Contexte
Des entreprises commercialisent des dispositifs portables capables de mesurer l’activité électrique du cerveau (EEG) chez les consommateurs. Les annonces mettent en avant des usages ludiques – jeux, méditation, amélioration de la concentration – mais les rapports disponibles indiquent que les données brutes sont souvent transmises aux serveurs des fabricants. Aucun détail précis n’est fourni quant aux volumes de données collectées, aux modalités de consentement ou aux finalités exactes d’utilisation, ce qui rend difficile d’évaluer l’ampleur du problème.
Fonctionnement technique des casques EEG grand public
Les appareils intègrent généralement entre 4 et 14 électrodes sèches placées sur le cuir chevelu. Les signaux analogiques sont amplifiés, filtrés (0,5–40 Hz) puis numérisés à des fréquences de 128 à 512 Hz. Le firmware embarqué encapsule les trames dans des paquets Bluetooth Low Energy, qui sont acheminés vers une application mobile. Celle‑ci, à son tour, peut pousser les flux vers le cloud via HTTPS, où des modèles d’apprentissage automatique sont entraînés pour reconnaître des états mentaux (relaxation, concentration, stress). Le processus repose sur des pipelines de pré‑traitement (débruitage, artefact removal) avant l’extraction de caractéristiques spectrales.
Enjeux de confidentialité et limites d’information
La nature même des signaux EEG – reflet direct de l’activité neuronale – constitue une donnée biométrique sensible. Sans transparence sur les politiques de stockage, de partage ou de réidentification, les utilisateurs restent exposés à des risques de profilage psychologique ou de manipulation ciblée. Les documents publics ne précisent pas si les enregistrements sont anonymisés, conservés indéfiniment ou exploités par des tiers. De plus, aucune norme de chiffrement de bout en bout n’est mentionnée, ce qui laisse la porte ouverte à des interceptions lors du transfert Bluetooth ou réseau. En l’absence de cadre réglementaire dédié, les autorités de protection des données peinent à appliquer les exigences de consentement éclairé prévues par le RGPD.
Perspectives réglementaires
Les législateurs commencent à examiner les « neuro‑technologies » comme catégorie distincte de données biométriques. Des projets de loi envisagent d’obliger les fabricants à publier des fiches de transparence détaillant les flux de données, les durées de conservation et les droits de retrait. En attendant, les experts recommandent aux utilisateurs de désactiver les synchronisations automatiques, de vérifier les autorisations d’application et de privilégier les solutions locales qui ne transmettent pas les signaux bruts au cloud.
