Points clés
- Le traitement local garde les données d'appareils, de voix et de caméra chez vous et dans votre juridiction
- Sans cloud, aucun sous-traitant externe ne traite les données de votre foyer
- La voix locale (Whisper + Piper) et un LLM local évitent le traitement vocal/IA cloud
- Cela soutient la minimisation des données et la résidence du RGPD par conception
- Les appareils cloud envoient des données personnelles à des serveurs du fabricant agissant comme sous-traitants
- Le RGPD exclut l'usage strictement domestique, mais les caméras qui filment l'espace public ou la propriété d'un voisin sortent de cette exception
- Pour les détails, consultez un professionnel de la protection des données pour votre situation
Le RGPD et le foyer connecté
Le RGPD régit les données personnelles, et une maison connectée en génère beaucoup : présence, routines, voix et vidéo. Où ces données sont traitées détermine qui intervient et à quel point elles sont exposées.
- Les données de la maison connectée (présence, enregistrements, images) sont des données personnelles selon le RGPD.
- Le traitement cloud introduit un sous-traitant externe traitant ces données (RGPD art. 28).
- Le traitement local vous garde aux commandes, sans sous-traitant externe.
Quand le RGPD s'applique chez soi (exception domestique)
Le RGPD ne s'applique pas aux activités strictement personnelles ou domestiques (art. 2, par. 2, point c), mais les autorités interprètent cette exception de manière restrictive. Une caméra qui filme au-delà de votre propriété, ou un service cloud qui traite des données pour ses propres finalités, réactive les obligations du RGPD.
- Les données que vous traitez uniquement chez vous, à des fins privées, relèvent en général de l'exception domestique.
- Dans l'arrêt Ryneš (C-212/13), la CJUE a jugé qu'une caméra qui enregistre en continu, même partiellement, l'espace public n'est pas une activité purement domestique.
- Les lignes directrices du CEPD sur les dispositifs vidéo appliquent la même lecture restrictive aux sonnettes et caméras connectées qui filment la rue ou la propriété d'un voisin — voir Lignes directrices 3/2019 du CEPD.
- Le fabricant d'un appareil cloud reste soumis au RGPD pour son propre traitement, et la reconnaissance faciale ou d'autres fonctions biométriques déclenchent des règles plus strictes — consultez un professionnel de la protection des données.
Où les appareils cloud envoient les données
Les appareils de maison connectée cloud transmettent les données d'usage, les requêtes vocales et les images de caméra aux serveurs du fabricant, parfois hors de l'UE. Cela fait du fabricant un sous-traitant et peut soulever des questions de transfert de données.
- L'usage et la télémétrie circulent vers les systèmes d'analyse du fabricant.
- Les assistants vocaux traitent les enregistrements dans le cloud.
- Les images de caméra sont stockées sur les serveurs du fabricant — voir risques de confidentialité de la maison connectée.
Résidence des données via traitement local
Le traitement local assure la résidence des données par défaut : les données ne quittent jamais votre foyer, elles restent donc dans votre juridiction. Cela soutient directement les principes du RGPD de résidence et de minimisation.
- Un hub local (Home Assistant) traite les automatisations sur place — voir le guide complet de la maison connectée locale.
- Aucun transfert transfrontalier n'a lieu car aucune donnée n'est envoyée hors de l'appareil.
- Vous minimisez la collecte de données à ce qui reste chez vous.
Voix et IA locales = pas de sous-traitant externe
La voix locale et un LLM local suppriment le sous-traitant cloud pour vos données les plus sensibles — votre parole et le contexte de votre foyer. Tout est calculé sur votre matériel. Pour les données professionnelles sensibles, la CNIL recommande un traitement local de l'IA, ce qu'un setup local-first satisfait par conception.
- Whisper et Piper locaux gardent le traitement vocal sur l'appareil — voir construire un assistant vocal entièrement local.
- Un LLM local via l'intégration Ollama garde le traitement du langage naturel local.
- Pour l'IA locale privée en général, voir qu'est-ce qu'un LLM local (inter-clusters).
Liste d'achat UE
Privilégiez les appareils à capacité locale, un hub local et la voix/IA locales pour garder les données de votre foyer chez vous. Le tableau oppose cloud et local sur des points pertinents pour le RGPD.
Facteur | Appareil cloud | Configuration locale |
|---|---|---|
| Emplacement des données | Centre de données du fabricant | Votre foyer |
| Sous-traitant | Fabricant (tiers) | Aucun externe |
| Données vocales | Traitées dans le cloud | Sur l'appareil (Whisper/Piper) |
| Posture RGPD | Questions de transfert/sous-traitant | Résidence par conception |
Questions fréquemment posées
Les appareils de maison connectée sont-ils concernés par le RGPD ?
Oui. Les appareils de maison connectée génèrent des données personnelles telles que présence, routines, voix et vidéo. Selon le RGPD, la façon et le lieu de traitement de ces données importent, et les appareils cloud qui les envoient aux serveurs du fabricant introduisent un sous-traitant externe.
Local signifie-t-il qu'il n'y a pas de sous-traitant ?
Pour les données de votre foyer, oui — le traitement local garde tout sur votre propre matériel, donc aucune partie externe ne les traite. Vous gardez le contrôle des données, ce qui soutient les principes du RGPD de minimisation et de résidence.
Les données vocales sont-elles un problème particulier du RGPD ?
Les enregistrements vocaux sont des données personnelles sensibles, et les assistants cloud les traitent sur les serveurs du fabricant. Utiliser la reconnaissance vocale (Whisper) et la synthèse vocale (Piper) locales garde le traitement vocal sur l'appareil, évitant un sous-traitant cloud pour votre parole.
Existe-t-il des options de maison connectée hébergées dans l'UE ?
Une configuration local-first est généralement l'une des options de confidentialité les plus fortes car les données ne quittent jamais votre foyer, supprimant entièrement les questions de lieu d'hébergement. Pour toute fonction cloud que vous utilisez, vérifiez où le fournisseur traite les données et consultez un professionnel de la protection des données pour vos besoins spécifiques.
Le RGPD s'applique-t-il vraiment à ma maison connectée ?
Souvent pas pour un usage strictement privé : le RGPD exclut le traitement effectué par une personne physique pour une activité strictement personnelle ou domestique. L'exception est toutefois interprétée de façon restrictive — elle ne couvre pas un fabricant qui traite vos données dans son cloud, et elle peut disparaître si une caméra filme l'espace public ou la propriété d'un voisin.
Ma sonnette ou ma caméra extérieure peut-elle enfreindre le RGPD ?
C'est possible. Selon l'arrêt Ryneš de la CJUE et les lignes directrices du CEPD sur les dispositifs vidéo, une caméra qui filme en continu une partie de la rue ou la propriété d'un voisin n'est en général pas une activité domestique ; des obligations telles que la base légale, la transparence et la durée de conservation peuvent alors vous incomber. Orientez les caméras vers votre propriété, masquez les zones publiques si possible et interrogez votre autorité nationale de protection des données ou un professionnel.
Quels articles du RGPD comptent le plus pour une maison connectée ?
Principalement l'art. 5 (minimisation des données, limitation de la conservation) et l'art. 28 (contrats de sous-traitance) dès qu'un fournisseur cloud traite vos données. Une installation locale sans sous-traitant externe réduit nettement ces obligations, sans supprimer celles qui s'appliquent si vous filmez au-delà de votre propriété.