Un matin de février, une lectrice m'écrit : « Mon cardiologue m'a demandé d'installer une appli qui relie ma montre à son logiciel. J'ai cliqué sur "accepter" sans lire. Il y a quoi dans ces conditions ? » Je suis allé voir. Les siennes donnaient au fabricant le droit d'utiliser les données « à des fins d'amélioration du service et de recherche partenariale ». Aucune durée. Aucun nom de partenaire. Voilà, en une phrase, tout le problème de la protection des données personnelles des objets connectés santé.
Et ce n'est pas un cas isolé. C'est presque la règle. Avouons-le, moi le premier : quand j'ai acheté un tensiomètre Bluetooth il y a quelques années, j'ai scanné le QR code, accepté les CGU en trois secondes et j'ai commencé à mesurer ma tension deux fois par jour. Il m'a fallu des mois pour comprendre où partaient ces chiffres. Spoiler : pas seulement chez moi.
Points clés à retenir
- Un objet connecté santé collecte des données que le RGPD classe parmi les plus sensibles : leur traitement est en principe interdit, sauf exceptions strictes.
- Le vrai risque n'est pas le piratage spectaculaire, mais l'usage secondaire discret : revente, croisement, publicité ciblée.
- Trois réflexes changent tout : chiffrement de bout en bout, mot de passe unique, suppression des données avant revente.
- Vous avez des droits (accès, effacement, portabilité) — et ils s'exercent auprès d'un responsable qu'il faut identifier.
- Un objet « bien-être » n'est pas un dispositif médical : la protection réglementaire n'est pas la même.
Protéger vos données personnelles d'objets connectés santé : ce qui se joue vraiment
Une montre qui compte vos pas, un bracelet qui suit votre sommeil, une balance qui envoie votre poids dans le cloud, un capteur de glycémie relié à une appli. Tous ces objets partagent un point commun : ils produisent en continu des données sur votre corps. Et une donnée de santé n'est pas une donnée comme les autres.
Qu'est-ce qu'un objet communicant ?
Un objet communicant est un appareil électronique capable d'échanger des informations avec un autre système — un smartphone, un serveur, une box — sans intervention humaine directe. La connexion peut passer par Bluetooth, Wi-Fi, réseau mobile ou un protocole basse consommation. Ce qui le distingue d'un simple appareil électronique, c'est cette capacité à transmettre : une montre qui mesure votre rythme cardiaque mais n'envoie rien n'est pas un objet communicant. La même montre reliée à une appli devient un objet communicant — et son fabricant devient, presque toujours, un responsable de traitement au sens du RGPD.
C'est là que le bât blesse. Vous achetez un objet. Vous ne mesurez pas que vous cédez aussi un flux d'informations sur votre corps.
Qu'est-ce que l'IoT médical ?
L'IoT médical désigne les objets connectés conçus pour un usage clinique : suivi d'un patient à distance, télésurveillance d'une insuffisance cardiaque, pilulier électronique, capteur implanté. La différence avec le bien-être tient au statut réglementaire. Un objet de l'IoT médical est en général un dispositif médical, soumis au marquage CE et à des exigences de sécurité renforcées. Un bracelet « fitness » ne l'est pas. Or les deux collectent parfois les mêmes données — et le grand public ne fait pas la distinction.
Je l'ai constaté sur un projet de télésuivi : un capteur homologué dispositif médical cohabitait avec une appli de bien-être grand public, et les équipes elles-mêmes mélangeaient les deux périmètres. Franchement, si les soignants s'y perdent, comment voulez-vous qu'un patient y voie clair ?
Est-il vrai que le traitement des données de santé est interdit par principe ?
Oui, dans le principe. Le RGPD pose une règle simple et souvent mal comprise : le traitement des données de santé est interdit par défaut. Ce n'est pas une interdiction absolue, c'est une interdiction qui ne se lève que dans des cas précis.
Les exceptions tiennent en une liste fermée : consentement explicite de la personne, obligation légale, intérêt vital, médecine préventive ou soins délivrés par un professionnel soumis au secret, intérêt public dans le domaine de la santé. En dehors de ces cases, pas de traitement. Point.
Pourquoi cette sévérité ? Parce qu'une donnée de santé ne se « réinitialise » pas. Vous pouvez changer de mot de passe, pas changer votre pathologie. Une fuite est définitive.
Le consentement explicite, ce que ça implique
Le consentement doit être libre, spécifique, éclairé et univoque. « Libre » exclut par exemple de le conditionner à l'accès à un service non nécessaire. « Spécifique » veut dire que vous consentez à un usage précis, pas à « l'amélioration du service » en général. Et il doit pouvoir être retiré aussi facilement qu'il a été donné.
