Les objets connectés, quels dangers et quelles responsabilités ?

Par Sylvain Pontier, avocat associé, Cabinet Abeille et Associés

Les observateurs de l'évolution technologique s'accordent pour considérer que la diffusion de masse des objets connectés constitue la quatrième révolution industrielle. Le chiffre évoqué par les différents cabinets de conseil varie de 30 à 80 milliards d'objets connectés d'ici 2020. Il est certain que cette connexion des objets, qui les rend communicants et donc, dans une certaine mesure intelligents, entraînera des bouleversements dans notre mode de vie. Les machines industrielles communiquent depuis longtemps, les voitures depuis quelques années et le corps humain, grâce aux objets connectés de la santé et du sport depuis une période très récente.
Pour le sport par exemple, les derniers salons professionnels, tel le CES de Las Vegas ont démontré que l'activité sportive était l'un des domaines dans lesquels on rencontre le plus d'innovation en matière d'objets connectés. Même si l'on doit mettre de côté les projets farfelus qui n'auront sans doute aucun succès commercial, il faut reconnaître qu'un grand nombre d'innovations, parfois utilisées par les sportifs de haut niveau uniquement, se retrouveront très prochainement connectés à l'ensemble des sportifs du dimanche.

Le caractère massif de cette diffusion pose un certain nombre d'interrogations juridiques.

La protection de la vie privée
Si l’avènement des entreprises telles que Google, Facebook et autres a tout d'abord été accompagné d'une acceptation sans limite de l’intrusion de ces sociétés dans la vie privée, les citoyens commencent à vouloir reprendre le contrôle de leur vie privée et mesurent aujourd'hui les possibles conséquences néfastes de l’intrusion de sociétés de ce type. Or, la première caractéristique des objets connectés est de capter des informations de nature diverse telles que température, pression, vitesse, orientation, rythme cardiaque, composés chimiques etc.

Nombre de ces données peuvent constituer des données personnelles. Et dans la mesure où l'objet qui collecte ces données est connecté à internet et les transmet à une entreprise qui les stocke, les atteintes à la vie privée sont bien évidemment possibles.
Le respect de la confidentialité de ces données est la première question qui doit se poser. L'objet est-il sécurisé ? La société qui stocke les données permet-elle un accès aux dites données ? Permet-elle de supprimer ces données ? Quel usage en fait-elle ? Dans quelle partie du monde, les données sont-elles stockées ? Il faut ainsi voir l'objet connecté comme un rouage d'un écosystème beaucoup plus large qui alimente des logiciels de traitement de données dont on tire des analyses sur le comportement humain.

Cette finalité de la collecte des données, c'est-à-dire l'utilisation qui en est faite est le second enjeu majeur de données connectées. Pour reprendre l'exemple du sport abordé plus haut, les données enregistrées par ces objets ne sont pas anodines. De nombreux acteurs de la santé, de l'assurance, de la protection des personnes en général souhaiteraient exploiter de telles données : fréquence de l'activité sportive, rythme cardiaque, type d'activité, lieu de résidence grâce à la géolocalisation...

Dans la mesure où le citoyen, et fort heureusement les pouvoirs publics commencent à revenir de la béatitude dans laquelle ils se trouvaient coincés à l'égard de ces acteurs technologiques, des actions en justice sont menées à l'encontre des fabricants qui ne respectent pas les règles applicables en matière de protection de la vie privée. La poupée Cayla a fait parler d'elle à l'occasion de Noël[1] et, beaucoup plus récemment, le fabricant d'un sextoy, condamné au Canada pour collecter des données nécessairement intimes et personnelles sur les utilisateurs de ces objets[2].

La sécurité collective en question

Les enjeux de sécurité dépassent ceux de la seule sécurité de l'utilisateur de l'objet connecté. En effet, du fait de la diffusion massive de ces objets, c'est la collecte et l'utilisation de très grandes masses de données en général qui créent une problématique spécifique. De nombreuses briques technologiques, souvent assez peu onéreuses, sont utilisées par les fabricants d'objets connectés. De sorte qu’un fabricant, si petit soit-il, peut avoir accès à des technologies permettant de créer facilement un objet connecté.

La contrepartie est la quasi-totale absence de réflexion concertée relative à la sécurité. En reprenant l'exemple du sport abordé plus haut, de nombreux acteurs, par souci d'économie, font totalement l'impasse sur la sécurité liée à ces objets qui apparaît au premier abord anodine. Or, l'absence de sécurité sur des objets diffusés à des millions d'exemplaires, collectant servilement des données personnelles et les transmettant puis les stockant de manière non sécurisée fait peser un risque collectif sur les citoyens.

Enfin, devra s’imposer un jour la réflexion sur la sécurité environnementale liée à ces objets. Aussitôt achetés, aussitôt dépassés, ils finissent souvent dans un placard avant d'atterrir dans une poubelle alors qu'ils contiennent, du fait de leur batterie et de leurs composants électroniques des substances particulièrement toxiques.

L’indispensable protection du consommateur
Les dangers et les incertitudes évoqués ci-dessus impliquent que la responsabilité des fabricants, des importateurs et des distributeurs d'objets connectés pourra être engagée. Le non-respect des règles relatives à la vie privée (très largement renforcées par l'application prochaine, en mai 2018 du règlement européen relatif à la protection des données) engagera de manière certaine leur responsabilité. La question de la tromperie sur les qualités essentielles du produit sera sans doute également prochainement évoquée. Enfin, la responsabilité du fait de l’obsolescence programmée, qui rejoint la responsabilité environnementale, se posera prochainement.

Conclusion
L'objet connecté, utile, ludique, souvent à la mode, fait parfois oublier que le plus important ce n'est pas l'objet, c'est la donnée, savamment collectée, transmise, stockée, exploitée... et insuffisamment contrôlée. La diffusion de ces objets de manière massive et exponentielle est inéluctable. Gageons que le renforcement de la législation, notamment par l'intermédiaire du nouveau règlement européen sur la protection des données (2016/679) permettra de sécuriser le risque juridique. Rien ne remplacera cependant la vigilance individuelle que toute personne doit avoir lorsqu'elle acquiert un objet connecté, qui doit se traduire par des interrogations simples : quelles données me concernant sont collectées ? A qui sont-elles transmises ? Quelle est l'utilisation qui en est faite ? Puis-je y mettre un terme et avoir un droit de regard quand je le veux ?

Sylvain Pontier

Le cabinet Abeille et associés, fort de 35 avocats, intervient dans l’ensemble des domaines du droit à Marseille, Aix-en-Provence, Lyon, Nîmes et Montpellier.

[1] http://www.europe1.fr/international/allemagne-la-poupee-connectee-cayla-retiree-de-la-vente-2981294
[2] http://www.presse-citron.net/justice-sextoy-espionnait-utilisateurs/