Archives du mot-clé vie privée

Quand la technologie RFID est l’origine du PIA et du RGPD, le Règlement Général de la Protection des Données

2 réponses
RFID RGPD et PIA

RFID RGPD et PIA

L’article aurait pu s’appeler  « La petite histoire de la naissance du Règlement Général de la Protection des Données » ou « Quand la règlementation se trompe de cible. » ou « De la surveillance d’une technologie à celle de l’utilisation des données ou la naissance du PIA et du RGPD ».

Au début des années 2000, avant que l’on parle réellement d’objets connectés grands publics, il y avait déjà un internet des objets industriels, composé principalement de solutions type M2M (Machine To Machine) et d’applications à base de technologie RFID. Cette dernière technologie a été toujours victime d’une image négative, pour de nombreuses raisons y compris une boite de nuit barcelonaise mais ceci est une autre histoire. Il y avait les « puces RFID » qu’il fallait tuer dès leur sortie du magasin où elles étaient utilisées (ou au moins les rendre silencieuses.) car elles allaient permettre de tout savoir de notre vie privée. Les malfrats de tout genre allaient savoir ce que l’on avait acheté en magasin, faire le lien avec nos déplacements, nos données bancaires, tout cela en écoutant les fameuses puces, c’étaient facile et sans danger.

Le silence des puces

Le silence des puces

Longtemps en gestation, le concept de « silence des puces » est adopté au niveau européen en 2008 et le RFID PIA Framework l’est en 2011. La CNIL développe alors une première version du désormais célèbre PIA (Privacy Impact Assessment) mais uniquement dédié à la technologie RFID (et à aucune autre technologie de l’époque comme les beacons par exemple ou de nombreux autre objets connectés pourtant déjà disponibles). Seules les entreprises développant / utilisant des services RFID devaient remplir ce document. A ma connaissance, peu l’ont fait mais c’est également une autre histoire.

Il y a 4 ans, en 2014, dans un article « L’internet des objets sonne le glas du « silence des puces » », au titre provocateur par rapport aux défenseurs du concept de PIA uniquement dédié à la RFID, j’explique que cela ne fait pas sens de ne l’appliquer qu’à cette technologie car

  1. cette technologie n’a pas généré d’atteintes à la vie privée connues malgré les articles nous prédisant le pire et qu’en pleine affaire Snowden, de nombreuses technologies et services sont mises en cause dans le vol des données mais pas la RFID.
  2. ce principe doit s’appliquer aux réseaux sociaux, à Google, aux mobiles, à tous les objets connectés, à toutes les sociétés ou services captant et gérant de la donnée quelque soit la technologie. Le problème n’est pas la technologie captant les données, mais les données elles-même et leur utilisation.

Deux extraits de l’article de 2014

Le RGPD avant l'heure - 2014 - Pierre Métivier

Le RGPD avant l’heure – 2014 – Pierre Métivier

Le RGPD avant l’heure – 2014 – Pierre Métivier

Peu de personnes #euphémisme expliquaient à ce moment là que ce PIA (Privacy Impact Assesment) devait s’appliquer à tous les services générant des données et pas uniquement à la technologie RFID. #duralexsedlex

Depuis quatre ans, le projet qui a donné naissance au RGPD s’est déplacé au bon endroit, c’est à dire, au niveau des données elle-même (et de leur utilisation) et non des technologies qui les génèrent. Il a fallu un peu de temps, quelques années, un pivot comme pour les startups, mais c’est fait avec la nouvelle version du PIA (qui a gardé le même nom), un PIA 2.0 et de la RGPD et c’est une très bonne nouvelle.

Comme souvent écrit, une technologie n’est ni bonne ni mauvaise, elle est ce que les hommes en font, que ce soit en terme d’utilisation et de réglementation.

Bon courage à toutes les entreprises qui doivent prendre en compte ce règlement d’ici le 25 mai et aux équipes de la CNIL pour le faire respecter.

Et salutations amicales à Bernard, Gérald, Michel et mes amis de la CNIL et de ConnectWave (ex CN RFID).

A suivre.

