Votre voiture connectée conserve la trace de chacun de vos trajets, avec l’heure de départ, l’adresse d’arrivée et parfois la vitesse pratiquée. Votre montre mesure votre sommeil, votre rythme cardiaque et vos parcours de course, puis synchronise ces mesures avec votre téléphone et les serveurs du fabricant. Votre portail, votre chaudière ou votre enceinte enregistre des présences, des voix et des habitudes de vie. Un jour, vous demandez la copie de ces informations, ou vous exigez leur suppression après la revente du véhicule ou la résiliation de l’abonnement. Le vendeur vous répond qu’il ne s’agit que de données techniques qui ne vous concernent pas. Le constructeur vous renvoie vers l’éditeur de l’application, qui vous renvoie vers le constructeur. Le loueur conserve votre géolocalisation pendant des années sans vous expliquer pourquoi. Ces réponses ne sont pas une fatalité, mais elles appellent une méthode rigoureuse, car trois régimes se superposent et trois interlocuteurs se renvoient la balle.
La première étape consiste à identifier les traitements, les parties, leurs rôles et le contrat en cause. Vous êtes à la fois l’utilisateur du produit connecté et, pour les trajets, les mesures de santé ou les enregistrements qui vous identifient, la personne concernée par le traitement. Le constructeur, le vendeur, le loueur ou l’éditeur de l’application compagnon sont, selon les cas, responsables du traitement de vos données personnelles et détenteurs des données générées par le produit. Le contrat de vente ou de location du bien se double presque toujours d’un second contrat, celui du service connexe, avec ses conditions générales, son compte en ligne et son abonnement. C’est ce double lien, produit plus service, qui donne accès à deux séries de droits distincts et complémentaires : le droit d’obtenir vos données et de les faire porter ailleurs, puis le droit de faire cesser les collectes excessives et d’obtenir réparation. Cet article décrit d’abord ce que le vendeur, le constructeur et l’application doivent vous laisser voir et reprendre, puis la marche à suivre quand ils refusent, conservent trop longtemps ou exploitent vos données sans base légale.
I. Ce que le vendeur, le constructeur et l’application doivent vous laisser voir et reprendre
A. Obtenir la copie de vos trajets, de vos mesures et de vos enregistrements
Le droit d’accès du règlement général sur la protection des données s’applique pleinement aux objets connectés. Toute personne concernée peut obtenir du responsable du traitement la confirmation que des données la concernant sont traitées, puis l’accès auxdites données, avec les finalités, les catégories de données, les destinataires, la durée de conservation envisagée et les droits de rectification, d’effacement, de limitation et d’opposition. Concrètement, le constructeur automobile, le loueur ou le fabricant de la montre doit vous confirmer qu’il traite vos trajets ou vos mesures de santé, vous en fournir une copie et vous expliquer à qui ces informations ont été communiquées, y compris dans des pays tiers, et combien de temps elles seront gardées. Un refus motivé par le caractère prétendument technique des données ne tient pas dès lors que ces données permettent de vous identifier, directement ou indirectement : une suite de positions GPS rattachée à votre contrat de location ou à votre compte conducteur est une donnée personnelle, comme l’a jugé le Conseil d’État dans l’affaire d’autopartage commentée plus loin.
À ce droit d’accès s’ajoute, depuis l’automne 2025, le droit d’accès propre au règlement européen sur les données, dit Data Act. D’après la page officielle de la Commission européenne consacrée au Data Act, le texte est entré en vigueur le 11 janvier 2024 et est applicable depuis le 12 septembre 2025. Son article 3, paragraphe 1, impose une obligation de conception qui change concrètement la donne pour les utilisateurs : les produits connectés doivent être conçus et fabriqués de telle sorte que les données relatives au produit et au service connexe, avec les métadonnées nécessaires pour les interpréter, soient accessibles à l’utilisateur par défaut, de manière aisée et sécurisée, sans frais, dans un format complet et lisible par machine, et directement accessibles à l’utilisateur quand c’est pertinent et techniquement possible. Autrement dit, le fabricant ne peut plus se contenter d’un tableau de bord décoratif dans l’application : l’utilisateur doit pouvoir extraire ses données relatives au produit et au service connexe, avec les métadonnées qui permettent de les comprendre, gratuitement et dans un format réutilisable, pour les analyser, les confier à un réparateur ou les transmettre à un service concurrent. L’utilisateur visé est large : la personne à laquelle appartient le produit, celle à qui des droits temporaires d’utilisation ont été cédés par contrat, comme le locataire d’un véhicule, ou celle qui reçoit les services connexes. Le détenteur de données est la personne qui a le droit ou l’obligation d’utiliser ces données et de les mettre à disposition.
