Géolocalisation des véhicules de fonction : les règles pour un éditeur de télématique

Un boîtier télématique qui remonte la position d'un utilitaire toutes les trente secondes, week-end compris, n'est pas un produit neutre. Pour la CNIL, c'est un manquement au principe de minimisation, qu'elle sanctionne en série depuis 2023. Pour la chambre sociale de la Cour de cassation, c'est un moyen de contrôle du temps de travail illicite dès qu'un autre moyen existe, ce qui peut transformer un licenciement en prise d'acte aux torts de l'employeur. Le client porte la responsabilité juridique, mais le logiciel décide de ce qui est possible. Voici ce que l'éditeur de télématique doit construire pour que son client reste dans les clous, réglage par réglage.

Géolocalisation des véhicules de salariés : un traitement que la CNIL contrôle souvent

La géolocalisation des flottes revient régulièrement dans les plaintes de salariés et elle est simple à instruire. Elle alimente donc la procédure de sanction simplifiée, prévue par l'article 22-1 de la loi Informatique et Libertés, réservée aux affaires sans difficulté particulière parce que la doctrine est établie.

Les chiffres publiés par la CNIL donnent la mesure. Le 7 novembre 2023, elle annonce dix sanctions simplifiées pour 97 000 euros d'amendes cumulées, en ciblant l'enregistrement continu des positions sans possibilité pour les salariés d'arrêter ou de suspendre le dispositif pendant les pauses. Le 22 mai 2025, dix nouvelles décisions pour 104 000 euros, dont six portent sur la surveillance des salariés, géolocalisation des véhicules comprise. La CNIL y écarte les trois justifications que les employeurs avancent le plus souvent : le suivi du temps de travail, l'imputation des contraventions aux conducteurs et la lutte contre le vol.

Le plafond de cette procédure a changé. Depuis le 28 mai 2026, l'article 22-1 fixe l'amende à 20 000 euros au plus, portés à 100 000 euros quand le chiffre d'affaires mondial du responsable dépasse 50 millions d'euros. Les décisions ne sont pas publiées : le client sanctionné ne fera pas la une, mais il demandera des comptes à son fournisseur. Et la procédure ordinaire reste ouverte, avec le plafond de l'article 83 du RGPD, 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Ce que les sanctions de la mobilité disent de la fréquence de collecte

Deux décisions de la formation restreinte, rendues contre des loueurs et non contre des employeurs, intéressent directement l'éditeur parce qu'elles jugent un réglage technique. Le 7 juillet 2022 (SAN-2022-015), Ubeeqo International est condamnée à 175 000 euros : ses véhicules de location remontaient une position tous les 500 mètres, à chaque démarrage et à chaque ouverture des portes. Le 16 mars 2023 (SAN-2023-003), Cityscoot est condamnée à 125 000 euros pour une position relevée toutes les 30 secondes pendant la location. Dans les deux cas, la CNIL admet la finalité, prévention du vol ou gestion des contraventions, et refuse la granularité. La collecte du début et de la fin de trajet suffisait.

Ces deux décisions portent sur des clients particuliers, comme la recommandation du 16 avril 2026 sur les véhicules connectés (délibération n° 2026-063), qui exclut expressément les véhicules mis à disposition des salariés. J'en ai résumé le contexte dans l'article sur les travaux de la CNIL sur les véhicules connectés et la mobilité. Pour les flottes d'entreprise, la référence reste la fiche CNIL dédiée, publiée le 30 mai 2023 et signalée comme en cours de mise à jour, qui a pris le relais de l'ancienne norme simplifiée n° 51 de 2015.

