CNIL et boîtiers télématiques : sécuriser les données de localisation en pratique

Lecture rapide

Les fournisseurs de boîtiers télématiques et agrégateurs doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment chiffrement des données au repos et en transit, cloisonnement logique ou bases distinctes, protection du VIN par hachage, désactivation à distance des boîtiers, sécurisation des interfaces de débogage et procédures de démarrage sécurisé.

Analyse juridique

1. Qualification des fournisseurs de boîtiers télématiques et des agrégateurs de données

1.1. Les fournisseurs de boîtiers télématiques et les agrégateurs de données peuvent être qualifiés différemment selon les traitements qu’ils effectuent. Ils sont sous-traitants lorsqu’ils collectent des données personnelles (via le boîtier ou l’API du constructeur) pour le compte et sous les instructions de leurs clients. Ils deviennent responsables du traitement lorsqu’ils décident eux-mêmes de l’objectif et des modalités du traitement (données collectées, durée de conservation, mesures de sécurité, etc.).

1.2. Ils sont en tout état de cause responsables du traitement lorsqu’ils poursuivent des finalités qui leur sont propres, par exemple lorsqu’ils traitent les données pour l’amélioration et l’optimisation de leurs services, finalité explicitement visée au point 5.3 de la recommandation. Cette qualification entraîne l’obligation de respecter l’ensemble des principes du RGPD (licéité, transparence, minimisation, sécurité, etc.).

1.3. Chaque acteur doit déterminer, au cas par cas, sa qualification au regard de son rôle effectif pour chaque traitement de données personnelles, en se référant au point 3.3 de la recommandation. En cas de sous-traitance, le contrat conclu avec le client doit préciser les obligations respectives en matière de protection des données (article 28 du RGPD), notamment en matière de sécurité, de confidentialité, d’assistance pour l’exercice des droits et de gestion des violations de données.

2. Mesures de sécurité pour boîtiers télématiques et agrégateurs

2.1. Quelle que soit leur qualification (responsable ou sous-traitant), les fournisseurs de boîtiers télématiques et les agrégateurs de données doivent mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. Ces mesures complètent les mesures de sécurité générales décrites au point 3.9 de la recommandation.

2.2. La CNIL renvoie à sa recommandation sur les API, qui distingue les rôles de détenteurs de données, gestionnaires d’API et réutilisateurs. Les constructeurs de véhicules peuvent être considérés comme détenteurs de données et gestionnaires d’API lorsqu’ils mettent à disposition leurs API aux agrégateurs. Les bonnes pratiques de cette recommandation (sécurité, minimisation, contrôle des accès) s’appliquent aux API transmettant des données de localisation.

2.3. Les services cloud associés aux données transmises par les boîtiers ou les agrégateurs doivent être conçus pour assurer un cloisonnement des données entre clients, afin de réduire le risque d’accès frauduleux ou accidentel aux données d’un autre client. Ce cloisonnement peut passer par des bases de données distinctes ou un cloisonnement logique (chiffrement en base avec des clés distinctes, droits d’accès séparés).

2.4. Lorsque le numéro d’identification du véhicule (VIN) est collecté, il devrait être protégé par des techniques de hachage cryptographique à l’état de l’art lorsque ce numéro n’est pas utile au traitement, conformément au point 3.10 sur la protection des données dès la conception.

3. Sécurité spécifique des boîtiers télématiques

3.1. La CNIL recommande de mettre en place des mécanismes de chiffrement robustes pour protéger les données stockées et transmises par les boîtiers télématiques. Le chiffrement de la mémoire flash est cité comme mesure adéquate pour empêcher la lecture des données de localisation en cas de vol ou de perte du boîtier.

3.2. Les boîtiers utilisent généralement une puce 4G ou 5G pour la connectivité, parfois le Wi-Fi. La communication entre le boîtier et les serveurs doit être sécurisée par des protocoles cryptographiques à l’état de l’art, tels que TLS, ou par l’utilisation de liaisons VPN pour une sécurité accrue. Le chiffrement au repos des données, notamment de la mémoire flash contenant les données de localisation, est explicitement recommandé.

3.3. La CNIL recommande d’utiliser les capacités de calcul locales du véhicule ou du boîtier, lorsque cela n’entraîne pas de moyens disproportionnés et dans le respect de l’article 25 du RGPD, pour effectuer le plus en amont possible les traitements relatifs aux données de localisation. Par exemple, des traitements de généralisation peuvent être effectués dès la réception des données par le véhicule ou le boîtier, plutôt que sur des serveurs distants.

3.4. L’espace de stockage limité des boîtiers rend également souhaitable une minimisation des données collectées dès leur réception : les nouvelles données remplacent généralement les anciennes. Cette contrainte technique converge avec le principe de minimisation du RGPD.

3.5. Les boîtiers télématiques devraient être conçus pour être désactivables à distance. Cette fonctionnalité est essentielle pour permettre au gestionnaire de flotte ou au conducteur de contrôler l’activation et la désactivation du service, conformément aux principes de protection des données par défaut et dès la conception. La désactivation devrait être possible à tout moment.

3.6. Sur le plan de la sécurité physique et logique, les fournisseurs doivent protéger les moyens d’accès aux informations contenues dans les boîtiers, notamment les connecteurs de débogage (JTAG, série) sur les cartes électroniques, qui peuvent permettre un accès direct à la mémoire. La CNIL recommande la désactivation matérielle des interfaces de débogage dans les systèmes embarqués, la mise en œuvre de procédures de démarrage sécurisé et de moyens physiques empêchant l’accès aux mémoires ou supports de stockage.

4. Sécurité des solutions d’agrégation de données de localisation

4.1. Pour les agrégateurs de données de localisation, la CNIL recommande que les solutions d’agrégation soient conçues de manière à pouvoir désactiver la remontée de la localisation à distance vers le gestionnaire de flotte lorsque ces données ne sont pas nécessaires au service. Cette fonctionnalité est essentielle pour permettre au gestionnaire de flotte ou au conducteur de contrôler l’activation et la désactivation du service, dans la logique de la protection des données par défaut et dès la conception.

4.2. À titre de bonne pratique, les agrégateurs devraient concevoir leurs solutions de sorte à permettre aux utilisateurs des données de ne collecter que les données nécessaires, afin de faciliter le respect du principe de minimisation. Différentes modalités peuvent être envisagées : API sécurisées avec un degré de granularité suffisamment fin, paramétrage des données auxquelles les utilisateurs accèdent ou qu’ils téléchargent, et possibilité de créer, pour un même client, plusieurs profils aux droits d’accès distincts.

4.3. Ces recommandations spécifiques complètent les exigences générales de sécurité, de minimisation et de limitation de la conservation, et s’inscrivent dans une approche globale de gouvernance des données de localisation impliquant constructeurs, gestionnaires de flotte, fournisseurs de boîtiers et agrégateurs.

5. Pour en savoir plus

5.1. Recommandation technique relative aux API :

– Recommandation technique relative à l’utilisation des interfaces de programmation applicatives (API) pour le partage sécurisé de données à caractère personnel (2023) : https://www.cnil.fr/sites/cnil/files/2023-07/recommandation_api.pdf

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.