Votre assureur vous propose une réduction si vous acceptez un boîtier connecté dans votre voiture ou une application qui analyse chacun de vos trajets. La promesse est simple : plus vous conduisez prudemment, moins vous payez. Certains assureurs annoncent jusqu’à 50 % de réduction sur la cotisation chaque mois, calculée à partir d’un score de conduite établi trajet après trajet. Le revers est moins mis en avant : pour calculer ce score, l’assureur collecte en continu votre géolocalisation, vos horaires de déplacement, vos freinages et vos accélérations, puis conserve cet historique de vos mouvements pendant des mois.

Or ces données de localisation racontent votre vie : vos horaires de travail, vos lieux de culte, vos consultations médicales, vos week-ends. La Commission nationale de l’informatique et des libertés vient justement de publier, le 30 juin 2026, une recommandation sur l’utilisation des données de localisation des véhicules connectés, adoptée par la délibération n° 2026-063 du 16 avril 2026, qui rappelle que ces usages sont soumis au consentement dans la plupart des cas. Et quand le score fait varier votre prime à la hausse, le droit européen de la décision automatisée s’en mêle : la Cour de justice de l’Union européenne a jugé le 7 décembre 2023 que le scoring peut constituer une décision individuelle automatisée au sens de l’article 22 du règlement général sur la protection des données.

Cet article explique, point par point, ce que votre assureur collecte et sur quel fondement il doit le justifier, comment refuser le boîtier ou le désactiver ensuite, comment exiger l’accès, la rectification et l’effacement de vos trajets, comment contester un score et une surprime, et comment résilier, saisir la Commission nationale de l’informatique et des libertés et obtenir réparation devant le juge.

I. Ce que l’assureur collecte avec le boîtier et sur quel fondement il doit le justifier

A. Le boîtier, l’application et le score mensuel : une géolocalisation permanente de vos déplacements

Les formules dites « Pay How You Drive » fonctionnent toutes sur le même principe : un boîtier connecté relié en bluetooth à votre téléphone, ou une application mobile, analyse votre conduite jour après jour et calcule un score après chaque trajet. La moyenne mensuelle de ces scores détermine une réduction ou, à l’inverse, le retour au tarif de base. Un assureur français qui commercialise ce type de formule explique que le boîtier permet d’analyser la conduite quotidiennement, que chaque trajet donne lieu à un score consultable sur un tableau de bord, et que les freinages importants à répétition sont interprétés comme un manque d’anticipation. Le même assureur met en avant des réductions mensuelles pouvant aller jusqu’à 50 % de la cotisation.

Un comparateur national décrit de son côté ces formules « bonne conduite » comme reposant sur une application de suivi, avec un calcul du prix fondé sur le comportement observé, et relève qu’elles visent en priorité les jeunes conducteurs. Ce qui est présenté comme un jeu de prudence est donc, techniquement, un traitement continu de données de localisation : chaque trajet est horodaté, géolocalisé, noté, puis agrégé en un profil de conducteur qui suit l’assuré mois après mois.

C’est précisément ce type d’usage que la Commission nationale de l’informatique et des libertés vient d’encadrer. Dans sa recommandation du 30 juin 2026, l’autorité rappelle que ses recommandations ont un rôle de guide pratique ayant pour objectif d’éclairer les acteurs sur les règles applicables, et qu’elles s’adressent à l’ensemble des acteurs du véhicule connecté. Elle précise que le consentement de l’utilisateur à l’utilisation de données de localisation sera obligatoire, sauf si ces données sont nécessaires à un service expressément demandé par l’utilisateur. Elle ajoute que la recommandation aide les acteurs à s’assurer du respect des principes clés du RGPD et de la loi Informatique et Libertés, comme l’identification d’une base légale valide, la minimisation des données et la limitation de leur durée de conservation, ou encore la sécurité des données. La recommandation complète le pack de conformité « véhicules connectés » et les lignes directrices 01/2020 du Comité européen de la protection des données sur les véhicules connectés (version 2.0, en français), que la Commission présente comme le cadre général applicable à l’ensemble des données générées par l’usage de ces véhicules.

