En bref
- Réglementation : RGPD.
- Constructeurs et fournisseurs de services embarqués sont concernés comme responsables ou co-responsables.
- Répartir les rôles.
- Fonder chaque traitement.
- Encadrer la géolocalisation.
- Amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial.
Échéances réglementaires
Les dates clés de cette réglementation.
Mai 2018
Entrée en application
En vigueurDe quoi parle RGPD ?
Le RGPD s’applique à toutes les données rattachables au conducteur ou au propriétaire : localisation, habitudes, diagnostics liés à une personne. La multiplicité des acteurs (constructeur, fournisseurs de services connectés, assureurs) impose de clarifier les rôles de responsable, co-responsable et sous-traitant.
La géolocalisation, en raison de sa sensibilité, appelle une base légale solide et une information renforcée.
Le secteur « Automobile » est-il concerné ?
Constructeurs et fournisseurs de services embarqués sont concernés comme responsables ou co-responsables. Les tiers accédant aux données (assureurs, réparateurs via le Data Act) le sont pour leurs propres traitements.
Le Data Act ouvre l’accès aux données ; le RGPD en encadre l’usage lorsque ces données sont personnelles.
Obligations détaillées
Répartir les rôles
Clarifier, entre constructeur, fournisseurs de services et tiers, qui est responsable, co-responsable ou sous-traitant.
Fonder chaque traitement
Définir une base légale par finalité (diagnostic, services connectés, amélioration produit) et informer clairement.
Encadrer la géolocalisation
Traiter la localisation avec une vigilance particulière : minimisation, information, contrôle par l’utilisateur.
Maîtriser les durées
Appliquer des durées de conservation adaptées aux différentes données du véhicule.
Sécuriser
Mettre en œuvre chiffrement, contrôle d’accès et sécurité des flux entre véhicule et serveurs.
Sanctions & risques
Amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial. La géolocalisation et le profilage des conducteurs font l’objet d’une vigilance particulière des autorités.
Une collecte excessive de données du véhicule, sans base légale ni information claires, est un risque majeur du secteur.
Erreurs fréquentes dans le secteur
- 1Collecte excessive. Collecter plus de données que nécessaire depuis le véhicule.
- 2Rôles non clarifiés. Laisser floue la répartition entre acteurs.
- 3Géolocalisation mal encadrée. Traiter la localisation sans base légale ni information adéquates.
- 4Sécurité des flux négligée. Ne pas sécuriser les échanges entre véhicule et serveurs.
Cas pratique
Un service connecté collectait en continu la localisation précise sans information claire ni possibilité de désactivation. Après analyse, le constructeur limite la collecte au nécessaire, informe explicitement le conducteur, lui donne le contrôle de la géolocalisation et clarifie la répartition des rôles avec le fournisseur du service.
Feuille de route de mise en conformité
- 1
Cartographier. Recenser les données du véhicule et leur caractère personnel.
- 2
Clarifier les rôles. Formaliser la répartition responsable / co-responsable / sous-traitant.
- 3
Encadrer la géolocalisation. Définir base légale, information et contrôle utilisateur.
- 4
Définir les durées. Fixer des durées de conservation par finalité.
- 5
Sécuriser. Renforcer la sécurité des flux et des serveurs.
Questions fréquentes
Oui lorsqu’elle est rattachable au conducteur ou au propriétaire ; c’est même l’une des plus sensibles.
Passez à l'action sur RGPD
Diagnostic gratuit ou échange avec un expert dédié aux automobile.
Ils nous font déjà confiance
Découvrez comment des organisations du secteur automobile ont sécurisé leur conformité avec DCO.