Géolocalisation, habitudes de conduite, score d’usure, charge de la batterie, info-divertissement, fonctionnalités d’assistance à la conduite… Une voiture moderne comporte plus de de 100 millions de lignes de code1, soit beaucoup plus qu’un avion de ligne. Ces véhicules, bardés de logiciels, fonctionnent avec des centaines de capteurs dont les objectifs sont : l’amélioration de la conduite, le confort, l’efficacité énergétique et, plus largement, de contribuer à la sécurité routière et à l’optimisation des infrastructures.
Loin de leur statut initial de « simples » machines mécaniques, les véhicules sont aujourd’hui de véritables ordinateurs ambulants. « Quasiment tous les composants d’un véhicule moderne produisent de la donnée. Certaines données sont exclusivement liées au véhicule, comme la température du moteur ou le nombre de tours par minute, et d’autres sont liées à l’usager », explique Thomas Le Goff, maître de conférences en droit et régulation du numérique à Télécom Paris.
Ces informations créent inévitablement de nouvelles vulnérabilités en termes de sécurité, que ce soit pour les cyberattaques, le cyber-espionnage ou pour la protection des informations personnelles. Comment concilier, d’une part, le nécessaire partage des données entre les utilisateurs et les fournisseurs de services liés à la mobilité (maintenance, aide à la conduite, divertissement…) et, d’autre part, la confidentialité de ces données ?
Un paysage juridique complexe
Dans les faits, en Europe, le secteur est régi par un « mille-feuille » de textes réglementaires, dont le Règlement Général sur la Protection des Données (RGPD), le Cyber Resilience Act, ou encore le tout récent règlement de l’Union européenne sur les données (Data Act). Cet ensemble de normes se superpose à un corpus fourni de règles sectorielles nationales et internationales, ce qui rend le paysage juridique particulièrement complexe pour l’industrie automobile.
Les données générées par un véhicule, comme celles des autres services ou objets connectés, doivent désormais être accessibles aux usagers et transmissibles au tiers de leur choix
« Nous souhaitons comprendre l’articulation des différents textes pour supprimer les redondances, simplifier les champs d’application, clarifier la responsabilité de chaque acteur, et limiter le nombre d’obligations à ce qui est strictement nécessaire », explique Thomas Le Goff, qui mène ses travaux au sein de la Chaire de recherche sur la cybersécurité intelligente pour les systèmes de mobilité (« Intelligent Cybersecurity for Mobility Systems »). « Nos travaux peuvent contribuer à la simplification des textes aux niveaux français ou européen », souligne-t-il. Mise sur pied par Télécom Paris avec six grands partenaires industriels (Renault, Thalès, Solent, ZF Group, IRT SystemX et Boston Consulting Group), la Chaire vise justement à aider les entreprises à naviguer dans ce cadre juridique en constante évolution, en plus de développer de nouvelles approches pour renforcer la sécurité des véhicules connectés.
Un flux de données accru
Concernant ce cadre juridique en pleine évolution, le Data act, applicable depuis septembre 2025, vient augmenter la circulation des flux de données entre utilisateurs et entreprises (BtoC), entre entreprises (BtoB) et entre les entreprises et les autorités publiques (BtoG). Le règlement « est conçu pour responsabiliser les utilisateurs, tant les consommateurs que les entreprises, en leur donnant un plus grand contrôle sur les données générées par leurs produits connectés, tels que les voitures ou les machines industrielles. Il jette les bases d’une économie européenne des données ouverte, compétitive, équitable et innovante », indique la Commission européenne2.
Autrement dit, les données générées par un véhicule, comme celles des autres services ou objets connectés, doivent désormais être accessibles aux usagers et transmissibles au tiers de leur choix. « Typiquement, on pourra avoir un système GPS ou d’assistance à la conduite développé par une entreprise française avec des données qui sont hébergées en France, assurant un haut niveau de souveraineté, là où aujourd’hui, c’est forcément le fabricant qui a la main sur toutes les données », décrypte Thomas Le Goff.
Ce faisant, le règlement crée toutefois une tension entre la dynamique d’ouverture des données et les critères de sécurité, puisque les entreprises doivent respecter ces obligations tout en protégeant la vie privée, les secrets industriels et les technologies propriétaires. « Cette tension est l’objet de deux thèses au sein de la Chaire : l’une sur l’articulation des réglementations de cybersécurité dans le secteur automobile, et l’autre sur les mesures techniques pour concilier la dynamique d’ouverture et celle de sécurisation des données », indique le juriste.
Les questions soulevées sont multiples. Quel degré de secret industriel souhaite-t-on protéger ? Quelle technologie de chiffrement mettre en place pour pouvoir partager ces données de façon sécurisée ? Comment intégrer les garanties de cybersécurité à toutes les étapes du cycle de vie d’un véhicule qui peut circuler une quinzaine d’années ?
Chose certaine, « le but du règlement sur les données n’est pas de mettre des contraintes, rappelle l’expert. Le but est de forcer les acteurs qui ont une incitation économique à garder des informations secrètes à les libérer pour que d’autres entreprises puissent créer des services. » L’idée : stimuler la compétitivité européenne en « ouvrant » les données issues des objets connectés.
Souveraineté des données
En ouvrant ainsi les flux de données, le Data Act peut potentiellement contribuer à augmenter la souveraineté numérique, en réduisant les dépendances stratégiques vis-à-vis des acteurs non européens.
Rappelons que plus de 70 % des données3 des entreprises européennes sont stockées sur des clouds majoritairement américains et chinois. « Dans les textes de cybersécurité et dans les nouvelles réglementations sur les données, des dispositions imposent aux entreprises de protéger les données contre des accès potentiels par des puissances étrangères », indique Thomas Le Goff.
En effet, à l’instar du Cloud Act ou du FISA aux États-Unis, plusieurs juridictions étrangères permettent d’accéder à des données hébergées par leurs entreprises, même si celles-ci sont physiquement stockées sur un territoire européen. « Ces lois extraterritoriales complexifient encore plus le tableau. L’idée est de localiser la donnée en Europe, de mettre en place des mesures pour éviter qu’un acteur soumis à une législation étrangère comme Amazon ou Microsoft puissent exfiltrer des données… »
À ce sujet, le Data Act abolit également les barrières qui empêchaient jusqu’ici de migrer facilement vers un autre prestataire. Il oblige les fournisseurs de services de cloud computing à garantir la portabilité des données, ce qui permet aux entreprises de déplacer librement leurs données et de se libérer des systèmes propriétaires et des infrastructures cloisonnées. « Mais il n’y a pas de solution idéale, avertit Thomas Le Goff. L’immunité totale aux lois extraterritoriales, comme le FISA des États-Unis ne peut que très difficilement être garantie dans la pratique. Il suffit qu’une entreprise ait des activités sur le territoire d’un État tiers pour risquer de se voir imposer des obligations de partager des données avec les autorités dudit État, comme l’a confirmé la récente décision au Canada concernant OVHCloud4, qui est pourtant une entreprise française. On ne peut donc qu’être que dans une logique de minimisation du risque, sans jamais vraiment parvenir à l’éliminer complètement. »
