Géolocalisation dans un contrat VTC : 12 clauses pour l'acheteur

Le voyageur reçoit un lien pour suivre l'approche du chauffeur. Son assistante le conserve, le service voyages peut revoir l'itinéraire trois mois plus tard et le fournisseur utilise les positions détaillées pour ses statistiques. Une fonction d'ETA est devenue, sans décision explicite, une base de déplacements professionnels.

Le contrat doit empêcher cette dérive. Il ne suffit pas d'écrire « le prestataire respecte le RGPD » : l'acheteur doit savoir quelles positions existent, qui décide de chaque usage, qui peut les voir et quand elles disparaissent.

Clause 1 — cartographier les acteurs et leurs rôles

Listez acheteur, voyageur, agence, centrale de réservation, exploitant, chauffeur, éditeur, hébergeur, fournisseur cartographique et support. Pour chaque traitement, qualifiez qui détermine finalités et moyens et qui agit sur instruction.

Un prestataire de transport n'est pas automatiquement sous-traitant RGPD de l'acheteur pour tout ce qu'il fait. Il peut décider lui-même de traitements nécessaires à sa prestation ou à ses obligations, tout en étant sous-traitant pour une fonction particulière. La CNIL demande de partir des faits et de formaliser les rôles.

Clause 2 — séparer les finalités

Écrivez une ligne par finalité :

• afficher l'heure estimée d'arrivée ;
• affecter et suivre une course en cours ;
• assister en cas de panne ou d'incident ;
• prouver prise en charge et fin de mission ;
• justifier un montant facturé ;
• produire un reporting agrégé ;
• améliorer le service, si cette utilisation est réellement encadrée.

« Gestion de la mobilité » est trop large. L'article collecter moins de données de mobilité fournit une matrice décisionnelle pour chaque indicateur.

Clause 3 — définir la donnée minimale

Une heure estimée d'arrivée peut être fournie sans livrer l'historique GPS. Une preuve de course peut utiliser deux horodatages et une zone, sans conserver chaque point. Une facture a besoin d'une référence et d'un prix, pas du détail des lieux fréquentés.

La CNIL qualifie les données de localisation de hautement personnelles et recommande de limiter fréquence, quantité et durée. Dans certains usages, la dernière position suffit.

Clause 4 — fermer le lien de suivi

Le contrat décrit le lien envoyé au voyageur :

• jeton aléatoire et non devinable ;
• activation peu avant la prise en charge ;
• expiration à la fin de la course ou après une courte marge ;
• aucune indexation par les moteurs ;
• aucun historique après expiration ;
• révocation en cas d'envoi au mauvais destinataire ;
• absence de données des courses suivantes ;
• journal des accès utile à la sécurité.

Testez qu'un ancien lien, une capture d'URL ou un transfert de courriel ne donne pas un accès permanent. Ne placez pas nom, téléphone ou adresse en clair dans l'URL.

Clause 5 — attribuer les accès internes

Le voyageur, son assistant, le service voyages, la sûreté, la comptabilité et le manager n'ont pas le même besoin. Construisez des profils :

• opérationnel : course actuelle et ETA ;
• assistance : dossier d'incident limité ;
• finance : données de facturation sans GPS brut ;
• pilotage : agrégats sans individus ;
• administration : configuration, sans consultation libre des trajets.

Un tableau de bord manager par défaut peut révéler visites médicales, lieux de culte, représentants du personnel ou habitudes privées. L'habilitation doit dépendre d'une fonction et être revue.

Clause 6 — fixer une durée par objet

Le contrat contient une annexe de conservation exécutable :

Ne recopiez pas une durée CNIL conçue pour une autre finalité. Le prestataire indique ses purges, sauvegardes et journaux, puis démontre qu'ils appliquent la matrice.

Clause 7 — séparer voyageurs et chauffeurs salariés

L'acheteur peut traiter la localisation de ses salariés voyageurs ; le transporteur peut traiter celle de ses chauffeurs. Les deux cadres ne se confondent pas. Le code du travail impose notamment l'information préalable du salarié pour un dispositif qui collecte des informations le concernant.

Pour les chauffeurs salariés, la CNIL exclut la surveillance permanente, le contrôle de vitesse et la localisation hors temps de travail, et prévoit la désactivation hors travail. L'acheteur ne doit pas exiger dans son contrat un reporting qui contraindrait le fournisseur à violer ces limites.

Pour les voyageurs, informez sur les usages réellement décidés par l'employeur : politique de mobilité, sécurité, contrôle de dépense ou reporting. Un motif de course en texte libre ne doit pas devenir un dossier RH.

