Une société implante des puces RFID sous la peau de ses employés

Publié le 10/02/2017 par Etienne Wery

Une société propose à ses employés d’implanter volontairement une puce RFID dans la paume de leur main. Officiellement, l’idée aurait germé dans la tête de la direction lassée de remplacer les clés et serrures de la porte d’entrée chaque fois qu’un employé égare son trousseau. L’autre explication, officieuse celle-là, est que la société, active dans le marketing digital, a eu l’idée du siècle pour faire parler d’elle. Sur ce plan, c’est réussi. Shocking ?

Vous arrivez au bureau, vous approchez votre main de la poignée et celle-ci déclenche automatiquement l’ouverture de la porte. Vous passez devant le clavier de l’alarme : vous désactivez le système par votre seule présence. Votre étage est à accès restreint car c’est là que travaille l’équipe de recherches et développement. Pas de problème, l’ascenseur sait que vous avez le droit d’activer cet étage-là. Quant à votre ordinateur, il s’est débloqué quand vous avez approché la main du clavier. Votre nouveau client vous attend : en lui serrant la main, vous envoyez automatiquement sur son smartphone votre carte de visite au format vcard.

Impossible ? Si, tout cela est possible parce que votre employeur a implanté dans votre main une minuscule puce RFID qui contient votre identification et vos habilitations.

Cela fait penser à de la science-fiction, mais c’est dorénavant bien réel : une société belge propose depuis peu à ses employés de se faire implanter une puce RFID sous-cutanée contenant leur identification.

Biométrie ou pas ?

Certains commentaires sur le Web analysent la situation sur le plan juridique en prenant pour point de départ le cadre applicable aux données biométriques. Ces études concluent assez rapidement à l’illégalité de l’initiative qui, il est vrai, ne respecte pas les principes en vigueur en matière de données biométriques.

Cette approche est erronée.

La biométrie – ou mesure du vivant – désigne couramment la reconnaissance, l’identification et l’authentification d’une personne sur la base d’une caractéristique biologique. La donnée biométrique la plus connue est l’empreinte digitale ; il y en a d’autres souvent utilisées pour des processus d’identification et d’authentification : l’iris et la voix notamment.

Dans l’initiative commentée, l’employeur ne fait pas reposer l’identification sur une donnée biométrique. Certes, la puce est implantée dans le corps humain mais cela n’en fait pas pour autant une donnée biométrique. La puce contient le nom, le prénom, et l’habilitation de l’employé.

Le parallèle le plus parlant est probablement le badge d’accès. La puce RFID dont question est une sorte de badge d’accès dont la caractéristique principale est d’être miniaturisé et implanté sous la peau.

Une technologie n’est pas l’autre

Derrière l’appellation RFID se cache une série de technologies très différentes. En résumé, le RFID désigne un couple balise/lecteur échangeant des informations en utilisant la radiofréquence. La balise contient une information et est équipée d’une mini-antenne ; le lecteur détecte le signal de la balise et lit l’information qu’il peut ensuite transmettre à un système de traitement de l’information. Les premières applications ont consisté à remplacer le code-barre bien connu par une puce qui remplit le même rôle mais permet une automatisation plus efficace.

En fonction des balises (aussi appelées étiquettes), la lecture nécessite de placer le lecteur à quelques centimètres (balise sans batterie), ou quelques dizaines de mètres (balise active embarquant une source d’énergie). Des balise mixtes existent aussi, qui captent des informations au fil de l’eau mais ne les envoient vers le lecteur qu’à intervalles réguliers (très utilisées dans le domaine médical).

D’autres technologies, tel le bluetooth ou le NFC (near field contact, qui est en plein boom grâce aux smartphones et aux systèmes de paiement qu’ils embarquent) remplissent un rôle similaire, en utilisant des technologies différentes qui présentent toutes des avantages et inconvénients.

Quelle technologie choisir ? Cela dépend de la finalité, de la distance à laquelle se trouve le lecteur, du volume de données à stocker, du volume de données à échanger, de la vitesse du flux, du temps d’autonomie recherché, de la valeur des objets taggés, du besoin de crypter ou non l’échange, de la sensibilité des données stockées, de l’environnement extérieur, de la nécessité de localiser la puce, etc.

Toujours est-il que dans l’initiative commentée, l’employeur dit avoir choisit une technologie RFID avec des balises passives qui nécessitent une lecture à quelques centimètres, ne contiennent que les informations qui figuraient auparavant sur le badge d’accès, et ne sont pas équipées d’outil ou fonction de géolocalisation.

Légal ou pas?

Il ne fait aucun doute qu’il s’agit d’un traitement de données à caractère personnel dont les modalités de mise en œuvre sont très particulières.

En l’espèce, les employés ont donné leur consentement. On sait que ledit consentement est une des hypothèses de licéité du traitement. Pour autant que la puce ne contienne effectivement rien d’autre que le nom, le prénom et l’habilitation de l’employé, le processus devrait donc satisfaire en principe au prescrit légal en la matière.

