Géolocalisation permanente des véhicules loués : manquements aux obligations Informatique et Libertés

La formation restreinte retient cinq manquements à l’encontre du responsable de traitement : absence de formalités préalables pour la géolocalisation et la gestion informatisée de la clientèle, collecte excessive, défaut d’information, insuffisance de sécurité et défaut de coopération avec la CNIL.

La norme simplifiée n° 51, relative aux véhicules utilisés par les salariés, ne pouvait couvrir la géolocalisation de véhicules loués à des clients. La collecte 24 heures sur 24 et 7 jours sur 7, sans désactivation, excédait les finalités poursuivies ; elle devait être limitée aux situations de non-restitution ou de vol, conformément à l’article 6 de la loi du 6 janvier 1978.

L’article 32 imposait une information préalable, précise et démontrée des clients sur le traitement de géolocalisation. Des mentions générales dans les conditions contractuelles et une information orale non prouvée ne suffisaient pas. L’article 34 exigeait également une politique de mots de passe régulièrement renouvelés et suffisamment complexes.

Le silence opposé aux courriers et à la mise en demeure caractérisait enfin un manquement à l’article 21. Compte tenu de la gravité et de la pluralité des violations, une sanction pécuniaire de 5 000 euros a été prononcée et rendue publique sur le fondement des articles 45 et 46.

⬇️Télécharger la décision version officielle

Le dispositif de géolocalisation équipant 36 véhicules fonctionnait en permanence et permettait de reconstituer les trajets. Un contrôle a révélé l’absence de formalités préalables, de preuve d’information des clients et de renouvellement du mot de passe. La CNIL a mis la société en demeure de limiter la géolocalisation aux vols ou non-restitutions, d’informer les clients et de sécuriser les accès. La société n’a répondu à aucune sollicitation.

Une société exerçant une activité de location de véhicules de luxe avait équipé 36 véhicules d’un dispositif de géolocalisation. Le système fonctionnait en permanence, sans possibilité de désactivation, et permettait d’enregistrer les données de temps et de lieu ainsi que de reconstituer les trajets.

Un client a saisi la CNIL, qui a adressé plusieurs courriers puis effectué un contrôle sur place. La délégation a constaté l’absence de formalités préalables pour la géolocalisation et certains dossiers informatisés de clientèle, l’absence de preuve d’une information préalable des clients et l’utilisation d’un mot de passe inchangé depuis plus de deux ans.

La CNIL a ensuite mis en demeure la société de régulariser ses traitements, de limiter la géolocalisation aux situations de vol ou de non-restitution, d’informer les clients et de sécuriser les mots de passe. La société n’a répondu ni aux courriers ni à la mise en demeure et n’a présenté aucune observation lors de la procédure de sanction.

• Accomplir les formalités préalables propres à chaque traitement mis en œuvre.
• Limiter les données collectées à ce qui est adéquat, pertinent et non excessif.
• Restreindre la géolocalisation aux situations de vol ou de non-restitution.
• Informer préalablement les personnes de manière précise et démontrable.
• Renouveler régulièrement les mots de passe et assurer leur complexité.
• Répondre aux demandes et mises en demeure de la CNIL.

• Procès-verbal de contrôle sur place signé contradictoirement.
• Paramétrage de la géolocalisation en fonctionnement permanent sans désactivation.
• Données de temps et de lieu enregistrées dans la base.
• Absence de document établissant l’information préalable des clients.
• Mot de passe inchangé depuis plus de deux ans.
• Courriers recommandés et mise en demeure restés sans réponse.

La société est sanctionnée pour cinq manquements relatifs à ses traitements de données, à l’information des clients, à la sécurité et à sa coopération avec la CNIL. La sanction financière et la publicité de la décision exposent également la société à un impact réputationnel.

• Paiement d’une sanction pécuniaire de 5 000 euros.
• Publication de la décision sur les sites de la CNIL et Légifrance.
• Régularisation des formalités propres à chaque traitement.
• Limitation de la géolocalisation aux vols et non-restitutions.
• Formalisation de l’information préalable des clients.
• Renforcement et renouvellement périodique des mots de passe.

À faire

• Identifier précisément chaque traitement de données mis en œuvre.
• Accomplir les formalités préalables applicables à chaque traitement.
• Insérer une information précise sur la géolocalisation dans les documents remis.
• Désactiver la géolocalisation hors vol ou non-restitution.
• Renouveler les mots de passe et imposer leur complexité.

À éviter

• Invoquer une norme simplifiée inapplicable à l’activité exercée.
• Maintenir une géolocalisation active 24 heures sur 24.
• Se limiter à une information orale non documentée.
• Conserver des mots de passe inchangés pendant plusieurs années.
• Laisser sans réponse les courriers et mises en demeure de la CNIL.

Les formalités préalables des traitements de données

nLa formation restreinte retient l’absence de formalités pour la géolocalisation des véhicules loués et pour les dossiers informatisés de clientèle. L’engagement de conformité à la norme simplifiée n° 51 ne pouvait être invoqué, cette norme concernant les véhicules utilisés par des salariés et non ceux loués à des clients.nn

La proportionnalité de la géolocalisation au regard de l’article 6

nSur le fondement de l’article 6 de la loi du 6 janvier 1978, la collecte doit être adéquate, pertinente et non excessive. Une géolocalisation permanente, sans désactivation, permettait de suivre les clients et de reconstituer leurs parcours. Elle n’était strictement nécessaire qu’en cas de non-restitution ou de vol.nn

La preuve de l’information préalable des personnes

nL’article 32 imposait d’informer préalablement les clients de l’identité du responsable, des finalités et de leurs droits. La société ne démontrait ni une information orale effective ni la remise d’un document écrit. Les clauses générales, dépourvues de référence précise à la géolocalisation, ne suffisaient pas.

Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Loi n° 2011-334 du 29 mars 2011