Véhicules connectés et RGPD : recommandations CNIL 2026

En juin 2026, la CNIL a publié de nouvelles recommandations encadrant l’utilisation des données de localisation issues de véhicules connectés utilisés par les particuliers, dans un contexte où ces véhicules recourent de plus en plus à des traitements automatisés et à des fonctionnalités fondées sur l’intelligence artificielle.

Parce qu’elles permettent de déduire des informations sensibles (habitudes, domicile, lieux de culte ou de santé…), ces données sont qualifiées de « données hautement personnelles », ce qui appelle une vigilance accrue.[1]

On peut toutefois s’interroger sur l’usage de cette expression, juridiquement imprécise. Le RGPD organise déjà sa propre hiérarchie terminologique, les données sensibles constituant une catégorie particulière de données à caractère personnel. La formule risque ainsi de donner l’illusion d’une catégorie autonome, alors qu’elle vise surtout des données dont le traitement est susceptible de faire naître un risque élevé pour les droits et libertés.

Cette recommandation s’inscrit alors comme un premier point d’étape et vise à poser un cadre de prudence face à l’essor rapide des usages connectés et algorithmiques dans l’automobile, alors que les enjeux de protection de la vie privée, de maîtrise des flux de données et de transparence des traitements sont centraux. Elle marque ainsi la volonté de la CNIL d’accompagner tout un écosystème, des constructeurs aux gestionnaires de flottes, en passant par les fournisseurs de boîtiers télématiques et les agrégateurs de données, tout en rappelant que l’innovation ne peut se déployer au détriment des droits fondamentaux.

Voici donc les grands axes soulignés par la CNIL pour assurer la conformité de vos services au RGPD :

Clarification du consentement (Directive ePrivacy) :

L’accès aux données de localisation stockées dans le véhicule nécessite en principe le consentement préalable de l’utilisateur, conformément à la directive ePrivacy, transposée à l’article 82 de la loi Informatique et Libertés. Toutefois, la CNIL apporte des exemptions : le consentement n’est pas requis si le traitement est strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur, la base légale mobilisable étant celle du contrat.[2]

Un service est considéré comme « expressément demandé par l’utilisateur » lorsque l’accès à ses données de localisation est strictement indispensable pour lui fournir la prestation qu’il a délibérément sollicitée ou à laquelle il a souscrit, comme les services de location de véhicules, de tracking en cas de vol ou encore d’assistance et de dépannage.

Toutefois, pour que l’exemption trouve à s’appliquer, le service doit faire l’objet d’un choix volontaire. S’il est imposé d’office et de manière indissociable dans un contrat de location ou de vente, sans que le client ne puisse le refuser, le consentement de l’usager redevient alors obligatoire pour activer la localisation à cette fin.

Minimisation et limitation de la conservation :

Les données de localisation ne peuvent être collectées ni conservées sans justification ; le principe de minimisation impose de ne collecter que les données adéquates et limitées à l’objectif poursuivi. La CNIL estime que seule la conservation de la dernière position connue du véhicule est suffisante dans certaines situations, chaque nouvelle position devant écraser la précédente.

C’est notamment le cas pour les services de dépannage qui n’ont besoin que de la localisation actuelle pour intervenir, pour la vérification par un loueur qu’un véhicule ne franchit pas une zone prohibée ou une frontière tant qu’aucune infraction n’est détectée, pour l’évaluation des éventuels retards lors de la restitution d’un véhicule, ainsi que pour la prévention des abus de confiance et du vol en l’absence de toute suspicion avérée d’infraction.

Gérer la confidentialité dans un environnement « multi-utilisateurs » :

Un même véhicule étant souvent conduit par plusieurs personnes, la CNIL recommande la mise en place de profils utilisateurs authentifiés. Ce système permet de n’associer les trajets qu’au conducteur effectif, ce qui facilite son information, la gestion de ses consentements et l’exercice efficace de ses droits. Il est également recommandé de prévoir un mode permettant de désactiver facilement l’ensemble des services connectés optionnels.

Privacy by Design ou sécuriser les données dès la conception :

Face aux risques de piratage et de fuites, les professionnels doivent intégrer des mesures de sécurité robustes.

Les données de localisation doivent être chiffrées en transit et au repos.
Les données doivent être cloisonnées par client et par finalité, afin d’adapter les droits d’accès.
Les utilisateurs doivent pouvoir déconnecter leur compte à distance. Les loueurs sont également incités à sensibiliser leurs clients pour qu’ils effacent leurs données personnelles du tableau de bord avant de restituer le véhicule.

L’adoption de ces nouvelles recommandations de la CNIL marque un tournant décisif vers une mobilité connectée plus éthique et respectueuse de la vie privée. En appliquant rigoureusement les principes de minimisation et de Privacy by Design, les professionnels de l’automobile et de la location ne se contentent pas seulement d’éviter de lourdes sanctions réglementaires, ils instaurent aussi un climat de confiance indispensable avec leurs utilisateurs.

Loin d’être un frein à l’innovation, la protection des données est un véritable avantage concurrentiel, prouvant que la technologie et les services sur-mesure peuvent parfaitement rimer avec le respect des libertés individuelles.

[1] CNIL, Recommandation relative à l’utilisation des données de localisation des véhicules connectés.

[2] CNIL, Véhicules connectés : la CNIL publie sa recommandation sur l’utilisateur des données de localisation (https://www.cnil.fr/fr/recommandation-vehicules-connectes-localisation).

Partager sur les réseaux

Tiffany Dumas, avocate en droit du numérique et RGPD à Toulon en région PACA

Rédigé par Tiffany dumas Associée

BLog’expert en lien

16 septembre 2026 Par Morgiane Quartana

Une SCCV peut-elle revendre ses terrains sans perdre son régime fiscal ?

Véhicules connectés et RGPD : décryptage des nouvelles recommandations de la CNIL pour les professionnels

Clarification du consentement (Directive ePrivacy) :

Minimisation et limitation de la conservation :

Gérer la confidentialité dans un environnement « multi-utilisateurs » :

Privacy by Design ou sécuriser les données dès la conception :