Depuis le 13 octobre 2026, les comptes Withings créés à partir de cette date doivent souscrire l’abonnement Withings+ (9,99 euros par mois ou 99,99 euros par an) pour envoyer automatiquement leurs mesures vers Apple Santé, Health Connect de Google ou Strava. Les balances, montres et tensiomètres du fabricant continuent d’afficher les données dans son application. La décision relance une question que les DPO rencontrent avec tous les objets connectés : jusqu’où va la portabilité des données de santé, et peut-elle avoir un prix ?
Ce qu’a décidé Withings
Selon le Journal du Geek, qui reprend une interview accordée à Numerama, les comptes plus anciens ne sont pas concernés. L’export des données en CSV, en PDF ou via Health Link reste gratuit. Vincent Brand, chef de produit digital, explique que la valeur de l’entreprise s’est déplacée du matériel vers les services : « Aujourd’hui, la valeur, c’est la donnée. » Il présente le choix comme une question de survie face à des balances concurrentes vendues trois fois moins cher.
iPhoneSoft rapporte que Withings avance aussi un argument de confidentialité et qu’elle a fermé certains contournements, comme le passage par Apple Santé pour renvoyer les mesures ailleurs. Pour les comptes existants, la gratuité vaut « pour le moment ».
La portabilité des données de santé selon l’article 20 du RGPD
L’article 20 du RGPD donne à la personne le droit de recevoir les données qu’elle a fournies, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable de traitement. Il s’applique aux traitements automatisés fondés sur le consentement ou sur un contrat, ce qui correspond au compte d’un utilisateur d’objet connecté. Les lignes directrices européennes rangent dans les données « fournies » celles qu’un appareil observe sur la personne : poids, fréquence cardiaque, tension.
Un export CSV gratuit répond a priori au premier volet. L’article 12 pose par ailleurs la gratuité de l’exercice des droits, sauf demande manifestement infondée ou excessive. La synchronisation continue, mesure après mesure, vers une application tierce va au-delà de ce que le texte exige : la transmission directe d’un responsable à l’autre n’est due que lorsqu’elle est techniquement possible, et les lignes directrices n’imposent pas aux entreprises de rendre leurs systèmes compatibles entre eux.
Le débat se complique avec le règlement européen sur les données (Data Act), applicable depuis le 12 septembre 2025. Pour les produits connectés, il prévoit que l’utilisateur accède à ses données sans frais et puisse, à sa demande, les faire partager avec un tiers, là encore sans frais pour lui. L’articulation entre ces règles et une offre payante de synchronisation vers des services tiers mériterait un examen précis. Aucune autorité ne s’est prononcée à ce jour sur ce cas.
Ce que les organismes utilisateurs doivent vérifier
La question ne concerne pas seulement les particuliers. Des établissements de santé, des mutuelles, des employeurs ou des services de prévention proposent des objets connectés dans des programmes de suivi ou de bien-être. Quand l’organisme choisit le matériel, il porte une part des choix faits sur les données.
- Identifier qui est responsable de traitement : le fabricant pour le compte de l’utilisateur, l’organisme pour son programme, parfois les deux sur des périmètres distincts. Le registre doit le refléter.
- Vérifier les conditions d’export avant le déploiement : formats, gratuité, fréquence, possibilité de récupérer l’historique complet.
- Prévoir dans le contrat avec le fabricant ce qui se passe en cas de changement de politique commerciale : une fonction gratuite au départ peut devenir payante en cours de programme.
- Informer les personnes de manière exacte sur la circulation de leurs mesures, y compris lorsqu’elles les envoient elles-mêmes vers une application tierce.
- Évaluer la dépendance : si le programme repose sur une synchronisation automatique, un changement tarifaire peut l’interrompre du jour au lendemain.
Le point de vue d’un DPO
Dans les dossiers d’objets connectés que j’examine, la portabilité est souvent traitée en dernier, une fois le matériel choisi. Elle devrait figurer dans le cahier des charges au même rang que la sécurité ou l’hébergement. Une donnée de santé que la personne ne peut pas récupérer simplement la rend dépendante d’un fournisseur, et l’organisme qui a recommandé ce fournisseur avec elle.
Pour un service de santé au travail ou une collectivité qui propose un programme de prévention avec des objets connectés, la question se pose aussi à la fin du programme. Les salariés ou agents doivent pouvoir récupérer leurs mesures, et l’organisme doit savoir ce que le fabricant conserve une fois les comptes fermés. Ces points se règlent mieux avant la signature qu’au moment de la sortie.
Pour les fabricants, l’affaire rappelle qu’un modèle économique fondé sur la donnée se construit avec les droits des personnes dès la conception : un export complet, documenté et gratuit protège mieux qu’une explication après coup.
Les DPO indépendants du réseau DPO FRANCE aident les organismes à cadrer leurs projets d’objets connectés : qualification des rôles, AIPD, clauses contractuelles et information des personnes. Le logiciel DPO SUITE trace les traitements, les sous-traitants et les demandes d’exercice des droits, dont les demandes de portabilité et les délais de réponse.
