Les foyers français accumulent les objets connectés : enceintes vocales, montres, caméras de surveillance, jouets interactifs. Cette multiplication pose un problème concret de sécurité des données, en particulier quand des enfants vivent sous le même toit que ces appareils. Deux règlements européens récents, le Cyber Resilience Act (CRA) et le nouveau règlement sur la sécurité des jouets, redessinent les obligations des fabricants. Le cadre réglementaire se durcit, mais les risques au quotidien restent mal compris par la plupart des familles.
Cyber Resilience Act : ce qui change pour les appareils du foyer
Le règlement européen 2024/2847, dit Cyber Resilience Act, s’applique progressivement entre 2026 et 2027. Il cible la quasi-totalité des produits numériques vendus dans l’Union européenne, des routeurs Wi-Fi aux caméras connectées en passant par les thermostats et les baby-phones.
Lire également : Les sauvegardes automatiques protègent contre la perte de données
Les fabricants devront réaliser un risque cybersécurité documenté avant la mise sur le marché. Le texte impose aussi le maintien de la sécurité pendant toute la durée de support du produit, ce qui signifie des mises à jour régulières et pas seulement au lancement.
En cas de vulnérabilité activement exploitée, le fabricant devra notifier les autorités sous 24 heures, puis fournir un rapport détaillé sous 72 heures. Après décembre 2027, les produits non conformes ne pourront plus être commercialisés dans l’UE.
A voir aussi : Des failles critiques détectées dans certains routeurs domestiques
Pour les familles, l’impact est direct. Un objet connecté acheté pour un enfant (tablette éducative, montre GPS, jouet à commande vocale) devra respecter ces exigences sous peine de retrait du marché. En revanche, les retours terrain divergent sur la capacité réelle des petits fabricants à se conformer dans les délais impartis.
Jouets connectés et santé mentale : le nouveau règlement européen
Adopté en mars 2024 par le Parlement européen, un nouveau règlement sur la sécurité des jouets remplace progressivement la directive 2009/48/CE. L’abrogation complète est prévue au 1er août 2030, avec une montée en puissance des nouvelles règles entre 2027 et 2030.
Le texte introduit plusieurs exigences inédites pour les jouets numériques :
- Un Digital Product Passport (DPP) accessible par QR code sur le jouet ou son emballage, contenant les informations de sécurité et de conformité du produit.
- Une obligation d’évaluer les risques pour la santé, y compris la santé mentale, pour les jouets connectés et numériques.
- Une exigence que les jouets utilisant de l’intelligence artificielle respectent l’AI Act européen.
L’évaluation de la santé mentale est une première dans la réglementation des jouets. Un robot interactif destiné aux moins de six ans devra démontrer que ses interactions vocales ou ses mécanismes de récompense ne créent pas de dépendance. Les données disponibles ne permettent pas encore de mesurer comment les fabricants traduiront cette obligation en tests concrets.
Données personnelles des enfants : les failles persistantes des objets connectés
Au-delà du cadre réglementaire, les risques liés aux données personnelles restent le point faible majeur. Un objet connecté capte des informations dans son environnement immédiat et les transmet via des réseaux sans fil. Quand cet objet se trouve dans la chambre d’un enfant, les données collectées peuvent inclure la voix, la localisation, les habitudes de sommeil ou les interactions quotidiennes.
La CNIL rappelle que ces appareils doivent être sécurisés par leurs utilisateurs, mais la réalité est plus compliquée. Les réseaux Wi-Fi domestiques servent de passerelle unique pour tous les objets du foyer, ce qui signifie qu’une faille sur un seul appareil peut compromettre l’ensemble.
Les risques en matière de cybersécurité touchent d’abord la confidentialité des données : un attaquant peut accéder aux flux audio ou vidéo d’une caméra de surveillance ou d’un baby-phone mal sécurisé. L’autre versant, plus subtil, concerne l’intégrité des données : modifier les informations transmises par un capteur de santé ou un jouet interactif sans que l’utilisateur s’en aperçoive.
Mesures concrètes à vérifier avant d’installer un objet connecté
Quelques vérifications réduisent significativement l’exposition du foyer :
- Changer systématiquement le mot de passe par défaut de chaque appareil, y compris le routeur Wi-Fi domestique.
- Vérifier que le fabricant propose des mises à jour régulières et s’engager à procéder aux installations dès qu’elles sont disponibles.
- Désactiver les fonctions de collecte de données non nécessaires (géolocalisation permanente, enregistrement vocal en continu).
- Consulter les avis de sécurité publiés par la CNIL ou la DGCCRF avant l’achat d’un jouet connecté destiné à un enfant.
Protection de la vie privée des enfants : un angle mort persistant
Le règlement général sur la protection des données (RGPD) encadre déjà le traitement des données des mineurs. Les objets connectés destinés aux enfants doivent obtenir le consentement parental pour toute collecte. Dans la pratique, ce consentement se résume souvent à une case cochée lors de l’installation d’une application, sans que le parent comprenne l’étendue des données transmises.
Les assistants vocaux posent un problème spécifique : ils captent en continu les sons ambiants pour détecter leur mot d’activation. Dans un foyer avec enfants, cela signifie que des conversations, des pleurs ou des jeux peuvent être enregistrés et transmis aux serveurs du fabricant. La CNIL a publié des recommandations sur ce sujet, mais aucune sanction spécifique n’a encore visé ce type de collecte dans un contexte familial.
Le CRA et le nouveau règlement sur les jouets apportent des garanties supplémentaires sur le plan technique. La protection effective de la vie privée des enfants dépendra largement de l’application de ces textes par les fabricants et de la vigilance des autorités de contrôle.
D’ici 2030, chaque jouet connecté vendu en Europe devra porter un passeport numérique lisible par les parents. Ce levier de transparence reste inédit, à condition que les familles apprennent à le déchiffrer.
