Une étude menée par Northeastern University avec Consumer Reports montre que les applications mobiles liées aux voitures connectées continuent de partager des informations avec des acteurs de la publicité et de l’analytics. Les chercheurs ont observé des transmissions vers des tiers dans 28 applications sur 30 testées.
Des flux vers des acteurs de la publicité et de l’analytics
Le sujet n’est pas totalement nouveau, mais l’étude apporte cette fois des éléments mesurés. Les chercheurs de Northeastern University, en partenariat avec Consumer Reports, ont analysé 21 véhicules et 30 applications mobiles de constructeurs automobiles afin de voir quelles données quittaient réellement l’écosystème de la voiture.
Leur constat ne laisse pas de place au doute puisque ce sont 28 applications sur 30 qui contactaient au moins une société tierce spécialisée dans la publicité ou l’analyse de données. Parmi les destinataires repérés figurent notamment Amazon, Google, Meta et Microsoft. Dans 7 cas, les chercheurs disent avoir observé l’envoi d’au moins une donnée permettant d’identifier directement l’utilisateur, comme un nom, un e-mail, un VIN ou une localisation précise. Le débat ne porte plus seulement sur ce que promettent ou non les politiques de confidentialité, mais sur des échanges effectivement observés.
Une méthodologie qui va au-delà de la lecture des politiques de confidentialité
L’intérêt du travail tient justement à sa méthode. Les chercheurs n’ont pas seulement comparé des documents juridiques. Ils ont aussi capturé le trafic réseau des applications et des véhicules, parfois dans une tente de Faraday, afin d’isoler les communications et de mieux repérer les flux de données. Cette approche permet de documenter ce qui est effectivement transmis, même si elle ne dit pas toujours avec certitude comment chaque partenaire tiers réutilise ensuite les informations reçues. Consumer Reports rappelle d’ailleurs que la chaîne de traitement devient vite difficile à suivre une fois les données sorties de l’environnement du constructeur.
Cela explique aussi pourquoi ces flux posent un problème de gouvernance. Une voiture connectée ne se résume plus à un objet industriel ; elle devient un point d’entrée vers tout un écosystème d’applications, de comptes utilisateurs, de services cloud et de partenaires externes.
Une première réaction chez Honda
Les effets de cette étude n’ont pas mis longtemps à se faire sentir. Honda a indiqué à Consumer Reports avoir demandé à l’un de ses prestataires de supprimer des données de localisation précédemment collectées et a modifié son application afin qu’elle ne transmette plus ce type d’information de la même manière. Ce point est important, parce qu’il montre que le sujet ne relève pas seulement d’une critique générale des voitures connectées mais de pratiques suffisamment concrètes pour conduire, au moins dans certains cas, à des ajustements techniques.
Pour les entreprises comme pour les particuliers, le sujet dépasse d’ailleurs la seule question du confort ou des services embarqués. À mesure que les véhicules deviennent des plateformes logicielles, la maîtrise des données qu’ils collectent, croisent et transmettent s’impose de plus en plus comme une question de sécurité, de conformité et de confiance.
