AgentPublic/cnil huggingface dataset:
En défense, la société affirme que la collecte de la position des scooters toutes les 30 secondes est nécessaire pour obtenir des informations sur les circonstances et le contexte d’une infraction. L’objectif est de vérifier si l’infraction relevée par l’ANTAI ("Agence nationale de traitement automatisé des infractions") a bien été commise : confirmer ou infirmer la présence du scooter à l’endroit relevé par l’avis de contravention et vérifier si l’infraction a pu se produire à cet endroit. Elle considère également que la collecte des données de position des scooters est nécessaire pour pouvoir identifier ou prouver l’identité du conducteur auprès de l’ANTAI, de la police ou des compagnies d’assurance.
La formation restreinte considère, d’une part, qu’il n’est pas nécessaire pour la société de collecter et conserver la position des scooters toutes les 30 secondes pour identifier et prouver l’identité d’un conducteur auprès de l’ANTAI, de la police ou des compagnies d’assurance. En effet, la collecte du numéro et la date de l’avis de contravention, la date et l’heure du début et de la fin de la location, la date et l’heure de l’infraction suffisent pour répondre à cette finalité. Ces données croisées avec le numéro de plaque d’immatriculation du scooter permettent en effet d’identifier la personne ayant loué le scooter. Au demeurant, la collecte des données de position des scooters ne permet pas d’établir en tant que telle l’identité de la personne responsable de l’infraction dès lors qu’il n’est pas possible de déterminer si le scooter a été déplacé par la personne ayant loué le scooter ou s’il a été déplacé par une tierce personne sur une mauvaise zone de stationnement, étant donné que le scooter peut être librement déplacé avec ou sans le moteur en marche.
D’autre part, la formation restreinte considère que la collecte et la conservation des données de position des scooters, toutes les 30 secondes, est excessive dans la mesure où elle concerne la totalité des scooters loués par la société alors qu’elle ne répond qu’à une finalité incidente dans le cas où un utilisateur aurait besoin de ces données pour contester une infraction au code de la route.
En troisième lieu, s’agissant de la gestion des vols, la rapporteure souligne que, pour être considéré comme proportionné, le traitement de données de géolocalisation doit être rendu nécessaire à cette finalité par un fait générateur, tel qu’une déclaration de vol ou une suspicion de vol. Les données de géolocalisation des scooters ne peuvent donc pas être considérées comme nécessaires à la poursuite de la finalité liée au risque de vol, avant tout fait générateur.
En défense, la société affirme que la collecte des données de scooter en cas de vol ne signifie pas pour autant que ces données sont croisées avec l’identité des utilisateurs. Elle ajoute qu’elle a besoin des données de position des scooters uniquement pour localiser ses scooters afin de les retrouver et les récupérer en cas de vol.
La société précise qu’elle ne peut se reposer uniquement sur les indications de la dernière position fournie par l’utilisateur au moment de la déclaration de vol, qui ne sont pas nécessairement fiables et que certaines difficultés techniques (batterie vidée, problème technique ou encore lorsque le scooter se trouve dans un parking ou une zone dans laquelle la géolocalisation ne peut pas être déclenchée) peuvent l’empêcher de déclencher la géolocalisation à distance. Elle précise également que la collecte des données de position des scooters toutes les 30 secondes permet de réduire considérablement la zone de recherche en cas de vol et que le système de géolocalisation, qui est intégré au scooter, ne peut pas être désactivé par une personne cherchant à voler le scooter.
La formation restreinte rappelle avant tout que, quand bien même la société ne procéderait pas à un rapprochement entre les données de position des scooters et les données de l’utilisateur pour retrouver un véhicule volé, la possibilité de faire ce rapprochement entre les différentes bases de données justifie que les données de position des scooters soient considérées comme des données à caractère personnel, soumises aux exigences du RGPD.
Par ailleurs, comme le relève la rapporteure, avant tout fait générateur, les données de géolocalisation des scooters ne peuvent pas, en principe, être considérées comme nécessaires à la poursuite de cette finalité et leur collecte en permanence ou de manière très rapprochée doit être considérée comme excessive.
A titre d’éclairage, la formation restreinte relève que les lignes directrices 01/2020 du CEPD indiquent que les données de localisation ne peuvent être remontées qu’à partir de la déclaration de vol et ne sauraient être collectées en continu le reste du temps. A cet égard, le CEPD recommande également que le responsable de traitement informe clairement la personne concernée qu’il n’existe pas de traçage permanent du véhicule et que les données de géolocalisation ne peuvent être collectées et transmises qu’à partir de la déclaration de vol.
