Voitures d’occasion : l’application de l’ancien propriétaire peut encore déverrouiller votre voiture

Quand une voiture d'occasion change de propriétaire, les papiers changent aussi. L'application sur le téléphone de l'ancien propriétaire, elle, reste souvent inchangée. Si personne ne supprime le lien, son compte reste connecté à la voiture, parfois pendant des mois. Un cas survenu aux États-Unis en 2018 a montré à quoi cela pouvait ressembler. Une femme avait fait reprendre sa VW Jetta par un concessionnaire et, des mois plus tard, rapportait The Drive, elle pouvait encore voir son kilométrage, son état de verrouillage et sa localisation dans son application.

Ce que l'ancien propriétaire peut encore voir

Fin 2023, l'automobile club autrichien ÖAMTC a testé cela sur quatre voitures électriques : une BMW i3, une Renault Megane E-Tech, une Tesla Model Y et une VW ID.3. Si la connexion reste active, l'ancien utilisateur peut voir le kilométrage et la consommation selon la marque, ainsi que le niveau de charge et l'autonomie sur les voitures électriques. Dans certains cas, il peut localiser la voiture à quelques mètres près et la verrouiller ou la déverrouiller, quelle que soit la distance et sans limite de durée. Un test de l'automobile club allemand ADAC, relayé par Auto Bild quelques mois plus tôt, a abouti à des résultats similaires. Dans le pire des cas, cela signifie qu'un inconnu peut voir où votre voiture est garée la nuit et l'ouvrir à distance.

La voiture elle-même ne vous indique pas toujours si ce lien existe encore. Lors du test, ni la BMW ni la VW n'indiquaient si un téléphone était toujours connecté : aucun avertissement dans la voiture ne signalait donc que quelqu'un d'autre y avait accès.

Comment les constructeurs automobiles gèrent la situation

BMW a été le plus simple lors du test. L’utilisateur principal peut être changé à tout moment, et l’ancien perd immédiatement son accès. ÖAMTC n’a toutefois pas trouvé de fonction de réinitialisation aux paramètres d’usine pour l’ensemble du système, et les données personnelles ne pouvaient être supprimées que sur l’écran central. VW a également permis aux testeurs de changer rapidement l’utilisateur principal, et le vendeur comme l’acheteur ont reçu un e-mail à ce sujet. La réinitialisation aux paramètres d’usine a cependant souvent nécessité plusieurs tentatives. ÖAMTC a aussi relevé un risque d’abus lié à la facilité du changement, puisqu’un locataire, par exemple, pouvait se définir comme utilisateur principal sans grand effort. En novembre 2023, VW a remplacé l’application We Connect utilisée lors du test par l’application Volkswagen.

Tesla a été le plus compliqué des quatre. La désactivation des données mobiles et la réinitialisation de la voiture ne fonctionnaient qu’avec les identifiants du vendeur, à condition que celui-ci n’ait pas supprimé la voiture de son application. Le manuel du propriétaire de Tesla précise l’ordre à suivre. Le vendeur doit d’abord effectuer une réinitialisation aux paramètres d’usine dans Contrôles, Entretien, Réinitialisation d’usine, puis seulement transférer la propriété dans l’application. L’inverse ne fonctionne pas, car une fois la voiture supprimée du compte, la réinitialisation aux paramètres d’usine n’est plus possible. Si le vendeur a omis cette étape, vous pouvez demander vous-même le transfert via Ajouter un produit dans l’application Tesla. Si le vendeur est injoignable, la page d’assistance de Tesla indique que la demande sera examinée et que le transfert sera effectué, ou que vous serez contacté, sous 48 heures. Lors du test d’ÖAMTC, le changement a tout de même pris trois à cinq jours, car des documents devaient être vérifiés, et les voitures de flotte ne pouvaient pas du tout être transférées via l’application.

Sur une Tesla, vérifiez également les clés. Dans Contrôles, Verrouillages, la voiture répertorie tous les téléphones-clés, cartes-clés et télécommandes ayant accès au véhicule, jusqu’à 19 sur une Model Y. Supprimez tout élément que vous ne reconnaissez pas à l’aide de l’icône de corbeille et confirmez en passant l’une de vos propres cartes-clés sur le lecteur de cartes.

Android Automotive : le compte Google reste dans la voiture

De nombreuses voitures récentes utilisent Android Automotive, un système d’infodivertissement intégrant les services Google. Sur ces véhicules, un compte Google est souvent connecté dans la voiture en plus de l’application du constructeur. ÖAMTC conseille expressément de vérifier les comptes Google associés sur ces modèles. Sur la Renault utilisée lors du test, une réinitialisation aux paramètres d’usine a supprimé tous les comptes, et il était également possible de supprimer les comptes individuellement sur l’écran. Aucune notification n’était envoyée une fois que l’acheteur les avait dissociés. Le club a également souligné que des mots de passe peuvent se retrouver dans le gestionnaire de mots de passe de Google dans la voiture.

Que faire lors de l'achat

L'essai routier est le meilleur moment pour vérifier. Parcourez le menu de la voiture à la recherche de rubriques comme les services connectés, les services à distance ou les appareils jumelés, et interrogez le vendeur sur ce qui y figure. Si l'un des téléphones du vendeur apparaît dans la liste des appareils, faites-le supprimer sur place. Un concessionnaire devrait s'en charger lors de la préparation de la voiture pour la vente, mais le cas américain montre qu'il ne faut pas le tenir pour acquis. L'ADAC et l'ÖAMTC recommandent tous deux de préciser par écrit dans le contrat de vente que toutes les connexions en ligne avec l'ancien propriétaire ont été supprimées. Une seule phrase suffit, par exemple "Le vendeur confirme que toutes les connexions entre le véhicule et ses comptes et applications ont été supprimées." Cela vous donne un élément sur lequel vous appuyer si un autre compte apparaît par la suite.

Après la remise du véhicule, enregistrez-vous comme utilisateur principal dans l'application du constructeur. Chez des marques comme BMW, cela supprime l'ancien utilisateur principal. Ensuite, rétablissez les paramètres d'usine du système d'infodivertissement si la voiture le permet, et sur Android Automotive, vérifiez quels comptes Google sont connectés. L'ADAC avertit qu'une réinitialisation aux paramètres d'usine ne supprime pas toujours toutes les connexions. En cas de doute, adressez-vous donc à un garage ou au service client du constructeur.

Les vendeurs doivent aussi vérifier

Cela protège les deux parties. Un vendeur qui néglige cette étape laisse derrière lui des contacts, des destinations de navigation et éventuellement un compte, autant de données qui renseignent l'acheteur à votre sujet. Le jumelage d'un téléphone via Bluetooth copie souvent ses contacts dans la voiture. Dès 2021, l'ADAC critiquait les voitures de location dont l'option de réinitialisation aux paramètres d'usine était enfouie dans les menus, selon le modèle, et soulignait que supprimer le jumelage du téléphone laissait des données comme les destinations de navigation. Sur une Tesla, retirer la voiture de votre compte annule également les abonnements payants, selon la page d'assistance de Tesla. L'aide de Volvo consacrée à la vente d'une voiture indique deux étapes. Déconnectez l'application Volvo Cars, puis effectuez une réinitialisation aux paramètres d'usine sur l'écran central. Cet ordre convient à la plupart des marques. Le même principe s'applique aux téléphones, et notre guide explique ce qu'il faut vérifier lors de l'achat d'un téléphone d'occasion.