AgentPublic/cnil huggingface dataset:
47. En défense, la société soutient que la collecte des données de géolocalisation tous les 500 mètres permet de retrouver le véhicule en cas de vol ou de suspicion de vol, notamment lors d’incohérences entre la localisation réelle du véhicule et son lieu de restitution prévu. En effet, la géolocalisation serait le seul moyen efficace de répondre à l’objectif légitime de prévention du vol. La société soutient qu’elle ne peut interroger les clients sur la localisation du véhicule car, dans 60% des cas recensés par X en France en 2021, le client est l’auteur du vol. En outre, l’usage de la géolocalisation à compter d’un fait générateur permettrait au mieux d’obtenir une information trop tardive, voire aucune information. En effet, les systèmes de géolocalisation seraient soit désactivés, soit rendus hors d’usage en plaçant le véhicule dans une zone où le signal ne pourrait émettre (parking souterrain…). Connaître la dernière position connue du véhicule permettrait donc de réduire la zone de recherche du véhicule si celui-ci était volé et n’émettait plus de signal. 
48. La formation restreinte souligne que, comme le relève la rapporteure, avant tout fait générateur, les données de géolocalisation des véhicules ne peuvent, en principe, être considérées comme strictement nécessaires à la poursuite de cette finalité et leur collecte en permanence ou de manière très rapprochée doit être considérée comme excessive.
49. À titre d’éclairage, la formation restreinte relève que les lignes directrices 01/2020 indiquent que les données de localisation ne peuvent être remontées qu’à partir de la déclaration de vol et ne sauraient être collectées en continu le reste du temps. À cet égard, le CEPD recommande également que le responsable de traitement informe clairement la personne concernée qu’il n’existe pas de traçage permanent du véhicule et que les données de géolocalisation ne peuvent être collectées et transmises qu’à partir de la déclaration de vol. 
50. En outre, la formation restreinte souligne que l’appréciation du caractère limité à ce qui est nécessaire, au sens de l’article 5.1.c du RGPD, est éclairée par les dispositions du considérant 39 du RGPD, selon lequel " [l]es données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens ". L’existence de moyens moins intrusifs pour atteindre les mêmes finalités doit ainsi être prise en compte, qu’il s’agisse de moyens alternatifs ou de données traitées moins fréquemment ou en moins grand nombre.
51. La formation restreinte prend note des observations de la société et notamment du fait que, dans 60% des cas de vol en France, le vol est le fait de l’utilisateur du véhicule. Dans ces cas, cet utilisateur ne signalerait donc pas, ou du moins en temps utile, le vol en question et ne fournirait pas à la société la dernière position connue du véhicule. Toutefois, dans ces hypothèses, la société dispose en principe de l’identité de cette personne, qui a été vérifiée au cours du parcours d’inscription de l’utilisateur, en collectant des copies d’une pièce d’identité et du permis de conduire de cette personne. 
52. La formation restreinte note également que, par conséquent, dans 40% des cas en France, l’utilisateur n’étant pas le voleur du véhicule, il peut communiquer à la société la dernière position connue du véhicule avant qu’il ne disparaisse. 
53. La formation restreinte relève ensuite que dans les hypothèses où le véhicule disparaît et que la dernière position connue n’est pas communiquée par l’utilisateur, la société peut en principe activer à distance la géolocalisation du véhicule. Ce n’est que dans les cas où soit le véhicule se trouve dans une zone où le signal n’émet pas (zone blanche ou parking souterrain notamment), soit le système de géolocalisation a été démonté en vue du vol, que la société n’aura pas accès à la géolocalisation du véhicule. La proportion de ces hypothèses n’a cependant pas été communiquée par la société.
54. À cet égard, la formation restreinte considère que lorsque le système de géolocalisation a été sciemment rendu inutilisable, l’information que représente la dernière position connue du véhicule a une valeur relative en vue de rechercher le véhicule. 
55. Ainsi, la formation restreinte souligne que, au regard des considérations qui précèdent, les cas où, d’une part, la géolocalisation est le seul moyen de connaître la dernière position connue du véhicule et où, d’autre part, cette dernière position connue est effectivement proche de la localisation du véhicule, apparaissent limités. Dans ces situations, la formation restreinte ne remet pas en cause l’utilité de connaître la dernière position connue du véhicule grâce à la dernière donnée de géolocalisation. Cependant, cette hypothèse ne suffit pas à justifier la collecte de l’ensemble des données de géolocalisation de l’ensemble des trajets des utilisateurs.
