Vous vendez ou achetez une voiture, vous rendez un véhicule de location, vous ouvrez l’application du constructeur : un historique de trajets est encore là. Domicile, horaires, écoles, cabinets médicaux, lieux de culte. La Commission nationale de l’informatique et des libertés le dit sans détour : les données de localisation d’un véhicule connecté sont susceptibles de révéler, indirectement, de nombreuses informations sur votre vie privée.
Le 16 avril 2026, la CNIL a adopté la délibération n° 2026-063, publiée au Journal officiel le 30 juin 2026. Elle abroge l’ancienne recommandation de 2010 destinée aux assureurs et aux constructeurs, et adopte une recommandation nouvelle sur l’utilisation des données de localisation. Ce texte n’invente pas d’obligation parallèle au règlement général sur la protection des données : c’est une recommandation, destinée à aider les professionnels à se conformer aux règles déjà en vigueur. Le règlement, la loi du 6 janvier 1978 et la jurisprudence de la formation restreinte, confirmée par le Conseil d’État, restent les sources contraignantes.
Le cas Ubeeqo le montre. Le 7 juillet 2022, la formation restreinte a infligé 175 000 euros d’amende à un loueur en autopartage pour des manquements aux articles 5.1.c, 5.1.e et 12 du RGPD. Le Conseil d’État, le 6 décembre 2023, a rejeté le recours. Si votre constructeur, votre loueur, votre assureur ou l’éditeur de l’application conserve vos trajets sans base utile, trop longtemps ou sans information claire, vous pouvez faire cesser le traitement, obtenir l’effacement et, devant le juge, demander réparation. Le véhicule de fonction fourni par l’employeur relève d’un autre régime, déjà examiné pour le traceur GPS imposé au salarié.
I. Ce que le constructeur, le loueur ou l’assureur a le droit de collecter
A. Qui traite vraiment vos trajets, et quand la localisation devient une donnée personnelle
Avant d’écrire au constructeur, il faut identifier le traitement et le responsable. Dans l’écosystème décrit par la recommandation du 16 avril 2026, plusieurs acteurs peuvent, seuls ou ensemble, déterminer les finalités et les moyens : le constructeur qui intègre un capteur GPS ; le gestionnaire de flotte, public ou privé, qui propose voitures, scooters, cycles ou trottinettes en location courte ou longue ; le fournisseur de boîtier télématique, souvent branché sur le port de diagnostic ; l’agrégateur ou l’intégrateur qui trie, transmet ou anonymise les flux ; parfois l’assureur, lorsque la police repose sur un boîtier ou une application. Chacun n’a pas le même rôle. Un sous-traitant qui n’exécute que les instructions du responsable n’est pas libre de réutiliser vos trajets pour son propre compte. Un responsable conjoint doit pouvoir expliquer qui répond à vos demandes.
La localisation n’est pas une donnée technique anodine. Elle devient une donnée à caractère personnel dès qu’elle se rattache à une personne physique identifiée ou identifiable : propriétaire via le numéro d’identification du véhicule, le certificat d’immatriculation ou le contrat d’assurance ; locataire via le contrat de location ; conducteur qui s’est identifié dans le système d’info-divertissement ou a branché son téléphone. La CNIL, dans sa page destinée aux particuliers, rappelle qu’en retraçant les déplacements on peut déduire les habitudes, l’adresse du domicile et du lieu de travail, les horaires, les lieux fréquentés, donc vos centres d’intérêt ou d’autres aspects de votre vie privé (établissements de santé, lieux de culte, etc.). La délibération 2026-063 qualifie ces données de données hautement personnelles, particulièrement intrusives pour la vie privée des personnes. L’article 9 du code civil dispose : «Chacun a droit au respect de sa vie privée.»
Cette qualification n’en fait pas, à elle seule, une donnée de santé ou une donnée biométrique au sens des catégories particulières. Elle impose une vigilance accrue : minimisation, durées courtes, sécurité, information. Une fuite d’historique de trajets n’est pas comparable à la perte d’une adresse e-mail isolée. La Commission le souligne : la conservation de l’intégralité des trajets par une société de location de véhicules partagés permet de reconstituer la vie quotidienne.
