Les voitures modernes promettent davantage de sécurité, de confort et de services. Mais elles sont aussi devenues de « formidables » machines à collecter et transmettre des données. Une étude menée par Northeastern University avec Consumer Reports (le « Que Choisir » états-unien) vient apporter une confirmation technique à ce que la Ligue de Défense des Conducteurs dénonçait déjà en 2024 dans son étude « Tous fliqués » : le conducteur n’est plus seulement au volant, il est aussi assis au cœur d’un écosystème numérique dont il ne maîtrise souvent aucune règle.
La voiture connectée est toujours présentée comme un progrès aux vertus indiscutables. Diagnostic à distance, alerte entretien, guidage en temps réel, appel d’urgence, localisation du véhicule, mises à jour logicielles depuis chez soi, applications permettant de verrouiller les portes, climatiser à distance ou de vérifier l’état de la batterie : difficile de nier l’utilité pratique de ces services. Mais ça, c’est la partie présentable du sujet.
Le problème, c’est ce qui se trouve en dessous, lorsque la voiture ne se contente plus de communiquer pour rendre ces services. Avec ses dizaines de capteurs, son GPS, sa connexion permanente à internet, ses applications et ses logiciels embarqués, elle est devenue ce que les chercheurs américains appellent volontiers un « smartphone sur roues ». Chacun comprendra facilement le parallèle : la voiture, tout comme le smartphone que vous avez dans la poche, n’est pas seulement un objet qui rend des services, c’est aussi un producteur de données en continu.
Pour la première fois, une étude présentée en 2026 par des chercheurs de Northeastern University, réalisée en partenariat avec l’association américaine Consumer Reports, permet d’observer concrètement ce qui sort des véhicules et de leurs applications. Malheureusement, ses conclusions sont loin d’être rassurantes.
Des voitures observées en conditions réelles
L’intérêt de cette étude tient d’abord à sa méthodologie. Les chercheurs et journalistes ne se sont pas contentés de lire les interminables politiques de confidentialité (vous savez, celles que personne ne lit jusqu’au bout — voire ne commence à lire — avant, pourtant, de les valider en cliquant sur « j’ai lu et j’accepte »). Ils ont étudié les communications réelles de 21 voitures récentes appartenant à 19 marques différentes, ainsi que celles de 30 applications mobiles proposées par les constructeurs.
Les véhicules ont été placés dans plusieurs situations : à l’arrêt sans intervention du conducteur, à l’arrêt avec utilisation des différents équipements, puis en circulation sur piste. Pour parvenir à leurs conclusions, les chercheurs ont observé les domaines internet (pour simplifier, les noms des sites) contactés par les voitures et la manière dont leur activité réseau évoluait.
Pour aller plus loin, onze voitures électriques ont été installées dans une immense tente faisant office de cage de Faraday, un dispositif destiné à empêcher la connexion au réseau cellulaire (4G ou 5G). L’objectif : vérifier si certains échanges normalement invisibles parce qu’ils passent par le réseau mobile se reportaient alors vers le Wi-Fi. Sur une Tesla Model 3, il a même été possible d’intercepter directement une partie des communications cellulaires.
Les chercheurs reconnaissent toutefois une limite importante : la plupart des données transmises par les voitures sont chiffrées. S’ils ont pu observer leurs destinataires, ils ne savaient donc pas toujours exactement ce que contenaient les messages.
En revanche, l’étude des applications mobiles a permis d’aller beaucoup plus loin. Sur les smartphones de test, les chercheurs ont pu déchiffrer une grande partie du trafic réseau et identifier certaines informations effectivement transmises.
Publicité, suivi, analyse : bienvenue à bord
Premier constat : les voitures communiquent avec beaucoup plus d’acteurs qu’on pourrait l’imaginer. Quasiment toutes celles qui ont été étudiées contactaient des sociétés tierces. Onze sur 21 communiquaient avec au moins un domaine spécialisé dans la publicité, le suivi ou l’analyse de comportement. Les écarts sont toutefois considérables.
