29 novembre Copyright © BRM Avocats 2006 RFID: questions juridiques, éthiques et respect des libertés individuelles

SOMMAIRE 1. Présentation de la technologie RFID 2. Contraintes juridiques 2.1 Attribution des fréquences radioélectriques 2.2 Respect de la vie privée 2.3 Stockage des données sensibles 2.4 Contrôle de l’activité des salariés 2.5 Contractualisation du partage de l’information 3. Position de la CNIL 3.1 Inquiétudes 3.2 Recommandations 4. Cadre européen 4.1 Traçabilité des matériaux en contact avec les denrées alimentaires 4.2 Questionnaire en ligne de la Commission 4.3 Position du G29 5.Cadre mondial: jusqu’où vont certains pays? CONCLUSION Copyright © BRM Avocats 2006

La technologie RFID (pour Radio Frequency Identification) ou radio identification, permet de stocker et de récupérer à distance des données en utilisant des marqueurs appelés « radio étiquettes » (ou puces RFID). Les radio étiquettes incorporent une puce électronique et une antenne qui leur permettent de recevoir et de répondre aux requêtes radio émises depuis un émetteur- récepteur. Différents types de fréquences sont utilisées en fonction de la distance et des applications visées. Ces puces RFID peuvent être utilisées comme moyen de communication de données, moyen de paiement ou moyen d’identification. De nombreux domaines d’applications sont envisagés: sécurité, traçabilité, identification,… 1. Présentation de la technologie RFID Copyright © BRM Avocats 2006

Les technologies RFID utilisent des fréquences radio et ne sont pas soumises en principe au régime de déclaration existant en matière de communications électroniques, les puces et les lecteurs étant considérés comme des équipements à faible portée. Le Code des postes et des communications électroniques fixe le cadre légal pour l'usage des fréquences radioélectriques en France. (Article L.41 et suivants). Les puces RFID émettent des ondes. Elles sont dès lors qualifiées juridiquement par l’Agence Nationale des Fréquences (ANFR) de dispositifs d’identification rentrant dans la catégorie spécifique des appareils de faible puissance et de faible portée (AFP) ou Short Range Devices (SRD). Elles peuvent être utilisées sans licence d’utilisation mais ne bénéficient d’aucune garantie de protection. La bande de fréquence allouée aux RFID semble trop restreinte et des demandes sont en cours pour la voir élargies. 2. Contraintes juridiques 2.1 Attribution des fréquences radio électriques Copyright © BRM Avocats 2006

Les puces RFID peuvent constituer des atteintes au droit au respect de la vie privée protégé par les articles 9 du Code civil et 8 de la Convention européenne des droits de l’homme. En effet, des marqueurs RFID « furtifs » intégrés dans des objets pourraient permettre de créer des bases de données secrètes et à forte valeur ajoutée sur les activités privées des individus. Quelque soit l'application concernée, il convient de distinguer les puces contenant des données personnelles (au sens de la loi Informatique et Libertés du 6 janvier 1978 modifiée par la loi du 6 août 2004) de celles contenant uniquement des informations relatives à un produit ou un bien. Dans les hypothèses d’intégration de données personnelles dans les puces RFID, les personnes visées disposent d’un droit d’accès, de rectification et de suppression de ces données. 2. Contraintes juridiques 2.2 Respect de la vie privée Copyright © BRM Avocats 2006

Les données personnelles au sens de la loi Informatique et Libertés sont celles qui permettent d’identifier directement ou indirectement les individus, via le croisement de données entre la puce RFID et d’autres supports. Lorsque des données personnelles sont stockées dans les puces RFID, le traitement de ces données doit respecter les règles de la loi Informatique et Libertés. Un responsable du traitement doit être désigné et celui-ci doit : - Déclarer le traitement - Informer et recueillir le consentement des personnes visées par ce traitement - Collecter les données de manière loyale et licite - Sécuriser les données - Ne conserver les données que pour la durée nécessaire à l’accomplissement des finalités du traitement. 2. Contraintes juridiques 2.2 Respect de la vie privée Copyright © BRM Avocats 2006

Principe = interdiction du traitement  Article 8 de la loi Informatique et Libertés : il est interdit d‘effectuer la collecte ou le traitement des données à caractère personnel qui font apparaître, directement ou indirectement, « les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci ». Exception = données médicales => Article 8, II, 6° : sont visés « les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en oeuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel prévue par l'article du code pénal ». 2. Contraintes juridiques 2.3 Stockage des données sensibles Copyright © BRM Avocats 2006

- Risque juridique pour l’employeur = contrôle de l'activité d'un salarié.  présence de puces RFID dans les badges de salariés et/ou la présence de nombreux lecteurs de puces RFID au sein de l'entreprise destinés à identifier et/ou géo-localiser des produits - Solution = 1. information et consultation du comité d'entreprise et des salariés  article L du Code du travail : « Le comité d'entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés » 2. déclaration auprès de la CNIL  si le système d'identification RFID consiste ou permet de collecter des informations relatives aux salariés 2. Contraintes juridiques 2.4 Contrôle de l’activité des salariés Copyright © BRM Avocats 2006

