Vérification juridique effectuée le 22 août 2026. Une application de flotte peut afficher une position en temps réel, conserver un historique, produire un export et transmettre certaines informations à un donneur d’ordre. Ces quatre fonctions ne donnent pas nécessairement accès aux mêmes personnes. L’audit utile consiste donc à relier chaque écran à une finalité, un rôle, une durée et une preuve d’habilitation, plutôt qu’à se contenter d’un bouton « localisation activée ».
La géolocalisation permet souvent d’affecter une course, d’aider un conducteur ou de justifier une prestation. Elle révèle aussi des déplacements et peut identifier indirectement une personne. La CNIL rappelle en juillet 2026 que ces données relèvent du RGPD lorsqu’elles permettent cette identification. Le niveau de précision, la collecte en arrière-plan, les destinataires et la conservation doivent rester adaptés au service réellement rendu.
Commencer par distinguer deux situations
Dans une flotte employant des conducteurs, les règles du travail s’ajoutent au RGPD. L’article L. 1222-4 du Code du travail interdit de collecter une information concernant personnellement un salarié au moyen d’un dispositif qui ne lui a pas été préalablement présenté. La fiche de la CNIL consacrée aux véhicules des salariés précise également les finalités admises, les usages à exclure et les garanties attendues.
Pour un chauffeur indépendant utilisant une application, le même raisonnement sur les données personnelles demeure pertinent, mais il ne faut pas lui attribuer automatiquement les règles propres à la surveillance d’un salarié. Il faut identifier l’acteur qui détermine l’usage des données — exploitant, plateforme, éditeur ou autre responsable du traitement — puis lire l’information fournie dans l’application et le contrat.
Les quatre vues à inventorier
| Vue | Question de contrôle | Risque à rechercher |
|---|---|---|
| Temps réel | Quel rôle voit le véhicule et avec quelle précision ? | Accès trop large ou maintien hors service |
| Historique | Qui peut rouvrir un trajet passé et sur quelle profondeur ? | Conservation sans finalité active |
| Export | Qui peut télécharger un fichier et où celui-ci est-il stocké ? | Copie locale oubliée ou partage incontrôlé |
| Partage externe | Un client, un donneur d’ordre ou un prestataire reçoit-il la donnée ? | Transmission plus détaillée que nécessaire |
Testez ces vues avec un compte de chaque rôle réellement utilisé : direction, régulation, exploitation, facturation, conducteur et, s’il existe, client entreprise. Une matrice écrite est plus fiable qu’une liste de fonctions théoriques. Elle doit indiquer le droit de voir, d’exporter, de corriger et de supprimer, ainsi que la personne qui autorise ce droit.
Finalité : une carte avant chaque permission
Pour les véhicules de salariés, la CNIL cite notamment le suivi ou la facturation d’une prestation directement liée au véhicule, la sécurité, l’allocation des moyens, certaines obligations légales et, à titre accessoire, le suivi du temps de travail lorsqu’aucun autre moyen ne convient. Elle exclut notamment le contrôle permanent, le contrôle des limitations de vitesse et la collecte hors temps de travail.
Cette liste ne transforme pas toute fonction disponible dans le logiciel en usage autorisé. Écrivez une finalité précise devant chaque permission : « affecter le véhicule le plus proche pendant le service » est contrôlable ; « optimiser l’activité » ne dit ni ce qui est observé, ni quand, ni par qui.
Qui peut voir quoi dans une flotte
- La régulation peut avoir besoin d’une position opérationnelle pendant le service, sans disposer automatiquement de tous les exports historiques.
- La facturation peut avoir besoin d’une preuve de prestation, pas d’une surveillance permanente du conducteur.
- Le client ou donneur d’ordre ne reçoit que l’information justifiée par la prestation. La CNIL précise, pour les véhicules de salariés, que le nom du conducteur ne doit pas être communiqué s’il n’est pas particulièrement et indispensablement utile.