Finalités admises et finalités exclues : ce que le paramétrage doit refléter

Tout part des finalités, parce que c'est d'elles que découlent la fréquence, la durée et les accès. La CNIL en admet six :

• le suivi et la facturation d'une prestation de transport de personnes ou de marchandises, ou d'un service directement lié à l'utilisation du véhicule ;
• la sécurité du salarié, des marchandises ou du véhicule ;
• une meilleure allocation des moyens pour des interventions sur des sites dispersés, typiquement le dépannage ;
• le suivi du temps de travail, à titre accessoire et seulement s'il ne peut être réalisé autrement ;
• le respect d'une obligation légale ou réglementaire liée au type de transport ;
• le contrôle du respect des règles d'utilisation du véhicule fixées par l'employeur.

Elle en exclut autant, et ce sont celles-là qui coûtent cher : le contrôle des limitations de vitesse, le contrôle permanent d'un salarié, le suivi des salariés qui disposent d'une liberté dans l'organisation de leurs déplacements (VRP, visiteurs médicaux), le suivi des représentants du personnel dans l'exercice de leur mandat, la collecte hors temps de travail et le calcul du temps de travail quand un autre dispositif existe.

La vitesse : une donnée d'infraction que l'employeur ne peut pas exploiter

Le contrôle de la vitesse est le point où le désir commercial du client et le droit divergent le plus. Un excès de vitesse est une infraction. Or l'article 10 du RGPD réserve le traitement des données relatives aux infractions à l'autorité publique ou aux cas prévus par la loi, et l'article 46 de la loi Informatique et Libertés dresse la liste fermée de ceux qui peuvent les traiter : juridictions, auxiliaires de justice, victimes ou mis en cause pour préparer une action en justice. Un employeur qui classe ses chauffeurs par nombre de dépassements et en tire des avertissements ne figure pas dans cette liste.

Concrètement, l'éditeur peut calculer une vitesse moyenne pour estimer une heure d'arrivée ou détecter un choc. Il ne doit pas livrer un rapport nominatif « excès de vitesse par conducteur » activé par défaut, ni une alerte disciplinaire en temps réel. Un tableau d'écoconduite agrégé par équipe ou anonymisé reste possible, à condition que le client ne puisse pas revenir au conducteur.

Les contraventions : la désignation ne justifie pas l'historique

L'article L. 121-6 du code de la route oblige le représentant légal d'une personne morale à désigner le conducteur dans les 45 jours de l'avis de contravention, sous peine d'une amende de quatrième classe. Les clients s'en servent pour justifier la conservation de tous les trajets. La CNIL a répondu en mai 2025 que cette justification ne tient pas. Son référentiel du 12 avril 2021 sur la désignation des conducteurs (délibération n° 2021-043) liste les données utiles : numéro d'immatriculation, date et heure de la mise à disposition, identité du conducteur. Il recommande de les conserver 45 jours à compter de la réception de la contravention. Un registre d'affectation véhicule par conducteur répond à l'obligation, pas une trace GPS de deux ans.

Contrôle du temps de travail par géolocalisation : ce que dit la Cour de cassation

C'est la fonctionnalité la plus vendue et la plus risquée. La règle tient en une phrase, posée par la chambre sociale le 3 novembre 2011 (n° 10-18.036, publié) sur le fondement de l'article L. 1121-1 du code du travail : l'utilisation d'un système de géolocalisation pour contrôler la durée du travail n'est licite que si ce contrôle ne peut pas être fait par un autre moyen, et elle n'est pas justifiée lorsque le salarié dispose d'une liberté dans l'organisation de son travail.

Le même arrêt ajoute un second interdit, plus redoutable pour l'éditeur : un système de géolocalisation ne peut pas être utilisé pour d'autres finalités que celles portées à la connaissance des salariés. En l'espèce, des véhicules équipés « pour optimiser les visites » avaient servi à contrôler les horaires d'un technicien. La prise d'acte de la rupture a été jugée justifiée, avec les effets d'un licenciement sans cause réelle et sérieuse. L'article L. 1222-4 du code du travail le dit autrement : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été préalablement porté à sa connaissance.

