Navigation – Plan du site

AccueilNumérosVol. 15, N° 1-2 | 2ème semestre 2021 - 1er semestre 2022Le RGPD et la protection de la vi...

Le RGPD et la protection de la vie privée face à l’essor des objets connectés

Addressing the rise of connected objects: the RGPD and privacy protection
El RGPD y la protección de la vida privada frente a la multiplicación de objetos conectados
Gwenaëlle DONADIEU
p. 217-239

Résumés

L’essor des objets connectés dans l’environnement des consommateurs conduit au traitement, par des professionnels, d’une grande quantité d’informations plus ou moins sensibles. Certains objets connectés peuvent en effet être dangereux pour la vie privée des consommateurs en raison de l’atteinte qui pourrait résulter de la diffusion de ces informations. Si le Règlement général sur la protection des données (RGPD) impose diverses obligations au responsable de traitement, comme une obligation d’information et de transparence ainsi que le recueil d’un consentement clair de la part de l’utilisateur lors d’un traitement de données personnelles, nous pouvons nous interroger sur les modalités de mise en œuvre de ces dispositions. Les chercheurs en économie comportementale ayant mis en exergue le fonctionnement du processus décisionnel des individus, il est désormais possible de mieux comprendre pourquoi certaines dispositions ne sont pas aussi efficaces qu’escomptées.

Haut de page

Texte intégral

1Les objets connectés font de plus en plus partie du quotidien des consommateurs (Prevost et Sirinelli, 2016; Crenn, 2016; Depincé, 2019). Ces artefacts, dont le fonctionnement dépend d’une connexion Internet, doivent être distingués des objets intelligents qui n’ont pas besoin d’une connexion pour fonctionner et mettre en œuvre de l’intelligence artificielle. Dans le présent article, nous envisagerons tous les objets qui, en raison de leur connexion, constituent un risque pour la vie privée des individus, que ces objets soient intelligents ou non, qu’ils appartiennent à la sphère privée ou non. Pour comprendre l’étendue de ce bouleversement et avant de préciser les enjeux de la présente étude, revenons sur une scène de la vie quotidienne.

2Jusqu’à tout récemment, tous les individus se réveillaient grâce à leur réveille-matin, se levaient pour ouvrir leurs volets, allumaient la radio ou la télévision pour avoir des nouvelles et pouvaient tester une nouvelle recette pour le petit déjeuner grâce au dernier livre qui leur avait été offert. Lorsqu’il manquait un ingrédient, ils pouvaient l’ajouter sur la liste de course familiale se trouvant sur le réfrigérateur ou se déplacer immédiatement chez le commerçant le plus proche pour se le procurer.

3Aujourd’hui, les individus peuvent, grâce à Siri, Alexa ou Google Home – pour ne citer qu’eux – programmer leur réveille-matin la veille au soir avec cette simple phrase : « Assistant personnel, réveille-moi à 7 h demain. » Une fois que le réveille-matin sonne, il suffit à l’individu de prononcer les formules magiques suivantes : « Assistant personnel, ouvre les volets et mets la radio », « Assistant personnel, quelles sont les nouvelles les plus importantes ? », « Assistant personnel, y a-t-il des embouteillages sur mon itinéraire ? », « Assistant personnel, peux-tu mettre ma chanson préférée ? », « Assistant personnel, trouve-moi une recette rapide de crêpes ». Lorsque le logement est équipé de nombreux objets de domotique et notamment d’un réfrigérateur connecté pouvant communiquer avec l’assistant personnel, les individus peuvent également demander en amont : « Assistant personnel, ai-je tous les ingrédients pour faire cette recette ? », et en cas d’ingrédient manquant : « Assistant personnel, commande du beurre. »

  • 2 Les objets connectés sont devenus des alliés du quotidien pour de nombreux consommateurs, que ce so (...)

4Cette scène de la vie quotidienne, pourtant anodine, implique le traitement d’un grand nombre de données à caractère personnel centralisées par un objet : l’assistant personnel. Les assistants personnels dont font également partie les enceintes connectées permettent de commander des objets à la voix ainsi que de centraliser les commandes de nombreux autres objets, facilitant certaines actions du quotidien. Toutes les informations qui en résultent, comme les données sur l’alimentation, sur les habitudes de sommeil ou encore sur les centres d’intérêt, peuvent être, grâce à la voix, rattachées à l’individu dont provient la requête2 et sont traitées par le responsable de traitement pour que l’objet fonctionne. Le professionnel utilisant les données est alors appelé le responsable de traitement et devra, en raison du risque que représentent ces objets pour la vie privée, respecter plusieurs obligations dont nous questionnerons l’efficacité ici.

5Si, auparavant, chaque objet était indépendant et fonctionnait sans connexion Internet, les objets connectés – et plus précisément les assistants personnels présents sur les téléphones intelligents ou sur les enceintes connectées – récupèrent, analysent et produisent en permanence un grand nombre de données. Les données collectées peuvent être des données considérées comme essentielles au fonctionnement de l’objet et dont le traitement est consenti par l’utilisateur, comme le niveau de batterie ou les profils vocaux des habitants, mais d’autres données moins indispensables peuvent être collectées sans que l’utilisateur en ait conscience, comme les habitudes alimentaires, les préférences musicales ou simplement la bande son du foyer. Se pose alors la question de la protection de la vie privée des individus. Le philosophe Éric Sadin (2015) estime par exemple que le monde est désormais une immense base de données et il alerte les individus sur les dangers de cette numérisation du quotidien.

6Nous nous interrogerons dans la présente étude sur l’efficacité de certaines dispositions du RGPD pour prévenir le risque d’atteinte à la vie privée des utilisateurs lors de l’utilisation d’objets connectés. Nous ciblerons tant les objets connectés acquis volontairement, comme les assistants personnels, que les objets connectés de l’espace public, comme les panneaux publicitaires connectés.

  • 3 77 % des Français sont aujourd’hui équipés d’un téléphone intelligent (smartphone).

7Nous découperons alors notre propos en suivant le fonctionnement de plusieurs objets connectés et les grandes étapes de mise en marche d’un objet connecté, notamment un assistant personnel. Nous étudions ce dernier en particulier, car selon le baromètre du numérique établi en 2019 par l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP), le Conseil général de l’économie de l’industrie, de l’énergie et des technologies ainsi que de la mission « société numérique », il fait partie des objets connectés les plus possédés3 (ARCEP, 2019). Nous préciserons ainsi la qualification des données qui seront traitées et leur régime général (1) avant de préciser les obligations incombant au responsable de traitement au moment de la conclusion du contrat (2). Pour ce faire, nous analyserons au cours du présent article différents objets connectés comme les assistants personnels, les panneaux publicitaires connectés ou encore les aspirateurs robots.

