Voitures connectées : 28 applis automobiles sur 30 partagent les données des conducteurs

La plupart des applis que les constructeurs automobiles fournissent à leurs clients envoient des données à des sociétés de publicité et d'analyse, selon une étude de la Northeastern University et de Consumer Reports. Les chercheurs ont testé 30 applis de constructeurs, et 28 ont envoyé des données à au moins une société extérieure de publicité ou d'analyse. Sept ont envoyé des informations personnelles, comme le VIN d'une voiture, le nom du propriétaire ou la position précise du véhicule. La voiture entre ainsi dans le même système de pistage que les téléphones et les sites web, avec moins de moyens pour les propriétaires de le désactiver.

Le VIN, ou numéro d'identification du véhicule (vehicle identification number), est le code qui identifie une voiture précise. Associé à un nom ou à une position, il peut relier des données de conduite à une personne réelle.

Ce que les chercheurs ont testé

L'équipe a étudié 21 véhicules de 19 marques, des millésimes 2022 à 2025, selon le site du projet de l'étude. Elle a aussi testé 30 applis compagnons, les applis mobiles que les propriétaires utilisent pour déverrouiller, localiser ou démarrer leur voiture. Les travaux se sont déroulés d'octobre 2024 à août 2025 à l'Auto Test Center de Consumer Reports, dans le Connecticut.

Parmi les marques testées figuraient Tesla, Ford, Toyota, Honda, Nissan, BMW, Mercedes-Benz, Rivian, Lucid, Cadillac, Buick, Lincoln et Land Rover, rapporte Auto Connected Car News.

L'article s'intitule « Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem » (étude empirique de la confidentialité des données dans l'écosystème des véhicules connectés). Il a été évalué par des pairs. Neuf chercheurs de la Northeastern University le présenteront à l'ACM Internet Measurement Conference à Karlsruhe, en Allemagne, du 12 au 16 octobre 2026.

Ce que les voitures et les applis ont envoyé

Les chercheurs ont observé le trafic réseau qui sortait de chaque voiture et de chaque appli pour voir où il allait. Les principaux résultats :

Constat	Résultat
Applis envoyant des données à une société de publicité ou d'analyse	28 sur 30
Applis envoyant des informations personnelles à une société extérieure	7 sur 30
Voitures contactant au moins un tiers en Wi-Fi	19 sur 21
Données personnelles observées	VIN, noms, adresses e-mail, numéros de téléphone, positions précises

Les voitures elles-mêmes laissaient aussi fuiter des données. Dix-neuf des 21 véhicules ont contacté au moins un tiers en Wi-Fi, y compris des domaines connus de publicité et de pistage, indique le site du projet.

Les données sont parties vers des noms familiers. Consumer Reports cite Amazon, Google, Meta, Microsoft, Pinterest, Snap, Yahoo et Reddit parmi les destinataires. Auto Connected Car News ajoute Adobe, ContentSquare, LexisNexis Risk Solutions et Verisk Analytics.

Tesla s'est démarqué. Ses Model 3 et Cybertruck ont envoyé des données au plus grand nombre de domaines de publicité et d'analyse, a constaté Consumer Reports.

Comment les constructeurs ont réagi

Plusieurs entreprises ont affirmé que les données qu'elles partagent sont limitées. General Motors, Honda, Nissan et Stellantis ont déclaré à Consumer Reports que les sociétés qui les reçoivent sont soumises à des restrictions sur leur utilisation.

Honda est allé plus loin. Après que les chercheurs lui ont transmis leurs résultats, le constructeur a demandé à son prestataire d'analyse, Amplitude, de supprimer les données de localisation qu'il avait reçues, rapporte Consumer Reports.

Comment les données s'échappent

L'essentiel de ce trafic provient de kits de développement logiciel, ou SDK. Ce sont des bibliothèques de code prêtes à l'emploi que les éditeurs d'applis ajoutent pour mesurer l'usage, suivre les plantages ou afficher des publicités. Chaque kit renvoie des données à l'entreprise qui l'a conçu.

Un développeur d'appli peut ajouter un kit pour une seule fonction. Ce kit peut pourtant collecter bien plus que ce dont la fonction a besoin, y compris des identifiants qui renvoient à une personne.

Ce que cela signifie pour les développeurs

Auditez chaque SDK de votre appli. Listez chaque kit tiers, ce qu'il collecte et où il envoie les données. Retirez tout kit dont la fonction ne justifie plus ce qu'il collecte.

N'envoyez jamais d'identifiants aux outils d'analyse. Les VIN, les noms, les e-mails et les positions précises n'ont rien à faire dans un événement d'usage. Hachez-les ou supprimez-les avant que du code tiers ne les voie, et arrondissez les positions à une ville ou une région.

Testez votre propre trafic. Les chercheurs ont trouvé ces fuites en observant ce qui sortait de chaque appareil. Faites la même vérification sur votre appli avant chaque version, et comparez les destinations avec votre politique de confidentialité.

Attendez-vous à un examen plus serré des voitures connectées. Une étude évaluée par des pairs et soutenue par Consumer Reports donne aux régulateurs et aux avocats des marques nommées et des chiffres. Les équipes qui conçoivent des logiciels pour l'automobile, les flottes ou l'assurance doivent être prêtes à expliquer chaque flux de données.

Les acheteurs de flottes devraient aussi poser des questions. Les entreprises qui gèrent des flottes de véhicules peuvent demander aux constructeurs quelles sociétés extérieures reçoivent des données de la voiture et de son appli, et comment désactiver ce partage.