56. Au surplus, la formation restreinte relève que d’autres mesures de sécurité pourraient être mises en place pour prévenir le vol des véhicules. En effet, par exemple, aucun dépôt de garantie n’est demandé à l’utilisateur pour louer un véhicule. La formation restreinte souligne que l’absence de mise en place de moyens alternatifs de prévention du vol, moins attentatoires à la vie privée des utilisateurs, tend à renforcer la conclusion selon laquelle il est disproportionné de faire reposer la prévention du vol de véhicules sur la collecte quasi permanente de données de géolocalisation. 
57. Au regard de l’ensemble de ces considérations, la formation restreinte considère que, dans une grande partie des cas d’usage, la collecte de données de géolocalisation tous les 500 mètres au cours de la location du véhicule n’est pas nécessaire à l’objectif de prévention du vol du véhicule. Le fait de procéder systématiquement à cette collecte pour les cas d’usages où elle pourrait être effectivement utile, alors que d’autres moyens de prévention et de lutte contre le vol existent, sur le fondement de l’intérêt légitime de la société, apparaît porter une atteinte disproportionnée à la vie privée. En effet, comme cela a été souligné ci-dessus, la collecte et la conservation par la société de l’ensemble des trajets des utilisateurs des véhicules la conduisent à manipuler et à conserver des données hautement personnelles.
58. En troisième lieu, s’agissant de la localisation du véhicule en cas d’accident, la rapporteure soutient que la collecte de données de géolocalisation à cette fin ne peut intervenir qu’à compter d’un fait générateur, notamment une demande d’assistance par le client, rendant cette collecte nécessaire. 
59. En défense, la société soutient que limiter le déclenchement de la géolocalisation à l’hypothèse d’une demande d’assistance équivaudrait à la priver de la possibilité de porter assistance à son client alors même qu’il serait dans l’impossibilité de la solliciter. En outre, identifier la dernière localisation connue du véhicule serait important lorsque le véhicule est accidenté dans une zone " blanche ".
60. La formation restreinte souligne d’abord qu’il est légitime pour la société de vouloir porter assistance aux utilisateurs victimes d’un accident de la circulation pendant la location d’un véhicule. Cependant, pour porter une telle assistance aux utilisateurs, la société doit nécessairement avoir connaissance de la survenance d’un incident ou d’un accident. 
61. La formation restreinte considère que, dès lors que la société a connaissance de la survenance d’un accident concernant un véhicule loué, elle peut géolocaliser ce véhicule pour, le cas échéant, porter assistance à l’utilisateur.
62. En revanche, la formation restreinte estime que la géolocalisation tous les 500 mètres de l’ensemble des véhicules au cours de toute la durée de location, préalablement à toute information relative à un accident, n’est pas nécessaire pour porter assistance à un utilisateur. La collecte de données de géolocalisation quasi permanente n’est donc ni adéquate, ni pertinente au regard de cette finalité.
63. Il résulte de l’ensemble de ce qui précède que la formation restreinte considère qu’aucune des finalités avancées par la société ne justifie une collecte tous les 500 mètres des données de géolocalisation au cours de la location d’un véhicule. Une telle pratique est en effet très intrusive dans la vie privée des utilisateurs dans la mesure où elle est susceptible de révéler leurs déplacements, leurs lieux de fréquentation, la totalité des arrêts effectués au cours d’un parcours journalier, ce qui revient à mettre en cause leur liberté de circulation. La formation restreinte relève à cet égard qu’il ressort des développements supra que la société pourrait proposer un service identique sans collecter des données de géolocalisation de manière quasi permanente.
64. En outre, la formation restreinte prend acte de ce que la société a déclaré que sa pratique avait évolué et qu’elle ne conservait plus d’historique des données de géolocalisation. La formation restreinte estime qu’il s’agit d’une bonne pratique, dans la mesure où le risque d’atteinte à la vie privée des utilisateurs est moins importante. Cependant, à la date des contrôles, la société conservait un historique des données de géolocalisation dans le système d’information Inovia.
65. La formation restreinte considère par conséquent que ces faits constituent un manquement à l’article 5.1.c du RGPD.
C. Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données à caractère personnel proportionnée à la finalité du traitement en application de l’article 5.1.e du RGPD
66. Aux termes de l’article 5.1.e du Règlement, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ".
1. S’agissant de la durée de conservation des données de géolocalisation
67. La rapporteure relève qu’il ressort de la politique de conservation des données de la société que les données de géolocalisation des clients particuliers sont conservées en base active pendant toute la durée de la relation commerciale puis durant trois ans à compter de la date de dernière activité de l’utilisateur. Au cours de cette relation commerciale, un client conclut un nouveau contrat avec la société pour chaque location d’un véhicule. La rapporteure note que les finalités pour lesquelles les données de géolocalisation sont collectées sont liées à un contrat de location d’un véhicule précis et non à l’ensemble de la relation commerciale, qui dure jusqu’à la dernière manifestation d’intérêt à la relation commerciale de l’utilisateur (notamment : une location ou réservation en cours, le fait de cliquer sur un lien dans une newsletter, l’inscription à une offre […] ou une connexion au compte […]).