Clause 8 — encadrer sous-traitants et transferts

L'annexe RGPD, lorsqu'un acteur agit comme sous-traitant, reprend objet, durée, nature, données, catégories de personnes, instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance aux droits et sort des données.

Exigez la liste réelle : hébergeur, cartographie, SMS, support, analytique et constructeur. Pour chaque acteur, notez pays d'établissement, lieu d'hébergement, accès du support et éventuel transfert hors EEE.

Une clause « données hébergées en Europe » ne répond pas à l'accès depuis un support situé ailleurs. Le fournisseur notifie les changements et permet l'objection selon le cadre applicable.

Clause 9 — écrire les mesures de sécurité

• authentification multifacteur des administrateurs ;
• comptes nominatifs et moindre privilège ;
• chiffrement en transit et au repos selon le risque ;
• séparation des clients ;
• journalisation des consultations et exports ;
• rotation et révocation des clés d'API ;
• tests de vulnérabilité et correction ;
• sauvegardes et purge cohérentes ;
• export protégé ;
• procédure de retour ou suppression en fin de contrat.

Un export de positions vers un tableur local doit suivre les mêmes règles. L'API de réservation devient pertinente seulement si ses accès, erreurs et responsabilités sont maîtrisés.

Clause 10 — imposer un délai opérationnel pour les violations

Le contrat définit un canal disponible, les personnes d'astreinte et un délai de première alerte compatible avec les obligations du responsable de traitement. L'alerte contient progressivement :

• date de détection et période ;
• données, personnes et clients concernés ;
• comptes ou liens compromis ;
• mesures de confinement ;
• risques estimés ;
• éléments utiles à une notification ;
• calendrier des compléments.

Ne laissez pas le prestataire attendre son rapport final avant d'alerter. Une erreur d'envoi de lien, un export massif ou un compte support compromis doivent entrer dans la procédure.

Clause 11 — rendre les droits exécutables

Le contrat indique qui reçoit une demande, vérifie l'identité, recherche les données, consulte les autres acteurs et répond. Testez un cas portant sur :

• une course réservée par l'entreprise ;
• un lien de suivi ouvert par un assistant ;
• des positions conservées par le transporteur ;
• un export envoyé à l'acheteur ;
• une sauvegarde ou un sous-traitant.

La réponse explique données, finalités, sources, destinataires et durées. Elle ne doit pas exposer les droits d'un tiers, par exemple l'historique complet du chauffeur.

Clause 12 — prévoir audit, réversibilité et preuve

Le prestataire fournit documentation de conformité et permet des contrôles proportionnés. À la sortie :

1. couper les flux et comptes acheteur ;
2. exporter seulement les données à restituer ;
3. révoquer jetons et clés ;
4. supprimer les copies selon le contrat ;
5. traiter sauvegardes et journaux ;
6. obtenir une attestation circonstanciée ;
7. vérifier sur un échantillon et clore les écarts.

L'article auditer un prestataire de transport privé aide à intégrer le contrôle au cycle fournisseur.

Éviter six clauses inutiles

• « conservation pendant la durée nécessaire » sans tableau ;
• « accès aux personnes autorisées » sans profils ;
• « conformité RGPD garantie » sans rôles ;
• « données anonymes » alors qu'une course reste réidentifiable ;
• « hébergement UE » sans support ni sous-traitants ;
• « suppression sur demande » sans sauvegardes ni délai.

Recette avant mise en service

Score mensuel de gouvernance

Suivez peu d'indicateurs : liens encore actifs après course, comptes inactifs, exports de localisation, demandes de droits dans les délais, incidents, purges réussies et changements de sous-traitants. Un taux de ponctualité ne dit rien sur la maîtrise des données.

Présentez au comité mobilité des agrégats et les écarts. N'affichez pas une carte nominative des voyageurs pour démontrer que vous minimisez les données.

Checklist de signature

• acteurs et rôles déterminés par traitement ;
• finalités et base juridique documentées ;
• données et fréquence minimisées ;
• liens de suivi courts et révocables ;
• profils d'accès séparés ;
• durée et purge par objet ;
• cadres voyageurs et chauffeurs distingués ;
• sous-traitants et transferts listés ;
• sécurité et violations testées ;
• droits, audit et réversibilité exécutables.

Sources officielles

• CNIL : données de localisation des véhicules connectés
• CNIL : recommandation de juin 2026 sur la localisation
• CNIL : identifier responsable de traitement et sous-traitant
• CNIL : encadrer sécurité et sous-traitance
• CNIL : géolocalisation des véhicules des salariés
• Légifrance : information préalable du salarié
• CNIL : gérer et notifier une violation de données

Sources consultées le 6 septembre 2026. Le contrat doit refléter les traitements et rôles réels. Une clause générique ne corrige pas une fonction de suivi trop large ou mal configurée.