Des données singulièrement exposées et convoitées

Les objets connectés de santé génèrent et transmettent une masse croissante de données : rythme cardiaque, tension artérielle, historique d’activité physique, glucose sanguin… Ces informations, croisées à des données comportementales ou géographiques, valent de l’or, autant pour la recherche biomédicale que pour l’industrie de l’assurance ou de la tech. Leur commercialisation par certains acteurs a suscité de vifs débats en Europe et outre-Atlantique, notamment après les révélations sur le rachat de FitBit par Google ou la fuite de données HealthNet aux États-Unis (source : Reuters, 2021).

Si la finalité affichée est souvent l’amélioration du suivi de santé ou la personnalisation des soins, ces pratiques ouvrent logiquement la porte à des risques majeurs :

• Atteinte à la vie privée : la connexion de multiples sources (objets posés à demeure, portés et applications) offre une cartographie fine, parfois intime, du quotidien des utilisateurs.
• Discrimination : des fuites ou l’usage inapproprié de données peuvent engendrer des exclusions (assurance, emploi).
• Extorsion ou chantage : les données de santé sont aujourd’hui jusqu’à 10 fois plus chères à la revente sur le darkweb qu’un simple numéro de carte bancaire (source : IBM, rapport 2022).

Cartographie des menaces : où les failles résident-elles ?

La chaîne de collecte des objets connectés de santé présente de nombreux points de vulnérabilité, de la captation locale à l’exploitation finale, en passant par la transmission et le stockage. Quelques exemples notables :

• Appareils eux-mêmes : beaucoup de dispositifs, notamment d’entrée de gamme, intègrent des protocoles de chiffrement faibles ou absents, rendant leur piratage possible à distance, notamment via Bluetooth Low Energy.
• Applications mobiles : absence de contrôle d’accès fort, stockage local non chiffré, permissions démesurées accordées à des tiers.
• Clouds et serveurs distants : informations hébergées parfois hors Europe, exposées aux législations moins protectrices, ou gérés par des prestataires sous-traitants peu contrôlés.
• Interfaces tierces : partage (parfois automatique) avec des plateformes de e-santé, assureurs, partenaires commerciaux, chercheurs, sans que l’utilisateur ne le sache ou le maîtrise vraiment.

Un fait marquant : en 2021, un exercice de hacking "éthique" organisé par l’Agence européenne de cybersécurité (ENISA) a permis de pirater en moins d’une heure 5 objets connectés de santé grand public sur 10 testés, via défaillances d’authentification ou mauvaise isolation des flux de données.

Des outils techniques mais aussi organisationnels

Face à ces risques, la protection ne peut reposer uniquement sur la technologie. On distingue deux grandes familles de mesures :

• Techniques :
  • Chiffrement de bout en bout : Les données doivent être chiffrées dès leur création sur l’appareil et ne jamais transiter, ni être stockées à nu. L’usage de standards comme AES-256 est aujourd’hui recommandé.
  • Identification forte : L’accès aux apps et portails web doit exiger, au minimum, des mots de passe forts et idéalement une authentification à deux facteurs (SMS, biométrie).
  • Pare-feu embarqués et mises à jour logicielles : De nombreux objets ne se mettent pas à jour automatiquement, rendant les anciennes failles disponibles aux attaquants.
• Organisationnelles :
  • Gouvernance des accès : Restreindre les droits des utilisateurs et des partenaires, tenir à jour des logs d'accès.
  • Transparence : Informer précisément l’utilisateur sur la nature, la durée, les usages exacts de ses informations.
  • Minimisation : Ne collecter que le strict nécessaire, conserver le minimum de temps, anonymiser.

Le cadre légal : le RGPD, mais pas seulement

L’Union européenne a posé un cadre strict avec le Règlement Général sur la Protection des Données (RGPD), reconnu comme le standard mondial pour la protection des données à caractère personnel. Il impose notamment :

• le recueil du consentement libre, éclairé et spécifique de l’utilisateur,
• un droit d’accès, de rectification et d’effacement des données,
• la limitation de la durée de conservation,
• la portabilité des données,
• la notification obligatoire de toute violation de données à caractère personnel dans les 72h (article 33).

À cela s’ajoutent la législation sur la cybersécurité (directive NIS2), la certification Hébergement de Données de Santé (HDS) en France, et depuis 2023 la proposition européenne de règlement sur l’intelligence artificielle ("AI Act"), qui introduit de nouvelles contraintes sur les usages médicaux des objets connectés.

