Véhicules connectés : la nouvelle doctrine CNIL sur les données de localisation

1. Cadre juridique et portée de la recommandation CNIL sur les données de localisation des véhicules connectés

1.1 La Commission nationale de l’informatique et des libertés (CNIL) adopte, par la délibération n° 2026-063 du 16 avril 2026, une nouvelle recommandation relative à l’utilisation des données de localisation des véhicules connectés, publiée au Journal officiel du 30 juin 2026. Cette recommandation abroge explicitement la délibération n° 2010-096 du 8 avril 2010 relative aux dispositifs de géolocalisation embarqués dans les véhicules mis en œuvre par les compagnies d’assurance et les constructeurs automobiles, marquant un changement d’échelle lié à la généralisation des véhicules connectés et à la sophistication des données de localisation.

1.2 Le texte s’inscrit dans le cadre du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée, en rappelant que les données de localisation sont qualifiées par le Comité européen de la protection des données (CEPD) de « données à caractère hautement personnel ». Elles sont jugées particulièrement intrusives pour la vie privée car elles révèlent les déplacements, les lieux de fréquentation et les centres d’intérêts des personnes, et peuvent affecter la liberté de circulation.

1.3 La recommandation a une vocation d’accompagnement à la conformité : elle n’est ni prescriptive ni exhaustive, mais propose un ensemble structuré de recommandations générales (bases légales, minimisation, sécurité, information, analyse d’impact) et de recommandations spécifiques à certaines finalités (gestion de flottes, prévention des abus de confiance et lutte contre le vol, assistance en cas d’accident, optimisation et amélioration des produits et services). Elle résulte de travaux de concertation avec les acteurs du secteur et d’une consultation publique (25 mars – 20 mai 2025).

2. Périmètre : acteurs concernés et définition des données de localisation

2.1 La recommandation vise l’ensemble des acteurs du véhicule connecté pour les usages par des particuliers (propriétaires ou locataires), à l’exclusion des véhicules de fonction ou de service mis à disposition de salariés. Sont notamment visés : les constructeurs, les gestionnaires de flotte (location courte ou longue durée), les fournisseurs d’outils de télématique (boîtiers branchés sur le port OBD), ainsi que les agrégateurs et intégrateurs de données qui organisent la transmission des données issues des véhicules.

2.2 Les données de localisation sont définies comme les données permettant de déterminer la localisation d’un objet ou d’une personne avec une certaine précision, généralement via un système de géo-positionnement par satellite (Galileo, GPS). La CNIL distingue la localisation (position absolue ou relative) de la géolocalisation (positionnement sur une carte par latitude, longitude, altitude). La précision peut varier de quelques mètres à l’échelle d’un quartier, d’une ville ou d’un pays, selon la technologie utilisée.

2.3 Les sources de données de localisation sont multiples : capteurs intégrés par le constructeur, boîtiers télématiques ajoutés a posteriori, applications mobiles fournies par le loueur, le constructeur ou un service de mobilité partagée, API des constructeurs, ou encore flux fournis par des agrégateurs de données qui peuvent trier, agréger ou anonymiser les données.

2.4 La CNIL identifie plusieurs utilisations des données de localisation qui structurent la recommandation : gestion de flotte (exécution des contrats de location, performance du service), assistance et dépannage, assistance en cas d’accident, prévention des abus de confiance et lutte contre le vol, optimisation et amélioration des produits et services. Pour toute autre finalité, le responsable doit mener sa propre analyse de conformité au RGPD.

3. Applicabilité du RGPD et de la directive ePrivacy aux véhicules connectés

3.1 Les données du véhicule connecté sont des données personnelles dès lors qu’elles se rapportent à une personne physique identifiée ou identifiable : propriétaire (via le VIN, le certificat d’immatriculation, le contrat d’assurance), locataire (contrat de location), utilisateur identifié dans le système d’info-divertissement ou via un téléphone connecté. Le RGPD s’applique donc à ces traitements, sous réserve des articles 2 et 3 (champ d’application matériel et territorial).