Le Comité européen rappelle pour sa part que le stockage d’informations dans l’équipement terminal ou l’accès à des informations déjà stockées doit reposer sur une base juridique : le consentement au titre de l’article 6 du règlement constitue généralement la base juridique la plus appropriée pour le traitement qui suit l’accès au terminal, et ce consentement doit être libre, spécifique et éclairé et constituer une indication univoque des souhaits de la personne concernée. Concrètement, avant d’accepter le boîtier, l’assuré doit donc recevoir une information claire sur ce qui est collecté : la nature des données (position, vitesse, freinages, horaires), les finalités (calcul du score, modulation de la prime, amélioration des produits), les destinataires (assureur, prestataire technique, éventuels partenaires), et les durées de conservation. Sans cette information préalable, le consentement n’est pas éclairé et le traitement repose sur une base fragile.

Le fondement juridique ne se limite pas au consentement. Le règlement européen pose que les données doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée, adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités, et conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités. Et le traitement n’est licite que si, notamment quand la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques. Pour le boîtier posé dans votre propre voiture, c’est bien ce consentement qui est en principe requis : d’une part au titre de l’article 82 de la loi Informatique et Libertés pour l’accès aux informations du véhicule et du téléphone, d’autre part au titre de l’article 6 du règlement pour le traitement des trajets par l’assureur. La loi française dispose en effet : Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement, sauf deux exceptions étroites : la finalité exclusive de permettre la communication électronique, ou ce qui est strictement nécessaire à un service en ligne à la demande expresse de l’utilisateur. L’assurance connectée entre dans le champ du consentement, pas dans celui des exceptions.

Un point mérite une attention particulière : les données de localisation révèlent souvent des informations sensibles. Des trajets répétés vers un lieu de culte, un cabinet médical ou les locaux d’un syndicat permettent de déduire des convictions ou un état de santé. Le règlement renforce la protection de ces catégories particulières, et la minimisation interdit de collecter des trajets d’une précision ou d’une durée excédant ce que le calcul du score exige. Si l’assureur enregistre votre position à la seconde près alors qu’une agrégation par tronçon suffirait, ou s’il conserve l’historique détaillé de chaque déplacement pendant des années pour « améliorer ses produits » sans consentement distinct, il dépasse ce qui est nécessaire. C’est d’ailleurs pour ces usages secondaires, comme l’optimisation et l’amélioration des produits et services, que la recommandation de la Commission apporte des éclairages spécifiques : ils doivent reposer sur leur propre base légale et ne peuvent pas se nourrir automatiquement des données collectées pour le score.

À cette information propre aux données s’ajoute l’obligation d’information précontractuelle de l’assureur : avant la conclusion du contrat, l’assureur remet à l’assuré un exemplaire du projet de contrat et de ses pièces annexes ou une notice d’information sur le contrat qui décrit précisément les garanties assorties des exclusions, ainsi que les obligations de l’assuré. Les documents remis précisent aussi les modalités d’examen des réclamations et de recours à la médiation. L’assuré doit donc recevoir, avant de signer, non seulement la description du suivi connecté et de ses conséquences tarifaires, mais aussi la voie de réclamation en cas de litige sur le score.

Les assurés qui s’interrogent plus largement sur les données exigées par leur assureur, notamment en matière de santé pour un prêt ou une police, trouveront des règles voisines dans les règles applicables quand votre assureur ou votre banque exige vos données de santé : questionnaire limité, secret médical et contrôle de la Commission s’y appliquent également.

B. Refuser le boîtier à la souscription ou le désactiver ensuite : consentement, retrait et opposition

Le premier droit de l’assuré est de dire non. Aucun texte n’oblige un automobiliste à accepter un boîtier télématique pour s’assurer : l’assurance connectée est une formule optionnelle, et le refus du traceur ne peut pas priver l’intéressé de toute couverture. Si un assureur subordonnait la souscription elle-même à l’acceptation du suivi permanent, le caractère libre du consentement serait contestable, car le règlement invite à tenir le plus grand compte du fait de subordonner un contrat à un consentement qui n’est pas nécessaire à son exécution. En pratique, les formules connectées sont proposées à côté des formules classiques : l’assuré qui refuse le boîtier souscrit simplement au tarif standard, sans suivi.

