Un fabricant de pèse-personnes connectés a été condamné, il y a quelques années, pour avoir vendu à des courtiers en données les poids de ses utilisateurs. Pas piraté. Vendus. Légalement. C'est la première fois que j'ai compris que le problème des objets connectés n'était pas technique — il était contractuel.
Quand on parle des risques des objets connectés pour la vie privée, tout le monde pense au hacker en capuche. Franchement, c'est le cadet de vos soucis. Le vrai danger, celui qui vous concerne demain matin, tient dans une clause de conditions générales que personne ne lit, et dans un flux de données que vous avez vous-même autorisé en appuyant sur « Accepter ».
Points clés à retenir
- Le risque principal n'est pas le piratage, c'est la revente et l'exploitation commerciale de vos données avec votre consentement.
- Chaque catégorie d'objet collecte un type de donnée précis — caméra, montre, enceinte, thermostat ne mesurent pas la même chose.
- La donnée la plus sensible est souvent celle qu'on sous-estime : les métadonnées et la géolocalisation.
- Le cadre juridique (RGPD, CNIL) vous protège, mais c'est à vous de l'activer en exerçant vos droits.
- La sécurité d'un objet se décide avant l'achat, pas après l'installation.
- Un objet connecté non mis à jour est une porte ouverte — et cette porte ne se referme pas toute seule.
Objets connectés et vie privée : la vraie faille n'est pas celle qu'on vous vend
Je vais être direct : le scénario de la caméra hackée par un inconnu existe, mais il est rare. Ce qui est systématique, c'est le modèle économique de l'objet connecté lui-même. Beaucoup d'appareils sont vendus à prix cassé parce que l'appareil n'est pas le produit. Vous l'avez deviné : le produit, c'est vous.
Prenons une montre de sport achetée 40 euros. Pour la fabriquer, la vendre, la maintenir et la connecter, ce prix ne couvre pas les coûts. La marque se rattrape ailleurs — par un abonnement premium, ou par la valorisation de données agrégées. Cela ne veut pas dire que toutes font de la revente douteuse. Cela veut dire qu'il faut regarder la politique de confidentialité avant de regarder le prix.
Un objet connecté, c'est quoi exactement ?
Un objet connecté, c'est un appareil du quotidien auquel on a ajouté une puce de communication (Wi-Fi, Bluetooth, réseau mobile) et une capacité à capter, stocker et transmettre des informations. La définition classique le décrit comme un dispositif capable de collecter et d'échanger des données via un réseau, sans intervention humaine constante.
Le point clé de cette définition, celui qu'on saute toujours : « transmettre ». Un objet qui mesure, c'est un capteur. Un objet qui mesure et envoie, c'est un objet connecté. Et ce qui part du salon ne revient presque jamais.
Chaque objet collecte une donnée précise — voici lesquelles
C'est le tableau que je n'ai trouvé nulle part ailleurs, alors je l'ai construit à partir de ce que chaque appareil est techniquement capable de capter. Lisez la colonne de droite, c'est celle qui compte.
| Objet | Données captées | Ce que ça révèle vraiment |
|---|---|---|
| Caméra intérieure | Flux vidéo, horodatage, détection de mouvement | Vos horaires d'absence, la composition du foyer, vos habitudes |
| Montre / bracelet | Rythme cardiaque, sommeil, pas, géolocalisation | Votre état de santé, vos déplacements, votre stress |
| Enceinte connectée | Extraits audio après mot-clé, requêtes | Vos centres d'intérêt, vos conversations proches |
| Thermostat | Température, présence, cycles | Quand vous êtes là, quand vous dormez |
| Serre / ampoule connectée | État, horaires, consommation | Vos routines, votre rythme de vie |
Prenez la dernière ligne. Une ampoule connectée qui s'allume à 7 h et s'éteint à 23 h, c'est anodin. Croisée avec une montre qui montre un sommeil agité et un thermostat qui confirme une chambre occupée, on reconstitue une journée entière. Le danger n'est pas une donnée isolée. C'est l'agrégation.
Les risques concrets, classés par gravité réelle
Dans mon propre appartement, j'ai compté un jour onze appareils connectés. Onze. Et je suis plutôt du genre prudent. La plupart des foyers équipés en ont entre quinze et vingt sans le savoir. Chaque appareil est un point d'entrée, et le réseau domestique relie tout ça.
Le piratage : rare, mais dévastateur quand il arrive
Un objet connecté non mis à jour est une porte déverrouillée. Les fabricants abandonnent le support de leurs modèles au bout de quelques années, et l'appareil continue de fonctionner — sans correctifs. Résultat : une faille connue reste ouverte indéfiniment.
Le scénario type ne vise pas votre caméra pour vous espionner. Il vise votre réseau. Un objet compromis sert de tremplin pour atteindre vos autres appareils, y compris votre ordinateur. Voilà pourquoi une caméra bon marché peut menacer vos comptes bancaires.
La revente de données : le risque le plus courant, et le plus ignoré
Voilà le vrai problème. Beaucoup de données de santé issues d'objets connectés ne sont pas couvertes comme des données médicales classiques, parce qu'elles sont produites par un objet de loisir et non par un professionnel de santé. Cette zone grise est exploitée.
