Ce guide s'adresse à vous si vous préparez un déploiement télématique, si votre DSI ou votre juridique a demandé « et le RGPD dans tout ça », ou si vos conducteurs ont réagi et que vous cherchez sur quoi vous appuyer.
Chapitre 1Ce que la télématique mesure vraiment
Trois sources, trois natures de données : le boîtier posé dans le véhicule ; le véhicule connecté chez son constructeur, sans matériel ; l'application mobile du conducteur, qui localise le téléphone donc la personne, y compris hors du véhicule — la plus intrusive des trois, et celle qu'on oublie le plus souvent de traiter comme telle.
Une position associée à un véhicule affecté à une personne identifiée est une donnée personnelle concernant cette personne. Ce n'est pas la propriété du véhicule qui compte, c'est l'identifiabilité du conducteur.
De quelle donnée avez-vous réellement besoin pour l'usage que vous visez ? Beaucoup de projets collectent une position en continu alors que l'objectif se satisfait d'une donnée bien plus pauvre. Ce n'est pas une précaution juridique : c'est le principe de minimisation, et c'est aussi ce qui fera accepter le projet en interne.
Chapitre 2Les finalités admises, et les usages interdits
Les six finalités reconnues
- Suivre et facturer une prestation de transport de personnes ou de marchandises.
- Assurer la sécurité des employés, des marchandises ou des véhicules.
- Mieux allouer les moyens pour des prestations à accomplir en des lieux dispersés.
- Suivre le temps de travail, à titre accessoire seulement.
- Respecter une obligation légale ou réglementaire.
- Contrôler le respect des règles d'utilisation du véhicule.
Les six usages interdits
- Contrôler le respect des limitations de vitesse.
- Contrôler un employé en permanence.
- Suivre un salarié disposant d'une liberté d'organisation de ses déplacements.
- Suivre un représentant du personnel dans l'exercice de son mandat.
- Collecter la localisation hors temps de travail, trajets domicile-travail et pauses compris.
- Calculer le temps de travail lorsqu'un autre dispositif existe déjà.
Le salarié doit pouvoir désactiver la collecte ou la transmission de sa localisation en dehors du temps de travail. L'employeur peut contrôler la fréquence de ces désactivations et sanctionner un abus, mais il ne peut pas supprimer la possibilité. Un dispositif qui ne la prévoit pas est non conforme, quelle que soit la qualité du reste du projet.
Chapitre 3Choisir sa base légale et documenter
L'intérêt légitime de l'employeur est la base la plus courante : elle suppose un intérêt réel, un traitement nécessaire pour l'atteindre, et une absence d'atteinte disproportionnée aux droits des salariés. Ce test se documente, il ne s'affirme pas. Le consentement est rarement pertinent dans la relation de travail : le lien de subordination fait qu'il y est difficilement libre.
| Document | Ce qu'il contient | Qui le demande |
|---|---|---|
| Fiche de registre | Finalités, données, destinataires, durées, sécurité | La CNIL en cas de contrôle |
| Test d'intérêt légitime | Intérêt, nécessité, mise en balance | La CNIL, le juge en cas de litige |
| Analyse d'impact | Risques pour les personnes et mesures qui les réduisent | La CNIL, quand le risque est élevé |
| Note d'information | Ce qui est dit aux salariés | Salariés, CSE, inspection du travail |
Ces documents ne se produisent pas après coup. Documentés au déploiement, ils coûtent quelques heures ; documentés après une réclamation, ils coûtent beaucoup plus et se documentent moins bien.
Chapitre 4Informer les salariés et consulter le CSE
La note d'information porte l'identité du responsable de traitement, les finalités énoncées précisément — pas « améliorer la gestion » —, la base légale, les destinataires y compris les prestataires, la durée de conservation de chaque catégorie, les droits d'accès, de rectification et d'opposition, et la possibilité de saisir la CNIL d'une réclamation.