En outre, la formation restreinte souligne que l’appréciation du caractère limité à ce qui est nécessaire, au sens de l’article 5, paragraphe 1, c) du RGPD, est éclairée par les dispositions du considérant 39 du RGPD, selon lequel "les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens". L’existence de moyens moins intrusifs pour atteindre les mêmes finalités doit être ainsi prise en compte, qu’il s’agisse de moyens alternatifs ou de données traitées moins fréquemment ou en moins grand nombre.
Avant tout, la formation restreinte précise que si le scooter est volé en dehors d’une période de location, les données de position du scooter ne sont pas rattachées à une réservation et ne permettent donc pas d’identifier un individu. Ce ne sont alors pas des données à caractère personnel et une telle situation est donc en dehors du champ de la présente procédure.
La formation restreinte estime ensuite qu’aucun scénario de vol ne justifie une collecte des données de position toutes les 30 secondes. D’une part, les cas, dont la société n’a pas établi la fréquence, où le scooter est volé en cours d’utilisation, c’est-à-dire lorsque l’utilisateur est lui-même sur le scooter en marche, ne doivent pas justifier la collecte quasi-permanente des données de position du scooter. D’autre part, le scooter peut être volé lorsque l’utilisateur fait une pause dans le cadre de sa location. Dans ce cas, l’utilisateur pourra contacter immédiatement la société […] dès le constat du vol en fin de pause, ce qui renseignera la société sur la dernière position du scooter.
Interrogée sur le nombre de véhicule retrouvés grâce à la dernière position connue du scooter, la société n’a pas été en mesure de fournir des statistiques démontrant l’efficacité de la géolocalisation toutes les 30 secondes.
Ainsi, la formation restreinte souligne que, au regard des considérations qui précèdent, les cas où d’une part, la géolocalisation est le seul moyen de connaître la dernière position connue du scooter et où, d’autre part, cette dernière position connue est effectivement proche de la localisation du scooter, apparaissent limités. Dans ces situations, la formation restreinte ne remet pas en cause l’utilité de connaître la dernière position connue du scooter grâce à la dernière donnée de géolocalisation. Cependant, cette hypothèse ne suffit pas à justifier la collecte des données de géolocalisation toutes les 30 secondes de l’ensemble des trajets des utilisateurs.
Au regard de ces considérations, la formation restreinte estime que, dans une grande partie des cas d’usage, la collecte et conservation des données de géolocalisation toutes les 30 secondes au cours de la location du scooter n’est pas nécessaire à la gestion des vols. Le fait de procéder systématiquement à cette collecte, pour les cas d’usages où elle pourrait être effectivement utile sur le fondement de l’intérêt légitime de la société, apparaît porter une atteinte disproportionnée à la vie privée. En effet, comme cela a été souligné ci-dessus, la collecte et conservation par la société de l’ensemble des trajets des utilisateurs des scooters la conduisent à manipuler des données hautement personnelles (v. CNIL, FR, 7 juillet 2022, Sanction, n° SAN-2022-015, publié).
En quatrième lieu, s’agissant de la gestion des accidents, la rapporteure soutient que la collecte des données de géolocalisation à cette fin ne peut intervenir qu’à compter d’un fait générateur, notamment la notification technique lorsque le scooter est trop incliné ou une demande d’assistance par le client, rendant cette collecte nécessaire.
En défense, la société affirme qu’il est nécessaire de collecter les données de position des scooters toutes les 30 secondes et de les croiser avec les données des utilisateurs afin de pouvoir contacter l’utilisateur lorsque le détecteur a envoyé une notification technique révélatrice d’un accident et assister cet utilisateur dans le cadre de la déclaration et des démarches de constat. Elle ajoute que les accidents ne déclenchent pas nécessairement une notification technique, notamment lorsque le scooter ne s’incline pas suffisamment. Elle précise également qu’elle est régulièrement sollicitée par des sociétés d’assurance, a posteriori, pour obtenir des informations sur des accidents dont elle n’avait pas connaissance, comme la localisation précise du scooter au moment de l’accident.
La formation restreinte souligne d’abord qu’il est légitime pour la société de vouloir porter assistance aux utilisateurs victimes d’un accident de la circulation pendant la location d’un scooter. Cependant, pour porter une telle assistance aux utilisateurs, la société doit avoir connaissance de la survenance d’un accident.
La formation restreinte considère que, dès lors que la société a connaissance de la survenance d’un accident concernant un scooter loué, elle peut géolocaliser ce véhicule pour, le cas échéant, porter assistance à l’utilisateur.
La formation restreinte considère que, dans la grande majorité des cas, un fait générateur permet à la société d’avoir connaissance de l’accident, que ce soit la notification technique du scooter trop incliné ou l’appel de l’utilisateur.
