Géolocalisation véhicule : ce que dit la loi

Mis à jour le 14 octobre 2026

La géolocalisation d'un véhicule de service est un traitement de données personnelles comme un autre : elle s'inscrit au registre, elle se justifie, elle se documente. La plupart des pages qui traitent le sujet s'adressent au salarié surveillé ou au vendeur de boîtiers. Celle-ci s'adresse à l'employeur, responsable du traitement au titre de l'article 24 du RGPD, et à son délégué, qui l'informe, le conseille et contrôle le respect des règles au titre de l'article 39. Le cadre tient dans deux corpus qui se cumulent. L'article L1121-1 du Code du travail n'admet aucune restriction aux libertés individuelles qui ne soit justifiée par la nature de la tâche et proportionnée au but recherché. Le règlement (UE) 2016/679 impose une base légale (article 6.1), la minimisation des données (article 5.1.c) et l'information préalable (article 13). Le choix de cette base légale pour un traitement de ressources humaines s'instruit avant l'achat du boîtier : voir les bases légales applicables aux traitements RH et leurs finalités.

Finalités admises et usages exclus d'un boîtier GPS sur un véhicule de service

Une finalité déterminée et proportionnée rend le dispositif licite ; toute autre exploitation des positions le rend illicite.

La géolocalisation d'un véhicule de service est licite pour une finalité déterminée : sécurité du conducteur, facturation d'une prestation, suivi d'une tournée, respect d'une obligation réglementaire de transport. L'article L1121-1 du Code du travail exclut tout dispositif disproportionné. La CNIL écarte le contrôle de vitesse et la surveillance permanente du salarié.

Le test de proportionnalité : article L1121-1 du Code du travail

L'article L1121-1 du Code du travail dispose que « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Appliqué à un boîtier GPS, ce texte se décompose en trois questions auxquelles l'employeur répond par écrit, avant l'installation.

La finalité est-elle déterminée et explicite ? « Mieux gérer la flotte » n'en est pas une ; « justifier auprès du donneur d'ordre l'heure d'arrivée sur site » en est une. Un moyen moins intrusif permet-il d'atteindre le même but ? Le relevé kilométrique, le bon d'intervention signé par le client et la badgeuse apportent souvent la même preuve sans historique de parcours. La Cour de cassation a posé cette subsidiarité en matière de temps de travail : le GPS ne sert à contrôler la durée du travail que lorsque ce contrôle ne peut être opéré par un autre moyen (chambre sociale, 3 novembre 2011, pourvoi n° 10-18.036). Enfin, l'article 5.1.c du RGPD impose la minimisation : fréquence des points de position, périmètre horaire, durée de rétention se calibrent sur l'usage réel, et non sur ce que la plateforme sait faire.

Les usages que la CNIL exclut : vitesse, surveillance permanente, trajets privés

Plusieurs exploitations rendent le traitement illicite. La Cour de cassation a jugé le 3 novembre 2011 (chambre sociale, pourvoi n° 10-18.036) qu'un système de géolocalisation ne peut servir à contrôler la durée du travail lorsque ce contrôle peut être opéré par un autre moyen, ni poursuivre une finalité autre que celle déclarée au salarié.

• Le contrôle de vitesse : les positions successives ne servent pas à sanctionner un excès de vitesse ni à noter la conduite en continu.
• La surveillance permanente : le véhicule reste un outil de travail, la collecte s'arrête avec le temps de travail — pauses, soirées, week-ends et congés compris.
• Les trajets domicile-travail : ils sortent du périmètre déclaré, y compris pour lutter contre le vol ; l'employeur qui veut seulement vérifier un usage conforme du véhicule s'en tient aux kilomètres parcourus, sans historique de parcours.
• Le suivi des salariés autonomes : la géolocalisation est illicite pour contrôler la durée du travail d'un salarié qui dispose d'une liberté dans l'organisation de son travail, un VRP par exemple (Cour de cassation, chambre sociale, 19 décembre 2018, pourvoi n° 17-14.631).
• Les représentants du personnel : leurs déplacements dans le cadre de leur mandat ne sont pas suivis.

Ces limites se traduisent en paramétrage, pas en engagement moral : plages horaires de collecte, mode de désactivation, blocage des exports hors finalité. Un dispositif qui enregistre ce qu'il ne doit pas exploiter produit une donnée hors finalité à purger.

Mettre en place la géolocalisation : les cinq obligations de l'employeur et de son délégué

Cinq obligations encadrent la mise en service, et chacune se matérialise par un écrit opposable.

