Faille de sécurité dans les babyphones vendus par de nombreuses marques

{"question": {"@xmlns": "http://schemas.assemblee-nationale.fr/referentiel", "@xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance", "@xsi:type": "QuestionEcrite_Type", "uid": "QANR5L17QE14642", "identifiant": {"numero": "14642", "regime": "5eme Republique", "legislature": "17"}, "type": "QE", "indexationAN": {"rubrique": "consommation", "teteAnalyse": null, "analyses": {"analyse": "Faille de sécurité dans les babyphones vendus par de nombreuses marques"}}, "auteur": {"identite": {"acteurRef": "PA721984", "mandatRef": "PM843536"}, "groupe": {"organeRef": "PO845454", "abrege": "DEM", "developpe": "Les Démocrates"}}, "minInt": {"organeRef": "PO873718", "abrege": "Intelligence artificielle et numérique", "developpe": "Ministère délégué auprès du ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargé de l'intelligence artificielle et du numérique"}, "minAttribs": {"minAttrib": [{"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-04-28", "pageJO": null, "numJO": null, "urlLegifrance": null, "referenceNOR": null}, "denomination": {"organeRef": "PO873718", "abrege": "Intelligence artificielle et numérique", "developpe": "Ministère délégué auprès du ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargé de l'intelligence artificielle et du numérique"}}, {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-06-02", "pageJO": null, "numJO": null, "urlLegifrance": null, "referenceNOR": null}, "denomination": {"organeRef": "PO873640", "abrege": "PME, commerce, artisanat, tourisme et pouvoir d’achat", "developpe": "Ministère des petites et moyennes entreprises, du commerce, de l’artisanat, du tourisme et du pouvoir d’achat"}}, {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-06-09", "pageJO": null, "numJO": null, "urlLegifrance": null, "referenceNOR": null}, "denomination": {"organeRef": "PO873682", "abrege": "Justice", "developpe": "Ministère de la justice"}}]}, "textesQuestion": {"texteQuestion": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-04-28", "pageJO": "3591", "numJO": "20260017", "urlLegifrance": null, "referenceNOR": null}, "texte": "M. Philippe Latombe alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur les objets connectés. Un chercheur français a découvert que plus d'un million de caméras et de <em>babyphones</em> connectés étaient totalement exposés sur internet. La cause : un <em>broker MQTT</em> sans aucune protection, accessible depuis n'importe quel navigateur, qui donnait accès, en temps réel, aux flux vidéo de babyphones et de caméras connectées à travers le monde. Le responsable, Meari Technology, un fabricant chinois, dont la technologie équipe 378 marques en France et dans le monde. Les serveurs européens et américains seraient ainsi restés exposés 1 041 jours, soit près de trois ans. Le serveur chinois aurait été accessible pendant 542 jours. Contactée par le lanceur d'alerte, Meari a fait le mort, puis tenté d'acheter son silence et l'a menacé à mots couverts de représailles. Informé de cette situation, le <em>Select Committee on the CCP</em> (Comité spécial de la Chambre des représentants sur la compétition stratégique entre les États-Unis d'Amérique et le Parti communiste chinois), a publié un projet de texte au Congrès américain, afin de lancer des investigations contre l'entreprise Meari et demander à la FCC (Commission fédérale des communications) de suspendre les licences accordées à la marque. Le Brésil s'intéresse, lui aussi, à ce sujet. Cet exemple n'est vraisemblablement pas un cas isolé. Il interroge plus généralement sur le niveau de vigilance des fabricants d'objets connectés vis-à-vis de leurs fournisseurs. Il souhaite savoir quelles mesures sont envisagées, en France et en Europe, afin d'assurer la protection des consommateurs et de leurs données personnelles, lors de l'utilisation d'objets connectés."}}, "textesReponse": {"texteReponse": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-08-04", "pageJO": "7386", "numJO": "20260031", "urlLegifrance": null, "referenceNOR": null}, "texte": "La question concerne à la fois les violations de données depuis des objets connectés, ainsi que les mesures prises pour la protection des consommateurs et de leurs données personnelles. D'une manière générale, il convient de rappeler que le Règlement (UE) 2016/679 (RGPD) s'applique au traitement de données à caractère personnel relatif à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées à l'offre de biens ou de services à ces personnes concernées dans l'Union (article 3, 2. a), RGPD). Ces derniers doivent notamment se conformer aux obligations de sécurité (articles 32 à 34, RGPD). Dès lors, en cas de violation du RGPD, la CNIL peut intervenir pour contrôler et, si nécessaire, sanctionner ladite société dès lors qu'elle serait saisie de plaintes ou qu'elle s'autosaisissait pour ouvrir une procédure de contrôle ex officio. Le Gouvernement n'a pas le pouvoir, dans ce cadre, d'orienter l'action de cette autorité administrative indépendante. Concernant les mesures envisagées afin d'assurer la protection des consommateurs et de leurs données personnelles lors de l'utilisation d'objets connectés, en France, la CNIL a réalisé différentes publications sur les objets connectés (2015), la géolocalisation des enfants (2025) et, plus récemment, un communiqué sur les lunettes connectées (2026). L'Autorité préconise notamment de s'assurer de la possibilité d'accéder aux données et de les supprimer, d'éteindre l'objet quand il ne sert pas ou pour éviter de capter des données sensibles, ou encore, de s'assurer que le fabricant respecte la vie privée des utilisateurs, qu'il communique clairement sur le respect du RGPD et indique le pays dans lequel la société est établie."}}, "cloture": {"codeCloture": "REP_PUB", "libelleCloture": "Réponse publiée", "dateCloture": "2026-08-04", "infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-08-04", "pageJO": "7386", "numJO": "20260031", "urlLegifrance": null, "referenceNOR": null}}, "signalement": null, "renouvellements": null}}