Un exploitant qui suit ses véhicules par boîtier ou par les données du constructeur se demande, à la publication de la recommandation de la CNIL sur les véhicules connectés, si sa pratique reste conforme. La lecture utile ne consiste pas à chercher un chiffre unique, mais à situer chaque traitement : qui collecte, pour quelle finalité, avec quelle information du conducteur et pour quelle durée.
La recommandation publiée par la CNIL le 30 juin 2026 porte sur les véhicules connectés utilisés par des particuliers, propriétaires ou locataires. Elle ne couvre pas les véhicules de fonction mis à disposition des salariés par leur employeur : pour ces usages, consultez la fiche CNIL consacrée à la géolocalisation des véhicules des salariés. Identifiez donc le type d’utilisateur et la relation avec le gestionnaire avant de choisir la référence applicable.
Ce qui relève de l’obligation et ce qui relève du choix
La distinction de principe est la suivante. Le RGPD s’applique de plein droit dès qu’un traitement porte sur des données à caractère personnel, ce qui est presque toujours le cas de la localisation d’un véhicule rattaché à un conducteur identifié. Le respect des grands principes — finalité déterminée, minimisation, information, durées de conservation, sécurité — est une obligation, pas une option.
En revanche, la manière de les mettre en œuvre relève largement des choix du responsable de traitement : quelle granularité de localisation conserver, quels accès limiter, comment informer le conducteur, avec quel sous-traitant travailler. La recommandation n’a pas la force d’un texte législatif ; elle éclaire la lecture attendue par le régulateur.
Finalité, minimisation, information : trois points de contrôle
- Finalité : chaque donnée collectée doit répondre à un objectif précis et légitime — gestion de flotte, sécurité, maintenance, facturation — jamais à une collecte générale « au cas où ».
- Minimisation : ne conserver que les données strictement nécessaires, à la granularité la plus faible possible ; la localisation en continu n’est pas équivalente à la localisation au moment d’une course ou d’un incident.
- Information : le conducteur doit savoir quelles données sont traitées, pourquoi et avec quels droits ; une clause noyée dans un contrat de travail ou un règlement intérieur ne suffit pas.
Les points sensibles pour les flottes
Pour une flotte employant des salariés, ne confondez pas absence de course et absence de travail : une attente ou un trajet entre deux clients peut relever du travail. En revanche, la CNIL exclut la collecte de la localisation en dehors du temps de travail et demande que le salarié puisse désactiver cette collecte ou sa transmission. Le partage avec un assureur, un loueur ou un fournisseur de télématique exige aussi de déterminer le rôle réel de chaque acteur avant de définir les obligations correspondantes.
Le gestionnaire de flotte doit aussi pouvoir répondre à une demande d’accès ou d’effacement d’un conducteur, et documenter les durées de conservation qu’il a retenues. Une donnée conservée « sans limite » est le signal d’alerte le plus courant lors d’un contrôle.
Hébergement, sous-traitance et sécurité
Les données d’une flotte peuvent passer par un constructeur, un opérateur de télématique, un hébergeur, un assureur ou un loueur. Le cadre dépend de leur rôle : un contrat écrit ou un autre acte juridique encadre la sous-traitance ; les responsables conjoints répartissent leurs obligations dans un accord. Entre responsables indépendants, vérifiez pour chaque transmission sa base légale, sa finalité, l’information des personnes et la sécurité, sans assimiler automatiquement le destinataire à un sous-traitant. Dans tous les cas, limitez les données et les accès au besoin identifié.
La localisation en continu est la donnée la plus exposée : elle peut reconstituer des habitudes, des domiciles, des rythmes de travail. C’est pourquoi la recommandation invite à réduire la granularité et la fréquence dès que la finalité ne l’exige pas, et à limiter les accès aux seules personnes qui en ont besoin.
La question à poser par écrit et l’action immédiate
Avant de signer avec un fournisseur de télématique, demandez par écrit : quelles données sont collectées, à quelle fréquence, pour quelle finalité, où elles sont hébergées et pendant combien de temps. Vérifiez que le contrat permet de répondre aux demandes des conducteurs et de restituer ou supprimer les données en fin de relation.
À court terme, établissez un registre simple des traitements de la flotte, bornez la localisation aux créneaux réellement utiles et informez chaque conducteur de ses droits. Vérifiez les durées de conservation recommandées auprès de la CNIL et les obligations en vigueur sur Légifrance avant de fixer une règle définitive.