Votre voiture connaît vos horaires mieux que votre agenda. Chaque matin, elle enregistre l’heure à laquelle vous quittez votre domicile, l’itinéraire que vous empruntez, vos arrêts, votre vitesse moyenne, vos freinages, parfois le poids des passagers ou les contacts synchronisés depuis votre téléphone. Ces informations ne restent pas dans l’habitacle : la plupart des véhicules neufs les transmettent au constructeur, à ses partenaires ou à des prestataires de services connectés, en continu et souvent sans que vous ayez conscience de l’ampleur de la collecte. La question n’est pas seulement technique, elle est juridique : ces données vous appartiennent au sens du droit des données personnelles, et vous disposez de leviers concrets pour couper la transmission, exiger l’effacement et, le cas échéant, saisir l’autorité compétente puis le juge.
Le droit applicable est d’abord européen et français. Le règlement général sur la protection des données encadre tout traitement de données à caractère personnel, et la loi Informatique et Libertés complète ce cadre sur le territoire national, notamment pour l’accès aux informations stockées dans un équipement terminal. La Commission nationale de l’informatique et des libertés a consacré à cette matière un pack de conformité dédié aux véhicules connectés, complété par une recommandation sur l’utilisation des données de localisation, tandis que le Comité européen de la protection des données a publié des lignes directrices sur les véhicules connectés et la mobilité. Cet article décrit ce que votre voiture enregistre, qui répond de ces traitements, puis comment agir pas à pas : couper la collecte, exercer vos droits, conserver vos preuves, saisir la Commission puis obtenir réparation devant le juge.
I. Ce que votre voiture enregistre et qui doit répondre de ces traitements
A. Des trajets aux contacts du téléphone : des données personnelles protégées par la loi
La première étape consiste à comprendre que les informations générées par votre véhicule sont, pour une large part, des données à caractère personnel au sens du règlement général sur la protection des données. Dès qu’une donnée peut être rattachée à une personne identifiée ou identifiable, notamment par la plaque d’immatriculation ou le numéro de série du véhicule, elle entre dans le champ du règlement et de la loi Informatique et Libertés. Concrètement, vos trajets géolocalisés, vos heures de départ et d’arrivée, votre style de conduite, le kilométrage, l’état d’usage des pièces, les dates d’entretien, mais aussi les contacts, journaux d’appels et destinations synchronisés depuis votre téléphone relèvent de ce régime dès lors qu’ils permettent de vous identifier, directement ou indirectement.
Les données de localisation occupent une place centrale parce qu’elles révèlent vos habitudes de vie : domicile, lieu de travail, établissements scolaires de vos enfants, lieux de soins, engagements associatifs ou religieux. C’est pourquoi la Commission leur réserve un traitement renforcé. Elle rappelle que l’utilisation des données de localisation exige en principe le consentement de l’utilisateur, sauf lorsque ces données sont nécessaires à un service expressément demandé par celui-ci (recommandation sur les données de localisation). Autrement dit, la navigation que vous lancez vous-même peut justifier la géolocalisation, mais la collecte permanente de vos positions à des fins de profilage commercial, d’amélioration des produits ou de revente à des partenaires ne peut reposer ni sur le contrat de vente du véhicule ni sur un simple intérêt légitime : elle exige votre accord préalable, libre, spécifique et révocable.
Il faut distinguer trois couches de collecte. La première est liée à la sécurité : le système d’appel d’urgence embarqué, dit eCall, qui alerte les secours en cas d’accident grave et dont la Commission encadre l’usage des données de localisation. Ce dispositif est conçu pour ne transmettre que les données strictement nécessaires au secours et pour ne pas permettre un suivi continu du véhicule en temps normal ; il ne peut servir ni à la prospection ni au profilage. La deuxième couche est contractuelle et fonctionnelle : services de navigation en temps réel, diagnostic à distance, maintenance prédictive, application mobile du constructeur qui permet de verrouiller ou de localiser le véhicule. La troisième couche est commerciale et analytique : mesure des usages, amélioration des modèles, assurance au comportement, publicité ciblée, transmission à des agrégateurs de données. Seules les deux premières couches peuvent, selon les cas, reposer sur le contrat ou sur une obligation légale ; la troisième exige votre consentement, et le refus de ce consentement ne doit pas priver des fonctions essentielles du véhicule.
