La bonne méthode consiste à cartographier chaque flux de localisation avant de choisir une durée ou une justification. Une course VTC peut produire des positions dans le téléphone, l’application de plateforme, la navigation, le véhicule connecté, un boîtier de flotte et les outils d’un donneur d’ordre. Ces traces ne poursuivent pas toutes le même but et ne sont pas nécessairement contrôlées par le même acteur.
La fiche publiée par la CNIL le 7 juillet 2026 sur la géolocalisation des applications mobiles fournit un point de départ concret : une localisation précise et continue peut identifier ou réidentifier une personne, révéler ses habitudes et circuler au-delà du service attendu. Pour un exploitant VTC, la réponse utile n’est donc ni « tout conserver pour se protéger », ni « désactiver toute localisation ». Il faut isoler les usages nécessaires, réduire les autres et pouvoir expliquer le chemin de chaque donnée.
Une course, plusieurs traces de localisation
Commencez par dessiner le parcours réel de la donnée, et non le parcours supposé. Sur une même journée, on rencontre généralement cinq familles de flux :
- l’application de plateforme ou de réservation, utilisée pour proposer une course, guider la prise en charge et suivre son exécution ;
- l’application de navigation, qui calcule l’itinéraire et peut conserver un historique associé au compte ;
- le téléphone professionnel, qui accorde des permissions de localisation à plusieurs applications et peut partager un identifiant publicitaire ;
- le véhicule ou le boîtier connecté, avec des fonctions d’assistance, d’antivol, de maintenance ou de gestion de flotte ;
- les copies secondaires : exports, captures d’écran, factures enrichies, sauvegardes, CRM ou espace d’un donneur d’ordre.
La suppression dans l’écran principal ne prouve pas que les copies ont disparu. Un export téléchargé, une sauvegarde ou un ancien compte administrateur peut prolonger l’accès bien après la fin de la course.
Distinguer les deux rôles d’un chauffeur indépendant
Le même professionnel peut porter deux casquettes. Lorsqu’une plateforme, un constructeur ou un éditeur décide des objectifs et du fonctionnement de son service, le chauffeur est d’abord une personne dont les données peuvent être traitées. Il doit pouvoir comprendre ce qui est collecté et exercer les droits applicables auprès de l’acteur concerné.
À l’inverse, lorsqu’un exploitant choisit lui-même de conserver des positions pour organiser sa flotte, sécuriser un véhicule ou traiter une réclamation client, il ne peut pas s’abriter derrière les seuls réglages du fournisseur. Il doit déterminer et documenter son propre traitement : objectif, données réellement nécessaires, personnes autorisées, durée, information et suppression.
Cette distinction évite une erreur fréquente : confondre une permission technique du téléphone avec la justification de tous les usages ultérieurs. Autoriser une application « pendant son utilisation » limite l’accès au capteur ; cela ne définit pas automatiquement la finalité, la base applicable, les destinataires ou la durée d’un historique transmis au serveur.
La matrice à remplir pour chaque flux
Un mini-registre utile tient dans un tableau. Il doit rester assez précis pour répondre à une demande, remplacer un prestataire ou supprimer un compte sans improviser.
| Flux | Question de finalité | Donnée minimale à tester | Accès à vérifier | Preuve de fin de vie |
|---|---|---|---|---|
| Plateforme de réservation | Quelles positions sont nécessaires avant, pendant et après la course ? | Position pendant l’usage plutôt qu’un accès permanent, si le service le permet | Plateforme, sous-traitants annoncés, client pendant l’approche | Historique visible, procédure de droit et fermeture du compte |
| Navigation | L’historique sert-il réellement à l’activité ? | Itinéraire courant sans synchronisation durable, lorsque possible | Compte personnel ou professionnel, éditeur, appareils synchronisés | Suppression de l’historique et contrôle des autres appareils |
| Véhicule ou boîtier | Assistance, antivol, maintenance et flotte sont-ils séparés ? | Dernière position, alerte ou donnée agrégée plutôt qu’un trajet complet | Constructeur, loueur, installateur, gestionnaires de flotte | Suppression du trajet, restitution du véhicule et révocation des comptes |
| Suivi interne | Quelle décision opérationnelle exige la position ? | Précision et fréquence strictement adaptées à cette décision | Liste nominative des responsables autorisés | Règle automatique, journal de suppression et contrôle périodique |
| Export ou capture | Quel dossier justifie cette copie ? | Extrait limité plutôt qu’un historique complet | Dossier client, messagerie, CRM, sauvegardes | Date de purge du dossier et suppression des copies locales |
La colonne « preuve de fin de vie » est décisive. Une durée inscrite dans un document n’a de valeur opérationnelle que si quelqu’un peut montrer comment elle est appliquée.
Finalité : remplacer les mots vagues par une action
« Sécurité », « qualité » ou « gestion » sont trop larges pour piloter un réglage. Reformulez chaque but comme une action vérifiable : localiser le véhicule lorsqu’une assistance est demandée ; afficher l’approche au passager ; affecter le véhicule disponible ; documenter une course contestée ; détecter le vol après activation d’une alerte.
Cette reformulation permet de tester la proportionnalité. Une position actuelle peut suffire pour l’assistance. Une alerte peut suffire pour l’antivol. Une zone approximative peut parfois suffire pour l’affectation. Un extrait limité peut répondre à une contestation sans conserver en permanence tous les déplacements.
