1.1. L’usage des données de localisation à des fins d’optimisation et d’amélioration des produits et services recouvre des réalités variées. Le texte souligne que ces traitements peuvent viser, par exemple, un gestionnaire de flottes ou un loueur de scooters électriques qui souhaite mieux connaître les pratiques des utilisateurs de sa flotte, dont les batteries préchargées sont disponibles pour échange dans différents espaces physiques répartis sur un territoire déterminé. Les données de localisation anonymisées des trajets effectués permettent alors de mieux prévoir les comportements des utilisateurs, la durée de vie des recharges utilisées et d’améliorer ainsi le service rendu ainsi que la gestion du parc.
1.2. Le projet de recommandation ne vise pas les traitements de données ayant pour finalité la sécurité du véhicule, pour laquelle certaines opérations peuvent être opérées à distance sans impliquer de données de localisation (par exemple, lorsqu’un constructeur opère une correction télématique des défauts de sécurité, en référence à l’article L. 1514-6 du code des transports). La distinction entre finalité de sécurité et finalité d’optimisation est essentielle pour déterminer le régime juridique applicable.
1.3. La notion d’optimisation et d’amélioration des produits et services impose au responsable du traitement de définir de manière précise la finalité poursuivie afin de pouvoir ensuite s’assurer du respect des principes de minimisation des données (article 5, paragraphe 1, c) du RGPD) et de limitation de la conservation (article 5, paragraphe 1, e) du RGPD). Cette exigence de précision conditionne la licéité du traitement et la capacité à démontrer la conformité.
1.4. Les traitements d’optimisation peuvent reposer sur des données collectées spécifiquement à cette fin ou sur des données initialement collectées pour une autre finalité (par exemple, dans le cadre de la gestion de flotte) par le même responsable ou par un autre responsable du traitement. Dans ce dernier cas, la réutilisation implique des précautions complémentaires, notamment en matière de compatibilité de finalité et de base légale.
1.5. La nature des données peut varier : le responsable peut traiter des données personnelles pseudonymisées ou recourir à des données anonymisées. Le choix entre pseudonymisation et anonymisation conditionne l’applicabilité du RGPD et la nécessité de recueillir un consentement ou de fonder le traitement sur un autre fondement juridique.
2.1. Lorsqu’un acteur a lui-même développé et conçu un produit ou un service et cherche à l’améliorer ou à l’optimiser pour son bénéfice, il agit en principe comme responsable du traitement, puisqu’il détermine les finalités et les moyens du traitement. L’exemple donné est celui d’un constructeur automobile qui collecte des données issues d’un véhicule connecté pour améliorer un système d’aide à l’automatisation de la conduite (aide au démarrage en côte, système d’arrêt et de redémarrage automatique du moteur, etc.).
2.2. Un gestionnaire de flotte qui traite des données de localisation anonymisées de ses clients pour optimiser la durée de vie de ses recharges électriques et améliorer la gestion de son parc agit comme responsable du traitement d’anonymisation. Une fois l’anonymisation effective, le traitement des données anonymisées n’est plus soumis au RGPD, ce qui illustre l’importance stratégique de l’anonymisation dans ce contexte.
2.3. Lorsque deux ou plusieurs acteurs ont conjointement développé et conçu un produit ou un service et déterminent ensemble les finalités et les moyens du traitement, ils peuvent être qualifiés de responsables conjoints au sens de l’article 26 du RGPD. Cette situation impose une répartition claire des responsabilités, notamment en matière d’information et d’exercice des droits.
2.4. Un équipementier (par exemple, un fournisseur de boîtier) agissant en qualité de sous-traitant d’un constructeur ou d’un gestionnaire de flotte peut souhaiter anonymiser des données issues d’un véhicule connecté afin d’améliorer son propre équipement (par exemple, un boîtier connecté). Il ne peut le faire que si cette réutilisation est compatible avec le traitement initial et si le responsable du traitement lui a donné une autorisation explicite, ce qui renvoie aux exigences de l’article 28 du RGPD.
