Maison connectée ou maison surveillée : faut-il renoncer à sa vie privée pour la domotique ?
Vie privée et numérique ne font pas forcément bon ménage. Le cas des objets connectés est complexe. D’une part parce qu’ils ont justement vocation à collecter des données pour offrir une expérience personnalisée. D’autre part parce qu’ils sont au plus près de notre intimité.
Impossible de ne pas avoir conscience du fait que, dès que nous surfons sur Internet, dès que nous dégainons notre smartphone, en bref, dès que nous utilisons un service numérique, nous semons des données personnelles tel le Petit Poucet. Certains scandales ont ouvert les yeux du grand public sur la collecte massive de données et ses possibles dérives, depuis les révélations d’Edward Snowden, en passant par le scandale Cambridge Analytica.
Quand il s’agit de maison connectée, d’objets que nous faisons entrer dans nos foyers, au cœur de notre intimité, il est d’autant plus légitime de se demander quelles données ils collectent, à quelles fins et surtout ce que cela implique. Et si on ne fait pas d’une certaine manière le deuil de notre vie privée.
Selon la définition de la Cnil (Commission nationale informatique et libertés), une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable », sachant qu’une personne peut être identifiée de manière directe (par ses nom et prénom) ou de manière indirecte par une photo, un identifiant de connexion, une adresse IP, un numéro de sécurité sociale, un enregistrement vocal…
En Europe, leur collecte et leur traitement sont encadrés par le RGPD mais pas interdits, à l’exception des données dites sensibles (opinions politiques, origine raciale ou ethnique, convictions religieuses, appartenance sexuelle…), dont la collecte et l’utilisation sont interdites sauf dans des cas très précis.
Quel utilisateur ne s’est jamais demandé si sa caméra de surveillance ne l’observait pas à son insu ou si son assistant vocal n’écoutait pas ses conversations ? Le cas de la smart home est particulier à plus d’un titre. D’abord parce que ces appareils ont justement vocation à recueillir tout un tas de données (personnelles ou techniques) pour évoluer et enrichir l’expérience. Des données transitent entre objets, ainsi qu’entre le serveur du fabricant et le smartphone de l’utilisateur.
Surtout, avant même de parler de collecte de données, nous les faisons entrer dans nos foyers, dans notre vie privée au sens strict du terme. Il est même devenu difficile de leur échapper. « Il n’y a pas besoin d’aller très loin dans la domotique pour avoir des objets connectés. Une imprimante est un objet connecté. La télé est connectée. Le smartphone est un objet connecté qu’on oublie souvent », nous fait remarquer Benoit Grunemwald, expert en cybersécurité chez ESET France & Afrique francophone.
Dans son article « La vie privée à l’épreuve de l’objet connecté » (Monde des grandes écoles et universités), Sandrine Macé, directrice scientifique de la chaire IoT et responsable de l’option IoT à l’ESCP, évoque quant à elle notre comportement paradoxal à l’égard de l’objet connecté, qui « attire autant qu’il repousse ». Il attire parce que « les innovations technologiques élargissent le champ des possibles », mais est craint justement pour les données qu’il collecte.
Ce paradoxe transparaît dans l’une des études de l’association Promotelec/Sociovision (Maison Intelligente, un potentiel pour le développement des services à domicile, 2019) : 32% des Français pensent que les objets connectés peuvent les espionner et 14% déclarent en avoir peur. Pourtant, le marché progresse ; dans cette étude, les intentions d’achat les plus importantes concernent même les caméras de surveillance et assistants vocaux.
À noter que le secteur de la smart home présente une autre particularité qui n’est pas sans impact sur le respect de la vie privée : la variété de ses acteurs (géants du numérique, spécialistes de la maison connectée, marques plus généralistes, acteurs inconnus qui vendent des appareils à petit prix sur les marketplaces, éditeurs de services ou d’applications qui ne vendent pas de matériel…).