3.2 La CNIL rappelle l’exception des activités strictement personnelles ou domestiques (considérant 18 RGPD) : l’usage de données personnelles par les seules personnes concernées à l’intérieur du véhicule peut échapper au RGPD. En revanche, les constructeurs ou autres acteurs qui fournissent les moyens de traitement restent en principe soumis au RGPD, sauf si le traitement est entièrement initié, contrôlé et cloisonné par la personne, sans intervention possible du tiers.

3.3 L’article 82 de la loi Informatique et Libertés, transposant l’article 5(3) de la directive 2002/58/CE (ePrivacy), s’applique dès lors qu’il y a stockage ou accès à des informations dans un équipement terminal (véhicule connecté, système d’info-divertissement, téléphone). L’accès aux données de localisation produites par un capteur GPS embarqué est donc soumis, en principe, au consentement préalable de l’utilisateur, sauf si l’opération est strictement nécessaire à la fourniture d’un service expressément demandé ou à la communication électronique.

3.4 La CNIL insiste sur l’articulation entre consentement ePrivacy et base légale RGPD : même lorsque l’accès au terminal repose sur le consentement (article 82), le traitement subséquent des données doit reposer sur une base de l’article 6.1 du RGPD (consentement, contrat, intérêt légitime, mission d’intérêt public, obligation légale). Lorsque les deux consentements poursuivent la même finalité, ils peuvent être recueillis par une même action (case à cocher non pré-cochée).

4. Finalité, rôles des acteurs et identification des personnes concernées

4.1 Le principe de finalité déterminée, explicite et légitime impose de définir, dès la conception du projet, l’objectif poursuivi par le traitement (par exemple : lutte contre le vol, gestion de flotte, assistance en cas d’accident, optimisation des services) et d’interdire toute réutilisation incompatible. La CNIL souligne que la finalité conditionne la minimisation, la durée de conservation et le choix de la base légale.

4.2 La qualification des responsables du traitement, responsables conjoints et sous-traitants doit être faite au cas par cas, en fonction de qui décide de créer le traitement, de sa finalité, des données collectées, des durées de conservation et des mesures de sécurité. Les exemples fournis (gestionnaire de flotte, autorité organisatrice de la mobilité, constructeur, fournisseur de boîtiers télématiques, agrégateur de données) illustrent la diversité des configurations possibles et la nécessité de formaliser ces analyses, notamment dans l’analyse d’impact relative à la protection des données.

4.3 La personne concernée peut être le propriétaire, le locataire ou l’utilisateur authentifié dans le système d’info-divertissement. La CNIL admet qu’un même véhicule peut être utilisé par une multiplicité de conducteurs et de passagers, mais considère que le responsable n’est pas tenu d’identifier les personnes avec lesquelles il n’a pas de relation (absence d’obligation d’authentification systématique du conducteur). Il ne peut donc lui être reproché un manquement au RGPD pour des personnes dont il ne peut raisonnablement avoir connaissance.

4.4 La CNIL recommande des systèmes de gestion de profils dans le véhicule, permettant aux différents utilisateurs de se connecter à un profil, éventuellement protégé par authentification, afin de faciliter l’information, la gestion des choix (notamment pour les services nécessitant un consentement) et l’exercice des droits. La connexion doit rester facultative, et la possibilité de désactiver tous les services connectés optionnels est présentée comme une bonne pratique de protection de la vie privée.

5. Bases légales mobilisables pour les traitements de données de localisation

5.1 La CNIL rappelle qu’une base légale distincte doit être identifiée pour chaque finalité. Le consentement (article 6.1.a) est privilégié lorsque l’article 82 de la loi Informatique et Libertés impose déjà un consentement pour l’accès au terminal, notamment pour des finalités d’optimisation et d’amélioration des produits et services. Ce consentement doit être libre, spécifique, éclairé et univoque, distinct des conditions générales, exprimé par une action positive, aisément révocable.

