Votre voiture envoie probablement toutes vos données à Google, Meta et Amazon

Vingt et une voitures récentes, trente applis de constructeurs, et une conclusion qui pique : presque tout ce petit monde arrose les géants de la pub avec vos données, position comprise. Démonstration mesurée, chiffres à l’appui.

Des chercheurs de la Northeastern University ont ausculté, avec l’organisation américaine Consumer Reports, les flux sortants de 21 véhicules de 19 marques (millésimes 2022 à 2025) et de 30 applications de constructeurs. L’échantillon couvre l’essentiel du marché américain, de Tesla à Ford en passant par Toyota, Honda, Nissan, Volvo ou Mercedes. Leur méthode tient de l’écoute téléphonique légale : rediriger le trafic des voitures et des applis vers des réseaux qu’ils contrôlent, puis regarder qui reçoit quoi. Les flux des véhicules eux-mêmes voyageaient chiffrés, ceux des applications ont pu être déchiffrés sur les téléphones des chercheurs et ont livré l’essentiel des découvertes. Les résultats complets seront présentés à la conférence ACM de Karlsruhe, du 12 au 16 octobre.

Vingt-huit applis sur trente prises la main dans le sac

28 des 30 applications testées expédient des données vers au moins une société de publicité ou de mesure d’audience. Sept d’entre elles vont plus loin et transmettent le nom du propriétaire, sa position précise et le numéro d’identification du véhicule, la carte d’identité gravée dans le châssis. Les applications maison de General Motors (myChevrolet, myCadillac, myBuick, myGMC) figurent parmi les programmes décortiqués, aux côtés de HondaLink ou de MyNissan. La liste des destinataires ressemble à un annuaire de la tech américaine : Amazon, Google, Meta, Microsoft, Pinterest, Snap, Yahoo et Reddit y côtoient des spécialistes de la mesure d’audience comme Amplitude ou le français Contentsquare. La quasi-totalité des constructeurs envoient par ailleurs des données vers des sociétés tierces depuis le véhicule lui-même.

« Des entreprises qui n’ont rien à voir avec le fonctionnement de la voiture obtiennent des informations sur vous, sur le modèle que vous conduisez, et parfois votre position GPS », résume David Choffnes, qui a dirigé l’étude. Confronté aux résultats, Honda a demandé à son prestataire Amplitude d’effacer toutes les positions reçues, puis a coupé le robinet. General Motors, Honda, Nissan et Stellantis assurent que certains de leurs prestataires ont interdiction d’exploiter ou de revendre ces données pour leur propre compte. Les sociétés destinataires contactées par les chercheurs n’ont, elles, rien répondu.

Quand Tesla menace d’immobiliser la voiture

Le conducteur qui décline les conditions de partage chez Tesla reçoit un avertissement dénué d’ambiguïté : son véhicule s’expose à « des fonctionnalités réduites, des dommages sérieux, voire une immobilisation ». En France, la CNIL a balisé ce terrain le 30 juin 2026 avec sa recommandation sur les véhicules connectés. Le texte impose le consentement pour toute utilisation des données de localisation, hors service expressément demandé par le conducteur. Les pratiques documentées outre-Atlantique cocheraient peu de cases de ce cadre. L’étude porte toutefois sur des véhicules et des applis en version américaine. Les déclinaisons européennes des mêmes services, soumises au RGPD, peuvent se comporter autrement, un point que les chercheurs n’ont pas mesuré.