Dans la vraie vie ? Une case cochée, un écran de 40 lignes, un bouton « tout accepter ». Le compte n'y est pas. J'ai testé sur une dizaine d'applis de santé grand public : aucune ne permettait de retirer le consentement en moins de quatre écrans. Quatre écrans pour donner, un labyrinthe pour reprendre.
Les risques concrets, et pourquoi le piratage n'est pas le plus grave
Tout le monde imagine le scénario du hacker. C'est le moins probable. Le vrai problème est plus ennuyeux et plus fréquent : l'usage secondaire. Vos données de sommeil, de poids ou de fréquence cardiaque servent à entraîner des modèles, à segmenter des profils, à alimenter des partenaires commerciaux.
Le mécanisme est toujours le même :
- L'objet collecte en continu, souvent sans que vous y pensiez.
- Les données partent vers un cloud, parfois hors de l'Union européenne.
- Une clause large autorise la « recherche » ou les « partenaires ».
- Personne ne sait ce qui a été transmis, à qui, ni pendant combien de temps.
Et le pire, dans cette histoire ? Un objet connecté santé peut révéler des choses que vous n'avez jamais dites à personne. Un rythme cardiaque irrégulier, une prise de poids soudaine, des insomnies répétées. Ce sont des données intimes. Les laisser filer dans une base commerciale n'est pas anodin.
Le chiffrement, ce qu'il faut exiger
Deux niveaux comptent. Le chiffrement en transit protège les données pendant qu'elles voyagent entre l'objet et le serveur. Le chiffrement au repos protège les données stockées. Beaucoup d'objets font le premier, très peu font le second correctement. Demandez les deux. Si la fiche technique ne les mentionne pas, considérez qu'ils n'existent pas.
Autre point qu'on oublie systématiquement : la mise à jour du firmware. Un objet qui ne reçoit plus de correctifs de sécurité est une passoire. Vérifiez que le fabricant publie des mises à jour, et depuis combien de temps.
| Critère | Ce qu'il faut vérifier | Signal d'alerte |
|---|---|---|
| Chiffrement | En transit et au repos, clés gérées par le fabricant | Aucune mention dans la doc |
| Mises à jour | Correctifs publiés et datés | Dernier firmware ancien |
| Stockage | Local possible, ou cloud UE | Serveurs hors UE sans mention |
| Consentement | Usages précis, retrait simple | Case unique « tout accepter » |
| Revente | Procédure de suppression avant cession | Aucune info sur le sort des données |
Vos droits, et comment les exercer pour de vrai
Vous avez un droit d'accès, de rectification, d'effacement et de portabilité. Sur le papier, c'est solide. En pratique, il faut savoir à qui s'adresser. Le responsable du traitement n'est pas toujours celui qu'on croit : selon les cas, c'est le fabricant de l'objet, l'éditeur de l'appli, ou le professionnel de santé qui vous a prescrit le suivi. Parfois les trois, chacun sur son périmètre.
Le premier réflexe : lire la politique de confidentialité et chercher qui est désigné comme responsable. Si aucun nom n'apparaît, c'est déjà un problème en soi. Ensuite, écrivez. Un mail daté, une demande précise, une réponse attendue sous un délai d'un mois.
Que faire avant de revendre ou jeter un objet ?
Un geste simple, souvent oublié : supprimer vos données avant de céder l'objet. Une réinitialisation d'usine ne suffit pas toujours — certaines applis conservent l'historique côté serveur. Il faut donc demander l'effacement au fabricant, par écrit, et garder la trace de la demande. J'ai récupéré un jour un bracelet d'occasion dont l'ancien propriétaire avait « tout effacé » : l'appli affichait encore six mois de données. Son compte était juste déconnecté.
Ce qui compte vraiment, en une phrase
La protection de vos données de santé connectées ne dépend pas d'un seul réglage miracle. Elle dépend d'une vigilance ordinaire : lire ce qu'on accepte, exiger le chiffrement, vérifier qui est responsable, et effacer avant de transmettre. Ce n'est pas glamour. Mais c'est ce qui marche.
Et si vous ne retenez qu'une chose, retenez celle-ci : un objet connecté santé vous observe en continu, alors qu'une clause de confidentialité, elle, ne se lit qu'une fois. Le déséquilibre est là. À vous de le corriger, un écran à la fois. La prochaine fois qu'une appli vous demandera d'accepter d'un clic, souvenez-vous de ce que votre montre sait de vous — et de ce que vous, vous ignorez d'elle.
