Domotique et vie privée : ce qui part chez le fabricant

En bref : ce qui sort vraiment de chez vous

• Une box domotique n’envoie presque jamais « ce que vous faites chez vous » sous forme lisible : elle envoie des identifiants (compte, adresse MAC, nom du réseau Wi-Fi), de la télémétrie (états d’appareils, logs) et, selon les cas, du contenu (voix, vidéo).
• Le maillon le plus bavard n’est pas la box, c’est l’application mobile. L’étude Which? du 5 novembre 2024 relève que la totalité des appareils testés réclamaient la localisation précise du téléphone.
• Les fabricants publient eux-mêmes la liste. Aqara détaille quatorze catégories de données personnelles dans sa politique RGPD, jusqu’au nom de vos scènes et à leurs plages horaires.
• Le traitement local recule chez certains : Amazon a supprimé l’option « Do Not Send Voice Recordings » de ses Echo le 28 mars 2025.
• Deux échéances tombent ce mois-ci : l’accessibilité des données par conception du Data Act pour tout produit mis sur le marché après le 12 septembre 2026, et l’obligation de signalement du Cyber Resilience Act au 11 septembre 2026.

Cet article ne repose pas sur une interception de flux chiffrés : il s’appuie sur les politiques de confidentialité que les fabricants publient, sur les documents des régulateurs et sur les études indépendantes citées en lien. Chaque affirmation est vérifiable en cliquant.

Quelles données une box domotique envoie-t-elle au fabricant ?

Une box domotique transmet trois familles de données : l’identification du foyer et du matériel (compte, adresse MAC, nom du réseau Wi-Fi, numéros de série), la télémétrie de fonctionnement (états des appareils, journaux techniques, versions de firmware) et, seulement pour certains équipements, du contenu brut comme la voix ou la vidéo.

La confusion vient de là. Beaucoup imaginent que le fabricant « voit » leur logement. En pratique, ce qu’il reçoit ressemble davantage à un journal d’événements : capteur de porte ouvert à 7 h 42, lampe du salon allumée à 19 h 10, scène « départ » déclenchée. Ce journal, mis bout à bout sur plusieurs mois, décrit vos horaires de lever, vos absences et vos habitudes avec une précision que peu de gens soupçonnent.

L’exemple d’un fabricant qui publie sa liste

Aqara est l’un des rares fabricants à détailler nommément ce qu’il collecte. Sa politique de confidentialité RGPD énumère quatorze catégories de données personnelles. Le tableau ci-dessous en reprend les plus parlantes, telles qu’elles y figurent.

Catégorie déclarée	Contenu précisé par le fabricant
Informations du hub	Nom du réseau Wi-Fi, puissance du signal (RSSI), adresse IP, adresse MAC, Android ID, identifiant d’appareil, version de firmware
Identifiants du téléphone	IMEI, Device ID, OAID, ANDROID_ID, version du système d’exploitation
Automatisations et scènes	Nom de la scène, liste des conditions, liste des actions, plage horaire d’activation
Sous-appareils	Données des capteurs et commandes rattachés au hub
Journaux	Adresse IP, requêtes réseau, historique de messagerie temporaire, journaux système, rapports de plantage — conservés un an
Localisation	Région, code pays, code ville, identifiant de cellule, latitude et longitude (localisation précise soumise à consentement distinct)

La ligne « automatisations et scènes » mérite qu’on s’y arrête. Le nom que vous donnez à une scène et sa plage horaire suffisent à décrire une routine de vie. Une scène nommée « Nuit » active de 23 h à 6 h 30 dit à peu près tout ce qu’il y a à savoir sur votre rythme.

Le même document précise que, pour les utilisateurs européens, les données sont traitées sur un serveur situé à Francfort et qu’« en fonctionnement normal, aucune de vos données personnelles ne sera transférée vers nos bureaux en Chine ». Il liste dans le même temps Tencent Cloud comme sous-traitant — avec un accès restreint au territoire de l’Union — et quatorze kits de développement tiers embarqués dans l’application, dont ceux de Google et de Facebook. Les deux informations coexistent dans le même texte : à chacun d’en tirer sa conclusion.

