Votre assureur vous a proposé une remise si vous acceptez un boîtier connecté dans votre voiture, avec une application qui note vos trajets, votre vitesse et vos heures de conduite. Quelques mois plus tard, après un accrochage ou à l’échéance annuelle, la prime augmente, un bonus promis disparaît ou l’indemnisation se complique, et l’assureur évoque vos données de conduite : freinages appuyés, vitesse relevée la nuit, kilométrage supérieur à la tranche déclarée. Vous vous demandez alors ce que ce boîtier a vraiment enregistré, si l’assureur avait le droit de tout conserver et de s’en servir contre vous, et comment reprendre la main sans perdre votre assurance obligatoire. Cet article répond à ces trois questions avec les textes applicables, les positions de la CNIL et la jurisprudence vérifiée, puis décrit la méthode concrète pour obtenir la copie de vos données, couper une collecte excessive, exiger l’effacement et contester une décision fondée sur votre score de conduite.
Le boîtier dit « pay as you drive » ou « payez selon votre conduite » n’est pas un simple capteur technique : c’est un traitement de données de géolocalisation au sens du droit des données personnelles, greffé sur un contrat d’assurance régi par le code des assurances. La CNIL explique qu’il s’agit d’une assurance au kilomètre où la tarification suit l’utilisation réelle du véhicule, au moyen d’un boîtier qui enregistre le kilométrage, les périodes et la durée de conduite, voire la vitesse (CNIL, « Pay as you drive », c’est quoi ?). Certains dispositifs ajoutent des capteurs qui analysent la façon de conduire, accélérations, freinages et régularité des pauses, pour calculer un score dont dépend la prime. Chaque étape, installation, information, consentement, étendue de la collecte, durée de conservation et usage après un sinistre, est encadrée. Comprendre cet encadrement permet d’agir vite, avec les bons mots et les bonnes pièces, plutôt que de subir un relevé de trajets présenté comme incontestable.
I. Ce que le boîtier a le droit de collecter, et les limites que votre assureur doit respecter
A. Un contrat qui doit tout dire avant d’enregistrer le moindre trajet
L’assurance automobile repose d’abord sur le contrat et sur la déclaration du risque. L’article L. 113-2 du code des assurances dispose que l’assuré est tenu « De répondre exactement aux questions posées par l’assureur, notamment dans le formulaire de déclaration du risque par lequel l’assureur l’interroge lors de la conclusion du contrat, sur les circonstances qui sont de nature à faire apprécier par l’assureur les risques qu’il prend en charge » (art. L. 113-2 du code des assurances). Le même article ajoute que l’assuré doit déclarer en cours de contrat, par lettre recommandée ou par envoi recommandé électronique, les circonstances nouvelles qui aggravent les risques ou en créent de nouveaux, dans un délai de quinze jours à compter du moment où il en a eu connaissance (art. L. 113-2 du code des assurances). Le boîtier télématique s’insère dans ce cadre : kilométrage annuel, usage domicile-travail ou privé et professionnel, conducteur habituel et zone de circulation sont des circonstances que l’assureur peut interroger, mais il doit le faire par des questions précises, et l’enregistrement continu ne remplace pas ces questions.
Ensuite, le traitement des données du boîtier doit reposer sur une base légale du règlement général sur la protection des données. L’article 6 du règlement subordonne tout traitement à une base légale, parmi lesquelles le consentement pour une ou plusieurs finalités spécifiques, l’exécution du contrat et l’intérêt légitime (CNIL, consentement préalable à la géolocalisation). En pratique, pour une formule au kilomètre ou au comportement, les assureurs recourent au consentement, car la géolocalisation permanente dépasse ce qui est strictement nécessaire pour assurer un véhicule. la CNIL pose qu’aucun système de géolocalisation ne peut équiper un véhicule sans l’accord préalable du conducteur, et recommande d’insérer au contrat un document ou une clause dédiée valant consentement, après une information claire sur les données enregistrées et leurs destinataires (CNIL, « Pay as you drive » et consentement de l’assuré).