Pierre Metivier
@pierremetivier

Pour aller plus loin

EnregistrerEnregistrer

EnregistrerEnregistrer

EnregistrerEnregistrer

EnregistrerEnregistrer

EnregistrerEnregistrer

EnregistrerEnregistrer

Puce RFID sur Europe 1, de la difficulté à couvrir en 3 mn à la radio un sujet touchant à la fois technologie, vie privée, santé et éthique

Laisser une réponse
Thomas Sotto (c) Europe 1

Thomas Sotto (c) Europe 1

Europe 1, mercredi matin 8 Février, Matinale de Thomas Sotto, journal de 8:00 présenté par Bérengère Bonte. La « une » est consacrée à une entreprise belge dans laquelle une dizaine d’employés, sur la base du volontariat, ont été implantés avec une « puce RFID » (*) dans la main. Le terme « Puce RFID » est impropre, nous devrions utiliser « étiquette NFC », explication en bas de ce billet. Nous garderons Puce RFID  pour rester en cohérence avec le contenu d’Europe 1.

En 2 minutes 40 de reportage, vont donc succéder une interview d’un responsable de New Fusion et volontaire de l’expérience, un commentaire du Président de la Ligue belge des Droits de l’Homme, un appel rapide au docteur Gérald Kierzek et une brève conclusion.

Les enregistrements et textes.

  • Le podcast de la matinale de Thomas Sotto – le reportage est dans la plage horaire 1:25:52 / 1:28:30 ainsi que la transcription texte complète du reportage en bas du billet.
  • Des informations complémentaires sous la forme du reportage de la RTBF sur le même sujet (interview du même responsable de l’entreprise et du même président des droits de l’homme) avec les images mais sans l’appel au docteur Kierzek – bonus.
Tim Pauwels - New fusion (c) Copie écran reportage RTBF

Tim Pauwels – New fusion (c) Copie écran reportage RTBF

A l’écoute de cette une ce mercredi, il nous a semblé que quelques compléments d’information étaient nécessaires pour éclairer le sujet trop vite abordé.

Deux dates tout d’abord. La première mention connue de l’utilisation des étiquettes électroniques en injection sous-cutanée pour identifier les personnes est lié à une boite de nuit en Espagne, le fameux Baja Beach Club, de Barcelone, en 2004 une opération réservée aux VIP de la boite, il y a donc 13 ans.  En 2015, une entreprise suédoise a précédé notre entreprise belge, non pas pour imposer une surveillance « tracking » (nous y reviendrons) mais comprendre l’intérêt, les interactions et les conséquences d’une telle opération.

Il y a donc de nombreuses facettes à ce sujet, tournant autour de la technologie, de la santé, de la vie privée, et de l’éthique.

  • Technologie – La RFID est une famille de technologies d’échanges de données par radio-fréquence entre deux objets, le plus souvent un lecteur et une étiquette (notre puce RFID). Il en existe plusieurs types, pour différents usages, LF, HF, UHF, avec de nombreuses caractéristiques, en particulier distance de lecture. C’est une technologie très présente dans l’industrie, les entrepôts, les cartes de paiement, de transport, d’accès, les jeux, les musées … et globalement l’internet des objets. Le NFC correspond à une fréquence dont l’une des caractéristiques premières est sa courte distance de lecture de 3 à 5 cm. La précision est importante pour la suite et indispensable à tout article sur le sujet. Un peu comme si on utilisait le terme jumelle à la place de microscope. Leur usage est très différent et pourtant les deux servent à observer.
  • Santé – Le docteur Gérald Kierzek a justement rappelé les effets secondaires liés à l’injection et à la présence de corps étrangers dans le corps. Ensuite il a dit craindre les « effets biologiques des rayonnements des puces » pas suffisamment étudiés. Pour rassurer l’excellent docteur, les puces utilisés n’émettent pas, elles sont passives, ne comportent pas de batterie, pas plus que les cartes de crédit, les cartes de transports type Navigo, les cartes type Velib ou les cartes d’accès en entreprise. Seuls les terminaux de paiement électronique (TPE), les valideurs de transports ou les lecteurs (et non capteurs cités dans le reportage) des portillons d’entreprises émettent. Il n’y a pas de rayonnement du à la puce RFID.Ajoutons simplement pour ceux qui craignent ces corps étrangers dans leur corps que des centaines de milliers de personnes sont sauvés chaque année par l’implantation de pacemakers électronique dans leur corps, des appareils bien plus imposants et électroniquement complexes, des patients qui ne pourraient pas vivre sans ses appareils implantés dans leur corps. Par comparaison, la taille de la puce implantée dans le cas qui nous intéresse est celle d’un grain de riz.
  • Vie privée / « tracking » – La distance de lecture est donc de 3 à 5 cm max. Pour vous le prouver (**), essayer (les franciliens) de passer votre carte Navigo à plus de 5 cm du valideur du métro et le portillon ne s’ouvrira pas. Ces puces ne permettent pas d’être tracées facilement à votre insu. Comme avec le badge, l’entreprise sait que vous rentrez dans l’entreprise à telle heure et vous en sortez à telle heure. Le fait d’utiliser ces puces n’ajoute en rien la capacité à tracer des gens à distance et à leur insu.

