Le boîtier télématique affiche position, vitesse, arrêts, niveau de batterie et historique des trajets. Le gestionnaire l'a acheté pour optimiser la flotte, puis les responsables commencent à regarder qui s'arrête, qui rentre tard et où dort le véhicule. L'outil n'a pas changé ; ses finalités, elles, ont dérivé.
Une flotte VTC cumule plusieurs traitements : géolocalisation du salarié, données produites par le constructeur, application de dispatch, téléphone connecté et parfois dashcam. Les regrouper sous l'étiquette « suivi véhicule » empêche de justifier collecte, accès et conservation.
Inventorier les sources, pas seulement l'application principale
| Source | Données possibles | Responsable à identifier |
|---|---|---|
| Boîtier flotte | Position, contact, kilométrage, conduite | Exploitant et fournisseur |
| Constructeur | Télémétrie, diagnostic, compte utilisateur | Selon service et contrat |
| Plateforme VTC | Disponibilité, trajet, course et notes | Selon finalités réellement décidées |
| Téléphone | GPS, appels, Bluetooth, destinations | Employeur, éditeur ou utilisateur |
| Infodivertissement | Contacts, historique, adresses favorites | Utilisateur et fournisseur selon usage |
| Dashcam | Images, son, position | Traitement distinct à qualifier |
Une plaque, un numéro de série ou un identifiant de boîtier peut suffire à rattacher les données à un conducteur. La CNIL considère alors trajets, kilométrage, état des pièces ou style de conduite comme des données personnelles lorsqu'une personne est identifiable.
Créer une fiche par finalité
Le gestionnaire ne doit pas écrire « gestion de flotte » comme but unique. Décomposez :
- affecter une course au véhicule disponible ;
- informer le client de l'approche ;
- organiser entretien et recharge ;
- retrouver un véhicule volé ;
- porter assistance après panne ou accident ;
- prouver une intervention lorsqu'aucun autre moyen ne convient ;
- suivre le temps de travail si aucun dispositif moins intrusif n'est adapté ;
- analyser la consommation de façon agrégée.
Pour chaque ligne, documentez base juridique, données, fréquence, personnes, destinataires, durée et droits. Le décryptage de la recommandation CNIL de juin 2026 complète cette matrice pour les données du véhicule connecté.
Ce que la géolocalisation des salariés ne doit pas faire
La fiche CNIL consacrée aux véhicules des salariés exclut notamment :
- le contrôle permanent d'un employé ;
- le contrôle du respect des limitations de vitesse ;
- la collecte de localisation en dehors du temps de travail, y compris trajets domicile-travail et pauses ;
- le suivi d'un salarié disposant d'une liberté dans l'organisation de ses déplacements ;
- le suivi des représentants du personnel dans le cadre de leur mandat ;
- le calcul du temps de travail lorsqu'un autre moyen existe déjà.
Une option proposée par le logiciel n'est pas une finalité légitime. Désactivez les tableaux de vitesse, classements individuels ou alertes sans base et sans nécessité démontrée.
Installer un vrai mode privé
Le chauffeur doit pouvoir désactiver collecte ou transmission de la position en dehors du travail. Le mode privé ne peut pas être un champ caché dans un menu administrateur. Il doit être accessible, visible et testé.
Définissez :
- le geste d'activation et l'indicateur à l'écran ;
- les plages concernées : pause, domicile-travail, usage privé autorisé ;
- les données qui cessent réellement de remonter ;
- le fonctionnement de l'antivol ou de l'assistance ;
- la trace minimale des activations sans enregistrer la position ;
- la procédure si le mode ne fonctionne pas.
La CNIL admet que l'employeur contrôle le nombre ou la durée des désactivations et demande des explications en cas d'abus ; cela ne l'autorise pas à conserver la localisation privée.
Informer avant la collecte
L'article L. 1222-4 du code du travail interdit de collecter une information concernant personnellement un salarié au moyen d'un dispositif qui ne lui a pas été préalablement porté à connaissance. Remettez une notice avant l'activation et gardez la preuve.
