Les représentants des autorités européennes de protection des données ont soumis pour commentaires une analyse sur le déploiement à grande échelle des étiquettes électroniques. Elles y rappellent les principes de base de respect de la vie privée.

Le groupe Article 29 s’inquiète de la généralisation des identifiants électroniques à fréquence radio (RFID) et des conséquences pour la vie privée des citoyens. Cette structure rassemble les différentes autorités de protection des données personnelles des 25 pays membres de l'Union européenne, dont la Commission nationale de l’informatique et des libertés (Cnil) pour la France.

Il a publié son analyse et ses recommandations sur le sujet, qui sont soumises aux commentaires du public jusqu’au 31 mars. «L’utilisation des RFID peut être bénéfique pour les entreprises, pour les individus et les services publics (y compris les gouvernements)», note le groupe. Mais «le déploiement généralisé de cette technologie amène aussi de potentiels inconvénients».

Les Cnil européennes avouent être préoccupées des possibilités de «violation de la dignité humaine et des droits de protection des données» induites par certaines applications des RFID. «Nos inquiétudes concernent en particulier les possibilités pour les gouvernements et les entreprises d’utiliser les RFID pour s’immiscer dans la sphère privée des individus.»

Pas d'exception aux règles de base pour les RFID

Elles ont recensé de nombreux usages susceptibles de mener à des dérives: «la capacité de collecter subrepticement tout un ensemble de données sur une seule et même personne, de tracer les gens lorsqu’ils se déplacent dans des espaces publics (aéroports, gares, magasins), de perfectionner des profils grâce à la surveillance des comportements des clients dans les magasins, de lire les détails des habits et des accessoires portés ou des médicaments transportés par une personne».

Le groupe Article 29 rappelle que les informations collectées ou stockées sur des RFID, sont soumises aux règles établies dans la directive européenne de 1995 sur la protection des données. Ses principes de base sont clairs: la collecte doit avoir un objet précis et ne doit concerner que les informations pertinentes. Ensuite, la durée de conservation des données doit être justifiée par rapport à la réalisation de cet objet.

D’autre part, les autorités soulignent que dans la plupart des scénarios où intervient la technologie RFID, recueillir le consentement préalable des individus est une condition sine qua non. Tout comme leur fournir suffisamment d’informations sur l’objet de la collecte et sur les personnes qui la mettent en œuvre. Sans oublier des droits d’accès et de rectification sur les données conservées.