    De même, la quantité d’information stockée sur ces puces est minimale. La plupart du temps, c’est un identifiant d’une dizaine de caractères. Dans le cas de l’expérience belge, en reprenant les données de l’article de Futura-Sciences (qui suggère la source des puces), elles peuvent contenir 880 octets, une taille très faible qui limite la taille des données personnelles potentiellement stockées.Et rappelons que dans aucun des documents partagés par Edward Snowden à ce jour sur les moyens de surveillance mis en place par la NSA, on ne trouve trace de mentions des technologies RFID et NFC. La NSA ne les considère pas comme des technologies utiles pour la surveillance.

  • Enfin, sur la partie éthique, nous laisserons les penseurs, les sociologues et les philosophes comme Raphaël Enthoven répondre à la question à court terme de l’intérêt d’avoir son indentification électronique sous la peau, et à plus long terme, les conséquences de l’arrivée de l’homme augmenté et du transhumanisme (sujet déjà traité récemment par Raphaël dans Qui vive). Ajoutons simplement que ces pionniers belges, néerlandais, suédois, français, anglais et d’autres partout dans le monde, font partie d’un mouvement – le bio-hacking ou biologie participative, créé par des citoyens pour les citoyens pour comprendre et mieux se préparer avant que les politiques et les GAFA (à commencer par Google) ne s’emparent du sujet. Un grand merci à eux.

Sans porter de jugement à ce reportage spécifique, il est de plus en plus important pour chacun d’entre nous d’avoir de nombreuses sources d’information, en France, à l’étranger, papier et numérique, de se méfier de la pensée unique, des raccourcis, qu’ils soient en provenance de la télévision, de la radio, « peut-on être généraliste et spécialiste ? », de Twitter, du web, et surtout il faut garder son esprit ouvert.

Comme le disait Frank Zappa, un esprit, c’est comme un parachute, il ne fonctionne que si il est ouvert.

A suivre.

@PierreMetivier fidèle auditeur de la matinale. #E1MATIN

(*) Le terme « puce RFID » est régulièrement utilisé alors qu’il est doublement impropre.

  • La puce est un des éléments avec l’antenne et le substrat (ou inlay) que est le support physique sur lequel l’antenne et la puces sont fixés. Les bons termes sont étiquette, tag ou transpondeur.
  • Le terme RFID est imprécis. La RFID est une famille de technologies d’identification par radio-fréquences. Il en existe plusieurs types – LF, HF, UHF, avec de nombreuses caractéristiques. Le NFC correspond à la fréquence HF dont l’une des caractéristiques première est sa courte distance de lecture de 3 à 5 cm.

(**) Il faudra que Thomas délaisse son scooter et descende dans le métro ou prenne un Vélib. 😉

Plus de détails sur ce blog et bien sûr, #selfpromo sur le livre « Le mobile NFC, télécommande de notre quotidien » aux Editions AFNOR.

