Un ventilateur de plafond. Bête, silencieux, utile. L’objet qu’on installe une fois et qu’on oublie pendant vingt ans. Mais le mien, depuis que je l’ai remplacé par un modèle connecté à détecteur de présence, ne fait pas qu’agiter de l’air. Il prend des notes. Et quand j’ai ouvert son journal d’activité pour la première fois, j’ai compris en trente secondes ce que révèlent des mois de logs : mes horaires de lever, mes pauses déjeuner, mes nuits trop courtes, ma vie, telle qu’elle est vraiment, pas telle que je l’imagine.
À retenir
- Un simple détecteur de présence cartographie l’intégralité de vos déplacements quotidiens avec une précision déconcertante
- Les données transitent par des serveurs Tuya (société chinoise) soumis à la loi chinoise, même si l’UE tente de les encadrer
- Trois mois de logs révèlent plus sur vos habitudes que vous ne l’imaginiez : levée, déjeuner, sommeil, fatigue
Un appareil innocent qui sait tout de vos rythmes
Ces modèles embarquent des capteurs de présence pour adapter leur fonctionnement automatiquement à l’environnement de la pièce. Concrètement, cela veut dire que dès qu’une personne entre dans la zone de détection, le système s’active sur une position ou vitesse définie. Jusque-là, rien d’étonnant. C’est exactement la promesse marketing. Le hic, c’est ce qui se passe en coulisses.
Chaque détection génère un événement horodaté. Entrée dans la pièce à 7h14. Sortie à 7h52. Retour à 13h03. Nouvelle absence à 14h28. En une semaine, ces timestamps forment un portrait comportemental d’une précision déconcertante. Pas de caméra, pas de micro. Juste des impulsions infrarouges. Ces appareils enregistrent nos déplacements dans la maison, nos habitudes alimentaires ou encore nos horaires de sommeil. Le ventilateur, lui, s’y est mis sans que vous le demandiez explicitement.
Ce type de détecteur offre une couverture de 360° avec une portée allant jusqu’à 7 mètres. posé au plafond du salon ou de la chambre, il cartographie l’essentiel de vos déplacements quotidiens. Une technologie conçue pour l’efficacité énergétique qui se retrouve à documenter votre existence heure par heure.
Ces données qui ne restent pas chez vous
La grande majorité des ventilateurs connectés grand public s’appuient sur une plateforme commune : Tuya, et son application Smart Life. Cette application est une passerelle entre l’objet connecté et son serveur, et l’ensemble des données entrées dans l’application, ainsi que l’activité de Vos objets connectés, transitent et sont stockées sur les serveurs Tuya Inc. Ce n’est pas une faille, c’est le fonctionnement nominal du système. De nombreuses applications utilisent la plateforme Tuya : Avidsen Home, BlitzWolf, Calex Smart, Lidl Home, LSC Smart Connect, Proscenic Home, Konyks. En achetant un ventilateur à 80 euros chez une enseigne discount, vous rejoignez sans le savoir un écosystème cloud qui centralise des millions d’appareils.
Tuya est une société chinoise. Et c’est là que le sujet devient sensible. “Chaque appareil IoT que nous avons examiné avait une connexion commerciale avec la Chine et chaque produit a été observé en train de communiquer avec l’infrastructure en Chine, sans notre autorisation”, a déclaré Vince Crisler, fondateur de la société de cybersécurité Dark3 Inc. après avoir analysé des appareils Tuya sur le marché américain. La nuance européenne existe : en Europe, les serveurs des applications Tuya Smart sont pour partie hébergés chez Amazon Web Services en Allemagne et semblent respectueux du RGPD. Mais la confiance s’arrête là où commence la loi chinoise, qui oblige les entreprises à remettre toutes les données collectées sur demande du gouvernement.
Dans la pratique, les obligations légales sont parfois noyées dans des conditions d’utilisation complexes. Le problème est encore plus aigu lorsque les objets sont importés depuis des marchés hors UE, où la législation est moins stricte. Votre ventilateur vous a posé la question du consentement lors de l’installation. Vous avez tapé “Accepter” sans lire. Nous avons tous fait pareil.
Ce que la loi dit, ce que les fabricants font
Le cadre réglementaire européen n’est pas inexistant. La CNIL le rappelle : parce que les objets connectés génèrent une grande quantité de données pouvant être stockées sur Internet, il est indispensable de bien les sécuriser. Plus structurellement, la notion de “données sensibles augmentées” a émergé pour qualifier certaines informations collectées par les objets connectés : des données qui, prises isolément, ne seraient pas sensibles au sens du RGPD, mais qui le deviennent par leur volume, leur précision ou leur croisement.
C’est exactement le cas ici. Une seule détection de présence à 7h15 ne dit rien. Trois mois de logs montrent que vous vous levez invariablement entre 7h10 et 7h20, que vous quittez le domicile vers 8h45, que vous rentrez fatigué entre 19h et 19h30 les jours de semaine, que vous dormez jusqu’à 10h le samedi. La jurisprudence européenne a consacré le principe de finalité stricte dans la collecte des données par les objets connectés, condamnant des fabricants qui utilisaient les données pour établir des profils sans information claire des utilisateurs. Cette jurisprudence impose désormais une séparation étanche entre les données nécessaires au fonctionnement du service et celles exploitées à des fins commerciales. En théorie. En pratique, ces données ne servent pas uniquement à améliorer les services ; elles sont aussi utilisées pour créer des profils publicitaires, améliorer les algorithmes de recommandation ou être revendues à des tiers.
Reprendre le contrôle sans tout désinstaller
La réponse radicale serait de débrancher l’appareil. Efficace, mais pas vraiment satisfaisante quand on a payé pour le confort de l’automatisation. Des alternatives existent, plus nuancées. La première : opter pour une installation locale, sans cloud. Des solutions comme Home Assistant permettent de piloter un ventilateur Tuya directement via le réseau domestique, sans que les données ne transitent par des serveurs externes. Les alternatives low-data gagnent en popularité auprès des consommateurs soucieux de leur vie privée, minimisant la collecte d’informations en limitant parfois la connexion au strict nécessaire.
Pour ceux qui conservent l’application constructeur, quelques réflexes changent la donne. Lors du choix d’une application pour vos objets connectés, privilégiez une marque réputée garantissant la protection de la vie privée et la sécurité des données. La CNIL conseille aussi de désactiver le partage automatique des données et de s’assurer de la possibilité d’accéder aux données et de les supprimer. Vous avez ce droit, même si les fabricants ne s’empressent pas de vous le rappeler. Vous avez des droits, dont celui d’accéder aux données collectées et celui de demander leur suppression.
Le vrai renversement de perspective que provoque l’ouverture de ces logs, c’est la prise de conscience que l’intelligence du foyer connecté est en réalité bidirectionnelle. Votre maison apprend de vous autant que vous apprenez d’elle. Un détecteur de présence intégré à un ventilateur de plafond, c’est moins intrusif qu’une caméra, certes. Mais la granularité comportementale qu’il accumule au fil du temps dépasse largement ce que produirait une simple vidéo d’une journée. Ce que le Cyber Resilience Act européen, entré en vigueur en 2024, tente d’imposer aux fabricants, c’est précisément le concept de protection by design, intégrant dès la conception des objets connectés des garanties de confidentialité et de sécurité plutôt que de laisser l’utilisateur se débrouiller seul avec des politiques de confidentialité illisibles rédigées à l’autre bout du monde.
Sources : jaidesdroits.fr | enki-home.com