Parmi les données recueillies par ces appareils, certaines peuvent sembler anodines, mais peuvent déjà révéler beaucoup. On ne sait pas qui risque de les utiliser ou comment, et leur importance dépend aussi du contexte. Dans une vidéo intitulée « Nos données ne sont pas des marchandises », la Quadrature du Net donne l’exemple de militaires qui réalisaient leurs exercices physiques équipés d’un bracelet connecté, sans avoir conscience qu’ils enregistraient du même coup le plan détaillé de la base militaire.
Vincent Roca, chercheur à l’Inria , nous en fournit un autre : « prise individuellement, chaque donnée peut déjà avoir du sens. Je prends souvent l’exemple de l’ampoule connectée qui peut révéler des habitudes ou des situations inhabituelles. Par exemple, si on n’utilise pas ses ampoules pendant un certain temps, peut-être est-ce lié au fait qu’on n’est pas chez soi. Inversement, si on se met à les utiliser fréquemment la nuit sur une période donnée, cela peut aussi être révélateur de certaines choses. »
Nos horaires, nos habitudes, notre mode de vie, ce qu’on aime regarder, la musique qu’on aime écouter et bien plus… autant de choses que la maison connectée sait de nous.
Dans une tribune dédiée à l’impact des objets connectés sur la vie privée, des enseignants de l’Esilv (école d’ingénieurs du Pôle Léonard de Vinci) nous enjoignent à ne considérer aucune donnée comme anodine. D’autant qu’elles prennent un tout autre sens quand elles sont croisées avec d’autres. « L’intrusion dans la vie privée devient plus violente dès que l’on peut croiser toutes ces données anodines. Et me voilà devenu une proie, on peut faire pression sur moi, se faire passer pour moi, profiter de mes habitudes pour subtiliser mes biens, du simple vol au domicile à la copie du badge qui ouvre les locaux de mon entreprise. La liste est longue », expliquent-ils.
Les implications dépassent le risque d’usurpation. Quand on connecte sa maison, on s’expose « à la captation de plein de données de natures différentes qui vont probablement être croisées et acquérir du sens grâce à ce croisement, au-delà de ce qu’on peut imaginer en tant qu’utilisateur », avertit Vincent Roca. Il cite le cas des aspirateurs robots qui cartographient : le plan du logement informe sur la composition de la famille. Si cette information est croisée avec l’adresse et le coût de l’immobilier dans le secteur, cela peut donner une idée du niveau de vie du foyer.
La multiplication des objets connectés au sein de la maison pourrait donc être une aubaine pour des acteurs qui souhaiteraient en savoir plus sur nous. Car une maison connectée peut « savoir » tant de choses : nos horaires, nos habitudes, notre mode de vie, ce qu’on aime regarder, la musique qu’on aime écouter et bien plus.
C’est d’ailleurs la raison pour laquelle les données personnelles sont si convoitées : recoupées et analysées, elles dévoilent tellement de choses qu’on peut les utiliser pour prédire voire influencer certains de nos comportements, notamment nos comportements d’achat (qu’est-ce que je serais prête à acheter, de quoi ai-je besoin, de quoi pourrais-je avoir envie, combien serais-je prête à dépenser…).
Les appareils de smart home collectent inévitablement des données. Selon le type d’appareil et son fabricant, leur quantité et leur nature varient.
Si nous prenons l’exemple de Netatmo, qui met en avant son souci de la sécurité et du respect de la vie privée, le fabricant ne collecte que l’adresse mail de l’utilisateur et quelques informations qui dépendent du produit, comme la ville du logement pour adapter le fonctionnement selon le pays ou les algorithmes de chauffe en fonction de la météo. « C’est tout ce qui est envoyé sur les serveurs », assure Grégoire Markarian, directeur des produits chez Netatmo.
Quant à Amazon, ses appareils Alexa sont liés à un compte Amazon. Alexa a ainsi accès « à différents éléments de personnalisation et aux informations qui sont dans le compte de l’utilisateur, par exemple l’adresse de livraison si je fais du shopping vocal, quelles sont mes radios préférées, mon service musical… Il n’y a pas d’éléments spécifiques supplémentaires collectés », détaille Clément Monjou, Alexa Senior Business Development Manager. Il précise que quatre informations suffisent : nom, prénom, adresse mail et adresse postale.
