Internet des objets : quels risques pour nos données personnelles ?

L’ère numérique dans laquelle nous vivons a créé un monde hyper-connecté. Chaque jour, de gigantesques quantités de données personnelles sont ajoutées à Internet et partagées via des appareils connectés. Ainsi, on estime que d’ici 2030, chaque personne aura en moyenne une vingtaine d’appareils connectés – ce qu’on appelle l’Internet des objets (IdO). Ce dernier comprend les ordinateurs portables, les smartphones, les montres, les compteurs d’électricité ou de gaz, les enceintes « intelligentes », etc.

Mais à mesure que le nombre d’appareils connectés croit – estimé à 200 milliards d’ici 2030 -, le nombre de points de vulnérabilité croit aussi. Résultat : l’expansion des cyberattaques portant atteintes à la vie privée augmentent également. Il est donc légitime de se poser la question : que deviennent nos données personnelles ?

Quelles données pour quel objet connecté ?

Qu’une information seule soit connue n’est pas le fond de problème. La difficulté dans l’Internet des objets est que celle-ci soit croisée avec d’autres. Elle peut alors révéler mon état personnel, comme le fait que je sois malade, addictif à certains produits ou passions, présent ou absent d’un lieu, etc. Il y a là une intrusion caractérisée dans ma vie privée qui me rend vulnérable. Et ce, que mes données personnelles soient utilisées à mon insu en raison d’une zone grise réglementaire – id. « Qui ne dit mot, consent » – ou bien qu’elles étaient délibérément volées pour être utilisées, revendues, échangées.

En effet, on peut alors faire pression sur moi, se faire passer pour moi, profiter de mes habitudes pour me voler, etc. La liste est longue des usages malveillants.

Prenons plusieurs exemples, en apparence anodin : les robots aspirateurs. Ils n’aspirent pas que de la poussière ! Pour être efficaces, ils engrangent toutes les informations utiles (plan, surface, agencement des pièces) à l’aide de capteurs, de caméras et de micros. Il se pose donc ensuite l’usage de toutes ces informations relatives à la vie privée de l’utilisateur. Les mêmes questions se posent pour les voitures. Elles sont désormais toutes connectées, secrétant elles-aussi des cohortes de données confidentielles comme les destinations, les trajets et leurs fréquences.

Ainsi, les critiques les plus vives à l’égard de l’Internet des objets concernent le droit à maintenir secrets certains aspects de la vie privée et à contrôler leur divulgation : la collecte et l’utilisation des données personnelles sont bien le nœud du problème.

Les enjeux de l’Internet des objets

L’avenir de la vie privée et de la cybersécurité sont donc au premier plan des préoccupations concernant la numérisation des données personnelles. Contrôler à quoi servent les données, qui peut y accéder et comment elles sont conservées sont autant de sujets désormais traités par les législations étatiques ou bien les unions politique et économique comme l’Union européenne.

Trois types de défis apparaissent :

Le premier défi concerne la nature des données personnelles. La vie privée pourra être considérée comme un droit dans certains Etats, alors qu’elle pourra l’être comme une marchandise ou même un luxe dans d’autres (on pense aux dictatures).

Demain, plusieurs cadres juridiques encadrant la confidentialité et la protection des données cohabiteront dans le monde comme c’est déjà le cas aujourd’hui. Par exemple, si aux Etats-Unis les données personnelles sont considérées comme une marchandise ayant une valeur, ce n’est pas le cas dans l’Union européenne. Celle-ci a édicté le règlement général sur la protection des données (RGPD) qui encadre le traitement des données personnelles sur le territoire des Etats membres de l’UE.

Le deuxième défi concerne les entreprises : la fonction même de l’Internet des objets est de capter des données personnelles. Il revient donc aux fabricants de penser, dès la conception de ces derniers, une connectivité respectueuse de la vie privée. C’est une question d’éthique.

