RGPD et objets connectés 2026 : quelles données sont collectées ?

Chaque enceinte connectée, thermostat intelligent ou caméra de surveillance installé chez vous collecte, stocke et parfois transmet des données personnelles à des serveurs situés à l'autre bout du monde. Le RGPD (Règlement Général sur la Protection des Données) encadre strictement ces pratiques depuis 2018, mais peu d'acheteurs d'objets connectés savent réellement quelles données sont récoltées et quels droits ils peuvent faire valoir face aux fabricants. Ce guide détaille concrètement quelles données vos appareils domotiques collectent en 2026, comment identifier les marques les plus respectueuses avant l'achat, et surtout comment exercer vos droits RGPD (accès, rectification, effacement, portabilité) auprès des fabricants d'objets connectés.

Au-delà de la théorie juridique, ce guide donne des démarches concrètes : à qui écrire, quels délais respecter, comment saisir la CNIL en cas de blocage, et quels critères privilégier lors de l'achat pour limiter la collecte de données dès le départ plutôt que de devoir la corriger a posteriori.

Le RGPD et les objets connectés : ce que dit la loi

Le RGPD s'applique à toute entreprise qui traite des données de résidents européens, qu'elle soit établie en France, en Chine ou aux États-Unis. Pour les objets connectés, cela couvre un périmètre bien plus large qu'on ne l'imagine : identifiants de connexion, adresses IP, horaires d'activité, enregistrements vocaux, images captées par les caméras, données de géolocalisation, voire données biométriques pour les serrures à reconnaissance faciale ou les balances connectées mesurant la composition corporelle.

Concentrateur domotique Open Dom'X — CC BY-SA 4.0, HBernard / Wikimedia Commons

Le règlement impose aux fabricants plusieurs obligations concrètes : informer clairement l'utilisateur des données collectées (article 13), limiter la collecte au strict nécessaire ("minimisation des données", article 5), sécuriser ces données par des mesures techniques appropriées (article 32), et permettre à chaque utilisateur d'exercer ses droits sur ses propres données. En 2026, la CNIL (Commission Nationale de l'Informatique et des Libertés) a renforcé ses contrôles sur les fabricants d'objets connectés grand public, notamment sur les enceintes vocales et les caméras de surveillance domestique, deux catégories jugées particulièrement intrusives.

Un point souvent ignoré : le RGPD ne s'applique pas seulement au fabricant de l'appareil, mais aussi à l'application compagnon, au service cloud utilisé pour le stockage, et parfois à des sous-traitants tiers (hébergeurs, prestataires d'analyse de données). Un thermostat connecté peut ainsi transmettre des données à trois ou quatre entités différentes sans que l'utilisateur en ait clairement conscience, ce qui complique l'exercice des droits si l'acheteur ne sait pas à qui s'adresser en priorité.

Les objets connectés compatibles Matter, standard soutenu par Google Home, Amazon Alexa et Apple HomeKit, ont introduit un niveau d'exigence supplémentaire sur la sécurité des échanges de données entre appareils, ce qui a indirectement renforcé la conformité RGPD de nombreux produits récents. Cela ne dispense toutefois pas l'utilisateur de vérifier la politique de confidentialité de chaque marque avant l'achat.

Un autre principe clé du RGPD, souvent méconnu des acheteurs, est celui de la conservation limitée (article 5.1.e) : un fabricant ne peut pas garder vos données indéfiniment "au cas où". Une durée de conservation précise doit être indiquée pour chaque type de donnée, par exemple 30 jours pour les vidéos d'une caméra de surveillance sans abonnement, ou la durée de vie du compte pour les données de facturation. Passé ce délai, les données doivent être automatiquement supprimées ou anonymisées, sauf obligation légale contraire (comptabilité, litige en cours). En pratique, peu de fabricants grand public communiquent clairement ces durées dans leur documentation produit, ce qui constitue un premier signal d'alerte à surveiller avant l'achat.

Quelles données vos objets connectés collectent réellement

La nature des données collectées varie fortement selon la catégorie de produit. Voici un panorama des principales catégories d'objets connectés et des données qu'elles récoltent typiquement :

Les enceintes connectées et les caméras concentrent le plus de risques car elles captent en continu un flux audio ou vidéo de l'environnement domestique. Amazon, Google et Apple affirment tous que le traitement des mots d'activation ("Alexa", "Hey Google", "Dis Siri") s'effectue localement sur l'appareil, l'enregistrement et l'envoi vers le cloud ne débutant qu'après la détection du mot-clé. Des erreurs de détection restent toutefois documentées, ce qui explique pourquoi la CNIL recommande de couper le micro physiquement lorsque l'enceinte n'est pas utilisée dans une pièce sensible.

