay, Cachan, France. / La démocratisation d’Internet a entraîné une massification des données. Ce nouvel or noir se retrouve stocké pour une durée infinie, car Internet n’oublie pas. Tout cela vint bouleverser les aptitudes humaines à oublier, la mémoire inaltérable d’Internet est venue se substituer à la mémoire humaine. Cela soulève un grand nombre de difficultés s’agissant en particulier d’enjeux réputationnels. Ainsi, face à cette hypermnésie, intervient la question du droit à l’oubli numérique. L’objectif de ce travail de recherche est d’étudier la place de ce droit à être oublié en France et au Canada. Ce droit, très controversé, peine à se faire accepter. Si cette prérogative a été consacrée sur le Vieux Continent, son émergence au Canada est mise à mal par la large place laissée à la liberté d’expression. Très vite, s’érige autour du droit à l’oubli ce qui pourrait s’apparenter à des limites. Il s’agit notamment de sa portée territoriale, mais également de son articulation avec les autres droits. Ce travail de recherche démontrera qu’il ne s’agit pas tant de limites que d’éléments venant renforcer sa légitimité. Enfin, de ce travail de recherche ressort que le droit à l’oubli numérique met en évidence les dangers actuels de la tendance à la privatisation de la justice.

Dans le monde d'aujourd'hui où la plupart des aspects de la vie moderne sont traités par des systèmes informatiques, la vie privée est de plus en plus une grande préoccupation. En outre, les données ont été générées massivement et traitées en particulier dans les deux dernières années, ce qui motive les personnes et les organisations à externaliser leurs données massives à des environnements infonuagiques offerts par des fournisseurs de services. Ces environnements peuvent accomplir les tâches pour le stockage et l'analyse de données massives, car ils reposent principalement sur Hadoop MapReduce qui est conçu pour traiter efficacement des données massives en parallèle. Bien que l'externalisation de données massives dans le nuage facilite le traitement de données et réduit le coût de la maintenance et du stockage de données locales, elle soulève de nouveaux problèmes concernant la protection de la vie privée. Donc, comment on peut effectuer des calculs sur de données massives et sensibles tout en préservant la vie privée. Par conséquent, la construction de systèmes sécurisés pour la manipulation et le traitement de telles données privées et massives est cruciale. Nous avons besoin de mécanismes pour protéger les données privées, même lorsque le calcul en cours d'exécution est non sécurisé. Il y a eu plusieurs recherches ont porté sur la recherche de solutions aux problèmes de confidentialité et de sécurité lors de l'analyse de données dans les environnements infonuagique. Dans cette thèse, nous étudions quelques travaux existants pour protéger la vie privée de tout individu dans un ensemble de données, en particulier la notion de vie privée connue comme confidentialité différentielle. Confidentialité différentielle a été proposée afin de mieux protéger la vie privée du forage des données sensibles, assurant que le résultat global publié ne révèle rien sur la présence ou l'absence d'un individu donné. Enfin, nous proposons une idée de combiner confidentialité différentielle avec une autre méthode de préservation de la vie privée disponible. / In nowadays world where most aspects of modern life are handled and managed by computer systems, privacy has increasingly become a big concern. In addition, data has been massively generated and processed especially over the last two years. The rate at which data is generated on one hand, and the need to efficiently store and analyze it on the other hand, lead people and organizations to outsource their massive amounts of data (namely Big Data) to cloud environments supported by cloud service providers (CSPs). Such environments can perfectly undertake the tasks for storing and analyzing big data since they mainly rely on Hadoop MapReduce framework, which is designed to efficiently handle big data in parallel. Although outsourcing big data into the cloud facilitates data processing and reduces the maintenance cost of local data storage, it raises new problem concerning privacy protection. The question is how one can perform computations on sensitive and big data while still preserving privacy. Therefore, building secure systems for handling and processing such private massive data is crucial. We need mechanisms to protect private data even when the running computation is untrusted. There have been several researches and work focused on finding solutions to the privacy and security issues for data analytics on cloud environments. In this dissertation, we study some existing work to protect the privacy of any individual in a data set, specifically a notion of privacy known as differential privacy. Differential privacy has been proposed to better protect the privacy of data mining over sensitive data, ensuring that the released aggregate result gives almost nothing about whether or not any given individual has been contributed to the data set. Finally, we propose an idea of combining differential privacy with another available privacy preserving method.