Parallèlement, les constructeurs doivent s’atteler au défi de la cybersécurité. Pour y parvenir, celle-ci doit être pensée globalement, à l’échelle de l’organisation, et non plus comme un simple aspect technique. C’est ce qu’on appelle « Security and Privacy by design ». La sécurité et la protection de la vie privée doivent être intégrées dès la conception des objets connectés en les rendant les plus robustes possibles.

Le troisième défi concerne la confiance numérique des utilisateurs. Il existe de nombreux cas d’entreprises violant la vie privée des consommateurs, tandis que d’autres ne parviennent pas à se protéger contre les cyberattaques. Cela alimente la méfiance des consommateurs envers les entreprises. Aussi, les entreprises doivent être plus transparentes et afficher la conformité et l’adaptabilité de leurs produits connectés à l’évolution des cadres réglementaires.

Protéger ses données personnelles

Afin de s’armer face aux risques de violation de la vie privée, il existe plusieurs solutions numériques :

• L’anonymisation des données personnelles : c’est un traitement qui consiste à utiliser des techniques de manière à rendre impossible, en pratique, toute identification de sa personne par quelques moyens que ce soit et de manière irréversible ;
• L’authentification continue : elle peut remplacer l’utilisation actuelle des noms d’utilisateur, des mots de passe et des codes PIN ;
• L’utilisation d’algorithmes d’IA pour détecter et contrer la désinformation : par exemple, l’IA pourra être exploitée sur les plateformes de médias sociaux et les sites d’actualités pour détecter les fausses nouvelles et les données non-fiables, puis avertir les utilisateurs afin d’empêcher leur diffusion ;
• L’utilisation de la technologie de la blockchain pour vérifier l’authenticité des données : lorsque les entreprises créent un nouveau contenu, elles peuvent s’en servir comme preuve de l’origine du contenu ;
• Services d’alibi authentifiés : il s’agit d’appareils portables et de stockage pour authentifier sa localisation. Cela aide les gens à « enregistrer » leurs moments personnels et publics et leur fournir ainsi des alibis authentifiés si cela s’avère nécessaire. Par exemple, pour démystifier un faux contenu ou des accusations injustifiées. Cela peut être une solution particulièrement utile pour les politiciens et les célébrités, dont la réputation est souvent menacée par la nature de leurs profils publics. Remarquons que, déjà, des chauffeurs de taxis filment en permanence, grâce à des petites caméras numériques embarquées, leurs déplacements afin de disposer de preuves en cas d’accidents.

Les utilisateurs doivent s’engager

Il ne faut pas laisser aux Etats et aux entreprises le sujet de la défense de la vie privée face aux objets connectés. L’histoire récente nous a montré que nos données sont officiellement exploitées, notamment par les GAFAM qui ne s’en cachent pas.

Le cas de la messagerie Whatsapp est emblématique. À plusieurs reprises, en niant avoir été piratée, elle a estimé ne pas avoir à se plier aux obligations du règlement européen de protection des données personnelles (RGPD). Par ailleurs, après avoir annoncé la modification de ses conditions d’utilisation, elle a perdu des dizaines de millions d’utilisateurs au profit de ses concurrents Signal et Telegram. La raison en était que l’application de messagerie partagerait certaines données avec sa maison mère, Facebook. Voilà un exemple de réaction salutaire des internautes s’engageant pour la défense de leurs données personnelles.

L’engagement des internautes pour leur cybersécurité est appelé la « confiance répartie ». L’exemple le plus parlant est la monnaie cryptée, le bitcoin. Son mécanisme de confiance est basé sur un système où le registre des transactions est réparti entre plusieurs nœuds du réseau. Le bitcoin prouve ainsi l’inutilité d’un tiers de confiance, en l’occurrence une banque.

L’internet des objets est en train de bâtir un nouveau continent, la Terra data, la « Terre des données ». Il convient donc, pour que celle-ci soit habitable, que tous ces acteurs, les fabricants comme les utilisateurs, travaillent ensemble pour une utilisation des données personnelles responsable et respectueuse de la vie privée. Il s’agit, ni plus ni moins, que de préserver nos libertés fondamentales.