Concrètement, avant d’accepter, exigez l’écrit qui décrit les finalités une par une : calcul de la prime, prévention, gestion des sinistres, lutte contre la fraude, et, séparément, prospection ou revente de statistiques. Le règlement impose que, lorsque le consentement est recueilli dans une déclaration écrite qui concerne aussi d’autres questions, la demande de consentement doit être présentée séparément des autres questions, de façon compréhensible et en termes clairs et simples. Une case unique qui ferait consentir en bloc à l’assurance, à la géolocalisation permanente, à la prospection des partenaires et à la cession de statistiques ne respecte pas cette exigence. De même, le responsable du traitement doit être en mesure de démontrer que la personne a donné son consentement (CNIL, charge de la preuve du consentement) : en cas de litige, c’est à l’assureur de prouver votre accord éclairé, pas à vous de prouver votre refus.
Refuser le boîtier reste possible, mais ce refus a un prix commercial. L’assurance de responsabilité civile automobile est obligatoire : l’article L. 211-1 du code des assurances impose à toute personne qui fait circuler un véhicule terrestre à moteur d’être couverte par une assurance garantissant sa responsabilité (art. L. 211-1 du code des assurances). L’assureur doit donc pouvoir vous proposer une formule sans boîtier, même plus chère, car la télématique est une option tarifaire et non une condition légale de l’assurance obligatoire. Si l’agence vous présente le boîtier comme indispensable pour être assuré, demandez par écrit le fondement de cette exigence et la proposition alternative sans géolocalisation : ce simple courrier éclaire le débat sur le caractère libre du consentement. Le consentement n’est pas libre lorsque le refus entraîne un désavantage majeur sans alternative raisonnable, et la discussion sur ce point commence par la comparaison écrite des deux formules, garanties, exclusions, franchises et primes.
Le cas du véhicule partagé mérite une vigilance particulière. Quand deux conjoints, un enfant jeune conducteur ou un salarié utilisent la même voiture équipée, chaque conducteur est une personne concernée distincte. Le consentement signé par le souscripteur ne couvre pas les trajets des autres conducteurs, qui doivent être informés du boîtier, de ses finalités et de leurs droits avant de prendre le volant. Un autocollant discret sur le tableau de bord ne vaut pas information complète : remettez à chaque conducteur régulier la notice de l’assureur et conservez-en une copie. Pour le véhicule de fonction avec usage privé autorisé, la même logique s’applique, avec une difficulté supplémentaire : l’employeur, le gestionnaire de flotte et l’assureur se renvoient parfois la responsabilité de l’information. Identifiez par écrit qui est responsable du traitement pour la télématique d’assurance et qui ne fait que recevoir des factures agrégées, car vos demandes d’accès et d’effacement devront viser le bon interlocuteur.
Pour situer ce boîtier dans l’ensemble de votre dossier d’assurance automobile, y compris le relevé d’information qui retrace vos sinistres et qui obéit à ses propres règles de rectification, vous pouvez utilement lire relevé d’information assurance auto : sinistre contesté, le faire corriger et protéger vos données : le présent article traite uniquement de la télématique embarquée, de la géolocalisation et du score de conduite, avec les recours propres à ces traitements.
B. Une collecte limitée au nécessaire, une conservation limitée dans le temps
Le principe de minimisation interdit de tout enregistrer sous prétexte de mieux tarifer. L’article 5 du règlement exige que les données soient traitées de façon licite, loyale et transparente, et collectées pour des finalités déterminées, explicites et légitimes, sans usage ultérieur incompatible (CE, 6 déc. 2023, n° 467368, sur la minimisation et la conservation). Pour une assurance au kilomètre, le kilométrage et les tranches horaires peuvent suffire ; pour une assurance au comportement, les événements de conduite caractérisés, freinage brutal, excès significatif et répété, peuvent suffire. En revanche, la position seconde par seconde conservée pendant des mois, les trajets privés détaillés avec adresses de départ et d’arrivée, les lieux de culte, de soins ou d’activité syndicale déduits des arrêts, et l’écoute ou l’enregistrement audio dans l’habitacle n’ont pas leur place dans une tarification. Chaque donnée doit être rattachée à une finalité écrite, et ce qui n’y correspond pas doit être désactivé ou effacé.