La Tesla Model 3 est ainsi apparue parmi les modèles les plus communicants, avec 34 domaines liés à la publicité, au tracking ou à l’analyse, auxquels s’ajoutaient 36 autres domaines tiers intégrés. Le Cybertruck arrivait juste derrière avec 23 domaines de suivi ou d’analyse.
À l’autre bout du classement, certaines voitures comme la Mercedes EQS, la Nissan Ariya ou le Range Rover se sont montrées beaucoup plus discrètes dans les conditions étudiées. Première conclusion intéressante, donc : toutes les voitures connectées ne se valent pas en matière de protection des données.
L’étude montre également le poids considérable pris par les grandes entreprises de la tech. Ainsi, des domaines liés à Google apparaissent dans les communications de 13 véhicules, ceux d’Amazon dans 12, ceux de Microsoft dans six et ceux de Meta dans trois.
Cela ne signifie évidemment pas que chaque communication constitue une collecte publicitaire. Une partie de ces échanges sert en effet au fonctionnement normal de la navigation, de la cartographie, de la musique en streaming ou des infrastructures informatiques. Mais la frontière devient particulièrement difficile à cerner pour le conducteur.
En effet, lors de l’achat d’une automobile, vous ne signez plus seulement un contrat avec son constructeur. Vous entrez aussi, parfois sans vraiment le mesurer, dans un univers où interviennent des fournisseurs de logiciels, des hébergeurs, des sociétés d’analyse, des plateformes publicitaires, des services cartographiques et toute une série de prestataires numériques. En fait, la voiture du 21e siècle compte parfois davantage d’interlocuteurs numériques que son propriétaire !
L’appli mobile aggrave la situation
L’étude tient peut-être là l’un de ses enseignements le plus frappant : la voiture elle-même n’est en réalité qu’une partie du problème. Les applis mobiles proposées par les constructeurs pour contrôler sa voiture (en tous les cas, c’est le service promis qui est mis en avant !) multiplient en réalité aussi les connexions avec des sociétés extérieures.
Ainsi, 70 % des applications étudiées contactaient plus de cinq domaines spécialisés dans la publicité, le suivi ou l’analyse, contre seulement 29 % des voitures.
Dans la majorité des cas, l’utilisation de l’appli a fait au moins doubler le nombre d’entreprises de ce type susceptibles d’être en relation avec l’utilisateur.
Certaines applications battent même des records. L’étude étant américaine, certaines marques ne nous concernent guère. Mais si l’appli myCadillac bat les records avec 51 domaines liés à la publicité ou au tracking, celles de BMW ou Toyota suivent tout de suite après avec 47 domaines (à égalité avec Buick). Si nos marques françaises n’apparaissent pas dans ce classement, nombreuses sont celles qui sont cependant diffusées en Europe et il n’est pas interdit de se demander si certaines procédures ne sont pas similaires chez nous.
Une voiture peut donc se montrer relativement discrète sur le réseau… alors que son application officielle se charge en coulisse d’élargir considérablement le cercle des « invités », ou plutôt des pique-assiettes.
Le VIN, la localisation ou l’adresse e-mail transmis à des tiers
Plus préoccupant encore : les chercheurs ont pu déterminer que des données personnelles étaient effectivement envoyées par certaines applications. Pas moins de sept d’entre elles ont ainsi transmis des informations à des sociétés tierces, telles que le numéro d’identification du véhicule (le fameux VIN), la localisation, une adresse électronique ou un numéro de téléphone.
Le VIN constitue un cas particulièrement intéressant. Contrairement à un identifiant publicitaire de smartphone, que l’utilisateur peut parfois réinitialiser, ce numéro que l’on retrouve chez nous sur la carte grise accompagne le véhicule pendant toute son existence.