L’application mobile collecte-t-elle plus que la box ?

Oui, presque toujours. L’application vit sur un téléphone qui contient déjà votre carnet d’adresses, votre position et vos identifiants publicitaires. C’est par elle que transitent les traceurs tiers, absents de la box elle-même. C’est aussi elle qui réclame les autorisations les plus larges, souvent sans rapport avec la fonction du produit.

L’association britannique Which? a testé ce point à deux reprises. Dans son enquête du 5 novembre 2024, l’ensemble des appareils du panel réclamaient la localisation précise de l’utilisateur. L’enceinte Bose Home Portable était décrite comme « bourrée de traceurs », dont ceux de Facebook, Google et Urbanairship. Les applications de friteuses Xiaomi se connectaient à des traceurs Facebook, Pangle — la régie publicitaire de TikTok — et Tencent, tout en demandant l’autorisation d’enregistrer l’audio du téléphone sans justification énoncée. La montre Huawei du panel cumulait neuf permissions classées « à risque », le maximum relevé.

L’enquête précédente, publiée le 7 septembre 2023, ciblait les caméras et le gros électroménager. Les caméras Ezviz y présentaient le plus grand nombre de traceurs actifs — Pangle, Huawei, Google et Meta. Une application de lave-linge LG réclamait nom, date de naissance, adresse e-mail, carnet de contacts, localisation précise et numéro de téléphone. La création d’un compte Google Nest exigeait nom complet, e-mail, date de naissance et genre. Dans le sondage associé, 67 % des répondants déclaraient survoler les politiques de confidentialité et 33 % n’en lire aucune.

Conséquence pratique : refuser la localisation en arrière-plan et l’accès aux contacts casse rarement une installation domotique. Ces deux permissions servent le plus souvent au géorepérage optionnel et au partage de foyer, deux fonctions dont on peut se passer.

Que devient un enregistrement vocal ?

Il part sur les serveurs du fabricant dès que le mot d’activation est détecté. La détection du mot-clé, elle, reste locale : c’est le seul traitement qui ne quitte pas l’appareil. Tout ce qui suit — transcription, interprétation, réponse — est calculé à distance, sauf chez Apple qui analyse une partie sur un hub domestique.

Le mouvement récent va vers moins de local, pas plus. Amazon a supprimé l’option « Do Not Send Voice Recordings » de ses enceintes le 28 mars 2025, comme le documente The Register. Étaient concernés les Echo Dot de 4^e génération, Echo Show 10 et Echo Show 15. Le motif avancé par Amazon : les nouvelles fonctions d’IA générative « reposent sur la puissance de calcul du cloud sécurisé d’Amazon ». Le réglage de repli, « Don’t save recordings », laisse l’audio partir mais le supprime après traitement — et désactive l’identification vocale Voice ID.

Ce que les autres écosystèmes s’engagent à faire

Google publie des engagements Nest explicites : la vidéo, l’audio et les relevés de capteurs sont tenus « à l’écart de la publicité » et ne servent pas à la personnalisation publicitaire ; un voyant visible signale l’envoi de vidéo, un indicateur lumineux l’envoi d’audio. La même page précise que l’audio n’est transmis que lorsque l’Assistant « détecte l’activation », ce qui confirme que le repérage du mot-clé se fait bien sur l’appareil. Elle réserve en revanche le cas des interactions avec l’Assistant, qui peuvent, elles, alimenter les centres d’intérêt publicitaires : l’engagement porte sur les flux des appareils, pas sur ce que vous dites à l’assistant. Ces engagements diffèrent nettement d’un écosystème à l’autre, et ils pèsent dans le choix : nous les avons mis face à face dans notre comparatif d’Alexa, Google Home et Apple Home.

Apple décrit dans sa documentation de sécurité une architecture différente pour HomeKit Secure Video : le hub domestique déchiffre les flux et « analyse les images vidéo localement » ; en accès distant, il « ne déchiffre pas les flux, il fonctionne uniquement comme un relais ». Apple affirme que le mécanisme fonctionne « sans exposer ce contenu vidéo à Apple ni à aucun tiers ».

