Géolocalisation et vie privée des salariés : ce que les employeurs doivent savoir

La géolocalisation des véhicules aide à répartir les missions, à retrouver les véhicules volés, à planifier la maintenance et à répondre aux clients. Elle constitue aussi un historique détaillé des lieux où vos salariés se sont rendus. Au regard du règlement général sur la protection des données (RGPD), cet historique est une donnée personnelle, et les règles qui encadrent sa collecte sont plus strictes que ne le pensent beaucoup d’entreprises. Ce guide passe en revue les questions auxquelles un employeur doit répondre avant et après l’installation de traceurs GPS dans les véhicules que conduisent ses salariés.

Pourquoi la position d’un véhicule est une donnée personnelle

Le RGPD couvre toute information se rapportant à une personne identifiable, et il cite les données de localisation parmi les éléments qui permettent d’identifier une personne (article 4.1). Une position seule peut ne décrire qu’un véhicule. Dès que vous savez qui conduisait, grâce à une affectation de conducteur, à une carte de chronotachygraphe ou à un planning de service, elle décrit ce conducteur.

Le groupe de travail « Article 29 », qui réunissait les autorités européennes de protection des données et que le Comité européen de la protection des données (CEPD) a ensuite remplacé, disait la même chose dans son avis sur le traitement des données sur le lieu de travail : un employeur qui utilise la télématique embarquée recueille des données à la fois sur le véhicule et sur le salarié qui l’utilise. Selon le dispositif, cela peut inclure le comportement de conduite en plus de la localisation.

Commencer par une finalité claire et une base légale

Notez pourquoi vous géolocalisez avant d’installer quoi que ce soit. Les finalités courantes sont la répartition et la planification du travail, la protection des véhicules et des marchandises contre le vol, la sécurité des conducteurs, le respect d’obligations légales et l’enregistrement des kilomètres professionnels. Le principe de limitation des finalités (article 5.1.b) signifie que vous ne pouvez pas réutiliser ensuite les données dans un but sans rapport, comme l’évaluation des performances individuelles, sans vérifier que la nouvelle finalité est compatible avec la finalité initiale.

Choisissez ensuite, à l’article 6, la base légale adaptée à chaque finalité :

• L’intérêt légitime (article 6.1.f) est la base habituelle de la géolocalisation des flottes dans les entreprises privées. Il suppose une mise en balance : les droits du salarié ne doivent pas prévaloir sur votre intérêt, et la géolocalisation doit être nécessaire à la finalité poursuivie.
• L’obligation légale (article 6.1.c) couvre les enregistrements exigés par la loi, comme les enregistrements du chronotachygraphe des conducteurs professionnels. Elle ne couvre pas tous les autres usages du même traceur.
• La mission d’intérêt public (article 6.1.e) est la base des autorités publiques, qui ne peuvent pas invoquer l’intérêt légitime dans l’exécution de leurs missions.
• Le consentement (article 6.1.a) fonctionne rarement dans le cadre du travail. Le CEPD juge peu probable que des salariés puissent refuser librement une demande de leur employeur : le consentement n’est donc généralement pas la bonne base pour les géolocaliser.

Informer les conducteurs avant le début de la géolocalisation

En vertu de l’article 13, les salariés doivent être informés, clairement et avant le début de la géolocalisation, de qui les géolocalise, dans quel but et sur quelle base légale, de qui verra les données, de la durée de leur conservation et des droits dont ils disposent. Le groupe de travail recommande aussi un avis visible dans chaque véhicule géolocalisé, à portée de vue du conducteur, et l’Information Commissioner’s Office (ICO) britannique attend des employeurs qu’ils informent à la fois les travailleurs et les passagers de la surveillance des véhicules.