68. Au regard de ces éléments, la rapporteure fait grief à la société de ne pas lier la durée de conservation des données de géolocalisation à chaque contrat de location mais à la relation commerciale avec le client. En effet, la date de dernière activité de l’utilisateur et non celle de la fin du contrat de location est prise en considération pour faire courir la durée de conservation. Elle considère, par conséquent, que les données de géolocalisation collectées au cours de la location d’un véhicule sont conservées pour une durée qui excède les finalités pour lesquelles elles sont traitées. 
69. En défense, la société soutient qu’elle ne conserve aucun historique des données de géolocalisation. Elle fait valoir que chaque donnée de géolocalisation collectée remplace la donnée précédemment collectée, tant dans le système d’information […] que dans le système d’information […]. Ainsi, n’est conservée que la dernière position connue d’un véhicule. Par conséquent, il ne saurait selon elle lui être fait grief de conserver les données de géolocalisation qu’elle collecte pour une durée excessive.
70. La formation restreinte rappelle que la durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire, pour une durée déterminée, lorsque leur conservation est nécessaire par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. La formation restreinte souligne également que l’effectivité de la mise en œuvre d’une politique de durées de conservation des données est le pendant nécessaire de sa définition et permet d’assurer que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Cela permet par ailleurs, notamment, de réduire les risques d’usage non autorisé des données en cause, par un salarié ou par un tiers (voir CNIL, FR, 29 octobre 2021, Sanction, n° SAN-2021-019, publiée).
71. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier que, à la date des contrôles de la délégation de la CNIL, la société conservait, dans le système d’information Inovia, un historique des données de géolocalisation. Les données de géolocalisation étaient conservées, en application de la politique de durées de conservation, en base active durant trois ans à compter de la date de dernière activité de l’utilisateur. Le point de départ de la durée de conservation de ces données était ainsi lié à la fin de la relation commerciale entre la société et l’utilisateur. Cette pratique concernait une partie de l’activité de la société, c’est-à-dire les données collectées dans les pays où le système d’information Inovia était utilisé (France, Italie et, partiellement, Belgique).
72. Or, la formation restreinte remarque que les finalités pour lesquelles des données de géolocalisation sont collectées ne sont pas liées à l’ensemble de cette relation commerciale mais à chaque contrat de location d’un véhicule. En effet, s’agissant, premièrement, de la finalité liée à la gestion de la flotte de véhicules et du contrat de location, les données de géolocalisation du véhicule ne sont plus nécessaires à cette finalité dès lors que le véhicule a été restitué et que la location a pris fin. Deuxièmement, s’agissant de la finalité liée à la prévention du vol, les données de géolocalisation seraient nécessaires uniquement en cas de vol du véhicule, le temps de l’instruction du dossier par les autorités judiciaires compétentes ou jusqu’à l’issue d’une procédure de levée de doute n’aboutissant pas à la confirmation du vol du véhicule. Troisièmement, s’agissant de la finalité liée à l’assistance des utilisateurs en cas d’accident, si des données de géolocalisation des véhicules peuvent être nécessaires à l’accomplissement d’un service d’assistance, elles ne le sont plus dès lors que ce service ou les procédures qui y sont liées prennent fin.
73. La formation restreinte souligne que, le cas échéant, à l’issue des procédures liées au vol d’un véhicule ou à un accident, des données de géolocalisation en lien avec ces procédures peuvent être conservées par la société, notamment en vertu d’obligations légales ou pour se constituer une preuve en cas de contentieux et dans la limite du délai de prescription applicable. Ces données doivent cependant faire l’objet d’un tri puis être conservées dans une base d’archivage dédiée, distincte de la base active, pour une durée liée aux finalités recherchées. En outre, le point de départ de la durée de conservation de ces données doit être lié aux situations et événements justifiant la collecte de ces données et ne saurait, en l’espèce, dépendre de manière mécanique et systématique de la fin de la relation commerciale avec le client.