Pour aller plus loin

Le Verbatim de l’émission – Europe 1 – Mardi 8 février 2017 – 8:00

  • Berengère Bonte – Bonjour à tous il y a ceux que ça va terrifier et ceux qui en rèvent depuis toujours. C’est promis ce n’est pas une histoire belge. A Malines, près d’Anvers, huit salariés d’une agence spécialisée dans le marketing digital se sont fait implanter sous la peau une puce d’identification par radiofréquence, une puce RFID. L’idée c’est de remplacer les badges d’entrée, durée de vie 15 ans et bien sûr ils sont tous volontaires.
  • Lionel Gougelot – C’est un salarié de l’entreprise qui en avait assez de perdre son badge qui a suggéré à ses dirigeants de lui implanter cette puce sous la peau qui lui permet notamment d’ouvrir la porte de l’agence, ou d’activer son ordinateur quand il présente sa main devant un capteur, une technologie qui offre plus de liberté de mouvement selon l’un des dirigeants, Tim Pauwels (de la société NewFusion non cité sur Europe 1 – NDLR)
  • Tim Pauwels – C’est pas une méthode de contrôle, c’est une méthode de vérification, il n’y a pas de tracking dedans, on ne peut pas suivre nos employés, on peut pas voir à tout moment où est-ce qu’is sont c’est une façon de leur donner un accès plus facile à nos bureaux, ça remplace en fait la clé qu’on utilise ou le mot de passe parce qu’on utilise plusieurs technologies existantes.
  • LG – Mais parce qu’elles contiennent les données personnelles des salariés ces puces RFID suscitent l’inquiétude de la Ligue des Droits de l’Homme en Belgique et de son président, Alexis Deswaef.
  • Alexis Deswaef – On met une puce à un être humain comme on mettrait à un chien ou un chat pour pas qu’on le perde. ici on va vraiment pouvoir fliquer la personne. Avec les données qui sont collectées, la question c’est quoi ça va servir.
  • LG – Car la crainte c’est qu’un employeur utilise ces données pour contrôler le comportement les allées/venues d’un salarié dans une entreprise d’où la demande d’une loi interdisant cette technologie.
  • Thomas Sotto – Incroyable. (A Bérengère Bonte) vous le sentez, vous, le badge sous la peau ? Vous en mettriez un ?
  • BB – Perso pas trop, je vais être honnête.
  • TS – Moi aussi ça m’inquiète l’impact sur la santé, on va passer un coup de fil à notre urgentiste, il est au téléphone parce qu’il est de garde le docteur Kierzek cette nuit. Bonjour Gérald, ma question est tout simple est-ce que c’est dangereux ou pas de se mettre ça sous la peau.
  • Docteur Gérald Kierzek – Je ne parlerais pas de danger, je parlerais plus d’effets secondaires que de complications réelles. C’est lié à la peau, implant, risque de saignement, d’hématome, zone douloureuse. Quelques cas d’infections locales ou d’intolérance à des produits de cet implant. Et puis il y a le retrait car l’organisme va faire une fibrose, va cicatriser autour de cet implant, parfois une localisation et un retrait difficile. Ca, c’est plus des effets secondaires. En revanche, à long terme, on a absolument aucun recul et c’est peut-être là l’inquiétude. L’implantation d’une puce RFID on ne connaît pas les effets biologiques, notamment les rayonnements notamment liés à ses puces RFID et ses effets biologiques sur les tissus. Le recul scientifique et cette veille scientifique qu’on ne peut pas faire et qu’il va falloir suivre de très prêt.
  • TS – Et bien on va garder notre badge dans notre poche arrière de jean et pour la puce on attendra, merci beaucoup Docteur Kierzek et retournez au boulot, aux urgences.

L’internet des objets sonne le glas du « silence des puces »

3 réponses
La fin du silence des puces

La fin du silence des puces

Un titre volontairement provocateur mais si on y réfléchit bien, ce concept et surtout son application sont bien en passe de disparaitre avec l’arrivée en masse des objets connectés et le déploiement de l’internet des objets sous toutes ses formes.

Rappelons nous l’historique de ce silence des puces. Il y a quelques années nous avions des PC connectés entre eux par l’internet et le web. En parallèle, sont arrivées dans le monde de la logistique des applications composées de lecteurs échangeant par radio-fréquence avec des étiquettes électroniques, répondant doux nom de RFID, une version 2.0 des codes barre, applications facilitant la traçabilité des objets principalement dans les entrepôts et dans le transport de marchandises. Comme pour toute nouvelle technologie, des voix se sont élevées y compris au niveau de l’Europe pour faire part de risques de tout genre, y compris sanitaires ainsi que des atteintes à la vie privée de chacun d’entre nous. Il existe/existait une possibilité qu’en lisant à distance des données, à l’insu des consommateurs, on allait pouvoir tout savoir sur eux en recoupant diverses informations à partir de ces étiquettes (appelées par les média – puces pour dramatiser le propos alors que la puce n’est qu’un composant). Il fallait tuer les puces à la sortie du magasin, les rendre inopérantes. Ensuite est arrivé le concept du silence des puces, il s’agissait de les endormir puis les réactiver si besoin (par exemple si le produit était retourné en magasin), un concept non présent côté technologique et complexe à mettre en œuvre.

En parallèle , d’autres concepts sont apparus comme le « Privacy By Design« , l’idée d’intégrer les ntotions de vie privée dès la conception et le développement d’un produit ou d’un service (pas uniquement RFID par ailleurs) ou le PIA – Privacy Impact Assessment, un programme européen, suivi par la CNIL en France, proposant un questionnement (actuellement) destiné aux projets utilisant la RFID pour déterminer les sujets les plus sensibles autour de la vie privée et la gestion des données personnelles et y remédier.