• Une politique écrite de géolocalisation des véhicules, remise à chaque conducteur
• Un court avis dans chaque véhicule géolocalisé
• Une mise à jour de la politique chaque fois que vous ajoutez une finalité ou un nouveau type de relevé, comme le niveau de carburant ou les freinages brusques
• L’implication des représentants du personnel ou d’un comité d’entreprise avant la mise en service du système, lorsque la législation nationale l’exige

Ne collecter que le nécessaire

Le principe de minimisation des données (article 5.1.c) s’applique à chaque relevé que transmet un traceur. Les traceurs modernes peuvent remonter la vitesse, les freinages brusques, le niveau de carburant, les données moteur et bien plus encore. Déterminez lesquels de ces relevés servent les finalités que vous avez notées, et laissez les autres de côté. Le groupe de travail a énoncé ce principe sans détour :

« Les dispositifs de surveillance des véhicules ne sont pas des dispositifs de surveillance du personnel. Leur fonction est de repérer ou de contrôler la position des véhicules dans lesquels ils sont installés. Les employeurs ne devraient pas les considérer comme des dispositifs leur permettant de repérer ou contrôler le comportement ou les allées et venues de chauffeurs ou autres membres du personnel, par exemple en envoyant des alertes en rapport avec la vitesse du véhicule. »
Groupe de travail « Article 29 », avis 2/2017 sur le traitement des données sur le lieu de travail, citant son avis 13/2011

Surveiller la façon dont quelqu’un conduit est plus difficile à justifier que savoir où se trouve un véhicule. L’ICO indique que les employeurs doivent réaliser une analyse d’impact relative à la protection des données avant de surveiller le comportement ou le style de conduite, et l’autorité française de protection des données, la CNIL, précise que la géolocalisation ne doit pas servir à contrôler le respect des limitations de vitesse par les conducteurs. Si vous souhaitez des alertes sur la vitesse ou la conduite brusque, évaluez-les séparément et expliquez-les aux conducteurs.

Véhicules de fonction et usage privé

C’est sur l’usage privé que la géolocalisation des véhicules pose le plus souvent problème. Si les salariés peuvent utiliser un véhicule de l’entreprise après le travail, le week-end ou pendant leurs congés, il est très difficile de justifier leur géolocalisation pendant ces périodes. Le groupe de travail a estimé peu probable qu’il existe une base légale permettant de contrôler la position des véhicules en dehors des heures de travail convenues. Lorsque l’usage privé est autorisé, a-t-il ajouté, le salarié devrait en principe avoir la possibilité de désactiver temporairement la localisation lorsque des circonstances particulières le justifient, par exemple pour une visite chez le médecin.

Les autorités nationales vont dans le même sens :

• En France, la CNIL indique que les salariés doivent pouvoir désactiver la collecte ou la transmission de leur localisation géographique en dehors du temps de travail, ce qui comprend les temps de pause et le trajet entre le domicile et le travail.
• Au Royaume-Uni, l’ICO indique que les employeurs pourront rarement justifier une surveillance pendant l’usage privé, et cite l’exemple d’un système de géolocalisation que le conducteur peut désactiver en dehors des heures de travail.

Si vous avez besoin d’une certaine protection en dehors des heures de travail, par exemple contre le vol, le groupe de travail suggère un dispositif proportionné : la position n’est pas enregistrée en dehors des heures de travail, sauf si le véhicule quitte un large périmètre prédéfini, et ce n’est qu’alors qu’elle est affichée. La CNIL est plus stricte : en France, la localisation ne doit pas être collectée en dehors du temps de travail, y compris pour lutter contre le vol.

Quel que soit votre choix, séparez les kilomètres professionnels et privés, et convenez par écrit de la manière dont l’usage privé est déclaré.

Limiter qui voit quoi

Le RGPD exige une sécurité et une confidentialité appropriées (articles 5.1.f et 32) : les données de localisation ne doivent donc être visibles que par les personnes qui en ont besoin. Un régulateur a besoin des positions du jour ; un comptable n’en a généralement besoin d’aucune. Donnez à chaque rôle l’accès le plus restreint qui reste suffisant, tenez une liste des personnes qui ont accès, et revoyez-la lorsque des personnes changent de poste.

