Objets connectés (IoT) : vie privée, sécurité et responsabilité

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Les objets connectés : une réglementation en retard sur la technologie

La montre à votre poignet sait quand vous dormez, quelle est votre tension artérielle et où vous vous trouvez. La caméra domestique sait quand vous êtes chez vous et quand vous n’y êtes pas. L’enceinte connectée écoute les conversations. Ce sont des objets connectés (IoT) : tout appareil physique relié à internet qui collecte, traite et transmet des données. En Israël, des millions d’entre eux fonctionnent déjà dans les logements, les bureaux et les usines.

Le problème : la croissance devance la réglementation. Israël n’a pas de législation propre à l’IoT. Les lois existantes (protection de la vie privée, protection du consommateur, responsabilité civile) s’appliquent, mais leur interprétation pour les appareils connectés n’est pas encore fixée. Ce sont ces zones grises qui arriveront devant les tribunaux dans les années à venir.

Quatre questions juridiques qui n’ont pas encore de réponse claire

La responsabilité en cas de faille de sécurité : si un objet connecté a subi une fuite de données non autorisée, qui est responsable ? Le fabricant ? La société de services en nuage ? Le propriétaire qui n’a pas mis à jour le micrologiciel ?

La protection des données : les objets connectés collectent des données personnelles sensibles : informations sur les habitudes de sommeil, l’accès au logement, la santé. La loi impose de les protéger par un niveau de sécurité approprié.

Les droits des consommateurs : vous avez acheté un objet connecté qui ne fonctionne pas comme promis : quels sont vos droits ? La loi sur la protection du consommateur, 5741-1981 (חוק הגנת הצרכן, התשמ״א-1981), s’applique, mais agir contre un fabricant étranger est compliqué.

La négligence en responsabilité civile : si un objet connecté cause un dommage, par exemple un bug logiciel qui a causé un dommage matériel, qui peut être poursuivi ?

Cybersécurité et objets connectés

Les cyberattaques : les objets connectés sont une cible fréquente d’attaques : intrusion non autorisée dans le logement, vol d’informations, et même mise hors service d’appareils médicaux. La négligence d’un fabricant en matière de sécurité peut constituer un délit civil.

Les mises à jour de sécurité : même sans disposition légale dédiée, l’arrêt des mises à jour de sécurité peut être pris en compte pour apprécier la négligence du fabricant. Un appareil que son fabricant ne prend plus en charge mais qui reste connecté au réseau est un risque juridique. Et du côté de celui qui exploite les systèmes, il existe une disposition expresse : le titulaire d’une base de données veille aux mises à jour régulières des systèmes de la base de données. Il n’utilise pas de systèmes dont le fabricant n’assure pas la sécurité, sauf si une réponse de sécurité appropriée est apportée (article 13(c) du règlement sur la sécurité des données). Les « systèmes de la base de données » sont les systèmes utilisés par la base de données et qui ont une importance pour la sécurité des données (article 1).

Le chiffrement : l’article 14(b) du règlement sur la protection de la vie privée (sécurité des données), 5777-2017, impose de transmettre les informations d’une base de données sur un réseau public ou sur internet par des méthodes de chiffrement usuelles. Le règlement ne fixe pas de « niveaux de chiffrement » chiffrés.

Le principe du moindre privilège : les salariés de l’entreprise n’ont pas tous besoin d’accéder à toutes les données collectées. Limiter l’accès est à la fois une obligation légale (article 8 du règlement sur la sécurité des données, gestion des droits d’accès) et un outil de gestion des risques.

Lois et réglementation en Israël

La loi sur la protection de la vie privée, 5741-1981 : celui qui collecte des informations personnelles au moyen d’un objet connecté pour les traiter dans une base de données doit notamment fournir l’information prévue à l’article 11. Il ne peut utiliser les informations que pour la finalité pour laquelle elles ont été fournies (article 2(9)).

Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 : il fixe trois niveaux de sécurité (de base, moyen, élevé), et des obligations réduites pour la base de données gérée par un particulier (article 21), selon le type d’informations, le nombre de personnes dans la base de données et le nombre de personnes autorisées. Les détenteurs de bases de données, y compris les entreprises qui utilisent l’IoT, doivent respecter le niveau applicable.

Le RGPD européen (GDPR) : si le fabricant propose l’appareil ou le service à des personnes qui se trouvent dans l’Union européenne, ou s’il suit leur comportement là-bas, le RGPD s’applique (article 3(2)). Les amendes vont jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu (article 83(5)).

Le ministère des Communications : en Israël, le ministère des Communications peut imposer des exigences de conformité aux objets connectés reliés aux réseaux de communication. Par exemple, la connexion à un réseau mobile exige des autorisations spécifiques.

