Géolocalisation des véhicules loués : finalités, information et données

La recommandation CNIL publiée le 30 juin 2026 couvre les véhicules connectés, dont voitures, cycles et scooters. Commencez par séparer assistance en cas de panne, prévention d'une non-restitution, sécurité, maintenance, gestion de flotte et service demandé par l'utilisateur. Une formule comme « sécurité et optimisation » est trop large pour déterminer les données nécessaires.

Pour chaque finalité, identifiez responsable, base juridique, accès au terminal, précision, fréquence, déclencheur, destinataires et durée. La CNIL distingue notamment la collecte pendant une location de celle effectuée lorsque la panne survient hors période et que la donnée ne peut plus être associée à une personne. La conclusion dépend du contexte réel, pas du statut théorique de l'actif.

L'information décrit qui traite les données, pourquoi, sur quelle base, pendant combien de temps, avec quels destinataires et comment exercer les droits. Elle précise les fonctions actives du véhicule, de l'application et d'un boîtier ajouté. Une phrase générale dans des conditions longues ne remplace pas une information visible avant la collecte.

Lorsque le dispositif ou la finalité permet un choix, le refus doit être aussi accessible que l'activation. Une fonction requise pour exécuter un service demandé est distinguée d'un suivi optionnel. Les conducteurs additionnels et passagers ne doivent pas découvrir la collecte après le trajet ; préparez un support court transmissible par le locataire.

• Finalités nommées sans formule globale.
• Acteurs et contacts identifiables.
• Périodes actives indiquées.
• Droits et choix accessibles.
• Information des conducteurs additionnels prévue.

Collectez la position seulement lorsque la finalité l'exige et avec la granularité utile. Une alerte d'entrée dans une zone peut parfois éviter de conserver l'itinéraire complet. Restreignez les accès aux rôles habilités, journalisez les consultations sensibles et interdisez les recherches par curiosité. Les notifications ne doivent pas exposer l'adresse exacte à un groupe inutile.

Définissez une durée par finalité et automatisez la purge. Un dossier de sinistre peut conserver un extrait ciblé lorsqu'il est licite et nécessaire ; il ne justifie pas l'historique de toutes les locations. Les données agrégées destinées à la planification doivent être réellement anonymisées avant un usage différent.

Au retour, supprimez destinations, favoris, contacts, comptes, téléphones appairés et sessions laissés dans le système embarqué, selon les possibilités du constructeur. Vérifiez aussi les applications de recharge ou de navigation. Cette opération protège l'ancien locataire et le suivant ; elle ne doit pas effacer un diagnostic nécessaire sans l'avoir préalablement qualifié.

Chaque trimestre, testez un parcours avec un compte fictif : information, activation, accès, demande de droit, purge et réinitialisation. Relevez les fonctions mises à jour par le constructeur. Un changement logiciel peut réactiver une collecte ou modifier le menu ; il déclenche une revue avant la prochaine remise.

1. Inventorier capteurs, applications et boîtiers.
2. Qualifier chaque finalité et sa base.
3. Informer les personnes avant collecte.
4. Limiter accès, précision et durée.
5. Réinitialiser au retour.
6. Tester droits et purge sur un dossier fictif.