Mise en conformité de vos objets connectés par notre cabinet d'Avocat

Les objets connectés sont des « Objets qui captent, stockent, traitent et transmettent des données, qui peuvent recevoir et donner des instructions et qui ont pour cela la capacité à se connecter à un réseau d’information. »

On parle alors d’Internet des objets (Internet of Things en anglais - IoT) qui est l’interconnexion entre Internet et des objets.

Deux facteurs sont à prendre compte dans le régime juridique des objets connectés :

• Les droits de propriété intellectuelle : les objets connectés ont le droit à une protection particulière concernant les dessins et modèles de ces objets, de la marque mais également des logiciels utilisés pour faire fonctionner ces objets.
• La protection des données personnelles : les objets connectés vont collecter toute sorte de données à caractère personnelles qui sont protégées par les dispositions prévues dans le Règlement général de la protection des données (RGDP). Les concepteurs doivent donc mettre en place tous les éléments afin d’avoir une sécurisation fiable de ces données à caractère personnel.

Les objets connectés doivent donc être conformes aux différentes dispositions, les inventeurs doivent mettre en place différents procédés en matière de Réglementation sur les données personnelles :

• Le « Privacy by design » : ce principe est prévu à l’article 25 du RGPD qui prévoit : « le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données ». Le responsable du traitement doit donc mettre en place une protection des données dès la conception du traitement de ces dernières.
• Le « Privacy by default » : prévu également au deuxième point de l’article 25 du RGPD, le responsable du traitement doit mettre tout en œuvre afin d’assurer la sécurité des données personnelles aux utilisateurs. Cette mesure s’applique à la quantité des données qui vont être collectées, à la finalité de leur traitement, mais également à la durée de conservation et leur accessibilité par les personnes autorisées pour le faire.

Le responsable du traitement doit également faire preuve d’un principe de loyauté dans la collecte des données des utilisateurs. La collecte doit être pertinente à la vue de la finalité du traitement prévu.

La collecte des données personnelles doit être réalisée dans les règles juridiques prévues. Il est commun aujourd’hui que les montres connectées, les smartphones, les balances, peuvent collecter vos données de santé. Or, les données de santé sont considérées comme des données sensibles et ne peuvent donc pas être collectées. Excepté dans certains cas prévus à l’article 9 du RGPD (https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2).

Cette collecte est également permise après accord de la CNIL. De plus, l’hébergeur doit avoir un agrément spécifique délivré par le Ministère de la Santé après décision de la CNIL.

• Normes AFNOR :

Ces objets connectés doivent également être conforme pour disposer de la certification de la norme AFNOR.

Qu’est-ce que l’AFNOR ?

L’Association française pour la NORmalisation (AFNOR) a été créée en 1926 et élabore des normes. Elle délivre des certifications nationales ou internationales en collaboration avec l’ISO (organisation internationale de la commercialisation).

La conformité d’un produit aux normes françaises est désignée par un label officiel français qui est un gage de qualité et de sécurité.

Les objets connectés peuvent faire l’objet de :

• Cyberattaques : en étant relié à un système Internet, les objets connectés peuvent être piratés. Les hackers peuvent avoir l’accès à vos données personnelles.
• Piratage dû à l’utilisation de vos données personnelles ce qui amènera à une atteinte de votre vie privée.

Un enjeu d’anonymisation est à relever dans ce cas de figure des données par le responsable afin de garantir une sécurité et une protection maximale des données des utilisateurs.