CNIL : cadre renforcé pour le traitement des données de géolocalisation des véhicules connectés

La Commission nationale de l’informatique et des libertés (CNIL) a publié une recommandation dédiée à l’utilisation des données de localisation issues des véhicules connectés, incluant voitures, cycles et scooters. Ce cadre vise à clarifier les obligations des professionnels et à garantir une meilleure protection des droits des utilisateurs, dans un contexte où ces données sont considérées comme hautement sensibles.

Enjeux et risques liés aux données de localisation

Les données de géolocalisation, lorsqu’elles sont exploitées, permettent d’optimiser des services variés : gestion de flottes commerciales, assistance à la navigation, maintenance prédictive ou encore infodivertissement. Cependant, leur caractère intrusif expose les utilisateurs à des risques majeurs pour leur vie privée, notamment en révélant leurs déplacements, leurs habitudes ou leurs centres d’intérêt. Les récents incidents de fuites de données, impliquant des véhicules électriques de plusieurs marques, illustrent l’urgence d’un encadrement strict de ces traitements.

Cadre juridique et objectifs de la recommandation

La recommandation de la CNIL s’adresse aux acteurs du secteur des véhicules connectés, à savoir :

• les constructeurs automobiles ;
• les gestionnaires de flottes, publics ou privés ;
• les fournisseurs d’outils télématiques (boîtiers connectés) ;
• les agrégateurs et intégrateurs de données, agissant comme intermédiaires entre constructeurs et autres parties prenantes.

Elle rappelle les obligations légales en matière de collecte et d’utilisation des données personnelles, tout en offrant un guide pratique pour leur mise en œuvre. L’objectif principal est de renforcer la transparence, la minimisation des données et la sécurité des traitements, conformément aux principes du RGPD et de la loi Informatique et Libertés.

Clarifications sur le consentement et les exceptions

La recommandation précise les conditions d’application de la directive ePrivacy, transposée en droit français. Le consentement de l’utilisateur est requis pour l’exploitation des données de localisation, sauf lorsque ces données sont strictement nécessaires à un service expressément demandé par l’utilisateur. Par ailleurs, des exceptions sont prévues pour des finalités spécifiques, comme la prévention des abus de confiance ou la lutte contre le vol, sous réserve de conditions strictes.

Gestion des droits dans un environnement multi-utilisateurs

Dans un contexte où plusieurs personnes peuvent utiliser un même véhicule, la CNIL apporte des précisions sur l’exercice des droits des personnes concernées, notamment le droit d’accès. Elle recommande la mise en place de systèmes de gestion authentifiés, permettant à chaque utilisateur de se connecter à un profil dédié. Cette approche facilite l’information, la gestion des choix et l’exercice des droits, tout en limitant les risques de conflits entre utilisateurs.

Bonnes pratiques et recommandations sectorielles

La recommandation propose des lignes directrices pour les usages les plus fréquents des données de localisation, tels que :

• l’assistance et le dépannage en cas de panne ou d’accident ;
• la gestion de flottes par les loueurs ;
• la prévention des abus de confiance et la lutte contre le vol ;
• l’optimisation des produits et services.

Elle insiste sur le respect des principes clés du RGPD, comme l’identification d’une base légale valide, la minimisation des données et la limitation de leur durée de conservation. La CNIL rappelle également que cette recommandation complète le pack de conformité « véhicules connectés » publié en 2017, ainsi que les lignes directrices du Comité européen de la protection des données (CEPD).

Processus d’élaboration et enrichissement par la consultation publique

La CNIL a mené une concertation avec les acteurs du secteur des transports, via son « club conformité » dédié aux véhicules connectés et à la mobilité. Le projet de recommandation a ensuite été soumis à une consultation publique en mars 2025, afin de recueillir les avis des parties prenantes : constructeurs, gestionnaires de flottes, opérateurs de transport, fournisseurs de services télématiques, associations, acteurs publics et consommateurs.

Les contributions reçues ont permis d’enrichir le document final, notamment en clarifiant :

• l’obligation de recourir à des systèmes de gestion authentifiés de profils pour faciliter l’information et l’exercice des droits ;
• les modalités de gestion des droits dans un contexte multi-utilisateurs ;
• les conditions d’exemption du consentement pour certaines finalités, comme la prévention des abus de confiance ou la recherche de véhicules volés ;
• la possibilité pour les utilisateurs de déconnecter leur véhicule à distance, lorsque cette fonctionnalité est disponible.

Source : CNIL — Actualités