Combien de temps le fabricant conserve-t-il ces données ?

Rarement moins d’un an pour les journaux techniques, et souvent « jusqu’à la suppression du compte » pour le reste. C’est l’angle mort le plus fréquent des politiques de confidentialité : la durée est écrite, mais dans une section que personne n’ouvre, et elle vaut aussi pour les données que vous croyez éphémères.

Aqara annonce un an pour les journaux et un an pour les réglages d’automatisation, les identifiants de compte étant conservés « jusqu’à la suppression du compte ». Tuya, dont la plateforme équipe une part importante des produits vendus sous marque blanche, indique dans son centre de confiance opérer sept centres de données — États-Unis Est et Ouest, Europe, Inde, Singapour et Chine continentale — l’affectation dépendant de la région de l’utilisateur. Du côté français, Legrand indique pour la gamme « with Netatmo » une conformité RGPD, des serveurs situés en Europe et un stockage local sur carte microSD pour la caméra intérieure.

Retenez le réflexe : avant d’acheter, cherchez dans la politique de confidentialité les mots « conservation », « retention » ou « durée ». Si le document n’en parle pas, c’est en soi une information sur le sérieux du fabricant.

Le RGPD vous protège-t-il vraiment dans votre maison ?

Il protège vos données face au fabricant, pas face à vous-même. L’usage strictement domestique d’une caméra ou d’un capteur échappe au RGPD : vous n’êtes pas responsable de traitement chez vous. En revanche, le fabricant qui reçoit et conserve ces données l’est pleinement, et l’ensemble de vos droits s’exercent contre lui.

Cette exemption domestique se lit strictement. La CNIL précise, sur sa page consacrée à la vidéosurveillance chez soi, que les dispositifs échappent aux règles « seulement s’ils sont limités à la sphère strictement privée ». Vous pouvez filmer l’intérieur du logement, le jardin et le chemin d’accès privé, jamais la voie publique. Et dès qu’une personne extérieure au cercle familial intervient chez vous — aide à domicile, garde d’enfants —, il faut « informer les personnes sur l’existence des caméras et le but poursuivi », les caméras ne devant pas filmer un salarié en permanence.

C’est la nuance que la plupart des articles sur le sujet ratent. Elle a une conséquence directe : le seul levier réellement contraignant dont vous disposez n’est pas un réglage dans l’application, c’est une demande écrite au fabricant. Le droit d’accès décrit par la CNIL impose une réponse « dans les meilleurs délais et au plus tard dans un délai d’un mois », prolongeable à trois mois en cas de complexité, et son exercice est gratuit. Sans réponse dans le délai, vous pouvez saisir la CNIL et, dans l’intervalle, demander la limitation du traitement.

Ce levier n’est pas théorique. Dans son bilan des sanctions 2025 publié le 9 février 2026, la CNIL fait état de 83 sanctions pour un montant cumulé de 486 839 500 euros et de 143 mises en demeure. Quatorze organismes ont été sanctionnés pour insuffisance de sécurité des données et quatorze décisions ont porté sur le non-respect des droits des personnes. Aux États-Unis, la FTC a sanctionné Amazon de 25 millions de dollars le 31 mai 2023 pour avoir conservé indéfiniment des enregistrements vocaux d’enfants, malgré les demandes de suppression des parents.

Ce que le Data Act change à partir du 12 septembre 2026

Le règlement européen sur les données, le Data Act, s’applique depuis le 12 septembre 2025. Il ajoute au RGPD un droit d’accès aux données générées par l’objet lui-même, y compris celles qui ne sont pas personnelles. Selon la présentation qu’en fait la CNIL, cet accès doit être possible « sans frais, en toute sécurité, dans un format compréhensible et réutilisable ».

La bascule concrète intervient en septembre 2026 : les fabricants doivent désormais concevoir les objets pour que les données soient directement accessibles, et non plus fournies sur demande. Cette obligation d’accessibilité par conception vise les produits mis sur le marché après le 12 septembre 2026 — les modèles déjà commercialisés y échappent, même s’ils restent en vente. Autrement dit, le matériel que vous achetez cet automne n’est pas soumis au même régime selon sa date de mise sur le marché.

