Règlement (UE) 2016/679, articles 5 et 6.1 f)

DPO externalisé pour le transport et la logistique

Le transport est le secteur où un même dispositif sert simultanément deux fins que le règlement (UE) 2016/679 traite différemment : la géolocalisation d'un véhicule optimise une tournée et, dans le même mouvement, suit un conducteur en permanence. La conformité du secteur tient à la capacité de justifier la première sans consentir à la seconde.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

La géolocalisation : une finalité, pas un dispositif

Un système de géolocalisation est licite au regard de la finalité qu'il sert, jamais en lui-même. L'optimisation des tournées, la sécurité des marchandises transportées, la justification d'une prestation auprès d'un client et le suivi du temps de travail sont quatre finalités distinctes, dont chacune appelle son propre examen de nécessité et sa propre durée de conservation.

Deux limites structurent la pratique de l'autorité de contrôle sur ce point, et elles découlent du principe de proportionnalité de l'article 5.1 c) du règlement. Le dispositif ne doit pas permettre un suivi permanent du conducteur en dehors du temps de travail, ce qui impose une possibilité de désactivation effective, y compris lorsque le véhicule peut être utilisé à titre personnel. Et il ne doit pas suivre les déplacements d'un représentant du personnel dans l'exercice de son mandat.

Lorsque le suivi du temps de travail est la finalité recherchée, la géolocalisation ne peut être retenue que si aucun autre moyen ne permet d'y parvenir : un dispositif déclaratif existant rend le recours à la localisation disproportionné pour cette finalité-là, sans faire obstacle à son usage pour une autre.

Caméras embarquées et dispositifs de sécurité de conduite

Les caméras embarquées, capteurs de comportement de conduite et dispositifs d'alerte de somnolence produisent des données comportementales rattachables à un conducteur identifié. Leur finalité de sécurité est réelle, et elle ne suffit pas à elle seule à justifier un enregistrement continu.

Le paramétrage qui résiste à l'examen est celui de l'enregistrement par événement : le dispositif conserve les séquences déclenchées par un incident et écrase le reste. Il permet d'atteindre la finalité de sécurité sans constituer un enregistrement permanent de l'activité d'un salarié. Une caméra orientée vers l'habitacle demande en outre une justification distincte de celle qui vaut pour une caméra orientée vers la route, et ne peut pas se déduire de la même analyse.

Les données du destinataire ne sont pas celles du client

Une livraison met en présence trois personnes : l'expéditeur, qui est souvent le client, le destinataire, qui ne l'est pas, et le conducteur. Le destinataire n'a généralement aucune relation contractuelle avec le transporteur, et ses données — adresse, téléphone, preuve de livraison, parfois signature ou photographie du colis déposé — sont pourtant traitées.

L'article 14 du règlement s'applique alors : les données n'ayant pas été collectées auprès du destinataire, celui-ci doit être informé dans un délai raisonnable, et au plus tard lors de la première communication avec lui. La notification de suivi est le support naturel de cette information, ce qui suppose qu'elle comporte un renvoi effectif vers la politique de confidentialité du transporteur, et non seulement vers celle du marchand.

La preuve de livraison mérite un traitement propre : elle est nécessaire à l'établissement de l'exécution de la prestation, sa durée de conservation se rattache au délai de contestation applicable, et une photographie du lieu de dépôt ne doit pas capter davantage que ce que cette preuve exige.

La chaîne de sous-traitance et le régime NIS2

L'affrètement et la sous-traitance en cascade sont la règle du secteur : un donneur d'ordre confie à un commissionnaire, qui confie à un transporteur, qui affrète. Chaque maillon traite les mêmes données de destinataires. L'article 28.4 du règlement impose de faire porter au sous-traitant ultérieur les mêmes obligations que celles qui lient le premier sous-traitant, et laisse celui-ci pleinement responsable devant le responsable du traitement.

Plusieurs activités de transport figurent par ailleurs aux annexes de la directive (UE) 2022/2555, ce qui soumet les entités concernées à des obligations de gestion du risque et de notification d'incidents distinctes de celles du règlement. Une même défaillance du système d'exploitation peut ainsi déclencher deux procédures, auprès de deux autorités, selon deux calendriers.

Questions fréquentes

Peut-on géolocaliser en permanence les véhicules de l'entreprise ?

La géolocalisation est admise pour une finalité déterminée et proportionnée, mais elle ne doit pas permettre un suivi permanent du conducteur. Lorsque le véhicule peut être utilisé à titre personnel, une désactivation effective hors du temps de travail est nécessaire, et les déplacements d'un représentant du personnel dans l'exercice de son mandat ne doivent pas être suivis.

La géolocalisation peut-elle servir à décompter le temps de travail ?

Seulement si aucun autre moyen ne permet d'atteindre cette finalité. Le principe de minimisation de l'article 5.1 c) du règlement (UE) 2016/679 écarte le recours à un dispositif de localisation lorsqu'un système déclaratif existe déjà. Cela ne fait pas obstacle à l'usage du même dispositif pour une autre finalité, à condition qu'elle soit inscrite au registre et portée à la connaissance des salariés.

Faut-il informer le destinataire d'un colis du traitement de ses données ?

Oui. Ses données n'ayant pas été collectées auprès de lui, l'article 14 du règlement impose une information dans un délai raisonnable et au plus tard lors de la première communication. La notification de suivi est le support adéquat, à condition qu'elle renvoie effectivement vers la politique de confidentialité du transporteur.

Un transporteur relève-t-il de la directive NIS2 ?

Plusieurs activités de transport figurent aux annexes de la directive (UE) 2022/2555. L'assujettissement dépend du secteur d'activité et des critères de taille, et il s'apprécie entité par entité. En France, la transposition était en cours à la date de dernière revue de cette page, et l'état d'avancement doit être vérifié auprès de l'ANSSI avant toute conclusion.

Ce que ce régime déclenche ailleurs

La géolocalisation et les caméras embarquées sont, avant tout, des dispositifs de contrôle de l'activité : les règles du droit du travail s'y appliquent en plus de celles du règlement.

Les dispositifs de contrôle des salariés

Ce qui se conduit à distance, ce qui suppose un déplacement sur site, et les zones couvertes depuis Paris en France, en Europe et au-delà.

En France

Données de l'article 9, exception de soin du point h, hébergement certifié HDS et secret médical : ce qu'un mandat de délégué couvre dans un établissement ou un cabinet de santé.

Santé

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.