Votre thermostat enregistre vos heures de présence, votre montre suit votre rythme cardiaque pendant la nuit, et votre enceinte vocale capte chaque requête prononcée dans le salon. Les objets connectés multiplient les risques pour la vie privée parce qu’ils captent, stockent et transmettent des données personnelles en continu, souvent sans que l’on mesure l’ampleur de cette collecte.
Ces appareils communiquent via Wi-Fi, Bluetooth ou réseau mobile. Ils envoient leurs données vers des serveurs distants, parfois situés hors de l’Union européenne. Comprendre ce qui se joue derrière leur apparente simplicité permet de reprendre la main.
Lunettes connectées et vie privée : la captation invisible
La plupart des articles sur les objets connectés parlent de caméras domestiques ou d’assistants vocaux. Un risque plus récent mérite l’attention : celui des lunettes connectées équipées de caméras et de micros. Contrairement à une caméra de surveillance fixée au mur, ces lunettes se portent dans l’espace public. Elles filment et enregistrent du son sans que les personnes autour s’en rendent compte.
La CNIL a publié un plan d’action spécifique sur ces dispositifs, en les qualifiant d’appareils présentant des « risques majeurs pour la vie privée ». Le problème tient à la captation et à l’interprétation en temps réel d’images et de voix, couplées à de l’intelligence artificielle, sans aucun signal visible pour les passants.
Le Laboratoire d’innovation numérique de la CNIL (LINC) parle de « rupture anthropologique ». On passe d’une informatique que l’on pose sur un bureau à une informatique portée sur soi en permanence. La frontière entre observer et surveiller devient floue. Vous avez déjà remarqué que rien ne distingue, de l’extérieur, une paire de lunettes connectées d’une paire classique ? C’est précisément ce qui rend la captation invisible et le consentement des tiers impossible à recueillir.
Données personnelles collectées par les objets connectés : ce qui transite vraiment
Un objet connecté ne se limite pas à remplir sa fonction principale. Un aspirateur robot cartographie votre logement. Un bracelet de santé enregistre vos cycles de sommeil, votre fréquence cardiaque, vos déplacements. Un téléviseur connecté conserve l’historique de ce que vous regardez.
Ces données sont rarement anodines. Croisées entre elles, elles dessinent un profil détaillé de votre quotidien :
- Les données de géolocalisation révèlent vos trajets, vos lieux de travail et vos habitudes de déplacement, y compris sur les véhicules électriques connectés.
- Les données vocales captées par les assistants peuvent contenir des conversations privées enregistrées par erreur, lors d’une activation non sollicitée du micro.
- Les données de santé (rythme cardiaque, poids, qualité du sommeil) sont considérées comme des données sensibles au sens du RGPD, avec un niveau de protection renforcé rarement garanti par les fabricants.
- Les métadonnées d’usage (heures d’allumage, fréquence d’utilisation) suffisent à déduire si un logement est occupé ou vide.
Le manque de transparence est un problème récurrent. Beaucoup d’utilisateurs ignorent où leurs données sont stockées, combien de temps elles sont conservées, et quels tiers y accèdent. Les politiques de confidentialité, quand elles existent, sont rédigées dans un langage juridique peu accessible.
Data Act et RGPD : ce que la réglementation change pour les objets connectés
Le RGPD impose depuis 2018 un cadre pour la collecte et le traitement des données personnelles. Chaque utilisateur dispose d’un droit d’accès, de rectification et de suppression de ses données. En pratique, exercer ces droits face à un fabricant d’objets connectés reste laborieux.
Un changement réglementaire plus récent modifie la donne. Le Data Act (règlement UE 2023/2854), applicable aux objets connectés depuis 2025, oblige les fabricants à donner accès aux données générées par leurs appareils. Concrètement, si votre thermostat produit des données sur votre consommation énergétique, vous pouvez les récupérer et les transférer vers un autre service.
Ce règlement vise à casser les silos. Jusqu’ici, un fabricant pouvait enfermer vos données dans son propre écosystème. Le Data Act introduit un droit à la portabilité élargi, distinct de celui du RGPD, qui couvre les données brutes générées par l’objet lui-même.
Limites concrètes de ces protections
La réglementation ne résout pas tout. Les mises à jour de sécurité cessent souvent après quelques années, laissant des appareils vulnérables connectés au réseau domestique. Un objet connecté obsolète, non mis à jour, devient une porte d’entrée pour des attaques sur l’ensemble du réseau.
De plus, le cadre juridique français et européen s’applique difficilement aux fabricants basés hors de l’UE. Quand vos données transitent par des serveurs situés dans des pays sans niveau de protection équivalent, le contrôle devient théorique.
Réduire l’exposition de sa vie privée aux objets connectés
Quelques actions concrètes limitent les risques sans renoncer aux usages utiles :
- Désactivez les microphones et caméras quand vous ne les utilisez pas activement, en particulier sur les assistants vocaux et les téléviseurs connectés.
- Mettez à jour le firmware de chaque appareil dès qu’une mise à jour est disponible. Un objet dont le fabricant ne propose plus de mises à jour devrait être déconnecté du réseau.
- Segmentez votre réseau Wi-Fi : créez un réseau distinct pour vos objets connectés, séparé de celui de vos ordinateurs et téléphones. Une faille sur un objet ne compromettra pas vos données personnelles stockées ailleurs.
- Vérifiez les autorisations accordées à chaque objet dans son application compagnon. Beaucoup demandent un accès à la géolocalisation ou au micro sans que cela soit nécessaire à leur fonctionnement.
- Avant l’achat, consultez la politique de confidentialité du fabricant. Si elle est inexistante ou vague sur la durée de conservation des données, c’est un signal d’alerte.
La multiplication des objets connectés dans les foyers rend ces précautions de plus en plus nécessaires. Chaque appareil ajouté au réseau domestique élargit la surface d’attaque et le volume de données personnelles exposées. Choisir ses appareils en fonction de leur politique de données, et pas seulement de leur prix ou de leurs fonctionnalités, reste la meilleure protection accessible à chaque utilisateur.