Associé à une adresse électronique, un numéro de téléphone ou une localisation, il peut donc devenir un moyen particulièrement efficace de rattacher durablement une automobile à son utilisateur, qui n’est d’ailleurs pas forcément le propriétaire.
C’est ici que le discours rassurant sur les « données techniques » commence sérieusement à s’effriter. Car si une donnée prise isolément peut sembler anodine, lorsqu’on relie le véhicule, son propriétaire, ses déplacements et d’autres informations issues de services numériques, on obtient alors un profil beaucoup plus précis.
« Tous fliqués » : l’alerte de la LDC confortée
Les résultats de cette étude font très distinctement écho à l’étude « Tous fliqués » que nous avons publiée fin 2024.
Nous y alertions sur la multiplication des capteurs, des GPS, des caméras et des systèmes connectés capables de produire des données sur le véhicule mais aussi sur son conducteur : déplacements, vitesse, habitudes de conduite, comportement ou utilisation des équipements.
Notre étude mettait également en garde contre un phénomène essentiel : la perte progressive de contrôle du conducteur sur ces informations.
En observant des flux réseau réels, l’étude américaine apporte aujourd’hui une pièce supplémentaire au dossier. Elle permet en effet de ne pas rester au stade des conditions générales d’utilisation ou des possibilités théoriques.
En tout état de cause, la question n’est plus seulement de savoir si une voiture connectée pourrait transmettre certaines informations à des tiers. Elle peut le faire et, le plus souvent, elle le fait : « voiture, suivez ce chauffeur ! ».
Un consentement qui ressemble à une obligation
Les constructeurs répondent généralement que ces pratiques sont couvertes par leurs politiques de confidentialité, et techniquement, c’est souvent vrai. Mais encore faut-il parler de véritable consentement. Les chercheurs constatent en effet que les informations fournies aux utilisateurs restent souvent très générales : les constructeurs peuvent indiquer que des données sont susceptibles d’être partagées avec des tiers sans préciser clairement lesquels, ni dans quel but.
De plus, lorsqu’un conducteur refuse certaines collectes, il peut perdre l’accès à des fonctions importantes. C’est l’un des paradoxes de la voiture moderne. On explique que ces services sont devenus indispensables pour améliorer la sécurité et l’expérience utilisateur, mais lorsqu’ils sont associés à des traitements de données que ce dernier préférerait refuser, celui-ci doit parfois choisir entre sa vie privée et les fonctions de son propre véhicule. Vous avez dit liberté ?
Le vrai problème, c’est l’opacité
La Ligue de Défense des Conducteurs ne conteste pas par principe l’intérêt de la voiture connectée. Une transmission de données peut permettre de prévenir une panne, d’appeler automatiquement les secours, d’améliorer un itinéraire ou de retrouver une voiture volée et c’est souvent ce qui est mis en avant pour faire adopter ces technologies. Mais ces usages légitimes ne justifient en aucun cas que l’automobiliste perde toute maîtrise de ce que son véhicule transmet.
En renfort de cette idée, l’étude de la Northeastern University montre d’ailleurs qu’une plus grande sobriété numérique est possible, puisque les comportements varient énormément d’un constructeur et même d’un modèle à l’autre.
Les questions qui en découlent sont on ne peut plus simples. Pourquoi un conducteur ne pourrait-il pas savoir clairement quelles informations quittent son véhicule, qui les reçoit et pour quelle raison ? Pourquoi les communications indispensables au fonctionnement de la voiture ne seraient-elles pas clairement séparées de celles destinées à l’analyse commerciale ou publicitaire ? Enfin, pourquoi refuser ces dernières devrait-il parfois conduire à priver l’utilisateur de fonctions importantes ?
Une voiture connectée ne doit pas transformer son propriétaire en produit numérique lui-même. Encore faut-il que le conducteur conserve réellement le volant de ses données. Comptez sur notre association pour demander au législateur – et à la CNIL – comment mieux nous protéger.