Le deuxième droit est de revenir sur son acceptation. Le règlement dispose : La personne concernée a le droit de retirer son consentement à tout moment, le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. Il est aussi simple de retirer que de donner son consentement. Concrètement, si l’adhésion au suivi s’est faite en deux clics dans l’application, la désactivation doit pouvoir se faire avec la même simplicité : un bouton de désactivation dans l’application, un courrier ou un courriel suivi d’effet, sans parcours d’obstacles ni renvoi vers un service injoignable. L’assuré qui retire son consentement peut exiger l’arrêt de toute nouvelle collecte : déconnexion du boîtier, désactivation du suivi dans l’application, fin de la transmission des trajets au serveur de l’assureur. La prime revient alors au tarif non connecté, mais le contrat d’assurance lui-même se poursuit.

Le retrait du consentement ne règle toutefois pas tout. L’assureur peut prétendre conserver certaines données sur un autre fondement, par exemple l’exécution du contrat ou une obligation légale. C’est ici que le droit d’opposition prend le relais : le règlement ouvre le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière à un traitement fondé sur l’intérêt légitime, y compris un profilage, et l’assureur doit alors cesser le traitement sauf motif légitime impérieux. Et quand des données sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection : si les trajets servent à adresser des offres de partenaires ou à affiner du démarchage, l’assuré peut s’y opposer sans avoir à se justifier, et les données ne doivent plus être traitées à ces fins.

En pratique, la démarche utile suit un ordre simple. D’abord, formuler le retrait par écrit : désactiver le suivi dans l’application puis confirmer par courriel ou lettre recommandée en demandant l’arrêt de toute collecte, la confirmation écrite de la désactivation et la liste des traitements qui se poursuivraient avec leur fondement. Ensuite, conserver les preuves : captures d’écran du paramétrage, accusés de réception, relevés montrant que des trajets continuent d’être enregistrés après le retrait. Enfin, contrôler : vérifier dans l’application que plus aucun trajet n’apparaît, et demander copie des données conservées. Si la collecte continue après le retrait, chaque trajet enregistré constitue un traitement sans base légale, et cette persistance sera la pièce centrale d’une plainte devant la Commission comme d’une demande devant le juge.

Un cas particulier doit être signalé : le véhicule partagé ou revendu. Quand plusieurs personnes conduisent la même voiture connectée, la recommandation apporte des précisions sur l’exercice des droits dans un contexte où différentes personnes sont susceptibles d’utiliser un même véhicule, que ce soit en présence de profils authentifiés ou non. Chaque conducteur est une personne concernée distincte : le consentement du souscripteur ne couvre pas les trajets du conjoint, de l’enfant ou du salarié qui prend le volant. Et en cas de revente, le vendeur doit exiger la dissociation du véhicule de son compte, la suppression de l’historique et la réinitialisation du boîtier, faute de quoi ses déplacements resteront visibles par le nouveau propriétaire ou continueront d’alimenter l’assureur. Le même réflexe vaut pour la restitution d’un véhicule en location avec option connectée : la Commission admet certes que la localisation puisse servir à prévenir l’abus de confiance quand la non-restitution affecterait la disponibilité du service, et qu’en cas de vol le dispositif puisse continuer à être utilisé pour faciliter la recherche du véhicule, mais ces exceptions du loueur ne dispensent pas l’assureur de son propre consentement pour le scoring.

II. Quand le score fait la prime : contester, effacer, partir et obtenir réparation

A. Contester le score, la surprime et la conservation des trajets : décision automatisée, accès et effacement

Le score de conduite n’est pas un simple gadget : quand il détermine la prime, il produit un effet économique direct sur l’assuré. Celui qui roule la nuit pour son travail, qui freine souvent dans les embouteillages d’Île-de-France ou dont le boîtier enregistre des à-coups sur des routes dégradées peut voir son score chuter sans avoir mal conduit, et payer plus cher. Le règlement encadre précisément cette situation : La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Cette interdiction de principe connaît trois exceptions : la décision nécessaire à la conclusion ou à l’exécution d’un contrat, celle autorisée par le droit de l’Union ou d’un État membre avec des garanties appropriées, ou celle fondée sur le consentement explicite. Et dans les cas contractuel et consensuel, le responsable met en œuvre des mesures appropriées, dont au moins le droit d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision.