La formation restreinte estime que la géolocalisation toutes les 30 secondes de l’ensemble des scooters au cours de toute la durée de location, préalablement à toute information relative à un accident, n’est pas nécessaire pour porter assistance à un utilisateur. La collecte et conservation des données de géolocalisation quasi-permanente n’est donc ni adéquate, ni pertinente au regard de cette finalité.
Il résulte de l’ensemble de ce qui précède que la formation restreinte considère qu’aucune des finalités avancées par la société ne justifie une collecte toutes les 30 secondes des données de géolocalisation au cours de la location d’un scooter et la conservation de ces données. Une telle pratique est en effet très intrusive dans la vie privée des utilisateurs dans la mesure où elle est susceptible de révéler leurs déplacements, leurs lieux de fréquentation, la totalité des arrêts effectués au cours d’un parcours, ce qui revient à mettre en cause leur liberté de circuler anonymement. La formation restreinte relève à cet égard qu’il ressort des développements supra que la société pourrait proposer un service identique sans collecter les données de géolocalisation de manière quasi-permanente.
La formation restreinte considère par conséquent que ces faits constituent un manquement à l’article 5, paragraphe 1, c) du RGPD.
Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données à caractère personnel proportionnée à la finalité du traitement en application de l’article 5, paragraphe 1, e) du RGPD
Aux termes de l’article 5, paragraphe 1, e) du Règlement, les données à caractère personnel doivent être "conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation)".
La rapporteure a relevé dans son rapport qu’il ressort des échanges avec la société que les données de position des scooters sont conservées sans limite de durée dans la base de données scooters alors que la société précise par ailleurs que ces données sont anonymisées au bout de vingt-quatre mois. La rapporteure a considéré que le fait de conserver les données de géolocalisation d’un utilisateur sans limite de durée ou pendant vingt-quatre mois en base active excède la durée nécessaire au regard des finalités pour lesquelles les données sont traitées, relatives à la gestion des réclamations des clients et la gestion des amendes, sinistres et vols.
En défense, la société a expliqué que, contrairement à ce qui était indiqué dans le rapport, elle ne conserve pas de données à caractère personnel "sans limite de durée" et en aucun cas pendant vingt-quatre mois en base active. Elle a précisé que les données de position des scooters sont conservées pendant douze mois en base active et que, à l’issue de ces douze mois, les données de position des scooters ne sont plus conservées en base active mais sont archivées dans une base intermédiaire. Après cette conservation de douze mois en archivage intermédiaire, les données font l’objet d’une anonymisation.
Lors de la séance, compte tenu des éléments communiqués par la société dans le cadre de l’instruction, la rapporteure a considéré que les durées et les modalités de conservation des données, au regard des finalités évoquées, sont conformes aux exigences du RGPD. Elle a, en conséquence, proposé à la formation restreinte de ne pas retenir le manquement en cause.
La formation restreinte considère que le manquement à l’article 5, paragraphe 1, e) du RGPD n’est pas constitué.
Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués par un sous-traitant en application de l’article 28, paragraphe 3 du RGPD
Aux termes de l’article 28, paragraphe 3 du RGPD, le traitement effectué par un sous-traitant pour un responsable de traitement doit être régi par un contrat qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable de traitement. Ce contrat doit prévoir en outre les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement.
La rapporteure a pu constater que la société […] fait appel à quinze sous-traitants ayant un accès ou hébergeant des données à caractère personnel. Sur ces quinze contrats, elle considère que les contrats avec les sociétés […] ne contiennent pas toutes les mentions prévues par le RGPD. Le contrat avec la société BATCH ne prévoit que de manière générale les obligations de sécurité qui incombent au sous-traitant et il n’évoque pas l’obligation du sous-traitant de mettre à disposition du responsable de traitement toutes les informations pour démontrer le respect des obligations prévues, permettre la réalisation d’audits et contribuer à ces audits. Le contrat avec la société […] ne prévoit pas une procédure de suppression ou de renvoi des données à caractère personnel du sous-traitant au responsable de traitement à échéance du contrat. Le contrat avec la société […], très lacunaire, ne prévoit pas notamment l’objet du traitement, ni sa durée. Enfin, le contrat avec la société […] ne vise pas la catégorie de personnes concernées par le traitement.
En défense, la société affirme que les contrats avec les sociétés […] ont été modifiés, à la suite des contrôles des services de la CNIL, afin de se mettre en conformité avec le RGPD. S’agissant du contrat avec la société […], la société considère que le sous-traitant s’engage bien à mettre en œuvre les mesures qui sont celles requises par l’article 32 du RGPD et que le contrat prévoit les conditions dans lesquelles le sous-traitant met à la disposition de […] les informations nécessaires. S’agissant du contrat avec la société […], la société affirme que les données sont traitées en conformité avec la politique du sous-traitant relative à la conservation des données selon laquelle toute donnée est supprimée ou effacée après la fin de la période de conservation, période qui est de 14 mois avant anonymisation.
