Véhicules connectés : quand le service utile vire-t-il à la surveillance ?

Votre voiture sait où vous êtes. Et elle peut avoir de bonnes raisons de le savoir.

Vous guider jusqu’à votre destination, envoyer une assistance en cas de panne, retrouver un véhicule volé, anticiper une opération de maintenance… Dans un véhicule connecté, la géolocalisation permet aujourd’hui une foule de services utiles. Le problème n’est donc pas de savoir si cette donnée peut rendre service. Bien sûr qu’elle le peut.

La question intéressante commence juste après : jusqu’où faut-il aller pour rendre ce service ? Faut-il connaître la position exacte du véhicule ? Le suivre en continu ? Conserver l’intégralité de ses trajets ? Pendant combien de temps ? Et qui doit pouvoir accéder à ces informations ?

C’est tout l’enjeu rappelé par la CNIL dans ses recommandations sur les véhicules connectés. Mais derrière un cas d’usage très concret se cache une question beaucoup plus large pour les professionnels de la conformité : comment exploiter des données de localisation sans tomber dans le réflexe du « on collecte tout, au cas où » ?

Une coordonnée GPS en dit beaucoup plus qu’on ne le pense

Prise isolément, une position GPS paraît presque anodine : un point sur une carte, une adresse, un trajet. Accumulées dans le temps, ces données racontent pourtant une histoire beaucoup plus riche.

Domicile, lieu de travail, horaires, habitudes, déplacements réguliers… Un historique de localisation peut permettre de reconstituer une partie particulièrement précise de la vie d’une personne. Parfois, il permet même d’en déduire des informations autrement plus sensibles : un passage dans un établissement de santé, un lieu de culte, une organisation syndicale, un cabinet d’avocat ou simplement un rendez-vous que l’on n’avait aucune intention de partager.

Quand on suit un véhicule, on ne suit donc pas seulement une machine. C’est précisément ce qui rend la localisation si particulière. Son caractère intrusif ne vient pas nécessairement d’un point GPS isolé, mais de ce que l’accumulation de ces points permet de reconstituer.

Tout commence souvent par un « au cas où »

Au départ, le besoin est généralement facile à défendre. Un dépanneur doit connaître la position du véhicule pour intervenir ; un dispositif antivol doit pouvoir le retrouver ; un gestionnaire de flotte peut avoir besoin de comprendre comment ses véhicules sont utilisés. Dans chacun de ces cas, la géolocalisation répond à un service précis.

Puis arrive une petite tentation : puisque la donnée existe, pourquoi ne pas la garder ? Pour gérer une éventuelle contestation, analyser les usages, anticiper un incident, améliorer le service plus tard… Bref, au cas où.

C’est précisément là que les choses se compliquent. Une finalité légitime ne donne pas automatiquement carte blanche sur toutes les données disponibles. Un service de dépannage peut avoir besoin de la position actuelle du véhicule sans avoir besoin de connaître ses trajets des trois derniers mois ; un dispositif antivol peut nécessiter une localisation en cas d’incident sans pour autant suivre la voiture 24 heures sur 24.

La capacité technique ne constitue pas, à elle seule, une justification.

La vraie question n’est pas « peut-on géolocaliser ? »

Posé ainsi, le débat devient vite binaire : géolocalisation ou pas géolocalisation ? Or, ce n’est pas vraiment le sujet.

La question à poser serait plutôt : quel niveau de suivi peut-on réellement justifier pour cette finalité précise ? Une position exacte est-elle indispensable ou une zone approximative suffit-elle ? Faut-il connaître la position en permanence ou uniquement lorsque l’utilisateur active un service ? A-t-on besoin de conserver les déplacements ou la dernière position connue suffit-elle ?

Tout est affaire de calibrage. Pour envoyer un dépanneur au bon endroit, une localisation précise peut être indispensable ; conserver ensuite l’historique nominatif des déplacements ne l’est pas forcément. Même logique pour la fréquence : une localisation ponctuelle, déclenchée par un événement précis, et un suivi permanent en temps réel n’ont évidemment pas le même impact sur la vie privée.

L’historique est probablement l’un des points les plus sensibles. Une position répond à la question « où se trouve le véhicule ? » ; une succession de positions peut répondre à « où cette personne va-t-elle, quand, à quelle fréquence et pendant combien de temps ? ». On ne parle plus tout à fait de la même chose.

La conformité ne consiste donc pas à dire « oui » ou « non » à la géolocalisation. Elle consiste à régler plusieurs curseurs : la précision, la fréquence, l’historique et la durée de conservation.

Collecter moins ne suffit pas

Même une collecte parfaitement calibrée peut devenir problématique si les données circulent trop largement. Qui peut voir la position du véhicule ? Dans quelles circonstances ? Avec quel niveau de détail ? Les accès sont-ils tracés ? Les prestataires peuvent-ils consulter les données ? Les rôles sont-ils clairement définis ?

Une donnée collectée de manière proportionnée peut rapidement devenir problématique si elle est accessible à des personnes qui n’ont aucune raison de la consulter. La géolocalisation est donc aussi une question de sécurité et de maîtrise des accès.

Le sujet se complique encore avec les véhicules partagés. Une même voiture peut être utilisée par son propriétaire, son conjoint, un salarié, un locataire ou un conducteur occasionnel ; elle peut ensuite être restituée, puis revendue. Les données, elles, ne doivent pas forcément suivre le même trajet.

Gestion des profils, suppression des informations, désactivation de certains services, réinitialisation du véhicule avant une vente ou une restitution : le contrôle laissé à l’utilisateur n’est donc pas un détail d’interface. Sans séparation claire des profils et des accès, les données d’une personne peuvent se retrouver entre les mains de la suivante.

La voiture n’est finalement qu’un cas d’école

C’est là que le sujet dépasse largement l’automobile. On pourrait remplacer « véhicule connecté » par application mobile, objet connecté, outil terrain, dispositif de sécurité, service de mobilité, solution logistique ou flotte professionnelle : le raisonnement resterait sensiblement le même.

Dès qu’un projet implique de la localisation, il faut partir du service rendu et dimensionner la collecte en conséquence. Surtout, cette réflexion doit arriver suffisamment tôt. Pas une fois le service développé, le fournisseur choisi et les données déjà collectées ; à ce stade, l’essentiel est souvent déjà décidé et la marge de manœuvre s’est considérablement réduite.

C’est au moment de concevoir le service que l’on peut encore faire des choix structurants : collecter moins ou moins souvent, réduire la précision, raccourcir la conservation, séparer les profils utilisateurs, restreindre les accès ou prévoir un mode de désactivation.

La conformité ne devrait donc pas arriver comme une couche documentaire posée après coup. Elle devrait contribuer à concevoir le service et à déterminer jusqu’où le dispositif a réellement besoin d’aller.

Alors, où s’arrête le service utile ?

Il n’existe pas un nombre magique de mètres, de minutes ou de jours au-delà duquel une géolocalisation deviendrait soudainement excessive. La limite se trouve dans ce que l’organisation peut réellement justifier au regard du service rendu.

C’est peut-être la meilleure boussole à garder pour les équipes conformité, bien au-delà du seul cas des véhicules connectés. Face à un traitement de données de localisation, la question n’est pas seulement « peut-on le faire ? ». Elle est surtout : « peut-on justifier ce niveau de suivi ? »