Quant aux enregistrements vocaux, il assure que « Alexa n’écoute pas ses clients. Alexa écoute seulement le mot d’activation » – en outre, un bouton physique permet de désactiver le micro. Les paramètres d’enregistrement peuvent être personnalisés (pas d’enregistrement, suppression des enregistrements un par un, groupés…). Quant aux données partagées avec les partenaires pour les skills Alexa, c’est « transparent pour l’utilisateur », il sait quel élément est partagé avec quel partenaire.
Du côté de Google Assistant, idem : il est possible de modifier les paramètres, d’accéder aux enregistrements et de supprimer l’historique. L’assistant attend lui aussi sagement en mode veille de détecter le mot d’activation. Il traite alors de courts extraits audio et, s’il ne détecte pas d’activation, Google promet qu’ils ne sont pas envoyés ni enregistrés sur ses serveurs.
« Sur les objets les moins onéreux, nous avons observé une absence de mesures de sécurité ; sur les objets plus haut de gamme, c’est principalement au niveau de l’information des personnes que des questions se posaient. »
Souvent décriés, Amazon (sur une page dédiée à Alexa et la vie privée) et Google (dans ses règles de confidentialité) jouent la carte de la transparence en détaillant les données collectées, leur traitement, ce que l’utilisateur peut paramétrer et comment.
Si de nombreux acteurs du secteur se plient à ces exigences du RGPD, ça n’est pas systématique. Lors de l’événement REDOCS (Rencontre Entreprises DOCtorants en Sécurité), la Cnil a soumis comme sujet aux doctorants en sécurité une série d’analyses sur des objets connectés. Ils ont remarqué que certaines règles du RGPD n’étaient pas toujours respectées : « Sur les objets les moins onéreux, nous avons observé une absence de mesures de sécurité ; sur les objets plus haut de gamme, c’est principalement au niveau de l’information des personnes que des questions se posaient. »
Plus peut-être que les données collectées, il faut s’interroger sur leur destination. Et, pour cela, on peut questionner le modèle économique des entreprises. Les propos de Grégoire Markarian (Netatmo) nous y incitent : « Par conception, nos produits sont faits pour récolter un minimum de données et ce pour plusieurs raisons. D’abord, stocker des données coûte cher et étant donné que nous n’en faisons rien à part s’en servir pour l’utilisation quotidienne des produits, cela ne sert à rien de les stocker. Et ce qui ne nous regarde pas ne nous regarde pas. Nous collectons donc un nombre réduit d’informations. Notre salaire vient de la vente des caméras, des thermostats, des stations météo… »
Vincent Roca nous encourage également à questionner le business model de chacun pour avoir une idée de son intérêt à collecter nos données. « Je pense qu’il faut se poser la question des différentes classes d’acteurs pour comprendre les motivations des uns et des autres. J’ai tendance à identifier quatre catégories. Les fabricants d’objets connectés, les fabricants de smartphones, les acteurs tiers qui sont plus orientés sur des services et applications smartphones, et enfin les fabricants d’enceintes connectées, qui ont aussi un rôle déterminant dans cet écosystème. »
D’après lui, les premiers seraient plutôt motivés par la vente d’objets. Les seconds ont besoin d’exister sur ce marché. En ce qui concerne les éditeurs d’applications et services, citant comme exemple IFTTT, d’après lui : « Il est possible qu’ils soient présents pour collecter des données, d’autant que le service est gratuit et qu’ils ne demandent rien à l’utilisateur. » Quant aux enceintes connectées, il estime qu’elles « sont vraiment à la croisée des chemins, pas très chères au regard de ce que qu’elles font. Il y a des chances que ces acteurs soient là pour collecter, croiser et exploiter les données pour faire le lien avec leurs autres services et activités ». Vincent Roca nous rappelle qu’Amazon a également une activité commerciale et que la société mère de Google réalise l’essentiel de son chiffre d’affaires dans le domaine de la publicité ciblée.
D’ailleurs, c’est aussi pour cela que ces géants font si peur : ils collectent également des données via leurs (nombreux) autres services.