3.1. Deux cas sont distingués selon que la finalité d’optimisation nécessite le traitement de données personnelles (y compris pseudonymisées) ou repose sur l’anonymisation de données initialement collectées pour une autre finalité. Cette distinction structure l’analyse de l’article 82 de la loi Informatique et Libertés (LIL) et de l’article 6 du RGPD.
3.2. Lorsque la finalité d’optimisation repose sur une collecte ad hoc de données personnelles via des opérations de lecture/écriture sur un terminal, le consentement préalable des utilisateurs est requis au titre de l’article 82 de la LIL, car cette finalité n’est ni strictement nécessaire à la fourniture d’un service demandé par l’utilisateur ni destinée à faciliter la communication.
3.3. En cas de réutilisation de données personnelles collectées précédemment pour une autre finalité, lorsque la collecte initiale était déjà soumise au consentement en application de l’article 82 de la LIL, ces données ne peuvent être réutilisées pour une nouvelle finalité d’optimisation, sans anonymisation, qu’à la condition que l’utilisateur ait donné un consentement libre, spécifique, éclairé et univoque à cette nouvelle finalité. Le consentement doit être obtenu en amont du traitement ultérieur des données de localisation.
3.4. Sur le plan de l’article 6 du RGPD, le consentement (article 6, paragraphe 1, a) constitue généralement la base juridique la plus appropriée pour ces traitements lorsque l’article 82 de la LIL impose déjà un consentement. Les deux consentements (au titre de l’article 82 de la LIL et comme base juridique RGPD) peuvent être collectés simultanément via une même action, par exemple une case unique décrivant clairement la finalité.
3.5. Lorsque la finalité d’optimisation repose sur l’anonymisation de données initialement collectées pour une autre finalité, la réutilisation des données ne nécessite pas de consentement si l’anonymisation est effective. Le RGPD reste toutefois applicable au traitement d’anonymisation lui-même, qui doit se fonder sur une base juridique, généralement l’intérêt légitime (article 6, paragraphe 1, f). Le responsable doit en outre vérifier la compatibilité du traitement avec la finalité initiale (article 6, paragraphe 4, du RGPD).
3.6. La CNIL rappelle que la collecte de données personnelles dans le but spécifique de les anonymiser pour une finalité d’optimisation reste soumise au recueil du consentement conformément à l’article 82 de la LIL, y compris lorsque l’anonymisation est opérée à bref délai. Cette nuance évite de contourner les exigences de la LIL par un argument de traitement très court.
4.1. La CNIL recommande de privilégier les traitements de données de localisation en local, au sein du véhicule ou du dispositif connecté, lorsque cela est pertinent au regard des finalités poursuivies. Lorsque les données doivent être remontées vers les serveurs du responsable, celui-ci doit tenir compte des recommandations relatives aux bases de données servant des finalités multiples.
4.2. Au regard du principe de minimisation, les données identifiantes n’apparaissent pas pertinentes pour la finalité d’optimisation, sauf démonstration contraire par le responsable. De même, l’usage de données de localisation précises ou détaillées doit être justifié. L’exemple donné montre qu’un constructeur ou un gestionnaire de flotte qui souhaite connaître la fréquence ou les situations d’activation de certains services peut recourir à des données anonymisées pour produire des statistiques suffisantes.
4.3. En matière de limitation de la conservation, le responsable doit définir une durée limitée. En cas de pseudonymisation, le RGPD continue de s’appliquer et les données ne peuvent être conservées sans limite. La CNIL estime qu’une durée de trois ans est proportionnée pour la finalité d’optimisation et d’amélioration des produits et services. Une fois les données anonymisées, elles peuvent être conservées sans limitation de durée, ce qui incite à anonymiser dès que possible.