Reste que de nombreux leaders de l’IoT santé sont nord-américains ou asiatiques, soumis à d’autres textes comme le HIPAA américain ou le PIPL chinois… avec parfois, à la clé, une fuite de responsabilités en cas de problème.

Repenser la souveraineté numérique : l’exemple français et européen

La France, via la CNIL et l’ANS (Agence du Numérique en Santé), déploie depuis 2020 plusieurs initiatives majeures :

• Labellisation et référentiels de sécurité obligatoires pour les objets connectés de santé souhaitant s’intégrer à Mon Espace Santé (Plateforme nationale d’accès aux données personnelles de santé).
• Dossier médical partagé (DMP) entièrement hébergé en France, interdisant l’indexation de données sensibles par des moteurs étrangers.
• Conformité HDS (Hébergement de Données de Santé) : tout acteur stockant des données de santé pour autrui doit prouver ses capacités techniques, humaines et légales.

À l’échelle européenne, le projet EHDS (European Health Data Space), lancé en 2022, ambitionne d’offrir un cadre harmonisé pour l’utilisation, le partage et la protection des données de santé sur tout le territoire européen.

Les utilisateurs au cœur de la sécurité : rôles et devoirs

La chaîne de sécurité ne peut être robuste sans la participation active et informée des premiers concernés, les utilisateurs. Quelques recommandations pratiques pour une protection concrète :

1. Réfléchir avant d’acheter ou de connecter : Privilégier des dispositifs certifiés (marquage CE, conformité RGPD, mentions CNIL), éviter les plateformes peu connues et dont les serveurs sont situés hors Union européenne.
2. Mieux paramétrer les droits et partages : Désactiver le transfert automatique des données vers des applications tierces non nécessaires, vérifier régulièrement la liste des appareils/applications ayant accès à ses données.
3. Mettre à jour systématiquement : Installer les correctifs de sécurité dès leur publication. Selon le Health Information Privacy Laboratory, 47 % des incidents recensés en 2022 étaient liés à l’absence de mise à jour logicielle.
4. Utiliser des mots de passe robustes, différents et activer si possible l’authentification forte.

Des associations telles que la Quadrature du Net et l’Union Française pour la Santé Numérique publient régulièrement des guides pratiques décryptant les autorisations et explicatif sur le paramétrage des objets.

Les futurs défis : IA, biométrie et interopérabilité

Avec l’avènement de nouveaux usages et de l’intelligence artificielle embarquée, la complexité et la valeur des données collectées augmentent encore. Les objets connectés deviennent des "passerelles" pouvant analyser, prédire voire communiquer directement avec les professionnels via des API et plateformes centralisées.

• Enjeux de l’IA : Transparence des algorithmes de traitement, protection contre des ré-identifications statistiques, ou biais discriminants amplifiés par l’apprentissage automatique.
• Biométrie et identifiants forts : Si la biométrie est un gage de sécurité, elle soulève des questions nouvelles sur le stockage local, la traçabilité et même le piratage de caractéristiques physiques (par exemple, fausses empreintes digitales, deepfakes vocaux).
• Interopérabilité : La standardisation des formats (HL7/FHIR, BlueButton, etc.) facilite le partage mais multiplie les risques de fuite lors de transferts, si l’ensemble des acteurs n’est pas au même niveau d’exigence.

De nombreux épisodes, comme l’affaire de la fuite massive de radiographies médicales non protégées sur des serveurs accessibles à tous (ProPublica, 2019), rappellent que la sécurité doit évoluer au rythme de l’innovation.

Vers une innovation responsable et durable

Garantir la confidentialité et la sécurité des données de santé collectées par les objets connectés, ce n’est pas freiner l’innovation : c’est lui offrir un socle de confiance, sans lequel toute promesse de progrès se délite. Au-delà de la technique, la question est aussi celle du choix de société : qui contrôle, qui surveille, qui décide de l’usage et du partage ?

Les concepteurs, les institutions et les usagers partagent la responsabilité d’instaurer une culture de la sécurité, sobre et lisible : penser la protection dès la conception (« privacy by design »), refuser les collectes excessives, mettre en place des audits indépendants, outiller les citoyens.

Dans le monde réel, la sécurité absolue n’existe pas. Mais chaque progrès, chaque exigence supplémentaire dans la protection des données de santé accroît la confiance, ouvrant la voie à des innovations plus justes, plus utiles, plus humaines. Notre vigilance aujourd’hui fait la médecine éthique de demain.

Pour aller plus loin :

• ANSSI : Guide des bonnes pratiques de l’informatique
• Commission européenne : European Health Data Space
• CNIL : Comprendre vos droits