Données de géolocalisation : comment les collecter sans porter atteinte à la vie privée ?

La géolocalisation est devenue un outil précieux pour les entreprises. Elle permet d’organiser les interventions, d’optimiser les déplacements, de suivre les livraisons ou encore de proposer des services adaptés à la position d’un utilisateur. Toutefois, la collecte de données de localisation peut également révéler des informations très personnelles sur les habitudes et les déplacements des individus.

Cet article a pour objectif d’aider les TPE et PME à comprendre les règles du RGPD applicables aux données de géolocalisation et à identifier les bonnes pratiques à mettre en place. Que votre entreprise utilise un GPS pour ses véhicules professionnels, un outil pour organiser les interventions de ses salariés ou un service permettant de localiser ses clients, il est essentiel de savoir quelles données collecter, dans quel but et pendant combien de temps. L’objectif est de vous permettre d’utiliser ces outils de manière responsable, tout en protégeant la vie privée des personnes concernées et en limitant les risques de non-conformité.

Pourquoi les données de géolocalisation sont-elles des données personnelles ?

La géolocalisation permet de déterminer la position d’une personne ou d’un objet à un moment donné ou de manière continue. Elle peut notamment s’appuyer sur le GPS, les réseaux Wi-Fi, le Bluetooth ou certaines données techniques de connexion.

Lorsqu’elles permettent d’identifier directement ou indirectement une personne, les données de localisation sont des données à caractère personnel au sens du RGPD.

Leur collecte mérite une attention particulière : l’historique des déplacements peut révéler le domicile, le lieu de travail, les habitudes quotidiennes ou les lieux fréquentés par une personne. Même lorsqu’un identifiant remplace son nom, le croisement des données peut parfois permettre de retrouver son identité.

Pour une entreprise, le risque ne concerne donc pas uniquement une éventuelle fuite de données. Il concerne également une collecte trop précise, une surveillance excessive ou une réutilisation des informations à des fins différentes de celles initialement prévues.

Dans quels cas une entreprise peut-elle collecter des données de géolocalisation ?

La géolocalisation peut répondre à des besoins professionnels légitimes, à condition que le traitement soit justifié et proportionné.

Par exemple, une entreprise peut envisager de l’utiliser pour :

• Organiser les interventions : localiser un technicien afin d’affecter une demande au professionnel disponible le plus proche.
• Suivre les livraisons : informer un client de l’avancement de sa commande.
• Optimiser les déplacements professionnels : planifier les tournées d’une équipe de livraison.
• Assurer la sécurité des biens : retrouver un véhicule professionnel en cas de vol, dans les conditions applicables.
• Fournir un service demandé par l’utilisateur : calculer un itinéraire ou proposer un service localisé.

Cependant, le fait qu’une technologie soit utile ne suffit pas à justifier toutes ses fonctionnalités. Une entreprise doit déterminer précisément pourquoi elle collecte ces données et vérifier si le même objectif peut être atteint avec moins d’informations.

Par exemple, si le but est uniquement de connaître la ville dans laquelle se trouve un client, il peut être inutile de recueillir sa position GPS exacte en continu.

Quelles sont les principales obligations du RGPD ?

Définir une finalité précise et une base légale

Avant de collecter des données de localisation, l’entreprise doit définir un objectif déterminé, explicite et légitime, conformément à l’article 5 du RGPD.

Elle doit également identifier une base légale appropriée, parmi celles prévues par l’article 6 : exécution d’un contrat, obligation légale, intérêt légitime ou, lorsque les conditions sont réunies, consentement, par exemple.

Le choix dépend du contexte et de l’objectif poursuivi. Le consentement n’est donc pas systématiquement la base légale requise pour toute géolocalisation. En revanche, lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé et univoque. Des règles particulières peuvent également s’appliquer selon le service et le contexte de collecte.

Exemple : une entreprise qui utilise la localisation pour fournir un service de navigation doit justifier ce traitement au regard du service demandé. Si elle souhaite réutiliser ces données pour de la publicité personnalisée, cette nouvelle finalité doit être examinée séparément et respecter les règles applicables.

Informer clairement les personnes concernées

Les personnes doivent pouvoir comprendre comment leurs données sont utilisées. Les articles 12 à 14 du RGPD encadrent les obligations de transparence et d’information.

L’entreprise doit notamment préciser :

• l’identité du responsable du traitement ;
• les finalités et la base légale du traitement ;
• les catégories de données collectées ;
• les destinataires ou catégories de destinataires ;
• la durée de conservation ou les critères permettant de la déterminer ;
• les droits dont disposent les personnes et les modalités pour les exercer.

Cette information doit être claire, accessible et fournie au moment approprié. Une autorisation technique donnée à un appareil ou à un logiciel ne dispense pas, à elle seule, l’entreprise de ses obligations d’information.

Limiter la collecte au strict nécessaire

Le principe de minimisation, prévu par l’article 5 du RGPD, impose de collecter uniquement les données adéquates, pertinentes et nécessaires à l’objectif poursuivi.

L’entreprise doit donc s’interroger sur trois éléments :

• La précision : une localisation approximative suffit-elle ?
• La fréquence : faut-il enregistrer la position en permanence ou seulement à certains moments ?
• L’étendue : est-il nécessaire de conserver un historique complet des déplacements ?