La protection de la vie privée par le changement de nature des données traitées par les objets connectés

8Si, comme le montre le référentiel des usages numériques publié par l’ARCEP et le Conseil supérieur de l’audiovisuel (CSA) en 2021 (ARCEP, 2021), les objets connectés sont de plus en plus présents dans le quotidien des consommateurs, ils ne représentent pas tous le même danger pour leur vie privée. Certains objets connectés ne collectent en effet pas de données à caractère personnel, ce qui explique leur obligation allégée en termes d’information et de consentement. Afin de connaître le régime juridique applicable à chaque objet connecté, il est nécessaire d’identifier en amont la nature juridique des données traitées, que celles-ci aient été modifiées ou non.

La distinction entre les types d’objets connectés et de données collectées

  • 4 Définition du Larousse, édition 2017.

9Qu’est-ce qu’une donnée ? Lorsque le terme de « donnée » est utilisé dans le langage courant, il désigne la « représentation conventionnelle d’une information en vue de son traitement informatique4 » (Poullet, 2019). C’est donc un élément de codage qui va permettre de faire le lien entre le réel et le numérique. Outre leur qualité de bien meuble incorporel, les données sont des informations pouvant être de diverses natures. Les données collectées par les objets connectés sont en effet soit des données personnelles, soit des données non personnelles. Contrairement aux données personnelles, il n’existe pas de définition légale des données non personnelles. On peut alors considérer qu’il s’agit de l’ensemble des données qui ne sont pas des données personnelles et qui ne permettent pas d’identifier la source dont elles émanent. Les données non personnelles sont par exemple des données météorologiques, atmosphériques ou bien hydrométriques qui peuvent être traitées par tout type d’objet connecté, y compris certaines enceintes connectées.

10Les données à caractère personnel sont quant à elles définies à l’article 4 du RGPD. Cet article, dont la rédaction est similaire à l’article 2 de la loi Informatique et Libertés du 6 janvier 1978, définit les données personnelles comme « toute information se rapportant à une personne physique identifiée ou identifiable». Si la définition semble simple a priori, elle peut être complexe à mettre en œuvre dans certaines hypothèses, comme ce fut le cas concernant la détermination de la nature des adresses IP. Les textes ne comportant en effet aucune liste exhaustive des données personnelles, leur qualification résulte le plus souvent de l’appréciation technique de la faculté d’identification ou de réidentification dont dispose le responsable de traitement.

  • 5 Le considérant 30 du RGPD précise : « Les personnes physiques peuvent se voir associer, par les app (...)
  • 6 Certaines ont considéré que l’adresse IP était une donnée personnelle, alors que la Cour d’appel de (...)

11La question de la nature des adresses IP permet d’appréhender le caractère évolutif de cette qualification. Si cette question est aujourd’hui envisagée au considérant 30 du RGPD5, ce ne fut pas toujours le cas. Confrontées à cette question, les juridictions françaises avaient en effet adopté des positions différentes6 jusqu’à une décision peu claire de la Cour de cassation en date du 13 janvier 2009 montrant que les adresses IP n’étaient pas des données personnelles (Cass. Crim., 13 janv. 2009, n°08-84.088). La Cour de justice de l’Union européenne s’était également prononcée en sens inverse en 2011 (CJUE, 24 nov. 2011, aff. C-70/10) et en 2016 (CJUE, 19 oct. 2016, aff. C-582/14) estimant alors que si l’information se rapportait à une personne physique identifiable et qu’il existait des voies légales permettant de s’adresser aux autorités compétentes pour parvenir à l’identification, il s’agissait bien d’une donnée personnelle. Le 3 novembre 2016(Cass. Civ. 1ère, 3 novembre 2016, pourvoi n°15-22595), la Cour de cassation était finalement revenue sur sa jurisprudence et avait suivi la position européenne. Elle a donc explicitement considéré que l’adresse IP est une donnée personnelle, à l’instar de l’article 30 du règlement général sur la protection des données. Aujourd’hui, la solution posée par le RGPD prime les positions adoptées auparavant en droit interne. Il paraissait toutefois intéressant de montrer que la qualification juridique d’une donnée peut être questionnée, ce qui a ensuite un impact sur le choix du régime juridique adéquat et la protection de la vie privée des utilisateurs.

12Au-delà de la distinction entre les données personnelles et non personnelles, il est possible de procéder à une distinction au sein des données personnelles entre les données sensibles et non sensibles. Certaines données qualifiées de « données sensibles » peuvent en effet représenter un plus grand risque d’atteinte à la vie privée, ce qui justifie le fait de leur accorder un régime de protection plus strict. Les données sensibles désignent, selon l’article 8 de la loi de 1978 et l’article 9 du RGPD, les données qui révèlent « l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale », et regroupent également « des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique». Seules les données listées dans cet article sont des données sensibles qui méritent une protection supplémentaire en raison de la gravité de l’atteinte à la vie privée que leur divulgation pourrait engendrer. La qualité juridique de donnée sensible est toutefois à préciser, car il existe également des données qui peuvent être considérées comme sensibles pour une profession, mais qui ne bénéficient pas pour autant de cette qualification sur le plan juridique.

  • 7 Ces dispositions se trouvent aux articles L511-33, L522-19 et L526-35 du Code monétaire et financie (...)

13C’est par exemple le cas des données transactionnelles, qui désignent les informations relatives aux transactions bancaires (Banck, 2013). Il s’agit de données personnelles, car elles permettent l’identification d’un individu par le biais de son numéro bancaire, mais sur le plan juridique, ce ne sont pas des données sensibles. Pourtant, les banques utilisent cette terminologie en les qualifiant de sensibles, car elles communiquent des informations importantes sur les clients. De la même manière, le consommateur moyen considère également que ses données de paiement sont des données sensibles, car leur communication à des tiers mal intentionnés pourrait causer un dommage important. Bien que les données transactionnelles ne soient pas des données sensibles, elles bénéficient également de la protection de la législation sur les données personnelles ainsi que d’une protection sectorielle issue d’autres mécanismes juridiques tels que le secret bancaire7.