L’habitacle génère aussi des données que l’on oublie : les microphones des assistants vocaux, les caméras intérieures de vigilance du conducteur présentes sur certains modèles, les profils d’utilisateurs mémorisant les réglages du siège, les destinations favorites et les historiques de navigation. Lorsque plusieurs personnes conduisent le même véhicule, conjoints, enfants, salariés ou locataires successifs, chaque profil produit des données distinctes, et chacun dispose de ses propres droits. La Commission recommande à cet égard des systèmes de gestion de profils authentifiés, afin que chaque utilisateur puisse gérer ses choix et exercer ses droits (recommandation sur les données de localisation). Si votre véhicule ne propose pas de profils séparés, le responsable du traitement doit néanmoins garantir les droits de chaque conducteur, ce qui suppose au minimum une information claire et un moyen simple de demander l’effacement des données liées à ses trajets.
Le boîtier télématique proposé par certains assureurs, qui analyse la conduite pour ajuster la prime, mérite une attention particulière. Les données de freinage, d’accélération, de vitesse et de plages horaires de circulation sont des données personnelles, et souvent des données de localisation. L’assureur doit vous informer précisément des données collectées, de leur durée de conservation et de leurs destinataires, et recueillir votre consentement pour les usages qui ne sont pas strictement nécessaires à l’exécution du contrat d’assurance. Vous pouvez refuser le boîtier ou le désinstaller : l’assureur peut alors proposer un tarif construit différemment, mais il ne peut ni vous imposer la surveillance de votre conduite ni tirer de votre refus une conséquence punitive déguisée. Conservez l’ensemble des documents contractuels, notices d’information et échanges, car ils détermineront la base légale invoquée en cas de litige.
B. Constructeur, loueur, assureur, employeur : identifier le responsable et la base légale avant d’agir
Avant de contester quoi que ce soit, il faut identifier qui traite vos données et à quel titre, car vos demandes doivent être adressées à la bonne personne. Le règlement européen distingue le responsable du traitement, qui détermine les finalités et les moyens, du sous-traitant, qui traite pour son compte, et de la personne concernée, c’est-à-dire vous. Pour les services connectés proposés par la marque, navigation embarquée, application mobile, diagnostic à distance, le constructeur est en principe responsable du traitement : c’est lui qui décide quelles données remonter, combien de temps les conserver et avec qui les partager. Le concessionnaire qui vous vend le véhicule n’est généralement responsable que des données de la vente et de l’entretien, sauf s’il exploite lui-même des services connectés.
Le fournisseur du boîtier télématique ou de la plateforme technique agit le plus souvent comme sous-traitant du constructeur, de l’assureur ou du gestionnaire de flotte. Cette qualification a une conséquence pratique : le sous-traitant ne peut utiliser vos données que sur instruction documentée du responsable et doit l’aider à répondre à vos demandes d’exercice de droits, en vertu de l’article 28 du règlement. Si vous écrivez au fabricant du boîtier et qu’il vous renvoie vers l’assureur ou le constructeur, cette réponse est normale : adressez votre demande au responsable du traitement désigné dans la notice d’information, et mettez le sous-traitant en copie pour accélérer le traitement. Les agrégateurs et intégrateurs de données, intermédiaires qui organisent la transmission des données des véhicules vers des tiers, sont expressément visés par la recommandation de la Commission : chacun d’eux doit disposer de sa propre base légale et vous informer de son intervention.
