Une voix inconnue sort du babyphone en pleine nuit, la caméra de la chambre de votre enfant pivote seule, ou un proche vous apprend que le flux de votre caméra bébé circule sur Internet. La panique est légitime : ce petit appareil filme ce que votre foyer a de plus vulnérable, en continu, et transmet ces images par ondes radio puis sur Internet. La Commission nationale de l’informatique et des libertés range d’ailleurs les babyphones parmi les jouets connectés, des objets qui collectent des informations transmises par ondes radio puis sur Internet (source officielle), et prévient que ces données peuvent être détournées par des individus malveillants, notamment à des fins d’escroquerie, d’usurpation d’identité ou de harcèlement (source officielle). Que faire dans les premières heures, contre qui agir, et comment obtenir réparation ? La réponse tient en deux temps : d’abord identifier l’appareil, les acteurs et figer les preuves sans rien détruire ; ensuite contraindre chaque responsable, du vendeur au pirate, en combinant la garantie, la plainte pénale, la CNIL et le juge civil.
I. Comprendre l’appareil, identifier les responsables et figer les preuves
A. Savoir ce qui filme chez vous et qui traite les images
Tous les babyphones ne présentent pas le même danger. Les modèles à fréquence radio dédiée, qui transmettent vers un écran parent sans passer par Internet, exposent surtout au voisinage immédiat. Les modèles Wi-Fi, reliés à votre box puis à l’application du fabricant et parfois à son service en ligne, exposent à distance : quiconque obtient vos identifiants, exploite un mot de passe d’usine ou intercepte un flux mal chiffré peut regarder et écouter la chambre de votre enfant depuis n’importe où. La presse spécialisée rapporte des cas où des inconnus auraient parlé à des bébés par des babyphones compromis, ce qui illustre le risque sans en établir la fréquence. Avant toute démarche, lisez la notice, identifiez le modèle exact, le mode de connexion utilisé chez vous (radio, Wi-Fi local, cloud du fabricant), et notez si un compte en ligne a été créé, car l’ouverture d’un compte change les acteurs en présence.
Derrière l’objet se cachent en effet plusieurs acteurs aux rôles distincts. Le vendeur, professionnel qui vous a livré l’appareil, répond de sa conformité. Le fabricant, qui conçoit l’objet et souvent l’application, détermine généralement comment les images sont chiffrées, stockées et mises à jour. L’éditeur du service en ligne, lorsqu’il existe, conserve parfois les vidéos sur ses serveurs et devient alors un maillon du traitement des images. Le pirate, enfin, est l’intrus qui accède au flux sans droit. Cette cartographie commande toute la suite : le droit de la vente s’adresse au vendeur, la responsabilité du fait des produits défectueux vise le producteur, et la protection des données personnelles pèse sur celui qui détermine les finalités et les moyens du traitement, c’est-à-dire, selon l’architecture, le fabricant ou l’éditeur du service en ligne pour les flux qui transitent par son infrastructure. Les images de votre enfant sont des données personnelles, et leur captation continue dans la chambre constitue un traitement qui doit reposer sur une base légale : le règlement européen exige qu’un traitement ne soit licite que si « au moins une des conditions suivantes est remplie », au premier rang desquelles « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques » ou « le traitement est nécessaire à l’exécution d’un contrat » (texte officiel). Un intrus qui s’invite dans le flux ne dispose d’aucune de ces bases, et le fabricant qui laisserait les images accessibles à n’importe qui manquerait à son obligation de sécurité dès la conception, le règlement lui imposant de mettre en œuvre « tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées » (texte officiel).
Concrètement, la CNIL recommande de vérifier que l’objet ne permet pas à n’importe qui de s’y connecter, par exemple en exigeant pour l’appairage un bouton d’accès physique ou un mot de passe, de modifier les réglages d’usine tels que le mot de passe et le code PIN, et de vérifier que vous pouvez accéder à ces données et les supprimer (source officielle). Si vous ne l’aviez pas fait à l’installation, faites-le dès maintenant, sans effacer pour autant les traces de l’intrusion, comme expliqué ci-après. Relevez aussi qui, dans le foyer, utilise l’application, car des accès multiples mal maîtrisés compliquent l’enquête. Cette phase d’identification achevée, vous pouvez agir contre chaque acteur sans vous tromper de cible.
