Suivi d’habitudes et vie privée : ce qu’il faut vérifier avant de noter ta vie dans une app

Pense à ce qu’une année de suivi dit de quelqu’un. « Pas d’alcool », avec une série qui casse tous les vendredis. Une coche quotidienne pour un médicament. Les heures de coucher. Une note d’humeur qui plonge chaque février. « Cigarettes : 4. » Pris isolément, rien n’a l’air grave, mais l’ensemble se lit comme un dossier médical. Et dans beaucoup d’apps, ce dossier se trouve sur un serveur que tu n’as jamais vu, à côté de ton adresse e-mail.

Ce guide sert à savoir où part ce dossier. Il ne nomme ni ne note aucune app de suivi d’habitudes. Il décrit ce qui a mal tourné dans les apps de santé et de bien-être en général, ce que l’étiquette de confidentialité de l’App Store dit ou ne dit pas, et comment comparer une app synchronisée dans le cloud avec une app qui garde tout sur le téléphone.

Pourquoi tes habitudes sont des données de santé

Le droit européen traite déjà une bonne partie de ces informations comme un cas à part. Pour le RGPD, les données concernant la santé et celles concernant la vie sexuelle ou l’orientation sexuelle d’une personne sont des catégories particulières de données à caractère personnel (RGPD, art. 9) : leur traitement est interdit, sauf dans une courte liste d’exceptions, la plus courante étant le consentement explicite pour une finalité précise. Une habitude intitulée « prendre l’antidépresseur » n’a rien d’un podomètre. Savoir si une entrée donnée est juridiquement une donnée de santé dépend du contexte, mais ceux qui ont rédigé ce texte pensaient exactement à ce genre d’informations.

Aux États-Unis, le tableau est plus morcelé. En avril 2024, la Federal Trade Commission a mis à jour sa Health Breach Notification Rule (FTC, 2024) pour préciser qu’elle s’applique aux apps de santé et technologies similaires non couvertes par l’HIPAA. Elle considère désormais comme une « violation de sécurité » la divulgation non autorisée d’informations de santé identifiables, pas seulement un piratage.

Ce qui a déjà mal tourné avec les apps de santé

Les cas ci-dessous concernent des apps de suivi du cycle, d’ordonnances et de thérapie, pas des apps d’habitudes. Ils comptent quand même, parce que le mécanisme est celui que n’importe quelle app peut utiliser : un kit logiciel d’une société d’analyse ou de publicité, intégré à l’app, qui rapporte discrètement ce que tu fais.

• Flo Health (2021). Selon la FTC, l’app de suivi du cycle et de l’ovulation, utilisée par plus de 100 millions de personnes, promettait de garder les données de santé privées, puis les a partagées, y compris le fait qu’une utilisatrice était enceinte, avec les divisions d’analyse de Facebook et de Google et d’autres sociétés de marketing et d’analyse, via des « app events ». L’accord a obligé Flo à obtenir le consentement avant tout partage de données de santé et à demander aux destinataires de détruire ce qu’ils avaient reçu (FTC, 2021).
• GoodRx (2023). Le premier dossier de la FTC fondé sur la Health Breach Notification Rule. Le reproche : le service de réductions sur les médicaments a partagé les traitements et les problèmes de santé de ses utilisateurs avec Facebook, Google, Criteo et d’autres, et a téléversé en 2019 sur Facebook les coordonnées de personnes ayant acheté des médicaments pour le cœur et la tension, afin de leur montrer des publicités ciblées. GoodRx a accepté une amende civile de 1,5 million de dollars (FTC, février 2023).
• BetterHelp (2023). Le service de thérapie en ligne aurait transmis des adresses e-mail, des adresses IP et les réponses à un questionnaire de santé (avec des questions sur la dépression, les idées suicidaires et les médicaments) à Facebook, Snapchat, Criteo et Pinterest à des fins publicitaires. Il a accepté de payer 7,8 millions de dollars pour des remboursements partiels (FTC, mars 2023).

Les chercheurs retrouvent le même schéma quand ils testent eux-mêmes les apps. Grundy et ses collègues (2019) ont fait tourner en laboratoire 24 apps Android bien notées liées aux médicaments, les ont remplies de fausses données et ont observé le trafic réseau.