Faites preuve du même soin avec les liens de position en direct destinés aux clients. Ne partagez la position d’un véhicule que pendant la durée nécessaire à la livraison ou à l’intervention, puis arrêtez le lien. La CNIL ajoute que le nom du conducteur ne doit pas être communiqué aux clients, sauf si c’est indispensable.

Ne conserver l’historique des positions que le temps nécessaire

Le principe de limitation de la conservation (article 5.1.e) impose une durée de conservation définie pour chaque finalité. Le RGPD ne fixe aucun chiffre, mais les recommandations nationales donnent un ordre de grandeur. La CNIL, par exemple, indique que les données de géolocalisation ne devraient en principe pas être conservées plus de deux mois, jusqu’à un an lorsqu’elles servent à optimiser les tournées ou à prouver les interventions effectuées quand aucune autre preuve n’est possible, et jusqu’à cinq ans lorsqu’elles servent au suivi du temps de travail.

Inscrivez vos durées de conservation dans la politique de géolocalisation et dans votre registre des activités de traitement (article 30), et supprimez ou anonymisez l’historique dont vous n’avez plus besoin.

Vérifier si une AIPD est nécessaire

Une analyse d’impact relative à la protection des données (AIPD) est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits des personnes (article 35). Les lignes directrices du groupe de travail sur les AIPD énumèrent des critères qui signalent un risque élevé, parmi lesquels la surveillance systématique et les données concernant des personnes vulnérables, un groupe qui inclut explicitement les salariés. Elles considèrent aussi les données de localisation comme des données à caractère hautement personnel. Dans la plupart des cas, un traitement qui remplit deux critères nécessite une AIPD, et la géolocalisation systématique des véhicules des salariés en remplit généralement au moins deux.

Une AIPD décrit la finalité, les raisons pour lesquelles la géolocalisation est nécessaire et proportionnée, les risques pour les conducteurs et les mesures qui les réduisent, comme un mode privé, des restrictions d’accès et une courte durée de conservation. Si vous avez un délégué à la protection des données, demandez son avis dès le départ.

Répondre aux demandes des conducteurs

Les conducteurs conservent leurs droits au titre du RGPD sur les données de géolocalisation. Ils peuvent demander une copie des données qui les concernent (article 15), faire rectifier des données inexactes (article 16) et, lorsque vous vous fondez sur l’intérêt légitime, s’opposer au traitement (article 21). Décidez à l’avance qui répond à ces demandes et comment vous exporterez les trajets et les positions d’un conducteur pour une période donnée.

Les règles nationales qui s’ajoutent au RGPD

L’article 88 permet à chaque pays de prévoir des règles plus spécifiques pour le traitement des données dans le cadre du travail, et le droit du travail ajoute souvent ses propres exigences. Quelques exemples :

• Allemagne : en vertu du § 87, alinéa 1, n° 6, de la loi sur l’organisation des entreprises (BetrVG), le comité d’entreprise dispose d’un droit de codétermination sur les dispositifs techniques destinés à surveiller le comportement ou les performances des salariés, ce qui inclut généralement la géolocalisation des véhicules.
• France : les instances représentatives du personnel doivent être informées ou consultées avant l’installation d’un dispositif de géolocalisation, et les recommandations de la CNIL décrites ci-dessus s’appliquent.
• Italie : l’article 4 du Statut des travailleurs (loi n° 300/1970) n’autorise les équipements qui permettent aussi de contrôler les travailleurs à distance que pour des besoins d’organisation et de production, la sécurité au travail ou la protection du patrimoine de l’entreprise. Ils nécessitent normalement un accord avec les représentations syndicales de l’entreprise ou une autorisation de l’Inspection nationale du travail, et les travailleurs doivent être informés de la manière dont les équipements sont utilisés et dont les contrôles sont effectués.
• Royaume-Uni : le RGPD britannique (UK GDPR) s’applique, et les recommandations de l’ICO sur la surveillance des travailleurs traitent en détail de la géolocalisation des véhicules.
• Macédoine du Nord : la loi sur la protection des données à caractère personnel (Journal officiel n° 42/2020, modifiée par les n° 294/2021 et 101/2025) est alignée sur le RGPD, et son application est contrôlée par l’Agence pour la protection des données à caractère personnel.