5.2 La base du contrat (article 6.1.b) est admise lorsque le traitement est objectivement nécessaire à l’exécution du contrat, par exemple pour vérifier le kilométrage lorsque le véhicule n’est pas équipé d’odomètre ou pour un contrat de pistage optionnel à des fins de lutte contre le vol. En revanche, un traitement utile mais non indispensable, ou pour lequel existent des moyens moins intrusifs, ne peut être fondé sur le contrat.

5.3 La base de l’intérêt légitime (article 6.1.f) suppose la légitimité de l’intérêt, la nécessité du traitement et l’absence d’atteinte disproportionnée aux droits des personnes. La CNIL illustre les limites de cette base : la collecte de données de localisation pour aider un client à contester une infraction au code de la route, ou pour une lutte générale contre la fraude à l’assurance, apparaît disproportionnée au regard de la nature des données et de l’efficacité limitée de ce moyen.

5.4 La base de la mission d’intérêt public (article 6.1.e) est mobilisable lorsque la mission est prévue par un texte (par exemple, l’organisation d’un service public de location de vélos par Île-de-France Mobilités) et que l’usage des données de localisation est pertinent pour cette mission (anonymisation de données de trajets pour améliorer les infrastructures cyclables).

5.5 La base de l’obligation légale (article 6.1.c) s’applique lorsque le traitement est imposé par un texte clair et précis, comme pour le système eCall embarqué (règlement (UE) 2015/758) qui prévoit le traitement des trois dernières positions connues du véhicule pour déclencher un appel d’urgence au 112.

6. Minimisation, limitation de la conservation et traitements en local

6.1 Le principe de minimisation (article 5.1.c RGPD) conduit la CNIL à considérer qu’il est en général suffisant de ne conserver que la dernière position du véhicule, chaque nouvelle position écrasant la précédente, sauf justification d’un besoin de plusieurs points (par exemple, pour reconstituer une zone de recherche en cas de vol). La fréquence de collecte, la précision et le volume de données doivent être justifiés pour chaque finalité.

6.2 La CNIL recommande de privilégier les traitements en local dans le véhicule ou le boîtier, avec remontée des seules données nécessaires (alertes, distances calculées, données agrégées) après un fait générateur (panne, non-restitution, vol, accident). Lorsque des bases de données uniques servent plusieurs finalités, un cloisonnement logique (vues minimisées, durées de conservation différenciées) est préconisé pour respecter minimisation et limitation de conservation.

6.3 La durée de conservation doit être strictement liée à la finalité : par exemple, pour la prévention des abus de confiance et la lutte contre le vol, la conservation de la seule dernière position est jugée suffisante tant qu’aucun incident n’est constaté ; en cas de non-restitution ou de vol, des données supplémentaires peuvent être conservées, mais au plus pour la durée de prescription (six ans). Pour l’optimisation du service, les données identifiantes ne doivent être conservées que le temps nécessaire à leur anonymisation.

6.4 La CNIL rappelle que les réquisitions judiciaires par les forces de l’ordre constituent un cadre spécifique : les données de localisation disponibles doivent être transmises, le traitement reposant alors sur l’obligation légale ou, en cas de signalement spontané d’actes criminels, sur l’intérêt légitime.

7. Information des personnes et exercice des droits

7.1 L’information des personnes concernées doit être fournie au moment de la collecte (article 13 RGPD) ou, en cas de collecte indirecte (par exemple, données fournies par le constructeur au loueur via une API), dans un délai raisonnable et au plus tard à la première communication (article 14). Elle doit être claire, concise, compréhensible, distincte des autres clauses contractuelles, et idéalement fournie avant tout engagement financier.

7.2 La CNIL encourage une information multi-niveaux et multi-supports : politique de confidentialité accessible dans le véhicule (papier ou écran d’info-divertissement), messages lors de l’activation d’une fonctionnalité utilisant la localisation, icône signalant la collecte de données de localisation, schémas des flux de données (local vs serveurs distants), sticker avec QR code sur le véhicule, tableaux récapitulatifs des contacts (délégués à la protection des données des constructeurs).