5.1. Au titre de l’obligation de transparence du RGPD, l’utilisateur doit être informé des finalités du traitement. La CNIL recommande que le responsable identifie clairement les données susceptibles d’être traitées en local dans le véhicule et celles qui sont extraites du véhicule. Un schéma des données et des flux peut être mis à disposition, par exemple dans le guide d’utilisation du véhicule ou sur le site internet du constructeur ou du gestionnaire de flotte.
5.2. Les personnes concernées doivent être spécifiquement informées de l’existence du droit de retirer leur consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement avant ce retrait. Cette information est centrale pour garantir une maîtrise effective des données de localisation par les utilisateurs.
6.1. La synthèse proposée distingue les situations où le responsable a besoin de données personnelles pour l’optimisation et celles où il peut se limiter à des données anonymisées. Lorsque des données personnelles sont nécessaires, le consentement de la personne concernée est requis, que les données soient collectées spécifiquement pour cette finalité ou réutilisées.
6.2. Lorsque le responsable collecte des données personnelles spécifiquement pour les anonymiser à des fins d’optimisation, le consentement est nécessaire pour le traitement d’anonymisation. En revanche, si les données ont été préalablement anonymisées de manière effective, leur réutilisation pour l’optimisation ne nécessite plus de consentement, sous réserve du respect des autres principes (compatibilité, sécurité, etc.).
7.1. L’usage de la localisation à des fins de gestion de flotte par les loueurs de véhicules, y compris en autopartage, vise principalement la gestion de l’exécution des contrats de location et la gestion de la performance du service. Les finalités incluent l’organisation de la fourniture et de la restitution du véhicule (identification de la localisation, verrouillage/déverrouillage via application mobile), la vérification du kilométrage pour ajuster la facturation, ou encore la vérification de l’absence de franchissement de frontières ou de zones de circulation prohibées.
7.2. La gestion de la performance du service repose sur la localisation pour gérer les locations suivantes, par exemple en estimant la durée du retard d’un locataire afin d’acheminer un autre véhicule. L’usage de la localisation varie selon que la location est physique (agence) ou à distance (borne, site internet, application, autopartage ou free floating).
7.3. La société de location est en principe responsable du traitement pour les finalités de gestion commerciale de la flotte, dès lors qu’elle détermine les finalités et les moyens essentiels (boîtier télématique, application mobile, capteur GPS, modalités de remontée des données vers ses serveurs ou ceux de ses sous-traitants). Lorsque les données de localisation sont collectées via des dispositifs intégrés par le constructeur et mises à disposition via une API, la société de location reste responsable pour ses propres finalités, tandis que le constructeur peut être responsable pour les siennes.
7.4. Les loueurs peuvent recourir à des sous-traitants pour la collecte et le traitement des données de localisation, tels que les fournisseurs de boîtiers télématiques ou les intégrateurs de données jouant un rôle d’intermédiaire entre constructeurs et gestionnaires de flotte. Ces relations doivent être encadrées par des contrats conformes à l’article 28 du RGPD.
8.1. La collecte et le traitement des données de localisation des véhicules loués impliquent un accès à des informations stockées dans un terminal (véhicule connecté, boîtier télématique, téléphone portable de l’utilisateur). L’article 82 de la loi Informatique et Libertés est donc applicable. Toutefois, le consentement de l’utilisateur n’est pas requis lorsque l’accès et le traitement sont nécessaires à la fourniture du service de location.
8.2. Au titre du RGPD, l’exécution du contrat (article 6, paragraphe 1, b) constitue généralement la base légale appropriée pour les traitements liés à la gestion commerciale de flotte, à condition qu’ils soient strictement nécessaires à la fourniture du service. L’exemple de la vérification du respect de l’interdiction d’entrer dans certaines zones (zone non carrossable, autre pays) illustre un usage fondé sur le contrat, de même que la location de vélos électriques par une autorité organisatrice de la mobilité.