La notice indique au moins : responsable, finalités, base, données, destinataires, durées, transferts, droits, contact et réclamation. Ajoutez une démonstration du mode privé, des alertes et du tableau de bord manager.
Un avenant signé ne suffit pas à rendre proportionné un suivi excessif. L'information ne remplace ni la nécessité ni les autres obligations.
Associer le CSE avant la décision
Lorsqu'un comité social et économique existe dans le cadre applicable, le code du travail prévoit son information et sa consultation avant la décision de mettre en œuvre des moyens permettant un contrôle de l'activité des salariés.
Présentez le projet réel : écrans, champs, fréquence, profils d'accès, alertes, mode privé, durées et sous-traitants. Consulter sur une note générale alors que l'outil est déjà activé ne permet pas un examen préalable.
Salarié et indépendant : ne pas copier le même cadre
Le RGPD protège les données d'une personne identifiable quel que soit son statut. Mais le droit du travail, l'information du CSE et les pouvoirs de l'employeur concernent le salarié. Pour un chauffeur partenaire indépendant, il faut qualifier les rôles contractuels, la base du traitement et la liberté réelle dont il dispose. Le dossier sur les responsabilités du gestionnaire de flotte aide à séparer les relations.
Un contrat avec un indépendant n'autorise pas une surveillance permanente. Un pilotage très intrusif peut également contredire l'autonomie annoncée ; faites examiner l'organisation globale plutôt que compter sur l'étiquette du contrat.
Limiter la fréquence et la précision
La recommandation CNIL de juin 2026 qualifie les données de localisation de hautement personnelles et demande de limiter fréquence, quantité et durée. L'historique complet n'est pas nécessaire par défaut ; la dernière position peut suffire pour un dépannage.
| Besoin | Donnée minimale possible | Alternative |
|---|---|---|
| Approche client | ETA ou zone pendant la course | Statut manuel |
| Maintenance | Kilométrage et alertes techniques | Relevé périodique |
| Dépannage | Position actuelle à la demande | Partage ponctuel |
| Analyse énergétique | Données agrégées par véhicule/période | Export mensuel |
| Preuve de course | Deux horodatages définis | Justificatif de réservation |
Le site a déjà expliqué pourquoi les données de course sont un actif. Leur valeur ne justifie pas de tout collecter : un actif mal gouverné devient une dette de sécurité et de conformité.
Appliquer des durées par usage
Pour la géolocalisation des véhicules des salariés, la CNIL présente les repères suivants :
- deux mois en principe ;
- un an pour optimiser les tournées ou prouver les interventions lorsqu'aucun autre moyen ne permet la preuve ;
- cinq ans lorsque les données servent au suivi du temps de travail.
Ce ne sont pas trois options parmi lesquelles choisir la plus longue. La finalité et la nécessité commandent la durée. Si une contestation identifiée impose de geler quelques données, isolez le dossier, limitez les accès et ne prolongez pas l'ensemble de la base.
Limiter les accès par rôle
| Rôle | Vue utile | Vue à éviter |
|---|---|---|
| Dispatch | Disponibilité et position opérationnelle | Historique privé |
| Maintenance | Kilométrage, défauts, véhicule | Noms et trajets passagers |
| RH | Éléments validés pour le temps de travail | Carte temps réel permanente |
| Client | ETA ou preuve indispensable | Identité du chauffeur sans nécessité et historique |
| Direction | Indicateurs agrégés et incidents | Exploration libre de chaque trajet |
La CNIL demande des destinataires précis et une journalisation des accès et opérations. Testez les comptes : un manager d'agence ne doit pas voir toute la flotte nationale par défaut.
Auditer le fournisseur et le constructeur
Le contrat de sous-traitance décrit données, instructions, sécurité, sous-traitants ultérieurs, lieux d'hébergement, transferts, assistance aux droits, incidents et sort des données à la fin. Demandez :
- la liste des capteurs et fréquences ;
- les finalités propres éventuelles du fournisseur ;
- la localisation des données et du support ;
- les profils administrateurs ;
- les journaux disponibles ;
- les durées réelles et mécanismes de purge ;
- l'export et la suppression à la sortie d'un véhicule ;
- le délai de notification d'une violation.