Ces destinataires affirmaient en plus pouvoir transmettre des données à 216 autres sociétés, les « fourth parties ». La conclusion des auteurs : le partage de données est « routinier, mais loin d’être transparent ». Quand l’équipe *Privacy Not Included de Mozilla a passé en revue 32 apps de santé mentale et de prière en 2022, 28 ont reçu son avertissement sur la vie privée et 25 n’atteignaient pas ses normes minimales de sécurité (Mozilla Foundation, 2022). Un an plus tard, près d’un tiers s’était amélioré, 40 % s’étaient dégradées et 59 % des apps examinées ont reçu l’avertissement (Mozilla Foundation, 2023).

Suivi d’habitudes et vie privée : sept points à vérifier

Tout se fait depuis la fiche App Store et la politique de confidentialité, avant même d’installer quoi que ce soit.

1. Faut-il un compte ? Un compte relie tes entrées à une adresse e-mail et signifie en général qu’une copie existe sur les serveurs de l’éditeur. Se connecter peut valoir le coup pour la synchronisation, mais une app qui refuse de démarrer sans compte collecte déjà quelque chose dès la première minute.
2. Où sont stockées les données ? Cherche une phrase claire dans la politique : uniquement sur l’appareil, sur les serveurs de l’éditeur ou synchronisées via ton propre iCloud. Si elles sont sur leurs serveurs, regarde s’il est écrit « chiffrées de bout en bout » (ils ne peuvent pas les lire) ou seulement « chiffrées », ce qui peut vouloir dire qu’ils détiennent les clés.
3. Quels tiers sont dans l’app ? Cherche dans la politique « analyse », « publicité », « partenaires » et « SDK ». Chaque SDK d’analyse ou de publicité, c’est une société de plus dont le code tourne dans l’app, exactement la voie décrite dans la plainte contre Flo.
4. Que dit l’étiquette de confidentialité ? Pour une app proche de la santé, lis d’abord « Données utilisées pour vous suivre ». Toute donnée de santé, de forme physique ou sensible listée dans « Données liées à vous » quitte ton téléphone rattachée à ton identité. Plus de détails sur l’étiquette plus bas.
5. Quelles autorisations demande-t-elle ? Une app d’habitudes a besoin des notifications pour les rappels. La localisation, les contacts ou tes données Santé devraient venir avec une raison qui te convainc.
6. Peux-tu tout exporter ? Un export lisible (CSV ou JSON) te permet de partir sans perdre des années d’historique. Sans export, en pratique, ton journal appartient à l’app.
7. Peux-tu tout effacer ? Supprimer l’app ne vide que le téléphone. S’il y a un compte, cherche « supprimer le compte » dans l’app et une phrase indiquant que les copies sur les serveurs et dans les sauvegardes sont supprimées aussi. Dans l’UE, le RGPD te donne en plus un droit à l’effacement.

Une clause de plus à parcourir : celle sur les fusions et acquisitions. Elle te dit si tes entrées partiraient chez l’acheteur en cas de vente de l’entreprise.

Comment lire l’étiquette de confidentialité de l’App Store, et ses limites

Sur la fiche d’une app dans l’App Store, la section « Confidentialité de l’app » range les données sous quatre rubriques au maximum. Le résumé d’Apple (Apple, étiquettes de confidentialité) les définit à peu près ainsi :

• Données utilisées pour vous suivre : combinées avec des données d’apps, de sites ou de sources hors ligne d’autres sociétés pour de la publicité ciblée, ou partagées avec un courtier en données.
• Données liées à vous : collectées d’une façon rattachée à ton identité, via ton compte, ton appareil ou des informations comme ton numéro de téléphone.
• Données non liées à vous : collectées, mais sans identifiants et sans être rattachées à toi ensuite.
• Aucune donnée collectée : le développeur affirme que l’app ne collecte aucune donnée.

Les définitions sont plus strictes qu’elles n’en ont l’air. Apple explique aux développeurs que « collecter » signifie envoyer des données hors de l’appareil et les garder plus longtemps que nécessaire pour traiter la requête, que les données traitées uniquement sur l’appareil ne comptent pas, et que l’étiquette doit inclure ce que collectent les SDK tiers (Apple, détails de confidentialité). Une app qui embarque des SDK publicitaires ne peut donc pas afficher honnêtement « Aucune donnée collectée ».