14La qualification des données traitées par les objets connectés est primordiale pour en déterminer le régime juridique et les modalités d’utilisation. Les données à caractère personnel sont en effet soumises au règlement général sur la protection des données, ce qui n’est pas le cas des données non personnelles dont le traitement et la diffusion ne présentent aucun risque pour les individus. Pour fonctionner, ces objets doivent par exemple demander à l’utilisateur son consentement au traitement des données et l’informer suffisamment. Il est cependant possible pour les responsables de traitement de modifier la nature des données en transformant des données personnelles en données anonymisées ou pseudonymisées.

Les données dont la nature a été modifiée pour minimiser l’atteinte à la vie privée

  • 8 Le considérant 26 précise : « Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la pr (...)

15Il est en effet possible pour le responsable de traitement de modifier la nature des données traitées par des objets connectés, grâce à des dispositifs permettant de transformer les données personnelles en données anonymes. Les données anonymes ont initialement été définies par la directive européenne de 1995 (Directive 95/46/CE), définition qui n’est toutefois pas reprise à l’article 4 du règlement général sur la protection des données, mais en son considérant 268. Il s’agit alors de données rendues anonymes d’une manière telle que la personne concernée n’est plus identifiable. Le régime qui leur est associé est plus souple, comme le rappelle le considérant 26, que celui des données à caractère personnel, car il n’est ici plus possible d’identifier l’individu dont les données ont été collectées. Les responsables du traitement des données anonymisées ne risquent donc plus de porter atteinte à la vie privée des individus dont les données émanent, justifiant alors l’exclusion des dispositions du RGPD.

16Aujourd’hui, le caractère irréversible de l’anonymisation reste complexe à garantir, car la technologie évolue rapidement et les moyens d’inverser les procédés d’anonymisation sont plus faciles à trouver. Cela explique alors la consécration par l’article 4 du RGPD d’un nouveau type de donnée : la donnée pseudonymisée.

17La « pseudonymisation » est définie comme le :

« traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable » (Art. 4 du règlement général sur la protection des données).

18La donnée en cause a donc été transformée de façon à ce que la personne ne soit plus identifiable directement, mais seulement indirectement. Cela explique que les données pseudonymisées soient soumises à la législation sur les données personnelles, contrairement aux données anonymisées. Le G29 a également mis en évidence un critère de distinction entre les données anonymisées et pseudonymisées. Le G29, devenu ensuite le Comité européen de protection des données (CEPD), est un groupe de travail institué par l’article 29 de la directive du 24 octobre 1995 qui vise à réfléchir sur la protection des données personnelles au niveau européen. Ce groupe de travail rassemble des représentants de chaque autorité indépendante nationale de protection des données. Les avis n’ont qu’une valeur consultative et les autorités nationales ne sont pas tenues de les appliquer. Dans ses travaux, le CEPD a toutefois insisté sur la capacité d’une donnée à permettre de distinguer une personne parmi d’autres, c’est-à-dire de la singulariser (G29, avis n°4/2007, 10 juin 2007, relatif au concept de données à caractère personnel, WP 136, p. 13) et de la traiter de manière différente. C’est le principal critère de distinction entre l’anonymisation et la pseudonymisation. La pseudonymisation est donc caractérisée lorsque la tentative d’anonymisation permet encore d’individualiser une personne, permettant alors l’interférence et la corrélation entre différents ensembles de données(G29, avis n°05/2014, 10 avril 2014, sur les techniques d’anonymisation, WP 216, p. 6, note 3). La donnée est finalement mieux protégée, mais cela n’altère pas pour autant son caractère personnel (Lesaulnier, 2016).

19Un exemple permet d’illustrer la manière dont la distinction entre les données anonymisées et les données pseudonymisées s’opère en pratique, en présence d’objets connectés sur la voie publique. Il s’agit de l’affaire JCDecaux (Conseil d’État, 8 février 2017, pourvoi n° 393714) et des panneaux publicitaires connectés que cette société souhaitait mettre en place. La société JCDecaux souhaitait en effet expérimenter un dispositif ayant pour finalité une méthodologie d’estimation quantitative des flux piétons sur la dalle de La Défense, à Paris. Ces objets connectés, bien qu’invisibles pour la plupart des individus, représentent un risque réel pour la vie privée. Concrètement, il s’agissait d’équiper des panneaux publicitaires de capteurs capables de collecter les adresses MAC des passants sur une distance de 25 mètres autour de chaque panneau. Les adresses MAC fonctionnent sur le même principe que les adresses IP étudiées précédemment, mais plutôt que d’identifier les ordinateurs se connectant à Internet, elles identifient tous les périphériques (tels que les téléphones intelligents) qui cherchent une connexion Wi-Fi. Elles sont donc émises par les téléphones des passants, à leur insu.

  • 9 Cette disposition résulte de la loi n° 2010-788 du 12 juillet 2010 portant engagement national pour (...)
  • 10 Aujourd’hui, avec le RGPD, la procédure aurait été différente.
  • 11 CNIL, 29e rapport d’activité 2008 : Doc. Fr., 2009, p. 50.
  • 12 CNIL, Mesure de fréquentation et analyse du comportement des consommateurs dans les magasins, 19 ao (...)

20La Commission nationale de l’informatique et des libertés (CNIL), en tant qu’autorité nationale indépendante de protection des données, a été saisie en application de l’article L.581-9 du Code de l’environnement, car la loi dite Grenelle II9 a mis en place un régime spécial d’autorisation relatif aux panneaux lumineux. La CNIL avait déjà dû se prononcer sur la validité du processus d’anonymisation d’autres capteurs présents sur du mobilier urbain10. C’était par exemple le cas de dispositifs publicitaires dotés de capteurs permettant de quantifier les flux de piétons dans le métro parisien11 ; elle avait considéré que les données n’étaient pas suffisamment anonymisées et que le consentement des usagers devait être recueilli. La CNIL s’est également prononcée sur le régime applicable à des capteurs permettant de mesurer le taux de retour des consommateurs dans les magasins d’un centre commercial12. Là encore, les données n’étaient pas suffisamment anonymisées et la CNIL a considéré que les consommateurs devaient avoir été informés de la collecte et de leur droit d’opposition au traitement (CNIL, délib. n° 2015-255 du 16 juillet 2015).

