Cybersécurité des jouets radio – RED, EN 18031 et transition vers le CRA
Guide pratique RED pour jouets radiocommandés, protection des données hors Internet, preuves EN 18031 et transition CRA de 2027.
Un jouet radiocommandé n'a pas besoin d'être connecté à Internet pour que certaines exigences RED en cybersécurité puissent s'appliquer. Fabricants et importateurs doivent examiner séparément la protection des réseaux de l'article 3, paragraphe 3, point d), la vie privée au point e) et la prévention des fraudes au point f). Les fonctions radio, le traitement réel des données et la date de mise sur le marché de l'UE comptent davantage que les mentions « Bluetooth » ou « intelligent ».
Qui est concerné et à partir de quand ?
Ce guide s'adresse aux fabricants, importateurs, distributeurs et responsables qualité de voitures radiocommandées, jouets Bluetooth et jouets pilotés par application en Suède et dans l'UE. La directive 2014/53/UE (RED) et le règlement délégué (UE) 2022/30 imposent depuis le 1er août 2025 des exigences particulières à certaines catégories d'équipements radioélectriques. Tous les jouets ne satisfont pas à toutes les conditions. Un jouet sans fonction radio n'est pas concerné uniquement parce qu'il est un jouet. La sécurité des jouets, la sécurité générale des produits et le RGPD peuvent être examinés séparément.
Le règlement délégué (UE) 2026/339 abroge le règlement RED délégué relatif à la cybersécurité à compter du 11 décembre 2027, lorsque les principales obligations du Cyber Resilience Act (UE) 2024/2847 deviennent applicables. Cette abrogation n'empêche pas le contrôle des équipements mis sur le marché pendant la période RED précédente.
Matrice de décision : trois exigences distinctes
| Question sur le produit | Exigence éventuelle | Pièces à vérifier |
|---|---|---|
| L'équipement radio peut-il communiquer avec Internet, directement ou via un autre appareil ? | RED 3(3)(d) : protection des réseaux | Schéma de connexion, application/passerelle, fonctions et essais techniques. |
| Le jouet radio peut-il traiter des données personnelles, de trafic ou de localisation ? | RED 3(3)(e) : vie privée, parfois même sans Internet | Données réellement traitées, accès, stockage et protections. |
| L'équipement connecté permet-il de transférer de l'argent, une valeur monétaire ou une monnaie virtuelle ? | RED 3(3)(f) : prévention de la fraude si les conditions sont remplies | Fonction de paiement, transactions et contrôles. |
Examinez séparément chaque condition. L'absence d'Internet peut écarter le point d), sans exclure automatiquement le point e) pour les jouets radio traitant les données pertinentes.
Quel est le rôle des normes EN 18031-1 et EN 18031-2 ?
Les normes harmonisées EN 18031-1:2024, EN 18031-2:2024 et EN 18031-3:2024 portent sur ces domaines. Une norme n'est pas en elle-même un certificat obligatoire. L'utilisation d'une norme harmonisée permet de démontrer la conformité sous certaines conditions, mais d'autres voies existent dans RED. La décision d'exécution (UE) 2025/138 prévoit des restrictions explicites à la présomption de conformité, notamment pour certains mots de passe et contrôles d'accès parental.
Ne vous contentez pas d'une mention « conforme EN 18031 ». Demandez le modèle, le micrologiciel, les clauses appliquées, les rapports d'essais identifiables, les écarts et la procédure d'évaluation pertinente. Vérifiez si un organisme notifié doit intervenir. Un tableau Excel ou une attestation générique ne remplace pas la documentation technique ni la déclaration UE de conformité.
Sept vérifications avant la libération d'un modèle
- Consigner le modèle, la référence, le micrologiciel, les interfaces radio, le fabricant, l'importateur, le lot et la date de première mise sur le marché UE.
- Cartographier les accès Internet directs et indirects via applications, téléphones, routeurs et autres équipements.
- Identifier les voix, images, comptes, identifiants, données de trafic et de localisation et les acteurs du traitement.
- Rédiger une décision motivée et distincte pour 3(3)(d), (e) et (f), y compris les exceptions possibles.
- Obtenir des rapports techniques et d'essais authentiques, la version des normes, les pièces d'organisme notifié si nécessaire et la déclaration UE.
- Consigner les écarts, les corrections, un éventuel blocage interne du lot et l'autorité de validation.
- Réévaluer les obligations CRA applicables aux nouvelles mises sur le marché dès le 11 décembre 2027.
Trois situations pratiques
Voiture avec radiocommande locale
Sans chemin d'accès Internet, n'appliquez pas automatiquement 3(3)(d). Vérifiez néanmoins le traitement possible de données personnelles, de trafic ou de localisation pour 3(3)(e) ; ce point peut aussi être inapplicable si les critères manquent.
Jouet à microphone piloté par application
L'application transmet des données sur Internet et conserve des sons liés à un compte. Les obligations de protection des réseaux et de la vie privée peuvent se cumuler. Examinez l'application, le cloud, le micrologiciel et les preuves.
Attestation fournisseur non datée
Une affirmation EN 18031 sans modèle, micrologiciel, portée de test ni émetteur identifié ne constitue pas une preuve fiable. Demandez des compléments et évaluez le blocage provisoire du lot.
Questions fréquentes
La RED peut-elle s'appliquer à un jouet Bluetooth sans Internet ?
Oui. L'article 3(3)(e) peut concerner des jouets radio traitant les données personnelles, de trafic ou de localisation pertinentes sans connexion Internet. Le point d) doit être examiné indépendamment.
La norme EN 18031-1 est-elle obligatoire pour tous ?
Non. Elle concerne le réseau des équipements connectés et les normes harmonisées ne sont pas systématiquement obligatoires. La conformité aux exigences légales et à la procédure d'évaluation reste indispensable.
Peut-on continuer à vendre un ancien modèle après le 11 décembre 2027 ?
Évaluez la première mise sur le marché UE de chaque unité et les modifications éventuelles. L'abrogation n'efface pas rétroactivement les obligations RED antérieures ; examinez aussi le CRA selon le cas.
Une checklist suffit-elle au marquage CE ?
Non. C'est une aide administrative, non un substitut aux preuves techniques réelles, à l'évaluation de conformité et aux autres exigences applicables.
Modèles de documents associés
Pour la documentation pratique, un ensemble de modèles spécialisés est proposé : RED-jouets radioélectriques de cybersécurité 2026/2027 – EN 18031, déclaration du fournisseur & blocage de lot | Word/PDF/Excel Ces modèles sont facultatifs ; le guide reste utile sans achat.
Sources officielles et vérification
- PTS – cybersecurity requirements for radio equipment
- Delegated Regulation (EU) 2022/30
- Commission Decision (EU) 2025/138 – EN 18031
- Delegated Regulation (EU) 2026/339 – repeal
- RED 2014/53/EU · CRA 2024/2847
Vérification éditoriale le 11 novembre 2026 à partir de PTS et d'EUR-Lex. Informations générales sans valeur de conseil juridique individuel ou d'évaluation de conformité. Faites vérifier le produit réel par des spécialistes techniques et juridiques avant sa mise sur le marché.