Le périmètre doit rester net. La recommandation de 2026 vise les usages par des particuliers, propriétaires ou locataires. Elle ne se substitue pas aux règles applicables lorsque l’employeur équipe un véhicule de fonction pour contrôler l’activité d’un salarié. Dans ce dernier cas, s’ajoutent l’information des représentants du personnel, la proportionnalité du contrôle et le débat sur la preuve devant le conseil de prud’hommes, développés dans notre article sur le GPS du véhicule de fonction. Inversement, le salarié qui loue une voiture pour le week-end, ou le particulier qui active l’application du constructeur, n’est pas dans un rapport de subordination : c’est le RGPD classique qui s’applique, avec éventuellement l’article 82 de la loi Informatique et Libertés lorsque le véhicule est traité comme un équipement terminal.
Un autre piège consiste à croire que tout reste dans la voiture. Même si certaines données ne quittent pas le tableau de bord, le constructeur qui fournit les moyens de traitement n’est pas forcément hors du règlement. La recommandation distingue l’usage strictement personnel, initié et contrôlé par la personne dans un environnement cloisonné, des traitements où le tiers peut encore agir en aval. Dès qu’une application, une API ou un cloud du constructeur lit la position, le règlement s’applique. Dès que le loueur localise le véhicule pendant et après la location, aussi.
Enfin, le changement de conducteur ne purge pas automatiquement le fichier. Location, cession, reprise, autopartage : le locataire ou l’acheteur suivant peut hériter de l’historique du précédent si aucune fonction d’effacement n’a été prévue. C’est précisément l’un des points sur lesquels la CNIL insiste auprès des constructeurs, dans l’annexe adoptée par la délibération 2026-063.
B. Bases légales, minimisation et durées : ce qui passe, ce qui ne passe plus
Un traitement de localisation n’est licite que s’il repose sur une base prévue à l’article 6 du RGPD et s’il respecte les principes de l’article 5. La recommandation de 2026, qui n’est ni prescriptive ni exhaustive, n’en reste pas moins un éclairage de la Commission sur la façon dont elle lira ces textes. Elle rappelle que le contrat ne justifie la localisation que si celle-ci est objectivement nécessaire à la fourniture du bien ou du service. Un contrat de vente du véhicule ne suffit pas, à lui seul, à fonder un pistage permanent. Un contrat d’assistance antivol peut, selon les cas, justifier une localisation déclenchée après le signalement du vol, non une collecte continue pendant toute la vie du véhicule.
L’intérêt légitime, souvent invoqué par les loueurs et les assureurs, suppose trois conditions : un intérêt réel, la nécessité du traitement pour le poursuivre, et l’absence d’atteinte disproportionnée aux droits des personnes, eu égard à leurs attentes raisonnables. La CNIL donne des contre-exemples utiles. Collecter la localisation uniquement afin d’être en mesure d’aider un client qui cherche à contester une infraction au code de la route ne repose pas, selon elle, sur un intérêt légitime réel du loueur. Une collecte généralisée à des fins générales de lutte contre la fraude à l’assurance se heurte au même obstacle : l’intérêt, même légitime en soi, ne rend pas nécessaire un suivi permanent de tous les conducteurs. L’obligation légale, elle, n’existe que si un texte impératif, clair et précis s’impose au responsable et définit au moins la finalité. Certaines fonctions d’appel d’urgence embarqué relèvent de ce registre ; elles ne légitiment pas, par ricochet, un historique commercial des week-ends.
Lorsque le véhicule, généralement considéré comme un équipement terminal par la recommandation, fait l’objet d’un accès ou d’une inscription d’informations, l’article 82 de la loi n° 78-17 du 6 janvier 1978 s’ajoute au RGPD. Cet article, toujours en vigueur, impose une information claire sur la finalité de l’accès aux informations déjà stockées dans l’équipement ou de leur inscription, et sur les moyens de s’y opposer. «Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement». Deux exceptions seulement, prévues par le même article : la finalité exclusive de permettre ou faciliter la communication par voie électronique, ou ce qui «est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur». Un constructeur qui lit à distance la mémoire du véhicule pour un service non demandé ne peut pas se cacher derrière la vente de la voiture.
