Véhicules connectés et protection de la vie privée

En octobre dernier, la CNIL a publié une sorte de guide à l’attention des professionnels et des utilisateurs de voitures connectées, c’est-à-dire de véhicules communiquant avec l’extérieur à l’aide d’outils à bord de la voiture ou d’applications.

Ce pack de conformité comporte des principes à suivre et fournit des mises en situation selon l’usage fait des données collectées. L’objectif est de protéger les données personnelles des utilisateurs.

Le pack a été conçu en concertation avec des acteurs de la filière automobile, des professionnels de différents secteurs notamment ceux de l’assurance et des télécommunications et les autorités publiques. Il vise à permettre la mise en conformité des véhicules avec le règlement européen sur la protection des données applicable à partir du 25 mai 2018.

Une donnée personnelle est une donnée ou une combinaison d’informations relatives à une personne (nom, prénom, adresse, photographie…). Dans le cas des voitures connectées, il s’agit par exemple de la plaque d’immatriculation du véhicule, de son numéro de série, de la date du dernier contrôle technique, des trajets effectués ou encore de l’état du véhicule.

La CNIL rappelle ainsi que tout utilisateur doit savoir comment sont collectées ces données et à quoi elles servent. Il a aussi le droit de demander à ce qu’elles soient effacées notamment si elles ne sont plus nécessaires au but poursuivi lors de la collecte (on parle de « droit à l’oubli »).

La CNIL propose aussi différentes règles selon que les données sont simplement collectées à usage unique du conducteur ou selon qu’elles sont transmises à un fournisseur de services.

Dans le premier cas, la collecte reste dans la sphère privée et relève de la responsabilité de l’usager (par exemple, la voiture évalue la vitesse moyenne, la consommation de carburant… et fournit à l’automobiliste des conseils pour adopter une conduite plus écologique et économique).

Dans le second cas, en revanche, la collecte et l’usage des données doivent respecter les obligations légales (sur l’usure des pièces qui composent le véhicule ou pour recalculer l’itinéraire en cas d’accident de la circulation par exemple).

En fonction du type d’utilisation des données et du but poursuivi, celles-ci entrent dans des catégories et sont alors définis la durée de leur conservation, les droits des personnes, les destinataires des informations… Le principe central est que les données collectées servent strictement et uniquement à la fourniture du service. Les usagers doivent au minimum être informés de la collecte et de l’usage de ces données. L’idéal étant même pour les constructeurs et entreprises mettant à la disposition des automobilistes des véhicules connectés d’obtenir le consentement du conducteur quant à la collecte et à l’usage des données recueillies. L’information doit être envisagée dès la conception du véhicule, par exemple en prévoyant des tableaux de bord faciles à paramétrer pour que le conducteur ait la pleine maîtrise des données.