Une étude menée par la Northeastern University et Consumer Reports a révélé que la majorité des voitures modernes et des applications des constructeurs testées communiquaient avec des entreprises tierces de publicité et d’analyse, parfois en envoyant des identifiants pouvant être directement associés au propriétaire de la voiture et à son activité numérique.
Les chercheurs ont analysé le trafic de données de 21 voitures modernes et de 30 applications de constructeurs, entre octobre 2024 et août 2025. Dix-neuf voitures ont envoyé des données à au moins une entreprise tierce via une connexion sans fil, tandis que sept applications ont transmis des identifiants tels que le numéro d’identification du véhicule (VIN), des adresses e-mail et des localisations précises à des entreprises de publicité et d’analyse.
Le numéro d’identification du véhicule ne peut pas être modifié
Quatre des sept applications appartenaient à General Motors : myCadillac, myChevrolet, myBuick et myGMC. Selon l’étude, ces applications ont envoyé des numéros VIN à dix entreprises, dont Microsoft, Adobe, Snap, Yahoo, Meta, Google et le courtier en données Acxiom. L’application HondaLink a également envoyé des numéros VIN et des données de localisation à l’entreprise d’analyse Amplitude, tandis que les autres cas concernaient les applications Lincoln et MyNISSAN.
La sensibilité de ces données tient au fait que le numéro VIN, contrairement à l’identifiant publicitaire d’un téléphone, ne peut pas être réinitialisé par l’utilisateur. Lorsqu’il est associé à une adresse e-mail, il permet aux entreprises de publicité de relier l’identité du propriétaire de la voiture à son activité sur d’autres applications et sites web, faisant de la voiture et de son application une partie d’un profil numérique plus vaste.
Les applications constituent la principale source d’exposition
Les résumés de Consumer Reports ont montré que dix voitures sur 21 ne se connectaient pas directement à des domaines publicitaires ou de suivi, mais que leurs applications exposaient les données de leurs propriétaires à de nombreuses entreprises. L’application Buick Envista était ainsi associée à 23 entreprises de publicité et de suivi, et l’application Nissan Ariya à 25 entreprises. En revanche, la Tesla Model 3 s’est connectée à 22 entités depuis la voiture elle-même, tandis que son application en a ajouté deux.
Selon les résultats, 28 applications sur 30 ont communiqué avec au moins une entreprise de publicité ou d’analyse. L’équipe n’a pas pu déchiffrer le trafic de données à l’intérieur des véhicules, et la collecte des données cellulaires a été limitée au cas de la Model 3 ; les chercheurs estiment donc que les chiffres réels sont probablement plus élevés.
Pourquoi cette actualité est-elle importante ?
Les résultats montrent que la source du risque ou de la perte de confidentialité n’est pas nécessairement le système de la voiture lui-même ; dans la plupart des véhicules testés, la majeure partie de l’exposition aux technologies publicitaires et de suivi provenait de l’application mobile. Cela signifie que l’examen des paramètres de l’application et des conditions d’utilisation qui lui sont associées est tout aussi important que celui des paramètres de la voiture.
L’étude a également constaté que les politiques de confidentialité des sept applications ayant partagé les identifiants indiquaient la possibilité de transmettre les données à des tiers, sans toujours préciser les destinataires ni la finalité du partage. Tesla avertit les utilisateurs qui refusent l’accord de partage des données que certaines fonctionnalités pourraient être réduites et que cela pourrait entraîner des dommages importants ou des problèmes de compatibilité, tandis que Rivian affirme que la désactivation de la collecte des données peut limiter des fonctionnalités telles que la navigation et les mises à jour à distance.
Réponse des entreprises et limites réglementaires
Les chercheurs ont contacté 17 constructeurs, dont 14 ont répondu que les flux de données étaient conformes aux contrats conclus avec leurs fournisseurs. Sept entreprises ont déclaré qu’il incombait au propriétaire de la voiture de lire les conditions de chaque service externe, tandis que cinq entreprises ont attribué le suivi à des pages web ouvertes à l’intérieur de leurs applications.
Ces résultats interviennent dans le contexte d’une ordonnance de la Federal Trade Commission des États-Unis contre GM, qui a interdit à l’entreprise de vendre les données des conducteurs à des agences d’évaluation des consommateurs pendant cinq ans et l’a obligée à obtenir un consentement explicite avant de collecter ou de partager les données des véhicules connectés. Toutefois, les tests de l’étude ont précédé cette ordonnance et les chercheurs n’ont pas accusé GM de l’avoir enfreinte. GM a déclaré que les données n’étaient divulguées qu’à des prestataires de services dont les contrats leur interdisaient de les vendre ou de les utiliser à leurs propres fins.
Selon la source, Honda a demandé à Amplitude de supprimer les données de localisation et a mis à jour HondaLink afin de cesser de les envoyer. David Choffnes, professeur à Northeastern et coauteur de l’étude, a appelé les autorités de régulation à intervenir. Une question importante reste ouverte : dans quelle mesure les consentements effectivement obtenus auprès des utilisateurs sont-ils clairs, et les fonctionnalités essentielles resteront-elles accessibles à ceux qui refusent de partager leurs données ?