21Ces décisions démontrent la volonté de la CNIL de protéger la vie privée des individus, que ce soit en tant qu’usagers des transports parisiens, consommateurs dans un centre commercial ou habitants de leur foyer, en évitant que des données relatives à leur comportement puissent être utilisées à leur insu. Cette utilisation peut se manifester par l’envoi de notifications ou de SMS les informant de réduction au moment où leur attention est maximale afin de les attirer dans certains magasins et de les inciter à consommer. Cela représente une intrusion dans leur vie privée contre laquelle ils ne peuvent pas lutter et dont ils n’ont, pour la plupart, pas eu connaissance. Le contrôle de la CNIL permettait d’éviter que ces types de dispositifs prospèrent sous couvert d’une anonymisation partielle pour finalement contourner la législation sur les données personnelles. La décision de la CNIL sur ce point n’était donc pas surprenante.

22La CNIL a alors procédé ici à un contrôle sur le plan technique du procédé d’anonymisation afin de vérifier son caractère irréversible. Ce contrôle s’est déroulé en deux temps : elle a tout d’abord étudié la méthodologie suivie pour l’anonymisation avant d’étudier le contrôle des effets du chiffrement. Concernant la méthodologie suivie, elle a constaté que le procédé d’anonymisation retenu par la société JCDecaux tronquait l’adresse MAC d’un demi-octet avant de la hacher avec un sel propre à la société. Le sel de chiffrement correspond à l’ajout de caractères ou d’autres données avant le calcul de l’empreinte résultant du hachage. Cela revenait finalement à enlever certains éléments d’identification et à les transformer de façon à ce que l’individu ne soit plus identifiable. La CNIL indiquait dans sa délibération que le procédé était problématique en ce qu’il reposait sur des données qui, indirectement, permettaient de voir qu’une personne, ici matérialisée par une suite de chiffres, était passée à de multiples reprises devant les panneaux.

23La CNIL a donc rappelé que pour qu’une solution d’anonymisation soit efficace, « elle doit empêcher toutes les parties d’isoler un individu dans un ensemble de données, de relier entre eux deux enregistrements dans un ensemble de données (ou dans deux ensembles de données séparés) et de déduire des informations de cet ensemble de données» (CNIL, délib. n° 2015-255 du 16 juillet 2015). Ici, ces critères n’étaient pas compatibles et c’est l’une des raisons pour lesquelles la CNIL n’a pas autorisé ce traitement. Il ne suffit donc pas de démontrer l’utilisation de procédés de chiffrement irréversibles pour considérer que la donnée qui en résulte est anonyme (Metallinos, 2016) et que le RGPD ne doit pas être mis en œuvre.

24Or, si les données collectées par ces panneaux comprennent l’identifiant numérique de l’individu, l’heure de son premier passage ou encore l’heure où il est repassé devant le panneau en question – mais aussi devant les cinq autres déployés sur la dalle de La Défense et son itinéraire entre les panneaux, il s’agit d’une réelle intrusion dans la vie privée de cet individu, intrusion dont il n’avait pas conscience. Le passant ignore que ces données sont captées alors qu’elles révèlent des informations importantes sur son activité, informations qui pourront par la suite être utilisées à ses dépens.

25Les données étaient ici simplement pseudonymisées. Leur collecte devait donc respecter la législation sur les données personnelles que nous allons détailler par la suite. La CNIL précisait également que la société JCDecaux devait recueillir le consentement des individus dont les données sont collectées. Ce recueil ne pouvait pas se faire par le biais de feuilles A4 (Perray et Uzan-Naulin, 2017) disposées sur les panneaux, car ce mode de recueil n’assurait pas la pleine information des passants dont les données pouvaient être récoltées jusqu’à 25 mètres des panneaux. Là encore, par cette appréciation rigoureuse du mode d’information et de recueil du consentement, la CNIL cherchait à protéger les individus.

26La société a par la suite saisi le Conseil d’État en tant qu’autorité de recours des délibérations de la CNIL. Plusieurs points étaient contestés aussi bien concernant les informations données par la CNIL durant l’instruction du dossier que concernant la décision en elle-même. Le Conseil d’État considère que la CNIL a procédé à une stricte application de l’article 2 de la loi Informatique et libertés, qui différencie les données selon les « moyens » en vue de permettre l’identification. Il a donc validé la délibération de la CNIL ainsi que sa motivation et a estimé que le traitement conçu – qui avait pour objet d’identifier les déplacements des personnes sur la dalle piétonne de La Défense – et les objectifs mêmes de la collecte des données par la société étaient incompatibles avec une anonymisation des informations recueillies. Ainsi, lorsqu’il est possible d’individualiser une personne ou de relier entre elles des données résultant de deux enregistrements la concernant, une donnée personnelle ne peut être considérée comme anonyme (Pastor, 2017).

27Certains auteurs (Pastor, 2017 ; Metallinos, 2016) ont considéré à la suite de cette décision que la notion de donnée anonyme n’est finalement qu’un idéal quasiment jamais atteint, et qu’au mieux, les données sont pseudonymisées. Cela implique donc la mise en œuvre du RGPD et l’application de la loi Informatique et libertés aux traitements envisagés (Metallinos, 2016). En réalité, aucun procédé d’anonymisation ne semble infaillible sur le long terme. Un procédé d’anonymisation peut être efficace au moment où il sera mis en œuvre, mais pourra se révéler obsolète plusieurs années après si l’évolution des technologies permet d’inverser le chiffrement (Perray et Uzan-Naulin, 2017). La solution du Conseil d’État peut paraître sévère pour le responsable de traitement, car dans cet exemple, même si la société a démontré que les risques de réidentification étaient minimes, les données n’ont pas été considérées comme suffisamment anonymisées, interrogeant la perspective de solliciter des tiers de confiance qui pourraient être garants de cette anonymisation. Toutes les données émanant de personnes physiques et traitées par l’intermédiaire d’objets connectés ne sont pas pour autant des données personnelles. Leur traitement (qu’il s’agisse de la collecte ou de l’opération qui sera effectuée par la suite sur les données) est donc soumis au consentement des individus, à leur information, et au possible exercice de leur différentes prérogatives, points sur lesquels nous reviendrons par la suite.