Le vendeur, le loueur ou le bailleur doit en outre vous informer avant la signature. Avant la conclusion d’un contrat d’achat, de location ou de crédit-bail portant sur un produit connecté, il doit vous expliquer quelles données le produit peut générer, sous quel type, quel format et quel volume estimé, ainsi que les modalités de stockage, d’extraction et d’accès, y compris les conditions d’utilisation et la qualité du service. Cette information précontractuelle doit pouvoir être conservée et reproduite à l’identique, et elle doit être actualisée quand les finalités ou les modalités changent pendant la vie du produit. En pratique, exigez cette fiche d’information par écrit avant d’acheter ou de louer : elle servira de référence le jour où le constructeur prétendra que telle collecte n’était pas prévue ou que tel export n’est pas possible.
Deux limites doivent être connues pour formuler une demande qui aboutit. D’abord, l’utilisateur n’est pas toujours la personne concernée : les données d’un second conducteur, d’un passager ou d’un précédent propriétaire ne vous sont pas dues. Le règlement sur les données complète le règlement général sans y porter atteinte, ne crée aucune base juridique nouvelle pour collecter des données personnelles et ne permet pas de donner accès aux données personnelles d’autrui. Le détenteur peut alors répondre en anonymisant les données ou en ne transmettant que celles qui vous concernent. Formulez donc votre demande sur vos trajets, vos comptes et vos contrats, sans réclamer l’historique complet du véhicule s’il a servi à d’autres. Ensuite, le secret des affaires ne permet pas de vous refuser l’accès à vos propres données : la réserve protégeant les secrets d’affaires vise la transmission à un tiers destinataire, pas votre droit d’obtenir une copie de vos propres trajets ou mesures. Un algorithme propriétaire ne justifie jamais le refus de vous communiquer les données brutes qui vous concernent.
Le règlement général impose enfin un délai de réponse strict : le responsable du traitement vous informe des mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, avec une prolongation possible de deux mois pour les demandes complexes, à condition de vous en avertir. Adressez votre demande par écrit, de préférence par lettre recommandée avec accusé de réception ou par le canal que le constructeur met à disposition, en visant les deux fondements : l’article 15 du règlement général pour la copie de vos données personnelles, et l’article 3 du règlement sur les données pour l’accès direct et la portabilité. Écrivez aux trois interlocuteurs quand ils se renvoient la balle : vendeur, constructeur ou loueur, et éditeur du service connexe. Demandez la copie dans un format structuré et courant, la liste des destinataires, les durées de conservation appliquées et la base juridique de chaque finalité. Conservez les accusés de réception et faites des captures d’écran des paramètres de l’application : ce dossier fera foi en cas de plainte ou d’action en justice.
B. Contester la collecte permanente et les conservations de plusieurs années
Obtenir vos données ne suffit pas quand le problème est l’ampleur de la collecte elle-même. Le règlement général pose deux principes que les objets connectés violent fréquemment : la minimisation des données, qui limite la collecte à ce qui est nécessaire au regard des finalités, et la limitation de la conservation, qui interdit de garder des données identifiantes au-delà de la durée nécessaire. Une voiture qui enregistre votre position en continu, une montre qui transmet chaque battement de coeur à des partenaires publicitaires ou une enceinte qui conserve des années d’historique vocal doivent justifier chaque finalité, chaque catégorie de données et chaque durée. La Commission nationale de l’informatique et des libertés le rappelle pour les véhicules : « informations nécessaires à l’objectif poursuivi » doivent être collectées et conservées. L’intégralité de vos trajets conservée par un loueur permet de déduire votre domicile, votre lieu de travail et vos habitudes : cette connaissance est intrusive et dangereuse en cas d’accès malveillant.
