Les voitures récentes savent tout de vos déplacements et c’est un problème selon la CNIL
Fin 2024, les trajets de 800 000 voitures électriques se sont retrouvés en libre accès sur Internet. Dix-huit mois plus tard, la CNIL encadre ce que les constructeurs ont le droit de savoir de vos déplacements.
Une voiture moderne possède une multitude d’informations sur son conducteur : où il dort, où il travaille, à quelle heure il part, et chez quel médecin il s’arrête. Tant que ces informations restent protégées, elles ne suscitent pas d’inquiétude. Cependant, des problèmes surgissent lorsque ces données fuitent, comme l’a appris le groupe Volkswagen. La CNIL a récemment publié une recommandation sur l’usage des données de localisation des véhicules connectés, englobant voitures, vélos et scooters.
Comment les trajets de 800 000 voitures ont fini en libre accès
L’incident remonte à fin 2024 : Cariad, la filiale logicielle de Volkswagen, avait laissé un espace de stockage en ligne mal configuré pendant plusieurs mois. En conséquence, les données de localisation de 800 000 véhicules électriques des marques Volkswagen, Audi, Seat et Skoda ont été exposées. Pour 460 000 de ces véhicules, la position était précise à une dizaine de centimètres.
Cette faille a été détectée par un lanceur d’alerte anonyme et confirmée par le Chaos Computer Club, une association de hackers européenne. Pour démontrer le risque, ses membres ont reconstitué les déplacements d’un responsable de la défense allemande et d’un maire, révélant leurs visites chez des médecins et leurs lieux de travail. La France était parmi les pays touchés, aux côtés de l’Allemagne et de la Belgique. Cariad a admis une « mauvaise configuration » mais a précisé qu’aucune donnée bancaire n’avait été compromise.
Consentement obligatoire, sauf si vous l’avez vraiment demandé
La recommandation de la CNIL cible les constructeurs, les loueurs, les fournisseurs de boîtiers télématiques et les agrégateurs de données. Selon la CNIL, la localisation est considérée comme des « données hautement personnelles », car elle expose la vie privée. Le principe fondamental établi stipule que l’exploitation de ces données nécessite le consentement de l’utilisateur, sauf si elles sont indispensables à un service qu’il a explicitement demandé, tel qu’un dépannage. La CNIL souligne également que conserver l’historique complet des trajets n’est généralement pas nécessaire ; pour un dépannage, la dernière position est souvent suffisante.
Pour les automobilistes, cette recommandation se traduit par des droits concrets : retirer son consentement, accéder à ses données, les faire effacer ou les récupérer. La CNIL encourage également les constructeurs à adopter des profils authentifiés, permettant à chaque conducteur d’un même véhicule de contrôler ses propres trajets. De plus, elle insiste sur l’importance d’effacer ses informations et de réinitialiser le système avant de revendre une voiture ou de rendre un véhicule de location, afin que les trajets, adresses GPS et journaux d’appels ne restent pas accessibles au prochain conducteur.
Source : CNIL