La recommandation CNIL du 30 juin 2026 sur les véhicules connectés insiste précisément sur la nécessité, la proportionnalité et la transparence, ainsi que sur la limitation de la fréquence, du volume et de la durée. Elle encourage aussi le traitement local lorsque l’objectif peut être atteint sans transmettre toutes les coordonnées à un serveur.
Accès : contrôler les personnes, pas seulement les entreprises
Écrire « prestataire de flotte » dans un registre ne suffit pas. Il faut savoir quels profils peuvent ouvrir la carte, exporter les trajets ou administrer les comptes. Vérifiez les accès de l’exploitant, du loueur, du constructeur, de l’installateur, du donneur d’ordre et des anciens collaborateurs.
Pour chaque interface, cherchez les rôles disponibles, l’authentification renforcée, la trace des consultations et la révocation d’un utilisateur. Un compte partagé empêche d’attribuer les actions et survit facilement à un changement d’équipe. Une revue trimestrielle des administrateurs est souvent plus utile qu’une politique générale jamais confrontée aux réglages réels.
Durée : partir de l’utilité, puis vérifier l’effacement
Il n’existe pas de durée universelle à appliquer à toutes les positions VTC. La durée dépend du but, du rôle de l’acteur et des textes applicables au dossier concerné. Évitez donc les chiffres recopiés sans contexte. Écrivez d’abord l’événement qui met fin à l’utilité : assistance clôturée, course terminée, contestation prescrite selon l’analyse applicable, véhicule restitué ou compte fermé.
Déclinez ensuite la règle dans tous les emplacements : base active, exports, sauvegardes, téléphone et espace du prestataire. Si l’outil ne permet pas un effacement cohérent, demandez au fournisseur une procédure et une preuve. Une anonymisation ne doit être présentée comme telle que si la réidentification n’est plus raisonnablement possible ; masquer un nom tout en conservant le trajet, l’horaire et l’immatriculation ne suffit pas nécessairement.
Passagers : ne pas oublier ce que raconte un trajet
Les points de prise en charge et de destination peuvent révéler des habitudes, un domicile ou la fréquentation d’un lieu sensible. Même lorsque le suivi technique porte sur le véhicule ou le chauffeur, un historique de courses peut donc concerner aussi le passager.
Limitez les copies dans les messageries et les captures d’écran. Pour traiter une réclamation, rattachez uniquement l’extrait nécessaire au dossier numérique de réservation plutôt que de conserver un export complet de la journée. Contrôlez également ce qu’un donneur d’ordre peut voir en temps réel et pendant combien de temps le lien de suivi reste actif.
Cas des salariés : un dossier séparé
La recommandation de juin 2026 sur les véhicules connectés vise principalement les véhicules utilisés par des particuliers propriétaires ou locataires ; elle ne constitue pas le guide complet de la géolocalisation au travail. La CNIL publie une fiche distincte sur les véhicules des salariés, actuellement signalée comme étant en cours de mise à jour.
Une structure employant des conducteurs doit donc ouvrir un volet spécifique : objectifs autorisés, information des salariés, consultation des représentants lorsque le cadre le requiert, accès, conservation et possibilité de désactiver le dispositif hors temps de travail lorsque cette désactivation est pertinente. Ce dossier ne doit pas être déduit mécaniquement des réglages d’un véhicule destiné à un particulier.
Audit pratique en quarante-cinq minutes
- Inventaire — 10 minutes : listez téléphone, applications, véhicule, boîtier, comptes web, exports et destinataires.
- Permissions — 5 minutes : repérez les accès « toujours » et ramenez-les à « pendant l’utilisation » lorsque le fonctionnement réel le permet.
- Finalités — 10 minutes : écrivez une action précise pour chaque flux et supprimez les formules génériques.
- Accès — 5 minutes : relevez les utilisateurs capables de consulter ou d’exporter, puis révoquez les comptes obsolètes.
- Durées — 10 minutes : mesurez la profondeur de l’historique et testez une suppression complète, y compris sur un export.
- Décision — 5 minutes : classez chaque flux : nécessaire et documenté ; nécessaire mais incomplet ; non nécessaire à désactiver.
Conservez une capture datée des réglages utiles, la réponse du fournisseur et la version du mini-registre. Puis programmez une revue après toute nouvelle application, tout changement de véhicule ou tout remplacement de prestataire.
Modèle de fiche à conserver
- Nom du flux : application, véhicule, boîtier ou export concerné.
- Acteur qui décide : plateforme, fournisseur, exploitant ou autre responsable identifié.
- Finalité précise : action rendue possible par la position.
- Données : précision, fréquence, horaire, identifiants associés.
- Destinataires et accès : entreprises, profils et fonctions autorisés.
- Durée et déclencheur de suppression : règle, événement de fin et emplacement des copies.
- Information et droits : document remis, contact et procédure.
- Preuve du contrôle : date, test réalisé, anomalie et action corrective.
Ce modèle complète le travail plus large sur les données clients et les réflexes RGPD d’un exploitant VTC. Il ne remplace pas une analyse juridique adaptée à une organisation particulière, mais il transforme un empilement d’outils en dossier explicable et contrôlable.
Sources officielles consultées
- CNIL — Géolocalisation et applications mobiles : protéger vos données, 7 juillet 2026.
- CNIL — Recommandations pour les applications mobiles, publication du 24 septembre 2024, mise à jour le 8 avril 2025.
- CNIL — Véhicules connectés : les conditions d’utilisation de vos données de localisation, 30 juin 2026.
- CNIL — La géolocalisation des véhicules des salariés, fiche signalée comme étant en cours de mise à jour.