Mener l'audit privacy et data : une checklist opérationnelle

Une voiture connectée moderne génère environ 25 gigaoctets de données par heure (chiffre largement repris dans les sources sectorielles, en ordre de grandeur, pas exact). Pings GPS, activations du micro de l'habitacle, pression de freinage, images de la caméra tournée vers le conducteur. Imaginez maintenant un régulateur qui pose à votre OEM (Original Equipment Manufacturer, le constructeur) une question simple : « Montrez-moi tous les endroits où la localisation de ce véhicule a été stockée, qui a consenti, et quand vous l'avez supprimée. » Si vous ne pouvez pas répondre en une semaine, vous avez un problème. Cette leçon vous guide dans l'audit qui trouve ce problème avant les autres.

Pourquoi cet audit existe

Les données de véhicules connectés sont aujourd'hui très encadrées. Les principaux textes que vous devez savoir nommer :

• RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (Règlement général sur la protection des données, UE) : s'applique à toute donnée personnelle de conducteurs européens. La localisation et les données d'habitacle sont des données personnelles. Les amendes vont jusqu'à 4 % du chiffre d'affaires annuel mondial.
• CCPA/CPRA (California Consumer Privacy Act, amendé par le California Privacy Rights Act) : donne aux résidents californiens le droit de savoir, de supprimer et de s'opposer à la vente de leurs données.
• Les lignes directrices 01/2020 de l'EDPB sur les véhicules connectés, qui traitent explicitement des données de localisation, biométriques et télématiques. À lire ici : lignes directrices EDPB véhicules connectés.

En 2023, les régulateurs américains et la presse se sont durement penchés sur les constructeurs qui partageaient des données de comportement de conduite avec des data brokers et des assureurs, parfois sans consentement clair. C'est exactement le mode de défaillance que cet audit détecte.

Quelques termes clés avant de commencer :

• PII (Personally Identifiable Information) : donnée qui identifie une personne. Un VIN (Vehicle Identification Number) rattaché à un propriétaire est une PII.
• Data lineageData lineageLe data lineage cartographie les déplacements et transformations de la donnée à travers les systèmes, de l'origine à la consommation : d'où elle vient, ce qui l'a modifiée, et où elle va.Voir la définition complète → : le chemin documenté d'une donnée depuis son origine (un capteur) jusqu'à chaque stockage et chaque usage en aval.
• Rétention : la durée pendant laquelle vous conservez la donnée avant suppression.
• Consentement : un accord spécifique, informé et librement donné pour une finalité de traitement définie.

Le pipelinepipelineL'ensemble des opportunités commerciales actives réparties selon les étapes du processus de vente, avec leur valeur potentielle cumulée et leur probabilité de conclusion.Voir la définition complète → que vous auditez

Imaginez un pipeline télématique classique :

Capteurs du véhicule vers gateway embarquée vers ingestion cloud vers data lakedata lakeUn data lake est un référentiel centralisé qui stocke de grands volumes de données brutes dans leur format d'origine, des tables structurées aux fichiers non structurés, jusqu'à ce qu'on en ait besoin.Voir la définition complète → vers analytics/ML vers partage avec des tiers (concessionnaires, assureurs, partenaires cartographiques).

Votre travail consiste à parcourir ce pipeline et à confronter chaque étape à trois modes de défaillance : collecte sans consentement, sur-rétention et lineage manquant.

Étape 1 : construire l'inventaire des données

Vous ne pouvez pas auditer ce que vous ne voyez pas. Commencez par un inventaire complet des données qui circulent dans le pipeline.

Pour chaque donnée, notez : capteur source, catégorie de donnée, caractère PII ou non, base de consentement, durée de rétention et chaque lieu de stockage.

Une ligne d'inventaire minimale ressemble à ceci :

Les cases « ??? » sont précisément là où les audits trouvent des amendes. Dans notre exemple, les événements de freinage brusque partent vers un assureur mais la base de consentement n'est pas documentée. Signalez-le.

Étape 2 : tracer les données de localisation de bout en bout

La localisation est la catégorie la plus à risque dans les véhicules connectés. L'EDPB considère la géolocalisation précise comme particulièrement sensible parce qu'elle révèle le domicile, le lieu de travail et les habitudes.

Faites ce contrôle : prenez un VIN et suivez ses données GPS à travers tous les systèmes.

Posez-vous ces questions :

• La localisation a-t-elle été collectée uniquement pour une finalité acceptée par le conducteur (par exemple la navigation) ?
• A-t-elle fui vers une finalité non acceptée par le conducteur (par exemple un modèle marketing ou un flux vers un broker) ?
• Est-elle conservée plus longtemps que la finalité déclarée ne l'exige ?

Une requête pratique sur votre event store pour repérer des données de localisation qui traînent dans le mauvais topic :

-- Find location fields present in topics that should not carry them
SELECT topic_name, field_name, COUNT(*) AS records
FROM data_catalog_fields
WHERE field_name IN ('gps_lat', 'gps_long', 'geohash')
  AND topic_name NOT IN ('navigation_service', 'emergency_ecall')
GROUP BY topic_name, field_name
ORDER BY records DESC;

Si marketing_events ou partner_export apparaît dans les résultats, vous avez trouvé un logging de localisation sans consentement. C'est de loin le constat le plus fréquent dans les audits réels.

Étape 3 : confronter le consentement à la réalité

Un consentement sur le papier n'est pas un consentement dans le pipeline. Vérifiez que le système technique respecte bien ce que le conducteur a choisi.

