Gillette incorpore un identifiant unique dans ses rasoirs : rasez-vous, vous êtes fliqué !

Publié le 02/09/2003 par Etienne Wery , Ewout Keuleers

Il y a quelque temps, la société Alien Technolgy Corporation annonçait qu’à la demande de Gillette (marque bien connue de rasoirs), elle allait équiper les produits de ladite marque avec des RFID, abréviation de « low-cost radio-frequency identification tags » . Ce numéro unique identifie individuellement chaque produit marqué, exactement comme on le fait avec…

Il y a quelque temps, la société Alien Technolgy Corporation annonçait qu’à la demande de Gillette (marque bien connue de rasoirs), elle allait équiper les produits de ladite marque avec des RFID, abréviation de « low-cost radio-frequency identification tags » . Ce numéro unique identifie individuellement chaque produit marqué, exactement comme on le fait avec les codes barres classiques.

Cet identifiant unique est appelé « electronic product code » (EPC) dans le cas de Gillette. Il présente plusieurs avantages. Le premier, et non des moindre, vise à permettre au fabricant d’identifier et suivre chaque produit individuellement dans sa chaîne de production, et d’augmenter de ce fait le supply chain management et le contrôle de qualité. Par ailleurs, cette technologie offre une puissante arme pour la lutte contre la contrefaçon et améliore le « shop lifting ». Enfin, elle permet d’envisager des rappels efficaces en cas de produit défectueux.

Jusque là, les avantages sont assez compréhensibles. Pour le gouvernement américain, qui suit l’initiative de près, l’identifiant sert aussi la lutte contre le terrorisme. Imaginons que tous les rasoirs soient équipés d’un identifiant, et que lors de l’achat au magasin, la machine enregistre l’identité de l’acheteur (facile à faire grâce aux cartes de crédit et autres cartes de fidélité). Plus tard, lors du passage sous un portique de sécurité (dans un aéroport, un bâtiment public, un moyen de transport en commun, un hôtels, une banque, etc.), l’ordinateur enregistre le passage de tous les rasoirs de telle sorte qu’il puisse retracer, ultérieurement, le chemin suivi par le possesseur de l’objet en question. On peut aussi envisager que le portique sonne s’il détecte un « rasoir recherché ». Même si le porteur du rasoir n’est pas identifié, il est possible, a posteriori, de saisir son rasoir et d’interroger les bases de données des portiques pour savoir si cette personne a été détectée quelque part, et suivre ses mouvements à la trace. Aujourd’hui limité au rasoir, ce cas d’école peut s’appliquer demain à tous les biens de consommation : vêtements (Benetton y pense), chaussures, téléphone portable, porte-feuille et carte de crédit, …

Science-fiction ? Pas sûr, comme le montre l’initiative récente de la chaîne de supermarchés Tesco en Angleterre. Lors du passage à la caisse enregistreuse, Tesco prenait discrètement une photo de toute personne achetant un rasoir Gillette Mach3. Facile à faire : la puce du rasoir déclenche la photo lors du passage à la caisse …

C’est justement là que réside le principal problème de cette technologie : à côté de ses indéniables avantages, RFID et EPC sont aussi une menace pour la vie privée des consommateurs.

Gillette a dénoncé les abus de la technologie – notamment le cas Tesco – mais malgré des bonnes intentions ultra-protectrices de la vie privée, le risque est bel et bien réel.

Demain, l’incorporation des ECP ou étiquettes RFID sera une réalité dans plusieurs produits de consommation. Le fabricant de pneus Michelin pourra suivre son produit sur le marché, … et suivre à la trace le véhicule concerné. Benetton a marqué un intérêt pour les tags RFID : leur incorporation dans tous les vêtements de la marque permettra aux autorités de suivre le consommateur qui se déplace avec un pull-over marqué ou qui met ce pull-over dans la valise qu’il emporte en voyage.

Le plus inquiétant est sans nul doute le fait que ces marqueurs électroniques sont, la plupart du temps, installés et utilisés à l’insu du propriétaire de l’objet marqué.

En application de la loi relative à la protection de la vie privée du 8 décembre 1992, l’utilisation de cette technologie est soumise à certaines restrictions. Conformément à l’article 1er, doit être considérée comme donnée à caractère personnel toute information concernant une personne physique identifiée ou identifiable. Le considérant 26 de la Directive 95/46/CE dont la loi est issue, précise qu’est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification. De même, l’article 8 de la Directive 95/46/EC, texte fondamental en la matière au sein de l’Union européenne, oblige les États membres de déterminer les conditions dans lesquelles un numéro national d’identification ou tout autre identifiant de portée générale peut faire l’objet d’un traitement.

Si l’on veut bien peut partir du postulat que la loi vie privée est applicable, l’utilisation des tags ou étiquettes RFID est un traitement qui doit suivre tous les filtres légaux.

Ainsi, la personne concernée doit être informée sur le nom du responsable du traitement et sur les finalités déterminées, explicites et légitimes du traitement. Elle doit aussi être avertie de l’existence d’un droit d’accès aux informations collectées et de son droit (limité) d’opposition.

En plus, le responsable du traitement, et le cas échéant son sous-traitant, doivent prendre les mesures techniques et organisationnelles requises pour protéger les données à caractère personnel (tel l’utilisation de la cryptographie par exemple) contre la destruction accidentelle ou non autorisée, la perte accidentelle ainsi que contre la modification, l’accès et tout autre traitement non-autorisé des données à caractère personnel.

Ceci nous amène à émettre une conclusion en forme de question. Les fabricants des technologies RFID, et ceux qui les intègrent dans leurs produits, sont-ils pleinement conscients des risques engendrés pour la vie privée et des conséquences légales ? Les traitements d’ores et déjà constatés, effectués à l’insu des personnes concernées pour la plupart, permettent d’en douter. Cette question amène une conclusion toute naturelle : rien, dans le cadre législatif et réglementaire actuel relatif à la protection de la vie privée, ne s’oppose par principe à cette technologie. Par contre, beaucoup de contraintes doivent être prises en compte pour que le traitement soit conforme à la loi. Les fabricants feront bien d’y songer, car à défaut de respect de la loi les traitements devront être purement et simplement stoppés, ce qui peut in fine coûter beaucoup plus cher que les économies escomptées grâce à cette technologie.