Données de localisation : anonymisation, AIPD et bases légales selon la CNIL

Lecture rapide

La recommandation détaille les bases légales possibles pour traiter les données de localisation des véhicules connectés : consentement, exécution du contrat, intérêt légitime, mission d’intérêt public ou obligation légale. Elle insiste sur la nécessité de limiter la collecte à ce qui est strictement nécessaire, de privilégier les traitements en local dans le véhicule, de définir des durées de conservation adaptées, et de réaliser des analyses d’impact lorsque les traitements présentent un risque élevé pour les droits des personnes.

Analyse juridique

1. Traitement des données de localisation des véhicules : base légale, minimisation et conservation

1. Le texte commente les recommandations de la CNIL relatives au traitement des données de localisation des véhicules, en particulier dans le cadre de services de location, de gestion de flotte ou d’. Il rappelle que la base légale du traitement peut être l’ (article 6.1.f du RGPD), l’obligation légale (article 6.1.c) ou l’exécution du contrat (article 6.1.b), selon les finalités poursuivies. L’exemple du système « eCall », imposé par le règlement (UE) 2015/758 du 29 avril 2015, illustre un traitement fondé sur une obligation légale : le dispositif embarqué déclenche automatiquement un appel au 112 en cas d’accident grave et transmet, entre autres, les trois dernières positions connues du véhicule.

2. La CNIL insiste sur le principe de minimisation (article 5.1.c du RGPD) : les données de localisation doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. Pour la gestion de flotte, la prévention des abus de confiance et la lutte contre le vol, il est généralement suffisant de ne conserver que la dernière position du véhicule, chaque nouvelle position écrasant la précédente, sauf événement justifiant la conservation d’un historique (non-restitution, vol). La fréquence de collecte et le volume de données remontées doivent être justifiés pour chaque finalité.

2. Limitation de la durée de conservation et traitements en local

3. En application de l’article 5.1.e du RGPD, les données de localisation ne doivent être conservées sous une forme identifiante que le temps strictement nécessaire à la réalisation des finalités. La CNIL recommande de distinguer la base active des archives intermédiaires, avec des accès restreints, pour répondre à des obligations comptables, sociales ou fiscales ou à des besoins de preuve en cas de contentieux. Dans le cadre de la location, la conservation de la dernière position est suffisante tant qu’aucun abus de confiance ou vol n’est suspecté ; en cas de vol, la conservation d’un historique plus long peut être justifiée, dans la limite des règles de prescription (par exemple six ans).

4. La CNIL recommande de privilégier, lorsque c’est possible, des traitements en local au sein du véhicule ou du dispositif connecté, de sorte que les données de localisation ne soient remontées sur les serveurs du responsable du traitement qu’en cas de fait générateur (panne, vol, franchissement de zone interdite) ou sous forme de données agrégées (alertes, nombre de kilomètres, cartes de chaleur). Lorsque des bases de données uniques servent plusieurs finalités, des cloisonnements logiques et des règles techniques doivent permettre d’appliquer des durées de conservation différenciées et d’éviter l’enregistrement « par excès » de séries de données très fréquentes et très précises.

3. Information des personnes concernées et exercice des droits

5. La CNIL rappelle que les personnes concernées doivent être informées, au moment de la collecte, de l’existence du traitement, de ses caractéristiques et des droits dont elles disposent (articles 13 et 14 du RGPD). L’information doit être clairement distinguée des autres clauses contractuelles et fournie le plus tôt possible, avant tout engagement financier (par exemple, au début du processus de réservation en ligne). Lorsque les données ne sont pas collectées directement (par exemple, données de localisation fournies par le constructeur via une API), le responsable doit indiquer les catégories de données et la source (constructeur, agrégateur).

6. Les modalités d’information peuvent combiner plusieurs supports : clauses dédiées dans le contrat de vente ou de location, politiques de confidentialité, écrans d’info-divertissement, stickers avec QR code dans le véhicule, icônes signalant la collecte de localisation, schémas expliquant les flux de données. La CNIL recommande de centraliser, dans le véhicule et dans l’éventuelle application associée, l’ensemble des paramètres de données pour faciliter l’accès, l’effacement, la portabilité et l’opposition. Elle préconise aussi des fonctions simples de suppression des données (bouton d’effacement) en cas de location ou de cession du véhicule, afin d’éviter que le nouvel utilisateur ait accès aux données de déplacement du précédent.

4. Mesures de sécurité : chiffrement, habilitations, journalisation

7. Compte tenu du caractère hautement intrusif des données de localisation et des possibilités d’inférence (habitudes de vie, lieux fréquentés), la CNIL recommande de mettre en place des mesures de sécurité robustes. Celles-ci incluent le chiffrement en transit et au repos des données, en s’appuyant sur des algorithmes et protocoles conformes à l’état de l’art (référentiel général de sécurité), l’utilisation de bibliothèques cryptographiques éprouvées, la définition de profils d’habilitation avec des permissions limitées dans le temps, la revue régulière des habilitations et l’authentification renforcée (multifacteur) pour les comptes à privilèges.

8. La CNIL préconise également la limitation des accès (quotas de requêtes, plafonds de volumes exportables, restrictions temporelles et géographiques), la mise en place de mécanismes d’archivage ou de purge pour respecter les durées de conservation, la journalisation des opérations (création, consultation, modification, suppression) avec identification de l’utilisateur, horodatage et référence des données concernées, et la surveillance régulière des journaux, éventuellement automatisée, pour détecter des anomalies. Les journaux doivent être conservés entre six mois et un an, sauf justification particulière, et ne pas contenir de données sensibles ou de secrets.

5. Anonymisation des données de localisation et analyse d’impact

9. La CNIL consacre un focus à l’anonymisation des données de localisation, rappelant qu’elle consiste à utiliser des techniques (généralisation, agrégation, perturbation aléatoire, données synthétiques) de manière à ce qu’une personne ne soit pas identifiable par des moyens raisonnables. Elle souligne que la simple suppression des identifiants ou la pseudonymisation ne suffisent pas en général pour des données de localisation, et qu’une analyse de réidentification doit démontrer la résistance aux attaques par individualisation, corrélation et inférence, conformément à l’avis 05/2014 du G29. À défaut, les données restent des données personnelles soumises au RGPD.

10. La CNIL recommande de réaliser une analyse d’impact sur la protection des données (AIPD) lorsque le traitement de données de localisation est susceptible d’engendrer un risque élevé pour les droits et libertés (collecte à grande échelle, croisement de données, nouvelles technologies). L’AIPD doit recenser les risques, définir des mesures de réduction (sécurité, minimisation, anonymisation, cloisonnement, documentation) et être réévaluée en fonction de l’évolution des techniques d’attaque. Le projet « GeoTrouveTous » du LINC, qui a montré la possibilité de réidentification quasi-automatique d’individus à partir de données pseudonymisées de localisation, illustre la nécessité d’une approche prudente et documentée de l’anonymisation dans l’écosystème des véhicules connectés et des services de mobilité.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.