La plupart des montres connectées, bracelets de fitness et bagues intelligentes populaires manquent encore de protections de confidentialité de base malgré la collecte de certaines des informations personnelles les plus sensibles sur leurs utilisateurs, selon un new analysis by the Electronic Frontier Foundation (EFF) . L’organisation de défense des droits numériques a constaté que seuls quelques fabricants de dispositifs portables sont transparents sur les demandes gouvernementales concernant les données utilisateurs, tandis que le chiffrement de bout en bout reste quasiment inexistant dans l’industrie.
L’EFF a passé en revue les pratiques de confidentialité de dix grandes marques de wearables : Apple, Google (y compris Fitbit), Amazfit, Coros, Garmin, Hume, Oura, Polar, Suunto et Whoop. Les chercheurs ont examiné les politiques publiques et ont contacté chaque entreprise directement pour vérifier leurs résultats. L’examen s’est concentré sur deux domaines : la publication des rapports de transparence détaillant les demandes gouvernementales de données utilisateurs et la protection des informations de santé par un chiffrement de bout en bout.
Selon le rapport, seuls Apple et Google publient actuellement des rapports de transparence montrant à quelle fréquence ils reçoivent des demandes de données utilisateurs provenant des forces de l’ordre ou des agences gouvernementales. Apple, Google et Whoop déclarent également publiquement qu’ils notifient les utilisateurs de ces demandes dès que la loi le permet. Oura a récemment mis à jour sa politique de confidentialité, indiquant qu’elle évaluait la publication de rapports de transparence, tandis que Suunto a indiqué à l’EFF qu’elle envisageait des mesures similaires. Les fabricants restants ne publient soit pas de rapports de transparence, soit n’ont pas de politique publique expliquant comment ils gèrent les demandes de données gouvernementales.
L’EFF soutient que ce manque de transparence est particulièrement préoccupant car les appareils portables recueillent des informations détaillées sur leurs propriétaires, notamment la fréquence cardiaque, les rythmes de sommeil, les niveaux d’activité et l’historique de localisation. Ces données ont déjà été utilisées dans des enquêtes criminelles, et les forces de l’ordre peuvent y accéder par assignation à comparaître ou mandats de perquisition. L’organisation a également cité le fournisseur de technologies de surveillance Penlink, qui décrit les traqueurs d’activité comme une « source négligée » d’informations d’investigation car ils révèlent des schémas de mouvement et des changements physiologiques.
Les chercheurs ont également constaté que le chiffrement de bout en bout est largement absent du marché des appareils portables. L’Apple Watch est le seul appareil portable de santé grand public largement disponible qui offre un chiffrement de bout en bout pour les données de santé stockées dans l’application Santé d’Apple. Cependant, cette protection ne s’applique plus lorsque les utilisateurs choisissent de partager des informations avec des applications ou services tiers. Aucune des autres entreprises examinées ne propose un chiffrement comparable de bout en bout pour les données de santé stockées dans le cloud, ce qui signifie que les prestataires eux-mêmes peuvent accéder aux informations et les divulguer en réponse à des demandes gouvernementales légales.
L’EFF a également critiqué la dépendance de l’industrie au stockage cloud. Bien que certains appareils Garmin et Polar puissent fonctionner sans se synchroniser constamment avec le cloud, l’organisation a précisé que de nombreux appareils portables nécessitent encore un stockage en ligne pour leur pleine fonctionnalité. Apple a été le seul fabricant identifié offrant aux utilisateurs la possibilité de conserver les données de santé uniquement sur leur téléphone en désactivant la synchronisation iCloud dans l’application Santé.
Plutôt que d’appeler les gens à cesser d’utiliser des appareils portables, l’EFF exhorte les fabricants à améliorer leurs pratiques de confidentialité. L’organisation affirme que les entreprises devraient publier des rapports de transparence, informer les utilisateurs autant que possible légalement si leurs données sont demandées par les autorités, et proposer un chiffrement de bout en bout ou des options de stockage robustes uniquement en local, afin que les utilisateurs puissent décider de la quantité d’informations qu’ils souhaitent stocker dans le cloud.