L'explosion de la bulle internet au début des années 2000 a eu d'énormes impacts sociaux et économiques. Aujourd'hui, le nombre d'internautes approche les quatre milliards et internet s'est ancré dans notre vie quotidienne. De plus en plus d'informations circulent dans ce réseau et depuis les révélations d'Edward Snowden, le public a pris conscience du besoin de protéger sa vie privée. Ce mémoire présente dans un premier temps les concepts généraux de l'anonymat et de la protection de la vie privée sur internet. Ensuite, les réseaux anonymes les plus populaires y sont étudiés : JAP, Mixmaster, TOR et I2P. Nous verrons que la meilleure protection de ces réseaux est leur taille. [1] a élaboré un système de paiement pour rémunérer les relais de TOR dans le but d'encourager les internautes à participer sur le réseau anonyme. Nous verrons comment adapter ce système au réseau anonyme I2P. / Since the beginning of this century, the explosion of the internet has had an important social and economic impact. Today, the number of internet users has approached four billion and it has become a part of our daily lives. More and more information circulates on the internet and since Edward Snowden's global surveillance disclosure in 2013, the public is now aware about the necessity to protect their private lives. In a rst time, this thesis introduces anonymity and privacy general concepts'. Then, the following popular anonymous networks are studied: JAP, Mixmaster, TOR and I2P. We will see that the best protection for these network is their size. [1] has elaborates a payment system for remunerates the TOR relays in order to encourage Internet users to participate in the anonymous network. We will see how adapt this system on the I2P anonymous network.

Titre de l'écran-titre (visionné le 4 janvier 2023) / Ce mémoire propose une analyse des manières dont les discours d'ingénieurs, ayant proposé des solutions de traçage de contacts pour combattre la pandémie, construisent le concept de vie privée. Il compte deux grandes parties, soit une première qui fait office de mise en contexte, à la fois empirique et théorique, de la surveillance et de la pandémie, et une seconde, structurée comme un long article scientifique, qui présente l'analyse de l'objet de recherche. Le premier chapitre expose les différentes approches théoriques de la surveillance qui semblent pertinentes pour cette recherche. Le second, quant à lui, se veut une mise en contexte de la pandémie de COVID-19 comme telle, ainsi que des réponses des autorités sanitaires. Dans le troisième chapitre, nous nous penchons sur un élément beaucoup plus précis de la mise en contexte, soit les applications de traçage de contacts. Le quatrième chapitre propose une élaboration pointue d'un cadre théorique spécifique, autour de la notion de vie privée, qui permettra de prolonger les réflexions établies précédemment. Les deux chapitres suivants établissent quels sont les objectifs et la question de recherche spécifiques, ainsi que la méthodologie employée pour répondre à cette question. Le septième chapitre constitue en quelque sorte le cœur du mémoire, car il contient l'analyse en tant que telle. C'est le moment où tout le travail effectué en amont est mis à contribution pour comprendre les discours que nous voulons analyser. Finalement, le huitième et dernier chapitre discute des résultats obtenus. / This thesis presents an analysis of how the discourse of engineers, who have proposed contact tracing solutions to combat the pandemic, constructs the concept of privacy. It consists of two main parts: the first serves as a contextualization, both empirical and theoretical, of surveillance and the pandemic, while the second, structured like a lengthy scientific article, presents the analysis of the research subject. The first chapter outlines the various theoretical approaches to surveillance that appear relevant to this research. The second chapter serves as a contextualization of the COVID-19 pandemic itself, as well as the responses of health authorities. In the third chapter, we delve into a more specific element of the context, namely contact tracing applications. The fourth chapter provides a detailed elaboration of a specific theoretical framework around the concept of privacy, which will extend the earlier-established reflections. The following two chapters establish the objectives and the specific research question, as well as the methodology employed to address this question. The seventh chapter constitutes the heart of the thesis, as it contains the actual analysis. This is the moment where all the work done beforehand is brought into play to understand the discourses we intend to analyze. Finally, the eighth and last chapter discusses the obtained results.

