Pour Noël, Attention Aux Jouets Connectés, Selon La CNIL

A l’approche des fêtes de fin d’années, la Commission Nationale de l’Informatique et des Libertés (CNIL) met en demeure la société Genesis Industries Limited de sécuriser deux jouets connectés, la poupée « My Friend Cayla » et le robot « I-Que ». Après plusieurs vérifications, l’autorité a constaté que le constructeur de jouets enfreignait la loi informatique et libertés.

La Présidente de la Commission Nationale de l’Informatique et des Libertés (CNIL) Isabelle Falque-Pierrotin met en demeure, ce 4 décembre, la société Genesis Industries Limited de sécuriser deux jouets connectés la poupée « My friend Cayla » et le robot « I-Que », indique un communiqué de l’autorité.  

C’est une association de consommateurs qui a alerté la CNIL en décembre 2016 sur le défaut de sécurité des deux jouets, indique la CNIL. Plusieurs contrôles ont permis à l’autorité française de dresser le constat suivant : la société basée à Hong-Kong collecte, par ces jouets, « une multitude d’informations personnelles sur les enfants et leur entourage », grâce aux micros permettent aux enfants de discuter avec les jouets. « Les voix, le contenu des conversations échangées avec les jouets (qui peut révéler des données identifiantes comme une adresse, un nom…) mais également des informations renseignées dans un formulaire de l’application « My Friend Cayla App » », précise la CNIL.

Dans une infographie, et sur Twitter, et avec le mot-dièse #PrivacyByDesign, la CNIL a souhaité alerter les constructeurs et les parents à l’approche des fêtes de fin d’année par un « thread » de Noël.

Thread de #Noël pour sensibiliser constructeurs et parents sur la sécurité des jouets connectés #PrivacyByDesign 🔽 pic.twitter.com/kly7FFFEcB

— CNIL (@CNIL) 4 décembre 2017

Parmi les manquements à la loi informatique et libertés, les contrôleurs de la CNIL pointent du doigt le « non-respect de la vie privée en raison d’un défaut de sécurité ». Ainsi, indique le rapport de l’autorité, « une personne située à 9 mètres des jouets à l’extérieur d’un bâtiment, peut connecter (ou « appairer ») un téléphone mobile aux jouets grâce au standard de communication Bluetooth sans avoir à s’authentifier ». Possible donc pour une personne extérieure d’entendre et d’enregistrer une conversation à proximité du jouet. Tout aussi inquiétante, la possibilité de communiquer avec l’enfant directement par la poupée ou le robot ou par le biais des enceintes.

Si une telle faille pourrait donner à certains des idées de blagues – ou de tournage de film d’épouvante –  cela ne fait aucunement rire la CNIL. La Présidente a tenu à rappeler dans sa communication que se connecter à l’insu des propriétaires des jouets et « d’avoir accès aux discussions échangées dans un cercle familial ou amical, méconnaît l’article 1^er de la loi Informatique et libertés selon lequel l’informatique ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »

En février 2017 déjà, face au phénomène des jouets connectés, l’autorité avait proposé aux utilisateurs un petit guide pour sécuriser ses jouets connectés. Par exemple, vérifier que n’importe qui ne puisse se connecter au jouet, changer le paramétrage par défaut ou encore vérifier si l’objet dispose d’un voyant qui s’allume pour indiquer qu’il est en mode écoute…