En 2014, où en sommes nous sur ces concepts ? Tout d’abord, à notre connaissance il n’y a pas eu de cas « industriels » d’atteinte à la vie privée liée à la RFID, dans toutes ces formes. Il y a plusieurs raisons à cela. Le fait que l’information sur l’étiquette soit simplement un identifiant, que l’étiquette n’ait pas d’énergie rendant un suivi à distance très difficile, des applications plus industrielles que personnels dans des systèmes fermés « closed loop » d’enseignes de la distribution, des liens avec le consommateur quasi-impossibles à faire à distance sans accès au SI de l’entreprise. Dans le cas d’un commerce, les liens existent au niveau de la caisse – le consommateur achète un produit avec sa carte de paiement mais cela est vrai, que ce soit en RFID ou en code barre, le fait que l’étiquette soit sans contact ne change rien au sujet. Et puis cela n’a aucun intérêt à titre individuel pour qui que ce soit avec un niveau de complexité immense d’obtention des différentes données individuelles par rapport au gain potentiel. On pourrait faire le même parallèle plus précisément sur la RFID HF également connu sous le nom sans contact ou NFC. Les vols de données bancaires de type Target ou eBay ainsi que tous les fraudes dans l’ecommerce (achat sur le web) ne sont par liés aux fameuses « puces ».

D’autres méthodes pour connaitre les informations des individus existent comme l’affaire Snowden nous l’a appris récemment. Sauf document non publié, la RFID et ses milliards de puces n’ont pas été utilisées par la NSA pour tout savoir sur nous. Une simple recherche « Snowden NSA RFID » sur Google ne donne rien d’intéressants sur le sujet. Les données que nous laissons sur les réseaux sociaux, dans nos mails, sont bien plus riches que les informations d’une étiquette contenant le numéro de produit d’un pull en cachemire à la sortie du Monop de Neuilly et le lien potentiel avec son acheteur.

Dernière information intéressante, les sujets RFID (ou NFC) étaient absents cette année de deux endroits très différents où pourtant il sont souvent été montrés du doigt – Hackito Ergo Sum, la conférence des hackers en France, ou le dernier rapport de la CNIL, où seule la définition du RFID subsiste, dans un petit paragraphe sur quatre-vingt douze pages de rapport, ce qui montre bien que quelle que soit la raison de s’intéresser au sujet, il n’est plus aussi important qu’il ne l’a été.

Ceci étant dit, les sujets « protection de la vie privée et utilisation des données personnelles » sont toujours d’actualité mais doivent être étudiés dans leur globalité et pas uniquement en pensant aux étiquettes RFID. A coté de ces étiquettes, il y a donc à la fois toutes les informations que nous laissons sur les réseaux sociaux, sur les moteurs de recherches, stockés et accessibles par des cookies ; à travers tous les capteurs des objets connectés, générant des données en quantité incroyables, de nos mobiles contenant eux-même de nombreux capteurs et le GPS, stockant ces données, pourvu de connectivité leur permettant de renvoyer ses vers Google et Apple (la plupart du temps à notre insu). La dernière-né de ces technologies s’appelle l’iBeacon, basé sur Bluetooth Low Energy, capable de savoir exactement (par triangulation) ou vous êtes dans un lieu jusqu’à 50 m de distance, vous envoyer des données et lancer des programmes sur votre mobile, votre mobile pouvant lui même devenir un ibeacon et participer à ce vaste réseau de suivi des personnes. Le pourfendeurs des « puces » sont étonnamment bien silencieux sur le sujet il est vrai encore nouveau.

De deux choses l’une, le concept « silence des puces » fait encore sens et alors il doit être appliqué à tous les objets connectés à commencer par nos mobiles mai aussi nos PC, tous les capteurs, les « wearables », la maison connectée, les compteurs intelligents, tout type d’émetteurs Wifi, Bluetooth, Zigbee, ANT+ comme les ibeacons. Tous ces objets connectés devraient être intégrés dans ce un vaste programme pour permettre de rendre silencieux au niveau hardware toutes les sources de données (et c’est bien sûr impossible), ou alors la recherche de solutions doit se déplacer au niveau des données que tous ces objets produisent. Dans les deux cas, l’application du concept du « silence des puces (RFID) » a disparu.

Quand au PIA, ou EIVP – Evaluation d’impact sur la vie privée,  il a clairement vocation à être appliquée à tout produit et service connecté produisant des données pouvant être personnelles  y compris les quelques dizaines de milliards d’objets connectés à l’aube de 2020, et non pas uniquement aux applications RFID, ce qui devraient occuper les équipes de la CNIL dans les prochaines années.

A suivre …. dans un prochain article autour des données, le fameux « big data« , le vrai sujet impactant la gestion de nos données personnelles et les conséquences sur notre vie privée, quelles que soient leurs sources.

Pierre Métivier

Pour aller plus loin