Du 14 au 18 septembre 2026, près de 5 000 soldats de la Garde nationale norvégienne (Heimevernet) ont participé à l’exercice Hovedstad 2026 à Oslo et dans l’Akershus, selon le communiqué annonçant l’exercice. Une partie des véhicules venait de Hertz Norge, filiale de Volvo Cars, elle-même détenue par le groupe chinois Geely. Le quotidien Dagens Næringsliv a ensuite révélé que des soldats, en parcourant l’écran de bord pour passer le temps, avaient trouvé des vidéos enregistrées par les caméras d’au moins deux de ces voitures, des modèles Deepal du constructeur Changan. Elles montraient qui montait à bord, les trajets, les lieux de stationnement et les codes tapés pour ouvrir des portails militaires. L’affaire concerne une armée, mais elle pose une question que toute entreprise qui loue des véhicules connectés de location pour ses salariés devrait se poser.
Ce que l’on sait des enregistrements
Selon l’AFP, le porte-parole de la Garde nationale a confirmé les faits. Faute de solution de remplacement, l’armée a continué d’utiliser les véhicules jusqu’à la fin de l’exercice, puis les soldats ont effacé les vidéos. Personne ne sait si les images ont quitté les voitures. L’officier interrogé ne l’exclut pas, et aucune preuve d’un transfert n’a été publiée.
Hertz Norge affirme respecter les règles norvégiennes et européennes et ne partager aucune donnée personnelle de location sans base légale explicite, sans préciser le sort des vidéos embarquées. L’importateur norvégien de Changan indique qu’une fonction d’enregistrement continu ne signifie pas que la voiture filme en permanence. Volvo Cars a déclaré à la presse norvégienne que rien ne peut être partagé avec Geely sans base légale. Des experts cités par Cybernews jugent le risque réel mais pas propre aux voitures chinoises. La caméra de bord à 360 degrés, mise en avant comme argument de vente, enregistre par construction tout ce qui se passe autour du véhicule.
L’armée norvégienne a écarté une interdiction générale des véhicules chinois et privilégie des protections propres à chaque site, avec de possibles interdictions locales des véhicules munis de caméras ou de capteurs, quelle que soit leur origine.
Véhicules connectés de location : un sujet de salariés avant d’être un sujet militaire
Transposé dans une entreprise, le scénario est banal. Un commercial loue une voiture pour une semaine de tournée. Les caméras enregistrent son visage, celui de ses passagers, l’entrée du site d’un client, peut-être le code d’un portail. L’écran garde l’historique de navigation, le téléphone appairé, les contacts synchronisés. Le véhicule est rendu, puis loué à quelqu’un d’autre, qui peut tout consulter.
Ces données concernent les salariés, mais aussi des tiers et parfois des informations de sécurité de l’entreprise ou de ses clients. Les caméras de bord, conçues pour l’aide au stationnement ou la protection du véhicule, ne figurent dans aucune analyse de risque de l’employeur, qui ignore souvent leur existence.
Le lien avec la recommandation de la CNIL
La CNIL a publié le 30 juin 2026 sa recommandation sur les données de localisation des véhicules connectés. Elle s’adresse aux constructeurs, aux loueurs, aux gestionnaires de flottes et aux fournisseurs de boîtiers télématiques, et vise les véhicules utilisés par des particuliers. Les véhicules de fonction mis à disposition par l’employeur en sont exclus, la CNIL renvoyant à ses préconisations distinctes sur la géolocalisation des salariés.
Deux points de la recommandation éclairent le cas norvégien. La CNIL demande aux loueurs de prévoir des mesures pour qu’un tiers, employé du loueur ou locataire suivant, ne puisse pas accéder aux données restées dans le tableau de bord. Elle demande aussi que l’utilisateur puisse déconnecter à distance un compte personnel associé au véhicule. Le texte porte sur la localisation et ne traite pas des caméras, mais la logique s’étend sans difficulté aux images : ce qui reste dans le véhicule à la restitution doit pouvoir être effacé.
Ce que l’organisme doit vérifier
- Recenser les véhicules utilisés par les salariés : flotte en propre, location longue durée, location courte, véhicules partagés. Pour chacun, savoir quels capteurs et quelles caméras sont présents et ce qu’ils conservent.
- Interroger le loueur ou le gestionnaire de flotte : données enregistrées, lieu de stockage, transmission éventuelle au constructeur, durée de conservation, effacement entre deux locations. Les réponses doivent figurer au contrat.
- Qualifier les rôles : le loueur et le constructeur sont souvent responsables de leurs propres traitements. Si l’entreprise exploite elle-même les données (géolocalisation, télématique), elle est responsable de traitement, avec inscription au registre, information des salariés et consultation du CSE.
- Donner une consigne simple aux salariés : déconnecter le téléphone, effacer l’historique et les comptes avant la restitution, ne pas saisir de codes d’accès sensibles face aux caméras.
- Pour les sites sensibles (sites industriels, établissements de santé, locaux de clients exigeants), évaluer s’il faut restreindre l’accès des véhicules équipés de caméras, comme l’envisage l’armée norvégienne.
- Prévoir le cas d’une violation : des images d’un salarié ou d’un code d’accès exposées par un véhicule restitué relèvent de l’analyse de l’article 33.
Les DPO du réseau DPO FRANCE accompagnent les employeurs dans la revue de leurs contrats de location et de gestion de flotte, et dans l’information des salariés. DPO SUITE recense ces prestataires, les rattache aux traitements concernés et garde la trace des réponses obtenues et des incidents.