La location, de courte ou de longue durée, crée une configuration à trois : le loueur qui suit sa flotte, le constructeur qui collecte via ses serveurs, et vous qui conduisez. Le loueur peut localiser le véhicule pour le dépannage, l’assistance après un accident ou la gestion de sa flotte, mais il doit vous en informer avant la remise des clés et limiter la collecte à ces finalités. La Commission admet deux exceptions ciblées au consentement : l’article 82 de la loi Informatique et Libertés n’impose pas de recueillir le consentement pour collecter les données de localisation afin de prévenir un abus de confiance, lorsque la non-restitution affecterait la disponibilité du service, et le même dispositif peut continuer à servir à la recherche du véhicule en cas de vol par un tiers (recommandation sur les données de localisation). Hors ces hypothèses, le suivi de vos déplacements privés par le loueur après la restitution, ou la conservation de vos destinations dans le système de navigation sans information, constitue un traitement sans base légale. À la restitution, exigez l’effacement de vos profils et destinations, vérifiez visuellement l’écran du véhicule et demandez une confirmation écrite.
Le cas du véhicule de fonction obéit à des règles plus strictes encore, issues du droit du travail et du droit des données personnelles. L’article L. 1121-1 du code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Et l’article L. 1222-4 du même code ajoute qu’« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Concrètement, votre employeur doit vous informer préalablement de la géolocalisation du véhicule, de ses finalités et de vos droits, informer et consulter le comité social et économique avant toute mise en œuvre, comme l’exige l’article L. 2312-38 du code du travail pour les moyens permettant un contrôle de l’activité des salariés, et limiter la collecte au temps de travail : la désactivation hors des horaires professionnels doit être possible. Lorsque la géolocalisation sert à évaluer le salarié, l’article L. 1222-3 du même code impose en outre une information expresse et préalable sur ces méthodes d’évaluation. La Cour de cassation juge que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail » n’est licite que si aucun autre moyen de contrôle n’est possible, et elle « n’est pas justifiée lorsque le salarié dispose d’une liberté dans l’organisation de son travail » (chambre sociale, 19 décembre 2018, pourvoi n° 17-14.631). Si vous conduisez un véhicule de service géolocalisé, vous pouvez retrouver les recours détaillés contre le traceur imposé par l’employeur, qui complètent utilement la présente analyse centrée sur le constructeur et ses partenaires.
Reste la question des transferts hors de l’Union européenne. Les serveurs du constructeur ou de ses prestataires peuvent se situer aux États-Unis ou dans d’autres pays tiers, et vos trajets peuvent donc quitter l’Europe. Un tel transfert n’est licite que s’il repose sur une décision d’adéquation, sur des garanties appropriées comme les clauses contractuelles types, ou sur l’une des dérogations limitativement énumérées par le règlement. Votre demande d’accès doit permettre de savoir où vos données sont hébergées et sur quelle garantie repose le transfert ; une réponse évasive sur ce point constitue déjà un indice de non-conformité. Enfin, lorsque la collecte est systématique et à grande échelle, comme la géolocalisation permanente d’une flotte ou le suivi continu des conducteurs, le responsable doit en principe réaliser une analyse d’impact relative à la protection des données avant de déployer le dispositif : l’absence d’une telle analyse, que vous pouvez évoquer dans votre plainte, aggrave la situation du responsable en cas de contrôle.
II. Couper la collecte, exiger l’effacement puis faire sanctionner et réparer
A. Ce que vous pouvez faire vous-même, immédiatement et par écrit
Commencez par les réglages du véhicule et de l’application du constructeur. La plupart des modèles récents proposent un mode de confidentialité ou un bouton de désactivation de la géolocalisation, parfois limité aux fonctions non essentielles : activez-le et vérifiez après chaque mise à jour logicielle qu’il est resté en place, car les réinitialisations de paramètres à l’occasion des mises à jour sont fréquentes. Dans l’application mobile associée au véhicule, refusez ou retirez les consentements liés au partage des données de conduite, au marketing et à l’amélioration des produits, en conservant les seuls services que vous utilisez réellement, comme le déverrouillage à distance ou la navigation. La Commission recommande désormais, lorsqu’un véhicule peut être relié à un compte personnel à distance, de permettre aux utilisateurs de dissocier ce compte à distance (recommandation sur les données de localisation) : si votre application ne propose pas cette déconnexion, signalez-le par écrit au constructeur, car cette absence pèse dans l’appréciation de la conformité.