La direction décide du dispositif et en répond : la conformité reste celle de l'organisation au titre de l'article 24 du RGPD. Le délégué à la protection des données informe, conseille et contrôle, au titre de l'article 39 ; la CNIL demande qu'il soit associé à la mise en œuvre du dispositif. Chacune des cinq obligations ci-dessous se matérialise par un écrit daté, conservé au dossier du traitement.

1. Inscrire le traitement au registre (article 30 du RGPD) : fiche renseignée avec la finalité, les catégories de données de localisation, les destinataires, la durée de conservation. Critère de sortie : la fiche existe et porte une date antérieure à la mise en service.
2. Examiner la nécessité d'une AIPD (article 35) : analyse écrite et datée, conclusion motivée, qu'elle aboutisse ou non à une analyse d'impact.
3. Informer individuellement chaque salarié avant la mise en service : note d'information remise, preuve de remise conservée.
4. Informer ou consulter les représentants du personnel avant toute décision d'installation : avis inscrit au procès-verbal.
5. Mentionner le dispositif dans la charte informatique : paragraphe dédié décrivant le périmètre, les plages de collecte et le mode de désactivation.

Registre (article 30) et examen de la nécessité d'une AIPD (article 35)

La fiche de registre d'un dispositif de géolocalisation nomme la finalité unique retenue, les données collectées (identifiant du véhicule, positions, horodatage), les destinataires internes et externes, la durée de conservation et le sous-traitant qui exploite la plateforme. Une fiche qui énumère quatre finalités est le premier signal d'un dispositif non instruit.

La question de l'analyse d'impact se tranche à la source : au titre de l'article 35 du RGPD, l'employeur vérifie si son dispositif relève de la liste des types d'opérations soumises à AIPD adoptée par la délibération n° 2018-327 du 11 octobre 2018 de la CNIL. Cette liste n'est pas exhaustive : un traitement qui n'y figure pas peut exiger une AIPD au regard des neuf critères du G29. L'examen se documente dans tous les cas : c'est lui, et non son résultat, qui est opposable en contrôle. La géolocalisation des véhicules est un traitement de données de personnel : notre article consacré au référentiel RH de la CNIL détaille le cadre applicable aux traitements RH.

Informer les salariés avant la mise en service et traiter leur droit d'opposition

L'information est préalable à la mise en service, individuelle, et cumule le droit du travail et le RGPD.

L'article L1222-4 du Code du travail interdit la collecte, par un dispositif non porté préalablement à la connaissance du salarié, de toute information le concernant personnellement. L'article 13 du RGPD fixe le contenu de cette information. Les deux textes se cumulent : une mention dans la charte ne remplace pas la note remise au conducteur. La CNIL cite l'avenant au contrat de travail et la note de service comme supports possibles.

• Identité du responsable de traitement : l'organisation employeuse, et les coordonnées du délégué lorsqu'il est désigné.
• Finalité et base légale : l'unique finalité déclarée et le fondement de l'article 6.1 retenu.
• Destinataires : services internes habilités, prestataire de la plateforme, donneur d'ordre le cas échéant.
• Durée de conservation : celle inscrite au registre, exprimée en durée précise.
• Droits ouverts : accès aux positions enregistrées, rectification, opposition au titre de l'article 21 lorsque le traitement repose sur l'intérêt légitime, réclamation auprès de la CNIL.

Le droit d'accès porte sur les données brutes : un salarié qui demande ses historiques de trajets les obtient. La CNIL a prononcé une sanction de 10 000 euros contre un employeur qui refusait de remettre à un salarié les relevés de géolocalisation de son véhicule après un accident. Une demande d'opposition se traite par un examen écrit et une réponse motivée, pas par un refus de principe.

Organiser la désactivation du boîtier hors temps de travail

Le dispositif offre au conducteur un moyen d'interrompre la collecte : bouton physique, mode privé dans l'application, ou coupure automatique en dehors des plages de travail paramétrées. Trois points se vérifient à la recette, avant la première mise en route. La désactivation bloque l'enregistrement et pas seulement l'affichage de la position. L'employeur peut contrôler le nombre et la durée des désactivations et demander des explications en cas d'abus, mais il ne voit aucune position pendant la désactivation. La procédure figure dans la note d'information remise au salarié et dans la charte informatique. La preuve de ce paramétrage se conserve au dossier du traitement : elle est la première pièce demandée quand le périmètre horaire est contesté.