28Ces objets connectés représentent un enjeu spécifique au regard des usages des individus. Un individu qui sait qu’il est possible de l’identifier par son adresse MAC et de savoir combien de fois il est passé devant ce panneau n’agira pas de la même manière s’il ne se sait pas observé. C’est notamment l’un des enjeux de la géolocalisation des individus en période de pandémie. Des dispositifs de géolocalisation ont été proposés et mis en œuvre dans certains états pour tenter d’évaluer le respect des mesures de confinement13. Il est certain que ces dispositifs entraîneront des conséquences au-delà du plan juridique, éthique et civilisationnel sur les comportements et usages des individus. Il est probable que s’ensuive également un détachement des téléphones servant de relais pour la géolocalisation. Les individus ne respectant pas les mesures de confinement et ne souhaitant pas être identifiés par peur d’une sanction légale seront tentés de se déplacer sans leur téléphone, remettant ainsi en cause la fiabilité des données récoltées par ce type d’application.

29 L’étude des différents types de données existants était un préalable nécessaire pour comprendre pourquoi la vie privée des individus doit être protégée et comment le changement de nature de la donnée peut justifier l’exclusion du RGPD. Tous les objets ne présentent pas le même danger pour autant. Les panneaux publicitaires ne collectent que les adresses MAC là où les assistants personnels centralisent les données de plusieurs objets de l’appartement, y compris des données qualifiées de sensibles. Le risque d’atteinte à la vie privée étant important, le RGPD s’applique et les professionnels devront respecter plusieurs obligations, dont une obligation d’information et de collecte d’un consentement clair.

La protection de la vie privée par l’exécution de l’obligation d’information et la collecte d’un consentement éclairé

30L’essor des objets connectés traitant des données personnelles s’accompagne de plusieurs obligations à la charge du responsable de traitement dont nous pouvons étudier les manifestations au travers de l’exemple de l’assistant personnel. Avant de pouvoir utiliser son assistant personnel, le consommateur est en effet invité à lire les conditions générales d’utilisation (2.1) et à les accepter (2.2) avant de pouvoir utiliser l’objet. Pour autant, les dispositions du RGPD portant sur l’information et le consentement ne permettent pas toujours de protéger les individus, notamment lors de l’utilisation d’objets connectés, car les modalités d’exécution choisies peuvent activer des biais cognitifs chez l’individu, nuisant alors à l’efficacité de ces dispositions.

La protection de la vie privée par la mise en place d’une obligation d’information et de transparence

31Les articles 12, 13 et 14 du RGPD imposent à la charge du responsable de traitement une obligation d’information et de transparence. Les individus dont les données sont traitées doivent donc être en mesure de connaître les raisons et finalités des traitements mis en œuvre, de pouvoir identifier le responsable de traitement et de connaître les droits dont celui-ci dispose sur les données traitées.

32Aucune information n’est toutefois précisée concernant les modalités d’exécution de cette obligation. Les responsables de traitement privilégient alors la mise en œuvre de conditions générales d’utilisation, que l’utilisateur doit accepter avant de pouvoir utiliser un objet connecté ou une application.

33Les conditions générales de vente ou d’utilisation sont des contrats d’adhésion, c’est-à-dire des contrats conclus entre un consommateur et un professionnel et dont les stipulations ne peuvent pas être négociées (Dereux, 1910 ; Berlioz, 1973). Si le contenu des clauses regroupées dans ces conditions présente un intérêt certain, nous nous focaliserons ici sur la forme générale de ces documents. Les conditions générales se matérialisent en effet par une longue suite d’articles, rédigés avec des termes juridiques techniques, et bien que les informations soient présentes, elles sont difficilement compréhensibles et assimilables pour l’utilisateur.

34L’efficacité de ces dispositions pour protéger la vie privée des individus qui se dotent d’objets connectés particulièrement intrusifs est alors discutable. En raisonnant par analogie avec d’autres contrats d’adhésion, il est possible de comprendre que la lecture et l’assimilation de l’intégralité des informations transmises par le responsable de traitement est quasiment impossible, comme l’a montré Lagarde (2016). En ce sens, des chercheurs en économie comportementale ont montré que « l’utilité marginale de l’information tend en effet à décroître à mesure que la quantité de celle-ci augmente » (Briard et Faure, 2015), expliquant alors l’inefficacité de la transmission d’information par ces conditions générales d’utilisation. La professeure Muriel Fabre-Magnan citait ainsi dans sa thèse (Fabre-Magnan, 1992) cette déclaration de Berlioz datant de 1985 mais toujours d’actualité : «Je frissonne souvent quand je relis des contrats que j’ai signés. Mais pourquoi les lirais-je ? Ils me sont imposés, je n’ai d’autre choix que l’adhésion. » Outre l’impossible négociation, le temps manque aux utilisateurs pour prendre connaissance de ces textes. Il faudrait en effet 25 ans à un consommateur pour lire l’intégralité des conditions générales auxquelles il consent au cours de sa vie (Mac Donald et Cranor, 2008). Le numérique et les objets connectés ajoutent également une nouvelle dimension à ces constats. Il n’est en effet pas rare que, par lassitude ou simplement pour des questions de rapidité, le consommateur consente, par exemple, à l’intégralité de la collecte des cookies (Desgens-Pasanau, 2019 ; L’honnen-Frossard, 2019).

35Une étude effectuée sur 80 000 personnes a en effet montré que les utilisateurs cliquent sur « J’accepte » dès lors que la fenêtre ressemble au consentement à des conditions générales d’utilisation, démontrant ainsi que les consommateurs ne lisent pas lesdites conditions (Bhöme et Köpsell, 2010). Pour autant, le « consentement par clic » est aujourd’hui sollicité plusieurs fois par jour dans la vie du consommateur, notamment lorsqu’ils s’équipent d’objets connectés, posant alors la question du caractère réellement libre et éclairé du consentement (Bordais, 2017).

36Un autre facteur d’inefficacité de la transmission d’informations doit également être envisagé ici : le contexte cognitif de la prise de décision. Il est en effet possible pour certains professionnels de mettre en œuvre des stratégies qui activent le système 1 du cerveau de l’utilisateur pour qu’il adhère à un contrat de consommation plus rapidement. Des chercheurs ont en effet démontré le fonctionnement bipartite du cerveau, qui dispose d’un système 1 sollicité pour les décisions quotidiennes de faible importance et d’un système 2 menant une réflexion rationnelle pour les décisions importantes (Kahneman, 2012).

