L'époque où la voiture était perçue comme un synonyme de liberté est révolue. Dans une enquête publiée en mai 2026, la BBC dresse un constat inquiétant à propos de la quantité phénoménale d’informations collectées par les marques automobiles sur leurs clients et l’utilisation qu’elles en font.
L'époque où la voiture était perçue comme un synonyme de liberté est révolue. Dans une enquête publiée en mai 2026, la BBC dresse un constat inquiétant à propos de la quantité phénoménale d’informations collectées par les marques automobiles sur leurs clients et l’utilisation qu’elles en font (1).
Selon cette enquête, les informations captées peuvent inclure la localisation précise de chaque trajet, la vitesse de conduite, les freinages brusques, mais aussi des données bien plus intimes, tels que : le poids du conducteur, son âge, son visage, sans oublier les passagers…
L’enquête rapporte également que la fondation Mozilla, a passé au crible en 2023 les politiques de confidentialité de vingt-cinq grandes marques automobiles (2). Résultat sans appel : toutes les marques automobiles ont échoué à satisfaire les standards minimaux en matière de protection de la vie privée. Mozilla qualifie les voitures de « pire catégorie de produits jamais évaluée pour la vie privée ». Dix-neuf d'entre elles se réservaient explicitement le droit de revendre les données collectées.
Les conséquences ne sont pas seulement abstraites. La BBC relate le cas d'un conducteur américain dont les données de géolocalisation, collectées par General Motors et revendues à la société LexisNexis (3), un courtier spécialisé dans le commerce d'informations personnelles, ont abouti à une hausse de 21 % de sa prime d'assurance. LexisNexis aurait compilé 130 pages de données le concernant, couvrant six mois de déplacements au détail près. Des sénateurs américains ont depuis mis en cause Honda et Hyundai pour des pratiques similaires. Face au scandale, la Federal Trade Commission (FTC) a sanctionné General Motors et lui a interdit de revendre des données pendant cinq ans, mais la mesure n'est que temporaire, et les courtiers comme LexisNexis continuent de commercialiser les données qu'ils ont déjà acquises auprès d'autres sources.
Plus préoccupant encore, une loi fédérale américaine s'apprête à rendre obligatoire l'installation dans tous les nouveaux véhicules de caméras infrarouges et de systèmes biométriques destinés à détecter les conducteurs en état d'ivresse ou de fatigue. Si cette mesure présentée comme une avancée pour la sécurité routière, elle ouvre également, selon les experts interrogés par la BBC, un accès sans précédent à des données de santé, sans qu'aucune règle n'encadre ce que les constructeurs pourront en faire.
Cette nouvelle mesure fait émerger des doutes et interrogations. Il faut déterminer si le système légal états-unis est en mesure de protéger l’utilisation des données et la vie privée de ses citoyens, avant de comprendre la différence que l’on retrouve avec la France.
Les États-Unis : une infime protection légale
Ce que révèle l'enquête de la BBC, c'est une vérité structurelle et juridique : il n'existe, aux États-Unis, aucune loi fédérale sur la protection des données personnelles. Le pays fonctionne selon un modèle de régulation sectoriel, où chaque État peut adopter ses propres règles, avec des niveaux de protection inégaux. A titre d’exemple, la Californie dispose du Consumer Privacy Act (CCPA), l'un des dispositifs les plus avancés du pays, mais il ne s'applique qu'aux résidents californiens et comporte de nombreuses exceptions favorables aux entreprises.
Dans ce contexte, les constructeurs automobiles et les courtiers en données opèrent dans un vide réglementaire qui leur est particulièrement favorable. Tant que les pratiques de collecte sont mentionnées quelque part dans les conditions générales d'utilisation (très rarement consultées par les utilisateurs), elles sont légales. La notion de consentement éclairé est quasi inexistante : accepter de configurer le système multimédia de son véhicule vaut, implicitement, accord pour que des dizaines de données soient aspirées et potentiellement revendues à des tiers inconnus.
Les agences fédérales américaine comme la FTC (Federal Trade Commission) peuvent intervenir a posteriori, mais leur action reste ponctuelle et sans effet dissuasif durable (4). La loi sur la prévention de la conduite sous l'emprise de substances, qui imposera prochainement des caméras biométriques dans les voitures neuves, en est l'illustration la plus éloquente : elle ne contient, selon les spécialistes interrogés par la BBC, aucune disposition limitant l'usage des données ainsi collectées.
Darrell West, chercheur à la Brookings Institution de Washington, résume la situation dans des termes qui font froid dans le dos : les voitures permettent désormais de reconstituer la vie d'une personne « presque seconde par seconde ». En 2016, Zuboff rapporte que l’application Maps a intégré une nouvelle fonctionnalité du nom de « Driving Mode ». Cette fonctionnalité suggère des destinations et temps de trajet sans mêmes que l’utilisateur n’ait eu à intervenir : « Si vous cherchez à acheter en ligne un marteau, par exemple, alors Driving Mode peut vous envoyer dans une boutique de quincaillerie quand vous attachez votre ceinture. » (5), « Google intègre cette technologie push dans sa principale application mobile de recherche » rapporta le Wall Street Journal. Dans un pays où cette reconstitution de données est légale, commercialisable et sans recours effectif pour les individus concernés, la protection de la vie privée repose entièrement sur la bonne volonté des entreprises.
D’ailleurs, l’exemple de Google illustre le croisement de deux tendances : la connaissance des habitudes du conducteur à travers la collecte de données personnelles et la volonté de rendre autonome la conduite du véhicule.