Qui accède aux données de localisation : habilitations internes, destinataires externes, article 28 du RGPD

L'accès se limite aux personnes habilitées par leurs fonctions, et le fournisseur du boîtier agit sous contrat de sous-traitance.

L'accès aux positions se restreint au responsable d'exploitation, au gestionnaire de flotte et, quand la finalité déclarée le justifie, au service paie. Un profil d'habilitation nominatif et une journalisation des consultations encadrent ces accès. Le fournisseur de la plateforme est un sous-traitant au sens de l'article 28 du RGPD : un contrat écrit est exigé.

• Habilitations nominatives : chaque compte est rattaché à une personne et à une fonction, révoqué au départ, revu périodiquement.
• Authentification et chiffrement : identifiants individuels, flux chiffrés entre le boîtier, la plateforme et les postes, conformément au guide de la sécurité des données personnelles de la CNIL.
• Journalisation des consultations : qui a consulté quelle position, quand, avec une durée de conservation des journaux définie.
• Destinataires externes : un donneur d'ordre n'accède qu'aux informations prévues au contrat de prestation, jamais à l'historique complet d'un conducteur. Le nom du conducteur ne lui est communiqué que s'il présente pour lui un intérêt indispensable.
• Contrat de sous-traitance : objet, durée, nature et finalité, instructions documentées, confidentialité, sécurité, sous-traitance ultérieure, assistance et sort des données en fin de contrat, selon les clauses exigibles au titre de l'article 28 recensées par la CNIL.

Le boîtier télématique est aussi une surface d'attaque : interception des flux et accès non autorisé aux plateformes de flotte figurent parmi les menaces cartographiées par les publications de l'ENISA sur la sécurité des véhicules connectés.

Durées de conservation des données de géolocalisation : ce que recommande la CNIL, finalité par finalité

Chaque finalité porte sa propre durée, relevée dans une recommandation nommée et datée, puis inscrite au registre.

La durée de conservation des données de géolocalisation se fixe finalité par finalité : suivi d'une tournée, preuve d'une intervention réalisée, suivi du temps de travail. La CNIL recommande une durée maximale distincte pour chacune. L'employeur programme un effacement automatique à l'échéance plutôt qu'une purge manuelle, et inscrit la durée retenue au registre.

Ces durées sont celles de la fiche publiée par la CNIL le 30 mai 2023, que l'autorité signale comme en cours de mise à jour. Elles reprennent les seuils de l'ancienne norme simplifiée NS-051, que la CNIL cite elle-même comme obsolète. Son référentiel des durées de conservation RH publié en 2026 les confirme pour l'optimisation des tournées et la facturation. Elles se relèvent donc à la source à chaque révision du registre. L'articulation avec les autres pièces du dossier du personnel suit les durées de conservation applicables aux documents de ressources humaines.

Dispositif de géolocalisation contesté : recours du salarié et conduite à tenir pour l'organisation

Le salarié peut notamment exercer le droit d'opposition prévu à l'article 21 du RGPD ou saisir la CNIL. L'organisation mise en cause documente sa correction : retrait de la finalité non déclarée, mise à jour du registre, information rectificative.

Le salarié saisit les représentants du personnel, l'inspection du travail, le délégué à la protection des données ou le procureur de la République, ou dépose une réclamation auprès de la CNIL, dont les décisions de sanction et mises en demeure publiques sont consultables. L'article 83 du RGPD fixe le régime de sanction administrative applicable.

Face à une plainte ou à un contrôle, le délégué évalue la gravité et les risques, recommande les mesures correctives et prépare les projets de réponse ; le responsable de traitement décide et signe. La correction se conduit dans cet ordre :

1. Retirer la finalité non déclarée : couper l'exploitation concernée et bloquer les exports associés.
2. Purger les données hors finalité : positions collectées hors plages de travail, historiques excédant la durée inscrite au registre.
3. Mettre à jour la fiche de registre : finalité, données, destinataires, durée, avec la date de révision.
4. Adresser une information rectificative aux salariés concernés et actualiser la charte informatique.
5. Documenter la séquence : décision, date, pièces justificatives, pour la réponse à l'autorité de contrôle.

Un dispositif déjà installé s'instruit à rebours : on part de ce que la plateforme collecte réellement, puis on remonte à la finalité écrite. C'est l'objet d'un audit dédié, dont le rapport liste les écarts et les corrections à conduire ; à titre de repère, l'audit d'une application représente de deux à cinq jours. Mieux vaut faire auditer le dispositif de géolocalisation avant contrôle que de reconstituer un registre dans le délai de réponse à la CNIL.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus