Cette consultation porte en particulier sur les principes de sécurité à mettre en oeuvre dans les applications RFID et sur les règles d'utilisation des données personnelles issues de la technologie RFID, pour assurer un cadre de respect de la vie privée des utilisateurs.

Une des réelles questions (indirecte) que pose cette consultation est la désactivation de la puce RFID une fois que le produit que vous venez d'acheter quitte le magasin !  

De nombreux experts de la RFID et organisations (comme ePC / GS1, ...) préconise la désactivation de la puce RFID lors su passage du produit en caisse. En effet l'avantage de cette preconisation est de laisser toute liberté aux industriels et aux distributeurs d'utiliser le potentiel de la technologie RFID pour la traçabilité du produit, de la production aux magasins, tout en préservant le respect de la vie privée des consommateurs.

Car ne l'oublions pas, nous sommes tous potentiellement demain des utilisateurs d'applications intégrant la technologie RFID. 

Alors,  avant de parler de Big Brother ou de Small Brother ...  Profesionnel de la RFID ou non ... Nous ne pouvons que recommander de prendre quelques minutes de votre temps pour donner votre avis sur la RFID telle que vous voudriez la voir utiliser demain, en commentant les 12 points abordés dans cette consultation de l'Union Européenne (en Anglais uniquement).

La technologie RFID (identification par radiofréquence) n'est pas encore assez sophistiquée pour constituer une menace à l'encontre de notre vie privée. Toutefois, il pourrait en être autrement dans un tout proche avenir, et il convient de mettre en place des mesures visant à protéger les données nominatives et à garantir la liberté personnelle lorsque ce changement se produira, selon le comité d'évaluation des options scientifiques et technologiques (STOA) du Parlement européen.

Les étiquettes RFID sont des puces miniatures en plastique ou même en papier. Raccordées à une antenne, elles émettent un numéro de série unique, par radio, sur de courtes distances. Jusque récemment, la RFID était principalement utilisée dans la chaîne logistique, pour suivre les véhicules entre les dépôts et les palettes de marchandises depuis les entrepôts jusqu'en magasins.

Les promoteurs de la technologie RFID mettent à présent les bouchées doubles. Les étiquettes peuvent être incorporées dans n'importe quel bien de consommation et scannées à une distance allant de 3 à 50 mètres, révélant des informations sur le produit. Permettant également d'identifier les individus, cette technologie a abouti à la mise au point de cartes d'usager de transports publics, de passeports biométriques, de systèmes de micropaiement, de tokens d'identification dans les bureaux et de cartes de fidélité.

À travers une série d'études de cas, les chercheurs mandatés par le STOA ont pu inventorier la manière dont la RFID était perçue par les consommateurs et ceux qui exploitent cette technologie. Ils ont établi que les consommateurs voient généralement dans la technologie RFID un peu plus qu'une clé électronique, les propriétaires des systèmes y discernant quant à eux une possibilité de recenser les mouvements, le pouvoir d'achat, la productivité, les préférences et les habitudes des utilisateurs.

Cet accès à des informations personnelles a soulevé des préoccupations chez nombre de défenseurs attentifs de la protection des consommateurs, qui ont soutenu que le déploiement de cette technologie pourrait sérieusement porter atteinte à l'intimité des gens. Les chercheurs ont relevé plusieurs cas d'usage abusif de données personnelles. L'un d'entre eux impliquait des données portant sur des déplacements, utilisées lors d'une enquête de police. Le contexte du bureau a également fourni des exemples intéressants: des employés qui n'avaient d'autre choix que d'utiliser les articles contenant des puces RFID offerts par leurs employeurs étaient susceptibles de voir leurs faits et gestes «horodatés» ou d'être épiés au prétexte de surveillance antivol.

Toutefois, les auteurs de l'étude ont également mis en évidence les profits que les utilisateurs pouvaient retirer de l'usage de la RFID. Être identifié comme un client fidèle ou pouvoir démontrer combien d'heures supplémentaires l'on accomplit en tant que salarié n'en constituent que deux exemples.

Conscients de la nécessité de mener une étude plus approfondie pour tirer des conclusions fiables, les auteurs indiquent néanmoins que cette moisson préliminaire révèle un nombre assez bas d'incidents liés à l'usage frauduleux de données nominatives. La raison en est double. En premier lieu, la question de savoir qui gérait les données et devait se plier aux directives relatives à leur protection était parfaitement tranchée dans tous les cas. En second lieu, de nombreux systèmes RFID ne sont guère sophistiqués et ne peuvent dévoiler que des informations fragmentaires sur l'identité de leurs utilisateurs.

