Robot aspirateur : réinitialiser ne prouve pas l'effacement

Certains robots aspirateurs peuvent être réinitialisés de deux manières. Un bouton dédié sur l'appareil n'efface que la connexion Wi-Fi, afin que le robot puisse rejoindre rapidement un nouveau réseau. L'effacement complet passe par l'application ou par une combinaison de touches décrite dans le mode d'emploi. À la réception des marchandises, rien ne permet de savoir laquelle des deux options l'ancien propriétaire a choisie.

Or ce qui reste sur l'appareil n'est pas négligeable. Dans ses recommandations aux consommateurs (en allemand), le BSI, l'Office fédéral allemand de la sécurité des technologies de l'information, indique que les robots aspirateurs peuvent utiliser des caméras pour reconnaître les objets, qu'ils cartographient la surface au sol et qu'ils enregistrent en partie les données ainsi produites, y compris dans le cloud du fabricant. S'y ajoutent les identifiants du réseau Wi-Fi auquel l'appareil était connecté.

En juillet, nous avons décrit dans l'article Retours de produits électroniques : contrôle IMEI, effacement certifié des données et conformité RGPD comment le contrôle IMEI, l'effacement des données et le certificat s'articulent pour les smartphones, les tablettes et les ordinateurs portables. Les robots aspirateurs, les appareils domotiques et les autres équipements connectés ne disposent généralement pas d'un outil d'effacement dédié. Il reste la réinitialisation, sur laquelle repose alors tout l'espoir.

Appareil, compte, cloud : trois emplacements pour les données

Parler d'effacement pour des appareils connectés suppose de distinguer trois niveaux.

L'appareil contient ce dont il a besoin pour fonctionner. Lors d'une conférence à la DEF CON en 2019, le chercheur en sécurité Dennis Giese a énuméré ce que conservent les appareils domotiques d'occasion : identifiants Wi-Fi, points d'accès environnants, fichiers journaux de la communication avec le cloud et cartes.

Le compte dans l'application du fabricant rattache l'appareil à une personne. Tant que ce couplage subsiste, le robot appartient numériquement encore à son ancien utilisateur, même s'il se trouve depuis longtemps sur un établi de notre centre de service à Heiligenhaus, en Allemagne.

Le cloud contient les cartes, les historiques et les réglages que l'appareil a transmis. Celui qui n'a que l'appareil entre les mains n'a pas accès à ces données. Seuls le titulaire du compte ou le fabricant peuvent les supprimer.

Un prestataire de services ne peut donc traiter et documenter que le premier niveau. Pour le compte et le cloud, il peut consigner si un couplage était encore visible à la réception et le signaler au donneur d'ordre.

Ce que permet la réinitialisation d'usine

La réinitialisation d'usine est l'étape la plus évidente et, sur de nombreux appareils, la seule que propose le fabricant. Le compendium IT-Grundschutz du BSI l'exige expressément pour les objets connectés. Juste après, il précise toutefois que tous les identifiants enregistrés dans l'appareil doivent ensuite être modifiés. Le BSI ne se fie donc pas à la seule réinitialisation.

Les analyses d'appareils d'occasion menées par Dennis Giese en montrent la raison. Il les a trouvés dans trois états : pas réinitialisés du tout, seul le Wi-Fi réinitialisé, entièrement effacés. Même le troisième état n'offrait aucune garantie. Sur un robot aspirateur que l'ancien propriétaire avait remis aux paramètres d'usine, il a encore trouvé dans la mémoire flash extraite des fragments de fichiers journaux, de clés, de cartes et d'identifiants Wi-Fi. Des résidus de données restaient lisibles après trois réinitialisations supplémentaires. Sur un autre modèle, la réinitialisation formatait la partition de données sans l'écraser.

Pour les smartphones récents, en revanche, le BSI juge la réinitialisation d'usine suffisante, car le chiffrement et la protection d'accès jouent leur rôle. Pour les smartphones plus anciens, elle peut suffire, mais pas nécessairement. Tout dépend de la conception de l'appareil. Si les données de l'utilisateur sont chiffrées et que la réinitialisation détruit la clé, elle est efficace. Si elle se contente de marquer les fichiers comme supprimés, elle ne l'est pas. De l'extérieur, la différence est invisible.