Le 21 septembre 2021, l’Assemblée nationale du Québec a adopté le projet de loi 64 afin de moderniser son régime de protection des renseignements personnels. S’inspirant du Règlement Général sur la Protection des Données européen, ce projet de loi renforce substantiellement les obligations des entreprises privées et des organismes publics à l’égard des renseignements personnels des Québécois. Ce projet de loi assure également le respect de certains principes juridiques applicables aux systèmes d’intelligence artificielle. Or, dans le cadre de ce mémoire, nous démontrons que des tensions existent entre quatre de ces principes. Ces principes sont : le principe d’explicabilité, le principe d’exactitude, le principe de sécurité ainsi que le principe d’équité et de non-discrimination. En effet, il est souvent difficile et parfois impossible d’assurer un respect conjoint de ces quatre principes. La présente étude se divise en trois chapitres. Le premier explore les quatre principes pour ensuite identifier les obligations légales québécoises qui permettent d’en assurer le respect. Le second expose les tensions entre ces principes. Le dernier propose une solution permettant aux entreprises et aux organismes publics québécois de réaliser les arbitrages nécessaires entre ces principes tout en respectant la Loi. / On September 21, 2021, the Quebec legislative passed Bill 64 to modernize its privacy regime. Inspired by the European General Data Protection Regulation, this bill strengthens the obligations of private companies and public bodies with respect to personal data. This bill also provides obligations protecting normative principles applicable to artificial intelligence systems. In this paper, we show that four of these principles exist in a state of tension. These principles are : explicability, accuracy, security and fairness and non-discrimination. Indeed, it is often difficult and sometimes impossible to ensure that these principles are respected together. This study is divided into three parts. The first part defines the four principles to then identifies how these principles are translated into Quebec law. The second part sets out the tensions between these principles. The last part provides a solution that would allow Quebec businesses and public bodies to make the necessary trade-offs between these principles in a matter that complies with their legal obligations.

La protection des données et de la vie privée des personnes est devenue aujourd’hui un enjeu majeur pour les entreprises et les organisations gouvernementales qui collectent et entreposent les données à caractère personnel. L’adoption d’une politique de sécurité est un impératif. Plusieurs modèles de contrôle d’accès sont proposés dans la littérature pour guider les utilisateurs dans la mise en oeuvre de leurs politiques de sécurité. Chacun de ces modèles a ses forces et faiblesses. Les systèmes de contrôle d’accès mis en place s’érigent souvent en de véritables obstacles, rendant inefficace le travail de leurs utilisateurs. Il convient de mieux connaître les modèles de contrôles d’accès avant de les implémenter. Ce mémoire présente une étude complète des modèles de contrôle d’accès RBAC, XACML et SGAC, en dégageant les enjeux auxquels les utilisateurs devront s’attendre en adoptant ces modèles. RBAC et XACML ont été normalisés respectivement par ANSI et OASIS et sont actuellement les modèles dominants dans l’industrie et dans le monde de la recherche. SGAC est un modèle proposé à la suite d’une étude, pour implémenter le contrôle d’accès aux dossiers médicaux au profit du réseau de santé de Sherbrooke. Les récentes études ont montré que c’est dans le domaine de la santé que les violations de la vie privée sont plus fréquentes. Le mémoire présente aussi les principales exigences d’un système de contrôle d’accès dans le domaine de la santé. Sur la base des exigences identifiées, il propose une évaluation des modèles de contrôle d’accès étudiés, et fournit une comparaison de ces modèles.

"Mémoire présenté à la Faculté des études supérieures en vue de l'obtention du grade de Maître en Droit des Technologies de l'Information" / Le récent développement des technologies de l'information a entraîné un redéfinition du concept de vie privée. Nous étudions les impacts de cette redéfinition sur l'environnement informationnel d'un étudiant universitaire et tentons de trouver une façon de rétablir l'équilibre entre la protection de la vie privée et la circulation des informations dans le but de permettre aux étudiants d'évoluer dans un milieu d'apprentissage plus riche. / The recent development of information technologies helped redefine the the concept ofprivacy. We study the impacts of this redefinition on a university sturent's information environment, and we try to find a way to restore the balance between the protection of privacy and the flow of information in order to enable students to evolve in a richer leaming environment.