Voitures connectées : 19 sur 21 modèles testés partagent vos données avec des tiers
Sommaire
En bref
- Une étude menée sur 21 véhicules récents du marché américain et 30 applications compagnons révèle que 19 sur 21 transmettent des données à des tiers non déclarés, principalement via des domaines publicitaires et de suivi.
- 7 des 30 applications testées envoient des identifiants sensibles (VIN, email, numéro de téléphone, localisation précise) à des partenaires publicitaires, permettant la constitution de profils détaillés.
- Les conducteurs n'ont aucun contrôle une fois les données quittées leur véhicule, les fabricants décidant seuls de la monétisation et du partage.
Ce que dit la source
Les chercheurs de Northeastern University, en partenariat avec Consumer Reports, ont documenté l'écosystème des véhicules connectés en interceptant les flux de données Wi-Fi et cellulaires. L'enjeu affiché : 19 des 21 véhicules testés (dont Tesla Model 3, Mercedes EQS, Nissan Ariya, Rivian R1S) contactent au minimum un domaine tiers associé à la publicité et au suivi. Sept des 30 applications compagnons transmettent plusieurs formes d'identifiants personnels au même tiers publicitaire, ce qui permet la construction de profils de consommateurs détaillés. L'étude soulève la question fondamentale de la visibilité des consommateurs sur ce qui advient de leurs données une fois envoyées chez les fabricants et leurs partenaires.
- 19 des 21 véhicules testés contactaient au moins un domaine publicitaire ou de suivi en Wi-Fi, contre des hypothèses de confidentialité affichées par les fabricants.
- 7 des 30 applications compagnons ont transmis des données sensibles (VIN, localisation précise, numéro de téléphone, adresse email) à des tiers publicitaires.
- Méthodologie : flotte testée couvrait General Motors (Buick, Cadillac, Chevrolet), Ford, Tesla, Volvo, Nissan, Honda, Rivian, Mercedes, Lucid et autres, soit un échantillon représentatif des constructeurs occidentaux majeurs.
- Les chercheurs ont utilisé une tente Faraday pour isoler la communication cellulaire et tester si les véhicules réacheminaient les données via Wi-Fi en l'absence de réseau mobile, confirmant cette hypothèse chez plusieurs modèles.
- Aucun des constructeurs testés ne permet au propriétaire de désactiver ou contrôler ces transmissions de données une fois le véhicule activé.
Dans les commentaires
Débat partagé : les commentateurs reconnaissent la validité des données mais pointent trois limites : la méthodologie (30 minutes d'interaction ne couvre pas l'usage réel), l'absence de granularité (quelles actions déclenchent quels appels tiers), et l'absence d'équivalent pour les véhicules chinois (BYD notamment).
- Plusieurs commentateurs remettent en question la représentativité de la méthodologie : tester en stationnaire sur 30 minutes avec activation volontaire de tous les menus (YouTube, navigation, infotainment) ne reproduit pas l'usage routier réel et risque de surestimer les transmissions.
- L'absence de granularité des résultats frustre les lecteurs : le papier ne dit pas quelles actions spécifiques dans la voiture déclenchent quels appels tiers, ce qui limiterait fortement l'utilité pratique pour les acheteurs.
- Un commentateur relève que les véhicules chinois (BYD, autres) ne sont pas couverts, suggérant que la situation pourrait être différente et que l'étude privilégie implicitement les fabricants occidentaux.
- Le problème du consentement et de l'obligation de connectivité est soulevé : plusieurs commentateurs notent que refuser la création d'un compte chez le constructeur ou désactiver la connectivité reste impraticable ou impossible sur la plupart des modèles modernes.
- Un commentateur apporte une donnée GDPR concrète : après GDPR request auprès d'Audi, le véhicule continuait à transmettre les adresses de destination entrées dans le navigateur malgré la désactivation affichée des services de télémétrie.
Notre lecture
L'étude confirme ce que l'industrie savait et que les consommateurs soupçonnaient : les véhicules connectés modernes collectent et monétisent systématiquement les données des propriétaires. Ce qui n'était jusqu'ici que suspecté est maintenant documenté à grande échelle. Les trois limites méthodologiques sérieuses (test stationnaire court, absence de granularité, pas de couverture des marques chinoises) empêchent d'affirmer que ce sont les points noirs réels de chaque marque, mais ne réduisent pas l'importance du constat global. Pour une DSI ou un responsable de flotte, cela signifie : considérer l'achat de véhicules connectés comme accepter la monétisation des trajectoires et contacts de vos utilisateurs. À surveiller : les débouchés réglementaires (GDPR enforcement, lois états-uniennes émergentes), mais aucune action immédiate n'est possible côté entreprise acheteur, la connectivité étant non désactivable.