Les applications de santé mentale douteuses font des progrès en matière de confidentialité et de sécurité, mais beaucoup continuent de siphonner des données personnelles

Malgré des progrès dans une catégorie qui gère des données personnelles très sensibles, 19 applications de santé mentale sur 32 portent toujours l’avertissement *Confidentialité non incluse

(SAN FRANCISCO, CALIFORNIE | MARDI 2 MAI) — Alors que la demande de services relatifs à la santé mentale continue d’augmenter, la dernière étude *Confidentialité non incluse de Mozilla révèle que les applications de santé mentale ne respectent pas la confidentialité et la sécurité des utilisateurs et utilisatrices. Selon l’étude que nous publions aujourd’hui à l’occasion du Mois de la sensibilisation à la santé mentale, 59 % des principales applications examinées se sont vues apposer notre avertissement *Confidentialité non incluse, tandis que 40 % ont vu leurs pratiques empirer depuis l’an dernier.

Notre équipe de recherche a cependant découvert certains points positifs. Dénoncer les pratiques douteuses en matière de données a incité certaines entreprises à faire mieux : près d’un tiers des applications ont fait mieux que lors de notre revue initiale en 2022. Et deux applications (PTSD Coach et le chatbot IA Wysa) ont intégré notre catégorie « Meilleurs applications », que Mozilla utilise pour mettre en évidence les applications qui respectent la confidentialité et la sécurité. Plus de 225 heures de recherche, dont plus de huit par produit, ont été nécessaires pour élaborer le guide 2023 des applications de santé mentale.

Pour la toute première fois, *Confidentialité non incluse classe les performances sur 12 mois, indiquant si les fonctionnalités relatives à la sécurité et à la confidentialité se sont améliorées ou dégradées. Lancé en 2017, *Confidentialité non incluse a une double mission : fournir aux consommateurs et consommatrices les informations dont ils et elles ont besoin pour choisir des produits qui protègent leur vie privée, et inciter l’industrie du numérique à en faire davantage pour protéger les consommateurs et consommatrices. Au cours des six dernières années, Mozilla a passé en revue plus de 100 applications et 300 appareils connectés à Internet.

Selon Jen Caltrider, responsable de *Confidentialité non incluse chez Mozilla : « Notre objectif principal est d’accroître la protection des consommateurs et consommatrices. Nous avons donc été ravis de constater que certaines applications ont amélioré leurs pratiques en matière de confidentialité. Et parfois, pour obtenir ces changements, tout ce qu’il fallait faire était de demander aux entreprises de faire mieux. Mais les plus mauvais élèves continuent de trahir la confiance des consommateurs et consommatrices de manière effrayante, en les pistant, en partageant leurs informations les plus intimes et en les rendant incroyablement vulnérables. La poignée d’applications qui traitent les données de manière responsable et respectueuse prouvent que les choses peuvent être faites correctement. »

Misha Rykov, chercheur adjoint, ajoute : « Un manque de sécurité et de confidentialité est inexcusable, quelle que soit l’application ou l’objet connecté. C’est particulièrement vrai pour les applications de santé mentale, qui traitent des données incroyablement sensibles. Bien que les pratiques du secteur s’améliorent lentement, cela ne va pas assez vite. Les consommateurs et consommatrices devraient peser le pour et le contre et lire les petites lignes avant d’utiliser ces applications. »

Voici nos principales découvertes :

Plusieurs applications populaires, dont Youper et Woebot, ont effectué des changements positifs. Youper est en lice pour le prix de « l’application qui a le plus progressé » pour avoir renforcé de manière significative ses exigences en matière de mots de passe et sa politique de confidentialité. Woebot a également mis à jour sa politique de confidentialité pour expliquer que tous les utilisateurs et toutes les utilisatrices ont désormais les mêmes droits d’accès et de suppression de leurs données. Une autre application, Modern Health, a amélioré la transparence de sa politique en indiquant clairement qu’elle ne « vend pas, ne divulgue et/ou ne partage pas d’informations personnelles avec d’autres entreprises ou des tiers contre une compensation financière ou matérielle ».

À l’autre extrémité du spectre se trouvent des applications comme Replika: My AI Friends, qui est l’une des pires applications jamais testées par Mozilla. Elle cumule les faibles exigences en matière de mot de passe, le partage de données personnelles avec des entreprises publicitaires, et l’enregistrement des photos, vidéos, SMS et messages vocaux personnels partagés avec le chatbot. De nombreuses autres applications contenaient des tonnes de traqueurs, l’application Cerebral ayant établi un nouveau record : 799 traqueurs dans la minute suivant son téléchargement. Plusieurs applications (Talkspace, Happify et BetterHelp) ont incité les consommateurs et consommatrices à répondre directement à des questionnaires sans demander leur consentement ni afficher leur politique de confidentialité au préalable.

L’enquête de Mozilla de 2022 sur les applications de santé mentale a révélé des résultats désastreux. Pour notre équipe de recherche, les applications de santé mentale étaient « la pire catégorie de produits » en matière de confidentialité et de sécurité. Cette année-là, 29 applications sur 32 ont reçu l’avertissement *Confidentialité non incluse.

Les applications sur lesquelles Mozilla a enquêté mettent en relation leurs utilisateurs et utilisatrices avec des thérapeutes, disposent de chatbots basés sur l’IA, proposent des pages d’assistance communautaire, proposent des journaux d’humeur et des bilans de bien-être, et bien d’autres choses. Bien que ces applications traitent des sujets incroyablement sensibles — comme la dépression, l’anxiété, les idées suicidaires, la violence domestique, les troubles de l’alimentation et le trouble de stress post-traumatique — les pires applications partagent régulièrement des données, ciblent les personnes vulnérables avec des publicités personnalisées, autorisent les mots de passe faibles et disposent de politiques de confidentialité rédigées dans des termes vagues et peu clairs.