La jurisprudence administrative illustre cette limite dans un domaine voisin, la géolocalisation de véhicules en libre-service. Le Conseil d’État a jugé, le 6 décembre 2023, que la collecte litigieuse méconnaissait le principe de minimisation et les règles de conservation, et il a maintenu l’amende de 175 000 euros prononcée par la CNIL, en retenant un montant qui « ne présente pas, eu regard de l’ensemble des circonstances de l’espèce, un caractère disproportionné » (CE, 10e-9e ch. réunies, 6 déc. 2023, n° 467368). La requête de la société a été rejetée : « La requête de la société Ubeeqo International est rejetée » (CE, 10e-9e ch. réunies, 6 déc. 2023, n° 467368). Le raisonnement est transposable à l’assurance : enregistrer en continu la dernière position connue des véhicules et la conserver au-delà du nécessaire, sans tri selon les finalités, caractérise un manquement, même lorsque l’application apporte par ailleurs un service réel. Si votre assureur conserve douze ou vingt-quatre mois de positions détaillées pour une simple remise annuelle au kilomètre, l’écart entre la finalité affichée et le volume conservé constitue votre premier axe de contestation.
La Cour de cassation applique une logique voisine, avec exigence de proportionnalité, pour la géolocalisation des salariés. Dans un arrêt du 19 décembre 2018, elle juge que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail, laquelle n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût -il moins efficace que la géolocalisation, n’est pas justifiée lorsque le salarié dispose d’une liberté dans l’organisation de son travail » (Cass. soc., 19 déc. 2018, n° 17-14.631). Certes, l’espèce concernait des distributeurs suivis toutes les dix secondes par un boîtier porté sur eux, mais la méthode intéresse l’assuré : le juge contrôle la nécessité réelle du dispositif et l’existence d’un moyen moins intrusif. Pour une remise de quelques euros par mois, conserver la trace complète de vos nuits, de vos week-ends et de vos vacances ne passe pas ce contrôle. Demandez à l’assureur quel moyen moins intrusif il a écarté : relevé annuel du compteur en agence, photographie datée du tableau de bord, boîtier qui ne transmet que le kilométrage agrégé par mois. Son silence ou sa réponse évasive nourrira votre plainte.
La conservation doit ensuite être découpée en durées, pas gérée en bloc. Les positions détaillées ne devraient subsister que le temps court de leur traitement, calcul de la tranche ou du score mensuel, puis être agrégées ou effacées, tandis que les factures et les attestations suivent leurs propres règles comptables et contractuelles. Vérifiez la notice : si elle annonce une durée unique de plusieurs années pour « l’ensemble des données télématiques », sans distinguer positions brutes, scores, factures et sinistres, elle ne respecte pas l’exigence de limitation. Après la résiliation ou la vente du véhicule, la géolocalisation doit cesser et les données brutes doivent être effacées ou anonymisées, sous réserve des seuls documents que l’assureur doit légalement archiver. Restituer ou désactiver le boîtier ne suffit pas si le serveur conserve l’historique : exigez la confirmation écrite de l’effacement des positions brutes, avec la date et le périmètre.
Enfin, la vie privée protège aussi les lieux révélés par vos trajets. L’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée » (art. 9 du code civil). Les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée. Un fichier de trajets qui révèle vos consultations médicales, vos pratiques religieuses, vos opinions ou votre vie affective touche au noyau de cette protection, et sa diffusion, même partielle, à des partenaires, des réassureurs ou des régies publicitaires sans base légale distincte aggrave le manquement. C’est pourquoi la notice doit nommer chaque destinataire par catégorie et par fonction, et non se contenter d’une formule vague sur « les partenaires du groupe ». Si vous découvrez que vos trajets alimentent de la prospection pour des stages de conduite, des offres de crédit ou des enseignes de réparation, alors que vous n’avez consenti qu’à une assurance au kilomètre, vous tenez un second axe de contestation, autonome du premier.