La Cour de justice a donné à ce texte une portée large dans son arrêt du 7 décembre 2023, SCHUFA, C-634/21. L’affaire concernait une société allemande qui calculait automatiquement, à partir de données personnelles, une valeur de probabilité de remboursement des emprunteurs, transmise ensuite aux banques qui accordaient ou refusaient les prêts. La Cour dit pour droit que l’établissement automatisé, par une société fournissant des informations commerciales, d’une valeur de probabilité fondée sur des données à caractère personnel relatives à une personne et concernant la capacité de celle-ci à honorer des engagements de paiement à l’avenir constitue une décision individuelle automatisée, au sens de cette disposition, lorsque dépend de manière déterminante de cette valeur de probabilité le fait qu’une tierce partie, à laquelle ladite valeur de probabilité est communiquée, établisse, exécute ou mette fin à une relation contractuelle avec cette personne. Le raisonnement vaut pour le score de conduite : si la prime ou le maintien de la réduction dépend de manière déterminante du score calculé par l’algorithme, sans réexamen humain réel avant l’application du tarif, l’assuré se trouve face à une décision automatisée. Il peut alors exiger une intervention humaine, exposer que ses freinages s’expliquent par son trajet domicile-travail ou que le boîtier a enregistré les à-coups d’un passager, et contester la décision tarifaire. Si au contraire un conseiller examine réellement le dossier et prend une décision propre, l’article 22 ne s’applique pas, mais les droits d’accès et de rectification subsistent pleinement.

L’accès est le préalable de toute contestation. L’assuré peut exiger la copie de l’ensemble des données détenues : historique des trajets, paramètres du score, pondération des critères quand elle existe, relevé des décisions tarifaires prises sur ce fondement. Si le score repose sur des trajets erronés, par exemple des kilomètres attribués à un autre conducteur du foyer ou des freinages fantômes dus à un boîtier défectueux, la rectification s’impose. Et l’effacement peut être exigé dans plusieurs cas : le règlement ouvre le droit d’obtenir l’effacement, dans les meilleurs délais, quand les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière, quand la personne concernée retire le consentement sur lequel est fondé le traitement sans autre fondement juridique, ou quand la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement. Après résiliation du contrat ou désactivation du suivi, l’historique détaillé des déplacements ne peut donc pas être conservé indéfiniment « au cas où » ou pour nourrir des statistiques commerciales sans base propre.

Les durées de conservation dans l’assurance sont balisées. La Commission rappelle que le règlement ne fixe pas de durée chiffrée et que le responsable doit apprécier les durées au cas par cas au regard des délais de prescription sectoriels, tout en posant des repères : en l’absence de conclusion du contrat d’assurance, dans le cadre de la gestion de la prospection, le responsable de traitement ne peut conserver les données du prospect au-delà de 3 ans à compter de leur collecte ou du dernier contact émanant du prospect. Pour un contrat conclu puis résilié, le délai de droit commun est celui de l’article L. 114-1 du code des assurances : Toutes actions dérivant d’un contrat d’assurance sont prescrites par deux ans à compter de l’événement qui y donne naissance, prévu à l’article L. 114-1 du code des assurances. Autrement dit, une fois le contrat terminé et les litiges éventuels purgés, l’historique fin de vos trajets doit être effacé ou à tout le moins anonymisé de façon irréversible, et seules des données agrégées non identifiantes peuvent subsister pour des statistiques. La conservation prolongée de la géolocalisation détaillée, qui permet de reconstituer des années de vie privée, ne survit pas à ce contrôle de proportionnalité.

