AgentPublic/cnil huggingface dataset:
La conduite et l'exploitation des véhicules de transports routiers de personnes, de marchandises ou de déménagement, publics ou privés, sont soumises aux obligations découlant de l'article L. 3311-1 du code des transports, qui encadrent la répartition entre périodes de travail et de repos ainsi que les moyens de contrôle et les dispositifs qui doivent être utilisés.
Ces obligations concernent notamment les personnels roulants de transports routiers non soumis à l'enregistrement automatique par tachygraphe (les personnels roulants ou PR ). Leur temps de travail doit être déclaré au moyen du livret individuel de contrôle (LIC), conformément aux dispositions des articles R. 3312-19 et R. 3312-58 du code des transports.
Le LIC se présentait, dans un premier temps, exclusivement sous format papier. Cependant, ce format est désormais considéré comme obsolète, ne permettant pas de contrôler de manière satisfaisante le respect des règles de temps de travail.
Une version électronique du LIC dénommée Mobilic a en conséquence été créée par un arrêté du 6 mars 2025 relatif à l'horaire de service et au livret individuel de contrôle dans les transports routiers. Conformément aux orientations du Plan national de lutte contre le travail illégal 2019-2021, il s'agit de doter l'Etat d'un outil permettant de contrôler efficacement le temps de travail des salariés opérant sur des véhicules légers.
Pendant une période transitoire de deux ans, le LIC se présenterait au choix sous format papier ou sous format électronique. Le format électronique du LIC deviendrait ensuite obligatoire à partir du 1er janvier 2027.
B. - L'objet de la saisine
Le projet d'arrêté soumis à l'avis de la CNIL vise à encadrer le traitement de données à caractère personnel dénommé Mobilic.
Placé sous la responsabilité de la direction générale des infrastructures, des transports et des mobilités (DGITM), Mobilic se présente comme un ensemble composé d'une application web, d'une interface web, d'APIs, d'une base de données gérée par le ministère et d'un outil de contrôle pour les agents mentionnés à l'article L. 3315-1 du code des transports et à l'article L. 8271-1-2 du code du travail.
Les échanges avec le ministère sur différentes versions du projet d'arrêté ont conduit à des modifications substantielles, en particulier concernant le régime juridique applicable.
II. - L'avis de la CNIL
A. - Sur les finalités
En premier lieu, l'article 1er du projet d'arrêté dispose que le traitement Mobilic constitue un moyen de lutter contre le travail dissimulé par un enregistrement certifié des temps de travail des PR .
Si les contrôles opérés par les agents mentionnés à l'article L. 3315-1 du code des transports et à l'article L. 8271-1-2 du code du travail permettent en effet la prévention et la détection de cette infraction pénale, la CNIL relève néanmoins que le recours à Mobilic, compte tenu des données recueillies, permettra de constater d'autres manquements aux réglementations relatives :
- aux activités, aux temps de conduite et de repos des PR ;
- à l'accès aux marchés des transports routiers ;
- à la sécurité et à la circulation routières des véhicules de transport routier ;
- aux infractions relatives au transport routier de marchandises et de voyageurs.
La CNIL invite par conséquent le ministère à clarifier les finalités poursuivies par le traitement Mobilic, en faisant apparaitre tant la lutte contre le travail dissimulé que la vérification du respect des réglementations relatives au transport routier de marchandises et de voyageurs par des PR. La CNIL relève en tout état de cause que la poursuite de ces finalités est nécessaire à l'exécution d'une mission d'intérêt public dont est investi le ministère chargé des transports, en vertu du e du paragraphe 1 de l'article 6 du RGPD.
En second lieu, l'article 1er du projet d'arrêté apparait confondre des finalités et des fonctionnalités du traitement. Or, les finalités, qui correspondent à l'objectif de politique publique poursuivi par le traitement, doivent être distinguées des simples fonctionnalités, qui sont des moyens du traitement.
A ce titre, outre les objectifs d'intérêt public évoqués précédemment, il ressort des informations fournies que Mobilic poursuit également certaines finalités dans le cadre de son utilisation par les chefs d'entreprise et leurs représentants. Il s'agit :
- de l'enregistrement et du suivi du temps de travail des PR, conformément aux obligations énoncées aux articles R. 3312-19 et R. 3312-58 du code des transports ;
- de permettre la mise en place d'une API pour assurer la gestion administrative et financière des entreprises, la réception des données par les agents habilités conformément à l'article L. 3315-1 du code des transports et l'interfaçage avec les logiciels tiers de logistiques.
La CNIL prend acte de l'engagement du ministère de préciser les finalités poursuivies et de les distinguer des fonctionnalités du traitement.