« Fût-il moins efficace » : la saga Mediapost

Le 19 décembre 2018 (n° 17-14.631, publié), la Cour de cassation durcit la formule : le contrôle par géolocalisation n'est licite que si aucun autre moyen n'est possible, « fût-il moins efficace ». Elle casse l'arrêt qui avait validé le dispositif Distrio, un boîtier porté par les distributeurs de prospectus et relevant leur position toutes les dix secondes. Le 20 mars 2024 (n° 22-17.747, inédit), elle casse encore un arrêt qui validait un système de badgeage géolocalisé chez Adrexo, au motif que la cour d'appel avait elle-même constaté la liberté d'organisation des salariés.

L'arrêt du 18 mars 2026 (n° 24-18.976, publié au bulletin) clôt l'affaire Mediapost dans l'autre sens et dessine le cahier des charges d'un dispositif licite. La chambre sociale approuve la cour d'appel de renvoi d'avoir validé Distrio, en relevant plusieurs éléments que tout éditeur peut transformer en spécifications :

• l'autonomie des salariés se limitait au choix des horaires dans la journée, le parcours et les dates étant imposés ;
• le boîtier n'était activé que par le salarié lui-même, pendant la seule phase de distribution, et pouvait être éteint à tout moment ;
• une fois désactivé, il ne captait ni n'émettait aucun signal, et ne suivait ni les déplacements personnels ni les pauses ;
• les parcours étaient enregistrés par un tiers de confiance, sans suivi en direct par l'employeur ;
• une discussion ne s'ouvrait qu'en cas de dépassement de plus de 5 % du temps planifié sur la semaine ;
• les alternatives, déclaratif, accompagnement par un responsable, badgeage sans suivi du trajet, avaient été examinées et jugées incapables d'assurer un contrôle objectif.

La Cour s'appuie aussi sur l'obligation, tirée de l'arrêt CCOO de la Cour de justice du 14 mai 2019 (C-55/18), de mesurer le temps de travail par un système objectif, fiable et accessible. L'article L. 3171-4 du code du travail exige d'ailleurs qu'un système d'enregistrement automatique des heures soit « fiable et infalsifiable ». La géolocalisation peut donc devenir licite pour le temps de travail, mais par exception et sous conditions d'architecture.

Le Conseil d'État sépare la facturation du temps de travail

Le 15 décembre 2017 (n° 403776, Odeolis, publié au recueil Lebon), le Conseil d'État valide une mise en demeure de la CNIL contre une société de maintenance dont les techniciens itinérants étaient géolocalisés en temps réel. La CNIL lui interdisait d'utiliser les données pour contrôler le temps de travail, mais pas pour facturer ses clients. Le juge rejette l'argument selon lequel la société n'avait pas d'autre moyen de chronométrer ses interventions : la facturation reste permise, le contrôle des horaires non, parce que des documents déclaratifs existaient. Pour l'éditeur, la leçon est architecturale : les mêmes coordonnées peuvent alimenter un module licite et un module illicite. Le cloisonnement des usages doit donc être technique, pas seulement contractuel.

Point de vigilance. Depuis l'arrêt d'assemblée plénière du 22 décembre 2023 (n° 20-20.648), une preuve illicite n'est plus automatiquement écartée : le juge met en balance le droit à la preuve et les droits du salarié. La jurisprudence tend à appliquer ce contrôle à toutes les preuves issues d'un dispositif de surveillance. Ce n'est pas une porte ouverte pour vos clients : la production doit être indispensable et l'atteinte strictement proportionnée, ce qu'une trace GPS continue démontre rarement.

Le mode vie privée : un droit de désactiver, pas une option

La CNIL est explicite : les salariés doivent pouvoir désactiver la collecte ou la transmission de leur position en dehors du temps de travail, notamment quand le véhicule de fonction sert aussi le soir et le week-end. Ce n'est pas une bonne pratique, c'est la condition de la proportionnalité exigée par l'article L. 1121-1. Les sanctions de 2023 visaient précisément les dispositifs sans bouton pause.