Les balances connectées et objets de santé (montres, bagues connectées) relèvent d'un régime encore plus strict : le RGPD classe les données de santé comme "catégorie particulière" (article 9), nécessitant un consentement explicite distinct des conditions générales classiques. Un fabricant qui ne recueille pas ce consentement séparé est en infraction, même si l'utilisateur a accepté les CGU générales de l'application.

Les robots aspirateurs connectés méritent une mention à part : les modèles récents cartographient l'intégralité du logement, pièce par pièce, et transmettent parfois ce plan au cloud du fabricant pour proposer des fonctionnalités avancées (zones interdites, nettoyage programmé par pièce). Cette cartographie constitue une donnée personnelle sensible puisqu'elle révèle l'agencement exact du domicile, y compris le nombre de pièces, la présence d'une chambre d'enfant ou l'emplacement des meubles. Plusieurs fabricants ont été épinglés en 2024 et 2025 pour avoir partagé ces cartographies avec des partenaires publicitaires sans consentement explicite suffisant. Il est recommandé de vérifier, dans les paramètres de l'application, si la cartographie peut être conservée uniquement en local sur l'appareil plutôt que synchronisée automatiquement vers le cloud.

De la même manière, les routeurs Wi-Fi mesh et les box domotique centralisées voient transiter l'ensemble du trafic réseau du foyer, ce qui en fait un point de collecte particulièrement sensible : horaires de connexion de chaque appareil, sites visités via le DNS, présence ou absence des habitants déduite de l'activité réseau. Un routeur mal configuré ou un compte fabricant mal sécurisé peut ainsi devenir la porte d'entrée la plus large vers l'ensemble des données personnelles d'un foyer connecté.

Vos droits RGPD face aux fabricants d'objets connectés

Déverrouillage d'une serrure connectée via Bluetooth — CC BY-SA 4.0, Gettapkey / Wikimedia Commons

Le RGPD accorde à chaque utilisateur d'objet connecté six droits fondamentaux, directement opposables au fabricant :

Le droit d'accès permet de demander une copie complète de toutes les données personnelles détenues sur vous par le fabricant, y compris les données déduites (habitudes, profils comportementaux). Le fabricant doit répondre sous un mois.

Le droit de rectification permet de corriger une information inexacte, par exemple une adresse mal enregistrée dans le compte lié à une caméra de surveillance.

Le droit à l'effacement, aussi appelé "droit à l'oubli", permet d'exiger la suppression de vos données lorsque vous n'utilisez plus l'appareil ou fermez votre compte, sauf obligation légale de conservation (facturation, garantie en cours).

Le droit à la portabilité permet de récupérer vos données dans un format structuré et réutilisable, utile par exemple pour migrer l'historique d'un thermostat connecté d'un écosystème à un autre.

Le droit d'opposition permet de refuser certains traitements, notamment le profilage publicitaire ou le partage avec des partenaires commerciaux, sans perdre l'usage de la fonction principale de l'appareil.

Le droit de retirer son consentement à tout moment pour les traitements reposant sur cette base légale, comme l'amélioration des algorithmes de reconnaissance vocale par analyse humaine des enregistrements.

Comment exercer concrètement ces droits

Dans la pratique, exercer ses droits RGPD face à un fabricant d'objets connectés suit un parcours en trois étapes.

Étape 1 — Identifier le bon interlocuteur. La politique de confidentialité, généralement accessible dans l'application compagnon ou sur le site du fabricant, indique les coordonnées du Délégué à la Protection des Données (DPO). Pour les grandes marques (Google, Amazon, Apple, Philips/Signify), un formulaire dédié est disponible directement dans les paramètres de confidentialité du compte, ce qui accélère nettement le traitement.

Étape 2 — Envoyer une demande écrite précise. Un e-mail ou courrier mentionnant explicitement le droit invoqué (accès, effacement, portabilité), l'appareil concerné et l'identifiant du compte suffit. Il n'est pas nécessaire de justifier sa demande ni de payer de frais, sauf demandes manifestement excessives ou répétitives.

Étape 3 — Respecter et vérifier les délais. Le fabricant dispose d'un mois pour répondre, extensible à deux mois supplémentaires pour les demandes complexes, à condition de vous en informer dans le premier mois. Sans réponse ou en cas de refus injustifié, vous pouvez saisir gratuitement la CNIL via son site officiel (cnil.fr), qui dispose d'un pouvoir de sanction pouvant atteindre 4 % du chiffre d'affaires mondial de l'entreprise fautive.

Pour les objets connectés utilisant une box domotique locale comme Home Assistant ou Jeedom, la question se pose différemment : les données restent stockées sur un serveur physique à domicile, ce qui simplifie considérablement l'exercice de ces droits puisque l'utilisateur reste maître de ses propres données, sans dépendre d'un tiers.

Cas particulier des objets connectés partagés en foyer. Lorsque plusieurs personnes utilisent le même compte fabricant (couple, colocation, famille), la demande RGPD ne peut porter que sur les données liées à l'identité du demandeur. Certains fabricants comme Amazon et Google proposent désormais des profils vocaux distincts, capables de différencier les membres du foyer par empreinte vocale, ce qui facilite l'exercice individuel des droits sans affecter les autres utilisateurs du même appareil.

Cas particulier après un déménagement ou une revente. Si vous emménagez dans un logement déjà équipé d'objets connectés par le précédent occupant (serrure, thermostat, caméra), il est fortement recommandé de vérifier qu'aucun compte tiers ne conserve un accès actif avant votre installation. Une simple réinitialisation aux paramètres d'usine, complétée par la création d'un nouveau compte, permet de repartir sur une base saine sans hériter des données ou des accès du précédent propriétaire.

Failles de données, sanctions et bénéfices d'un choix éclairé

Serrure connectée Nuki — CC BY 2.0, Sebastian Scholz / Wikimedia Commons

Les objets connectés grand public restent une cible privilégiée des cyberattaques en raison de leur sécurité souvent minimale comparée à celle des ordinateurs et smartphones. Plusieurs failles majeures touchant des caméras de surveillance et des enceintes connectées ont été révélées ces dernières années, exposant des flux vidéo domestiques ou des historiques de commandes vocales. En cas de faille, le RGPD impose au fabricant de notifier la CNIL sous 72 heures et d'informer les utilisateurs concernés lorsque le risque pour leurs droits est élevé (article 34).

Les sanctions RGPD prononcées contre des fabricants d'objets connectés se sont multipliées depuis 2023, avec des amendes allant de quelques dizaines de milliers d'euros pour des PME jusqu'à plusieurs millions d'euros pour des acteurs majeurs ayant manqué à leurs obligations de minimisation des données ou de sécurisation.

Concrètement, privilégier des marques transparentes sur leur politique de confidentialité présente plusieurs bénéfices directs pour l'acheteur : moins de sollicitations publicitaires ciblées, réduction du risque d'exposition en cas de faille, et une meilleure maîtrise de l'écosystème domotique sur le long terme. Selon une étude Which? de 2025, les foyers ayant audité et limité les autorisations de leurs objets connectés réduisent de près de 40 % le volume de données transmises à des tiers publicitaires, sans perte de fonctionnalité perceptible au quotidien.

Avant l'achat d'un nouvel objet connecté, quelques vérifications rapides permettent d'anticiper la plupart des problèmes RGPD. Consulter la politique de confidentialité directement sur le site du fabricant plutôt que de se fier uniquement à la fiche produit du revendeur (Amazon, Darty, Fnac, Boulanger) : ces politiques sont parfois plus détaillées et à jour que les résumés marketing. Vérifier si l'application compagnon exige des permissions disproportionnées par rapport à sa fonction réelle, par exemple l'accès aux contacts pour une simple ampoule connectée. Enfin, privilégier les fabricants ayant désigné un DPO identifiable et joignable, gage d'une organisation prenant au sérieux ses obligations réglementaires plutôt que de les traiter comme une simple formalité.

Domotique, IA locale et respect du RGPD

L'essor des box domotique fonctionnant en local, comme Home Assistant, Jeedom ou Homey, change la donne pour les utilisateurs soucieux de leur vie privée. Contrairement aux écosystèmes purement cloud, ces solutions permettent de créer des automatisations (allumage des lumières, déclenchement d'alarme, régulation du chauffage) sans que les données transitent systématiquement par les serveurs du fabricant. Le RGPD encourage indirectement cette approche à travers son principe de minimisation : moins une donnée circule, moins le risque juridique et sécuritaire est élevé.

Pour un foyer équipé de plusieurs marques différentes, il est recommandé de centraliser la gestion via une box compatible Matter, qui unifie les protocoles tout en conservant un contrôle local des automatisations. Les commandes vocales restent possibles via Alexa, Google Home ou Apple HomeKit en façade, tout en limitant la donnée réellement transmise au strict nécessaire pour l'exécution de la commande demandée.

En pratique, avant d'intégrer un nouvel objet connecté à sa box domotique, il est utile de vérifier trois points : le protocole utilisé (Matter et Zigbee limitent nativement les échanges vers le cloud), la possibilité de désactiver l'envoi de données de diagnostic, et l'existence d'un mode local complet sans dépendance à une application propriétaire.

Les scénarios d'automatisation les plus courants, comme l'extinction générale des lumières et le verrouillage automatique des portes lorsque le dernier habitant quitte le domicile, peuvent aujourd'hui s'exécuter entièrement en local sur une box comme Home Assistant, sans qu'aucune donnée de géolocalisation ne transite par un serveur tiers. Cette approche répond directement à l'esprit du RGPD tout en conservant le même niveau de confort qu'une solution cloud classique, ce qui en fait une option de plus en plus recommandée pour les foyers particulièrement attentifs à la protection de leurs données personnelles.

FAQ