- L’éditeur du logiciel n’est pas un destinataire banal : le contrat doit préciser son rôle, la confidentialité, la sécurité et les éventuels sous-traitants.
- L’ancien salarié ou prestataire ne doit plus conserver un compte actif après la fin de sa mission.
Contrôler les comptes, pas seulement les écrans
Un menu « administrateur » correctement configuré ne suffit pas si plusieurs personnes partagent le même identifiant. La CNIL demande une politique d’habilitation, la sécurisation des échanges et la journalisation des accès et des opérations pour les dispositifs concernant des véhicules de salariés. En pratique, attribuez un compte nominatif, activez l’authentification renforcée lorsqu’elle est proposée et retirez rapidement les droits devenus inutiles.
Ouvrez ensuite le journal d’activité. Cherchez au minimum les connexions, les consultations d’historique, les exports et les changements d’habilitation. Si le logiciel ne trace pas ces opérations, notez cette limite et demandez une réponse écrite à l’éditeur avant de présenter le dispositif comme auditable.
Hors service : vérifier le comportement réel
La fiche CNIL sur les véhicules de salariés indique que la localisation ne doit pas être collectée hors temps de travail et que les salariés doivent pouvoir désactiver la collecte ou la transmission en dehors de ce temps. Vérifiez le comportement du système après déconnexion, fermeture de l’application et passage en mode privé. Une icône éteinte ne prouve pas à elle seule que le serveur ne reçoit plus rien.
- Terminez une session de test et notez l’heure.
- Fermez l’application puis contrôlez les permissions de localisation du téléphone.
- Demandez à l’administrateur ce qu’il voit après la fin du service.
- Rouvrez l’historique le lendemain et vérifiez si une trace hors service apparaît.
Pour compléter cette vérification côté terminal, relisez notre guide public sur la navigation et les données personnelles du téléphone professionnel.
Une durée n’est pas choisie « par défaut »
La fiche CNIL sur les véhicules de salariés retient en principe une conservation maximale de deux mois. Elle prévoit des cas plus longs : jusqu’à un an pour optimiser les tournées ou prouver des interventions lorsqu’aucun autre moyen ne permet cette preuve, et cinq ans lorsque les données servent au suivi du temps de travail. Ces repères ne justifient pas de tout conserver cinq ans : la finalité effectivement poursuivie commande la durée.
Dans l’outil, comparez trois éléments : la durée annoncée aux conducteurs, la durée configurée par l’administrateur et la profondeur réellement visible dans l’historique ou les sauvegardes. Un export manuel peut survivre après la suppression automatique de la plateforme ; il doit donc avoir sa propre règle de classement et d’effacement.
Les informations que le conducteur doit pouvoir retrouver
- l’identité et les coordonnées du responsable du traitement ;
- les finalités et la base légale annoncées ;
- les catégories de destinataires ;
- la durée ou les critères qui la déterminent ;
- les droits applicables et le canal pour les exercer ;
- le moyen de saisir la CNIL en cas de difficulté.
Si l’application renvoie vers plusieurs politiques différentes, relevez leur date et conservez une copie de la version applicable au moment de l’audit. Une information claire doit permettre de relier la permission technique aux usages réels ; l’autorisation donnée dans le système d’exploitation ne vaut pas à elle seule accord pour tous les usages publicitaires ou tous les partages.
L’audit de quinze minutes
- Capturer la liste des rôles et des comptes actifs.
- Tester temps réel, historique et export avec deux niveaux d’accès.
- Vérifier la coupure hors service sur un véhicule ou téléphone témoin.
- Comparer la conservation annoncée à la profondeur réellement disponible.
- Retirer un accès inutile et consigner la date de l’opération.
- Envoyer à l’éditeur ou à l’exploitant les questions restées sans preuve.
La conclusion doit tenir en trois colonnes : accès justifié, accès à réduire et information manquante. Ne qualifiez pas juridiquement un dispositif à partir d’une capture isolée ; documentez le rôle de la personne, la finalité et le contexte de travail.