Ce bouton, que le marché appelle « mode vie privée », doit répondre à trois exigences pour produire son effet :

• accessible au conducteur, dans le véhicule ou sur son application, sans demande préalable à un gestionnaire ;
• réellement coupant : pas de position stockée « au cas où » dans le boîtier puis remontée plus tard. L'arrêt de 2026 relève justement qu'une fois désactivé, le dispositif ne captait ni n'émettait aucun signal ;
• traçable sans être intrusif : la CNIL admet que l'employeur contrôle le nombre et la durée des désactivations et demande des explications en cas d'abus. Le journal doit donc enregistrer qu'une coupure a eu lieu et combien de temps elle a duré, jamais où.

Une variante utile, inspirée de Distrio, consiste à inverser la logique : collecte active seulement sur déclenchement du conducteur en début de tournée, ou automatiquement dans une plage horaire paramétrée par le client. Pour les représentants du personnel, le paramétrage doit permettre de suspendre la collecte pendant les heures de délégation, puisque la CNIL interdit de les suivre dans l'exercice de leur mandat.

Fréquence, précision et durée de conservation : les réglages par défaut

L'article 25.2 du RGPD impose au responsable de traitement que, par défaut, seules les données nécessaires à chaque finalité soient traitées. Le client ne peut tenir cet engagement que si le logiciel le permet. Les réglages par défaut de l'éditeur deviennent donc, en pratique, ceux de la majorité de ses clients.

Fréquence et précision par finalité

Ubeeqo et Cityscoot montrent que la CNIL juge la granularité finalité par finalité. Une grille raisonnable, à adapter au métier du client :

• antivol : la dernière position connue suffit, sans historique. C'est la solution que la CNIL indique dans son communiqué de 2025 ;
• affectation des interventions : position en temps réel pendant les heures de service, sans conservation au-delà de la journée ;
• preuve d'intervention et facturation : horodatage des arrivées et départs sur site, pas de trace continue entre deux sites ;
• optimisation des tournées : traces agrégées ou pseudonymisées, la nomination du conducteur n'apportant rien à l'algorithme.

Durées de conservation

La fiche CNIL fixe un principe de deux mois. Elle admet un an quand les données servent à optimiser les tournées ou à prouver les interventions et qu'aucun autre moyen n'existe, et cinq ans pour les données utilisées au suivi du temps de travail, ce qui ne vise que les hypothèses où ce suivi est licite. Le logiciel doit appliquer ces durées par finalité, avec une purge automatique et vérifiable, et non une durée unique choisie par le client dans un menu déroulant. La fiche étant annoncée en cours de mise à jour, prévoyez des durées paramétrables côté éditeur, pour pouvoir les modifier sans nouvelle version.

Analyse d'impact

La liste des traitements soumis à analyse d'impact, adoptée par la CNIL le 11 octobre 2018 (délibération n° 2018-327), vise les traitements ayant pour finalité de surveiller de manière constante l'activité des employés et ceux qui portent sur des données de localisation à large échelle. Une flotte de quelques centaines de véhicules suivie en continu y entre facilement. L'analyse incombe au client, mais il ne peut pas la rédiger sans la documentation technique de l'éditeur : fréquence de collecte, flux, hébergement, sous-traitants ultérieurs, sécurité.

La répartition des rôles entre l'éditeur et le client

L'employeur est responsable de traitement : c'est lui qui choisit d'équiper ses véhicules et pour quelles finalités. La CNIL le rappelle dans sa fiche : les outils développés par des prestataires restent sous la responsabilité de l'employeur, qui doit vérifier qu'ils respectent la loi, notamment en matière de sécurité. C'est aussi lui qui informe chaque salarié avant la mise en service (article L. 1222-4) et qui informe et consulte le comité social et économique sur ce moyen de contrôle de l'activité, conformément à l'article L. 2312-38 du code du travail. Un déploiement sans consultation préalable du CSE fragilise à lui seul toute exploitation des données.