Tout tient dans ce « honnêtement ». Apple indique clairement que ces informations sont déclarées par le développeur lui-même. Quand Koch et ses collègues (2022) ont capturé le trafic réseau de 1 687 apps de l’App Store allemand, au moins 276 envoyaient des données que leur étiquette ne déclarait pas, ce qui laisse penser que l’exactitude de l’étiquette n’est pas contrôlée lors de la validation. Considère l’étiquette comme une déclaration signée du développeur. Une étiquette pleine de suivi est un signal d’alarme fiable ; une étiquette propre est bon signe, à condition que la politique de confidentialité aille dans le même sens.

Sur l’appareil ou dans le cloud : ce que tu gagnes, ce que tu perds

La synchronisation dans le cloud règle de vrais problèmes. Ton historique te suit sur un nouveau téléphone ou une tablette, il survit à un téléphone tombé au fond d’un lac, et tu ne penses jamais aux sauvegardes. Le prix, c’est une deuxième copie, lisible par l’éditeur si elle n’est pas chiffrée de bout en bout, qui peut fuiter lors d’une faille, être partagée selon une politique modifiée plus tard ou être vendue avec l’entreprise.

Garder les données uniquement sur le téléphone supprime cette copie, et avec elle la plupart des chemins par lesquels les cas ci-dessus ont mal tourné. Mais la responsabilité te revient, et autant le dire franchement :

• Si tu perds ou casses ton téléphone sans sauvegarde, l’historique est perdu. Personne ne peut le récupérer pour toi.
• Supprimer l’app supprime en général ses données.
• Il n’y a pas de synchronisation automatique entre ton téléphone et un autre appareil.
• Les sauvegardes sont ton affaire : la sauvegarde du téléphone lui-même ou un export manuel auquel il faut penser.

Sache aussi ce qu’est vraiment la sauvegarde de ton téléphone. Sur iPhone, les données locales d’une app sont normalement incluses dans la sauvegarde iCloud ou sur ordinateur. Avec la « protection standard des données » d’Apple, activée par défaut, la sauvegarde iCloud est chiffrée, mais les clés sont conservées dans les centres de données d’Apple ; elle n’est chiffrée de bout en bout qu’avec la protection avancée des données activée (Apple, sécurité des données iCloud). C’est une autre décision de confiance que le serveur d’un éditeur d’app, puisque tu fais déjà confiance à Apple pour le téléphone lui-même, mais ce n’est pas « personne ne pourra jamais les voir ».

Une règle simple : plus les habitudes sont sensibles, plus il est logique de les garder sur l’appareil, avec un export régulier rangé dans un endroit que tu contrôles. Si tu suis ta consommation d’eau et ta lecture, le confort de la synchro peut l’emporter. Si tu suis l’alcool, les médicaments ou l’humeur, sans doute pas.

Ce que cette checklist ne peut pas te dire

Lire l’étiquette et la politique te dit ce qu’une entreprise affirme. Seule une analyse de trafic comme celles de Grundy ou de Koch montre ce qu’une app envoie vraiment, et peu de gens en feront une chez eux. La recherche a aussi ses angles morts. L’étude de Grundy portait sur 24 apps Android d’une seule catégorie, testées en laboratoire avec de faux utilisateurs. Les évaluations de Mozilla concernent des apps de santé mentale et de prière, pas des apps d’habitudes, et reposent en partie sur les réponses des entreprises. Les dossiers de la FTC sont des accusations réglées par des accords : ils montrent ce qui peut arriver, pas à quelle fréquence.

Et les politiques changent. Une app propre aujourd’hui peut ajouter un SDK avec la mise à jour du mois prochain, et l’étiquette ne change que quand le développeur la met à jour. Revérifier une fois par an, ou quand une app te demande soudain de créer un compte, est déjà une bonne habitude.

La vie privée est une raison de choisir une app. Savoir si le suivi d’habitudes aide vraiment est une autre question, traitée dans le suivi d’habitudes, ça marche ?, et la façon dont l’app traite un jour manqué compte aussi : voir ce qu’un jour manqué fait à ta série.