Tout au plus fera t-on observer ce qui suit :

• Il faut que le consentement soit éclairé. En d’autres termes, il faut que les employés aient reçu une information complète et pertinente, d’autant plus importante en l’espèce que les modalités de mise en œuvre sont très particulières.
• Il faut que le consentement soit libre. En d’autres termes, il n’est pas question qu’un employeur fasse pression sur ses employés pour qu’ils acceptent de remplacer le badge d’accès par une puce RFID.
• Il faut assurer l’information permanente des employés, notamment si  les finalités ou les modalités du traitement devaient évoluer.
• On recommande de veiller à laisser en tout temps aux employés la possibilité de (i) lire facilement la puce pour vérifier les données qui y figurent, et (ii) revenir en arrière au « bon vieux » badge s’ils le souhaitent.

En fonction des pays, il peut  également y avoir des restrictions au niveau du droit du travail. Lorsqu’un employé est contraint de sortir un badge d’accès pour valider son entrée et sa sortie, le fait même de sortir une carte magnétique le conscientise sur l’existence du contrôle. S’il n’a plus à effectuer cette démarche parce que le système enregistre les allées et venues en frôlant les capteurs, son niveau de conscience risque de baisser. C’est pour cela qu’il existe parfois des restrictions qui impliquent d’utiliser le même système pour l’accès aux bâtiments et le contrôle des présences. C’est aussi pour cela que les systèmes furtifs de contrôle de la productivité sont interdits. Si la puce devait jouer pareil rôle, l’employeur entrerait dans une zone de risque important.

Enfin, indépendamment du droit du travail et du droit des données à caractère personnel, on rappellera que les dispositifs implantables sont soumis à un cadre juridique spécifique. Certes, la loi pense avant tout aux implants médicaux, mais il s’agit d’un cadre juridique émergeant et fluctuant et on ne peut exclure que certaines dispositions de ce cadre juridique puissent impacter ce type d’initiative.

Bref, et au-delà de la réaction instinctive négative du départ, il se pourrait qu’une initiative bien pensée et qui se limite à des balises RFID passives, non-géolocalisables et chargées seulement d’informations de base non-sensibles, puisse être considérée comme légale.

Dangereux ou pas ?

On pense évidemment avant tout aux dangers liés au fait d’implanter dans le corps humain un élément étranger. Dangereux ? Nous ne sommes pas qualifiés pour répondre à cette question.

Il y a ensuite un risque que l’on peut identifier par rapport à la possibilité de connexion. L’internet des objets, qui regroupe l’ensemble des objets connectés, pose des questions spécifiques. Si la puce comprend une possibilité de connexion (ce qui est probable, à tout le moins pour des motifs liés à sa programmation, sa maintenance et sa mise à jour), il faudra veiller à respecter non seulement le cadre légal mais également les standards habituels de sécurité.

Il y a encore un risque lié aux possibilités de « fliquage » et de « piratage ». Rappelons toutefois que pour « fliquer » ou « pirater » une puce RFID, il faut s’y connecter. Et pour s’y connecter il faut un lecteur qui soit suffisamment proche de la puce. Les puces implantables émettent sur une fréquence spécifique et à une puissance très faible. Ceux qui ont un chien à qui ils ont implanté une puce derrière l’oreille, savent que le vétérinaire doit approcher le lecteur à quelques centimètres. Cette caractéristique restreint les risques. Certains articles signalent toutefois la possibilité d’un accès indirect en piratant un smartphone. Si celui-ci est dans la poche, proche de la puce, ou s’il est posé sur le bureau à côté du clavier et donc de la main dans laquelle la puce est implantée, il se pourrait qu’en piratant le smartphone on puisse arriver à capter la fréquence émise par la puce et en prendre le contrôle.

Si le risque se matérialise, l’enjeu est alors lié au contenu de la puce et à sa fonction. Plus elle contiendra d’informations sensibles, plus l’enjeu est critique. Plus elle est active (par exemple pour réguler un implant médical ou un pace maker), plus le risque est élevé. On ne traitera pas de la même manière le piratage d’une puce passive qui contient seulement le nom et le prénom d’une personne et qui tient lieu de badge d’accès, ou d’une puce qui contiendrait par hypothèse des moyens de paiement, des données de santé, ou qui contrôlerait un système médical.

Opportun ou pas ?

En définitive, cette initiative interpelle surtout par sa portée symbolique : elle représente une évolution, lente mais certaine, vers une société qui relevait encore il y a quelques années de la science-fiction.

Il y a 15 ans, la technologie RFID servait surtout à identifier des objets.

Puis ce furent les animaux.

Il y a 2 ans, une discothèque d’une station balnéaire connue en Espagne, proposait les cartes de membres et les moyens de paiement via une puce implantée.

Aujourd’hui, c’est dans l’environnement du travail que la technologie RFID fait une percée.

Et demain ?