7.3 L’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition) doit être facilité, notamment par une centralisation des paramètres de données dans le véhicule et dans les applications associées. La CNIL recommande des fonctions simples d’effacement (bouton de suppression) pour éviter que les données de déplacement d’un locataire ou propriétaire précédent restent accessibles au suivant.

7.4 La réponse aux demandes d’accès doit distinguer les données générales du véhicule (communiquées à tout utilisateur identifié) et les données d’usage fines (trajets), qui ne devraient être communiquées qu’au conducteur les ayant générées (profil authentifié) ou, à défaut, au propriétaire/locataire ou à toute personne démontrant avoir été le conducteur.

8. Sécurité, protection dès la conception et analyse d’impact

8.1 Compte tenu du caractère hautement personnel des données de localisation et des risques d’attaque par inférence, la CNIL recommande un ensemble de mesures de sécurité : chiffrement en transit et au repos (protocoles à l’état de l’art, bibliothèques cryptographiques éprouvées), gestion des habilitations (profils, durées limitées, revues régulières), limitation des accès (quotas de requêtes, volumes exportables, restrictions temporelles et géographiques), authentification renforcée pour les comptes à privilèges, journalisation des accès et opérations (conservation 6 à 12 mois), sauvegardes chiffrées et plans de continuité.

8.2 La protection des données dès la conception (privacy by design) implique de prévoir, dès la phase de développement, des paramètres par défaut protecteurs, la pseudonymisation précoce (séparation du VIN, hachage avec fonctions robustes comme argon2), la généralisation des données dès la collecte (réduction de la précision), et un cloisonnement des données (par client, par finalité, par moyens physiques, réseau, cryptographiques ou logiques).

8.3 L’analyse d’impact sur la protection des données (AIPD) est requise lorsque le traitement est susceptible d’engendrer un risque élevé, ce qui est généralement le cas pour des données de localisation collectées à grande échelle, croisées ou combinées. L’AIPD doit recenser les risques, définir des mesures de sécurité, de minimisation, d’anonymisation ou pseudonymisation, de traitement en local, d’encadrement des accès et de documentation interne. En cas de risque résiduel élevé, une consultation préalable de la CNIL est obligatoire.

9. Anonymisation des données de localisation : techniques et risques de réidentification

9.1 La CNIL consacre un focus à l’anonymisation des données de localisation, rappelant qu’elle consiste à rendre impossible l’identification d’une personne par des moyens raisonnablement susceptibles d’être utilisés. L’anonymisation est un traitement soumis au RGPD (base légale, information, droits), mais elle est considérée comme particulièrement peu intrusive dès lors que seules les données anonymisées sont conservées.

9.2 Les données de localisation ne deviennent pas anonymes par la seule suppression d’identifiants directs ou par une simple pseudonymisation. La CNIL recommande de combiner plusieurs techniques d’anonymisation : généralisation (cellules géographiques, arrondis, intervalles), agrégation (cartes de chaleur), perturbation aléatoire (ajout de bruit pour empêcher la reconstitution de trajets individuels), données synthétiques reproduisant les propriétés statistiques sans correspondre à des personnes réelles.

9.3 L’avis 05/2014 du G29 sur les techniques d’anonymisation sert de référence : un jeu de données est considéré comme anonyme s’il résiste cumulativement aux attaques par individualisation (impossibilité d’isoler un individu), corrélation (impossibilité de relier des enregistrements entre eux ou avec d’autres bases) et inférence (impossibilité de déduire de nouvelles informations). Une analyse ad hoc des risques de réidentification est également possible, à condition de documenter les attaques plausibles, les moyens raisonnables d’un attaquant et les mesures de mitigation.

