Minimisation des données de géolocalisation et consentement aux cookies reCaptcha

La formation restreinte retient une violation de l’article 5, paragraphe 1, c), du RGPD lorsque la collecte de données de géolocalisation excède ce qui est nécessaire aux finalités poursuivies. Le rapprochement possible entre les bases « scooter », « réservation » et « client » suffit à qualifier les positions collectées pendant une location de données à caractère personnel. La collecte toutes les trente secondes est jugée excessive pour traiter les réclamations, les infractions, les vols et les accidents lorsqu’aucun fait générateur ne la déclenche. Des moyens moins intrusifs pouvaient être employés.

La société est également sanctionnée au titre de l’article 28, paragraphe 3, du RGPD, certains contrats de sous-traitance ne comportant pas toutes les mentions requises. La mise en conformité ultérieure est prise en compte, sans faire disparaître le manquement.

L’utilisation de reCaptcha engage la responsabilité de l’éditeur au regard de l’article 82 de la loi du 6 janvier 1978. Une exemption au consentement ne peut être invoquée lorsque l’outil poursuit, au-delà de l’authentification, des finalités d’analyse. L’information doit être claire, spécifique et préalable, et le consentement recueilli avant la lecture ou l’écriture d’informations sur le terminal.

Sur le fondement des articles 20 de la loi du 6 janvier 1978 et 83 du RGPD, la CNIL prononce une amende en tenant compte de la gravité, de la durée, de l’ampleur du traitement, de la nature des données, de la coopération et de la situation financière de l’organisme.

⬇️Télécharger la décision version officielle

La société collectait les positions GPS de scooters électriques à intervalles réguliers et les conservait jusqu’à deux ans avant anonymisation. La CNIL a relevé une collecte quasi permanente, le rapprochement avec les données d’utilisateurs, des manquements concernant reCaptcha, l’information et le consentement, ainsi que des contrats de sous-traitance incomplets. Plusieurs manquements au RGPD et à la loi Informatique et Libertés ont été retenus.

Une société exploite un service de location de scooters électriques en libre-service, accessible par application mobile et facturé à la minute. Les scooters sont équipés d’un système GPS enregistrant leur position toutes les trente secondes lorsqu’ils sont actifs, puis toutes les quinze minutes lorsqu’ils sont inactifs. Les données sont conservées douze mois en base active et douze mois en archivage avant anonymisation.

La CNIL a contrôlé le site internet et l’application, notamment les données collectées, la sous-traitance et la sécurité. Elle a constaté que les positions pouvaient être rapprochées des données de réservation et d’utilisateur, et qu’elles étaient collectées de manière quasi permanente pour gérer les réclamations, infractions, vols et accidents.

Le site et l’application utilisaient également reCaptcha de Google, permettant des opérations d’analyse sans information préalable ni consentement valable. Certains contrats de sous-traitance étaient incomplets. La formation restreinte a retenu plusieurs manquements au RGPD et à la loi Informatique et Libertés.

• Rattachement possible des données de position à une personne identifiable.
• Nécessité démontrée de la fréquence de collecte au regard de chaque finalité.
• Absence de moyens alternatifs moins intrusifs permettant d’atteindre les mêmes objectifs.
• Existence d’un fait générateur pour déclencher la géolocalisation liée à un incident.
• Information claire, spécifique et préalable sur les opérations de reCaptcha.
• Consentement recueilli avant la lecture ou l’écriture d’informations sur le terminal.
• Contrats de sous-traitance comportant les mentions exigées par l’article 28.

• Procès-verbal du contrôle en ligne du site et de l’application.
• Architecture des bases « scooter », « réservation » et « client ».
• Paramétrage GPS enregistrant une position toutes les trente secondes.
• Conditions générales de reCaptcha et informations fournies par Google.
• Politique de confidentialité ne précisant ni finalités ni opposition aux traceurs.
• Contrats de sous-traitance incomplets au regard de l’article 28 du RGPD.

La société supporte une amende administrative globale de 125 000 euros et la publicité de la sanction, avec anonymisation différée. Elle doit limiter la géolocalisation, encadrer ses sous-traitants et recueillir un consentement valable pour les traceurs reCaptcha.

• Réduire la fréquence de localisation aux données strictement nécessaires.
• Déclencher le suivi sur un fait générateur documenté.
• Remplacer le suivi continu par des alertes ou confirmations ciblées.
• Mettre à jour les contrats de sous-traitance conformément à l’article 28.
• Informer préalablement les utilisateurs et recueillir leur consentement.
• Documenter les finalités, statistiques et mesures de conformité.

À faire

• Cartographier les bases et les possibilités de rapprochement.
• Justifier chaque fréquence de collecte par une finalité précise.
• Prévoir un déclenchement sur déclaration d’incident ou de vol.
• Compléter les clauses contractuelles des sous-traitants.
• Recueillir le consentement avant l’activation de reCaptcha.

À éviter

• Conserver la géolocalisation continue par défaut.
• Assimiler l’immobilité du scooter à une volonté de fin.
• Utiliser reCaptcha pour l’analyse sans consentement.
• Se limiter à une information générale postérieure au dépôt.
• Invoquer une mise en conformité ultérieure pour effacer le manquement.

Le principe de minimisation des données de géolocalisation

nLa collecte de positions toutes les trente secondes pendant la location méconnaît l’article 5, paragraphe 1, c), du RGPD lorsqu’elle n’est pas nécessaire aux finalités poursuivies. Le rapprochement possible des bases de données rend les positions rattachables à une personne. Les finalités de réclamation, d’infraction et de vol pouvaient être atteintes par des données moins fréquentes ou déclenchées par un événement, ainsi que par des moyens alternatifs moins intrusifs.n

La responsabilité de l’éditeur pour les traceurs reCaptcha

nL’éditeur qui choisit d’intégrer reCaptcha est responsable du respect de l’article 82 de la loi Informatique et Libertés. L’exemption applicable à la seule sécurisation de l’authentification ne s’étend pas aux opérations d’analyse réalisées par Google. Une information claire, spécifique et préalable ainsi qu’un consentement valable étaient donc nécessaires avant la lecture ou l’écriture d’informations sur le terminal.n

Les critères de l’amende administrative

nLes articles 20 de la loi du 6 janvier 1978 et 83 du RGPD permettent une amende tenant compte notamment de la nature, de la gravité et de la durée des violations, de l’ampleur du traitement, des catégories de données, de la coopération, des mesures correctrices et de la situation financière. La mise en conformité ultérieure des contrats de sous-traitance a été prise en considération sans supprimer le manquement.

Article 56 du règlement (UE) 2016/679 (RGPD), Article 60 du règlement (UE) 2016/679 (RGPD), Article 5, paragraphe 1, c), du règlement (UE) 2016/679 (RGPD), Article 9 du règlement (UE) 2016/679 (RGPD), Article 28, paragraphe 3, du règlement (UE) 2016/679 (RGPD), Article 83 du règlement (UE) 2016/679 (RGPD), Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 32-II de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978