Concrètement : votre assurance peut vous demander de partager volontairement vos données de sport pour obtenir un tarif préférentiel. Vous acceptez, en toute logique. Mais une fois partagées, ces données peuvent influencer votre profil de risque — y compris si elles racontent une insomnie chronique ou une activité cardiaque anormale.
Spoiler : ce n'est pas illégal dans tous les cas. C'est juste à votre désavantage.
La surveillance du quotidien, sans qu'on vous prévienne
Une caméra de sécurité, à l'origine, filme votre entrée. Mais certaines applications partagent le flux avec le fabricant « pour améliorer le service ». Certaines enceintes conservent des extraits audio après un faux déclenchement. Certaines marques analysent la fréquence de vos requêtes pour cibler de la publicité.
Le pire, dans tout ça ? On ne vous le cache pas vraiment. C'est écrit. Simplement, personne ne lit quarante pages de CGU, et les fabricants le savent très bien.
Une question qu'on me pose souvent : si je n'ai rien à cacher, où est le problème ?
C'est l'argument le plus fréquent, et il est bancal pour une raison simple : une donnée isolée ne dit rien, mais un ensemble de données raconte tout. Votre rythme cardiaque seul est insignifiant. Croisé avec vos déplacements, votre sommeil et votre consommation d'énergie, on obtient une carte détaillée de votre vie. La question n'est pas « ai-je quelque chose à cacher », mais « est-ce que je choisis qui sait quoi ».
Ce que dit la loi, et pourquoi ça ne suffit pas
La CNIL s'est penchée sur les objets connectés depuis plusieurs années, et le message est clair : tout objet qui collecte des données personnelles doit respecter le RGPD. Consentement explicite, finalité limitée, droit d'accès, droit de suppression. Sur le papier, on est protégés.
Dans les faits, c'est autre chose. Le consentement est noyé dans des interfaces conçues pour décourager la lecture. La finalité est si vague qu'elle englobe tout. Et exercer ses droits prend du temps que la plupart des gens n'ont pas.
La montre connectée présente-t-elle un danger pour la santé ?
Pas dans le sens qu'on imagine. Le danger n'est pas l'onde émise par le capteur — les niveaux d'émission de ces appareils sont encadrés et restent faibles. Le danger réel concerne ce que la montre fait de vos données de santé.
Une fréquence cardiaque anormale détectée par une montre peut remonter dans un profil d'assurance ou un service tiers si vous l'y autorisez. Ce n'est pas la montre qui vous met en danger. C'est l'usage commercial de ce qu'elle enregistre, souvent pendant que vous dormez.
Comment réduire réellement les risques
Mesurez ce qui est mesurable. Voici ce qui fonctionne, par ordre d'efficacité — testé chez moi, pas dans un labo.
- Isolez votre réseau. Créez un réseau Wi-Fi séparé pour les objets connectés, distinct de celui de vos ordinateurs. C'est le geste qui rapporte le plus, pour vingt minutes de configuration.
- Changez les mots de passe par défaut. « admin / admin » sur une caméra, c'est une invitation.
- Mettez à jour, et désactivez ce que vous n'utilisez pas. Un micro inactif qu'on n'a pas demandé reste une porte ouverte.
- Lisez la politique de confidentialité, au moins la section « partage avec des tiers ». Si cette section est vide ou absente, méfiez-vous davantage.
- Exercez votre droit à l'effacement. Le RGPD vous permet de demander la suppression de vos données. Peu de gens le font. Faites-le.
Avouons-le, la deuxième et la troisième sont celles qu'on saute en priorité. Et ce sont celles qui évitent 90 % des incidents banals.
Avantages et inconvénients : je ne vais pas vous dire de tout débrancher
Il serait malhonnête de ne parler que des risques. Les objets connectés rendent de vrais services : piloter le chauffage à distance, détecter une chute chez une personne âgée, suivre une activité physique, sécuriser une entrée. Le problème n'est pas l'objet. C'est la manière dont on l'achète et l'installe.
Si je devais trancher : les avantages sont réels et immédiats, les risques sont réels et différés. C'est précisément ce décalage qui rend le sujet dangereux. On profite aujourd'hui, on paie dans trois ans.
Ma position, celle sur laquelle je ne bougerai pas : un objet connecté bien choisi et bien configuré vaut mieux que dix gadgets bon marché laissés en mode usine. La qualité du firmware et la clarté de la politique de confidentialité comptent plus que le nombre de fonctions affichées sur la boîte.
Et si le fabricant refuse de dire ce qu'il fait de vos données, vous avez déjà votre réponse.
Ce que je retiens, et ce que je vous conseille de retenir
La prochaine fois que vous déballez un objet connecté, avant même de le brancher, ouvrez sa politique de confidentialité et cherchez le mot « tiers ». C'est là que se trouve tout ce qui compte. Pas dans la fiche technique. Pas dans le prix.
Le vrai enjeu des objets connectés n'est pas de savoir s'ils peuvent être piratés — ils peuvent. C'est de décider, consciemment, ce que vous acceptez de laisser sortir de chez vous, et à qui. La plupart des gens ne prennent jamais cette décision. Ils la laissent prendre à leur place, un clic sur « Accepter » à la fois.
Vous, maintenant, vous savez où regarder.