B. Résilier la formule connectée, saisir la Commission et obtenir réparation devant le juge

L’assuré mécontent du suivi n’est pas prisonnier de sa formule. Pour les contrats couvrant les personnes physiques en dehors de leurs activités professionnelles, le code des assurances permet, après un an de souscription, de [résilier sans frais ni pénalités les contrats et adhésions tacitement reconductibles]. La résiliation prend effet un mois après que l’assureur en a reçu notification par l’assuré. Ce droit de résiliation infra-annuelle s’exerce par lettre ou tout support durable, et le nouvel assureur peut accomplir les formalités pour le compte de l’assuré dans certains cas. Avant ce délai d’un an, la résiliation annuelle reste possible dans les conditions de droit commun : l’assuré a le droit de résilier le contrat à l’expiration d’un délai d’un an, en adressant une notification dans les conditions prévues à l’article L. 113-14 à l’assureur au moins deux mois avant la date d’échéance de ce contrat. Avant ce délai d’un an, la sortie reste possible dans les cas légaux, notamment en cas de modification du contrat par l’assureur : si l’assureur impose en cours d’année un suivi plus intrusif ou une exploitation nouvelle des données, l’assuré peut y voir un motif légitime de départ. Dans tous les cas, la résiliation du contrat n’efface pas automatiquement les données : elle doit s’accompagner d’une demande expresse d’effacement de l’historique de géolocalisation et du score, faute de quoi l’assureur conservera par inertie des années de trajets.

Si l’assureur refuse la désactivation, maintient la collecte après le retrait du consentement, oppose un silence à la demande d’accès ou conserve l’historique au-delà des durées admissibles, la plainte devant la Commission nationale de l’informatique et des libertés est la voie naturelle. La plainte se dépose en ligne, après avoir exercé ses droits auprès de l’organisme : il faut donc d’abord avoir écrit à l’assureur et conservé sa réponse ou son silence. La Commission peut contrôler, mettre en demeure et sanctionner, et sa recommandation de juin 2026 sur les véhicules connectés comme ses repères sur les durées dans l’assurance lui fournissent désormais des référentiels précis pour apprécier les manquements des assureurs. Une plainte bien documentée, avec les conditions générales, les captures du score, les courriers de retrait et les relevés prouvant la persistance de la collecte, a des chances sérieuses d’aboutir à un contrôle.

Le juge reste le seul à pouvoir ordonner sous astreinte et indemniser. Le règlement ouvre aux victimes d’une violation le droit d’en obtenir réparation devant le juge, pour leur préjudice matériel comme moral, auprès du responsable du traitement ou du sous-traitant. En droit interne, ce droit européen rejoint le principe général : Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Le préjudice matériel recouvre la surprime indûment payée sur le fondement d’un score erroné ou d’un traitement illicite, ainsi que les frais exposés pour faire valoir ses droits. Le préjudice moral découle de la surveillance elle-même : des mois de déplacements enregistrés, conservés et exploités sans base valable constituent une atteinte à la vie privée que les tribunaux indemnisent, même en l’absence de divulgation à des tiers. L’action peut tendre à l’effacement sous astreinte, à la restitution de la surprime et à des dommages-intérêts. Elle se prépare avec un dossier complet : contrat et conditions générales successives, relevés du score et des primes appliquées, demandes d’accès, de rectification et d’effacement avec leurs réponses, preuve de la persistance de la collecte après retrait, et plainte devant la Commission avec sa suite. Pour les litiges transfrontières, quand le prestataire technique du boîtier est établi dans un autre État membre, le mécanisme de coopération entre autorités européennes s’applique, mais l’assuré peut agir devant son juge national contre son assureur français.

Deux réflexes de preuve méritent d’être soulignés. D’abord, tout se prouve par écrit : les demandes orales au service client s’évaporent, tandis qu’un courriel ou une lettre recommandée avec accusé de réception fige les dates et les refus. Ensuite, le temps joue contre l’assuré qui attend : les délais de prescription courent, les historiques sont parfois purgés par l’assureur une fois le litige né, et la démonstration d’une collecte illicite suppose des relevés contemporains. Agir vite, écrire et conserver chaque pièce, c’est se donner les moyens de la réparation.

En définitive, le boîtier connecté n’est ni un espionnage consenti sans limites ni un juge de paix de votre conduite : c’est un traitement de données personnelles soumis au consentement, à la minimisation et à des durées courtes, et un score qui, lorsqu’il fait la prime sans regard humain, doit pouvoir être contesté devant une personne. L’assuré qui refuse le traceur, le désactive, exige ses trajets puis leur effacement, conteste la surprime et, au besoin, résilie sans frais après un an puis saisit la Commission et le juge, exerce des droits que les textes lui donnent expressément. Face à des années de géolocalisation conservées sans base, la réparation n’est pas une faveur : c’est la contrepartie prévue par le règlement.