L’essentiel : La CNIL a infligé une sanction de 150 000 euros à Cityscoot pour la collecte excessive des données de géolocalisation de ses scooters en location. La société a été jugée en défaut, car la collecte quasi permanente de ces données ne répondait pas à une finalité justifiée. Bien que les données soient stockées dans des bases distinctes, leur recoupement possible avec d’autres informations soulève des préoccupations quant à la vie privée. Le Comité européen de la protection des données a souligné que ces données, bien que non sensibles au sens du RGPD, sont hautement personnelles et peuvent révéler des aspects intimes de la vie des utilisateurs.

La collecte et la conservation des données de position de scooters en location, toutes les 30 secondes, est excessive dans la mesure où elle concerne la totalité des scooters loués par la société Cityscoot alors qu’elle ne répond qu’à une finalité incidente dans le cas où un utilisateur aurait besoin de ces données pour contester une infraction au code de la route.

150 000 de sanction contre Cityscoot

La CNIL a considéré qu’aucune des finalités avancées par la société Cityscoot ne justifie une collecte quasi permanente des données de géolocalisation au cours de la location d’un scooter.

Le privacy by design n’empêche pas le recoupement

Si les données de position des scooters sont décorrélées de toute information relatives aux utilisateurs dans la  » base de données scooter  » et sont conservées dans une base distincte de celle stockant les données relatives aux utilisateurs, à savoir la  » base de données client « , ce qui constitue un choix d’architecture informatique respectueux de la vie privée (privacy by design), il n’en demeure pas moins que ces données peuvent être recoupées avec les données présentes dans les autres bases, notamment par le biais du numéro de réservation présent dans chacune des bases, en disposant d’un accès étendu et simultané aux bases de données.

Nature juridique des données de géolocalisation

Si les données de géolocalisation ne sont pas des données sensibles, au sens de l’article 9 du RGPD, elles sont néanmoins considérées par le groupe de travail de l’article 29 (dit  » G29  » devenu le Comité européen de la protection des données (CEPD)) dans ses lignes directrices du 4 octobre 2017, comme étant des  » données à caractère hautement personnel « . Le CEPD estime que ces données sont considérées comme sensibles, au sens commun du terme, dans la mesure où elles ont un impact sur l’exercice d’un droit fondamental : la collecte des données de localisation met en jeu la liberté de circulation.

Le CEPD a considéré, dans ses lignes directrices 01/2020 relatives aux traitements de données à caractère personnel dans le contexte des véhicules connectés et des applications liées à la mobilité (les lignes directrices 01/2020) que  » lorsqu’ils collectent des données à caractère personnel, les constructeurs de véhicules et d’équipements, les prestataires de services et les autres responsables du traitement devraient garder à l’esprit que les données de localisation sont particulièrement révélatrices des habitudes de vie des personnes concernées.

Les trajets réalisés sont très caractéristiques en ce qu’ils peuvent permettre de déduire le lieu de travail, le domicile ainsi que les centres d’intérêt (loisirs) du conducteur, et peuvent éventuellement révéler des informations sensibles comme la religion, par l’intermédiaire du lieu de culte, ou l’orientation sexuelle, par l’intermédiaire des lieux fréquentés.

Par conséquent, les constructeurs de véhicules et d’équipements, les prestataires de services et les autres responsables du traitement devraient particulièrement veiller à ne pas collecter de données de localisation, à moins que cela ne soit absolument nécessaire pour la finalité du traitement « .

Ces lignes directrices soulignent également que la collecte de données de localisation est subordonnée au respect du principe selon lequel la localisation peut être activée  » uniquement lorsque l’utilisateur lance une fonctionnalité qui nécessite de connaître la localisation du véhicule, et non par défaut et en continu au démarrage de la voiture « .

Téléchargez cette décision

Consultez et Téléchargez la décision à l’origine de ce point juridique

Q/R juridiques soulevées :

Pourquoi la collecte des données de position des scooters par Cityscoot est-elle considérée comme excessive ?

La collecte et la conservation des données de position des scooters en location par Cityscoot, toutes les 30 secondes, sont jugées excessives car elles concernent l’ensemble des scooters loués, sans justification adéquate. Cette collecte permanente ne répond qu’à une finalité incidente, c’est-à-dire qu’elle n’est utile que si un utilisateur souhaite contester une infraction au code de la route. Ainsi, la CNIL a estimé qu’aucune des raisons avancées par Cityscoot ne justifie une telle pratique, ce qui soulève des questions sur la proportionnalité et la nécessité de cette collecte.

Quelles sont les implications du privacy by design dans le cas de Cityscoot ?

Le concept de « privacy by design » implique que les données de position des scooters soient séparées des informations relatives aux utilisateurs, stockées dans des bases de données distinctes. Cependant, même si cette architecture respecte la vie privée, elle ne prévient pas le recoupement des données. En effet, les données de géolocalisation peuvent être croisées avec celles des utilisateurs via le numéro de réservation. Cela signifie qu’un accès simultané et étendu aux bases de données pourrait permettre d’identifier des utilisateurs à partir de leurs données de localisation, ce qui pose des problèmes de confidentialité.

Comment le Comité européen de la protection des données (CEPD) considère-t-il les données de géolocalisation ?

Bien que les données de géolocalisation ne soient pas classées comme sensibles selon l’article 9 du RGPD, le CEPD les considère comme des « données à caractère hautement personnel ». Dans ses lignes directrices, le CEPD souligne que ces données peuvent avoir un impact significatif sur l’exercice des droits fondamentaux, notamment la liberté de circulation. Les trajets effectués peuvent révéler des informations sur le lieu de travail, le domicile et même des centres d’intérêt, ce qui peut potentiellement exposer des données sensibles comme la religion ou l’orientation sexuelle.

Quelles recommandations le CEPD fait-il concernant la collecte de données de localisation ?

Le CEPD recommande aux constructeurs et prestataires de services de ne collecter des données de localisation que si cela est absolument nécessaire pour la finalité du traitement. Il insiste sur le fait que la collecte de ces données doit être activée uniquement lorsque l’utilisateur utilise une fonctionnalité nécessitant la localisation, et non de manière continue par défaut. Cette approche vise à protéger la vie privée des utilisateurs et à éviter une surveillance excessive, en s’assurant que la collecte de données est proportionnée et justifiée.

Où peut-on consulter la décision de la CNIL concernant Cityscoot ?

La décision de la CNIL concernant Cityscoot peut être consultée et téléchargée via un lien fourni dans le texte. Cette décision est essentielle pour comprendre les implications juridiques de la collecte de données de géolocalisation par la société et les sanctions qui en découlent. En accédant à cette décision, les intéressés peuvent se familiariser avec les arguments juridiques et les conclusions de la CNIL sur cette affaire.