La revente ou la restitution du véhicule exige une méthode rigoureuse, car le nouveau propriétaire ou le prochain locataire ne doit pas accéder à vos données. Supprimez d’abord votre compte constructeur associé au véhicule depuis l’application ou le site, puis supprimez les utilisateurs secondaires, les clés numériques partagées et les télécommandes d’accès mémorisées. Lancez ensuite la réinitialisation aux paramètres d’usine du système multimédia, effacez les destinations de navigation, les historiques d’appels, les contacts synchronisés et les réseaux Wi-Fi enregistrés. Vérifiez que le véhicule n’apparaît plus dans votre application et demandez au constructeur la suppression de votre compte et des données qui y sont liées. Les guides pratiques des associations de consommateurs et des organismes de test confirment que la réinitialisation du tableau de bord ne suffit pas : tant que le compte constructeur reste rattaché au numéro de série du véhicule, des données peuvent continuer de remonter vers ses serveurs. Photographiez chaque écran de confirmation et conservez les courriels reçus.
Vient ensuite l’exercice écrit de vos droits, qui constitue le socle de toute action ultérieure. Le règlement européen vous reconnaît notamment le droit d’être informé, le droit d’accéder à vos données, le droit d’en obtenir l’effacement lorsqu’elles ne sont plus nécessaires ou lorsque vous retirez votre consentement, le droit de vous opposer au traitement fondé sur l’intérêt légitime, et le droit à la portabilité pour les données que vous avez fournies. Adressez au délégué à la protection des données du constructeur, dont les coordonnées figurent dans la notice d’information ou sur son site, une demande précise : copie de l’ensemble des données vous concernant, y compris les historiques de localisation et les profils de conduite, indication des finalités, des destinataires, des durées de conservation et du pays d’hébergement, puis effacement des données dont la conservation n’est justifiée par aucun texte. Le responsable doit répondre dans un délai d’un mois, éventuellement prolongé de deux mois en cas de demande complexe, et motiver tout refus. Envoyez cette demande par un moyen qui prouve la réception, lettre recommandée avec accusé de réception ou courriel avec accusé, et conservez-en une copie : le silence ou la réponse incomplète ouvrira la voie de la plainte et de l’action en justice.
Constituez dès maintenant votre dossier de preuves. Capturez les écrans de paramétrage montrant l’impossibilité de couper la collecte, les mentions d’information absentes ou illisibles, les consentements pré-cochés, les refus de l’application de fonctionner sans accès à la localisation permanente. Notez les dates de vos demandes et des réponses reçues, archivez les factures d’achat ou de location, le bon de commande, les conditions générales des services connectés et les échanges avec le service client. Si un tiers a accédé à vos trajets, par exemple un ancien conjoint resté connecté au compte du véhicule ou un nouvel acquéreur qui visualise vos destinations, faites établir ce fait par constat : captures horodatées, témoignages, voire constat de commissaire de justice pour les situations litigieuses. Lorsque ce suivi est imposé sans consentement, le code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait, « En captant, enregistrant ou transmettant, par quelque moyen que ce soit, la localisation en temps réel ou en différé d’une personne sans le consentement de celle-ci. » Dans ce cas, une plainte pénale peut compléter la plainte devant la Commission. Ces pièces serviront à la fois devant la Commission et devant le juge pour démontrer l’existence du traitement, son étendue et votre préjudice.
B. Saisir la Commission, le juge et obtenir réparation de votre préjudice
Si le constructeur ne répond pas dans le délai d’un mois, répond de manière incomplète ou refuse l’effacement sans motif légitime, vous pouvez saisir la Commission nationale de l’informatique et des libertés par sa plainte en ligne. Joignez votre demande initiale, la preuve de sa réception, la réponse reçue le cas échéant, et un exposé chronologique des faits avec vos captures d’écran. La Commission peut contrôler le responsable, le mettre en demeure de se conformer, prononcer des mesures correctrices et, pour les manquements les plus graves, infliger des sanctions financières dont le montant peut atteindre, en application du règlement européen, plusieurs millions d’euros ou un pourcentage du chiffre d’affaires mondial. Votre plainte individuelle peut ainsi déclencher un contrôle dont la portée dépasse votre seul dossier, notamment lorsque la collecte touche l’ensemble des propriétaires d’un même modèle.
