Data, privacy et cybersécurité des voitures connectées

En juillet 2022, une règle a discrètement modifié les conditions de vente d'une voiture en Europe. Selon le règlement UNECE n° 155, tout constructeur souhaitant obtenir une homologation de type (la licence permettant de vendre un modèle sur un marché) doit prouver qu'il exploite un système de management de la cybersécurité certifié. Pas de certificat, pas d'homologation, pas de vente. Volkswagen aurait retiré plusieurs modèles, dont des versions de la up! et certaines variantes du Transporter, plutôt que de les réingénierer pour se conformer. La réglementation était devenue le gardien de l'accès au showroom.

Une voiture connectée moderne génère et transmet des volumes de données énormes : localisation, comportement de conduite, audio du micro de l'habitacle, identifiants biométriques, jusqu'à des signaux de santé déduits. Cela fait de chaque constructeur une entreprise de data et une entreprise de logiciel, qu'il le veuille ou non. Cette leçon cartographie les quatre forces réglementaires que tout professionnel de l'automobile doit désormais comprendre.

UNECE R155 : la cybersécurité comme condition d'accès au marché

UNECE désigne la Commission économique des Nations unies pour l'Europe. Elle anime le Forum mondial de l'harmonisation des règlements sur les véhicules, qui fixe des règles adoptées dans l'UE, au Royaume-Uni, au Japon, en Corée du Sud et dans une soixantaine de pays signataires. Les États-Unis ne sont pas signataires, donc R155 ne s'applique pas directement aux ventes américaines.

R155 impose aux constructeurs d'exploiter un Cyber Security Management System (CSMS) : un processus documenté et audité d'identification et de gestion des risques cyber sur tout le cycle de vie du véhicule, de la conception au démantèlement.

En pratique, cela signifie :

• Maintenir une analyse de risque pour chaque type de véhicule et l'actualiser à mesure que de nouvelles menaces apparaissent.
• Surveiller les attaques sur le terrain et être capable de réagir (un Vehicle Security Operations Center, ou VSOC).
• Gérer les risques liés aux fournisseurs. Une seule puce d'infodivertissement non sécurisée peut invalider l'homologation entière.

Depuis juillet 2024, R155 **s'applique à *tous* les véhicules neufs produits pour ces marchés, et pas seulement aux modèles nouvellement homologués**. La norme d'ingénierie que la plupart des constructeurs utilisent pour s'y conformer est ISO/SAE 21434, le socle d'ingénierie cybersécurité du secteur.

Pourquoi cela redessine les relations fournisseurs

Un constructeur ne peut pas certifier un CSMS s'il ne peut pas se porter garant de sa supply chain. Les fournisseurs de rang 1 (fournisseurs directs de composants comme Bosch ou Continental) et de rang 2 font donc désormais face à des obligations contractuelles de cybersécurité qui descendent de l'OEM (Original Equipment Manufacturer, la marque qui construit la voiture). La conformité est devenue une exigence achats, pas seulement un sujet IT.

UNECE R156 : encadrer les mises à jour over-the-air

Les voitures reçoivent aujourd'hui du logiciel comme les téléphones. Tesla a popularisé la pratique ; presque tous les OEM livrent désormais des mises à jour over-the-air (OTA), des correctifs logiciels envoyés à distance aux véhicules en circulation.

Cela crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →ée un risque nouveau : une mise à jour défectueuse ou malveillante pourrait désactiver les freins sur une flotte entière. Le règlement UNECE R156 encadre cela en exigeant un Software Update Management System (SUMS).

R156 impose aux constructeurs de :

• Tenir un registre vérifiable du logiciel embarqué sur chaque véhicule (quelle version tourne sur quelle voiture).
• Garantir que les mises à jour sont authentiques et protégées en intégrité, pour que des attaquants ne puissent pas en injecter de fausses.
• Confirmer qu'une mise à jour ne compromettra pas la sécurité, et que le conducteur est informé quand c'est nécessaire.
• Préserver l'homologation de type, puisqu'un changement logiciel peut juridiquement modifier le véhicule. R156 a introduit la notion de numéro d'identification du logiciel afin que les régulateurs puissent suivre les configurations approuvées.

Un exemple concret : si une mise à jour OTA modifie le comportement du freinage d'urgence automatique, elle touche un système lié à la sécurité. Sous R156, le constructeur doit documenter le changement, le valider et s'assurer que le véhicule correspond toujours à son type homologué.

🎬 [VIDEO: "UN Regulation No. 155 and No. 156 explained" - youtube.com - une introduction sectorielle claire sur l'articulation des deux règlements pour les véhicules connectés]

GDPRGDPRRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → : la voiture comme appareil d'une personne concernée

Le General Data Protection Regulation (GDPR) est la loi européenne globale sur la privacy, appliquée par les autorités nationales de protection des données (DPA). Il s'applique à toute donnée personnelle de personnes situées dans l'UE, et les voitures connectées en produisent un flot.

Le Comité européen de la protection des données (l'organe qui coordonne l'application du GDPR) a publié des lignes directrices spécifiques sur les véhicules connectés posant des points clés que les constructeurs ne peuvent ignorer :

• Les données de localisation sont sensibles. Une géolocalisation continue peut révéler le domicile, le lieu de travail, les lieux de culte et les visites médicales.
• Le consentement doit être réel. Les cases précochées et le « acceptez tout pour démarrer le moteur » ne comptent pas.
• Minimisation des données. Traiter les données dans le véhicule quand c'est possible, plutôt que de tout envoyer vers le cloud.

