La CNIL a infligé une sanction de 150 000 euros à Cityscoot pour la collecte excessive des données de géolocalisation de ses scooters en location. La société a été jugée en défaut, car la collecte quasi permanente de ces données ne répondait pas à une finalité justifiée. Bien que les données soient stockées dans des bases distinctes, leur recoupement possible avec d’autres informations soulève des préoccupations quant à la vie privée. Le Comité européen de la protection des données a souligné que ces données, bien que non sensibles au sens du RGPD, sont hautement personnelles et peuvent révéler des aspects intimes de la vie des utilisateurs.. Consulter la source documentaire.

Pourquoi la collecte des données de position des scooters par Cityscoot est-elle considérée comme excessive ?

La collecte et la conservation des données de position des scooters en location par Cityscoot, toutes les 30 secondes, sont jugées excessives car elles concernent l’ensemble des scooters loués, sans justification adéquate.

Cette collecte permanente ne répond qu’à une finalité incidente, c’est-à-dire qu’elle n’est utile que si un utilisateur souhaite contester une infraction au code de la route.

Ainsi, la CNIL a estimé qu’aucune des raisons avancées par Cityscoot ne justifie une telle pratique, ce qui soulève des questions sur la proportionnalité et la nécessité de cette collecte.

Quelles sont les implications du privacy by design dans le cas de Cityscoot ?

Le concept de « privacy by design » implique que les données de position des scooters soient séparées des informations relatives aux utilisateurs, stockées dans des bases de données distinctes.

Cependant, même si cette architecture respecte la vie privée, elle ne prévient pas le recoupement des données. En effet, les données de géolocalisation peuvent être croisées avec celles des utilisateurs via le numéro de réservation.

Cela signifie qu’un accès simultané et étendu aux bases de données pourrait permettre d’identifier des utilisateurs à partir de leurs données de localisation, ce qui pose des problèmes de confidentialité.

Comment le Comité européen de la protection des données (CEPD) considère-t-il les données de géolocalisation ?

Bien que les données de géolocalisation ne soient pas classées comme sensibles selon l’article 9 du RGPD, le CEPD les considère comme des « données à caractère hautement personnel ».

Dans ses lignes directrices, le CEPD souligne que ces données peuvent avoir un impact significatif sur l’exercice des droits fondamentaux, notamment la liberté de circulation.

Les trajets effectués peuvent révéler des informations sur le lieu de travail, le domicile et même des centres d’intérêt, ce qui peut potentiellement exposer des données sensibles comme la religion ou l’orientation sexuelle.

Quelles recommandations le CEPD fait-il concernant la collecte de données de localisation ?

Le CEPD recommande aux constructeurs et prestataires de services de ne collecter des données de localisation que si cela est absolument nécessaire pour la finalité du traitement.

Il insiste sur le fait que la collecte de ces données doit être activée uniquement lorsque l’utilisateur utilise une fonctionnalité nécessitant la localisation, et non de manière continue par défaut.

Cette approche vise à protéger la vie privée des utilisateurs et à éviter une surveillance excessive, en s’assurant que la collecte de données est proportionnée et justifiée.

Où peut-on consulter la décision de la CNIL concernant Cityscoot ?

La décision de la CNIL concernant Cityscoot peut être consultée et téléchargée via un lien fourni dans le texte.

Cette décision est essentielle pour comprendre les implications juridiques de la collecte de données de géolocalisation par la société et les sanctions qui en découlent.

En accédant à cette décision, les intéressés peuvent se familiariser avec les arguments juridiques et les conclusions de la CNIL sur cette affaire.