La publicité d’une mise en demeure de la CNIL pour défaut de sécurité de jouets connectés

L’article 46, deuxième alinéa, de la même loi permettait au bureau de la CNIL de statuer sur la publicité de cette mise en demeure. La publicité a été jugée justifiée par la gravité du défaut de sécurité des jouets connectés, susceptible de permettre l’écoute ou l’enregistrement de propos privés dans un cadre familial ou amical.

La mesure répondait également à la destination des produits, conçus pour de très jeunes enfants, ainsi qu’à la nécessité d’informer les utilisateurs, notamment les parents, alors que les jouets demeuraient distribués. La délibération rappelle que la mise en demeure ne constitue pas une sanction : une mise en conformité complète dans le délai imparti entraîne la clôture de la procédure, elle-même rendue publique.

⬇️Télécharger la décision version officielle

La présidente de la CNIL a mis la société en demeure de faire cesser ces manquements dans un délai de deux mois. Elle a ensuite saisi le bureau afin que cette mise en demeure soit rendue publique.

Le bureau a retenu la gravité du défaut de sécurité, la présence de très jeunes enfants parmi les utilisateurs visés et la poursuite de la distribution des jouets. Il a décidé de publier la mise en demeure, tout en rappelant que celle-ci ne constituait pas une sanction et qu’une mise en conformité complète entraînerait la clôture de la procédure.

• Existence de manquements à la loi n° 78-17 du 6 janvier 1978
• Atteinte potentielle à la vie privée des utilisateurs et des tiers
• Défaut de sécurité des données à caractère personnel
• Gravité du manquement constaté
• Présence de très jeunes enfants parmi les utilisateurs ciblés
• Nécessité d’informer les personnes exposées au risque
• Poursuite de la distribution des produits concernés

• Constatations relatives au défaut de sécurité des jouets connectés
• Risque d’écoute ou d’enregistrement de propos privés par des tiers
• Destination des jouets à de très jeunes enfants
• Maintien de la distribution des produits en France
• Existence de la mise en demeure fondée sur l’article 45

• Mise en conformité avec les exigences de sécurité
• Correction des atteintes à la vie privée
• Respect de l’obligation d’information des personnes
• Préservation de la confidentialité des données
• Clôture publique en cas de conformité complète

À faire

• Identifier les fonctionnalités exposant la vie privée
• Corriger les défauts de sécurité des jouets
• Vérifier la confidentialité des données traitées
• Compléter l’information des personnes concernées
• Respecter le délai de deux mois

À éviter

• Laisser fonctionner un dispositif insuffisamment sécurisé
• Permettre l’écoute de propos privés par des tiers
• Négliger l’information des utilisateurs
• Poursuivre la distribution sans correction des manquements
• Confondre mise en demeure et sanction

La publicité des mises en demeure de la CNIL

nLa publicité d’une mise en demeure relève de l’article 46, deuxième alinéa, de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle peut être décidée lorsque la gravité du manquement, le public concerné et la nécessité d’informer les personnes exposées justifient cette mesure. La poursuite de la distribution des produits a également été retenue comme élément justifiant l’information du public.n

Les manquements relatifs aux jouets connectés

nLa mise en demeure, fondée sur l’article 45 de la loi n° 78-17, concernait un dispositif portant atteinte à la vie privée, ainsi que des manquements à l’obligation d’information et à la sécurité et la confidentialité des données à caractère personnel. Le défaut de sécurité permettait potentiellement l’écoute ou l’enregistrement de propos privés par des tiers.n

La nature non répressive de la mise en demeure

nLa mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences imposées dans le délai de deux mois, la procédure est clôturée et cette clôture est également rendue publique.