Lancer le chauffage depuis son salon, vérifier la batterie ou retrouver sa voiture sur une carte est devenu banal. Ces services sont pratiques, et je serais le premier à regretter de les perdre. Mais une étude de Consumer Reports et de la Northeastern University rappelle qu’entre la voiture et son propriétaire, bien d’autres entreprises peuvent participer aux échanges de données.
Lorsque je roulais en Tesla, la caméra intérieure me mettait parfois mal à l’aise. Ce sentiment personnel ne prouve évidemment pas que quelqu’un observait mes trajets. Il illustre simplement une question qui dépasse cette marque : que savent réellement les voitures connectées de leurs occupants, et à qui ces informations sont-elles transmises ?
Une étude qui distingue les voitures de leurs applications
Les chercheurs ont examiné 21 véhicules de 19 marques ainsi que 30 applications mobiles de constructeurs. Le panel porte sur des modèles de 2022 à 2025 et les essais ont été conduits aux États-Unis. Il faut garder ce cadre en tête avant de généraliser les résultats à d’autres marchés.
Une partie du protocole utilisait une tente de Faraday, capable de bloquer les communications cellulaires. Les véhicules étaient alors contraints de passer par un réseau Wi-Fi que les chercheurs pouvaient observer. Des essais en mouvement complétaient ces mesures.
Deux niveaux d’information doivent être distingués. Pour les voitures, l’équipe identifiait principalement les serveurs contactés sans pouvoir lire précisément le contenu des échanges. Pour les applications, l’analyse permettait d’examiner plus finement certaines données transmises.
Les trente applications étudiées étaient celles des constructeurs, destinées notamment à piloter les fonctions du véhicule. Ce périmètre ne doit pas être confondu avec l’ensemble des applications que nous utilisons à bord, de Spotify à Google Maps.
Des données qui peuvent relier une voiture à une personne
Premier résultat : 28 applications sur 30 ont communiqué avec au moins une entreprise extérieure spécialisée dans la publicité ou l’analyse de données. La pratique apparaît donc largement répandue dans cet échantillon.
Sept applications ont également transmis au moins une information susceptible de contribuer à identifier un utilisateur : un nom, une adresse électronique, une localisation précise ou le numéro d’identification du véhicule. Ce dernier, le VIN, constitue en quelque sorte la carte d’identité de la voiture.
Pris isolément, ce numéro identifie un véhicule. Rapproché d’un compte ou d’une position géographique, il peut aider à reconstituer des liens entre une personne, sa voiture et ses déplacements. À mes yeux, cette possibilité de recoupement est plus significative que le simple nombre de connexions.
Tesla ne figure pas dans la liste des sept applications concernées par ce résultat précis. Cela ne permet pas de conclure que la marque ne collecte aucune donnée : les différents volets de l’étude ne mesurent pas la même chose.
Un serveur contacté ne prouve pas à lui seul une exploitation publicitaire
Alphabet, Amazon, Meta ou Microsoft apparaissent parmi les entreprises repérées. Leur présence mérite une lecture attentive. Ces groupes proposent aussi des infrastructures cloud, des outils statistiques et des services nécessaires au fonctionnement des applications.
Une connexion vers Google peut ainsi correspondre à une recherche de destination ou à l’utilisation d’un compte dans Android Automotive. De même, écouter de la musique en ligne implique de contacter les serveurs du service concerné. Le nom du destinataire ne suffit pas à déterminer l’usage exact des informations.
L’étude rapporte de nombreuses connexions de la Tesla Model 3 vers des domaines tiers, dont 34 associés à la publicité, au suivi ou à l’analyse. Mais les chercheurs ne pouvaient pas lire le contenu de tous les échanges du véhicule. Ce résultat justifie des questions ; il ne permet pas d’affirmer que chaque connexion transmet des données personnelles à des fins publicitaires.
L’absence de marques chinoises dans le panel impose la même prudence : l’étude ne permet de conclure ni à leur exemplarité ni à des pratiques plus intrusives. Quant à la présence de modèles également vendus en Europe, elle ne démontre pas que leurs configurations et leurs traitements de données y sont identiques.
Quelques réglages permettent de réduire les échanges facultatifs
La première étape consiste à parcourir les paramètres de confidentialité de la voiture. Les options relatives aux statistiques d’utilisation, à la personnalisation, aux offres commerciales ou au partage avec des partenaires méritent d’être examinées une par une.
Sur le téléphone, les autorisations de l’application constituent un autre levier. Selon les fonctions proposées, une localisation limitée à l’utilisation de l’application peut suffire. Il est également utile de vérifier si l’accès au microphone, aux contacts ou à une position précise répond à un besoin réel.
Désactiver les services inutilisés réduit aussi certaines interactions. Cela demande de faire des choix, car plusieurs fonctions pratiques dépendent effectivement de communications avec l’extérieur. Aucun réglage universel ne garantit qu’une voiture connectée cessera toute transmission.
Enfin, une vente ou une restitution doit s’accompagner d’un nettoyage numérique. Téléphones associés, contacts, destinations enregistrées et comptes personnels ne devraient pas rester dans la voiture. La procédure de réinitialisation prévue par le constructeur mérite la même attention que celle d’un téléphone que l’on revend.
La transparence devrait accompagner le service rendu
Je ne souhaite pas revenir à une automobile dépourvue de fonctions connectées. Vérifier une recharge à distance et préparer un départ apportent un confort réel. En revanche, ces usages ne devraient pas servir à rendre incompréhensibles les échanges qui les accompagnent.
Le conducteur devrait pouvoir distinguer facilement ce qui est nécessaire au service, ce qui relève de l’amélioration du produit et ce qui répond à un intérêt commercial. L’étude n’apporte pas toutes les réponses, mais elle montre que la question mérite mieux qu’une longue politique de confidentialité que presque personne ne lit.