74. Par conséquent, la formation restreinte considère que le fait que le point de départ de la durée de conservation des données de géolocalisation soit lié non pas au contrat de location mais à la fin de la relation commerciale avec l’utilisateur ne permettait pas de respecter le principe selon lequel les données à caractère personnel ne doivent pas être conservées pour une durée qui excède celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
75. Par ailleurs, il ressort des éléments du dossier que la société a modifié sa politique de conservation des données de géolocalisation. Ainsi, à la date du contrôle de la délégation de la CNIL, la société conservait, dans le système d’information […], un historique des données de géolocalisation. La formation restreinte relève que la société soutient que cette pratique a évolué au cours de la présente procédure de sanction et que, désormais, aucun historique des données de géolocalisation n’est conservé. En effet, chaque donnée de géolocalisation collectée remplacerait la donnée précédemment collectée dans le système d’information. La dernière donnée collectée effacerait donc la précédente. Partant, à un instant donné, seule la dernière position connue du véhicule serait enregistrée dans le système d’information. 
76. Si la formation restreinte prend bonne note de cette évolution, elle relève que ce n’est pas la pratique qui a été constatée lors du contrôle. 
77. La formation restreinte en conclut que la société a conservé les données de géolocalisation en cause pour une durée qui excède celle nécessaire au regard des finalités pour lesquelles elles sont traitées et a ainsi méconnu ses obligations au regard de l’article 5.1.e du RGPD.
2. S’agissant de la mise en œuvre effective de la politique de conservation des données
78. La rapporteure fait grief à la société de ne pas respecter sa politique de conservation dans la mesure où il a été constaté lors du contrôle que des données à caractère personnel relatives à des utilisateurs inactifs depuis plus de huit ans étaient présentes dans le système d’information […]. La rapporteure soutient que les données sont ainsi conservées pour une durée excédant les finalités pour lesquelles elles sont traitées.
79. En défense, la société fait valoir que les données en cause se rapporteraient à son activité dans le cadre de l’offre de services à des professionnels (B2B) et que la politique de conservation évoquée dans le rapport ne s’applique pas dans le contexte de l’offre aux professionnels.
80. La formation restreinte relève que les éléments du dossier ne corroborent pas l’affirmation de la société.
81. En effet, premièrement, la formation restreinte note que, dans sa réponse à la CNIL du 10 juillet 2020, en réponse aux questions de la délégation quant au nombre d’utilisateurs en base de données ne s’étant pas connectés à leur compte depuis plus de trois ans, cinq ans, huit ans, la société a fourni des extraits de la base de données du système d’information […] montrant des données à caractère personnel relatives à […] utilisateurs inactifs depuis plus de huit ans, […] utilisateurs inactifs depuis plus de cinq ans et […] utilisateurs inactifs depuis plus de trois ans. La formation restreinte relève que, bien que la délégation de contrôle ait demandé de " distinguer par type d’utilisateur, le cas échéant ", la société a produit un seul résultat et n’a pas mentionné la distinction entre les utilisateurs des services offerts aux particuliers et aux professionnels. 
82. Deuxièmement, la société avait précisé, dans cette même réponse, que " Ce résultat [donnait] lieu à des investigations complémentaires pour comprendre les raisons justifiant ce résultat. " La formation restreinte retient que cela tend à indiquer que la société avait alors considéré ce résultat comme non conforme à sa politique de conservation des données.
83. Troisièmement, l’affirmation selon laquelle toutes les données en cause se rapportent à des données collectées dans le cadre des services offerts aux professionnels implique que les données relatives aux services offerts à des professionnels et les données relatives à des services offerts à des particuliers soient conservées dans une même base de données dans le système d’information […]. Interrogée sur ce point lors de la séance de la formation restreinte, la société n’a pas explicité comment, dans l’hypothèse où l’ensemble des données étaient conservées dans une même base de données, elle mettrait en œuvre les purges nécessaires, en distinguant les données relatives aux services offerts à des professionnels et les données relatives à des services offerts à des particuliers. 
84. La formation restreinte considère qu’il n’est ainsi pas démontré que les données en cause, conservées respectivement depuis plus de trois ans, cinq ans et huit ans, soient exclusivement des données collectées dans le cadre de services offerts à des professionnels. Partant, il convient d’appliquer à ces données les durées de conservation définies par la société.
85. Par conséquent, sur la base des éléments constatés par la délégation de contrôle et des éléments de réponse de la société, la formation restreinte estime que la société a conservé les données en cause pour une durée qui excède celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
86. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l’article 5, paragraphe 1, e), du RGPD est caractérisé.
D. Sur le manquement relatif à l’obligation d’informer les personnes en application de l’articles 12 du RGPD
87. L’article 12.1 du Règlement dispose que " le responsable de traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. […] "
88. La rapporteure fait grief à la société de ne pas fournir aux personnes concernées les informations visées à l’article 13 du RGPD de manière suffisamment accessible lors de la collecte de données à caractère personnel en vue de l’inscription au service […]. 
89. En défense, la société fait valoir qu’il s’agissait d’un dysfonctionnement, qui a été corrigé.