9.4 Le projet « GeoTrouveTous » du Laboratoire d’Innovation numérique de la CNIL (LINC) a démontré la possibilité d’une réidentification quasi-automatique d’individus à partir de données pseudonymisées issues de courtiers en données, en combinant individualisation, inférence (détermination du domicile et du lieu de travail) et corrélation avec d’autres sources. Ce cas illustre la difficulté d’anonymiser correctement des trajets de localisation et la nécessité de calibrer finement les seuils d’agrégation (nombre de points, période temporelle) pour éviter qu’une carte thermique ne permette de retrouver des individus.

10. Recommandations spécifiques : lutte contre le vol, assistance, optimisation et gestion de flotte

10.1 Pour la prévention des abus de confiance et la lutte contre le vol, la CNIL admet que la collecte de données de localisation par un gestionnaire de flotte ou un prestataire de pistage peut reposer sur le contrat (service de location, contrat de tracking) et, en cas de vol par un tiers, sur l’intérêt légitime. La minimisation impose de ne conserver que la ou les dernières positions en l’absence d’incident, l’accès aux données étant conditionné à un fait générateur (non-restitution, vol). En cas d’incident, la granularité et la fréquence de collecte doivent être justifiées, et la conservation limitée au temps de l’instruction par les autorités ou de la levée de doute.

10.2 Pour l’assistance aux personnes en cas d’accident ou de dépannage, la CNIL distingue le système eCall obligatoire et les dispositifs d’assistance d’urgence (casques connectés, services d’assistance des loueurs). Lorsque le service est optionnel et souscrit spécifiquement, la base du contrat est mobilisable et le consentement ePrivacy n’est pas requis ; lorsqu’il est imposé sans possibilité de refus, le consentement (article 6.1.a et article 82) devient nécessaire. La minimisation conduit à ne collecter la localisation qu’au moment de l’accident ou de la demande d’assistance, et à ne conserver que les trois dernières positions, par analogie avec eCall.

10.3 Pour l’optimisation et l’amélioration des produits et services (systèmes d’aide à la conduite, maintenance prédictive, amélioration des services connectés, gestion de recharges électriques), la CNIL distingue les traitements sur données personnelles (soumis au consentement lorsque l’article 82 s’applique) et ceux reposant sur des données anonymisées. Elle recommande de recourir autant que possible à l’anonymisation, fondée sur l’intérêt légitime, après vérification de la compatibilité avec la finalité initiale (article 6.4). Les données identifiantes et les données de localisation précises apparaissent en principe non nécessaires pour cette finalité, et la durée de conservation des données pseudonymisées ne devrait pas excéder trois ans.

10.4 Pour la gestion de flottes commerciales, la CNIL encadre l’usage de la localisation pour : organiser la fourniture et la restitution du véhicule, vérifier le respect de zones autorisées (franchissement de frontières, zones non carrossables), ajuster la facturation (kilométrage, retards), gérer la performance du service. L’accès au terminal est considéré comme nécessaire à la fourniture du service de location, ce qui dispense de consentement ePrivacy pour ces finalités, mais le traitement doit rester strictement nécessaire : collecte peu fréquente, écrasement des positions, absence de conservation d’un historique complet des trajets sauf justification spécifique (vol, contentieux).

11. Technologies de localisation : boîtiers télématiques et agrégateurs de données

11.1 La CNIL consacre un focus aux boîtiers télématiques et aux agrégateurs de données. Ces acteurs peuvent être sous-traitants lorsqu’ils traitent les données pour le compte de leurs clients (gestionnaires de flotte, constructeurs), ou responsables du traitement lorsqu’ils déterminent des finalités propres (par exemple, amélioration et optimisation de leurs services). Ils doivent mettre en œuvre des mesures de sécurité adaptées (chiffrement de la mémoire flash, protocoles TLS ou VPN, désactivation matérielle des interfaces de débogage, démarrage sécurisé, désactivation à distance des boîtiers, cloisonnement des données par client).

11.2 Les agrégateurs de données doivent concevoir leurs solutions de manière à permettre à leurs clients de ne collecter que les données nécessaires, via des API sécurisées à granularité fine, des paramétrages de droits d’accès et la possibilité de créer plusieurs profils avec des droits différenciés. La CNIL renvoie à sa recommandation technique sur les API pour le partage sécurisé de données personnelles.