L'éditeur est en principe sous-traitant au sens de l'article 28 du RGPD. Il doit un contrat conforme, une assistance et l'accès aux informations nécessaires aux audits du client (article 28.3.h). La répartition générale des rôles est détaillée dans l'article sur la qualification responsable ou sous-traitant entre un éditeur de SIRH et son client, dont la grille s'applique à la télématique.

Le basculement est rapide. Un éditeur qui réutilise les trajets de ses clients pour entraîner un modèle de prédiction du trafic, revendre des données de mobilité ou bâtir un indice de conduite inter-clients détermine ses propres finalités. L'article 28.10 du RGPD le requalifie alors en responsable de traitement pour cet usage, avec toutes les obligations qui suivent : base légale propre, information des conducteurs qu'il ne connaît pas, exercice des droits. La seule voie sûre consiste à n'exploiter pour son compte que des données réellement anonymisées, et à l'écrire dans le contrat.

Ce que l'acheteur va demander

Attendez-vous à des questions précises dans les appels d'offres : le bouton vie privée coupe-t-il la collecte ou seulement l'affichage ? Les durées sont-elles appliquées par finalité ? Qui accède aux historiques ? Répondre « c'est paramétrable par le client » transfère un risque que le client refusera de porter seul.

Les fonctionnalités à construire : la liste de l'éditeur de télématique

En combinant la doctrine CNIL, les décisions de sanction et l'arrêt de 2026, la conformité d'une solution de géolocalisation de flotte se traduit en neuf exigences produit :

1. Finalités déclarées par le client à l'activation, chacune ouvrant des modules distincts, avec impossibilité d'exploiter un module non déclaré.
2. Mode vie privée coupant réellement la captation, accessible au conducteur, avec un journal des désactivations sans position.
3. Plages horaires de collecte paramétrables, collecte coupée par défaut hors plage.
4. Fréquence et précision par finalité : dernière position pour l'antivol, horodatages pour la preuve d'intervention, temps réel seulement pour l'affectation.
5. Aucun rapport nominatif d'excès de vitesse livré par défaut, indicateurs d'écoconduite agrégés ou pseudonymisés.
6. Purge automatique par finalité : deux mois par défaut, un an ou cinq ans seulement sur finalité justifiée, avec preuve d'effacement.
7. Profils d'accès séparant exploitation, paie et direction, avec journalisation des consultations d'historique, comme l'attend la CNIL.
8. Kit de conformité client : modèle de note d'information des salariés, trame de consultation du CSE, éléments pour l'analyse d'impact, registre prérempli.
9. Contrat de sous-traitance qui interdit à l'éditeur toute réutilisation non anonymisée et décrit les mesures de sécurité.

Cette logique est la même que pour les autres dispositifs de contrôle des salariés. Sur un sujet voisin, l'article sur ce que la CNIL autorise vraiment en matière de pointage biométrique montre comment le choix de l'architecture détermine la licéité.

Passer de la conformité subie à l'argument de vente

La géolocalisation des véhicules de salariés n'est pas interdite. Elle est encadrée par une doctrine stable, et l'arrêt de mars 2026 montre qu'un dispositif bien conçu peut même servir au décompte du temps de travail. Ce qui fait la différence est presque entièrement entre les mains de l'éditeur : réglages par défaut, cloisonnement des finalités, purge et bouton vie privée.

Je confronte régulièrement des produits SaaS à ces exigences, en lisant la documentation technique et l'architecture, pas seulement les conditions générales. Un audit RGPD de votre solution télématique identifie les écarts et produit le kit de conformité que vos clients réclament. Si vous préparez un appel d'offres ou une refonte de votre module de géolocalisation, échangeons sur votre feuille de route produit.