- Problématiques : 1) Nature et accès aux données  Chacun tente d'imposer un standard :  intégrant une normalisation des informations contenues dans les puces  répondant à leurs besoins et leurs exigences en matière de gestion de l'information 2) Propriété et maîtrise des informations collectées  Problème : dans la chaîne d’inscription des données, le dernier maillon pourra exploiter, notamment dans le cadre de bases de données, les différentes informations insérées dans une puce tout au long du parcours d'un produit  Solution : Les différents intervenants de la chaîne de distribution d’un produit pourront prévoir une gestion contractuelle du partage de l’information 2. Contraintes juridiques 2.5 Contractualisation du partage de l’information Copyright © BRM Avocats 2006

Risques des puces RFID: - traçabilité des personnes et des biens - accès, partage et collecte d’informations et de données personnelles - impact sur l’organisation des systèmes d’information existants - sécurité des contenus (confidentialité, intégrité, chiffrement,…). - « furtivité » potentielle des puces RFID (présence et activation invisibles) - « profilage » des individus Pièges à éviter: - insignifiance apparente des données - priorité donnée aux objets (vis-à-vis des personnes) - logique de mondialisation (différences entre concept américain et européen de vie privée) 3. Position de la CNIL 3.1 Inquiétudes Copyright © BRM Avocats 2006

- Exercice effectif du droit d’accès : la CNIL recommande que les puces RFID soient équipées de dispositifs techniques garantissant leur neutralisation effective. - Information sur les usages des puces RFID. - Transparence vis-à-vis des salariés de l’utilisation de puces RFID dans l’entreprise - Transparence vis à vis des consommateurs quant aux identifiants présents sur les puces RFID et la présence de puces actives dans certains produits. La désactivation systématique de la puce RFID au passage en caisse sans connexion avec des identifiants personnels pourrait résoudre le risque juridique vis à vis du consommateur dès aujourd’hui Dans tous les cas, la lecture accompagnée d’un traitement (dont l’enregistrement) de données à l’insu du porteur de la puce RFID doit être considérée comme une collecte de données personnelles déloyale. Néanmoins il n’existe pas aujourd’hui d’obligations réglementaires de désactivation des puces RFID. 3. Position de la CNIL 3.1 Recommandations Copyright © BRM Avocats 2006

4.1 Traçabilité des matériaux en contact avec les denrées alimentaires Règlement européen du 27 octobre 2004, article 17 (entré en vigueur le 27 octobre 2006) : « les matériaux et objets mis sur le marché dans la Communauté sont identifiables par un système approprié permettant leur traçabilité par le biais d’un étiquetage ou d’une documentation ou d’informations pertinentes ». 4.2 Questionnaire en ligne de la Commisssion européenne (juillet à sept 06) Les principales problématiques liées aux RFID sont : l'interopérabilité, la compatibilité au niveau international et l'attribution de bandes de fréquence radio. Recommandations de la Commission : mise en place d’un cadre réglementaire, information sur cette technologie, protection de la vie privée et baisse des coûts de production. 4. Cadre européen Copyright © BRM Avocats 2006

Le groupe de l’article 29 est le groupe des CNIL européennes. Un « document de travail sur les questions de protection des données liées à la technologie RFID » a été adopté par ce groupe le 19 janvier Recommandations: - la collecte des données personnelles doit respecter les obligation posées aux directives européennes - sensibilisation des acteurs du marché des puces RFID quant aux règles européennes et nationales de protection de la vie privée 4. Cadre européen 4.3 Position du G29 Copyright © BRM Avocats 2006

Etats-Unis : - Implantation de puces RFID sous la peau - Protestations quant à l’absence de transparence dans l’utilisation des puces RFID - Legislation au Wisconsin contre l’implantation sous la peau de puces RFID - « Identity Information Protection Act » en Californie pour obliger à chiffrer les données stockées dans les puces RFID - Grande distribution : exemple de Wal-Mart - Cartes de crédit : problèmes de sécurité Allemagne : - Billets de la Coupe du Monde de football Maillots de football 5. Cadre mondial : jusqu’où vont certains pays? Copyright © BRM Avocats 2006

Belgique : Cadre juridique applicable aux puces RFID : -Loi « vie privée » du 8 décembre Arrêté royal « cyber surveillance »du 12 juin Directive européenne « vie privée et communications électroniques » du 12 juillet 2002 Québec : La Commission d'accès à l'information a publié un document d'analyse sur la technologie RFID le12 juin Craintes : furtivité des puces RFID, pas de cadre juridique, pas de consentement préalable, respect de la vie privée Recommandations : désignation d’un responsable du traitement ; indication de la finalité du traitement ; limite de la collecte, de la communication et de l’accès aux données stockées ; information du citoyen ; qualité et sécurité des données ; droit d’accès et de rectification ; conservation et destruction des données 5. Cadre mondial : jusqu’où vont certains pays? Copyright © BRM Avocats 2006

Identification des freins potentiels au développement de la technologie RFID : - Sécurité et confidentialité des données (exemple des passeports biométriques) - Respect de la vie privée - Respect de l’intégrité de la personne - Homogénéisation internationale des standards techniques CONCLUSION Copyright © BRM Avocats 2006