L’affaire qui illustre le mieux ces principes est celle de la société d’autopartage Ubeeqo, tranchée par le Conseil d’État le 6 décembre 2023 (n° 467368). La décision rappelle d’abord la règle applicable : « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (minimisation des données) et « e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». À la suite d’un contrôle mené le 26 mai 2020, la formation restreinte de la Commission avait prononcé le 7 juillet 2022 une amende de 175 000 euros et la publication de sa décision. La société collectait, pour sa plateforme déployée en France, en Italie et partiellement en Belgique, « les données de géolocalisation de ses véhicules tous les 500 mètres, ainsi que lorsque le moteur s’allume ou se coupe et lorsque les portières s’ouvrent ou se ferment », avec une localisation en temps réel accessible à ses équipes, et conservait l’historique complet de ces données pour chaque contrat de location. Le Conseil d’État a validé l’analyse de la Commission : sans s’opposer au principe même de la géolocalisation des véhicules loués, celle-ci avait estimé que « la conservation de la totalité des données de géolocalisation des véhicules tous les 500 mètres n’était pas nécessaire au regard des finalités poursuivies », tenant à la gestion de la flotte, à la lutte contre le vol et à l’assistance en cas d’accident. Sur les durées, la société conservait par principe les données des utilisateurs non professionnels pendant trois ans à compter de la fin de la relation commerciale, sauf demande d’effacement anticipé. Le Conseil d’État a jugé que la formation restreinte avait pu légalement estimer que la société « conservait les données de géolocalisation pour une durée excessive au regard des finalités poursuivies ». Pour le montant, il a relevé 250 000 utilisateurs dans six États membres, un chiffre d’affaires de 5,1 millions d’euros en 2020 au sein d’un groupe réalisant en moyenne 2,57 milliards d’euros, ainsi que la correction apportée après le contrôle avec la conservation de la seule dernière position connue, et a jugé la sanction non disproportionnée. Le recours a été rejeté : « La requête de la société Ubeeqo International est rejetée. » La publicité de la décision a été maintenue avec une anonymisation différée de deux ans.
Cette décision donne la mesure de ce que vous pouvez contester dans votre propre dossier : une collecte tous les quelques centaines de mètres quand la finalité affichée est la facturation ou l’assistance, une localisation en temps réel accessible à des équipes entières, une conservation de plusieurs années après la fin du contrat. La Commission recommande en outre des garanties concrètes que vous pouvez exiger : lorsque vous ne souhaitez pas utiliser certains services connectés optionnels, vous devez pouvoir les désactiver facilement, avec un mode permettant de couper l’ensemble des services optionnels et leurs traitements, et des profils conducteurs distincts pour que les données d’un trajet ne soient accessibles qu’à la personne concernée. Son pack de conformité pour le secteur automobile précise, pour chaque type de traitement, les finalités, les catégories de données, les durées, les droits, la sécurité et les destinataires attendus. Demandez au constructeur ou au loueur sa politique de conservation écrite et la finalité de chaque collecte : l’absence de réponse précise constitue déjà un indice de manquement.
L’actualité confirme que les plaintes individuelles débouchent sur des contrôles et des sanctions lourdes. Le 13 janvier 2026, la Commission a rendu deux décisions de sanction visant les sociétés Free Mobile et Free, après plus de 2 500 plaintes liées à une violation de données : elle a prononcé une amende de 27 millions d’euros à l’encontre de la première et de 15 millions d’euros à l’encontre de la seconde, notamment pour méconnaissance des principes de sécurité et au vu du caractère hautement personnel des données compromises, dont des IBAN. Votre plainte n’est donc pas un geste symbolique : jointe à d’autres, elle peut déclencher le contrôle qui fera cesser la pratique. En pratique, vérifiez dès aujourd’hui les réglages de votre véhicule et de vos applications : coupez la géolocalisation des services que vous n’utilisez pas, supprimez les comptes des anciens conducteurs, et avant de revendre un véhicule ou une montre, effectuez la réinitialisation complète puis conservez-en la preuve. Le nouveau propriétaire ne doit pas recevoir vos trajets et vos mesures avec le bien.
