Oura reconnaît recevoir des demandes de données gouvernementales mais fait face à des questions sur leur publication
Le fabricant finlandais de bagues connectées Oura a confirmé pour la première fois officiellement qu'il reçoit des demandes de données utilisateurs de la part de gouvernements. L'entreprise l'a indiqué la semaine dernière dans une réponse envoyée à la publication sœur de TechCrunch, This Week in Security. La question de savoir si l'entreprise publiera ces demandes dans un rapport de transparence chiffré reste néanmoins ouverte.
Oura est connue pour son produit de bague connectée qui collecte des données biométriques. Les bagues, utilisées pour le suivi des indicateurs de santé et de sommeil, collectent en continu la température corporelle, le rythme cardiaque, la saturation en oxygène, le mouvement et les schémas de sommeil. La base d'utilisateurs mondiale de l'entreprise dépasse 2,5 millions.
En réponse aux questions de This Week in Security, un porte-parole d'Oura a déclaré : 'Notre entreprise a l'obligation de répondre aux demandes de données formulées dans les cadres juridiques applicables. Dans ce processus, le maintien de la vie privée et des droits des utilisateurs au plus haut niveau est notre priorité.' Le porte-parole n'a toutefois pas partagé de données spécifiques sur le nombre de demandes reçues ni sur celles qui ont été approuvées.
La politique de confidentialité de l'entreprise contenait déjà la mention que 'le partage de données peut intervenir en vertu d'une procédure légale applicable', mais il n'y avait pas de confirmation explicite que des demandes gouvernementales avaient effectivement été reçues. La déclaration d'Oura cette semaine est sa première déclaration ouverte.
Le sujet a émergé à la suite de l'annonce du dépôt d'introduction en Bourse d'Oura. L'entreprise a déposé une demande d'IPO auprès de la SEC le 22 mai, avec une valorisation attendue de 6 milliards de dollars. Les documents déposés à la SEC mentionnent les politiques de données des utilisateurs parmi les facteurs de risque.
La porte-parole de l'Electronic Frontier Foundation (EFF) Eva Galperin a qualifié la divulgation d''étape importante', ajoutant : 'Mais une véritable transparence exige une déclaration chiffrée. Apple, Google, Meta, Twitter — tous les grands acteurs du secteur publient des rapports semestriels avec le nombre de demandes gouvernementales et leurs taux de conformité. Oura devrait adopter la même norme.'
Cette pratique industrielle s'est développée parallèlement au mouvement des 'rapports de transparence' de la période 2010-2014. Google avait publié son premier rapport de transparence en 2010 ; Apple, Microsoft et Meta ont suivi les années suivantes. Ces rapports semestriels incluent, par pays de demande gouvernementale, le nombre de demandes reçues, le nombre de demandes de retrait de contenu et les taux de conformité.
Ce qui frappe dans la situation spécifique d'Oura est le caractère sanitaire-biométrique des données qu'elle collecte. Les schémas de sommeil, la variabilité du rythme cardiaque et les données de température corporelle portent des informations plus sensibles que les métadonnées de communication ordinaires. Le professeur d'informatique de santé de la Yale School of Medicine Dr Karandeep Singh a déclaré : 'Les données biométriques permettent de faire des inférences sur l'état médical d'une personne ; il s'agit d'une catégorie qui, sur le plan juridique et éthique, doit être protégée selon des standards plus élevés.'
Dans les cadres américain et européen de protection des données, les données biométriques relèvent de 'catégories particulières'. L'article 9 du Règlement général européen sur la protection des données (RGPD) soumet le traitement des données biométriques à un consentement particulier. Aux États-Unis, il n'existe pas de loi fédérale sur les données biométriques ; les réglementations au niveau des États (comme la BIPA de l'Illinois) varient.
De la part d'Oura, on attend des divulgations plus complètes sur la vie privée avant l'introduction en Bourse. Les investisseurs disposeront d'informations plus détaillées après le dépôt du document S-1 dans le processus de la SEC. Cet article relève de l'information générale ; des sources indépendantes sont recommandées pour les décisions individuelles de protection des données.