La protection des données, un enjeu de taille

Chaque fois qu’il capte une information, l’objet connecté la garde en mémoire. Plus exactement, il la transmet via internet à un opérateur, chauffagiste, électricien, société de sécurité, gestionnaire du bâti, pour la stocker dans les gigantesques bases de données des datacenters. C’est son rôle et sa définition : stocker, transmettre et traiter. Heure et date de l’événement, détection de mouvement, actionneur, vidéo, température, météo, paramétrage personnel… tout est mémorisé, avec de nombreux détails. Pour les professionnels du bâtiment, et plus particulièrement ceux qui sont certifiés Qualifelec ou Qualibat, cela représente une opportunité de nouveaux marchés. Car dans le cas d’un équipement domestique, ces milliards de données (mégadonnées ou big data) pourront être exploitées à distance par des logiciels ou depuis un mobile (smartphone, tablette, montre), afin de piloter finement à distance le chauffage/climatisation, optimiser l’éclairage, assurer l’ouverture/fermeture de volets roulants, renforcer la sécurité des portes et fenêtres… améliorer le fonctionnement de tous les équipements.

Patrimoine privé sensible

Consolidées et anonymisées, ces informations pourront également être revendues à des tiers qui commercialiseront d’autres services ad’hoc sur la base des habitudes de vie et d’usage des occupants, pour les aider à réaliser des économies, optimiser les fonctionnements. C’est la grande et principale différence entre les équipements domotiques d’hier et les objets connectés d’aujourd’hui : alors que les premiers se contentent généralement de gérer un seul équipement, les seconds accumulent, via internet, des milliards d’informations pour interpréter le contexte, croiser les interventions, réaliser des scénarios. Mais ces données qui reflètent les activités des occupants constituent un patrimoine privé sensible, susceptible d’être l’objet de surveillance, malveillance et même, piratage. Le risque est très élevé : à distance, il peut y avoir des attaques brutales (je casse, je disjoncte) ; des prises d’otage (paie-moi en échange) ; d’usurpation d’identité (je vole, je détourne). C’est le côté négatif de ce progrès.
De fait, le marché se scinde en trois parties, chacune présentant ses propres points faibles : tout d’abord, les terminaux connectés (smartphones, ordinateurs portables, etc.) ou interfaces de suivi et de pilotage ; ensuite, la communication entre machines (machine to machine ou M2M) ; enfin, les objets connectés (internet des objets, Id0 ou IoT en anglais) contenant un dispositif informatique embarqué relié à internet.
Si la première reste l’apanage des grands acteurs du matériel informatique (Apple, Google, Microsoft, Samsung ou le français Archos) et la deuxième, celui des opérateurs de télécoms et de réseaux (Orange, SFR, Somfy), la troisième rassemble une multitude de jeunes entreprises innovantes (Nest, Netamo, Withings, Sen.se ou Glabys). Celles-ci viennent ainsi concurrencer les traditionnels industriels des réseaux voix, données, images (VDI) du bâtiment, tels Legrand, Schneider, ou Siemens.
Car avec la miniaturisation et internet, tout est connectable. À tel point qu’il existe déjà un moteur de recherche (*) qui identifie et localise les webcams, routeurs, smartphones, ou même les réfrigérateurs. Selon le cabinet Deloitte, 10 millions d’objets connectés ont déjà été vendus en 2014, et il devrait y en avoir 80 milliards en 2020, selon IDC.
Le segment « maison-bâtiment intelligents » est le plus dynamique. Comme l’illustrent Domora, un boîtier qui se connecte automatiquement à tous les objets ou équipements multimédias d’une maison ; IrLynx, qui détecte et analyse la présence humaine ; ou Ideovitra qui chasse le gaspillage via des prises intelligentes connectées. Des projets pilotes sont déjà lancés, notamment avec Legrand et Schneider.

Vide réglementaire

Aussi la Commission nationale de l’informatique et des libertés (Cnil) se demande-elle comment accompagner cette montée en puissance, tout en préservant la vie privée des utilisateurs. Trois sujets la préoccupent. Le premier concerne le statut des données, « susceptibles de révéler plus qu’on ne l’imagine sur la vie privée et intime : localisation, lieux fréquentés, habitudes de vie […] ». Le second porte sur les mégadonnées : « Où […] sont-elles hébergées, comment sont-elles sécurisées, à qui sont-elles cédées ? » Le dernier : « Les actions des objets connectés finiraient par perdre leur caractère librement consenti, s’imposant directement ou indirectement aux individus sous l’effet de logiques commerciales », sans possibilité de mettre les puces au silence.
L’installation et l’usage des objets connectés ne sont pas encadrés par une réglementation. Pourtant, en matière de droit, les questions sont nombreuses sur l’acquisition, l’emploi et la propriété des données. Face à ce vide juridique, il est difficile de protéger la vie privée et de contrôler la diffusion des informations.

Cas par cas

« Certes, le propriétaire de l’objet est détendeur de l’usage de ses données, mais quid alors de sa responsabilité si l’objet connecté est utilisé par un tiers ou aurait été mal configuré ? Faut-il estimer que le fabriquant, voire celui qui a installé l’objet, serait responsable ? » demande Éric Barbry, avocat chez Alain Bensoussan Avocats (lire ci-dessous). Dans la pratique, la question se résout au cas par cas. Or, actuellement, comme l’indique la loi Hadopi du 12 juin 2009, le propriétaire de l’objet connecté est responsable de ce qu’il fait, voire de ce que les autres font avec son équipement.
La solution pourrait venir de la création d’un internet dédié aux objets domestiques. Cependant, « un tel vecteur devra présenter deux caractéristiques : une sécurité sans faille et des temps de réponse garantis », prévient Thierry Piette-Coudol, avocat spécialisé dans la sécurisation des échanges électroniques. Ce sont là les deux piliers de la confiance, pour éviter les problèmes.