Compte tenu de l'essor rapide des systèmes RFID, les auteurs de l'étude suggèrent néanmoins qu'il va devenir plus facile d'agréger et d'analyser des données concernant les utilisateurs. D'autre part, une fois que les différents systèmes RFID auront été connectés les uns aux autres, ou à d'autres technologies telles que GSM, GPS, CCTV et l'internet, on disposera d'une image plus «riche» de leurs utilisateurs. Ce qui permettrait aux propriétaires de systèmes RFID de livrer des données personnelles dans le cadre d'enquêtes de police.

Dans le même temps, il va devenir de moins en moins évident pour les utilisateurs de savoir qui gère effectivement leurs données, et au sein de quels systèmes, ce qui va bouleverser l'équilibre du pouvoir dans l'espace public numérique. Il n'en va pas seulement de la vie privée ou des données nominatives, mais également de la garantie de la liberté personnelle via un juste équilibre entre choix, commodité et contrôle, soutiennent les auteurs de l'étude.

Les chercheurs concluent sur les recommandations suivantes:

- les utilisateurs RFID doivent savoir ce que les propriétaires de tels systèmes sont en mesure et en droit de faire de leurs données;
- les utilisateurs RFID doivent jouer un rôle dans la conception de nouveaux environnements RFID;
- en cas de fusion de données personnelles provenant de différents systèmes RFID, il importe de savoir clairement à qui incombe la responsabilité du traitement de ces dernières;
- les directives sur la protection de la vie privée et les concepts de données nominatives et d'autodétermination en matière d'informations doivent être reconsidérés à la lumière d'un environnement de plus en plus interactif;
- les gouvernements doivent prendre clairement position sur l'exploitation des données RFID brutes à des fins d'enquête.

Au cours des deux prochaines années, la Commission continuera à étudier les possibilités offertes pour lever les inquiétudes et résoudre les problèmes actuels, en tenant compte des discussions avec les parties concernées. Dans certains domaines, comme ceux du spectre radioélectrique, de la recherche et de l'innovation, et de la normalisation, la Commission poursuivra les initiatives en cours en collaboration et concertation avec les intéressés. Dans d'autres domaines, en particulier celui de la sécurité, du respect de la vie privée et des autres problèmes politique posés par la transition de la RFID à l'"Internet des objets", s'il est possible de planifier certaines étapes concrètes d'ici à la fin 2007, il faut qu'un débat plus approfondi s'instaure entre les parties concernées pour affiner l'analyse des actions de suivi.

À cet égard, la Commission constituera dès que possible, et pour une durée de deux ans, un Groupe des parties intéressées par la RFID dont la composition sera équilibrée. Ce groupe offrira une plateforme ouverte permettant le dialogue entre organisations de consommateurs, acteurs économiques et autorités nationales et européennes, y compris celles chargées de la protection des données, afin de mieux comprendre les craintes suscitées par les questions susmentionnées et de prendre des mesures coordonnées en la matière. Il soutiendra également la Commission dans ses efforts pour promouvoir des campagnes de sensibilisation, au niveau des gouvernements et de la population, concernant les possibilités et les défis que représente la RFID.

Sur le plan international, la Commission développera aussi ses contacts avec les administrations des pays tiers, en particulier aux États-Unis et en Asie, dans le but de parvenir à une interopérabilité mondiale sur la base de normes internationales ouvertes,

 Sécurité de la RFID et respect de la vie privée

Il vaut mieux intégrer des fonctions de sécurité et de respect de la vie privée dans les systèmes d'information RFID avant leur diffusion généralisée ("sécurité et respect de la vie privée assurés dès la conception") plutôt que de devoir s'en préoccuper après coup. Les exigences des parties directement impliquées dans la configuration du système d'information RFID (organisations commerciales, administrations publiques, hôpitaux) comme des utilisateurs finaux qui font l'objet du système (particuliers, consommateurs, patients, employés) doivent être prises en considération au moment de la conception du système. Comme les utilisateurs finaux ne sont en tout état de cause pas impliqués dans le processus de conception de la technologie, la Commission soutiendra l'élaboration d'un ensemble d'orientations spécifiques aux applications (code de conduite, bonnes pratiques) par un groupe restreint d'experts représentant toutes les parties. À cette fin, toutes les activités et initiatives relatives à la sécurité seront menées conformément à la stratégie pour une société de l'information sûre définie dans le document COM(2006) 251.