B. Sécuriser sans détruire et constituer votre dossier de preuves
La première heure est décisive et obéit à une règle simple : protéger l’enfant d’abord, prouver ensuite. Coupez immédiatement la captation en éteignant l’appareil ou en le débranchant, comme le conseille la CNIL, qui recommande d’éteindre les objets connectés lorsqu’ils ne servent pas afin d’éviter toute captation superflue (source officielle). Ne réinitialisez pas l’appareil avant d’avoir sauvegardé ce qui prouve l’intrusion : une réinitialisation d’usine efface les journaux de connexion qui permettront d’établir qu’un tiers s’est connecté. Photographiez l’écran affichant une connexion inconnue, filmez le pivot anormal de la caméra avec un autre téléphone, et conservez tout message, toute alerte et tout enregistrement d’un tiers parlant par l’appareil. Notez par écrit, heure par heure, ce que vous avez constaté : bruits, mouvements de caméra, déconnexions, notifications de connexion depuis un lieu inconnu.
Faites ensuite constater par un tiers. Un constat de commissaire de justice, établi à domicile, fige l’orientation de la caméra, les connexions enregistrées dans l’application, les identifiants des appareils connectés et l’absence ou l’existence d’enregistrements conservés. Les juridictions s’appuient lourdement sur ces constats : dans une affaire de caméra de voisinage, la cour d’appel de Bastia a retenu, au vu de deux constats d’huissier établissant l’orientation de la caméra et sa distance de l’habitation, que l’installation « constitue une atteinte à l’intimité de la vie privée » des voisins, et a confirmé l’enlèvement de la caméra « sous astreinte de 50 € par jour de retard sur une durée de deux mois » (cour d’appel de Bastia, chambre civile, 7 mai 2025, n° 24/00145). Dans une affaire de judas électronique filmant un palier, le tribunal judiciaire de Bobigny s’est fondé sur un « procès-verbal de constat de commissaire de justice », sur un courriel du fabricant et sur une visite du syndic pour vérifier qu’aucun abonnement n’entraînait d’enregistrement et que l’application « ne s’active que lorsqu’une personne sonne à la porte » (tribunal judiciaire de Bobigny, ordonnance de référé du 18 juin 2026, n° 25/02091). Ces décisions concernent des voisins, pas des babyphones, mais elles enseignent la méthode qui fera gagner votre dossier : le juge tranche sur des pièces techniques précises, pas sur des affirmations générales.
Écrivez enfin aux professionnels avant de les assigner. Adressez au vendeur et au fabricant, par lettre recommandée avec accusé de réception, un courrier décrivant les faits, leur demandant de conserver toutes les données de connexion et de vous communiquer vos données personnelles, et les mettant en demeure de remédier à la faille. Toute personne peut en effet « obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données » (texte officiel), et obtenir « l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » lorsque l’un des motifs prévus s’applique (texte officiel). Ces courriers, conservés avec leurs accusés, prouveront que vous avez agi de bonne foi et que les professionnels, informés, ont laissé perdurer ou non la situation. Votre dossier ainsi constitué, les voies d’action s’ouvrent.
II. Contraindre chaque acteur et obtenir réparation
A. Le vendeur, le fabricant et l’éditeur : garantie, mises à jour et sécurité
Le vendeur est votre premier interlocuteur contractuel. En droit français de la consommation, « Le vendeur délivre un bien conforme au contrat ainsi qu’aux critères énoncés à l’article L. 217-5 » et « Il répond des défauts de conformité existant au moment de la délivrance du bien », ces défauts pouvant se révéler dans un délai de deux ans à compter de celle-ci (texte officiel). Un babyphone livré avec un mot de passe d’usine non modifiable, sans chiffrement du flux, ou dont l’application expose les vidéos à tout internaute, ne présente pas la sécurité à laquelle vous pouvez légitimement vous attendre : le défaut de conformité peut alors être invoqué dans les deux ans de la délivrance, avec, selon les cas, la réparation, le remplacement ou la résolution du contrat. L’argument décisif tient souvent aux mises à jour : le code de la consommation dispose que « Le vendeur veille à ce que le consommateur soit informé et reçoive les mises à jour nécessaires au maintien de la conformité des biens » (texte officiel), y compris pendant deux ans lorsque le contrat prévoit une fourniture continue du service numérique. Un fabricant qui cesserait de corriger une faille connue, ou qui ne vous aurait jamais informé de la disponibilité d’un correctif, s’expose donc sur ce terrain pendant toute cette période. En revanche, si vous n’installez pas dans un délai raisonnable une mise à jour dont vous avez été informé, le vendeur n’en répondra plus : installez les correctifs proposés et conservez la preuve de leur installation, car votre diligence conditionne vos droits.
