Nos données personnelles : objets de convoitises connectées ?

Sans nous méfier, nous avons laissé les objets connectés "augmenter" nos usages d'une sacrée dose de numérique. Au point de déposer, presque consciemment, nos empreintes 2.0 sur des serveurs au bout du monde. Mais faut-il diaboliser pour autant l'internet des objets et la façon dont il traite nos données personnelles ?

Big Brother is watching you ! Fantasme de George Orwell dans son roman d'anticipation 1984, il semblerait que le "téléécran" diffusant des messages de propagande tout en opérant une vidéosurveillance permanente des individus ne soit plus si éloigné de la réalité.

En témoigne l'affaire des téléviseurs connectés LG, laquelle avait fait grand bruit à la fin de l'année 2013 : un blogueur anglais connu sous le pseudonyme de DoctorBeet avait en effet découvert par hasard, sur son propre appareil, que le constructeur coréen récoltait des données sur les habitudes de visionnage des utilisateurs afin de mieux cibler ses publicités. Et ce, même s'ils avaient désactivé l'option de "collecte d'information de visionnage", cochée par défaut. Non seulement le téléviseur continuait d'envoyer ces données au serveur de LG, mais il lui transmettait également, en clair, des données relatives aux fichiers présents sur une clé USB connectée à l'appareil. Pris sur le fait, LG s'est finalement excusé tout en promettant la mise à jour du logiciel.

révolution industrielle

Du téléviseur aux applications "santé" sur smartphones, en passant par les balances, les brosses à dents ou encore les porte-biberons, les objets connectés ont envahi notre quotidien. Certains affirment même que cette mutation des usages serait à l'origine d'une nouvelle révolution industrielle.

D'après l'étude publiée par l'institut Idate en 2013, 80 milliards de terminaux et objets connectés à internet seront en circulation dans le monde en 2020. Soit plus de dix appareils par personne. Une explosion du marché confirmée par l'institut américain Research2guidance, lequel prévoit que le marché des applications mobiles de santé (celui de la "m-santé", pour santé mobile) pourrait atteindre 26 milliards de dollars en 2017, avec 3,4 milliards d'utilisateurs.

Si plus de 5 millions de Français prennent chaque jour la pouls de leur santé via ces outils du "quantified self" (mesure de soi), ont-ils vraiment conscience de la somme de données qu'ils produisent ? Et surtout de ce que deviennent ces données après qu'elles aient été collectées ? Car rappelez-vous l'adage pédagogique destiné à alerter le grand public sur ces problématiques : "Si c'est gratuit, c'est que vous êtes le produit !".

Sans compter les menaces de cyber-espionnage et d'attaques qui planent sur ces objets connectés avec, dans leur viseur, nos données personnelles : selon l'éditeur américain McAfee, "les données de soins de santé sont encore plus précieuses que les données d'une carte de crédit". Une identité avec quelques renseignements précis "peut valoir jusqu'à 10 dollars, soit 10 à 20 fois plus qu'un numéro de carte bancaire". Selon l'étude qu'il a publiée en novembre dernier, "les attaques à l'encontre des équipements reliés à l'Internet des objets connaîtront une hausse rapide en raison de la croissance exponentielle dans le nombre d'objets connectés, des pratiques déficientes en matière de sécurité et des données de grande valeur stockées sur ces appareils".

recommandations de la Cnil

Des questions sur lesquelles la Commission nationale de l'informatique et des libertés (Cnil) veille scrupuleusement. Et ce depuis

2009, lorsque la commission a publié sa première communication sur l'internet des objets. Elle y exposait déjà les perspectives et les enjeux du développement de ce secteur d'un genre nouveau tout en soulignant les risques qu'il pouvait faire planer sur la vie privée et la protection des données personnelles.

Dans son dernier Rapport annuel publié en mai 2014, la Cnil rappelait d'ailleurs que ces pratiques "se fondent sur des modes de capture de données de plus en plus automatisés et induisent la circulation de grandes masses de données personnelles". Celles-ci "touchent à l'intimité et sont pourtant le plus souvent destinées à être partagées".