Si vos conducteurs sont employés dans plusieurs pays, vérifiez les règles de chacun d’eux.

Une liste de contrôle avant d’activer la géolocalisation

1. Notez chaque finalité et sa base légale.
2. Choisissez les relevés que vous utiliserez, et laissez les autres de côté.
3. Fixez les règles de l’usage privé et de la suspension de la géolocalisation.
4. Déterminez qui peut voir les positions, l’historique et les informations sur les conducteurs.
5. Fixez une durée de conservation pour chaque finalité.
6. Réalisez une AIPD, ou consignez pourquoi elle n’est pas nécessaire.
7. Impliquez les représentants du personnel lorsque la loi l’exige.
8. Informez chaque conducteur, et apposez un avis dans chaque véhicule.
9. Ajoutez la géolocalisation à votre registre des activités de traitement.
10. Demandez à votre prestataire où les données sont stockées, et signez avec lui un contrat de sous-traitance.
11. Revoyez le dispositif une fois par an, et chaque fois que vous ajoutez une finalité.

Comment Office Hero vous accompagne dans ces étapes

Fleet Hero, l’application de gestion de flotte d’Office Hero, ne peut pas à elle seule rendre votre géolocalisation licite, mais elle vous donne les réglages que décrivent les recommandations :

• Pause de confidentialité : tant qu’une pause est active, les positions du véhicule sont rejetées dès leur réception et ne sont jamais stockées. La distance privée est tout de même comptée, à partir du compteur kilométrique ou de la vitesse et du temps, et la carte en direct et les liens de partage affichent le véhicule comme en pause.
• Périodes privées planifiées : planifiez une période privée à l’avance, d’une durée maximale de 31 jours et jusqu’à un an avant son début : l’enregistrement s’arrête puis reprend de lui-même.
• Pauses journalisées : chaque pause est enregistrée, et les personnes qui n’ont pas l’autorisation de mise en pause ne voient pas du tout la fonctionnalité.
• Rôles et règles d’accès par enregistrement : limitez chaque personne aux véhicules, aux conducteurs et aux géozones dont elle a besoin. Par défaut, les conducteurs ne voient que leurs propres véhicules.
• Des alertes uniquement là où vous le décidez : Fleet Hero ne déclenche d’alertes qu’à partir de règles créées par une personne de votre entreprise, ou lorsque quelqu’un en déclenche une manuellement.
• Des liens de partage qui expirent : un lien de position en direct reste actif 15 minutes, 1 heure, 24 heures ou 7 jours, peut être arrêté à tout moment et affiche le véhicule, pas le nom du conducteur.

Pour lancer une pause, il faut une autorisation que vous accordez à des membres du personnel, et Office Hero Connect, où les conducteurs se connectent, ne comporte pas de bouton de pause. Précisez dans votre politique qui suspend la géolocalisation pour les conducteurs et comment les conducteurs le demandent.

Les personnes qui disposent d’une autorisation distincte peuvent demander le tracé d’un itinéraire routier estimé sur une période privée terminée. Les administrateurs de l’entreprise disposent de cette autorisation, tout comme les personnes ayant le rôle prédéfini Fleet Manager, car elle fait partie de leur accès complet à Fleet Hero. L’estimation est toujours signalée comme telle et exclue des trajets, des rapports et des exports. Comme elle montre l’itinéraire probable d’un trajet privé, indiquez dans votre politique quand elle peut être utilisée, et attribuez aux gestionnaires de flotte qui ne doivent pas en disposer un rôle personnalisé qui ne la comprend pas.

Fleet Hero ne propose pas encore de réglage qui supprime automatiquement l’historique des positions au terme d’une durée que vous choisissez. Discutez avec nous de votre durée de conservation avant le début de la géolocalisation.