L’action en justice vous appartient parallèlement, sans que vous ayez à attendre l’issue de la plainte. Vous pouvez demander au tribunal judiciaire l’arrêt du traitement illicite, sous astreinte, ainsi que l’effacement de vos données, en référé lorsque l’atteinte est manifeste ou au fond pour un examen complet. Le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation auprès du responsable ou du sous-traitant, et le droit commun de la responsabilité civile complète ce fondement. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’article 9 du code civil garantit ce socle : « Chacun a droit au respect de sa vie privée. » Le préjudice peut être moral, sentiment d’être surveillé dans ses déplacements les plus intimes, perte de contrôle sur sa vie privée, crainte d’une utilisation à son insu, mais aussi matériel, surprime d’assurance fondée sur des données collectées sans base légale, refus de garantie lié à une analyse de conduite contestable, décote du véhicule d’occasion resté lié à votre compte. Chiffrez chaque poste avec des justificatifs et articulez-le avec les manquements démontrés : absence de consentement, défaut d’information, conservation excessive, transfert non encadré.
Quelques situations appellent des réflexes spécifiques. En location, adressez vos demandes à la fois au loueur et au constructeur, car leurs traitements sont distincts et leurs responsabilités cumulatives ; le loueur répond de son suivi de flotte et le constructeur de sa collecte via les serveurs de la marque. En cas de boîtier d’assurance, contestez par écrit toute utilisation de vos données de conduite au-delà de ce que le contrat prévoit, demandez la base légale de chaque finalité et, si le litige persiste, saisissez le médiateur de l’assurance avant d’envisager l’action en justice, sans laisser passer les délais de prescription. Pour un véhicule d’entreprise, cumulez les fondements : droit du travail pour le défaut d’information et la disproportion du dispositif, droit des données personnelles pour l’exercice de vos droits et la plainte, et action prud’homale si la géolocalisation a servi à une sanction ou à un licenciement. Dans tous les cas, ne signez aucun protocole transactionnel qui vous priverait de vos droits sans contrepartie réelle et sans avoir mesuré l’étendue des données conservées : une fois l’accord signé, il sera difficile de revenir sur l’effacement promis s’il n’est pas précisément décrit.
La conservation excessive constitue enfin un grief autonome et fréquent. Le principe de minimisation impose de limiter les données à ce qui est strictement nécessaire au regard des finalités poursuivies, comme le rappelle la Commission. Des historiques de localisation conservés plusieurs années après la vente du véhicule, des profils de conduite exploités à des fins de prospection sans consentement, des comptes constructeurs impossibles à supprimer après la revente : chacune de ces situations caractérise une violation distincte, qui fonde à la fois la plainte et la demande de réparation. Demandez systématiquement les durées de conservation appliquées à chaque catégorie de données et comparez-les aux finalités annoncées ; tout écart inexpliqué doit figurer dans votre plainte et dans votre assignation.
Votre voiture connectée n’est ni un espion inévitable ni un enregistreur sans droit : c’est un objet qui traite vos données personnelles et dont les responsables doivent respecter les règles applicables à tout traitement. Identifiez le responsable, coupez ce qui peut l’être depuis vos réglages, dissociez votre compte avant toute revente, exercez vos droits par écrit dans le délai utile, puis saisissez la Commission et le juge avec un dossier documenté. La collecte de vos trajets sans base légale, la conservation de vos destinations après la restitution du véhicule, le suivi de votre conduite sans consentement valable : chacun de ces faits ouvre des voies d’action précises, de la mise en demeure à la réparation de votre préjudice. Face à un système qui enregistre vos déplacements en continu, la réponse la plus efficace reste la méthode : prouver, écrire, saisir, chiffrer.