Le producteur répond, lui, sur le terrain de la sécurité du produit, indépendamment de tout contrat. Le code civil dispose que « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime » (texte officiel). Un babyphone dont la conception permettrait à un tiers d’accéder au flux vidéo de la chambre d’un enfant sans authentification sérieuse peut être regardé comme présentant un tel défaut, dès lors qu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre pour un objet destiné à surveiller un nourrisson. Cette action vise le fabricant, voire l’importateur, et permet de réclamer la réparation des dommages subis, y compris le préjudice moral lié à l’exposition de l’intimité de l’enfant. Elle suppose de démontrer le défaut, le dommage et le lien entre les deux, ce qui renvoie à l’importance du dossier de preuves constitué dans la première partie : captures, journaux, courriers du fabricant, et si possible expertise de la faille. Vérifiez avec votre avocat que le délai d’action, qui court à compter de la connaissance du dommage, n’est pas expiré.
L’éditeur du service en ligne, quand les images transitent par ses serveurs, supporte les obligations de sécurité du règlement européen. Le responsable du traitement et son sous-traitant « mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins », notamment « la pseudonymisation et le chiffrement des données à caractère personnel » et « des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement » (texte officiel). Des identifiants transmis en clair, l’absence de double authentification pour visionner des enfants, ou des vidéos stockées sans chiffrement caractériseraient un manquement à cette exigence, d’autant que le risque pour les droits des personnes est ici maximal. En cas de violation avérée, c’est à ce responsable qu’il appartient d’agir vite : il « en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (texte officiel), et, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable « communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais » (texte officiel). Si le fabricant vous a laissé sans information après que vous lui avez signalé l’intrusion, ce silence nourrira votre plainte devant la CNIL et votre demande de réparation : toute personne ayant subi un dommage du fait d’une violation du règlement « a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (texte officiel). Ces trois voies contractuelle, du produit défectueux et des données personnelles peuvent être combinées, chacune visant l’acteur qui maîtrise le risque correspondant.
B. La plainte pénale, la CNIL, le juge civil et l’indemnisation
L’intrus qui visionne votre enfant commet une infraction pénale. L’article 226-1 du code pénal punit « d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui », notamment « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé » (texte officiel). La chambre d’un enfant, au domicile familial, est un lieu privé au sens de ce texte, et le flux piraté d’un babyphone entre dans la fixation, l’enregistrement ou la transmission visés. Déposez plainte au commissariat ou à la gendarmerie en apportant votre dossier : références de l’appareil, journaux de connexion, captures, constat de commissaire de justice, courriers au fabricant. Si l’intrus diffuse les images, un second délit entre en jeu, car l’article 226-2 punit « des mêmes peines le fait de conserver, porter ou laisser porter à la connaissance du public ou d’un tiers ou d’utiliser de quelque manière que ce soit tout enregistrement ou document obtenu à l’aide de l’un des actes prévus par l’article 226-1 » (texte officiel). La distinction compte : la chambre criminelle a jugé que « l’article 226-1 du code pénal n’incrimine pas le fait de diffuser auprès du public ou de tiers l’image d’une personne », de sorte qu’une diffusion doit être poursuivie sur le fondement adapté, après requalification le cas échéant (Cour de cassation, chambre criminelle, 20 mai 2025, n° 24-82.751). Le même arrêt rappelle que le consentement de la personne filmée « est présumé » lorsque les actes ont été « accomplis au vu et au su de la personne sans qu’elle s’y soit opposée, alors qu’elle était en mesure de le faire » : un nourrisson, par définition, n’est jamais en mesure de s’opposer, et des parents qui découvrent l’intrusion ne l’ont évidemment pas accepté. Constituez-vous partie civile pour réclamer vos dommages-intérêts dans le procès pénal, ce qui évite un procès civil séparé si l’auteur est identifié.
Parallèlement, saisissez la CNIL contre le fabricant ou l’éditeur dont la sécurité a failli. La plainte en ligne, gratuite pour le plaignant, doit décrire le traitement, la faille et les démarches déjà accomplies, pièces à l’appui. La Commission examine les faits puis décide des suites : mise en demeure, rappel des obligations, contrôle, ou sanction par sa formation restreinte dans les cas graves. Le Conseil d’État juge qu’« il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner », en disposant « en principe, d’un large pouvoir d’appréciation » qui tient compte notamment de la gravité des manquements allégués (Conseil d’État, 10ème chambre, 7 juillet 2026, n° 506000). Dans cette affaire, qui portait sur la vidéosurveillance d’un voisin, la haute juridiction a validé la clôture d’une plainte après un simple rappel des obligations, faute de persistance démontrée de l’illicite, tout en rappelant que l’usage privé d’un dispositif « ne peut, sans méconnaître l’article 9 du code civil, permettre la captation d’images » hors de sa sphère et doit respecter le règlement européen dès qu’il filme au-delà. La leçon pour votre dossier est double : documentez la persistance de la faille après votre signalement, car c’est elle qui commandera des mesures contraignantes, et ne considérez pas la clôture comme une fin en soi, puisque la Commission elle-même renvoie vers « les services de police ou les juridictions judiciaires sur le fondement des articles 226-1 du code pénal et 9 du code civil » lorsque les manquements perdurent. Le contrôle du juge administratif sur un refus de donner suite reste entier quand sont en cause vos droits individuels d’accès, de rectification, d’effacement, de limitation ou d’opposition.