B. - Sur les données collectées
1. Les catégories de données collectées
L'article 2 du projet d'arrêté énumère les données à caractère personnel collectées à titre obligatoire et facultatif.
La CNIL recommande au ministère de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies.
2. L'utilisation de FranceConnect
La CNIL prend acte du retrait prévu du moyen d'identification FranceConnect . Elle rappelle l'importance d'éviter de mettre en œuvre un tel moyen d'identification prévu pour être utilisé par les particuliers pour leurs démarches administratives et accéder aux services publics dans le contexte de plateformes numériques utilisées dans un but professionnel.
Si le ministère souhaite proposer un second moyen d'authentification, la CNIL l'invite à utiliser une solution adaptée de type ProConnect aux utilisateurs éligibles. Elle invite également le ministère à sensibiliser les employeurs au fait que la fourniture d'une adresse électronique professionnelle est nécessaire pour faire usage de ce moyen de connexion (ce qui n'est pas le cas lorsque les utilisateurs créent un compte dédié directement sur la plateforme) et prend acte de ce que ce point sera rappelé lors du parcours d'inscription.
C. - Sur l'exercice des droits
L'article 5 du projet d'arrêté encadre l'exercice des droits des personnes concernées par le traitement Mobilic sur le fondement des articles 105 et 106 de la loi du 6 janvier 1978 susvisée.
La CNIL relève que ces articles font application de la directive n° 2016/680 du 27 avril 2016, dite directive Police-Justice alors que le régime applicable au traitement Mobilic relève du RGPD.
La CNIL prend acte de l'engagement du ministère de fonder l'encadrement de l'exercice des droits sur les dispositions pertinentes du RGPD.
Par ailleurs, le deuxième alinéa de l'article 5 du projet d'arrêté dispose que le droit d'opposition ne s'applique pas au traitement, conformément au d du 1 de l'article 23 du RGPD. Cet article vise la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.
Pour autant, la CNIL relève que certaines finalités poursuivies par le traitement ne relèvent pas de la prévention et de la détection d'infractions pénales.
De plus, elle s'interroge sur la possibilité pour les personnes concernées de s'opposer au traitement de leurs données pour certaines finalités, notamment la communication des données aux chefs d'entreprise et leurs représentants utilisant des logiciels tiers interconnectés avec l'API Mobilic pour leur gestion administrative et financière, l'information des gestionnaires et des PR des manquements constatés aux textes applicables ou le traitement de données facultatives.
La CNIL prend acte de l'engagement du ministère de clarifier les conditions dans lesquelles le droit d'opposition est écarté. Elle rappelle à ce titre qu'il est nécessaire de préciser pour quelles finalités il l'est.
D. - Sur l'usage de terminaux personnels
Il ressort des informations transmises par le ministère que les PR peuvent utiliser des terminaux professionnels ou personnels pour accéder aux outils permettant l'enregistrement des informations requises dans le dispositif Mobilic.
Cet usage peut présenter un certain nombre de risque en termes de sécurité du traitement et pour la vie privée des PR, par exemple en cas d'usage de terminaux non sécurisés ou bien avec une politique de verrouillage inadéquate.
Au regard de la législation du travail, les employeurs doivent, en principe, fournir aux employés les moyens et outils dont ils ont besoin pour accomplir leur travail, notamment pour accéder au système d'information. A titre dérogatoire, le recours aux matériels et équipements personnels des salariés est, dans certains cas, possible.
De manière similaire à ce qui est prévu dans la recommandation de la CNIL relative à l'authentification multifacteur du 20 mars 2025, il appartient alors aux employeurs de s'assurer de leur conformité aux droits du travail et de la protection des données à caractère personnel. Les employeurs devront donc prévoir des solutions alternatives pour les employés ne possédant pas d'appareils personnels compatibles, ou ne souhaitant pas, pour des raisons personnelles, les utiliser à des fins professionnelles. Enfin, le RGPD impose à l'employeur des obligations en matière de protection des données dès la conception et par défaut ainsi que de sécurité des données traitées, notamment dans ses articles 5.1.f, 25 et 32.
La CNIL appelle donc le ministère à veiller à ce que les employeurs adoptent une politique d'usage prévoyant notamment la mise à disposition d'un terminal professionnel en cas d'inadéquation du terminal personnel ou de refus des PR d'utiliser leurs terminaux privés. Les documentations mises à dispositions de ces acteurs devraient être claires sur ce sujet.