Deux autres textes complètent le tableau. Les exigences de cybersécurité du règlement délégué (UE) 2022/30, adossé à la directive RED, sont obligatoires depuis le 1^er août 2025 pour tout équipement radio connecté vendu dans l’Union, avec les normes harmonisées EN 18031 publiées au Journal officiel le 30 janvier 2025. Et le Cyber Resilience Act, entré en vigueur le 10 décembre 2024, impose ses obligations de signalement des vulnérabilités activement exploitées à partir du 11 septembre 2026, avant une application pleine le 11 décembre 2027 — avec, à la clé, l’obligation pour le fabricant de déclarer une période de support.

Quelle installation limite réellement ce qui sort ?

Celle dont le cerveau reste chez vous. Quatre architectures coexistent, et l’écart entre la première et la dernière est considérable : dans un cas la totalité des événements transite par un serveur distant, dans l’autre rien ne sort tant que vous ne l’activez pas explicitement. Le protocole radio ne suffit pas à trancher, c’est le contrôleur qui décide. Le choix du contrôleur est donc d’abord une décision de confidentialité : notre guide compare Home Assistant, Jeedom, Homey et l’option sans box, exécution locale de chacune à l’appui. Pour la vidéo, l’arbitrage se joue au même endroit : nous détaillons ce qui sort de chez vous selon que la caméra enregistre en local, dans le cloud ou les deux. Un cas mérite d’être isolé : souscrire une télésurveillance revient à autoriser un opérateur tiers à consulter vos images pour lever le doute, arbitrage que nous détaillons dans notre comparatif entre auto-surveillance et télésurveillance.

Architecture	Ce qui part par défaut	Fonctionne sans Internet ?
Cloud constructeur (Tuya, marques blanches)	Compte, identifiants d’appareil, états, journaux, scènes	Non : la commande passe par le serveur
Matter avec contrôleur grand public	Contrôle local ; compte et télémétrie de l’écosystème	Oui pour le contrôle de base, non pour l’accès distant
Hub Apple + HomeKit Secure Video	Analyse locale sur le hub, contenu chiffré de bout en bout	Oui en local, relais chiffré à distance
Home Assistant auto-hébergé	Rien, sauf services cloud activés explicitement	Oui, y compris pour l’automatisation complète

La foire aux questions de la Connectivity Standards Alliance est claire sur ce point : Matter « est une technologie de connectivité locale », mais les appareils Matter seuls « nécessitent un contrôleur connecté à Internet présent dans le logement » pour permettre le pilotage à distance. La norme impose le chiffrement de bout en bout et limite les informations échangées au strict nécessaire ; elle laisse en revanche les fabricants libres de maintenir leur propre cloud en parallèle. Matter réduit la dépendance au cloud, il ne la supprime pas — c’est exactement ce que nous détaillons dans notre analyse de ce que la norme Matter garantit réellement.

À l’autre extrémité, Home Assistant affirme dans sa documentation officielle qu’« il n’existe pas de compte Home Assistant dans le cloud et aucun tiers n’a accès à vos appareils ni à vos données », les données étant stockées sur votre propre matériel. Les protocoles locaux — Zigbee, Z-Wave, Matter, Thread, ESPHome — « n’ont besoin d’aucune connexion Internet ». Les services distants existent, mais en opt-in. Le choix du protocole radio de vos appareils détermine ensuite ce qui peut réellement rester hors ligne.

Une précision qui évite un contresens fréquent : se passer de cloud n’est pas la même chose que se passer d’abonnement. Une installation peut très bien fonctionner sans payer tout en envoyant vos données au fabricant — nous avons traité séparément la question d’une installation qui fonctionne sans abonnement, qui relève du portefeuille et non de la vie privée.

Comment vérifier vous-même ce que votre installation envoie

Quatre étapes, aucune compétence particulière requise pour les trois premières. L’objectif n’est pas de déchiffrer les flux — c’est hors de portée sans banc de test — mais de savoir vers qui vos appareils parlent, à quelle fréquence, et ce que le fabricant reconnaît détenir.