37Le conseil de la consommation norvégien a par exemple mis en évidence que certains professionnels cherchaient à activer le système 1 du consommateur pour qu’il ne prenne pas connaissance du contenu des conditions générales et qu’il les accepte rapidement (Forbrukerradet, 2018). Le rapport démontre que l’entreprise Facebook, lors de l’affichage de son pop-up de mise en conformité de leurs conditions générales d’utilisation avec le RGPD, a laissé apparaître en arrière-plan, sur la page d’accueil floutée, des points rouges semblables à ceux annonçant une nouvelle notification à l’utilisateur. Cette stratégie, loin d’être fortuite – car en réalité l’utilisateur n’avait aucune notification en attente –, provoque les mêmes effets sur le cerveau de l’utilisateur lorsqu’il accepte toutes les conditions qui lui sont présentées pour pouvoir profiter de son nouvel objet connecté le plus vite possible, sans lire les informations communiquées.

38Il ressort des précédents développements que si le RGPD impose au responsable de traitement une obligation d’information et de transparence, les conditions de sa mise en œuvre nuisent à son efficacité et n’évitent pas de graves atteintes à la vie privée des consommateurs. Il est en effet possible, grâce à la forme des conditions générales, de conduire les consommateurs à les accepter sans les lire, soulevant alors la question de la conformité à une autre obligation : le recueil du consentement des utilisateurs par un acte positif clair.

La protection du consommateur par l’exigence d’un acte positif clair matérialisant le consentement

39Originellement, la loi Informatique et libertés ne donnait que peu d’importance au consentement (Rogue, 2019). Ajouté en tant que fondement justifiant le traitement des données dans la directive de 1995, le RGPD a renforcé la place du consentement en en faisant une « condition cardinale du régime de traitement des données » (Castet-Renard, 2016, p. 331). L’une des innovations majeures du RGPD est justement la définition précise de la notion de consentement. L’article 4 du règlement définit le consentement de la personne comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Cette définition est importante, car elle indique que le consentement doit être un acte positif. Cela signifie qu’il ne peut pas se déduire d’un silence ou d’une absence d’action.

40Le RGPD définit également les modalités d’exécution de cette exigence de consentement. L’article 7 alinéa 2 indique par exemple que

« si le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples».

41D’autres éléments sont précisés, comme le fait qu’il peut s’agir d’une déclaration électronique, écrite ou orale et que certains comportements doivent être interdits, comme les cases cochées par défaut(Règl. (UE) n° 2016-679, raison 32). Ces éléments permettent aux responsables de traitement de savoir comment recueillir le consentement. Ces modalités sont cruciales pour les professionnels, car ils sont tenus de rapporter la preuve de ce consentement.

42Certains modes de recueil du consentement sont prohibés et peuvent parfois être sanctionnés, comme l’a également précisé le G2914. Parmi eux, on retrouve le fait d’ajouter une clause précisant que « l’utilisation du service vaut acceptation de la collecte des données qui en résultera » dans les conditions générales de vente d’un produit ou dans les conditions générales d’utilisation d’une application. Il peut également s’agir d’une clause qui informerait l’acheteur ou l’utilisateur que ses données sont collectées et transmises à des tiers. Que cette clause soit rédigée de manière large ou restreinte, elle sera prohibée de la même manière, car elle n’aura pas fait l’objet d’un acte séparé informant le consommateur et lui demandant son consentement. De même, il n’est pas non plus possible de faire remplir par la personne dont les données sont collectées un formulaire qui contiendrait des cases pré-cochées. L’acte de cocher une case est une manifestation du consentement, car il s’agit d’un acte positif, alors que si la case est déjà cochée, la personne peut accepter la collecte et le traitement sans en avoir réellement conscience.

43Face à cette grande liberté laissée aux professionnels, certains d’entre eux, à l’instar de Facebook et de l’exemple cité concernant l’exécution de l’obligation d’information, n’hésitent pas à mettre en œuvre des pratiques plus contestables.

44Dans le rapport du conseil de la consommation norvégien (Forbrukerradet, 2018), plusieurs exemples de stratégies destinées à surprendre le consentement des utilisateurs ou sa portée ont été décrits. C’est notamment le cas des stratégies déployées par les groupes Facebook, Google et Microsoft, qui utilisent les biais cognitifs mis en avant par les chercheurs de l’économie comportementale pour inciter les consommateurs à consentir à une collecte des données personnelles la plus intrusive possible. D’autres pratiques cognitives que celles envisagées avec la question des conditions générales d’utilisation peuvent également inciter le consommateur à prendre une décision instantanée pour activer le système 1 et le conduire à prendre une décision le conduisant à communiquer plus de données personnelles qu’il le pense (Donadieu, 2021). L’instantanéité est généralement provoquée par le fait que l’utilisateur est impatient d’activer son enceinte connectée par exemple, ce qui le conduit non seulement à ne pas lire les conditions générales d’utilisation, mais également à consentir à tous les formulaires qui lui sont présentés sans réellement en prendre connaissance, reportant cette phase d’information et de paramétrages des réglages à plus tard. Les réglages instaurés par défaut sont pourtant essentiels, car les utilisateurs ne prennent généralement pas le temps de configurer ces réglages et utilisent l’objet tel qu’il a été initialement configuré en raison de l’activation de plusieurs biais cognitifs.

45Des stratégies cognitives peuvent en effet reposer sur la mise en œuvre volontaire de plusieurs biais cognitifs lors de la conception d’une interface destinée à obtenir le consentement au traitement des données personnelles. Le biais de l’illusion de contrôle, par exemple, permet de donner au consommateur l’impression qu’il a le pouvoir sur ses données, alors que parfois, les modalités de contrôles sont si complexes qu’il ne parviendra pas à en changer les paramètres. La plupart du temps, le biais de statu quo (Samuelson et Zeckhauser, 1988) est également activé et le consommateur ne modifiera pas les paramètres, qui sont pourtant généralement configurés dans la forme la plus intrusive possible. Toujours en raison du biais de statu quo, il n’exercera que rarement les droits dont il dispose sur ses données en raison de la complexité de la procédure.

