Une société reçoit une délégation étrangère composée d'un directeur financier et de deux juristes. L'assistante réserve trois VTC depuis la plateforme habituelle : noms complets, numéros de téléphone, programme complet — adresses des rendez-vous, horaires, nom du cabinet d'avocats visité la veille de la négociation. Le chauffeur voit l'identité de chaque passager et la liste de toutes les étapes. Sans le savoir, l'entreprise a déjà exposé ce qu'elle tenait le plus à protéger. L'objectif ici n'est pas de choisir un prestataire, mais de réduire ce que la réservation rend visible, à qui et pendant combien de temps.
Trois objets, trois risques
L'identité est une donnée personnelle : sa diffusion à la plateforme, au chauffeur et à d'éventuels sous-traitants engage la responsabilité de l'organisation qui l'a transmise. L'itinéraire est une information d'affaires : il peut révéler une relation commerciale ou la préparation d'une négociation. Les coordonnées exposent la personne à des sollicitations après la mission et, dans certains profils, à un risque de suivi.
Obligation, garantie contractuelle, option : ne pas tout mélanger
Une obligation relève de la protection des données : ne collecter que le nécessaire, sécuriser la transmission, limiter la conservation, informer la personne ; les modalités exactes se vérifient auprès de la CNIL, dont les référentiels sur la géolocalisation et les données de transport font référence. Une garantie contractuelle se négocie : une clause de confidentialité qui impose au prestataire et au chauffeur de ne pas réutiliser, conserver ni partager les informations de la mission. Une option se choisit : réserver sous un code, transmettre l'itinéraire par étapes, passer par un numéro relais. Une exclusion se constate : un contrat de transport standard ne couvre ni la divulgation commise par le visiteur, ni les défaillances d'une plateforme qui n'a rien contractualisé, ni la protection physique du passager, qui relève de la sûreté.
Cloisonner l'identité
La réservation n'a pas toujours besoin du nom complet. Pour une prise en charge à l'aéroport, un panneau portant le nom de l'entreprise ou un code convenu suffit ; le nom complet ne devient nécessaire qu'au moment d'une vérification, et peut n'être montré que sur place, sans rester dans l'application. Pour les profils exposés, réservez sous une référence interne — « visiteur DEL-14 » — et ne croisez le nom réel qu'à la main du dossier.
Cloisonner l'itinéraire
Le chauffeur a besoin des étapes de prise en charge et de dépose, pas du programme du visiteur. Rien n'impose qu'il voie la raison d'un rendez-vous, le nom du cabinet rencontré ou l'ordre des réunions. Deux leviers suffisent : transmettre l'itinéraire par étapes successives, au moment où chaque course devient certaine, et confier la vision d'ensemble à un seul point de contact interne. L'itinéraire complet reste dans le dossier de l'organisation ; le transport ne reçoit que les segments qui le concernent.
Protéger les coordonnées
Le numéro personnel du visiteur ne doit pas vivre dans le système de réservation. Utilisez un numéro relais de l'entreprise — ligne dédiée, standard ou messagerie redirigée pendant la mission — afin que le chauffeur puisse joindre sans connaître le numéro direct. Interrogez le prestataire sur la conservation des journaux d'appels, et demandez la suppression au terme de la mission.
Transfert transfrontalier et conservation
Un visiteur international soulève une question que le transport domestique permet d'ignorer : où les données sont-elles hébergées, et sur quelle base franchissent-elles une frontière ? Si la plateforme stocke hors de l'Union européenne ou recourt à des sous-traitants étrangers, le mécanisme de transfert doit être identifiable et conforme. Demandez la localisation de l'hébergement, les sous-traitants ayant accès, la durée de conservation et l'existence d'une suppression automatique après la mission.
Préparer l'incident avant qu'il survienne
Un téléphone perdu par le chauffeur, un accès non autorisé à la plateforme, un itinéraire transmis à un tiers : l'incident n'est pas une hypothèse d'école pour un profil exposé. Définissez à l'avance qui prévient le visiteur, dans quel délai, dans quelle langue et par quel canal. Le visiteur étranger ne comprendra peut-être pas un courrier rédigé dans la langue de l'entreprise ; prévoyez la notification dans une langue qu'il maîtrise.
Questions à poser par écrit avant de réserver
- Quelles données d'identité sont strictement requises, et lesquelles peuvent être omises ?
- Que voit le chauffeur au moment de la réservation, pendant la course et après ?
- Où les données sont-elles hébergées et quels sous-traitants y accèdent ?
- Quelle est la durée de conservation et existe-t-il une suppression automatique en fin de mission ?
- Le contrat comporte-t-il une clause de confidentialité opposable au chauffeur ?
- Qui est prévenu, dans quel délai et dans quelle langue, en cas d'incident ?
Action immédiate
Rédigez une fiche « accueil international » d'une page qui fixe, pour chaque visiteur : la référence de réservation, le numéro relais, le point de contact interne et la règle de cloisonnement de l'itinéraire. Ajoutez au contrat de transport une annexe de confidentialité qui couvre le chauffeur et la conservation des données. Enfin, testez une réservation fictive pour observer précisément ce que le chauffeur reçoit, avant de confier un profil réel.
La protection ne consiste pas à multiplier les outils, mais à réduire ce qui circule : un code plutôt qu'un nom, une étape plutôt qu'un programme, un numéro relais plutôt qu'une ligne personnelle.