II. Quand le refus persiste : faire cesser, faire réparer le contrat et obtenir réparation
A. Exiger l’arrêt, l’effacement et la mise en conformité du produit
Quand le responsable du traitement garde le silence ou refuse, le règlement général vous donne deux armes directes. D’abord l’effacement : toute personne concernée peut obtenir dans les meilleurs délais la suppression des données qui la concernent, et le responsable a l’obligation de les effacer, notamment lorsqu’elles sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées. Un historique de trajets conservé trois ans après la restitution du véhicule, des mesures de santé gardées après la suppression du compte ou des enregistrements vocaux exploités au-delà de la commande vocale entrent dans ce cas. Ensuite le retrait du consentement, quand la collecte reposait sur lui : chacun a le droit de retirer son consentement à tout moment. Le retrait ne remet pas en cause le passé mais impose l’arrêt pour l’avenir, et il doit être aussi simple que le consentement. Enfin l’opposition, pour les traitements fondés sur l’intérêt légitime : chacun peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, y compris un profilage. Le responsable doit alors cesser, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts.
Si la demande écrite reste sans effet au bout d’un mois, saisissez la Commission par une plainte en ligne en joignant vos courriers, les accusés de réception et les captures d’écran. La Commission peut mettre en demeure, prononcer une injonction sous astreinte et sanctionner, comme le montrent les affaires Ubeeqo et Free citées plus haut. Parallèlement, le contrat de vente ou de location vous offre un levier souvent négligé : la garantie légale de conformité. Le vendeur doit délivrer un bien conforme au contrat et répond des défauts de conformité existant au moment de la délivrance, qui apparaissent dans un délai de deux ans à compter de celle-ci. Or la délivrance d’un bien comportant des éléments numériques inclut la fourniture de ces éléments, et le bien doit répondre aux caractéristiques promises, notamment en matière de fonctionnalité, de compatibilité et d’interopérabilité. Surtout, le bien est mis à jour conformément au contrat : une mise à jour logicielle qui supprime l’export local de vos données, qui impose un compte en ligne là où le contrat promettait un fonctionnement hors ligne, ou qui casse la compatibilité avec votre téléphone, constitue un argument sérieux de non-conformité. Le consommateur est en droit d’exiger la mise en conformité du bien, en choisissant entre la réparation et le remplacement. Mettez le vendeur en demeure par écrit en visant ces textes : l’expérience montre qu’un vendeur qui ignorait vos courriers fondés sur la protection des données réagit vite quand la garantie et la résolution du contrat sont en jeu.
Le service connexe, application ou abonnement, se traite séparément : résiliez le contrat selon ses conditions générales, exigez simultanément l’effacement de vos données personnelles sur les deux fondements exposés, et demandez la confirmation écrite de la suppression avec sa date. Quand le contrat informatique qui lie votre entreprise au prestataire est en cause, flotte de véhicules, montres fournies aux salariés ou plateforme de télésuivi, faites vérifier la chaîne des responsabilités, le contrat de sous-traitance et les clauses de réversibilité avant de couper les flux : une coupure brutale peut engager votre propre responsabilité contractuelle. L’appui d’un conseil habitué à vérifier vos contrats commerciaux et informatiques permet de calibrer la mise en demeure, l’audit et, le cas échéant, la suspension des flux sans vous exposer.
B. Prouver le préjudice et obtenir réparation devant le juge
La violation ne suffit pas : il faut démontrer le dommage. L’article 82 du règlement général ouvre l’action à toute personne ayant subi un dommage matériel ou moral du fait d’une violation, avec droit d’obtenir réparation du préjudice subi auprès du responsable du traitement ou du sous-traitant. La Cour de justice de l’Union européenne a fixé le cadre dans son arrêt du 4 mai 2023, Österreichische Post (C-300/21), consultable sur le registre de la jurisprudence de la Cour : la simple violation du règlement ne suffit pas à elle seule à ouvrir droit à réparation, car un préjudice causé par cette violation reste exigé. Mais la Cour refuse à l’inverse toute condition de gravité minimale : le droit de l’Union s’oppose à une règle nationale qui subordonnerait l’indemnisation du dommage moral à un seuil de gravité. Autrement dit, pas de préjudice automatique, mais pas de seuil de gravité non plus : une anxiété réelle, une perte de temps substantielle, un démarchage subi après une fuite ou une exposition de votre vie privée peuvent être indemnisés dès lors qu’ils sont prouvés, même modestes. Le montant relève ensuite des règles nationales de réparation, sous réserve d’équivalence et d’effectivité.