Conclusion

46En conclusion, il apparaît indispensable de s’interroger sur la balance des intérêts entre le bien-être ressenti par les utilisateurs d’objets connectés et l’intrusion dans la vie privée liée à leur utilisation. Si le législateur européen a mis en place des mécanismes destinés à garantir la sécurité des données, ils sont parfois insuffisants et peuvent être détournés de leur finalité initiale en raison notamment d’une meilleure connaissance du fonctionnement du cerveau des utilisateurs. Une réflexion sur la nature des objets est nécessaire. Tous les objets intelligents doivent-ils être connectés au risque que la vie privée de l’individu soit divulguée ? L’exemple de l’aspirateur intelligent permet de montrer que le bien-être est le même, que l’objet soit connecté à Internet ou non. Il existe en effet des aspirateurs robots connectés à Internet dont l’utilisation peut se faire grâce au téléphone intelligent, et des aspirateurs robots non connectés à Internet. L’utilité ressentie est la même, excepté que dans le premier cas, la cartographie de l’habitation ainsi que les objets qui peuvent constituer des obstacles sont transmis au fabricant, alors que dans le second, il n’existe aucune communication de données vers l’extérieur. Dès lors, doter un tel objet d’une intelligence artificielle est-il indispensable ?

47Plusieurs initiatives existent et tentent de répondre à cette question. Le projet de recherche « HUman at home projecT », basé à Montpellier et regroupant 13 laboratoires de recherche et sept partenaires industriels, mène une réflexion pluridisciplinaire sur les évolutions des usages dans des environnements connectés15.

Haut de page

Bibliographie

ARCEP (Autorité de régulation des communications électroniques, des postes et de la distribution de la presse), Conseil général de l’économie de l’industrie, de l’énergie et des technologies, mission « société numérique ») (2019). Baromètre du numérique 2019. Repéré à : https://www.economie.gouv.fr/files/files/directions_services/cge/barometre-numerique-2019.pdf

ARCEP (Autorité de régulation des communications électroniques, des postes et de la distribution de la presse), CSA (Conseil supérieur de l’audiovisuel) (2021). Référentiel des usages numériques. Repéré à https://www.csa.fr/Informer/Pole-numerique-Arcep-CSA-devenu-l-Arcom-depuis-le-1er-janvier-2022/Le-referentiel-commun-des-usages-numeriques

Banck, A. (2013). Données de paiement : mythes et réalités. Revue de Droit bancaire et financier, 4(16), 1-4.

Berlioz, G. (1973). Le contrat d’adhésion. Paris, France : Librairie générale de droit et de jurisprudence.

Bernheim-Desvaux, S., Favreau, M., Nicolas, V., Sénéchal, J. et Zolynski, C. (2018). Objets connectés — la consommation d’objets connectés, un marché économique d’avenir. Contrats Concurrence Consommation, 7(9), 10-18.

Bhöme, R. et Köpsell, S. (2010). Trained to accept? A field experiment on consent dialogs. Proceedings of the SIGCHI Congerence on human factors in computing systems (p. 2403-2406). Association for Computing Machinery. Repéré à https://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.182.8938&rep=rep1&type=pdf

Bordais, P. (2017, juin). Le consentement en Droit privé à l’épreuve des sciences cognitives. Actes du colloque de l’école doctorale 461, 15-35. Université de Montpellier.

Briard, A. et Faure, M. (2015). Ce que l’économie comportementale peut apporter aux juristes : illustrations européennes. Revue Trimestrielle de Droit Européen, 4, 715-736.

Castets-Renard, C. (2016). Brève analyse du règlement général de la protection des données. Dalloz IP/IT, 7-8, 331-334.

Crenn, J.-P. (2016). Les objets connectés décryptés pour les juristes. Dalloz IP/IT, 9, 389-393.

Daoud, E. et Plénacoste, F. (2016). Cybersécurité et objets connectés, Dalloz IP/IT, 9, 409-414.

Day, M., Turner, G. et Drozdiak, N. (2019). Amazon Workers Are Listening to What You Tell Alexa. Repéré à https://www.bloomberg.com/news/articles/2019-04-10/is-anyone-listening-to-you-on-alexa-a-global-team-reviews-audio

Depincé, M. (2019). Du consommateur fidèle au consommateur captif : Analyse de droit du marché. Revue Lamy Droit des affaires, 150, 341-365.

Dereux, G. (1910). De la nature juridique des contrats d’adhésion. Revue trimestrielle de droit civil, 503-547.

Desgens-Pasanau, G. (2019, 30 septembre). Nouvelles lignes directrices de la CNIL sur les cookies et autres traceurs, Un coup d’épée dans l’eau ? La Semaine Juridique Édition Générale, 968-972.

Donadieu, G. (2021). Les pratiques commerciales cognitives (Thèse de doctorat en Droit privé et Sciences Criminelles). Université de Montpellier, France.

Fabre-Magnan, M. (1992). De l’obligation d’information dans les contrats : essai d’une théorie. Paris, France, Librairie générale de droit et de jurisprudence.

Forbrukerradet (2018). Deceived by design. Repéré à https://fil.forbrukerradet.no/wp-content/uploads/2018/06/2018-06-27-deceived-by-design-final.pdf

Kahneman, D. (2012). Système 1, Système 2 : les deux vitesses de la pensée. France : Flammarion.

Lagarde, X. (2016, 3 novembre). Question autour de l’article 1171 du Code civil. Recueil Dalloz , 37, 2174-2175.

Lauret, J.K. (2019). En France, les enceintes connectées peinent à convaincre et soulèvent toujours des craintes liées à la vie privée. Repéré à https://www.usinenouvelle.com/editorial/en-france-les-enceintes-connectees-peinent-a-convaincre-et-soulevent-toujours-des-craintes-liees-a-la-vie-privee.N848785.

Lesaulnier, F. (2016). La définition des données à caractère personnel dans le règlement général relatif à la protection des données personnelles. Dalloz IP/IT, 12, 573-581.

L’honnen-Frossard, N. (2019). « Publicité — Un an de droit de la publicité. Communication Commerce électronique, 7-8.

Mac Donald, A. et Cranor, L. (2008). The cost of reading privacy policies. Journal of law and policy for the information society, 4(3), 331-354.

Martial-Braz, N. (2016). Objets connectés et responsabilité. Dalloz IP/IT, 9, 399-403.

Metallinos, N. (2016). « Unique dans la foule » : l’impossible anonymisation de l’analyse des flux piétons. Communication Commerce électronique, 6, 36-41.

Metallinos, N. (2017). La protection des données au service de l’émancipation du consommateur. Communication Commerce électronique, 2, 48-50.

Meuris, F. (2014). Les dangers du « soi quantifié ». Communication Commerce électronique, (7-8), 49-50.