8.3. Pour la location au kilomètre, la vérification du kilométrage est nécessaire à l’exécution du contrat. Toutefois, le recours aux données de localisation ne peut être fondé sur le contrat s’il existe des moyens moins intrusifs (par exemple, l’odomètre). Les données de localisation peuvent être utilisées lorsque le véhicule n’est pas équipé d’odomètre ou pour contrôler l’exactitude de celui-ci, sous réserve de respecter la minimisation et la limitation de la conservation.
9.1. La CNIL recommande, là encore, de privilégier les traitements de données de localisation en local et de limiter la remontée vers les serveurs aux cas nécessaires. Un tableau détaille les éléments déclencheurs de l’activation et de la désactivation de la localisation ainsi que les durées de conservation selon les finalités (organisation de la fourniture et de la restitution, vérification de zones prohibées, vérification du kilométrage, gestion des retards).
9.2. Pour la vérification de l’absence de franchissement de zones prohibées, la conservation d’un historique complet du trajet n’est pas nécessaire et serait contraire au principe de minimisation. La CNIL recommande une collecte peu fréquente (espacée) des positions, adaptée à la granularité nécessaire, et un écrasement de chaque donnée par la suivante, sauf en cas d’entrée dans une zone interdite, selon un mécanisme proche du géorepérage (geofencing).
9.3. Pour la vérification du kilométrage, les données de localisation n’ont pas vocation à être conservées une fois la distance calculée. Elles peuvent être automatiquement converties en distance, puis supprimées au fur et à mesure, ne conservant que les données de distance additionnées.
9.4. Les données de localisation peuvent être conservées au-delà des durées indicatives en cas de suspicion de vol ou à des fins d’établissement de preuves en cas de risque contentieux, selon une analyse au cas par cas et dûment documentée. Dans ce cas, la conservation poursuit une autre finalité et doit respecter l’ensemble des obligations RGPD (base légale, information, archivage intermédiaire, suppression dès que la conservation n’est plus nécessaire).
10.1. Les sociétés de location doivent respecter les obligations d’information des personnes concernées sur les traitements de données de localisation. Une bonne pratique consiste à combiner plusieurs modalités d’information : contrat de location, politique de confidentialité, supports papier ou dématérialisés, et dispositifs complémentaires pour informer les autres conducteurs ou passagers.
10.2. Un point spécifique concerne le sort des données stockées sur le tableau de bord du véhicule (adresses, parcours, numéros de téléphone) lorsque le dernier utilisateur ne les efface pas. Bien que les gestionnaires de flotte ne soient pas nécessairement responsables du traitement de ces données, la CNIL recommande des mesures d’information et de sensibilisation : notices claires à bord, messages ou autocollants rappelant d’effacer les données, messages dans l’application mobile pour les flottes en libre-service, et implication des salariés lors du contrôle de l’état du véhicule ou du nettoyage pour procéder à l’effacement sans prendre connaissance des données.
11.1. Les données de localisation sont utiles en cas de panne, dysfonctionnement ou accident du véhicule, afin d’identifier précisément le lieu où il se trouve et de faciliter la prise en charge par une société d’assistance. La prestation peut être internalisée par le gestionnaire de flotte ou externalisée à une société tierce.
11.2. Lorsque la prestation est opérée par le gestionnaire de flotte, celui-ci est responsable du traitement dès lors qu’il décide de traiter les données de localisation pour exécuter la prestation et qu’il détermine les moyens (données collectées, moyens techniques, fréquence, durée de conservation).
11.3. Lorsque la prestation est confiée à une société distincte, la qualification dépend de l’analyse au cas par cas. Le gestionnaire de flotte et la société d’assistance peuvent être responsables conjoints s’ils décident ensemble de traiter les données de localisation et en déterminent les moyens essentiels. À défaut, le gestionnaire peut être sous-traitant agissant pour le compte de la société d’assistance.