La responsabilité dans les actions en responsabilité civile

Si un objet connecté cause un dommage, qui est responsable ? La question juridique centrale :

• Le fabricant : si l’appareil présentait un défaut de conception ou un défaut logiciel, le fabricant risque d’engager sa responsabilité au titre du délit civil de négligence. Si un dommage corporel a été causé, il est responsable même sans faute selon la loi sur la responsabilité du fait des produits défectueux, 5740-1980 (חוק האחריות למוצרים פגומים, התש״ם-1980) (articles 2–3). Cette loi ne s’applique pas au dommage matériel ni au dommage purement financier.
• Le fournisseur de services en nuage : si le service cloud qui gère l’appareil a fait défaut, le fournisseur du service risque d’être exposé à une action.
• Le propriétaire de l’appareil : si le propriétaire n’a pas installé des correctifs de sécurité connus, ou a utilisé l’appareil contrairement aux instructions, il risque de supporter une part de responsabilité pour le dommage qu’il a causé.

Politique de confidentialité et objets connectés

Celui qui collecte des informations personnelles au moyen d’un objet connecté doit fournir l’information prévue à l’article 11 de la loi sur la protection de la vie privée : si la fourniture des informations est obligatoire ou facultative, la finalité de la collecte, l’identité du responsable, à qui les informations seront transmises, et les droits d’accès et de rectification. En pratique, on détaille aussi habituellement dans une politique de confidentialité :

• quelles données sont collectées, et quand
• où les données sont stockées (en Israël ? en Europe ? aux États-Unis ?), et sur quelle base le transfert des informations à l’étranger est permis
• qui peut accéder aux données
• combien de temps les données sont conservées
• comment demander la rectification ou la suppression des données (en Israël, article 14 ; un droit à l’effacement plus large existe selon le RGPD, article 17)

Cette politique doit être accessible et compréhensible ; le droit d’accès lui-même s’exerce en hébreu, en arabe ou en anglais (article 13(b)). Cliquer sur « Activer » sans explication de ce qui est collecté et pourquoi peut difficilement satisfaire à l’exigence de « consentement éclairé » (article 3).

Recommandations pratiques

Pour les fabricants :

• Le principe de Privacy by Design : intégrez la protection de la vie privée à chaque étape du développement, et non comme un ajout après coup
• Fournissez des mises à jour de sécurité pendant toute la vie du produit ; l’arrêt des mises à jour doit être annoncé à l’avance
• Soyez transparents sur les données collectées et sur leur finalité
• Envisagez une assurance responsabilité du fait des produits : les actions se multiplient sur le marché de l’IoT

Pour les consommateurs :

• Choisissez des appareils de fabricants qui ont une bonne réputation et une politique de sécurité claire
• Lisez la politique de confidentialité avant l’achat, en particulier les clauses de partage de données avec des tiers
• Mettez à jour le micrologiciel lorsque des mises à jour de sécurité sont disponibles
• Utilisez des mots de passe robustes et la 2FA sur chaque appareil qui le permet

Questions fréquentes

Un objet connecté a causé un dommage. Qui est responsable ?

Le fabricant risque d’engager sa responsabilité au titre du délit civil de négligence si l’appareil présentait un défaut de conception ou un défaut logiciel. Si un dommage corporel a été causé, il est responsable même sans faute selon la loi sur la responsabilité du fait des produits défectueux, 5740-1980 (articles 2–3), qui ne s’applique pas au dommage matériel ni au dommage purement financier. Le fournisseur de services en nuage risque d’être exposé à une action si le service a fait défaut. Le propriétaire de l’appareil qui n’a pas installé des correctifs de sécurité connus risque de supporter une part de responsabilité.

Les serveurs de l’appareil sont à l’étranger. La loi sur la protection de la vie privée d’Israël s’applique-t-elle ?

Oui. Celui qui gère une base de données en Israël est soumis à la loi même lorsque le serveur est à l’étranger. Le transfert des informations de la base de données vers un serveur à l’étranger est soumis au règlement sur la protection de la vie privée (transfert de données vers des bases de données situées hors des frontières de l’État), 5761-2001 (תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001) (articles 1–3).

Le fabricant a cessé d’envoyer des mises à jour de sécurité. Quelle en est la portée juridique ?

Même sans disposition légale dédiée, l’arrêt des mises à jour de sécurité peut être pris en compte pour apprécier la négligence du fabricant. Et du côté de celui qui exploite les systèmes, il existe une disposition expresse : le titulaire d’une base de données veille aux mises à jour régulières des systèmes de la base de données. Il n’utilise pas de systèmes dont le fabricant n’assure pas la sécurité, sauf si une réponse de sécurité appropriée est apportée (article 13(c) du règlement sur la sécurité des données).

Le RGPD s’applique-t-il à un fabricant israélien d’objets connectés ?

Oui, si le fabricant propose l’appareil ou le service à des personnes qui se trouvent dans l’Union européenne, ou s’il suit leur comportement là-bas (article 3(2) du RGPD). Les amendes qu’il prévoit vont jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu (article 83(5)).

Cliquer sur « Activer » sur l’appareil vaut-il consentement à la collecte des informations ?

Pas nécessairement. Cliquer sur « Activer » sans explication de ce qui est collecté et pourquoi peut difficilement satisfaire à l’exigence de « consentement éclairé » (article 3 de la loi sur la protection de la vie privée). Celui qui collecte des informations personnelles au moyen de l’appareil doit aussi fournir l’information prévue à l’article 11 : la finalité de la collecte, l’identité du responsable, à qui les informations seront transmises, et les droits d’accès et de rectification.