Données de géolocalisation des véhicules connectés : cadre et bonnes pratiques selon la CNIL

Les véhicules connectés, qu’il s’agisse de voitures, de cycles ou de scooters, intègrent des technologies permettant de collecter des données de localisation. Ces informations, bien que destinées à optimiser des services ou à renforcer la sécurité, constituent des données hautement personnelles. Leur exploitation expose les utilisateurs à des risques significatifs pour leur vie privée et leur sécurité.

Enjeux liés à la collecte des données de géolocalisation

Les données de localisation, souvent recueillies via des capteurs GPS, révèlent des aspects intimes de la vie des utilisateurs. En analysant les déplacements, il est possible de déduire des habitudes personnelles, des lieux fréquentés régulièrement, voire des informations sensibles comme l’adresse du domicile ou du lieu de travail. Ces données peuvent également être exploitées à des fins malveillantes en cas de fuite ou de piratage.

Parmi les risques identifiés :

• Une surveillance excessive ou un suivi permanent des utilisateurs ;
• Une perte de contrôle sur l’utilisation des données en cas de compromission ;
• Une utilisation détournée des informations pour des objectifs non déclarés.

Recommandations de la CNIL pour un usage proportionné et transparent

La CNIL a publié des lignes directrices visant à encadrer l’exploitation des données de localisation par les professionnels (constructeurs, loueurs, fournisseurs de dispositifs). Ces recommandations s’articulent autour de trois axes principaux : la limitation des données collectées, l’amélioration de l’information des utilisateurs et la sécurisation des données.

Limiter la collecte et la conservation des données

Seules les données strictement nécessaires à l’objectif poursuivi doivent être collectées et conservées. La CNIL préconise de réduire :

• La fréquence de collecte des données de localisation ;
• La quantité d’informations enregistrées ;
• La durée de conservation des données.

Par exemple, un service de dépannage n’a besoin que de la position actuelle du véhicule pour intervenir efficacement. Conserver l’historique complet des trajets n’est généralement pas justifié.

Renforcer la transparence et l’information des utilisateurs

Les professionnels doivent expliquer clairement dans leur politique de confidentialité :

• Les types de données collectées ;
• Les finalités de leur utilisation ;
• Les destinataires des données ;
• La durée de conservation ;
• Les modalités d’exercice des droits.

Pour faciliter l’accès à ces informations, la CNIL recommande l’utilisation de dispositifs simples et visibles, tels que des icônes ou des autocollants dans les véhicules, ainsi que des codes QR renvoyant directement vers la politique de confidentialité.

Sécuriser les données et faciliter leur gestion

Les risques de fuite ou de piratage imposent la mise en place de mesures de sécurité adaptées. La CNIL encourage également la création de profils utilisateurs authentifiés pour chaque conducteur, afin de mieux distinguer les données associées à chacun. Chaque utilisateur doit pouvoir accéder facilement à ses données et exercer ses droits, notamment le droit d’effacement ou de portabilité.

Par ailleurs, les services connectés optionnels doivent pouvoir être désactivés aisément, via un mode dédié permettant de couper l’ensemble des traitements de données associés.

Bonnes pratiques pour les utilisateurs

Avant de restituer ou de vendre un véhicule, il est essentiel de supprimer les données personnelles stockées dans le système, notamment les trajets, les adresses GPS enregistrées ou les journaux d’appels. Une réinitialisation complète du système est recommandée pour éviter tout accès non autorisé par les futurs utilisateurs.

Exercice des droits : une obligation pour les professionnels

Les entreprises doivent garantir aux utilisateurs la possibilité d’exercer pleinement leurs droits, tels que :

• Le retrait du consentement ou l’opposition à l’utilisation des données ;
• L’accès, la rectification ou l’effacement des données ;
• La portabilité des données.

Ces droits doivent être accessibles de manière simple et transparente, conformément aux exigences du RGPD.

Source : CNIL — Actualités