D'ici à la fin 2007, la Commission publiera une recommandation énonçant les principes que les pouvoirs publics et autres parties concernées devront appliquer en matière d'utilisation de la RFID. En outre, la Commission étudiera également la possibilité d'ajouter des dispositions appropriées à la prochaine proposition de modification de la directive Vie privée et communications électroniques et, parallèlement, prendra en compte les éléments d'information fournis par le futur Groupe des parties intéressées par la RFID, le Groupe de travail sur la protection des données et d'autres initiatives comme le Groupe européen d'éthique des sciences et des nouvelles technologies. Sur cette base, la Commission examinera la nécessité de prendre de nouvelles mesures législatives afin de garantir la protection des données et de la vie privée. 

Spectre radioélectrique

Les résultats de la consultation publique montrent que les participants estiment, dans leur majorité, que la décision de la Commission sur les fréquences RFID est suffisante pour créer un environnement favorable au déploiement initial des systèmes RFID utilisant la bande UHF.

Toutefois, les entreprises étudient actuellement d'autres exigences à long terme pour des fréquences supplémentaires. Au cas où le besoin de fréquences supplémentaires se ferait sentir, la Commission peut, dans le cadre des pouvoirs que lui confère la décision Spectreradioélectrique , affecter aux RFID de nouvelles fréquences harmonisées dans la Communauté. 

Politique de recherche et d’innovation

La technologie RFID est un domaine qui donne toujours lieu à une intense activité de recherche et développement. La réduction du coût des étiquettes passives à moins de 1 centime, qui en conditionne la diffusion massive, implique des recherches selon deux orientations complémentaires: la miniaturisation accrue des puces de silicium par des  innovations au niveau de la conception et de l'assemblage; la recherche sur des matériaux organiques sans silicium qui permettent de produire des étiquettes RFID imprimables. Il est également nécessaire de développer la recherche sur la sécurité (authentification, chiffrement) et les grandes mémoires réinscriptibles. En effet, les futures applications nécessiteront de plus grandes mémoires, des moteurs de chiffrement plus complexes, des capacités de mise en réseau active, des capteurs intégrés et des techniques de contrôle de puissance .

Dans le programme de travail 2007-08 consacré aux TIC au titre du 7 programme-cadre (2007-2013), sont recensés quatre défis qui font référence aux RFID dans diverses situations (soins de santé, véhicules intelligents et systèmes de mobilité, micro et nanosystèmes, électronique organique et réseaux futurs) ainsi qu'à la plateforme eMobility . À l'avenir, la Commission encouragera la recherche sur la sécurité des systèmes RFID, notamment sur les protocoles de sécurité légers et les mécanismes perfectionnés de distribution de clé, afin de prévenir les attaques visant directement l'étiquette, le lecteur et la communication étiquette-

Le Groupe de travail article 29 a constitué un sous-groupe consacré à la RFID afin d'analyser le concept de "données à caractère personnel" et la mesure dans laquelle les RFID sont couverts par la directive Vie privée et communications électroniques. S'il le juge nécessaire, le Groupe de travail peut faire des propositions sur le type d'amendements qu'il convient d'apporter à la directive ou sur les autres mesures

susceptibles de combler des lacunes en matière de protection des données.

 Compte tenu des résultats de la consultation européenne, la Commission soutiendra aussi le développement des technologies de protection de la vie privée comme moyen de limiter les risques en la matière.

Comme la dynamique de développement de la RFID varie considérablement d'un domaine d'application à l'autre et que les expériences sont encore rares, le niveau de perception des avantages escomptés et des risques éventuels est peu élevé et les obstacles rencontrés dans un domaine d'application donné sont nombreux. En Europe, la plupart des pays n'ont qu'une expérience limitée de la mise en œuvre de la RFID. Pour améliorer la situation, il est nécessaire de procéder à une évaluation globale et approfondie de cette mise en œuvre, par des projets pilotes à grande échelle dans des domaines d'application précis, en tenant compte des aspects techniques, organisationnels, sociétaux et juridiques, comme condition préalable à l'adoption généralisée de la technologie.