La consultation des représentants du personnel est préalable au déploiement. Ce n'est pas une formalité de fin de projet : un dispositif déployé avant consultation est contestable, et la discussion qui aurait dû avoir lieu en amont a alors lieu en aval, dans de plus mauvaises conditions.
Tout ce que vous ne direz pas sera supposé. Et ce qui est supposé est toujours pire que la réalité.
SourceCNIL — Exemple d'information en cas de géolocalisation des véhicules des salariés
Chapitre 5Durées de conservation et minimisation
| Usage | Durée |
|---|---|
| Règle générale | 2 mois |
| Optimisation des tournées, preuve des interventions | 1 an |
| Suivi du temps de travail | 5 ans |
Une purge automatique, pas une purge manuelle qu'on oublie : une durée annoncée et non appliquée est pire qu'une durée longue et assumée. Et des durées différenciées par catégorie — les positions brutes ne se conservent pas aussi longtemps qu'un rapport agrégé.
Trois questions qui réduisent l'empreinte sans réduire l'utilité
- A-t-on besoin de la position, ou d'un événement ? « Le véhicule est arrivé sur le chantier » suffit souvent, sans conserver le trajet.
- A-t-on besoin de la donnée individuelle, ou d'un agrégat ? Un coût au kilomètre par site n'a pas besoin des trajets nominatifs.
- A-t-on besoin d’une collecte continue, ou déclenchée ? Une collecte sur événement est moins intrusive et souvent plus lisible.
Chapitre 6Sécurité, sous-traitance et hébergement
L'entreprise reste responsable de traitement ; l'éditeur agit pour son compte, comme sous-traitant. La relation se contractualise : objet et durée du traitement, catégories de données, obligations de sécurité, sous-traitants ultérieurs, assistance en cas de réclamation ou de violation, sort des données en fin de contrat.
Les six questions à poser à un éditeur
- Où les données sont-elles hébergées ? Le pays, pas la région commerciale.
- Quels sous-traitants ultérieurs interviennent ? Hébergeur, routeur, opérateur télécom du boîtier, support.
- Y a-t-il un transfert hors Union européenne ? Et sur quel fondement.
- Comment les accès sont-ils tracés ? Qui voit quoi, et est-ce journalisé.
- Quelle procédure en cas de violation de données ? Délai, interlocuteur, forme.
- Que se passe-t-il en fin de contrat ? Export exploitable, délai de suppression, preuve de suppression.
Ces questions valent pour toute solution, la nôtre comprise. Un éditeur qui ne sait pas y répondre par écrit vous laisse porter seul un risque qui est pourtant partagé.
Pour aller plus loinCybersécurité et gestion de flotte·Politique de confidentialité
Chapitre 7Déployer sans se mettre l'entreprise à dos
Le vrai risque n'est pas la sanction : il est social. Un déploiement mal préparé produit du conflit, de la désactivation systématique, des boîtiers débranchés et une donnée inexploitable. L'entreprise a payé un dispositif qu'elle ne peut pas utiliser.
La séquence qui fonctionne
- Écrire les finalités d'abord, en une page, avant de choisir un outil.
- Consulter les représentants du personnel avec ce document, pas avec une plaquette commerciale.
- Informer chaque conducteur individuellement, en expliquant la désactivation hors temps de travail et comment elle s'active.
- Commencer par un périmètre restreint — un site, une catégorie de véhicules — et en tirer les enseignements.
- Montrer ce que ça donne. Un conducteur qui voit que la donnée lui évite une panne ou défend une facture contestée ne la vit pas de la même manière.
« Voici précisément ce que nous collectons, et ce que nous ne collectons pas. » · « Voici combien de temps c'est conservé, et ce qui l'efface. » · « Voici comment vous coupez la collecte en dehors du travail. » Aucune n'est une promesse commerciale : ce sont des faits vérifiables, et c'est pour cela qu'elles fonctionnent.
Pour aller plus loinLe géorepérage·La grille d'évaluation d'un logiciel·Le guide de la gestion de flotte
Une démonstration, c'est aussi l'occasion de vérifier par écrit ce que ce guide vous apprend à demander.