RFID : Des puces aux usages multiples et aux impacts variés en termes de vie privée

Qu'est ce qu'une puce RFID ?

Une puce RFID (ou NFC - Near Field Contact) est une puce informatique couplée à une antenne lui permettant d'être activée à distance par un lecteur et de communiquer avec ce dernier. La grande majorité des puces RFID ne dispose pas d'alimentation en énergie. Ce type de puces est alimenté à partir du lecteur par l'intermédiaire de l'antenne de la puce : le lecteur envoie un signal électromagnétique à la puce, ce qui la " réveille " et lui fournit assez d'énergie pour communiquer avec le lecteur concerné. Les puces les plus basiques ne possèdent pas de capacité de traitement. Elles ne peuvent que transmettre au lecteur un numéro d'identification. Ce numéro permettra par exemple, dans un entrepôt, de suivre un objet (comme par exemple une palette) sur lequel la puce est placée. D'autres puces intègrent des fonctions de chiffrement avancées et sont capables de s'authentifier ou bien d'authentifier le lecteur qui cherche à les lire. Elles peuvent être utilisées par exemple dans le contexte de la lutte contre la contrefaçon. Les standards de communication utilisés par ces puces sont très diversifiés : ils permettent des lectures à des distances plus ou moins importantes, de quelques centimètres à quelques dizaines de mètres. En fonction de leurs capacités, ces puces peuvent couter de 5 centimes d'euros à quelques euros pièce.

Comment sont-elles utilisées ?

Chacun d'entre nous utilise ce type de puces, puisqu'elles sont présentes dans de nombreux objets de la vie quotidienne, tels les titres de transports  (passe Navigo ou carte Vélib), les cartes bancaires, les passeports électroniques, les badges d'accès aux immeubles, les clés sans contact des voitures. Elles sont également utilisées dans  la logistique pour la gestion des bagages dans les aéroports ou des stocks dans les magasins ou encore dans la lutte contre la contrefaçon. . D'autres applications sont également envisageables ou déjà en cours de déploiement. Par exemple, les puces permettront sans doute de connaître instantanément le contenu d'un caddie au supermarché. Certaines maternités équipent aussi les nouveau-nés de bracelets RFID, afin d'alerter le personnel en cas de tentative d'enlèvement

Les puces peuvent-elles être implantées sur des personnes ?

Oui. Comme précédemment mentionné, cela est techniquement possible. Déjà, en Espagne, des puces RFID sont injectées sous la peau pour servir de moyen de paiement dans certaines discothèques. En France, ce type de finalité est considéré par la CNIL comme tout à fait disproportionné.

Quels sont les enjeux " Informatique et libertés " de ces puces ?

L'usage de cette technologie soulève de nouvelles problématiques en matière de protection des données personnelles. La problématique essentielle réside dans l'invisibilité ou la quasi-invisibilité de ces dispositifs, compte tenu que celle-ci va souvent de pair avec une absence d'information préalable des personnes concernées. Or, n'importe qui, dès lors qu'il est muni du lecteur adéquat, peut lire le contenu d'une puce RFID quand son contenu n'est pas chiffré. Une puce étant susceptible de comporter des données à caractère personnel (ou susceptibles de devenir personnelles par recoupement avec d'autres données), la lecture de cette puce permettrait d'identifier son porteur à distance. Si tous les objets de notre vie quotidienne (carte de transport, vêtement, téléphone, voiture, bracelet, etc.) étaient ainsi " tagués ", il serait possible de tracer les individus dans tous leurs actes. Certes, aujourd'hui, les systèmes RFID ne permettent pas une surveillance continue des individus. Par exemple, l'utilisation d'un passe Navigo permet seulement de connaître les trois dernières  stations de métro dans lesquelles un usager a validé son passe et leur horodatage. Il n'est en revanche pas possible de connaître le trajet précisément effectué, d'autant que la CNIL a préconisé une limitation de la durée de conservation de ces données à 2 jours, et uniquement à des fins de détection de la fraude.

La loi " Informatique et libertés " s'applique-t-elle ?

Oui, dès lors que les dispositifs RFID permettent l'identification directe ou indirecte d'une personne physique (notamment lorsqu'ils sont associés durablement à des personnes physiques), la loi du 6 janvier 1978 modifiée s'applique. Ce point a d'ailleurs été confirmé à l'échelle européenne, par le G29 (groupe rassemblant les 28 CNIL européennes) dans un avis rendu le 13 juillet 2010. L'utilisation de ces technologies doit donc nécessairement s'accompagner d'une prise en compte des principes fondamentaux de la protection des données, à savoir les principes de finalité, de proportionnalité, de sécurité et d'information préalable des personnes concernées.

Existe-t-il des réglementations spécifiques ?

La recommandation de la Commission européenne du 12 mai 2009 préconise que les exploitants de dispositifs RFID (entité projetant de recourir à des applications RFID) réalisent une évaluation d'impact sur la vie privée (EIVP -ou PIA pour Privacy impact assessment). Une EIVP est un document présentant les risques identifiés en matière de vie privée et précisant les mesures prises pour traiter ces risques.

Comment savoir si des RFID sont installés sur des produits ?

Tout exploitant d'une application RFID devrait avoir une politique d'information spécifique à l'intention du grand public, résumant notamment l'EIVP accompagnée des risques potentiels et des mesures à prendre pour les éviter. Cette politique, qui est rendue publique, doit être concise, précise et aisément compréhensible. Le client doit notamment savoir si les puces en sa possession sont actives ou non, et savoir comment les désactiver si cela est rendu nécessaire par les risques potentiels d'atteinte à sa vie privée (ex : puce intégrée dans un vêtement).

Peut-on demander que la puce RFID soit désactivée ?

Cela dépend du lien qui peut être fait entre le traitement de données résultant de la puce et une personne physique (la personne concernée) et de la finalité de la puce En effet, la désactivation d'une puce intégrée dans une carte de transport aurait pour conséquence de ne plus permettre son utilisation. En revanche, il n'en va pas de même dans la grande distribution : lorsque des puces sont mises sur des produits de consommation afin de servir d'antivol et de faciliter le suivi du stock, la puce ne répond plus à aucune finalité à la sortie du magasin, et doit par principe être désactivée. Dans ce cas de figure, la désactivation doit avoir lieu sur le champ et sans frais pour le client.  Ainsi, une telle puce devrait être automatiquement désactivée avant de quitter le magasin sauf si :

• le client a accepté qu'elle reste activée ;
• ou si l'EIVP réalisée par l'exploitant démontre l'absence de risque sur la vie privée des clients ou des utilisateurs des produits.

Par exemple, une puce active dans un vélo peut permettre dans certaines conditions de le retrouver en cas de perte, mais aussi  tracer les déplacements de son propriétaire. De même, une puce dans une montre de luxe pourrait permettre de la localiser en cas de vol, mais aussi inversement de permettre une agression ciblée sur la personne qui la porte.

La désactivation en magasin est-elle la seule solution respectueuse de la vie privée?

Non. Il existe d'autres solutions comme la désactivation par l'usage est également possible. Il s'agit par exemple d'une étiquette sur un vêtement que l'on peut découper ou qui s'autodétruirait au lavage. Pour les chaussures, la puce peut être programmée pour se détruire après que l'utilisateur concerné ait marché 100 pas. Le risque est également réduit lorsque la puce est contenue dans l'emballage, et non dans l'objet.