II. Reprendre la main sur vos trajets et contester leur usage après un sinistre
A. Obtenir la copie, couper la collecte et exiger l’effacement sans perdre votre assurance
La première démarche consiste à demander la copie complète de ce que l’assureur détient sur vous. L’article 15 du règlement vous donne le droit d’obtenir la confirmation que des données la concernant sont traitées et, dans ce cas, d’y accéder avec les informations qui les accompagnent, dont les finalités, les catégories de données et les destinataires (CNIL, droit d’accès). Écrivez au délégué à la protection des données de l’assureur, en joignant une copie de votre pièce d’identité si la notice l’exige, et demandez : les positions brutes sur une période définie, les scores mensuels avec leur méthode, la liste des destinataires avec les dates de transmission, et la durée de conservation appliquée à chaque catégorie. Demandez aussi la logique du score, variables prises en compte, pondérations et seuils, car un simple chiffre sans explication ne permet pas de discuter. Conservez l’envoi et la réponse : l’absence de réponse complète constituera une pièce de votre dossier CNIL et judiciaire.
La deuxième démarche vise l’avenir : limiter ou arrêter la collecte tout en restant assuré. Vous pouvez retirer votre consentement à la télématique, ce qui doit mettre fin à l’enregistrement, sans mettre fin à l’obligation d’assurance. Rappelez par écrit que le retrait ne vaut pas résiliation de la garantie obligatoire et demandez la bascule vers une formule sans boîtier, avec la date d’effet et le nouveau tarif. Si l’assureur soutient que la formule connectée est la seule disponible, exigez cette affirmation par écrit avec le nom de l’offre de substitution ou l’attestation qu’aucune n’existe : un professionnel qui conditionne l’assurance obligatoire à une géolocalisation permanente s’expose à une discussion sérieuse sur la liberté du consentement et sur ses obligations de conseil. En parallèle, désactivez dans l’application les autorisations qui dépassent le contrat, notamment la géolocalisation permanente du téléphone lorsqu’un boîtier autonome suffit, et documentez chaque étape par des captures datées.
La troisième démarche est l’effacement ciblé. L’article 17 du règlement reconnaît à la personne concernée le droit d’obtenir l’effacement de ses données dans les meilleurs délais, avec l’obligation corrélative pour le responsable de les effacer, par exemple lorsqu’elles ne sont plus nécessaires au regard des finalités de la collecte ou lorsque le consentement est retiré (CNIL, droit à l’effacement). Visez précisément : positions brutes antérieures à une date, trajets privés sans lien avec un sinistre déclaré, données des autres conducteurs qui n’ont pas consenti, enregistrements issus d’une période où le boîtier aurait dû être désactivé. Un effacement global et immédiat n’est pas toujours possible lorsque des données restent nécessaires à la gestion d’un sinistre en cours ou à une obligation légale, mais l’assureur doit alors justifier, catégorie par catégorie, ce qu’il conserve et sur quel fondement. Une réponse qui se borne à invoquer « nos obligations » sans viser un texte précis ne satisfait pas à cette exigence.
L’opposition et la prospection appellent un traitement distinct. L’article 21 du règlement prévoit que la personne concernée le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, y compris un profilage, le responsable devant alors cesser de traiter sauf à démontrer des motifs légitimes et impérieux qui prévalent, ou la nécessité de constater, exercer ou défendre des droits en justice (CNIL, droit d’opposition). Si vos données de conduite servent à de la prospection pour des partenaires, exercez une opposition spécifique à cette finalité, distincte du retrait du consentement télématique, et exigez la liste des partenaires déjà destinataires pour leur notifier à leur tour votre opposition. La preuve de la transmission, bon de commande, mentions en bas de courriel, conditions d’un jeu-concours adossé à l’application, vaut plus que de longues explications : joignez-la à vos courriers.