La minimisation n’est pas un slogan. Le Conseil d’État, dans l’arrêt Ubeeqo du 6 décembre 2023, rappelle que l’article 5 du RGPD impose que les données soient «adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données)». Dans cette affaire, «la société Ubeeqo collectait, pour sa plateforme Inovia, déployée en France, en Italie, et partiellement en Belgique, les données de géolocalisation de ses véhicules tous les 500 mètres, ainsi que lorsque le moteur s’allume ou se coupe et lorsque les portières s’ouvrent ou se ferment». Ses équipes pouvaient en outre obtenir la localisation en temps réel. La formation restreinte a retenu un manquement à la minimisation ; le Conseil d’État l’a confirmé.
La durée suit la même logique. Le même arrêt cite l’article 5, e) : les données doivent être «conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées». À la date des contrôles, «la société conservait l’historique de l’ensemble des données de localisation pour chaque contrat de location». Le Conseil d’État a jugé que la formation restreinte a pu légalement retenir un manquement à cette limitation. Il a aussi relevé qu’après les contrôles, la société ne conservait plus que la dernière position connue des véhicules, circonstance prise en compte pour le montant de l’amende, sans effacer le manquement.
L’information n’est pas un accessoire. Un organisme qui collecte des informations sur vous doit, selon la CNIL, vous proposer une information claire sur l’utilisation des données et sur vos droits. Une politique de confidentialité noyée dans l’application, un QR code illisible sur le pare-brise ou une information donnée au seul titulaire du contrat alors que d’autres conducteurs utilisent le véhicule ne remplissent pas cette exigence. La recommandation de 2026 encourage, à titre de bonne pratique, un sticker, un tableau des délégués à la protection des données par marque pour les flottes louées, une fiche par modèle. Ces exemples ne dispensent pas de l’obligation d’informer.
La sécurité, enfin, n’est pas négociable. La CNIL, s’adressant aux particuliers, met en garde contre les fuites et le piratage de données de localisation, qui peuvent entrainer une perte de contrôle. Chiffrement au repos et en transit, cloisonnement par finalité, suppression automatique des durées échues : ce sont des mesures que la recommandation décrit pour les professionnels. Pour vous, l’enjeu est concret : un historique de trajets exposé n’est pas une statistique anonyme. Si une panne, une revente de fichier ou une attaque survient, le responsable doit pouvoir démontrer qu’il n’a pas collecté au-delà du nécessaire.
Le pack de conformité véhicules connectés publié en 2017 reste un document d’accompagnement antérieur. Il ne prévaut pas sur le RGPD ni sur la recommandation de 2026, qui porte spécifiquement sur la localisation des véhicules utilisés par des particuliers.
II. Faire cesser le suivi, récupérer l’historique et obtenir réparation
A. Accès, opposition et effacement : la demande à adresser à chaque acteur
La CNIL rappelle que chaque organisme privé ou public doit permettre d’exercer les droits gratuitement, et qu’avant de la saisir il faut s’adresser à celui qui détient les données. Pour un véhicule connecté, cela signifie souvent plusieurs destinataires : le constructeur (application, API, infodivertissement), le loueur, l’assureur, parfois le fournisseur du boîtier. Une demande unique à la marque ne suffit pas si c’est le loueur qui détermine les finalités de la flotte.
Commencez par le droit d’accès. Vous pouvez exiger de savoir si des données de localisation vous concernant sont traitées, pour quelles finalités, pendant quelle durée, qui en sont les destinataires, et d’en obtenir une copie. La recommandation de 2026 juge utile, à titre de bonne pratique, une représentation graphique de l’historique. Même sans graphique, une liste de positions horodatées, la politique de conservation et l’identité des sous-traitants sont exigibles. Conservez le courriel, l’accusé de l’application, la capture d’écran. Ces pièces serviront si l’organisme ne répond pas, selon la méthode déjà décrite pour le droit d’accès lorsqu’un organisme reste silencieux.
Le droit d’opposition n’est pas réservé à la publicité. D’après la fiche de la CNIL, il permet de s’opposer à ce que les données soient utilisées pour un objectif précis. Hors prospection commerciale, il faut faire valoir des raisons tenant à votre situation particulière. Pour un véhicule, ces raisons peuvent être concrètes : le suivi révèle le domicile d’un enfant, un lieu de soin, un déplacement syndical ou politique ; le boîtier n’a jamais été désactivable ; le service vendu (navigation, maintenance) n’exige pas un historique de plusieurs années. L’organisme doit alors cesser le traitement contesté, sauf motif légitime impérieux qui prévaudrait, ce qu’il lui appartient de démontrer. L’opposition à la prospection, elle, n’a pas à être motivée.
