Le contrôle à faire cette semaine : ouvrez les réglages de localisation du téléphone professionnel, puis ceux du véhicule, du boîtier ou de l’outil de flotte. Pour chaque service, notez quand la position est collectée, qui la reçoit et combien de temps l’historique reste accessible. Deux publications récentes de la CNIL invitent à examiner ensemble ces deux sources de données : la recommandation du 30 juin 2026 sur les véhicules connectés et la fiche du 7 juillet 2026 sur la géolocalisation dans les applications mobiles.

Pour un chauffeur ou un dirigeant VTC, le sujet ne se limite donc plus au GPS de la voiture. Une même course peut laisser des positions dans l’application de plateforme, la navigation, le téléphone, le système embarqué et l’interface d’un prestataire. Le bon réflexe n’est pas de supposer que tout est nécessaire : il faut vérifier chaque flux séparément.

Ce que le signal CNIL du 7 juillet ajoute au contrôle

La CNIL rappelle que la géolocalisation d’un mobile peut permettre d’identifier ou de réidentifier une personne et révéler ses habitudes de déplacement. Une collecte précise et continue est particulièrement intrusive. Elle attire aussi l’attention sur la circulation possible de données dans l’écosystème publicitaire et chez des intermédiaires spécialisés.

Le conseil directement applicable consiste à préférer, lorsqu’elle suffit au service, l’autorisation « pendant l’utilisation de l’application » à une localisation permanente. Il faut aussi retirer l’autorisation aux applications inutilisées et supprimer les historiques qui n’ont plus d’utilité. Ces réglages réduisent l’exposition, mais ils ne disent pas à eux seuls si chaque traitement est juridiquement justifié : ils constituent le premier niveau du contrôle.

Véhicule connecté : cinq questions avant de conclure

La recommandation publiée le 30 juin concerne principalement les véhicules connectés utilisés par des particuliers propriétaires ou locataires. Elle s’adresse notamment aux constructeurs, loueurs, fournisseurs télématiques et agrégateurs de données. La CNIL demande que les traitements soient nécessaires, proportionnés et transparents, avec une limitation de la précision, de la fréquence, du volume et de la durée.

Pour vérifier votre configuration VTC, posez cinq questions au fournisseur ou dans l’interface :

  1. Quelle fonction utilise la position ? Assistance, antivol, affectation, navigation et statistique ne sont pas une seule finalité.
  2. La position actuelle suffit-elle ? Une alerte ou une dernière position peut parfois remplacer un historique complet.
  3. La donnée quitte-t-elle le téléphone ou le véhicule ? Un calcul local limite l’envoi de coordonnées vers un serveur lorsque le service le permet.
  4. Qui peut consulter les trajets ? Contrôlez les comptes administrateurs, les accès du loueur, du constructeur et du prestataire.
  5. Comment supprimer une trace ? Testez la suppression d’un trajet, d’un compte et d’un export, sans oublier les sauvegardes.

Trois situations VTC à ne pas confondre

Chauffeur indépendant propriétaire ou locataire : il doit d’abord comprendre ce que collectent l’application, le constructeur, le loueur et les services connectés. Une option activée par défaut n’est pas nécessairement indispensable à la course.

Exploitant qui choisit un outil de suivi : s’il détermine pourquoi et comment les positions sont exploitées, il doit documenter ses propres choix : finalité, données nécessaires, personnes autorisées, durée et information des personnes concernées.

Employeur qui équipe des véhicules confiés à des salariés : la recommandation « véhicules connectés » n’est pas un mode d’emploi complet pour la surveillance au travail. La CNIL maintient une fiche spécifique sur la géolocalisation des véhicules des salariés, actuellement signalée comme étant en cours de mise à jour. Il faut donc contrôler le contexte de travail séparément et éviter de transposer une conclusion destinée aux particuliers.

Le test de vingt minutes

  • 5 minutes : listez les applications autorisées « toujours », « pendant l’utilisation » ou « jamais ».
  • 5 minutes : ouvrez l’espace du véhicule, du boîtier ou de la flotte et mesurez la profondeur réelle de l’historique.
  • 5 minutes : relevez les destinataires indiqués dans l’information et les contrats du prestataire.
  • 5 minutes : désactivez un accès non nécessaire et demandez par écrit la durée ou la procédure de suppression lorsqu’elle reste inconnue.

Décision de fin de contrôle : si vous ne pouvez pas expliquer la finalité, l’accès et la suppression d’un flux, ne le qualifiez pas encore de conforme. Suspendez ce qui n’est pas nécessaire au service, demandez les paramètres au fournisseur et consignez la réponse. Pour le véhicule lui-même, profitez aussi d’un bilan d’usage avant l’achat pour vérifier les services connectés inclus.

Sources officielles