En ce sens, les enceintes intelligentes occupent une place très spéciale au sein de la maison connectée, puisqu’elles centralisent les requêtes et souvent les commandes des objets connectés de la maison. D’après le Vincent Roca, si on les utilise, même pour piloter les objets qui présentent le moins de risque, cela change la donne. « C’est un peu vicieux, parce que les objets en soi ne présentent pas la publicité. Donc on a l’impression qu’il ne se passe rien au-delà de leur fonctionnalité première. Mais ce sont des chevaux de Troie qui collectent et associent des données, qui sont exploitées par un autre biais. Mais l’exploitation se fait quand même. »
Laurence Devillers, professeure en intelligence artificielle, a mis à l’épreuve l’enceinte Google Home pour tester sa capacité à prendre en compte les émotions. Les résultats qu’elle a obtenus montrent selon elle « une capacité essentielle de cette enceinte : nous localiser et nous proposer des sites marchands », explique-t-elle à l’Eclaireur. Dans une interview accordée à l’ADN, elle pointe un autre aspect. « Dès que je parle à une machine, je suis dans un mode très particulier. Davantage que lorsque je fais une recherche sur Google, qui a déjà une façon très particulière de nous proposer des choix, ordonnés en fonction de critères dont on ignore tout. Pour la voix, c’est pire, car la machine ne va nous donner qu’un seul choix. Qui va choisir ? On va choisir pour vous, en fonction de ce que vous aimez. […] Il faut prendre conscience des risques de manipulation qui existent, car la machine choisira en fonction d’algorithmes ce qu’elle va vous répondre. »
D’après Benoit Grunemwald (ESET), « à partir du moment où on rentre dans le jeu d’un objet connecté et surtout s’il est connecté au cloud, on ouvre une porte au partage, à l’utilisation de ses données et on a surtout un point d’entrée extrêmement vulnérable qui est la connexion au compte » – les login et mots de passe font partie des éléments qui fragilisent l’écosystème.
Il nous délivre quelques recommandations pour sécuriser une maison connectée. La clé serait d’avoir « une bonne cyberhygiène » dès la phase d’achat et d’installation. Les bases sont l’utilisation de mots de passe différents sur tous les comptes, ce qu’un gestionnaire de mots de passe facilite, et la création de mots de passe forts – plutôt des « phrases de passe, saupoudrées de quelques caractères spéciaux, chiffres et lettres majuscules ». Il recommande aussi d’utiliser l’authentification à deux facteurs quand elle est disponible.
Il précise également qu’il existe des solutions à installer sur un ordinateur de la maison ou sur un smartphone qui analysent ce qui les entoure, dont les objets connectés. Elles sont capables de signaler « des comportements suspects et/ou des configurations par défaut inadéquates » (elles sont incluses dans certains produits antivirus proposés par ESET).
Le choix du matériel est aussi important. Mieux vaut opter pour un fabricant qui propose des mises à jour régulières, surtout si elles sont liées à la sécurité, car « la question n’est pas de savoir s’il y a quelque chose d’infaillible. Rien ne l’est, tout comporte des failles. Au contraire, le fabricant qui met à jour ses solutions et propose des corrections de failles montre à quel point il respecte ses utilisateurs, leur vie privée et leurs données personnelles ». Pour le savoir, il suggère de se renseigner sur des forums, sur le site de l’éditeur de l’application ou auprès d’utilisateurs qui étudient de près les produits.
Autre recommandation de l’expert : « Cherchez également sur le site des mentions de politiques de données personnelles, de conformité au RGPD, de stockage des données. À quel endroit sur la planète ces données sont-elles stockées ? S’autorisent-ils à partager ces données avec des tiers ? Sous quelles conditions ? »
Si les bénéfices apportés par la maison connectée sont indéniables, nos interlocuteurs nous encouragent à nous interroger sur le rapport bénéfices-risques et à ne pas systématiquement consentir à tout.
Car le nerf de la guerre, c’est le consentement ; mais encore faut-il qu’il soit éclairé. Et c’est bien toute la difficulté dans le domaine de la collecte de données. Si le RGPD a permis aux citoyens européens de bénéficier d’un peu plus de transparence, il est parfois difficile de savoir ce qui se passe réellement en coulisses.