Normalisation

Au niveau européen, le groupe compétent du Comité européen de normalisation (CEN) contribue à l'élaboration de normes internationales relatives à l'identification automatique et aux technologies de saisie des données, et participe activement aux travaux du groupe de travail concerné de l'Organisation internationale de normalisation. L'Institut européen des normes de télécommunications (ETSI) a mis au point des normes spécifiques aux RFID

utilisant la bande UHF, ainsi que des normes génériques concernant les dispositifs à courte portée (SRD) applicables à l'équipement LF, HF et hyperfréquence qui peut être utilisé pour la RFID.

La Commission invite les organismes européens de normalisation, en coopération avec les

forums et consortiums industriels concernés, à faire en sorte que les normes internationales et européennes répondent aux exigences de l'Europe (notamment en matière de respect de la vie privée, de sécurité, de DPI et d'autorisations), à recenser les lacunes dans ce domaine et à prévoir le cadre approprié à l'élaboration de futures normes RFID. À cet égard, il est capital

que les initiatives normatives obéissent à des règles garantissant l'équité et la transparence des procédures ainsi que la divulgation préalable de la propriété intellectuelle.

Les activités de normalisation s'accompagneront d'un dialogue international entre la Commission et ses homologues aux États-Unis, en Chine, en Corée et au Japon afin de déterminer s'il est nécessaire et souhaitable de collaborer à l'élaboration de normes dans certains domaines d'application (par exemple sécurité des conteneurs, contrefaçon, transports aériens, produits pharmaceutiques).

La commission européenne a formellement adopté deux plages de fréquences UWB (Bande ultralarge) allant de 3,4 à 4,8 GHz et de six à 8,5 GHz, c'est deux bandes devant être respectivement utilisées par les membres de la communauté. Ceci risque de poser quelques problèmes de limitation de fréquences pour certains acteurs de ce marché, lesquels de ce fait devront modifier leurs produits pour répondre à ces limitations. Les 27 membres de l'union ont six mois pour ratifier cette décision.

Ce qu'il convient de noter en premier lieu, c'est que ces bandes de fréquences sont été avant tout attribuése à l'usage de tags et capteurs RFID UWB, n'est pas seulement, puisque certaines applications (réseaux, ustensiles WB) pourront également utiliser ces plages.

Rappelons que l'UWB est une technologie sans fil à l'origine destinée à transmettre des données sur de petites distances. À la différence des signaux RFID HF et UHF, qui opèrent sur une bande de fréquences très étroites, les appareils UWB transmettent sur un spectre plus large pour une faible consommation d'énergie, ce qui peut poser certains problèmes d'interférences avec d'autres technologies. L'European Conference of Postal and TelecommunicationsAdministrations (CEPT) a entrepris des recherches sur cette technologie dans le cadre d'un mandat qui lui était confié par la commission européenne. La CEPT a ainsi examiné un ensemble de conditions techniques en fonction de règles de compatibilité afin de démontrer comment les transmissions UWB pouvait éventuellement affecter d'autres utilisations du même spectre.

La décision de la commission est en fait une bonne nouvelle aussi bien pour les utilisateurs finaux que pour les acteurs de ce marché. Certains, tel le fabricant britannique Ubisense, ont applaudi des deux mains. Cette société commercialise un système de localisation temps réel qui opère dans la plage de 5,8 à 7,2 GHz. Comme le souligne son vice président développement : « cette décision va surtout de permettre de vendre nos produits sans devoir à un chaque fois obtenir une licence de fréquences pays par pays». Toutefois pour certains autres fabricants de systèmes UWB, cette ouverture du spectre va nécessiter une certaine transition. En effet, certains dispositifs opèrent dans la bande des 5,925 à 7,250 guerres se, il s'agit principalement de produits américains qui devront donc s'adapter en termes de bande pour pouvoir être compatible avec les fréquences européennes. Parmi ces systèmes, outre des solutions RTLS, on note pas mal de systèmes RFID.

  Selon la décision de la Commission Européenne relative à l'harmonisation du spectre radioélectrique pour les dispositifs d'identification par radiofréquence (RFID) utilisant la bande UHF (en date du 23 novembre 2006) , des conditions harmonisées de disponibilité du spectre radioélectrique sont nécessaires et la sécurité juridique doit être garantie pour que l'identification de produits comportant de tels dispositifs ou que les services liés à la RFID puissent fonctionner partout en Europe. En favorisant les économies d'échelle et l'utilisation transfrontières, le bon fonctionnement du marché intérieur contribuera ainsi au succès rapide de la technologie RFID.