Devant le juge civil, l’urgence commande le référé. L’article 9 du code civil proclame que « Chacun a droit au respect de sa vie privée » et permet aux juges, « sans préjudice de la réparation du dommage subi », de « prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée », y compris « en référé » s’il y a urgence (texte officiel). Le code de procédure civile prévoit que le président du tribunal judiciaire et le juge des contentieux de la protection « peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » (texte officiel). Demandez le retrait du service défaillant, la suppression des vidéos conservées sur les serveurs, et une expertise de la faille, sous astreinte. La jurisprudence récente montre que les juges ordonnent l’enlèvement des dispositifs intrusifs : la cour d’appel de Bastia a confirmé l’enlèvement d’une caméra orientée vers des voisins, et la troisième chambre civile a cassé l’arrêt qui refusait d’enlever une caméra permettant « la captation de l’image des personnes empruntant le chemin litigieux », dont il résultait « l’existence d’un trouble manifestement illicite » (Cour de cassation, troisième chambre civile, 10 avril 2025, n° 23-19.702). À l’inverse, le tribunal judiciaire de Bobigny (ordonnance de référé du 18 juin 2026, n° 25/02091) a débouté des voisins parce que le judas litigieux, autorisé par l’assemblée générale et utilisé sans enregistrement, « tel qu’il est utilisé par les défendeurs, est licite et ne contrevient à aucune disposition légale », et qu’« Aucune atteinte à la vie privée ni au droit à l’image, ni aucune violation d’une règle de droit ne sont démontrées ». La comparaison éclaire votre stratégie : plus votre dossier établit une captation et une exposition réelles, techniques et persistantes, plus le trouble manifestement illicite s’impose ; à défaut de preuve d’enregistrement ou d’accès par un tiers, le juge déboute, comme à Bobigny.
Reste l’indemnisation. Trois fondements se combinent : la réparation du préjudice causé par la violation du règlement européen, due par le responsable du traitement ou le sous-traitant ; la responsabilité du producteur pour produit défectueux ; et le droit commun de l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (texte officiel). Chiffrez chaque poste : angoisse des parents et trouble du sommeil de l’enfant attestés médicalement, frais de remplacement de l’appareil et de sécurisation du réseau domestique, temps passé, et, si des images ont circulé, préjudice d’exposition. Les montants accordés pour des atteintes comparables restent mesurés : dans l’affaire jugée par la cour d’appel de Bastia (7 mai 2025, n° 24/00145), les voisins ont obtenu « 250 euros chacun à titre de dommages-intérêts », leur demande portée à 5 000 euros ayant été rejetée faute de lien établi avec leurs troubles médicaux. Ne présentez donc que des préjudices documentés, ordonnances et factures à l’appui, et sollicitez une provision en référé pour les postes urgents. Menées ensemble, la plainte pénale contre l’intrus, la plainte CNIL contre l’industriel défaillant et l’action civile en cessation et en réparation couvrent tout le spectre des responsables.
Conclusion
Un babyphone piraté n’est ni une fatalité technique ni un simple incident domestique : c’est un enchevêtrement de responsabilités que le droit permet de démêler. Éteignez l’appareil, conservez les journaux et faites constater l’intrusion ; écrivez au vendeur et au fabricant en exigeant l’accès à vos données, leur effacement et la correction de la faille ; déposez plainte pour atteinte à l’intimité de la vie privée et, si les images ont circulé, pour leur conservation ou leur diffusion ; saisissez la CNIL en documentant la persistance du manquement ; et demandez au juge des référés la cessation du trouble et une provision. Chaque acteur ne répond que de ce qu’il maîtrise, le vendeur de la conformité, le producteur de la sécurité, l’éditeur du service en ligne de la protection des données, l’intrus de son intrusion, et votre dossier doit assigner à chacun sa part. Les décisions récentes montrent des juges exigeants sur la preuve mais décidés à ordonner le retrait des dispositifs intrusifs quand la captation est établie. Dans une chambre d’enfant, où aucun consentement ne peut être présumé, cette exigence probatoire, une fois satisfaite, ouvre la voie à la cessation et à une réparation intégrale des préjudices démontrés.