Une serrure connectée compromise ne laisse aucune trace : ni cylindre arraché, ni porte fracturée. Que la faille vienne d'un piratage, d'un code détourné ou d'un défaut du logiciel, la victime doit à la fois prouver le cambriolage et identifier qui en répond. Assureur, fabricant, vendeur, installateur ou utilisateur lui-même relèvent de régimes distincts, que la directive européenne du 23 octobre 2024 sur les produits défectueux s'apprête à faire évoluer.
L'assureur habitation, premier interlocuteur
Une effraction sans trace reste une effraction
La garantie vol des contrats multirisques habitation est classiquement subordonnée à une effraction, une escalade, l'usage de fausses clés ou une introduction clandestine. L'absence de dégradation n'exclut pas pour autant l'effraction. L'article 132-73 du Code pénal assimile en effet à l'effraction l'usage de fausses clés, de clés indûment obtenues ou de tout instrument pouvant être frauduleusement employé pour actionner un dispositif de fermeture sans le forcer ni le dégrader. Un code dérobé ou un signal intercepté entre naturellement dans cette définition.
Le Médiateur de l'assurance l'a admis dans une étude de cas du 29 novembre 2022 : lorsque le contrat ne définit pas l'effraction, la définition pénale, plus large, s'applique. Tout dépend donc de la rédaction du contrat. Une clause exigeant des traces matérielles reste opposable si elle est claire, mais les exclusions doivent être formelles et limitées (article L. 113-1 du Code des assurances) et figurer en caractères très apparents (article L. 112-4).
La preuve du vol est libre
Il appartient à l'assuré de prouver le sinistre (article 1353 du Code civil), mais par tous moyens. Une clause limitant indûment les moyens de preuve à des indices prédéterminés est présumée abusive (article R. 212-2 du Code de la consommation), comme l'a jugé la cour d'appel de Paris pour un vol sans effraction apparente (CA Paris, 6 décembre 2016, n° 16/02405). Pour une serrure connectée, les preuves les plus probantes sont numériques : journal des accès horodaté, notifications, ouverture à une heure où aucun utilisateur autorisé n'était présent.
Les obligations de l'assuré
Le vol doit être déclaré à l'assureur dans les deux jours ouvrés suivant sa découverte (article L. 113-2 du Code des assurances), et une plainte doit être déposée. Le contrat peut en outre imposer des moyens de protection et exiger qu'ils soient effectivement utilisés : mieux vaut vérifier, avant l'installation, que la serrure connectée y répond.
Le fabricant : la responsabilité du fait des produits défectueux
Lorsque l'intrusion résulte d'une faille de la serrure elle-même, la victime peut agir contre le producteur sur le fondement des articles 1245 et suivants du Code civil. Un produit est défectueux lorsqu'il n'offre pas la sécurité à laquelle on peut légitimement s'attendre (article 1245-3) : pour un dispositif destiné à interdire l'accès à un domicile, une vulnérabilité permettant de l'ouvrir à distance caractérise assez naturellement ce défaut.
La responsabilité est sans faute, et le fait d'un tiers ayant concouru au dommage ne la réduit pas (article 1245-13) : l'intervention du cambrioleur n'exonère pas le fabricant. Ce régime vaut pour tous les objets techniques, et joue de la même manière pour les dommages causés par un drone défectueux. La victime doit en revanche prouver le défaut, le dommage et le lien de causalité. Le régime actuel exclut les dommages aux biens inférieurs à 500 €, et l'action se prescrit par trois ans (article 1245-16).
Ce que change la directive (UE) 2024/2853
La directive du 23 octobre 2024, à transposer au plus tard le 9 décembre 2026, s'appliquera aux produits mis sur le marché ou mis en service après cette date. Elle vise directement les objets connectés :
- les logiciels sont qualifiés de produits, et l'appréciation du défaut intègre les exigences de cybersécurité (article 7) ;
- le fabricant ne peut plus s'exonérer lorsque le défaut provient d'un logiciel ou d'une absence de mises à jour nécessaires au maintien de la sécurité restés sous son contrôle (article 11, paragraphe 2) ;
- le fait d'un tiers ne réduit toujours pas sa responsabilité, contrairement à la faute de la personne lésée (article 13) ;
- le seuil de 500 € disparaît, et la preuve est facilitée par la divulgation de pièces et des présomptions de défectuosité.