L’effacement est le droit le plus utile à la revente ou à la restitution. La recommandation demande aux constructeurs de prévoir une fonction simple, comme un bouton de suppression au sein du véhicule ou dans l’application. En pratique, beaucoup de modèles n’offrent qu’un reset partiel, qui laisse des traces dans le cloud du constructeur. Votre courrier doit donc viser à la fois la mémoire embarquée et les serveurs. Demandez la suppression de l’historique de trajets, des profils conducteurs, des téléphones appairés, et la confirmation que les sous-traitants ont reçu instruction d’effacer. Si l’organisme invoque un contentieux en cours, une obligation légale ou la constatation d’une infraction, il doit limiter la conservation à ce qui est strictement nécessaire à cette finalité, non à l’ensemble de vos week-ends.
La portabilité et la limitation du traitement peuvent compléter le dispositif. La portabilité n’existe que si le traitement repose sur le consentement ou le contrat et s’effectue à l’aide de procédés automatisés : elle peut servir à récupérer un export avant de clôturer un compte constructeur. La limitation permet de geler l’usage le temps d’un litige, par exemple lorsque vous contestez la licéité du boîtier d’assurance. Ces droits, présentés par la CNIL dans sa page d’ensemble, s’exercent par écrit, de préférence de manière datée et nominative, avec une copie d’une pièce d’identité si l’organisme le demande de façon proportionnée.
Rédigez un courrier distinct par responsable. Pour le loueur : cessez la collecte pendant la location au-delà de ce qui est nécessaire à la restitution et au vol signalé ; effacez l’historique lié au contrat ; communiquez la durée réelle. Pour le constructeur : identifiez les traitements de l’application et du véhicule ; indiquez si l’article 82 de la loi de 1978 a été respecté lors de l’accès à l’équipement ; demandez la purge avant cession. Pour l’assureur : rappelez que la lutte contre la fraude ne justifie pas un suivi généralisé, selon l’éclairage donné par la recommandation de 2026. Joignez le contrat, le numéro de série, les captures de l’application. Fixez un délai raisonnable. Si plusieurs conducteurs ont utilisé le véhicule, chacun peut être une personne concernée.
N’attendez pas que le prestataire anonymise de lui-même. Une anonymisation réelle, irréversible, sort du RGPD ; un simple masquage du nom tout en conservant un identifiant véhicule relais n’en est pas une. Tant que la position peut être reliée à vous, vos droits demeurent.
B. Plainte CNIL, juge et publicité de la sanction : ce que l’affaire Ubeeqo change pour vous
Si l’organisme ignore votre demande, la répond de façon dilatoire ou continue de tracer le véhicule, deux voies se combinent : la CNIL et le juge. Elles n’ont pas le même objet.
Devant la CNIL, vous déposez une plainte après avoir exercé vos droits. Les agents habilités peuvent aussi se présenter dans les locaux où le traitement est mis en œuvre, de 6 heures à 21 heures, après information du procureur de la République, en application de l’article 19 de la loi du 6 janvier 1978. La Commission le dit clairement : elle n’exerce pas vos droits à votre place, elle ne traite pas une plainte imprécise, et elle n’alloue pas de dommages-intérêts. En revanche, elle peut investiguer, mettre en demeure et sanctionner. L’article 20 de la loi du 6 janvier 1978 permet au président de mettre en demeure le responsable, notamment «De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits» et «De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données». Le délai peut être fixé à vingt-quatre heures en cas d’urgence. Le président peut ensuite saisir la formation restreinte, qui prononce rappel à l’ordre, injonction éventuellement assortie d’astreinte, amende, publicité. En cas d’urgence, l’article 21 permet à la formation restreinte d’interrompre provisoirement un traitement, y compris un transfert hors de l’Union, pour trois mois au plus. L’article 22 précise que ces mesures sont prononcées après un rapport notifié au responsable, qui peut déposer des observations, et que la formation restreinte «peut rendre publiques les mesures qu’elle prend».
