Garage connecté et données véhicule : accès, droits et consentement

La voiture moderne est devenue un véritable nœud de données. Chaque trajet, chaque anomalie, chaque intervention génère des informations stockées dans les calculateurs du véhicule. Pour un garage connecté, accéder à ces données représente un levier opérationnel considérable : diagnostics plus précis, entretiens anticipés, relation client renforcée. Mais cet accès ne va pas sans règles. Qui possède réellement ces données ? Jusqu'où peut aller le garage dans leur exploitation ? Quelles obligations pèsent sur lui vis-à-vis du conducteur ? Ce sont des questions concrètes auxquelles tout professionnel de l'atelier doit savoir répondre.

Quelles données le véhicule connecté produit-il ?

Un véhicule récent peut embarquer plusieurs dizaines d'unités de contrôle électronique (ECU) qui enregistrent en continu des paramètres très variés. On distingue généralement trois grandes catégories :

Les données techniques : kilométrage, codes défaut (DTC), pression des pneus, niveau de fluides, état de la batterie haute tension pour les véhicules électrifiés, températures moteur.
Les données comportementales : style de conduite, fréquence de freinage d'urgence, vitesses pratiquées, historique des itinéraires via le GPS embarqué.
Les données d'usage et d'environnement : géolocalisation en temps réel, données de connectivité (appels mains libres, applications synchronisées), interactions avec l'écran central.

Les deux premières catégories intéressent directement le garage pour la maintenance. La troisième touche à la vie privée du conducteur et exige une vigilance particulière sur le plan juridique.

Accès aux données dans un garage connecté : le cadre réglementaire européen

Depuis 2018, le RGPD (Règlement Général sur la Protection des Données) s'applique à toute donnée permettant d'identifier directement ou indirectement une personne physique. Or la géolocalisation d'un véhicule, les habitudes de conduite ou même le VIN croisé avec des informations tierces peuvent constituer des données personnelles au sens du règlement.

En parallèle, le règlement européen sur l'accès aux données des véhicules — inscrit dans les discussions autour du Data Act adopté en 2023 — pose le principe que le propriétaire ou l'utilisateur du véhicule doit pouvoir choisir avec qui il partage ses données et à quelle fin. Les constructeurs automobiles ne peuvent pas se réserver un accès exclusif au détriment des réparateurs indépendants.

Ce principe n'est pas nouveau : le règlement d'exemption par catégorie (REC) de la Commission européenne, révisé en 2023, garantit depuis longtemps aux ateliers indépendants l'accès aux informations techniques nécessaires à la réparation. Ce droit d'accès s'étend désormais aux données embarquées accessibles via les interfaces OBD ou les portails constructeurs dédiés aux professionnels.

Consentement du conducteur : une obligation que le garage ne peut pas ignorer

L'accès technique à une donnée ne suffit pas à légitimer son utilisation. Pour exploiter des données à caractère personnel issues d'un véhicule, le garage doit s'appuyer sur une base légale valide au sens du RGPD. En pratique, trois bases sont mobilisables :

L'exécution du contrat : lire les codes défaut pour réaliser la réparation commandée par le client est pleinement justifié sans formalité supplémentaire.
Le consentement explicite : dès lors que le garage souhaite utiliser des données de géolocalisation ou d'historique de trajet à des fins autres que la réparation immédiate (analyse prédictive, marketing), il doit recueillir un consentement libre, informé et révocable.
L'intérêt légitime : possible mais limité — il ne peut pas justifier un traitement disproportionné au regard des droits du conducteur.

Concrètement, cela signifie que l'ordre de réparation doit évoluer. Il ne peut plus se contenter de lister les travaux : il doit mentionner les données collectées, leur finalité et la durée de conservation. Une case à cocher ne suffit pas si le texte est incompréhensible. La CNIL française recommande une information claire, en langage courant, avant tout traitement.

Durée de conservation, droit d'accès et effacement : ce que le client peut exiger

Un conducteur dispose de droits concrets sur ses données, même une fois la voiture confiée à l'atelier :

Droit d'accès : il peut demander à consulter toutes les données le concernant que le garage détient.
Droit de rectification : corriger une information inexacte.
Droit à l'effacement : obtenir la suppression de données dès lors que leur conservation n'est plus justifiée par une obligation légale (comptabilité, garantie légale).
Droit à la portabilité : récupérer ses données dans un format lisible pour les transmettre à un autre prestataire.

Le garage dispose généralement d'un mois pour répondre à toute demande de ce type. Passé ce délai, il s'expose à une mise en demeure de la CNIL et, en cas de manquement persistant, à des sanctions administratives pouvant atteindre 4 % du chiffre d'affaires mondial de l'entreprise ou 20 millions d'euros.

Bonnes pratiques pour un atelier qui exploite les données véhicule de façon responsable

Gérer la donnée vehicule de façon responsable n'est pas une contrainte supplémentaire : c'est un facteur de confiance et de différenciation. Voici les réflexes à ancrer dans les process de l'atelier :

Tenir un registre des traitements de données, document imposé par le RGPD pour tout responsable de traitement.
Limiter la collecte au strict nécessaire (principe de minimisation) : ne pas aspirer l'intégralité du calculateur si seul un sous-ensemble est pertinent pour la réparation.
Former les techniciens à distinguer données techniques (librement exploitables dans le cadre de la prestation) et données personnelles (soumises à règles).
Sécuriser le stockage : un fichier Excel non protégé contenant des historiques de géolocalisation constitue un risque réel en cas d'audit ou de fuite.
Documenter la provenance des données issues des portails constructeurs, pour justifier la légitimité de l'accès en cas de contrôle.

Questions fréquentes

Un garage indépendant a-t-il le droit d'accéder aux données embarquées sans passer par le constructeur ?

Oui, dans les limites fixées par le REC européen et les réglementations nationales. Les données nécessaires à la réparation et à l'entretien doivent être accessibles aux ateliers indépendants, soit via le port OBD, soit via les portails techniques officiels que les constructeurs sont tenus de mettre à disposition. Le recours au constructeur n'est obligatoire que pour certaines opérations impliquant des accès sécurisés (clés de cryptage, mises à jour de firmware spécifiques).

Le consentement du client suffit-il pour utiliser ses données de conduite à des fins commerciales ?

Le consentement est nécessaire mais pas suffisant à lui seul. Il doit être recueilli avant le traitement, formulé de manière claire, documenté et réellement libre — c'est-à-dire que le refus ne peut pas conditionner la réalisation de la prestation de réparation. Par ailleurs, même avec consentement, le garage reste soumis aux autres principes du RGPD : minimisation, sécurité, durée de conservation limitée.

Que risque un atelier qui ne respecte pas les règles sur les données véhicule ?

Les risques sont de deux ordres. D'abord, un risque juridique direct : plainte d'un client auprès de la CNIL, contrôle, mise en demeure, amende administrative. Ensuite, un risque réputationnel : la presse spécialisée et les réseaux sociaux amplifient rapidement les affaires de violation de données, y compris pour de petites structures. La conformité n'est donc pas réservée aux grandes enseignes — elle s'impose à tout professionnel qui traite, même ponctuellement, des données personnelles dans le cadre de son activité.