Les assureurs américains se débrouillent pour récupérer les données personnelles des personnes souffrant d’apnée du sommeil afin de ne plus les assurer : bientôt la même chose en France ?

Atlantico  : Les glucomètres connectés, balances intelligentes et autres objets connectés ayant trait à la santé se multiplient en France et séduisent de plus en plus les consommateurs. Mais quels sont les risques pour que les données personnelles de santé des utilisateurs se retrouvent stockées sur des serveurs étrangers ? 

Stéphanie Chaptal : C’est quasi certain que les données seront stockées à l’étranger. La plupart de ces objets connectés sont fabriqués par des entreprises étrangères et/ou utilisent les services de nos smartphones pour utiliser ces données. Or pourquoi une entreprise se casserait la tête à stocker les données de ses utilisateurs dans chaque pays d’origine de ses clients ? Et comment saurait-elle que son client qui fait un footing au pied du Burj Khalifa à Dubaï est en fait un ingénieur français venu de Nantes ? Au mieux, l’entreprise les stockera dans des services locaux (sur les serveurs des clouds publics d’Amazon ou d’Azure situés en Europe) pour les clients s’étant enregistrés la première fois en France. Plus que la localisation des données, le principal risque réside dans le chiffrement ou non des données et des métadonnées (les informations connexes comme la position GPS d’un coureur et non seulement son rythme cardiaque) et dans la façon dont celles-ci sont protégées. Rappelez-vous comment en début d’année, l’application Strava avait dévoilé l’existence de bases militaires secrètes et des mouvements de troupes dans des zones de conflit simplement en ne protégeant pas les données envoyées par les membres de son réseau. De la même façon, une balance intelligente mal protégée pourrait donner des informations à n’importe quel cambrioleur sur votre présence ou non chez vous.

Ces données peuvent-elles être utilisées par les assureurs en France comme c’est le cas notamment aux Etats-Unis ? Quels remparts contre d’éventuelles dérives ? 

Les assureurs français utilisent déjà des données issues d’objets connectés dans d’autres domaines. Ainsi l’offre Pay how you drive d’Allianz implique d’installer un petit boîtier dans son véhicule qui remonte les données de conduite (freinage, accélération, négociation des virages…) pour adapter la tarification de l’assurance auto. La Maif a une offre couplant télésurveillance du domicile et assurance habitation. Utiliser des données de santé semble la prochaine étape logique. Et les assureurs commencent à investir dans des start-up autour de la e-santé (Malakoff Médéric a investi 1,4 million d’euros dans la plate-forme Vigisanté, Harmonie Mutuelle va investir 1,2 million d’euros sur trois ans…)

Pour l’instant en revanche, la CNIL est très vigilante sur ce que les entreprises font avec les données personnelles de leur client. Et notamment les données biométriques. Lors des premières expérimentations de Pay-as-you-drive en France, la CNIL avait retoqué plusieurs offres jusqu’à ce que les assureurs travaillent avec elles pour garantir le respect de la vie privée de leurs clients. Et notamment le libre choix ou non de se doter d’un objet connecté pour être assuré.

Sommes-nous pour autant définitivement à l’abri de potentielles dérives ? 

Nous sommes humains donc, non. Si on vous donne le choix entre une assurance avec mouchard connecté à 30 € par an, et une assurance sans mouchard à 300 € par an, quelle assurance choisirez-vous ? Il y aura des offres à risque, même avec le contrôle de la CNIL. Plus encore que l’assureur lui-même, dans un premier temps, le danger de ces objets de santé connectés viendra de leur manque de sécurité et de la façon dont on peut les lier les uns aux autres. Et en exploiter les données ainsi croisées A quoi sert un bracelet ou une balance connectée pour garantir que vous êtes en bonne santé si vous vous servez en permanence de votre enceinte Google Home ou Alexa pour commander pizza et burger à tous les repas ? Et je ne parle même des données que nous semons tous volontairement sur les réseaux sociaux (Instagram, Facebook, Twitter) sans aucune protection…