Une flotte VTC exploite quatre véhicules avec trois conducteurs salariés. Le responsable envisage deux fonctions télématiques : une carte en temps réel pour affecter les missions et un historique détaillé pour traiter les réclamations. Techniquement, les deux peuvent être activées en quelques clics. Juridiquement et managérialement, cela ne suffit pas : chaque fonction doit avoir un objectif défini, des utilisateurs habilités et une durée de conservation adaptée.
La bonne question n'est donc pas « pouvons-nous voir les véhicules ? », mais « quelle décision opérationnelle justifie chaque donnée, qui peut la consulter et quand doit-elle disparaître ? ». La CNIL exclut notamment l'utilisation de la géolocalisation pour contrôler un salarié en permanence.
Classer chaque règle : obligation, garantie, option ou exclusion
- Obligation : définir les finalités, informer préalablement les salariés, consulter les représentants du personnel lorsqu'ils existent, limiter les destinataires, sécuriser les accès et inscrire le traitement au registre.
- Garantie contractuelle ou conventionnelle : appliquer les protections supplémentaires prévues par le contrat, un accord collectif ou la convention applicable. Un avenant ou une note de service peut porter l'information, mais ne rend pas légitime une collecte qui ne le serait pas autrement.
- Option d'exploitation : choisir une vue en temps réel, un statut de mission ou un historique seulement si cette fonction est nécessaire à l'objectif annoncé. Une fonctionnalité disponible n'est pas automatiquement une donnée utile.
- Exclusion : pas de contrôle permanent, pas de collecte hors temps de travail, pendant les pauses ou les trajets domicile-travail, et pas d'utilisation détournée pour évaluer chaque mouvement du conducteur.
Écrire les finalités avant de paramétrer l'outil
Pour cette flotte, trois objectifs peuvent être examinés séparément : affecter le véhicule disponible le plus adapté à une mission, sécuriser le conducteur et le véhicule lors d'un incident, puis justifier l'exécution d'une prestation en cas de contestation. La CNIL mentionne notamment la sécurité, la justification ou la facturation d'une prestation de transport et la meilleure allocation des moyens parmi les finalités susceptibles de justifier un dispositif.
Le suivi du temps de travail demande davantage de prudence : il ne doit être envisagé qu'à titre accessoire lorsqu'il ne peut pas être réalisé par un autre moyen. Un planning, une prise de service ou des statuts de mission peuvent parfois répondre au besoin avec moins d'intrusion.
Évitez les formulations extensibles comme « améliorer la performance ». Elles ne disent ni quelles données sont nécessaires ni quelle décision en découle. Préférez : « afficher au coordinateur les véhicules en service afin d'affecter une réservation » ou « consulter l'historique d'une mission contestée par le responsable qualité ».
Informer chaque salarié avant la mise en service
L'information ne doit pas être enfouie dans une documentation technique. Avant l'activation, chaque conducteur concerné doit recevoir une information individuelle claire. Les représentants du personnel doivent aussi être informés ou consultés avant la décision d'installation lorsqu'ils sont présents.
La note remise aux conducteurs doit au minimum répondre aux questions suivantes :
- Qui est responsable du dispositif et quel est son fondement juridique ?
- Pour quelles finalités précises la position et l'historique sont-ils utilisés ?
- Quelles données sont enregistrées : localisation, horaires, kilomètres, arrêts ou statuts de mission ?
- Quels rôles peuvent voir le temps réel et lesquels peuvent ouvrir un historique ?
- Combien de temps chaque catégorie de données est-elle conservée ?
- Comment interrompre la collecte hors temps de travail ?
- Comment exercer les droits d'accès, d'opposition lorsque celui-ci s'applique, et de rectification, ou saisir la CNIL ?
Demandez un accusé de réception de l'information, sans présenter cette signature comme un consentement général à toute utilisation future. Toute nouvelle finalité doit faire l'objet d'une nouvelle analyse et d'une information adaptée.
Limiter les accès par rôle, pas par convenance
Dans une petite flotte, donner le même compte à tous les encadrants paraît simple mais empêche de savoir qui a consulté quoi. La CNIL demande de limiter l'accès aux personnes habilitées et recommande une politique d'habilitation ainsi qu'une journalisation des accès et des opérations.
- Coordinateur d'exploitation : position des véhicules en service et statuts nécessaires à l'affectation ; à exclure par défaut, l'historique ancien sans incident identifié.
- Responsable sécurité : données nécessaires au traitement d'une alerte ou d'un vol signalé ; à exclure par défaut, la consultation routinière des journées de travail.
- Responsable qualité : extrait lié à une mission contestée ; à exclure par défaut, la carte en temps réel de toute la flotte.
- Administrateur technique : paramètres, comptes et journaux nécessaires à la maintenance ; à exclure par défaut, l'exploitation des trajets à des fins managériales.
Chaque accès doit être nominatif. Une revue périodique retire les droits devenus inutiles et vérifie les consultations inhabituelles. Pour une réclamation, ouvrez uniquement la mission concernée et consignez le motif, la personne ayant consulté les données et la décision prise.
Fixer la conservation à partir de la finalité
Il n'existe pas une durée opérationnelle unique à appliquer indistinctement à toutes les données. Écrivez une règle par finalité : le temps réel nécessaire à l'affectation n'appelle pas nécessairement le même historique que la preuve d'une prestation ou le traitement d'un incident. La conservation doit rester limitée et justifiable.
Lorsque le tableau de bord a seulement besoin d'un total de kilomètres par véhicule ou d'un statut de mission, conservez l'agrégat utile plutôt qu'un itinéraire détaillé. À l'échéance définie, prévoyez une suppression ou une anonymisation effective, et vérifiez que les exports et sauvegardes suivent la même règle.
La procédure d'exploitation à faire valider
- Recenser chaque donnée collectée et la décision qu'elle sert.
- Écarter toute fonction sans finalité précise ou remplaçable par un moyen moins intrusif.
- Consulter les représentants du personnel le cas échéant, puis informer individuellement les conducteurs.
- Configurer la coupure hors temps de travail et tester son fonctionnement sur tous les véhicules concernés.
- Créer des comptes nominatifs avec des droits différents selon les rôles.
- Définir les durées, la suppression, le traitement des demandes d'accès et la revue des journaux.
- Inscrire le dispositif au registre des activités de traitement et associer le DPO lorsqu'il en existe un.
Enfin, posez par écrit trois questions avant chaque extension : quelle finalité nouvelle la justifie, quelle donnée supplémentaire devient indispensable et quel rôle doit réellement y accéder ? Si les réponses restent générales, n'activez pas la fonction. Dans une flotte VTC, la géolocalisation doit soutenir une décision définie, non installer une surveillance permanente.
Sources officielles
- CNIL — La géolocalisation des véhicules des salariés.
- CNIL — Véhicules et conducteurs au travail.
- CNIL — Géolocalisation des véhicules professionnels des employés.
- CNIL — Informations pouvant être enregistrées.
- CNIL — Information préalable des employés.