Garage : céder un véhicule sans les données du conducteur

Avant de remettre un véhicule d’occasion, le garage doit traiter les données personnelles qui pourraient rester accessibles au prochain conducteur. La préparation numérique distingue trois opérations : retirer les informations locales, dissocier les comptes et fermer les anciennes autorisations à distance. Une réinitialisation affichée comme réussie ne prouve pas, à elle seule, que ces trois périmètres sont réglés.

La CNIL recommande de supprimer les informations personnelles stockées dans le véhicule avant sa vente ou sa restitution et, lorsque c’est possible, de le réinitialiser. Cela concerne notamment des données provenant d’un téléphone connecté au système embarqué. Source : CNIL, véhicules connectés, rubrique relative à la restitution.

Distinguer le véhicule, les comptes et les archives

Les contacts, destinations et profils locaux forment un premier ensemble. Le compte du constructeur, les applications associées et les autorisations de commande ou de consultation à distance constituent un deuxième ensemble. Les factures et documents de cession du garage en constituent un troisième. Ils ne se suppriment pas nécessairement par la même opération ni pour les mêmes raisons.

Le garage organise ce qu’il traite et ce qui relève de son intervention. Il ne peut pas promettre l’effacement de toutes les données détenues par chaque fournisseur sans connaître leurs périmètres et leurs réponses. Réciproquement, la conservation légitime d’une facture ne justifie pas de laisser un carnet d’adresses dans le tableau de bord destiné à l’acquéreur.

Le guide RGPD du garage automobile présente ce cadre général. Les principes de minimisation, confidentialité et limitation de la conservation, ainsi que la sécurité adaptée au risque, résultent des Art. 5(1)(c), (e), (f) et 32(1). Sources : RGPD, chapitre II ; Art. 32.

Lire la procédure correspondant à l’équipement réel

Une trame d’atelier peut être commune ; les manipulations ne le sont pas. Relevez le véhicule, le système multimédia, sa version lorsque nécessaire et les équipements ajoutés. Un boîtier ou une caméra installés après l’achat peuvent nécessiter une procédure distincte. N’appliquez pas une instruction trouvée pour une autre génération uniquement parce que l’écran se ressemble.

La documentation Renault relative à l’écran multimédia openR 10,1 pouces distingue la réinitialisation embarquée et la suppression du véhicule dans My Renault. Elle précise que la réinitialisation nécessite le profil administrateur. Ce sont deux actions décrites séparément, pas la promesse qu’un bouton local efface tout le compte en ligne. Source : Renault, prêt et cession du véhicule.

De son côté, Volvo décrit plusieurs procédures selon le modèle et l’année-modèle et précise que la réinitialisation modifie aussi les réglages du véhicule. Cette documentation illustre la nécessité de choisir la bonne instruction ; elle ne peut pas servir de procédure universelle pour les véhicules d’autres marques. Source : Volvo, réinitialisation d’une voiture d’occasion.

Conservez la référence de la notice utilisée et sa date de consultation. Si l’équipement réel ne correspond pas à la documentation, sollicitez le service compétent avant de poursuivre. Le technicien ne doit pas improviser une extraction ou un effacement susceptible d’affecter les fonctions du véhicule.

Préparer les actions du titulaire avant la reprise

Expliquez au vendeur quelles opérations lui reviennent dans son compte, quelles conséquences elles peuvent avoir et quels éléments doivent être réglés avant la remise. Le moment de la reprise est souvent plus propice à cette coopération qu’une demande adressée après la livraison au nouvel acquéreur.

Le client peut réaliser l’authentification nécessaire sans transmettre son mot de passe au garage. Prévoyez une assistance accompagnée et limitée. Une autorisation d’intervenir sur le véhicule ne devient pas une autorisation générale d’explorer ses comptes, ses trajets ou ses communications.

Clarifiez également le sort des services et abonnements avec les interlocuteurs compétents. La dissociation d’un véhicule, la résiliation d’un abonnement et la suppression d’un compte sont des demandes différentes. Le garage doit indiquer celle qu’il a vérifiée, sans laisser penser qu’il a accompli les autres.

S’il reçoit une demande de droits relative à ses propres traitements, il la traite selon les Art. 12 et 17. Pour un service dont un autre organisme détermine les finalités et moyens, il aide le client à identifier cet interlocuteur, sans prétendre pouvoir effacer sa base. Le rôle de chacun dépend des opérations effectivement réalisées. Sources : RGPD, Art. 4(7) et (8) ; Art. 12 et 17.

Un dossier de préparation numérique renseigné

Le dossier V-18 suivant est fictif. Le garage Aulnes reprend un véhicule destiné à la revente. Le technicien identifie le système embarqué et la procédure applicable. Le vendeur réalise les opérations de compte relevant de son authentification. Le dossier distingue ce qui est constaté localement et ce qui nécessite encore une confirmation externe.

L’information « vendeur indique avoir supprimé le véhicule » n’est pas transformée en certitude sur tous les systèmes. La fiche mentionne ce qui est connu, la source de cette information et le point restant à vérifier. Elle évite aussi une signature globale « toutes données effacées » alors qu’une ligne reste ouverte.