Pastor, P.-M. (2017). L’anonymisation d’une donnée doit rendre l’identification impossible : Conseil d’État 8 février 2017, Actualité Juridique Droit Administratif, 325.

Perray, R. et Uzan-Naulin, J. (2017). Existe-t-il encore des données non personnelles ? Dalloz IP/IT, 5, 286-289.

Poullet, Y. (2019). La vie privée à l’heure de la société numérique. Bruxelles, Belgique : Larcier, CRIDS

Prévost, S. et Sirinelli, P. (2016). Your app is watching you! Dalloz IP/IT, 505-507.

Rochfeld, J. (2012). La vie tracée ou le code civil doit-il protéger la présence numérique des personnes ? Mélanges Hauser, LexisNexis, 619-640.

Rogue, F. (2019). Capacité et consentement au traitement de données à caractère personnel et au contrat. AJ Contrats, 370-372.

Rouvroy, A. et Poullet, Y. (2009). Le droit à l’autodétermination informationnelle et la valeur du développement personne. Une réévaluation de l’importance de la vie privée pour la démocratie. Dans K. Benyekhlef et P. Trudel, État de droit et virtualité (p. 157-222). Montréal, Canada : Thémis.

Sadin, E. (2015). La vie algorithmique : critique de la raison numérique. Paris, France : L’échappée.

Samuelson, W. et Zeckhauser, R. J. (1988). Status quo bias in decision making. Journal of Risk and Uncertainty, 1, 7-59.

Senechal, J. (2019). Lutte contre les clauses abusives et protection des données à caractère personnel. AJ Contrats, 412-415.

Simonson, I. et Tversky, A. (1992). A. Choice in Context: Tradeoff Contrast and Extremeness Aversion. Journal of Marketing Research, 29(3), 281-295.

Six, N. (2017). L’enceinte connectée de Google enregistrait les sons dans l’appartement en permanence. Repéré à https://www.lemonde.fr/pixels/article/2017/10/11/google-corrige-un-bug-qui-faisait-qu-une-de-ses-enceintes-connectees-enregistrait-en-permanence_5199486_4408996.html

Six, N. (2018). Une enceinte connectée d’Amazon envoie une conversation privée par erreur. Repéré à https://www.lemonde.fr/pixels/article/2018/05/25/une-enceinte-connectee-d-amazon-envoie-une-conversation-privee-par-erreur_5304453_4408996.html

Thaler, R. H. et Sunstein, C. R. (2009). Nudge: Improving decisions about health, wealth, and happiness. Penguin.

Haut de page

Notes

2 Les objets connectés sont devenus des alliés du quotidien pour de nombreux consommateurs, que ce soit pour réussir à accomplir leurs objectifs sportifs – comme pour les montres connectées, les réfrigérateurs connectés ou encore les balances connectées – ou pour simplement gagner du temps sur les tâches quotidiennes, comme avec les aspirateurs connectés.

3 77 % des Français sont aujourd’hui équipés d’un téléphone intelligent (smartphone).

4 Définition du Larousse, édition 2017.

5 Le considérant 30 du RGPD précise : « Les personnes physiques peuvent se voir associer, par les appareils, applications, outils et protocoles qu’elles utilisent, des identifiants en ligne tels que des adresses IP et des témoins de connexion (« cookies ») ou d’autres identifiants, par exemple des étiquettes d’identification par radiofréquence. Ces identifiants peuvent laisser des traces qui, notamment lorsqu’elles sont combinées aux identifiants uniques et à d’autres informations reçues par les serveurs, peuvent servir à créer des profils de personnes physiques et à identifier ces personnes. »

6 Certaines ont considéré que l’adresse IP était une donnée personnelle, alors que la Cour d’appel de Pau a affirmé le contraire en précisant que « seule l’autorité légitime pour poursuivre l’enquête peut obtenir du fournisseur d’accès l’identité de l’utilisateur ».

7 Ces dispositions se trouvent aux articles L511-33, L522-19 et L526-35 du Code monétaire et financier.

8 Le considérant 26 précise : « Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. »

9 Cette disposition résulte de la loi n° 2010-788 du 12 juillet 2010 portant engagement national pour l’environnement.

10 Aujourd’hui, avec le RGPD, la procédure aurait été différente.

11 CNIL, 29e rapport d’activité 2008 : Doc. Fr., 2009, p. 50.

12 CNIL, Mesure de fréquentation et analyse du comportement des consommateurs dans les magasins, 19 août 2014.

13 Pour quelques illustrations : https://www.francesoir.fr/politique-societe-economie-environnement/confinenent-surveillance-par-smartphone-la-realite-rattrape; https://www.lebigdata.fr/google-donnees-geolocalisation-confinement

14 Guidelines on Consent under Regulation, 2016/679, https://www.cnil.fr/sites/default/files/atoms/files/wp259_enpdf_consent.pdf

15 Plus d’informations sont disponibles sur ce projet de recherche au lien suivant : https://www.hut-occitanie.eu

Haut de page

Pour citer cet article

Référence papier

Gwenaëlle DONADIEU, « Le RGPD et la protection de la vie privée face à l’essor des objets connectés », tic&société, Vol. 15, N° 1-2 | 2ème semestre 2021 - 1er semestre 2022 | -1, 217-239.

Référence électronique

Gwenaëlle DONADIEU, « Le RGPD et la protection de la vie privée face à l’essor des objets connectés », tic&société [En ligne], Vol. 15, N° 1-2 | 2ème semestre 2021 - 1er semestre 2022 | 2022, mis en ligne le 01 juillet 2022, consulté le 16 août 2022. URL : http://journals.openedition.org/ticetsociete/6720 ; DOI : https://doi.org/10.4000/ticetsociete.6720

Haut de page

Auteur

Gwenaëlle DONADIEU

Gwenaëlle Donadieu est docteur en Droit privé à l’Université de Montpellier (UMR 5815, Dynamiques du droit). Sa thèse porte sur l’encadrement juridique des pratiques commerciales cognitives et elle est chargée de la protection des données dans le cadre de son post-doctorat au sein du Human at home Project1Plus d’informations sont disponibles sur ce projet de recherche au lien suivant : https://www.hut-occitanie.eu.. gdonadieu@mailo.com

Haut de page
  • Logo Maison des sciences de l’homme Paris Nord
  • Logo Artic
  • Logo Université Paris 13 Nord
  • Logo Université du Québec à Montréal
  • Logo Directory of Open Access Journals
  • OpenEdition Journals
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search