Face à l'explosion du marché des objets connectés, lequel questionne le cadre juridique actuel, la Cnil s'est intéressée à l'impact potentiel de ces nouvelles pratiques sur la vie privée et les libertés individuelles en consacrant l'un de ses Cahiers Innovation et Prospective au sujet du quantified self. Communiquant ainsi avec pragmatisme et pédagogie sur le sujet, la Cnil rappelle que "la frontière peut être floue entre le médical et le simple suivi de son bien-être. Une donnée peut sembler anodine pour un utilisateur au moment où il la partage, mais receler beaucoup d'informations pour un spécialiste qui pourrait y avoir accès par la suite. A titre d'exemple, une fois interprété, le rapport poids/tour de taille peut être utilisé à l'appui d'une évaluation du risque cardio-vasculaire".

Et d'énoncer ainsi ses recommandations aux utilisateurs d'objets connectés :

utiliser, si possible, un pseudonyme pour partager ses données ;
ne pas automatiser le partage des données vers d'autres services (notamment vers les réseaux sociaux) ;
ne publier les données qu'en direction de cercles de confiance ;
effacer ou récupérer les données lorsqu'un service n'est plus utilisé.

fantasmes sur les données de santé ?

Le Conseil national de l'Ordre des médecins (Cnom) n'a pas souhaité rester en retrait face à la croissance exponentielle du marché des applications et des objets connectés, mais justement accompagner ce déploiement d'un "monde numérique" adapté à la santé. Dans un livre blanc publié en janvier 2015, le Cnom affirme qu'il faut "informer l'usager afin qu'il conserve sa liberté" en matière de données personnelles. Prônant une régulation, il y fait également six propositions visant à "définir un cadre du bon usage" des objets connectés de santé :

Définir le bon usage de la santé mobile au service de la relation patients-médecins
Promouvoir une régulation adaptée, graduée et européenne
Poursuivre l’évaluation scientifique
Veiller à un usage éthique des technologies de santé connectée
Développer la littératie numérique
Engager une stratégie nationale de e-santé

les promesses des données

Loin d'être alarmiste sur le sujet, le docteur Jacques Lucas, vice-président du Cnom et délégué général aux systèmes d'information en santé, souhaite au contraire attirer l'attention de ses pairs, des usagers, des industriels et de l'Europe afin que l'ensemble des acteurs "porte un regard équitable sur les risques et les opportunités des objets connectés".

Car si, certes, une évaluation doit être faite sur leur fiabilité, leurs promesses sont nombreuses, notamment en matière de prévention, d'éducation à la santé ou lorsqu'ils reposent sur une pathologie. "L'application ou l'objet connecté devrait pouvoir être recommandé par le médecin ou le professionnel de santé, affirme Jacques Lucas ; il devrait même pouvoir être prescrit !".

Évoquant avec enthousiasme un hypothétique big data international généré par les objets connectés, il estime que l'analyse de telles données serait riche d'un immense potentiel en matière de santé publique : "les objets connectés pourraient être de formidables lanceurs d'alertes grâce aux signaux qu'ils émettent sur une pathologie, pour évaluer un phénomène sur une population ou même pour identifier un foyer d'épidémie grâce à la géolocalisation, poursuit-il ; ils pourraient ainsi aider à la mise en place de politiques de santé publique et ainsi apporter à la population des mesures susceptibles de la protéger".

Certes, le Cnom a bien conscience des risques planant sur la protection des données personnelles et sur la confidentialité ainsi que de la vulnérabilité et des failles de sécurité des produits et des logiciels. Il précise même dans son livre blanc que "la collecte de données personnelles est généralisée mais pas toujours justifiée par la finalité de l'application", précisant que "seul un quart des applications fournit une information satisfaisante concernant leur utilisation des données personnelles".

Si le Docteur Lucas plaide pour une réflexion juridique sur le statut des données de santé et sur leur propriété, il souhaite tout de même dédramatiser la question : "nos données personnelles doivent, bien sûr, être protégées, conclut-il ; mais encore faut-il ne pas mourir de n'avoir pu utiliser un objet qui aurait pu nous rendre la vie plus longue !" CQFD.