1. Lire la politique de confidentialité par les bons mots-clés

N’essayez pas de tout lire. Cherchez dans le document six termes : « conservation », « durée », « transfert », « sous-traitant », « SDK » et « tiers ». Ces six recherches donnent en dix minutes l’essentiel : ce qui est gardé, combien de temps, par qui et vers où. Le nom des sous-traitants et la liste des SDK sont souvent plus instructifs que la déclaration d’intention en tête de document.

2. Observer les requêtes DNS de votre réseau

Un résolveur DNS local — Pi-hole ou AdGuard Home sur un Raspberry Pi, ou le journal DNS de certains routeurs — enregistre les noms de domaine que chaque appareil interroge. Vous ne verrez pas le contenu, mais vous verrez les destinataires et la fréquence. Un capteur de température qui contacte un domaine publicitaire toutes les cinq minutes se repère en une soirée.

3. Couper Internet et observer ce qui tombe

Le test le plus révélateur est aussi le plus simple. Débranchez le câble WAN de votre routeur pendant dix minutes, puis essayez d’allumer une lampe depuis l’interrupteur mural, puis depuis l’application sur le Wi-Fi local. Ce qui continue de fonctionner est local. Ce qui tombe passait par un serveur distant — et transmettait donc l’événement au fabricant.

4. Envoyer une demande d’accès au fabricant

C’est l’étape qui produit la preuve. Adressez au délégué à la protection des données du fabricant, par e-mail avec accusé de réception, une demande d’accès au titre de l’article 15 du RGPD. Un modèle court suffit :

Madame, Monsieur, en application de l’article 15 du RGPD, je vous demande de me communiquer l’ensemble des données personnelles me concernant que vous détenez, associées au compte [adresse e-mail] et aux appareils [modèles et numéros de série]. Merci de préciser les finalités de chaque traitement, les catégories de destinataires, les durées de conservation appliquées et l’existence de transferts hors Union européenne. Je joins une copie de ma pièce d’identité. Cette demande appelle une réponse sous un mois.

Conservez l’envoi et la date. Si aucune réponse ne vous parvient au bout d’un mois, ou si le fabricant ne vous a pas informé d’une prolongation motivée, vous disposez du dossier nécessaire pour saisir la CNIL. Depuis le 12 septembre 2025, vous pouvez y joindre une demande fondée sur le Data Act pour les données générées par l’appareil qui ne seraient pas des données personnelles.

Sept réglages qui réduisent la collecte sans casser l’installation

• Refuser la localisation en arrière-plan à l’application domotique. Elle ne sert qu’au géorepérage, que l’on peut remplacer par une automatisation horaire.
• Refuser l’accès aux contacts et au micro du téléphone. Aucune fonction domotique essentielle n’en dépend.
• Désactiver les statistiques d’usage et l’amélioration produit dans les réglages de l’application : c’est là que se cache la télémétrie facultative.
• Renommer vos scènes de façon neutre. « Scène 1 » en dit nettement moins que « Départ travail 8 h ».
• Créer un compte dédié, avec une adresse e-mail distincte et un mot de passe unique, plutôt que d’utiliser la connexion via un compte social.
• Privilégier les appareils Zigbee, Z-Wave ou Thread pilotés par un contrôleur local aux appareils Wi-Fi liés à un cloud constructeur. Le point vaut aussi pour les interrupteurs connectés, souvent choisis sur le seul critère du câblage.
• Vérifier la période de support annoncée avant d’acheter : un appareil sans mises à jour reste un point d’entrée sur votre réseau domestique, et le CRA rend cette information obligatoire à terme.

Aucun de ces gestes ne rend une installation invisible. Ils réduisent la surface : moins d’identifiants croisés, moins de traceurs tiers, moins de durée de conservation subie. Pour aller plus loin, la CNIL tient à jour une page thématique sur les objets connectés, enrichie en décembre 2025 d’une analyse du Data Act et en mai 2026 d’un appel à la vigilance sur les lunettes connectées.