28 applis de voiture sur 30 alimentent des régies publicitaires, 5 y joignent le VIN

Décryptage

Vous avez installé l’appli de votre voiture pour verrouiller les portes depuis le canapé. Sur 30 applications de constructeurs automobiles testées aux États-Unis, 28 ont envoyé des données à des régies publicitaires ou d’analytics (Northeastern University et Consumer Reports, 29 septembre 2026). Sept d’entre elles ont transmis à des sociétés tierces le numéro de série du véhicule, associé à une adresse e-mail ou à une position précise. Cinq l’ont fait vers des pisteurs publicitaires identifiés comme tels.

L’étude s’intitule « Automatic Transmission ». Elle a passé au crible 21 véhicules récents de 19 marques et 30 applications compagnons, d’octobre 2024 à août 2025. Les destinataires portent des noms familiers : Alphabet, Amazon, Meta, Microsoft, Pinterest, Snap, Yahoo et Reddit, parmi des dizaines d’autres, d’après le relevé de Consumer Reports, partenaire des essais.

Ce que l’appli ajoute à la voiture

19 des 21 véhicules testés ont contacté au moins un tiers par Wi-Fi, domaines de publicité et de pistage compris, avant toute installation d’application. Apparier l’appli au véhicule a ensuite à peu près doublé cette exposition, en ajoutant parfois plus de vingt pisteurs.

Le relevé identifie des numéros de série de véhicule, des adresses e-mail, des numéros de téléphone et des positions précises. Transmettre plusieurs de ces types au même tiers permet de « construire des profils approfondis sur les consommateurs », écrivent les auteurs. Deux applications sur 30 n’ont rien envoyé à ces sociétés.

Une application grand public embarque des kits logiciels fournis par des tiers : les uns comptent les écrans vus et les plantages, c’est l’analytics ; les autres servent à vendre et à cibler de la publicité, c’est la régie. Chaque ouverture de l’appli peut déclencher un envoi vers ces kits. Quand l’application est aussi celle qui connaît votre compte et votre voiture, ces kits reçoivent plus qu’un numéro d’appareil.

Les quatre comptages du panel se rapportent tous aux mêmes 30 applications.

Marque par marque, ce que le relevé indique

Sept applications ont transmis un numéro de série de véhicule associé à une adresse e-mail ou à une position : myCadillac, myChevrolet, myBuick et myGMC chez General Motors, puis HondaLink, MyNissan et l’application Lincoln. Quatre des sept appartiennent au même groupe, General Motors. myGMC et Lincoln concernent des marques dont aucun véhicule ne figurait dans le panel de 21.

Dans cinq cas sur trente, ce couple entre numéro de série et donnée personnelle est parti vers des sociétés identifiées comme pisteurs, précise la page de l’étude.

Cinq véhicules ont contacté le plus grand nombre de sociétés de publicité et d’analytics, selon Consumer Reports : les Cadillac Lyriq, Chevrolet Blazer, Lucid Air, Tesla Model 3 et Tesla Cybertruck. Le tableau replace ces deux listes dans le panel complet.

Le panel couvre 19 marques pour 14 groupes industriels. La décision d’installer l’appli se prend donc marque par marque.

Pourquoi le numéro de série change la nature de la fuite

Le VIN est à la voiture ce que le numéro de série est à un téléphone. Il ne bouge pas quand vous changez d’adresse e-mail ou d’opérateur. Il figure sur le certificat d’immatriculation, donc il est rattaché à un nom.

Une adresse e-mail se remplace ; les 17 caractères du VIN ne changent pas. Un VIN collé à une adresse e-mail fabrique une clé stable, réutilisable d’un service à l’autre, et c’est ce couplage que l’étude mesure.

General Motors, Honda, Nissan et Stellantis ont répondu que certains destinataires sont contractuellement empêchés d’exploiter ou de revendre ces données pour leur compte. Pour les chercheurs, ces restrictions ne sont pas forcément efficaces. Honda a demandé à son prestataire Amplitude de supprimer les données de localisation après avoir pris connaissance des résultats.

« Il ne semble pas qu’un client puisse acheter une voiture neuve qui ne le suive pas. »

Sarah Elizabeth Gillespie, coautrice de l’étude (Northeastern University)

Ce que la CNIL encadre depuis le 30 juin 2026

La CNIL a publié le 30 juin 2026 sa recommandation sur la localisation des véhicules connectés. Elle tient en trois axes : limiter les données collectées, limiter leur durée de conservation, mieux informer les utilisateurs. Le consentement est requis pour les services connectés optionnels, et il peut être retiré.

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, et leur récupération dans un format exploitable. La CNIL ajoute une règle simple : les données ne doivent pas être collectées « au cas où » un usage futur se présenterait.

Le cadre européen se resserre aussi sur l’équipement lui-même. La caméra obligatoire des voitures neuves surveille le regard du conducteur depuis le 7 juillet 2026, sur chaque modèle vendu dans l’Union.

Mozilla avait posé le diagnostic en 2023, après examen de 25 marques pour son label Privacy Not Included : l’automobile y était décrite comme la pire catégorie de produits jamais testée pour la vie privée. Trois ans plus tard, le relevé de Northeastern nomme les destinataires et chiffre les envois, véhicule par véhicule.

Trois réglages qui changent quelque chose

Le choix d’installer l’application vous revient, et il ne se joue pas de la même façon selon la marque. Trois réglages font l’essentiel, et ce sont ceux qui servent déjà à reprendre la main sur vos autres appareils.

Les auteurs présenteront « Automatic Transmission » à Karlsruhe, du 12 au 16 octobre 2026.

Article créé en collaboration avec l’IA.