La Cnil ne prend pas les RFID à la légère. Pour elle, ces étiquettes radio miniatures capables de transmettre de l'information ne sont pas de simples codes-barres de plus. La commission vient de donner sa position sur la question : les RFID (Radio frequency identification) « sont des identifiants personnels au sens de la loi Informatique et libertés ». Ces étiquettes radio investiront dans un futur proche notre environnement quotidien, de l'objet le plus banal au plus sophistiqué.

C'est la conclusion d'une étude réalisée par Philippe Lemoine, commissaire du gouvernement auprès de la Cnil et coprésident des Galeries Lafayette. Le texte intégral devrait être disponible prochainement sur le site web de la commission. Ce document a valeur de position officielle de la Cnil sur ce dossier.

Pour le commissaire, si les RFID existent déjà dans nos vies quotidiennes (cartes de transport telle Navigo, ou clés de voiture), la technologie est amenée à connaître une « dissémination massive » dans le secteur de la distribution.

L'étude identifie plusieurs pièges « qui concourent à minorer le risque que présente cette technologie en matière de protection des données personnelles et de la vie privée ». Parmi eux, le fait que les données contenues dans l'étiquette soient apparamment insignifiantes et que cette dernière soit plutôt rattachée à un objet qu'à une personne.

L'autre risque, de taille celui-là, est la « non-vigilance » de l'individu face à cette étiquette : il ne la voit pas, du moins pas aisément, et ne sait pas quand elle est active. Le porteur de la puce RFID peut alors livrer des informations sans même le savoir.

Plus que la technologie RFID elle-même, c'est surtout le maillage entre elles de toutes les informations contenues dans les étiquettes qui pose un réel problème. Selon la Cnil, « les technologies de radio-identification (...) font peser sur les individus un risque particulier » parce que la mise en relation des informations contenues sur les centaines, voire les milliers d'objets entourant un individu, permettrait, en interceptant l'information et en l'associant à des données personnelles (un passeport par exemple), de le « profiler ».

C'est en cela que la vie privée se trouve exposée. « Compte tenu du prix de la technologie, de ses performances, de son expansion, de l'arrivée prochaine des adresses Ipv6 qui pourront être rattachées aux objets, on peut imaginer à terme un univers entièrement communiquant et identifiable », explique Thierry Jarlet, directeur de l'administration et de la communication de la Cnil.

Cette inquiétude n'a rien de purement futuriste. Le 16 septembre dernier, un symposium a consacré la naissance d'EPC, Electronic Product Code, un réseau qui aura pour objectif de pister tous les produits marqués par une étiquette intelligente.

Pour ces raisons, la Cnil considère que les RFID possèdent le statut de données personnelles, ce qui leur donne comme cadre législatif la loi Informatique et libertés de 1978 et la directive européenne 95/46 de 1995.

Se pose alors, pour la Cnil, un problème inédit : celui du droit d'accès aux informations. La seule solution consisterait alors à permettre une neutralisation définitive ou temporaire de la puce, grâce à des dispositifs techniques « incorporés dès leur fabrication » . Pour y arriver, la Cnil reconnaît que la « recherche doit encore avancer ».