Conversations enregistrées sans consentement : Siri, l’assistant vocal d’Apple, au cœur d’une enquête judiciaire française

par Marie TINARD, étudiante du Master 2 Droit des communications électroniques

Et si Siri, l’assistant vocal emblématique d’Apple, enregistrait certaines conversations privées à l’insu de ses utilisateurs ?

Siri est un assistant intelligent intégré depuis 2011 dans les produits Apple, de l’iPhone à l’iPad afin d’aider les utilisateurs à accomplir des tâches quotidiennes. Une fois déclenché avec la célèbre phrase « Dis Siri », il permet de répondre à certaines interrogations posées directement par la voix. Le problème ? Ce dernier serait un peu trop curieux, au point de soulever de sérieuses interrogations quant au respect du Règlement général sur la protection des données (RGPD) entré en vigueur en 2018, notamment au regard de la collecte et du traitement des données personnelles.

La révélation d’enregistrements involontaires par Siri

Cette affaire inédite débute suite à une plainte déposée en février par la Ligue des droits de l’Homme s’appuyant sur le témoignage d’un lanceur d’alerte français qui travaillait depuis l’Irlande pour un sous-traitant d’Apple. Ce dernier affirmait avoir étudié des interactions enregistrées par l’assistant vocal Siri. Après avoir saisi sans succès la CNIL et son homologue irlandaise, le lanceur d’alerte a décidé de faire appel à la justice française.

La Ligue des droits de l’Homme a donc saisi le procureur de la République, près du tribunal judiciaire de Paris, d’une plainte relative au « traitement illicite des données personnelles », et d’un signalement concernant « l’atteinte à l’intimité de la vie privée et pour pratiques commerciales trompeuses ». Ces extraits étant susceptibles de contenir des informations sensibles et personnelles, les enquêteurs français de l’Office anti-cybercriminalité, un service de la police judiciaire, seront chargés de recevoir les explications d’Apple.

Une enquête judiciaire fondée sur de potentielles violations du RGPD et de la vie privée

Thomas Le Bonniec, le lanceur d’alerte en question, explique avoir été chargé d’analyser les enregistrements de Siri afin d’améliorer la qualité de ses réponses. Mais au cours de son activité, il dit être régulièrement tombé sur des enregistrements involontaires pouvant révéler des informations confidentielles alors que ces fichiers été « collectés, enregistrés et analysés sans le consentement des utilisateurs ». Alors qu’impliquerait concrètement cette fâcheuse tendance de Siri à exploiter ces conversations ?

Elle entraînerait avant tout la captation et le traitement de données sensibles à l’insu des utilisateurs concernés. Sur le plan juridique, cela constituerait une violation du RGPD qui exige un consentement éclairé des utilisateurs pour la collecte de leurs données personnelles ainsi qu’une loyauté dans le traitement des données. Ce même règlement explique d’ailleurs bien dans son article 4 que les données à caractère personnel correspondent à toute information concernant une personne directement ou indirectement identifiable par exemple grâce à son nom, sa localisation, un identifiant en ligne ou tout élément permettant de la reconnaître. Cette définition permet de qualifier les potentiels enregistrements de Siri de données à caractère personnel dès lors qu’ils se rapporteraient à des personnes physiques identifiables notamment grâce à la voix ou grâce au contenu des propos tenus. La plainte relative au « traitement illicite des données personnelles » et pour « atteinte à l’intimité de la vie privée » apparaît dès lors pleinement légitime.

Le lanceur d’alerte confie également au Monde que ces fichiers contenaient des données particulièrement sensibles où « des personnes évoquaient leur maladie, leurs opinions politiques, leur appartenance syndicale, leur sexualité… ». L’enjeu en devient d’autant plus important car dès lors, ces informations relèvent de catégories particulières de données visées à l’article 9 du RGPD : données de santé, opinions politiques, appartenance syndicale… Or, le traitement et le stockage de telles informations ne sont licites qu’à des conditions très strictes, impliquant un consentement explicite, spécifique et pleinement éclairé, difficilement conciliable une simple acceptation des conditions d’utilisation.

La réponse paradoxale d’Apple : entre déclaration en faveur de la protection de la vie privée et règlement amiable

Apple a toujours nié tout acte répréhensible dans cette affaire en affirmant que Siri ne collectait pas d’enregistrements sans le consentement des utilisateurs. Dans une note parue en janvier, la firme à la pomme assurait ne pas conserver « les enregistrements audio des interactions avec Siri, à moins que l’utilisateur ne donne explicitement son accord ». Apple rappelle également que les données n’ont jamais été utilisées pour créer des profils marketing.

Mais l’entreprise californienne a tout de même consenti fin décembre 2014 à payer 95 millions de dollars aux États-Unis (soit 81,3 millions d’euros) pour mettre fin aux poursuites des consommateurs américains l’accusant d’avoir enregistré leurs conservations privées à leur insu, autrement dit pour une procédure quasi similaire. Ce règlement amiable conclu aux États-Unis, même sans reconnaissance de faute, révèle une tension récurrente entre communication commerciale et réalité. Le signalement pour « pratiques commerciales trompeuses » prend tout son sens dans la mesure où Apple, par sa communication et ses promesses sur la protection de la vie privée, aurait potentiellement créé une représentation trompeuse des conditions réelles de collecte et de traitement des données vocales. Le montant du règlement amiable interroge également car il peut traduire l’existence d’un risque juridique sérieux, notamment au regard de la protection des données personnelles et de la vie privée.

Cette affaire s’inscrit dans un contexte tendu où les assistants vocaux sont déjà souvent critiqués pour leurs risques potentiels pour la vie privée. Une équipe de chercheurs a par exemple pu mettre en évidence un lien entre les données collectées par l’enceinte connectée Alexa d’Amazon et des publicités ciblées. La CNIL, Commission nationale de l’informatique et des libertés, met elle aussi en garde contre les assistants vocaux. Elle les décrit comme des dispositifs pouvant entraîner une transmission involontaire de données personnelles et souligne que les utilisateurs leur fournissent parfois des informations sensibles sans même s’en rendre compte.

Enfin, le lieu exact du stockage de ces données et la possibilité de leur transfert hors Union européenne, notamment aux États-Unis, renforce également les inquiétudes juridiques. Même si Apple se présente comme un acteur exemplaire en matière de protection de la vie privée, ce règlement amiable combiné aux révélations du lanceur d’alerte invitent à une lecture prudente et critique de ces engagements. L’enquête judiciaire française devrait précisément déterminer si cette promesse de confidentialité s’avère effective ou s’il s’agit d’un argument de communication.

Sources :