Le dossier peut être renseigné sans photographier le carnet d’adresses ni les destinations. Si une preuve visuelle est nécessaire, privilégiez un écran de résultat dépourvu de données personnelles, après avoir vérifié ce qu’il contient. La méthode de preuve d’exécution d’un effacement distingue l’action, le résultat observé et les limites.

Vérifier le résultat sans parcourir la vie du conducteur

Le contrôle porte sur les emplacements et fonctions définis dans la procédure. Il ne consiste pas à lire tous les anciens appels ou à ouvrir les trajets pour juger de leur caractère privé. L’accès du technicien doit rester proportionné à l’opération de préparation.

Une liste vide après suppression constitue un constat sur cette interface. Elle n’établit pas à elle seule l’effacement de chaque mémoire, sauvegarde ou service distant. Il faut rapprocher ce constat de la documentation et des confirmations requises. L’absence d’un menu visible ne démontre pas non plus l’absence de stockage.

Dans V-18, le contrôle local est satisfaisant, mais le vendeur signale que le véhicule apparaît encore dans son application. Le garage ne conclut ni que le lien est encore actif, ni qu’il s’agit seulement d’un affichage ancien. Il demande au service compétent de confirmer le statut de l’association et les éventuelles autorisations restantes.

Tant que ce périmètre n’est pas clarifié, le dossier de préparation reste incomplet. Le garage organise la suite avec le client et le service compétent, sans annoncer une remise numérique terminée. Une mention de réserve signée par l’acheteur ne remplace pas la protection des données de l’ancien conducteur ou de celles du nouveau.

Dans la suite hypothétique de V-18, le service confirme le retrait de l’association et de l’ancienne autorisation distante concernée. Le garage conserve cette réponse ciblée, refait les contrôles locaux prévus et clôture ces lignes. Cette conclusion ne prétend toujours pas que toutes les archives du fournisseur ont disparu.

Encadrer une intervention à distance ou une difficulté technique

Si le constructeur ou un prestataire doit intervenir, définissez le besoin, l’interlocuteur autorisé et le périmètre de l’accès. La CNIL recommande d’encadrer la maintenance, de tracer les interventions et de fermer les accès temporaires. Sa fiche traite aussi de l’effacement avant réemploi ou sortie des matériels. Source : CNIL, maintenance et fin de vie.

Le guide de télémaintenance et d’accès aux données aide à préparer cette intervention. Ne transmettez pas un export complet des contacts pour démontrer qu’une suppression échoue. Décrivez le symptôme et fournissez les informations techniques nécessaires ; demandez un canal et un périmètre adaptés si un diagnostic complémentaire est indispensable.

Si l’effacement prévu n’est pas possible, faites documenter la limite et les solutions compatibles avec l’équipement. Il ne faut ni improviser un effacement destructif de toutes les données techniques, ni assimiler un masquage à une suppression. Les enregistrements utiles au fonctionnement ou soumis à un régime particulier doivent être identifiés séparément.

Une exposition déjà survenue appelle une autre analyse. Si le nouvel utilisateur a pu accéder à des données du précédent, établissez les faits, les périmètres et les responsabilités. Lorsqu’une violation concerne les traitements du garage, documentez-la et examinez les Art. 33 et 34 ; une notification n’est pas automatiquement due pour chaque défaut, mais la correction technique ne suffit pas à clore l’analyse. Source : RGPD, Art. 33 et 34.

Remettre une information précise au nouvel utilisateur

La remise doit distinguer l’état constaté du véhicule et les services que l’acquéreur choisira ensuite d’activer. Ne réutilisez pas le profil, l’adresse électronique ou les identifiants du vendeur pour faciliter l’installation. Le compte du nouvel utilisateur suit le parcours prévu par le fournisseur et son information sur les données.

Le garage peut communiquer une synthèse limitée : préparation locale effectuée selon la procédure référencée, association précédente retirée dans le périmètre confirmé, éventuelles actions restant à la charge de l’acquéreur. Il ne lui remet pas les échanges personnels du vendeur pour prouver son travail.

Conservez enfin le dossier de préparation selon une durée et des accès justifiés. Cette preuve contient elle-même des données, notamment l’identité des intervenants ou du titulaire. La documenter n’autorise pas à accumuler indéfiniment des captures et copies de compte. Les archives commerciales du garage restent traitées dans leur propre circuit.

Ce qu’il faut retenir

• Séparez effacement local, dissociation du compte et retrait des accès distants.
• Utilisez la documentation correspondant au véhicule et à son équipement.
• Prouvez l’opération sans recopier les contacts ou les trajets.
• Conservez une réserve explicite tant qu’un périmètre nécessaire reste non vérifié.

FAQ

La réinitialisation supprime-t-elle tout le compte constructeur ?

Il ne faut pas le présumer. La procédure peut concerner les données et réglages embarqués ; le sort du compte, des services et des archives distantes doit être vérifié séparément.

Peut-on demander le mot de passe du vendeur pour terminer plus tard ?

Organisez plutôt une intervention du titulaire ou l’assistance officielle prévue. Le garage doit éviter de conserver des identifiants personnels donnant accès à des informations étrangères à sa mission.

Peut-on utiliser la même fiche pour tous les véhicules ?

Les rubriques peuvent être communes, mais les instructions et les résultats attendus doivent correspondre à l’équipement réel. Une case « sans objet » nécessite une vérification du périmètre ; elle ne doit pas simplement remplacer une question restée sans réponse.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.