11.4. L’article 82 de la LIL s’applique également ici, car l’accès aux données du boîtier télématique implique un accès à un terminal. Si le service d’assistance fait l’objet d’une clause contractuelle optionnelle ou d’un contrat spécifique, les données sont nécessaires à ce service et aucun consentement n’est requis au titre de l’article 82. En revanche, si le service est automatiquement associé à la location sans possibilité de refus, il est considéré comme un accessoire détachable et un consentement est requis au titre de l’article 82 ; en cas de refus, le service ne doit pas être activé.
11.5. Sur le plan du RGPD, lorsque l’assistance constitue une prestation optionnelle, la base légale du contrat (article 6, paragraphe 1, b) peut être mobilisée. Si la prestation d’assistance est incluse d’office dans le contrat de location sans possibilité de refus, l’exécution du contrat n’est pas une base pertinente pour le traitement des données de localisation, l’objet principal du contrat étant la location. Dans ce cas, le consentement (article 6, paragraphe 1, a) est la base appropriée, en cohérence avec l’article 82 de la LIL.
11.6. La CNIL recommande, au titre de la minimisation, de collecter et de remonter la localisation du véhicule au moment où l’utilisateur opère sa demande de prise en charge. La localisation avant la survenance de la panne ou de l’accident n’apparaît pas nécessaire. Lorsque des données de localisation ont déjà été collectées pour d’autres finalités, l’accès ou la transmission à la société d’assistance doit être conditionné à la demande de prise en charge, et seule la dernière position doit être accessible ou transmise.
11.7. Les données de localisation nécessaires à l’assistance et au dépannage doivent être supprimées dès que le service ou les procédures liées prennent fin, sauf disposition légale spécifique. L’information des personnes doit intervenir au moment de la souscription au service de location, avant la collecte des données à cette fin, et préciser, le cas échéant, la transmission à la société d’assistance et la répartition des obligations d’information en cas de responsables conjoints.
12.1. Les boîtiers télématiques, initialement conçus pour la gestion de flotte professionnelle, la maintenance et la logistique, sont également présents dans les flottes destinées à des clients particuliers. Ils remontent des données de localisation utiles pour retrouver un véhicule ou planifier des réparations préventives en fonction du kilométrage.
12.2. Les agrégateurs de données s’appuient sur les données remontées par les API des constructeurs, issues des capteurs internes du véhicule, dont la localisation. Ils offrent une vision harmonisée des données d’une flotte, même lorsque plusieurs API de constructeurs différents sont utilisées. Contrairement à la technique d’agrégation utilisée pour l’anonymisation (addition, moyenne, généralisation), les données traitées par les agrégateurs ne sont pas nécessairement anonymisées.
12.3. Selon les cas, les fournisseurs de boîtiers télématiques ou les agrégateurs peuvent être sous-traitants lorsqu’ils collectent des données pour le compte et sous les instructions de leurs clients, ou responsables du traitement lorsqu’ils décident de l’objectif et des modalités de leur traitement (données collectées, durée de conservation, mesures de sécurité). Ils sont en tout état de cause responsables lorsqu’ils poursuivent des finalités propres, par exemple l’amélioration et l’optimisation de leurs services.
12.4. Chaque acteur doit déterminer, au cas par cas, sa qualification au regard de son rôle effectif pour chaque traitement, en se référant notamment au point 3.3 de la recommandation. En cas de sous-traitance, le contrat doit préciser les obligations respectives en matière de protection des données (article 28 du RGPD), notamment en matière de sécurité.
12.5. Sur le plan de la sécurité (article 32 du RGPD), les fournisseurs de boîtiers et les agrégateurs doivent mettre en œuvre des mesures techniques et organisationnelles appropriées. La CNIL renvoie à sa recommandation technique sur les API, qui distingue les rôles de détenteurs de données, gestionnaires d’API et réutilisateurs, et insiste sur la sécurité, la minimisation et la protection des données transmises par API.
