Données de santé et fitness : ce que les applications peuvent déduire au-delà du nombre de pas

En bref

Une application de suivi de santé ou de fitness ne se contente pas de compter vos pas. Elle peut, par croisement de données, déduire votre localisation précise, vos cycles de sommeil, voire des informations médicales sensibles. Ce texte sépare trois couches distinctes : les données brutes captées par l’appareil, les autorisations (permissions) accordées par l’utilisateur, et le partage de ces informations avec des tiers.

Ce qui suit n’est pas un avis juridique ni un mode d’emploi pour contourner les règles de confidentialité. Il s’agit de décrire le mécanisme tel qu’il est rapporté par des investigations récentes aux États-Unis. La distinction est cruciale : ce qui est confirmé par des textes de loi (comme le RGPD en Europe) ne s’applique pas forcément aux applications américaines, où le cadre est différent.

Le mécanisme

Le fonctionnement repose sur une chaîne de trois maillons.

D’abord, l’appareil (téléphone ou objet connecté) génère des données brutes : fréquence cardiaque, température corporelle, coordonnées GPS, historique de navigation. Ces données sont techniques par nature.

Ensuite, l’application demande des autorisations. L’utilisateur clique souvent sur « Autoriser » sans lire les détails. Ces permissions permettent à l’application d’accéder non seulement aux capteurs, mais aussi à d’autres zones du téléphone (contacts, micro, historique).

Enfin, le partage. C’est ici que le mécanisme devient opaque. Les données collectées peuvent être transmises à des tiers (réseaux publicitaires, sous-traitants techniques) pour de la publicité ciblée ou de l’analyse de marché.

Selon les avocats cités par ClassAction.org, certaines applications de santé aux États-Unis utiliseraient des outils de traçage pour collecter des détails sur les utilisateurs et les partager avec des tiers à des fins publicitaires, parfois sans consentement explicite. Le mécanisme ne repose pas sur une faille de sécurité, mais sur une logique de business : la donnée de santé est une donnée comportementale précieuse.

Ce qui est sourcé

Plusieurs investigations récentes pointent des pratiques spécifiques.

Des avocats travaillant avec ClassAction.org estiment que certaines applications de santé et de bien-être violeraient les lois sur la vie privée en partageant secrètement des informations personnelles. Parmi les entités concernées par ces allégations figurent des marques connues comme MyFitnessPal, Oura Ring, Eden Health, Natural Cycles ou Weight Watchers.

Pour MyFitnessPal, les avocats suspectent une violation de la loi californienne sur la confidentialité des informations médicales. L’application Android pourrait transmettre des informations de santé personnelles à des tiers pour la publicité et le marketing, sans le consentement de l’utilisateur.

Pour Oura, malgré des affirmations de conformité aux lois européennes strictes (RGPD), les avocats soupçonnent que l’entreprise pourrait envoyer des informations personnelles et liées à la santé à des annonceurs tiers sans consentement.

Pour Eden Health, fournisseur de hormones et de suppléments, les soupçons portent sur le partage de données sensibles (données médicales, identifiants personnels, informations de téléconsultation) avec des plateformes publicitaires comme Meta ou TikTok.

Ces allégations concernent des pratiques de traçage et de partage de données. Elles ne signifient pas nécessairement que chaque utilisateur a été lésé, mais elles indiquent un risque systémique dans la façon dont ces applications traitent les données de santé.

Nuance

Il est important de ne pas confondre les cadres juridiques.

Le RGPD (Règlement général sur la protection des données), dont les principes sont expliqués par la CNIL en France, impose des règles strictes : base légale, durée de conservation limitée, anonymisation, et droits des personnes. Ces règles s’appliquent aux traitements de données de résidents de l’Union européenne.

Cependant, aux États-Unis, le paysage est fragmenté. Il n’existe pas de loi fédérale unique couvrant toutes les données de santé des consommateurs de la même manière que le RGPD. Certaines lois étatiques (comme en Californie) offrent des protections, mais elles ne sont pas uniformes.

De plus, la notion de « consentement » peut varier. Une politique de confidentialité longue et complexe peut techniquement valider le partage de données aux yeux de la loi, même si l’utilisateur ne l’a pas lue.

Enfin, la sécurité technique diffère. Une enquête de l’EFF (Electronic Frontier Foundation) publiée en juillet 2026 a révélé que la plupart des fabricants d’objets connectés de santé ne chiffrant pas les données de bout en bout. Cela signifie qu’une simple assignation (subpoena) des forces de l’ordre pourrait permettre l’accès aux données de fréquence cardiaque, de sommeil ou de GPS, car elles ne sont pas protégées par un cryptage inaltérable.

Et ensuite

La situation actuelle montre une tension entre l’usage quotidien des outils de bien-être et la protection de la vie privée.

Les utilisateurs peuvent vérifier les permissions accordées à leurs applications dans les paramètres de leur appareil. Ils peuvent également consulter les politiques de confidentialité, bien que cela demande du temps.

Des initiatives comme l’application « Permission Slip », développée par Consumer Reports et acquise par DeleteMe en 2026, visent à aider les consommateurs à exercer leurs droits de suppression de données et de désabonnement.

Cependant, la transparence reste inégale. Seules certaines entreprises publient des rapports de transparence sur les demandes de données par les forces de l’ordre. La plupart des autres ne répondent pas aux questions posées par les organisations de défense des droits numériques.

Le mécanisme de base reste le même : plus une application sait de choses sur vous, plus elle peut vous cibler. La question n’est pas de savoir si les données sont « volées », mais si elles sont « échangées » dans le cadre de modèles économiques qui valorisent l’information de santé.

Pour aller plus loin

• Le règlement général sur la protection des données - RGPD | CNIL : Pour comprendre les principes de base de la protection des données en Europe et les droits des personnes.
• Intelligence artificielle et données personnelles | CNIL : Pour explorer les enjeux liés aux nouvelles technologies et à l’analyse de données de santé.
• Health Data Privacy Investigations | ClassAction.org : Pour consulter la liste des applications de santé actuellement sous investigation pour partage de données aux États-Unis.