En France, le ministère de la Justice indiquait en mai 2026 qu'un texte dédié de transposition était envisagé. Les produits mis sur le marché avant la date d'application resteront soumis aux règles actuelles.
Le vendeur : la garantie de conformité et les mises à jour
Le vendeur professionnel répond, lui, des défauts de conformité. Pour les biens comportant des éléments numériques, l'article L. 217-19 du Code de la consommation lui impose de veiller à ce que le consommateur reçoive les mises à jour nécessaires au maintien de la conformité, y compris de sécurité, pendant la période à laquelle il peut légitimement s'attendre, et au moins deux ans en cas de fourniture continue. Une serrure dont une faille connue n'est plus corrigée pendant cette période peut être jugée non conforme.
S'y ajoutent des obligations réglementaires pour les fabricants : exigences de cybersécurité de la directive sur les équipements radioélectriques depuis le 1er août 2025, et signalement des vulnérabilités exploitées au titre du règlement sur la cyberrésilience depuis le 11 septembre 2026, avant son application générale au 11 décembre 2027.
L'installateur : obligation de conseil et droit commun
Depuis un arrêt du 21 mars 2024 (Cass. 3e civ., n° 22-18.694), les éléments d'équipement installés sur un ouvrage existant ne relèvent ni de la garantie décennale ni de la garantie biennale, mais de la responsabilité contractuelle de droit commun (article 1231-1 du Code civil). L'installateur professionnel répond ainsi d'une pose défectueuse, d'accès par défaut laissés actifs, ou d'un manquement à son obligation de conseil, par exemple s'il a posé un module sur un cylindre inadapté ou n'a pas signalé un niveau de sécurité insuffisant au regard du contrat d'assurance.
L'utilisateur : une part de responsabilité qui pèse
Souvent, la faille est humaine : code partagé trop largement, mot de passe réutilisé, accès temporaire jamais révoqué. Cette faute de la victime peut réduire ou supprimer la responsabilité du fabricant (article 1245-12 du Code civil), exonère le vendeur des défauts résultant uniquement d'une mise à jour non installée dont le consommateur avait été informé (article L. 217-19, II, du Code de la consommation), et peut justifier un refus de garantie si le contrat subordonne la couverture à l'usage effectif des protections.
Le cas se complique lorsque l'accès a été conservé par un tiers ayant légitimement disposé du logement : artisan, ancien occupant ou propriétaire. Les règles de la serrure connectée en location imposent de transférer et de réinitialiser les accès à chaque changement d'occupant ; à défaut, la responsabilité de celui qui a laissé un accès actif peut être engagée.
Les bons réflexes après une intrusion
- Porter plainte pour vol et, en cas de piratage, pour accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal).
- Exporter le journal des accès et les notifications avant toute réinitialisation.
- Déclarer le sinistre dans les deux jours ouvrés, avec le récépissé de plainte et ces éléments.
- Demander par écrit au fabricant les données dont il dispose sur l'ouverture litigieuse.
- Sécuriser ensuite le dispositif : nouveaux codes, accès révoqués, logiciel à jour.
Questions fréquentes
L'assureur peut-il refuser d'indemniser faute de traces d'effraction ?
Pas automatiquement. Si le contrat ne définit pas l'effraction, la définition pénale, qui inclut l'usage de clés indûment obtenues, peut s'appliquer. Si le contrat exige des traces matérielles, la clause doit être claire et apparente, et elle ne peut pas restreindre abusivement les moyens de preuve dont dispose l'assuré.
Peut-on se retourner contre le fabricant d'une serrure piratée ?
Oui, sur le fondement de la responsabilité du fait des produits défectueux, en démontrant le défaut, le dommage et le lien de causalité. L'intervention du cambrioleur ne l'exonère pas. Pour les produits mis sur le marché après le 9 décembre 2026, la directive 2024/2853 facilitera cette action, notamment lorsque le défaut tient à l'absence de mises à jour de sécurité.
