Chaque soir, environ 80 % des recharges de véhicules électriques en France se font à domicile. Une wallbox qui tourne, un câble branché, et une application mobile satisfaite de confirmer le plein. Ce que personne n’affiche sur l’écran, c’est la liste de ce qui remonte simultanément vers les serveurs du fabricant.
À retenir
- Votre wallbox sait où vous habitez, quand vous rentrez et quand vous partez
- Une fuite massive de 2024 a révélé des routines quotidiennes détaillées de centaines de milliers de propriétaires
- Trois gestes concrets peuvent réduire drastiquement vos risques d’exposition
Ce que votre borne sait de vous, et transmet
Les bornes de recharge connectées suivent la consommation d’énergie, gèrent les accès, permettent la facturation et assurent une maintenance à distance. Pour remplir ces fonctions, elles collectent bien plus qu’un simple compteur de kilowattheures. Les données remontées incluent des données personnelles (adresse, compte client, identifiants comme les badges), des données de paiement, mais aussi des données d’usage : horaires de recharge, durée des sessions, quantité d’énergie consommée et localisation GPS de la borne.
Ce dernier point est le moins anodin. Une wallbox installée chez vous est, par définition, géolocalisée à votre domicile. Croisée avec vos horaires habituels de recharge, elle dessine en creux un portrait de votre emploi du temps. Ces données sont sensibles car elles peuvent révéler des informations sur vos habitudes, vos déplacements ou même impacter la sécurité de votre parc automobile.
La technologie qui orchestre tout ça a un nom : l’OCPP, pour Open Charge Point Protocol. C’est un protocole ouvert de communication entre les bornes de recharge et les systèmes de gestion centraux. Concrètement, c’est le tuyau permanent par lequel votre borne parle à l’infrastructure cloud du fabricant. Ce cloud rassemble toutes les informations concernant le statut et l’utilisation des bornes pour fournir un service après-vente optimisé et pour gérer les mises à jour à distance. Légitime sur le papier. Mais le périmètre exact de ce qui circule reste rarement explicité dans les conditions d’utilisation que personne ne lit.
Quand les données de recharge en disent trop sur votre vie privée
La subtilité juridique est là : une donnée de recharge isolée ne vous identifie pas forcément. Si la personne est identifiée par un autre biais (cookies, connexion à son espace personnel), les informations de charges deviennent alors des données personnelles. Et dans la pratique, dès lors que vous vous connectez à l’application du fabricant, tout est lié à votre profil.
Le Comité européen de la protection des données ne s’y trompe pas. Ses lignes directrices sur les véhicules connectés précisent que les données de mobilité “peuvent éventuellement révéler des informations sensibles comme la religion, par l’intermédiaire du lieu de culte, ou l’orientation sexuelle, par l’intermédiaire des lieux fréquentés.” Ajoutez à cela les fréquents établissements de soins, et vous comprendrez pourquoi la CNIL range ces données dans une catégorie à part.
Les données de localisation sont considérées comme des données hautement personnelles, particulièrement intrusives pour la vie privée, puisqu’elles sont susceptibles de révéler les déplacements, les lieux de fréquentation ou encore les centres d’intérêt. La CNIL a d’ailleurs lancé début 2025 une consultation publique sur ce sujet spécifique des véhicules connectés et de la localisation, signe que le régulateur prend enfin la mesure du problème. L’actualité récente est venue confirmer l’urgence : fin 2024, la presse révélait une importante fuite de données touchant plus de 800 000 propriétaires de véhicules électriques de plusieurs marques.
Cette affaire mérite qu’on s’y arrête. Plusieurs téraoctets de données de 800 000 véhicules électriques du groupe Volkswagen (VW, Audi, Seat, Skoda) ont été exposés pendant des mois sur un compte cloud Amazon mal sécurisé. Parmi les informations accessibles : coordonnées GPS, niveau de charge des batteries, état des véhicules. Dans près de 466 000 cas, les données de localisation étaient si précises qu’il était possible de dresser un profil détaillé des routines quotidiennes des propriétaires. La faille provenait d’une simple mauvaise configuration côté logiciel. Pas une cyberattaque sophistiquée, une négligence.
Ce que dit la loi, ce que font les fabricants
La CNIL considère comme données personnelles toutes les données du véhicule qui, seules ou combinées, peuvent être rattachées à une personne physique, notamment via le numéro de série du véhicule. Le RGPD s’applique donc pleinement. La réglementation européenne prévoit que les données personnelles soient collectées et utilisées dans un but précis, avec l’accord de la personne concernée et pour un temps donné.
Mais entre le cadre légal et la réalité du terrain, le fossé est réel. Les lignes directrices européennes ont identifié cinq grandes catégories de risques : la collecte excessive de données, leur réutilisation secondaire, l’asymétrie d’information entre le responsable de traitement et l’utilisateur, la difficulté d’obtenir un consentement éclairé, et la sécurité des données. En clair : vous acceptez des CGU qui ne vous disent pas grand chose, et vos données peuvent servir à des fins que vous n’avez pas anticipées.
La CNIL préconise depuis longtemps une approche “privacy by design”. Elle encourage notamment les acteurs à privilégier le scénario où les données restent traitées en local, dans le véhicule ou l’appareil, sans transmission vers le fournisseur de services, garantie la plus robuste pour la vie privée. Or, la majorité des wallboxes connectées grand public font l’exact opposé : tout remonte vers le cloud par défaut.
Ce que vous pouvez faire concrètement
Quelques réflexes changent vraiment la donne. Le premier : vérifier si votre borne peut fonctionner en mode “hors ligne”, sans connexion au cloud du fabricant. Certains modèles le permettent, au prix d’une perte des fonctionnalités de pilotage à distance. Le deuxième : activer le chiffrement des communications si votre équipement le propose. La CNIL recommande de chiffrer les données de localisation au repos et en transit, dans et entre les différents systèmes susceptibles de les collecter.
Troisième levier, souvent ignoré : exercer vos droits RGPD directement auprès du fabricant. C’est au responsable de traitement qu’incombe l’obligation d’informer la personne concernée du traitement de ses données. Un courrier recommandé demandant l’accès à vos données, leur limitation ou leur suppression est un droit opposable, et les fabricants ont l’obligation d’y répondre sous un mois.
La dimension collective mérite aussi d’être mentionnée. À fin 2024, l’Observatoire national de la donnée de recharge agrège pas moins de 29 millions de données issues de sessions de recharge depuis 2016, avec un travail d’anonymisation pour exclure toute information sensible. Ces données anonymisées alimentent des politiques publiques et guident les investissements d’infrastructure. La collecte à grande échelle, quand elle est encadrée et anonymisée, sert l’intérêt général. Le problème n’est pas la donnée en soi, c’est qui y accède, dans quelles conditions, et combien de temps elle reste disponible sur un bucket AWS mal configuré.
Sources : cnil.fr | automobile-propre.com