Les amendes GDPR peuvent atteindre le montant le plus élevé entre 20 millions d'euros et 4 % du chiffre d'affaires annuel mondial. Pour un grand OEM, cela représente une exposition de plusieurs milliards d'euros, raison pour laquelle l'ingénierie de la privacy est désormais intégrée au processus de conception du véhicule.

Exemple chiffré : dimensionner une amende GDPR

Ceci est illustratif, pas une prédiction. Supposons qu'un OEM au chiffre d'affaires annuel mondial de 100 milliards d'euros commette une infraction du niveau maximal.

Fine ceiling = max(20,000,000 euros, 4% of global revenue)
4% of 100,000,000,000 euros = 4,000,000,000 euros
Fine ceiling = 4,000,000,000 euros (the 4% figure dominates)

L'idée : pour les grands constructeurs, c'est le plafond en pourcentage du chiffre d'affaires, et non les 20 millions forfaitaires, qui fixe le vrai plafond. Les régulateurs imposent rarement le maximum, mais cette exposition discipline les comportements.

Lois de privacy des États américains : une mosaïque, pas une règle fédérale

Les États-Unis n'ont pas de loi fédérale unique sur la privacy équivalente au GDPR en 2026. Les constructeurs font face à une mosaïque croissante de lois d'États. La plus influente est le California Consumer Privacy Act (CCPA), étendu par le California Privacy Rights Act (CPRA) et appliqué par la California Privacy Protection Agency (CPPA).

Exigences clés qui touchent les voitures connectées :

• Les consommateurs peuvent accéder à leurs données personnelles, les supprimer et s'opposer à leur vente ou leur partage.
• La géolocalisation précise et les données biométriques sont traitées comme des « sensitive personal information », avec des restrictions supplémentaires.
• La CPPA a publiquement signalé son attention aux pratiques de données des véhicules connectés, en ouvrant un examen des constructeurs et de leurs data brokers.

Plus d'une douzaine d'États, dont la Virginie, le Colorado, le Texas et d'autres, ont adopté leurs propres lois globales sur la privacy, chacune avec des définitions et des droits des consommateurs légèrement différents. Un constructeur vendant à l'échelle nationale doit se conformer à la règle applicable la plus stricte, ce qui signifie en pratique concevoir selon un standard « Californie et au-delà ».

Le problème de partage de données que les régulateurs surveillent

Un rapport Mozilla de 2023 concluait, de façon restée célèbre, que toutes les grandes marques automobiles examinées collectaient des données excessives, et que beaucoup se réservaient le droit de les partager ou de les vendre. En 2024, des enquêtes ont révélé que certains constructeurs avaient partagé des données de comportement de conduite avec des data brokers, qui alimentaient ensuite les assureurs, entraînant dans certains cas une hausse des primes sans consentement clair. Cela a déclenché des enquêtes réglementaires et des poursuites.

La leçon pour les professionnels : les stratégies de monétisation des données qui ignorent le consentement sont désormais un risque juridique et réputationnel, pas une opportunité de revenus.

Comment ces régimes s'empilent en pratique

Un même modèle connecté vendu en Europe et aux États-Unis fait face à des obligations qui se superposent :

Ces régimes ne se remplacent pas. Un OEM doit satisfaire simultanément tous ceux qui s'appliquent à un véhicule et à un marché donnés. Une voiture destinée au marché américain échappe à R155 et R156 mais reste soumise aux lois de privacy des États. Une voiture européenne fait face aux quatre si elle traite des données personnelles.

La conséquence organisationnelle

La conformité traverse maintenant des fonctions autrefois séparées : ingénierie (conception sécurisée), juridique (mentions d'information et consentement), achats (obligations fournisseurs) et opérations (le VSOC qui surveille la flotte). Beaucoup d'OEM ont créé des rôles dédiés, comme un Vehicle Cybersecurity Officer, pour porter les preuves de conformité R155 et R156, puisqu'un certificat expiré peut arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êter la production.

Points clés

• La réglementation est désormais une porte d'entrée sur le marché, pas un sujet secondaire. Sans CSMS certifié (R155) et SUMS (R156), les constructeurs n'obtiennent pas l'homologation de type pour vendre en Europe et dans plus de 60 pays UNECE.
• Les mises à jour OTA sont du logiciel juridiquement encadré. Sous R156, une mise à jour à distance qui touche un système de sécurité peut affecter l'homologation de type et doit être suivie, validée et authentifiée.
• L'exposition privacy est quantifiable et élevée. Les amendes GDPR sont plafonnées au montant le plus élevé entre 20 millions d'euros et 4 % du chiffre d'affaires mondial, soit des milliards pour les grands OEM.
• Les États-Unis sont une mosaïque. Aucune loi fédérale n'existe en 2026, les constructeurs conçoivent donc de fait selon le standard d'État le plus strict, souvent celui de la Californie, et le partage de données sans consentement avec des brokers est aujourd'hui sous surveillance active.
• La conformité est transverse. Respecter ces règles exige que l'ingénierie, le juridique, les achats et un security operations center en fonctionnement travaillent ensemble, avec une responsabilité claire sur les preuves d'audit.