Test concret : crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éez un compte de test, refusez (opt-out) le partage de localisation dans le menu privacy du véhicule, roulez sur un trajet, puis vérifiez si le GPS a quand même atterri dans le data lake analytique. Si oui, l'application du consentement est cassée.

Pour les conducteurs européens, souvenez-vous de l'exception eCall. Les systèmes d'appel d'urgence obligatoires peuvent collecter la localisation sans consentement, mais uniquement pour la finalité d'urgence. Si cette même localisation eCall alimente un dashboard analytique, il s'agit d'un détournement de finalité illicite.

Étape 4 : auditer la rétention

La sur-rétention consiste à conserver des PII au-delà du point où elles sont utiles ou licites. Les régulateurs attendent un calendrier de rétention défini, documenté et appliqué.

Vérifiez trois choses :

1. Existe-t-il une durée de rétention écrite par catégorie de donnée ?
2. La suppression est-elle réellement automatisée (pas « on supprime sur demande ») ?
3. Les sauvegardes et les copies chez les tiers expirent-elles aussi ?

C'est ce troisième point qui piège. Vous supprimez le GPS du lake au bout de 30 jours, mais un partenaire cartographique le garde deux ans au titre d'un ancien contrat. Sous RGPD, vous restez le responsable de traitement et vous en portez la responsabilité.

Un exemple chiffré rapide

Supposons que vous stockiez du GPS brut pour 10 millions de véhicules, chacun envoyant un ping toutes les 10 secondes, avec une rétention déclarée de 30 jours.

• Pings par véhicule et par jour : 8 640 (6 par minute fois 60 fois 24)
• Sur 30 jours : 259 200 pings par véhicule
• Sur 10 millions de véhicules : environ 2 590 milliards d'enregistrements de localisation vivants à tout instant

Si votre politique dit 30 jours mais que votre lake contient encore des pings d'il y a 90 jours, vous détenez environ 3 fois le volume licite. C'est un constat concret et mesurable que vous pouvez présenter à un régulateur ou à votre propre conseil. (Calcul illustratif, pas une flotte réelle.)

Étape 5 : vérifier le data lineage

Un lineage manquant est la défaillance qui rend tous les autres problèmes impossibles à corriger. Si vous ne pouvez pas retracer d'où vient une donnée et où elle est allée, vous ne pouvez pas honorer une demande de suppression, prouver un consentement, ni cadrer une violation de données.

Pour chaque donnée PII, il vous faut une chaîne traçable : capteur vers gateway vers topic vers table vers export.

Des outils comme OpenLineage ou un data catalogdata catalogUn inventaire centralisé des actifs de données d'une organisation, enrichi de métadonnées, qui aide chacun à trouver, comprendre et faire confiance aux données dont il a besoin.Voir la définition complète → (Collibra, Alation, ou des alternatives open source) capturent cela. Mais le test d'audit est simple : choisissez un conducteur, déposez une Data Subject Access Request (DSAR, le droit légal d'accéder à ses propres données) et chronométrez le temps nécessaire pour rassembler chaque copie de ses données. Si cela dépasse le délai légal (le RGPD impose une réponse sous un mois), votre lineage est insuffisant.

Étape 6 : contrôler le partage avec les tiers

L'examen de 2023 sur les constructeurs portait exactement là-dessus : des données de conduite qui partent vers des brokers et des assureurs. Pour chaque flux sortant, vérifiez :

• Qu'un accord de traitement des données signé existe.
• Que les champs partagés correspondent à ce que couvre le consentement (pas question de glisser VIN plus localisation dans un flux « diagnostics »).
• Que la rétention du partenaire est alignée sur la vôtre.

Documentez honnêtement le rapport de force. Les grands OEM (Toyota, Volkswagen, GMGMLa marge brute est la part du chiffre d'affaires qui reste après déduction du coût direct de production des biens ou services, exprimée en pourcentage du chiffre d'affaires.Voir la définition complète →, Ford, Stellantis) sont au centre ; les fournisseurs cartographiques (Google, HERE), les assureurs et les data brokers tirent les données vers l'extérieur. Vous, responsable de traitement, portez la responsabilité quelle que soit la taille du partenaire.

Étape 7 : rédiger les constats

Un audit ne vaut rien sans une liste de constats hiérarchisée. Notez chaque problème selon l'exposition réglementaire et la probabilité, et attribuez un propriétaire et une échéance. Exemple :

• Critique : GPS dans partner_export sans base de consentement. Propriétaire : responsable de la data platform. Correction en 14 jours.
• Élevé : rétention non appliquée sur les sauvegardes. Propriétaire : Infra. Correction en 30 jours.
• Moyen : l'assemblage d'une DSAR prend 6 semaines. Propriétaire : Gouvernance. Correction en 60 jours.

Points clés à retenir

• Commencez chaque audit par un inventaire complet des données ; les cases vides (consentement inconnu, rétention inconnue) sont là où se cachent les amendes.
• La localisation est la catégorie la plus à risque dans les véhicules connectés ; tracez un VIN de bout en bout et prouvez qu'il n'est jamais entré dans un stockage non consenti.
• Testez le consentement et la rétention sur le pipeline en production, pas sur le document de politique ; faites un opt-out avec un compte de test et confirmez que la donnée s'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →ête réellement.
• La sur-rétention est mesurable ; comparez la rétention déclarée à l'âge réel des données et quantifiez l'excédent.
• Si une DSAR prend plus d'un mois à traiter, votre lineage est cassé, et tous les autres contrôles sont inapplicables.