France : Un strict encadrement
En France, comme dans l'ensemble de l'Union européenne, les données personnelles des citoyens bénéficient d'une protection dont l'architecture repose sur plusieurs textes fondamentaux, articulés autour d'un texte devenu la référence mondiale en matière de vie privée numérique : le Règlement Général sur la Protection des Données (RGPD), entré en vigueur le 25 mai 2018.
De par l'article 5 du RGPD qui énonce le principe de minimisation des données, seules les informations strictement nécessaires à la finalité déclarée peuvent être collectées. Un constructeur ne peut donc pas, sous couvert de sécurité routière, aspirer l'ensemble des données disponibles pour les revendre ensuite à des assureurs ou des courtiers. La finalité doit être définie à l'avance, et toute réutilisation des données à d'autres fins est soumise à de nouvelles autorisations. Surtout, le RGPD interdit, dans son article 9, le traitement de données dites « sensibles », ce qui englobe les données biométriques et les données de santé, sauf exceptions très encadrées nécessitant un consentement explicite. Les caméras infrarouges rendues obligatoires aux États-Unis produiraient, en France, des données qui relèveraient de cette catégorie protégée.
Au-delà du consentement expressément requis, le texte européen confère aux individus une série de droits concrets et opposables : droit d'accès à leurs données, droit de rectification, droit à l'effacement, droit à l'oubli… Ainsi, un conducteur français peut légitimement et légalement exiger d’un constructeur la communication de l'intégralité de ses données, d'en supprimer une partie, ou de cesser de les exploiter à des fins commerciales. Ces droits ne sont pas de simples déclarations de principe : leur non-respect peut être sanctionné.(6)
C'est là qu'intervient aussi la Commission Nationale de l'Informatique et des Libertés, la CNIL. Autorité administrative indépendante créée par la loi Informatique et Libertés du 6 janvier 1978 ; elle est chargée de veiller à l'application du RGPD et de la loi « Informatique et Liberté » sur le territoire français.
La CNIL dispose de pouvoirs d'enquête étendus, peut procéder à des contrôles sur place et à distance, et prononcer des sanctions financières d'une ampleur significative : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel de l'entreprise sanctionnée, selon le montant le plus élevé.
A titre d’exemple, en 2021, elle avait infligé à Google une amende de 150 millions d'euros pour avoir rendu le refus des cookies plus difficile que leur acceptation. Plus récemment, le 22 janvier 2026, la CNIL a également sanctionné France Travail d’une amende de 5 millions d’euros pour ne pas avoir assurer la protection des données personnelles des chercheurs d’emploi (7). Pour rappel, Google, avait encore été sanctionnée en septembre 2025, avec une amende s’élevant à 325 millions d’euros pour avoir affiché des publicités et déposé des cookies sans le consentement des utilisateurs (8).
La loi Informatique et Libertés, dans sa version révisée en 2018 pour intégrer le RGPD, s'applique à tous les acteurs traitant des données de personnes résidant en France, y compris les entreprises étrangères. Un constructeur américain dont les véhicules sont vendus en France est donc pleinement soumis à ces obligations, sans possibilité de s'y soustraire en invoquant le droit de son pays d'origine. L'article 3 du RGPD est explicite sur ce point : le règlement s'applique dès lors que des données de résidents européens sont traitées, quel que soit le lieu où se trouve l'entreprise responsable.
Des limites ... La route est longue
Pour autant, le cadre européen n'est pas exempt de limites. Comme le souligne l'enquête de la BBC, la chercheuse Jen Caltrider, qui a dirigé l'analyse de Mozilla sur les voitures, rappelle que les Européens restent, eux aussi, soumis à des politiques de confidentialité qui demeurent opaques, et que l'effectivité des protections dépend largement de la capacité des régulateurs à les faire respecter, ce qui, dans le secteur automobile spécifiquement, peine encore à se concrétiser. La CNIL, elle-même, n'a à ce jour pas prononcé de sanction majeure à l'encontre d'un constructeur automobile pour des pratiques de collecte abusive.
Il n'en demeure pas moins que la différence de philosophie entre les deux systèmes est fondamentale. Aux États-Unis, le principe est la liberté absolue : ce qui n'est pas expressément interdit est permis. En France et en Europe, c'est l'inverse : la collecte de données personnelles est par défaut interdite, sauf à justifier d'une base légale précise et d'une finalité légitime. Elle fait de la protection de la vie privée non pas un service optionnel que les entreprises proposent à leur convenance, mais un droit fondamental dont les citoyens sont les titulaires, et dont ils peuvent, exiger le respect directement devant les autorités de contrôle, puis les tribunaux.
Reste une question ouverte : dans un monde où les voitures sont de plus en plus connectées, et où les données sont valorisées et monétisées, la réglementation sera-t-elle toujours suffisante pour protéger la vie privée ?
Notes de bas de page
1. https://www.bbc.com/future/article/20260513-your-car-is-spying-on-you-its-about-to-get-worse
3. https://www.nytimes.com/2024/03/14/technology/gm-lexis-nexis-driving-data.html
4. En sachant que l’action du DOGE d’Elon Musk depuis 2025 a fragilisé voire démantelé les administrations fédérales
5. ZUBOF Shoshana, L’âge du capitalisme de surveillance, Edition Zulma, 2022, p. 213
6. https://www.cnil.fr/fr/reglement-europeen-protection-donnees
7. https://www.cnil.fr/fr/violation-de-donnees-sanction-5millions-france-travail
Pas de contribution, soyez le premier