Quand l’assureur ne répond pas ou répond à côté, structurez l’escalade. Relancez une fois en rappelant vos trois demandes, accès, limitation, effacement, avec leurs dates. Saisissez ensuite la CNIL par une plainte qui joint le contrat, la notice, vos courriers et les captures de l’application, en décrivant les faits mois par mois : installation, information reçue, données découvertes, usages contestés. Sollicitez en parallèle le médiateur de l’assurance pour le volet contractuel, prime, résiliation, indemnisation, car la CNIL ne tranche pas le contrat et le médiateur ne sanctionne pas les manquements aux données. Devant le juge, ces démarches préalables écrites démontrent votre loyauté et la résistance de l’assureur : un dossier chronologique, avec un tableau des données demandées, reçues et manquantes, convainc davantage qu’un récit général sur la surveillance.
B. Contester un refus, une majoration ou une résiliation adossés à votre score de conduite
Le moment sensible survient après un sinistre ou à l’échéance : l’assureur oppose vos propres trajets pour majorer, résilier ou réduire l’indemnité. Le droit des assurances encadre strictement ces initiatives. En cas d’aggravation du risque en cours de contrat, « si les circonstances nouvelles avaient été déclarées lors de la conclusion ou du renouvellement du contrat, l’assureur n’aurait pas contracté ou ne l’aurait fait que moyennant une prime plus élevée, l’assureur a la faculté soit de dénoncer le contrat, soit de proposer un nouveau montant de prime » (art. L. 113-4 du code des assurances). Cette faculté suppose une circonstance nouvelle, déclarée ou prouvée, qui modifie réellement le risque garanti, et non la simple redécouverte, dans le boîtier, d’un usage déjà connu et déjà tarifé. Si vous aviez déclaré 8 000 kilomètres annuels en usage privé et que le boîtier affiche 9 000 kilomètres sans changement d’usage, la discussion porte sur l’écart et sa cause, pas sur une prétendue dissimulation. Si l’assureur veut tirer de vos freinages une aggravation fautive, il doit démontrer en quoi ces événements caractérisent une circonstance nouvelle au sens du texte, et non une simple variabilité de conduite.
L’indemnisation, elle, reste gouvernée par le principe indemnitaire. L’article L. 121-1 du code des assurances dispose que « L’assurance relative aux biens est un contrat d’indemnité ; l’indemnité due par l’assureur à l’assuré ne peut pas dépasser le montant de la valeur de la chose assurée au moment du sinistre » (art. L. 121-1 du code des assurances). Vos données de vitesse ou de freinage ne changent pas la valeur du véhicule au jour du choc, et elles ne créent pas, à elles seules, une exclusion de garantie : une exclusion doit être stipulée clairement dans le contrat et ne se présume pas. Quand l’assureur réduit l’indemnité au motif que vous rouliez vite le mois précédent, demandez la clause précise qui attacherait cet effet à ce comportement, avec sa page et sa version du contrat. Faute de clause, le débat revient à la preuve du sinistre lui-même, circonstances, responsabilités et dommages, où le boîtier n’est qu’un élément parmi d’autres, à confronter aux constats, aux témoignages et à l’expertise.
Le score de conduite automatisé appelle une vigilance spécifique. L’article 22 du règlement pose que toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques à son égard ou l’affecte de manière significative (direction des affaires juridiques de Bercy, décision individuelle automatisée et affaire C-634/21). La Cour de justice a retenu, le 7 décembre 2023 dans l’affaire C-634/21, que l’établissement automatisé d’une valeur de probabilité relative à la capacité de remboursement, fondée sur des données personnelles et déterminante pour le refus d’un crédit par un tiers, constitue une telle décision individuelle automatisée (CJUE, 7 déc. 2023, affaire C-634/21, sur InfoCuria ; présentation par la direction des affaires juridiques de Bercy). Le parallèle avec l’assurance est direct : un score télématique qui déclenche presque automatiquement une majoration, un refus de remise ou une résiliation, sans réexamen humain réel, entre dans le champ de cette protection. Exigez l’intervention humaine, la communication des variables déterminantes et la possibilité de présenter vos observations, par exemple un trajet professionnel exceptionnel de nuit, un prêt du volant, une erreur de géolocalisation. Une décision qui se bornerait à reprendre le score sans examen de vos pièces méconnaît ce droit.