La directive américaine NIST SP 800-88 classe la réinitialisation du fabricant en conséquence. Elle relève du niveau « Clear », le plus faible des trois, et seulement si plus aucune donnée ne peut être récupérée par l'interface utilisateur normale. « Clear » protège contre une récupération simple par la même interface que celle dont dispose l'utilisateur. Cela n'exclut pas qu'une personne dessoude la puce mémoire et en lise le contenu.

Ce qui a changé avec NIST SP 800-88 Rev. 2

En septembre 2025, le NIST a publié la révision 2 de cette directive, qui remplace la version de 2014. Pour les fabricants, les distributeurs et les reconditionneurs, quatre changements sont importants :

• Les tableaux présentant les méthodes d'effacement par type de support ont disparu. Pour les techniques concrètes, le NIST renvoie à la norme IEEE 2883 et à d'autres standards. Seul l'effacement cryptographique est encore traité par la directive elle-même.
• L'accent porte désormais sur un programme d'effacement propre à l'organisation, avec une politique, des responsabilités, de la formation, la maintenance des outils et des obligations de traçabilité.
• La vérification et la validation sont désormais distinguées. La vérification contrôle que l'opération s'est déroulée sans erreur. La validation détermine si le résultat est suffisant au regard de la sensibilité des données.
• Les écrasements multiples ne sont pas nécessaires. Sur les supports modernes, ils n'apportent guère de protection supplémentaire et réduisent la durée de vie des mémoires flash.

Un certificat portant la mention « selon NIST 800-88 » n'a donc qu'une valeur limitée tant qu'il n'indique pas quel niveau a été atteint et avec quel outil.

Définir le périmètre d'effacement avant la réparation

La nécessité d'effacer dépend de la destination de l'appareil. Un client qui récupère son robot aspirateur réparé souhaitera peut-être conserver ses cartes. Si l'appareil est échangé ou revendu comme produit déclassé, les données de l'ancien propriétaire doivent disparaître. Ce point doit figurer dans le contrat avant que le premier appareil n'arrive sur l'établi. Le BSI conseille d'ailleurs aux consommateurs de sauvegarder leurs données avant toute réparation.

L'accord devrait au minimum préciser les points suivants :

• Quels groupes d'appareils sont effacés, et lesquels restent en l'état ?
• Quelle procédure s'applique à quel groupe ?
• Que deviennent les appareils qui ne démarrent plus et ne peuvent donc pas être réinitialisés ? Les options sont le démontage et la destruction de la mémoire, ou une exception documentée.
• Qui se charge de dissocier l'appareil du compte utilisateur ?

Pour les responsables de la protection des données s'ajoute la question de la preuve. Le RGPD exige une sécurité appropriée des données à caractère personnel (art. 5, paragraphe 1, point f, et art. 32) et oblige le responsable du traitement à être en mesure de démontrer le respect de ces règles (art. 5, paragraphe 2). L'IT-Grundschutz du BSI exige, lorsque des prestataires externes interviennent, un processus d'effacement « suffisamment sûr et traçable ». Les obligations applicables dans votre cas, par exemple la nécessité d'un contrat de sous-traitance au sens du RGPD, sont à clarifier avec votre conseil en protection des données. Cet article ne constitue pas un conseil juridique.

Chez PST, le périmètre d'effacement est défini et documenté avec le donneur d'ordre avant le début de la mission.

Ce que doit contenir une preuve d'effacement

Une preuve d'effacement est un enregistrement par appareil. Les informations minimales s'appuient sur la liste de NIST SP 800-88 Rev. 2. Pour les appareils connectés, le couplage au compte et les exceptions viennent s'y ajouter.

La mention « remis aux paramètres d'usine » ne couvre qu'une seule de ces lignes.

Si vous confiez à un prestataire des retours ou des appareils de service dotés de leur propre mémoire, il est utile de parcourir ensemble ce tableau avant la première commande. Nous échangeons volontiers avec vous sur le périmètre d'effacement et les preuves adaptées à vos groupes d'appareils, le plus simplement via notre page de contact. Les missions que PST prend en charge dans le processus retour sont présentées sur la page Gestion des retours.