Plus les données collectées sont précises et fréquentes, plus les risques pour la vie privée peuvent être importants.

Cet article pourrait aussi vous intéresser : Minimisation des Données : Pourquoi et Comment Appliquer ce Principe RGPD ?

Fixer une durée de conservation adaptée

Les données de localisation ne doivent pas être conservées indéfiniment. Leur durée de conservation doit être définie en fonction de la finalité et des obligations applicables.

Une entreprise qui utilise la géolocalisation pour suivre une livraison doit déterminer combien de temps elle a réellement besoin de conserver les données de trajet. Elle ne devrait pas conserver automatiquement un historique détaillé pendant plusieurs années si cela n’est pas justifié.

Les données qui ne sont plus nécessaires doivent être supprimées ou faire l’objet d’une autre mesure appropriée, conformément aux règles applicables.

Sécuriser les données et limiter les accès

L’article 32 du RGPD impose de mettre en œuvre des mesures de sécurité adaptées aux risques.

En pratique, l’entreprise devrait notamment :

• réserver l’accès aux données aux personnes qui en ont réellement besoin ;
• utiliser des comptes individuels et une authentification adaptée ;
• sécuriser les échanges et le stockage des données ;
• vérifier les habilitations et les accès régulièrement ;
• prévoir une procédure de gestion des incidents de sécurité.

Le recours à un prestataire spécialisé ne supprime pas les responsabilités de l’entreprise. Lorsque ce prestataire agit en qualité de sous-traitant, les exigences de l’article 28 du RGPD doivent notamment être prises en compte, avec un encadrement contractuel approprié.

Respecter les droits des personnes

Les personnes concernées disposent, selon les conditions prévues par le RGPD, de droits tels que le droit d’accès, de rectification, d’effacement ou d’opposition.

L’entreprise doit être en mesure de traiter les demandes relatives aux données de géolocalisation et d’expliquer les conditions d’exercice de ces droits.

Enfin, elle doit inscrire le traitement dans son registre des activités de traitement lorsqu’elle est tenue de le faire et évaluer si une analyse d’impact relative à la protection des données (AIPD) est nécessaire, notamment lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Cet article pourrait aussi vous intéresser : Le droit d’accès aux données personnelles : un outil clé pour reprendre le contrôle sur sa vie numérique

Exemple pratique : une TPE qui géolocalise ses techniciens

Une entreprise de maintenance installe un outil GPS dans les véhicules de ses techniciens afin d’organiser les interventions et de réduire les temps de déplacement. Le dispositif peut présenter un intérêt opérationnel. Toutefois, plusieurs questions doivent être examinées avant sa mise en place.

Une collecte proportionnée : si l’objectif consiste à affecter les interventions et à optimiser les tournées, l’entreprise doit déterminer à quels moments la localisation est nécessaire et si un suivi permanent est justifié.

Une information transparente : les salariés doivent être informés des objectifs du dispositif, de son fonctionnement, des données collectées, des destinataires, de la conservation et de leurs droits.

Le respect de la vie privée : la géolocalisation ne doit pas servir à surveiller les salariés en permanence. La collecte en dehors du temps de travail est notamment exclue dans les situations visées par les recommandations de la CNIL sur la géolocalisation des véhicules professionnels.

Des accès limités : seuls les responsables ou collaborateurs habilités doivent pouvoir consulter les données, selon leurs besoins professionnels.

Une conservation justifiée : l’entreprise doit définir une durée adaptée à chaque finalité et éviter de conserver inutilement les historiques de déplacement.

Cet exemple montre qu’un outil utile peut devenir disproportionné si son fonctionnement n’est pas suffisamment encadré. Les règles particulières applicables aux salariés doivent être examinées en complément des principes généraux du RGPD.

Checklist : les points à vérifier avant de collecter des données de localisation

Avant de déployer un outil de géolocalisation ou de revoir un dispositif existant, votre entreprise peut vérifier les éléments suivants :

• La finalité de la collecte est clairement définie et légitime.
• Une base légale appropriée a été identifiée.
• Les personnes concernées sont informées de manière compréhensible.
• La précision et la fréquence de collecte sont limitées au nécessaire.
• La durée de conservation est définie et justifiée.
• Les accès aux données sont réservés aux personnes habilitées.
• Les mesures de sécurité sont adaptées aux risques.
• Les droits des personnes peuvent être exercés.
• Le rôle des prestataires et les contrats applicables ont été vérifiés.
• La nécessité d’une AIPD a été évaluée.

Cette vérification doit être adaptée à la situation de l’entreprise, notamment lorsque la géolocalisation concerne des salariés, des clients ou des utilisateurs d’un service.

Conclusion

Les données de géolocalisation peuvent améliorer l’organisation et la qualité des services proposés par une entreprise. Toutefois, leur collecte doit être justifiée, proportionnée, transparente et sécurisée.

Le respect du RGPD ne consiste pas seulement à obtenir une autorisation ou à installer un outil conforme. Il implique de maîtriser l’ensemble du traitement, depuis la collecte jusqu’à la suppression des données, en tenant compte des droits et de la vie privée des personnes concernées.

Votre entreprise collecte-t-elle uniquement les données de localisation dont elle a réellement besoin ? Vérifier les finalités, les accès et les durées de conservation constitue une première étape pour identifier les collectes excessives et renforcer la conformité de votre organisation.