La loyauté de la preuve limite aussi ce que l’assureur peut faire de données collectées de manière excessive. L’assemblée plénière de la Cour de cassation, le 22 décembre 2023, a posé qu’une preuve illicite peut être déclarée recevable en matière civile « lorsque cette preuve est indispensable au succès de la prétention de celui qui s’en prévaut et que l’atteinte portée aux droits antinomiques en présence est strictement proportionnée au but poursuivi » (Cass., ass. plén., 22 déc. 2023, n° 20-20.648). Cette solution n’autorise pas tout : l’assureur doit démontrer l’indispensable et la stricte proportion, et le juge écarte les pièces obtenues par un procédé déloyal qui ne passent pas ce double test. Des positions enregistrées à votre insu, après retrait du consentement, ou détournées de leur finalité tarifaire vers une recherche systématique de motifs de non-garantie, ont peu de chances de le passer, surtout quand le contrat, le constat et l’expertise suffisent à trancher le sinistre. Quand l’assureur brandit un extrait de trajets, demandez la chaîne complète : finalité initiale, information donnée, consentement, nécessité de cette donnée précise pour ce sinistre précis, et absence de moyen moins intrusif.
Enfin, la violation du règlement ouvre un droit à réparation propre, distinct du contrat d’assurance. L’article 82 du règlement dispose que toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (CE, 6 déc. 2023, n° 467368, sanction d’un manquement RGPD à 175 000 euros). Documentez vos préjudices séparément : surprime payée pendant la période de collecte excessive, temps passé à réclamer la copie et l’effacement, trajets privés dévoilés à des destinataires non autorisés, anxiété liée à une surveillance permanente, refus ou retard d’indemnisation adossé à un score opaque. Chiffrez chaque poste avec des pièces, factures, relevés bancaires, échanges avec l’assureur, attestation du garagiste sur l’immobilisation, et réservez la discussion sur le quantum au juge, sans gonfler les montants. La sanction administrative, la mise en demeure et la réparation civile se cumulent dans leurs logiques propres : la première punit le manquement, la seconde fait cesser l’illicite, la troisième compense votre dommage.
En pratique, face à une majoration ou à une résiliation motivée par le boîtier, envoyez un courrier qui conteste point par point : rappel de la finalité acceptée, volume contesté, demande de copie et d’explication du score, opposition à la décision automatisée avec demande de réexamen humain, et demande d’effacement des positions brutes inutiles au sinistre. Joignez le contrat et la notice avec les passages surlignés, vos relevés de trajets annotés, et la preuve des autres conducteurs non informés le cas échéant. Si la réponse maintient la mesure sans répondre sur les données, portez le dossier devant la CNIL pour le volet données et devant le médiateur puis le juge pour le volet contrat, en gardant la même chronologie et les mêmes pièces. Cette constance, plus que l’indignation, fait la force du dossier : elle montre un assuré qui a respecté ses obligations déclaratives, exigé ses droits précisément et laissé à l’assureur chaque occasion de se mettre en conformité.
En conclusion, le boîtier d’assurance n’est ni un espion tout-puissant ni un simple gadget commercial : c’est un traitement de géolocalisation qui n’a de légitimité que dans les limites du contrat signé, du consentement éclairé, de la minimisation et d’une conservation courte. Retenez l’essentiel : aucun enregistrement sans information claire et sans consentement préalable démontrable, aucune conservation massive de positions détaillées pour une simple remise au kilomètre, aucun usage détourné vers la prospection ou vers une sanction automatique sans réexamen humain. Quand l’assureur s’écarte de ce cadre, la méthode tient en quatre gestes, demander la copie complète avec la logique du score, couper la collecte excessive tout en sécurisant la garantie obligatoire, exiger l’effacement ciblé des positions inutiles, puis contester par écrit chaque décision adossée au score avant de saisir la CNIL et le juge avec un dossier chronologique. Vos trajets racontent votre vie privée avant de raconter votre conduite, et c’est à ce titre que le droit les protège.