Ubeeqo illustre la séquence. Contrôle, manquements à la minimisation, à la durée et à l’information, amende de 175 000 euros, publicité de la délibération. La société contestait la procédure, la minimisation et le montant. Le Conseil d’État a écarté l’irrégularité, confirmé que la collecte tous les 500 mètres et la conservation de l’historique n’étaient pas limitées au nécessaire, et jugé le montant non disproportionné au regard de 250 000 utilisateurs concernés sur six États membres, d’un chiffre d’affaires de 5,1 millions d’euros en 2020 et de l’appartenance au groupe Europcar. Le Conseil d’État statue : «Article 1er : La requête de la société Ubeeqo International est rejetée.» La publicité de la sanction, maintenue deux ans avant anonymisation, fait partie du dispositif. Pour un particulier, cela signifie qu’une pratique de flotte identique n’est plus une zone grise : elle a déjà été qualifiée, sanctionnée et confirmée.
La recommandation 2026-063 n’était pas encore adoptée en 2022. Elle n’en est pas moins un indice de la doctrine actuelle de la Commission, après une consultation publique du 25 mars au 20 mai 2025. Un professionnel qui s’en écarte sans justification s’expose, non pas à la violation d’une norme 2026 autonome, mais à une lecture sévère des articles 5, 6, 12 et 13 du RGPD. Inversement, suivre la recommandation ne crée pas un droit à l’impunité si le règlement est méconnu.
Le juge judiciaire reste le seul à allouer des dommages-intérêts. Le préjudice peut être moral (sentiment d’être suivi, révélation de déplacements sensibles) ou matériel (conséquence d’une fuite, difficulté à vendre le véhicule, coût d’un expert pour purger le système). Il faut le prouver. Ni la CNIL ni le présent article ne chiffrent une indemnité type. L’action peut viser le responsable du traitement, parfois plusieurs responsables conjoints, sur le fondement du RGPD et de la responsabilité civile. Elle n’interdit pas, en parallèle, de faire cesser le traitement en référé lorsque le trouble est manifeste. Le juge administratif, lui, connaît des recours contre les décisions de la CNIL, comme dans l’affaire Ubeeqo : ce n’est pas la voie du particulier victime, c’est celle de l’organisme sanctionné.
Préparez un dossier sobre. Contrat de vente, de location ou d’assurance. Conditions générales et politique de confidentialité en vigueur à la date des faits. Captures de l’application montrant l’historique. Courriers d’exercice des droits et réponses. Preuve que le boîtier ou l’option connectée n’était pas désactivable, ou l’était seulement après une procédure obscure. Si des données de santé ou de culte se déduisent des lieux, mentionnez-le comme élément de gravité, sans transformer pour autant la localisation en donnée de santé au seul motif d’un passage devant un hôpital.
Les pages concurrentes, souvent antérieures à 2026, décrivent encore le pack de 2017 ou des scénarios généraux (Lexing, Weblex, CMS). Elles n’offrent pas la séquence actualisée : recommandation 2026-063, abrogation de 2010-096, sanction Ubeeqo confirmée, distinction nette entre véhicule de particulier et véhicule de fonction, et démarches d’opposition et d’effacement à adresser à chaque acteur. C’est cette séquence qui permet d’agir.
En pratique, trois erreurs reviennent. La première : croire que j’ai accepté les conditions générales vaut consentement pour un pistage sans rapport avec le service. La deuxième : s’adresser seulement au garage, qui n’est souvent qu’un intermédiaire. La troisième : saisir la CNIL sans avoir exercé les droits, ce qui rend la plainte irrecevable. Inversez l’ordre. Identifiez le responsable. Demandez l’accès, l’opposition et l’effacement. Conservez la preuve. Puis, si besoin, saisissez la Commission et le juge.
Besoin d’un avis rapide sur votre dossier
Un constructeur, un loueur ou un assureur conserve l’historique de vos trajets, refuse de désactiver la localisation ou de purger le véhicule avant une vente ou une restitution ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique les demandes à formuler, les pièces à réunir et les recours utiles. Consultation téléphonique : 06 46 60 58 22. Écrivez via le formulaire de contact du cabinet.