La Cour de cassation française applique exactement cette logique et vient de la rappeler avec netteté. Dans son arrêt du 24 juin 2026 (n° 24-22.792), la chambre sociale jugeait le cas d’un salarié dont l’employeur avait utilisé des preuves issues d’un traitement contraire au règlement. La cour d’appel avait alloué 5 000 euros pour exécution déloyale en retenant que la violation du règlement avait nécessairement causé un préjudice. L’employeur soutenait au contraire « qu’il incombe au salarié de justifier d’un préjudice particulier s’il entend obtenir des dommages et intérêts et, faute d’éléments de preuve en ce sens, il doit être débouté de sa demande ; qu’en retenant, pour accorder à M. [P] la somme de 5 000 euros à titre de dommages et intérêts pour exécution déloyale du contrat de travail, que le non-respect des dispositions du RGPD lui aurait nécessairement causé un préjudice quand il ne démontrait dans ses écritures ni son existence, ni son étendue, la cour d’appel a violé l’article 1382, devenu 1240 du code civil. » La Cour de cassation a suivi ce raisonnement et « CASSE ET ANNULE, mais seulement en ce qu’il condamne la société Natixis à payer à M. [P] la somme de 5 000 euros à titre de dommages et intérêts pour exécution déloyale du contrat de travail », avec renvoi devant une cour d’appel autrement composée. L’enseignement vaut pour votre dossier d’objet connecté : ne demandez jamais une somme au seul motif que vos données ont été collectées sans base légale. Décrivez et chiffrez : nuits d’inquiétude après la divulgation de vos trajets, temps passé à faire supprimer vos données, appels et messages indésirables reçus après la fuite, abonnement devenu inutile, décote à la revente parce que le véhicule reste lié au compte du précédent propriétaire. La même décision laisse intacte une autre leçon utile : des preuves obtenues en violation du règlement peuvent être jugées recevables quand leur production est indispensable et proportionnée à l’objectif poursuivi. Vos propres captures et exports, même issus de l’application du constructeur, restent donc utilisables pour établir vos droits.
En complément de l’article 82, le droit commun de la responsabilité reste disponible : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ce fondement de l’article 1240 du code civil couvre les préjudices qui ne relèvent pas du règlement général, comme la perte financière liée à un produit devenu inutilisable ou les frais engagés pour changer de prestataire. Devant le juge judiciaire, agissez contre le responsable du traitement et, le cas échéant, contre le sous-traitant qui a outrepassé ses instructions, car le règlement les rend tous deux susceptibles de répondre du dommage. Préparez un dossier probant : export de vos données avant toute suppression, courriers de demande et refus, relevés des collectes constatées par un commissaire de justice quand l’application masque ses réglages, plainte à la Commission et ses suites, factures de résiliation anticipée ou de changement de matériel. C’est ce dossier, précis et daté, qui transformera une violation abstraite en préjudice indemnisable.
Votre voiture, votre montre et votre maison connectées produisent chaque jour des données qui racontent votre vie avec une précision redoutable. Le droit applicable en 2026 vous donne les moyens de les reprendre en main : copie et portabilité de vos trajets et mesures, information avant l’achat, collecte limitée au nécessaire, durées courtes, désactivation des services optionnels, effacement après la fin du contrat, mise en conformité du produit et réparation du préjudice prouvé. La méthode qui gagne suit toujours le même ordre : identifier par écrit les traitements, les responsables et les contrats, demander l’accès et l’effacement en visant les bons articles, saisir la Commission en cas de silence, puis agir au fond avec un préjudice documenté. Les décisions Ubeeqo, Free, Österreichische Post et Natixis montrent que les autorités et les juges sanctionnent les collectes permanentes et les conservations excessives, mais qu’ils exigent de chaque demandeur des preuves concrètes. Constituez ces preuves dès le premier refus : elles feront la différence entre une plainte classée et une sanction, entre un préjudice allégué et une indemnisation.
Besoin d’un avis rapide sur votre dossier
Vous contestez l’utilisation de vos données par une voiture, une montre ou un objet connecté, ou vous voulez imposer l’accès, la portabilité ou l’effacement à un constructeur, un vendeur ou un éditeur. Maître Reda KOHEN, avocat au Barreau de Paris, étudie votre dossier en numérique et données personnelles et vous propose une consultation téléphonique en 48 heures. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.