La formation restreinte rappelle, à titre liminaire, que dans ses lignes directrices 07/2020 du 7 juillet 2021 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, le CEPD affirme que "tandis que les éléments visés à l’article 28 du règlement constituent le contenu essentiel du contrat, ce dernier devrait permettre au responsable du traitement et au sous-traitant de clarifier davantage la manière dont ces éléments essentiels seront mis en œuvre en recourant à des instructions détaillées. Par conséquent, l’accord de traitement ne devrait pas se contenter de reproduire les dispositions du RGPD ; il devrait inclure des informations plus spécifiques et concrètes sur la manière dont les conditions seront remplies et sur le niveau de sécurité requis pour le traitement de données à caractère personnel qui fait l’objet dudit accord" (§ 112). Partant, les mentions visées à l’article 28, paragraphe 3 doivent non seulement figurer dans le contrat de sous-traitance, mais elles doivent également être suffisamment précises et détaillées pour permettre d’assurer un traitement conforme des données à caractère personnel.
S’agissant du contrat avec la société […], la clause "accountability" prévoit effectivement que le sous-traitant doit répondre aux questions du responsable de traitement et lui fournir, sur demande, tout document sollicité. Cependant, il n’est pas indiqué expressément que le sous-traitant doit tenir à sa disposition toutes les informations pour permettre la réalisation d’audits et contribuer à ces audits.
La formation restreinte considère également que la clause "security", qui prévoit que le sous-traitant met en place des mesures techniques et organisationnelles pour assurer un niveau de sécurité adapté au risque, devrait être plus précise. En effet, à titre d’illustration, dans ses lignes directrices 07/2020, le CEPD affirme que "l’accord devrait éviter de se contenter de répéter ces obligations d’assistance et devrait contenir des précisions sur la manière dont le sous-traitant est invité à aider le responsable du traitement à remplir les obligations énumérées. Par exemple, des procédures et des formulaires types peuvent être joints en annexes à l’accord pour permettre au sous-traitant de fournir au responsable du traitement toutes les informations nécessaires […] le sous-traitant est d’abord tenu d’aider le responsable du traitement à respecter l’obligation d’adopter des mesures techniques et organisationnelles appropriées afin de garantir la sécurité du traitement. Bien que cela puisse, dans une certaine mesure, empiéter sur l’exigence selon laquelle le sous-traitant adopte lui-même des mesures de sécurité appropriées, lorsque les opérations de traitement du sous-traitant relèvent du champ d’application du RGPD, ces deux obligations demeurent distinctes, l’une se référant aux mesures propres au sous-traitant et l’autre à celles du responsable du traitement". Ici, seuls les objectifs de sécurité à atteindre sont décrits, sans précision sur les moyens d’y parvenir, tels
qu’une description des processus ou mécanismes développés dans des annexes au contrat. En l’absence de précision sur les moyens pour remplir l’obligation de mettre en place des mesures techniques et organisationnelles pour assurer un niveau de sécurité adapté au risque, la formation restreinte considère que le contrat ne répond pas aux exigences du RGPD.
S’agissant du contrat avec la société […], la formation restreinte considère que si le contrat prévoit une politique de durée de conservation des données à caractère personnel, il n’est pas fait mention du sort des données en cas de résiliation du contrat entre les deux sociétés. En effet, la politique de durée de conservation des données et le sort des données à l’échéance du contrat font l’objet de deux mentions différentes par l’article 28, paragraphe 3 du RGPD. L’article 28, paragraphe 3, (g) prévoit que le contrat doit indiquer que le sous-traitant "selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes". Dès lors, cette mention doit donc être visée spécifiquement et séparément dans le contrat.
S’agissant des contrats avec les sociétés […], la formation restreinte prend acte du fait que la société s’est assurée de mettre les contrats en conformité avec les exigences du RGPD. Cependant, à la date des contrôles, lesdits contrats ne répondaient pas à ces exigences. En effet, le contrat avec la société […], très lacunaire, ne visait notamment pas l’objet du traitement, la durée du traitement, le type de données à caractère personnel traité. Le contrat conclu avec la société […], quant à lui, ne précisait pas la catégorie de personnes visées par le traitement.
Dès lors, au regard de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l’article 28 paragraphe 3 du RGPD est caractérisé.
Sur le manquement à l’obligation d’informer l’utilisateur et d’obtenir son consentement avant d’inscrire et de lire des informations sur son équipement terminal de communication électronique en application de l’article 82 de la loi du 6 janvier 1978
L’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée dispose que "tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur".