RGPD et objets connectés : sécuriser sa connectivité IoT

Un objet connecté qui remonte une position GPS, une donnée de santé ou un identifiant client manipule potentiellement des données personnelles — et le RGPD s'applique, que l'objet soit un capteur industriel, un boîtier de téléassistance ou un traceur de flotte. La question qui revient le plus souvent : qu'est-ce qui relève de la carte SIM et de la connectivité, et qu'est-ce qui relève de la plateforme qui exploite ces données ? Ce partage des responsabilités est plus simple qu'il n'y paraît une fois posé clairement.

RGPD et IoT : de quoi parle-t-on exactement

Le RGPD s'applique dès qu'une donnée permet d'identifier, directement ou indirectement, une personne physique. Sur un parc IoT, c'est le cas dès qu'un device est associé à un utilisateur, un salarié ou un client final : géolocalisation d'un véhicule de tournée, données vitales d'un dispositif de maintien à domicile, identifiant d'un compteur rattaché à un abonné. À l'inverse, une mesure strictement machine (température d'un local technique sans lien avec une personne identifiable) peut sortir du champ du règlement — la nuance se juge au cas par cas, pas par type d'objet.

Deux rôles à distinguer : le responsable de traitement décide des finalités (généralement vous, l'exploitant de la plateforme) et le sous-traitant traite des données pour son compte (votre hébergeur applicatif, éventuellement un prestataire d'analytics). Un fournisseur de connectivité qui route du trafic réseau sans inspecter ni stocker le contenu applicatif n'entre en général dans aucune de ces deux catégories pour les données transportées — mais la qualification exacte dépend de votre architecture et se tranche avec votre DPO, pas de manière générique.

Ce qui relève de la carte SIM et de la connectivité

La connectivité contribue à la sécurité de votre parc IoT sans porter la conformité RGPD à elle seule :

• APN dédié — isole vos devices d'Internet public sur un réseau qui vous est propre, réduisant la surface d'exposition aux tentatives d'accès non autorisées.
• VPN — chiffre la liaison entre vos objets et votre infrastructure (AWS, GCP, on-premise), pour que les données ne transitent jamais en clair sur Internet.
• Sécurité et roaming — plafonds de consommation et alerte de changement d'IMEI, qui permettent de détecter rapidement une carte SIM sortie de son device d'origine (vol, fraude, anomalie).

Ces mesures réduisent le risque qu'une donnée personnelle transite ou soit exposée sur un réseau non maîtrisé. Elles ne remplacent pas les mesures qui relèvent de votre propre système d'information.

Ce qui relève de votre plateforme, pas de l'opérateur

C'est le point le plus souvent mal compris : un opérateur ou revendeur de cartes SIM M2M ne traite ni n'héberge les données personnelles produites par vos devices. Nous l'expliquons explicitement pour le secteur le plus sensible, la santé connectée : sur notre page maintien à domicile, nous précisons ne pas être hébergeur agréé de données de santé (HDS) — la connectivité et l'isolation réseau contribuent à votre architecture de sécurité, mais la conformité RGPD/HDS de bout en bout reste de la responsabilité de votre plateforme applicative et de son propre hébergeur. Le même principe s'applique à tout secteur traitant des données sensibles : industrie, énergie, smart building.

Restent de votre côté : la base légale du traitement, l'information des personnes concernées, la durée de conservation, le registre des traitements, la gestion des droits d'accès/rectification/ suppression, et le choix d'un hébergeur conforme pour vos données applicatives.

Bonnes pratiques pour un parc IoT conforme

1. Cartographier les données réellement collectées par chaque famille de devices, et distinguer celles qui sont personnelles de celles qui ne le sont pas.
2. Minimiser dès la conception : ne remonter que ce qui sert réellement le service, pas tout ce que le device est techniquement capable de capter.
3. Isoler le flux réseau avec un APN dédié et un VPN plutôt que de laisser les devices exposés sur Internet public — voir notre comparatif APN privé vs APN public pour situer ce choix.
4. Surveiller les anomalies de connectivité (IMEI, consommation) pour détecter rapidement un device compromis ou détourné.
5. Documenter la chaîne de responsabilité : qui héberge quoi, qui traite quoi, avec quel contrat — y compris vis-à-vis de votre fournisseur de connectivité, même s'il n'est pas sous-traitant RGPD au sens strict.

Erreurs à éviter

• Confondre isolation réseau et conformité RGPD : un APN dédié sécurise le transport, il ne couvre ni la base légale, ni la durée de conservation, ni les droits des personnes.
• Présumer qu'un opérateur télécom est automatiquement hébergeur de données de santé (HDS) ou sous-traitant RGPD sans vérifier la réalité de son rôle dans votre architecture.
• Collecter par défaut toutes les données qu'un device peut techniquement remonter, au lieu de ne garder que celles utiles à la finalité déclarée.
• Laisser les devices sur un APN public alors qu'ils transportent des données personnelles identifiables, par simplicité de mise en œuvre initiale.

En résumé

Le RGPD s'applique à un objet connecté dès que ses données permettent d'identifier une personne, quel que soit le secteur. La carte SIM et la connectivité — APN dédié, VPN, surveillance des anomalies — réduisent le risque en isolant et en sécurisant le transport, mais la conformité de bout en bout (finalités, durée de conservation, droits des personnes, hébergement) reste portée par votre plateforme, pas par votre opérateur. Pour resituer ces choix de connectivité parmi l'ensemble des critères à vérifier sur un parc IoT, voir notre guide complet pour choisir sa carte SIM M2M.