12. Enjeux globaux : équilibre entre innovation, sécurité et vie privée

12.1 L’ensemble de la recommandation met en lumière la tension entre, d’une part, le potentiel des véhicules connectés pour offrir des services innovants (info-divertissement, confort, maintenance, sécurité, optimisation des mobilités) et, d’autre part, le caractère hautement personnel des données de localisation. En qualifiant ces données de particulièrement intrusives et en exigeant des garanties spécifiques (minimisation, traitements en local, anonymisation, cloisonnement, sécurité renforcée, AIPD), la CNIL cherche à encadrer un écosystème où la réidentification et les atteintes à la vie privée sont techniquement plausibles.

12.2 La recommandation fournit ainsi un cadre d’analyse pour les acteurs du véhicule connecté : chaque projet impliquant des données de localisation doit être examiné à l’aune de la finalité, de la base légale, de la nécessité des données, de la possibilité de traiter en local ou d’anonymiser, des risques de réidentification et des droits des personnes. L’enjeu est de permettre le développement de services de mobilité connectée tout en préservant la liberté de circulation et la vie privée des utilisateurs.

Pour en savoir plus

13.1 Lignes directrices du CEPD sur les véhicules connectés et les applications liées à la mobilité : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012020-processing-personal-data-context_fr

13.2 Lignes directrices 2/2023 sur le champ d’application technique de l’article 5(3) de la directive ePrivacy : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_fr

13.3 Contenu CNIL « Les bases légales » : https://www.cnil.fr/fr/les-bases-legales

13.4 Responsable du traitement, sous-traitants : https://www.cnil.fr/fr/rgpd-comment-bien-identifier-son-role

13.5 Sous-traitants et réutilisation des données : https://www.cnil.fr/fr/sous-traitants-la-reutilisation-de-donnees-confiees-par-un-responsable-de-traitement

13.6 Recommandation CNIL « Cookies et autres traceurs » : https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/lignes-directrices-modificatives-et-recommandation

13.7 Lignes directrices CEPD sur le consentement : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_fr

13.8 Avis 05/2014 sur les techniques d’anonymisation : https://www.cnil.fr/sites/cnil/files/atoms/files/wp216_fr.pdf

13.9 Projet LINC « Geo TrouveTous » : https://linc.cnil.fr/geo-trouve-tous-la-reidentification-des-donnees-de-la-theorie-au-cas-pratique

13.10 Projet LINC « GeoTrouveTous – projet de réidentification par géolocalisation » : https://linc.cnil.fr/geotrouvetous-projet-de-reidentification-par-geolocalisation

13.11 Recommandation CNIL sur les mots de passe et secrets partagés : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000046432885

13.12 Recommandation CNIL sur la journalisation : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044272396

13.13 Recommandation CNIL sur les API : https://www.cnil.fr/sites/cnil/files/2023-07/recommandation_api.pdf

13.14 Référentiel général de sécurité (RGS) : https://cyber.gouv.fr/le-referentiel-general-de-securite-version-20-les-documents

13.15 Norme ISO/SAE 21434:2021 « Véhicules routiers — Ingénierie de la cybersécurité » : https://www.iso.org/obp/ui/en/#iso:std:iso-sae:21434:ed-1:v1:en

13.16 Lignes directrices sur les AIPD : https://www.cnil.fr/fr/publication-des-lignes-directrices-du-g29-sur-les-dpia

13.17 AIPD – Bases de connaissances CNIL : https://www.cnil.fr/sites/cnil/files/atoms/files/cnil-pia-3-fr-basesdeconnaissances.pdf

13.18 Article CNIL « La géolocalisation des véhicules des salariés » : https://www.cnil.fr/fr/la-geolocalisation-des-vehicules-des-salaries

13.19 Fonction de hachage Argon2 : https://fr.wikipedia.org/wiki/Argon2