12.6. Les services cloud associés aux données transmises par les boîtiers ou les agrégateurs doivent être conçus pour assurer un cloisonnement des données entre clients (bases distinctes, cloisonnement logique, chiffrement en base avec clés distinctes, droits d’accès séparés). Lorsque le numéro d’identification du véhicule (VIN) est collecté, il devrait être protégé par des techniques de hachage cryptographique à l’état de l’art lorsqu’il n’est pas utile au traitement.
12.7. Pour les boîtiers télématiques, la CNIL recommande un chiffrement des données au repos et en transit (chiffrement de la mémoire flash, usage de TLS ou de liaisons VPN pour la communication via 4G/5G ou Wi-Fi). Elle recommande également d’utiliser les capacités de calcul locales du véhicule ou du boîtier pour effectuer le plus en amont possible les traitements (par exemple, généralisation des données), et de minimiser les données stockées compte tenu de l’espace limité.
12.8. Les boîtiers devraient être désactivables à distance pour permettre au gestionnaire de flotte ou au conducteur de contrôler l’activation et la désactivation du service, conformément aux principes de protection des données dès la conception et par défaut. Des mesures de sécurité physique et logique doivent protéger les connecteurs de débogage (JTAG, série), avec désactivation matérielle des interfaces de débogage, procédures de démarrage sécurisé et protection des mémoires.
12.9. Pour les solutions d’agrégation, la CNIL recommande également une désactivation à distance de la remontée de la localisation lorsque ces données ne sont pas nécessaires au service. Les agrégateurs devraient permettre aux utilisateurs de ne collecter que les données nécessaires, via des API sécurisées à granularité fine, un paramétrage des données accessibles ou téléchargeables, et la création de profils aux droits d’accès distincts pour un même client.
13.1. Recommandations et décisions citées dans le texte :
– Délibération SAN-2022-025 du 29 décembre 2022 (paragraphes 58 et suivants) : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046768989
– Délibération SAN-2022-023 du 19 décembre 2022 (paragraphes 48 et suivants) : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046768989
– Lignes directrices 01/2020 du CEPD sur les véhicules connectés (point 53) : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012020-processing%20personal-data-context_fr
– Déclaration 03/2021 sur le règlement « vie privée et communications électroniques » (pp. 4-5) : https://www.edpb.europa.eu/system/files/2021-06/edpb_statement_032021_eprivacy_regulation_fr.pdf
– Recommandation technique relative à l’utilisation des API pour le partage sécurisé de données personnelles (2023) : https://www.cnil.fr/sites/cnil/files/2023-07/recommandation_api.pdf
Type d’acte, par exemple : Proposition de loi, Protocole, décret, arrêté, loi, ordonnance, délibération, recommandation, circulaire, instruction, avis, décision, communiqué, rapport, question ministérielle, réponse ministérielle, autre
recommandation
Autorité / organisme : Reprendre l’autorité, le ministère, l’institution, l’organisme, l’autorité administrative indépendante ou autorité ayant rendu ce texte officiel
Commission nationale de l’informatique et des libertés (CNIL)
Date du texte sous la forme jour mois année, exemple de sortie : 14 avril 2026
30 juin 2026
Numéro exact du texte sauf si non indiqué
Variantes exactes de recherche :
recommandation
Résumé :
Ce passage de la recommandation de la CNIL, publiée au Journal officiel du 30 juin 2026, précise les conditions de licéité, de minimisation, de conservation et d’information applicables aux traitements de données de localisation mis en œuvre pour l’optimisation et l’amélioration des produits et services, ainsi que pour la gestion de flottes commerciales (gestion des contrats de location, performance du service, assistance et dépannage). Il décrit la répartition des rôles entre responsables de traitement, responsables conjoints et sous-traitants, les bases légales mobilisables (contrat, intérêt légitime, consentement) et les mesures techniques et organisationnelles recommandées, en renvoyant à plusieurs dispositions du RGPD, de la loi Informatique et Libertés et à des recommandations techniques de la CNIL.
Approfondir ce sujet :