Si le constructeur traite certaines données pour ses propres finalités, il n'est pas nécessairement votre simple sous-traitant. Cartographiez les rôles à partir des faits et des contrats.
Nettoyer le véhicule multi-utilisateur
Un chauffeur connecte son téléphone : contacts, journal d'appels, destinations et compte musical restent parfois dans le tableau de bord. À chaque départ de conducteur, restitution, location ou vente :
- déconnecter les comptes à distance si possible ;
- supprimer appareils Bluetooth ;
- effacer destinations, contacts et messages ;
- réinitialiser les profils sans perdre les données techniques nécessaires ;
- révoquer l'accès à l'application constructeur ;
- contrôler la disparition avec un second utilisateur.
La recommandation CNIL 2026 insiste sur les risques d'accès par les employés du loueur ou le nouvel utilisateur aux données laissées dans le véhicule.
Tester les droits au lieu de promettre
Choisissez un chauffeur et simulez une demande d'accès. L'équipe doit retrouver les données chez boîtier, constructeur et application, les expliquer et répondre dans le délai applicable. Testez aussi rectification, opposition, limitation et suppression selon la base et les obligations.
Une réponse « vos données sont dans le logiciel du fournisseur » n'est pas suffisante. L'employeur reste responsable des outils qu'il choisit pour son traitement.
Protéger la base de localisation
- authentification multifacteur des administrateurs ;
- comptes individuels, jamais partagés ;
- moindre privilège et revues trimestrielles ;
- chiffrement des flux et sauvegardes ;
- journalisation et alertes d'export massif ;
- API et clés limitées ;
- suppression automatique testée ;
- procédure de violation avec le fournisseur ;
- export sécurisé pour les demandes de droits.
Un fichier CSV de trajets envoyé par courriel annule les protections du portail. Définissez un canal et une durée pour les exports.
Quand réaliser une analyse d'impact
Évaluez la nécessité d'une analyse d'impact avant le déploiement, surtout en cas de surveillance systématique, données à grande échelle, croisement ou innovation susceptible d'engendrer un risque élevé. Le raisonnement et la décision doivent être documentés, même si l'analyse conclut qu'une AIPD complète n'est pas nécessaire.
Réévaluez lors d'un changement de fréquence, d'un nouvel algorithme de notation, de l'ajout d'une caméra, d'un partage client ou d'un nouveau fournisseur.
Plan de remise sous contrôle en sept jours
- J1 : exporter la configuration, les accès et les durées ;
- J2 : couper vues de vitesse et collecte hors travail non justifiées ;
- J3 : tester le mode privé sur trois véhicules ;
- J4 : séparer dispatch, maintenance et RH ;
- J5 : valider notice, registre et consultation requise ;
- J6 : revoir contrat et sous-traitants ;
- J7 : simuler accès, suppression et incident.
Checklist du gestionnaire
- sources et rôles cartographiés ;
- une base et une durée par finalité ;
- aucune surveillance permanente ou contrôle de vitesse ;
- mode privé fonctionnel hors travail ;
- chauffeurs informés avant activation ;
- CSE informé et consulté lorsque requis ;
- accès par rôle et journaux revus ;
- contrats, hébergement et transferts contrôlés ;
- comptes personnels effacés à la restitution ;
- droits et violation testés en pratique.
Sources officielles
- CNIL : géolocalisation des véhicules des salariés
- CNIL : recommandation 2026 sur la localisation des véhicules connectés
- CNIL : données de localisation et droits des utilisateurs
- Légifrance : information préalable du salarié, article L. 1222-4
- Légifrance : information-consultation du CSE, article L. 2312-38
- CNIL : gérer la sécurité avec les sous-traitants
- CEPD : lignes directrices sur les véhicules connectés
Sources consultées le 6 septembre 2026. Les finalités, bases et durées dépendent du traitement réel. La recommandation CNIL 2026 sur les particuliers complète, sans remplacer, le cadre spécifique de la géolocalisation des salariés.