E. - Sur les interfaces tierces
L'interface Mobilic n'est pas le seul outil permettant l'enregistrement des activités des PR et la consultation des données par le gestionnaire. En effet, le ministère habilite des logiciels tiers qui permettent la collecte des données de suivi et du temps de travail de personnels et leur gestion par le gestionnaire en s'interfaçant avec l'API Mobilic.
La CNIL invite le ministère à mettre en œuvre toutes les mesures nécessaires pour assurer que ces interfaces tierces présentent un niveau équivalent de conformité que l'application Mobilic en elle-même, que ce soit en termes de durée de conservation, de respect des droits des personnes ou de mesures de protection des données dès la conception et par défaut ainsi que de sécurité. La CNIL recommande également au ministère de s'assurer dans le temps de cette conformité, en procédant à des audits fréquents des logiciels habilités à s'interfacer avec l'API de Mobilic.
F. - Sur la sécurité
A l'échéance du délai de conservation, le ministère indique que certaines des données sont anonymisées, pour permettre des analyses statistiques.
La CNIL rappelle que l'anonymisation doit être effective. Elle invite donc le responsable de traitement à réaliser une analyse permettant de démontrer cette effectivité en s'inspirant pour ce faire de l'avis du groupe de l'article 29 n° 05/2014.
La CNIL rappelle l'importance de mettre en œuvre une politique d'habilitation stricte dans le cadre de l'accès à une base de données d'une telle ampleur. Elle recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu'elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu'une revue globale des habilitations attribuées soit opérée régulièrement.
La CNIL rappelle que le courriel n'est en général pas un moyen approprié pour transmettre des données à caractère personnel, pour des raisons de sécurité et plus particulièrement de confidentialité des données incluses. Elle prend acte de l'engagement du ministère de supprimer le dispositif de transmission par courriel pour rétablir la transmission via l'interface web sécurisée.
La CNIL prend note de l'évolution prévue du dispositif permettant la tenue du contrôle sur la base d'un QR code présenté par le chauffeur, en ne permettant son scan par un agent de contrôle qu'une seule et unique fois. Cette mesure permet d'éviter la transmission de QR code à des tiers non autorisés à procéder au contrôle.
La CNIL rappelle au responsable de traitement la nécessité de mettre en place un système de journalisation de l'ensemble des utilisateurs habilités (y compris les contrôleurs) et les mesures techniques ou organisationnelles permettant l'exploitation de ces données. En effet, la mise en œuvre d'un mécanisme proactif de contrôle des données de journalisation contribue à la sécurité du traitement par la génération d'alertes. Elle prend acte de l'engagement du ministère de mettre en œuvre un dispositif couvrant l'ensemble des utilisateurs habilités et permettant de garantir l'enregistrement, la conservation et l'exploitation de ces données de manière conforme aux exigences de sécurité et de traçabilité.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et M. Didier KLING, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ; 
Vu la décision n° 2023-206C du 25 septembre 2023 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 30 avril 2025 ;
Vu le rapport de M. Claude CASTELLUCCIA, commissaire rapporteur, notifié à la société le 13 juin 2025 ;
Vu les observations écrites de la société MOBIUS SOLUTIONS LTD reçues le 29 juillet 2025 après que la société se soit vue accorder un délai supplémentaire de quinze jours pour répondre;
Vu la réponse du rapporteur notifiée à la société MOBIUS SOLUTIONS LTD le 8 août 2025 ; 
Vu les observations écrites de la société MOBIUS SOLUTIONS LTD reçues le 23 septembre 2025 ; 
Vu la clôture de l’instruction notifiée à la société MOBIUS SOLUTIONS LTD le 13 octobre 2025 ;
Vu la demande de report de la séance formulée par la société le 16 octobre 2025, et la réponse à cette demande adressée par le président de la formation restreinte à la société le 23 octobre 2025 ; 
Vu les observations orales formulées lors de la séance de la formation restreinte du 27 novembre 2025 ;
Vu les autres pièces du dossier, 
Étaient présents, lors de la séance de la formation restreinte du 27 novembre 2025 :
- Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ;
- En qualité de représentants de la société MOBIUS SOLUTIONS LTD : 
- [...]
La société MOBIUS SOLUTIONS LTD ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;
Après en avoir délibéré, la formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Créée en février 2009, la société MOBIUS SOLUTIONS LTD, dont le nom commercial est " Optimove ", est une société israélienne domiciliée Adgar 360 Tower 2 Hashlosha Street 33 rd Floor à Tel Aviv (6706054 – Israël). 
2. La société a pour activité le développement d’outils marketing. En 2023 et 2024, elle a déclaré réaliser un chiffre d’affaires exprimé en dollars américains s’élevant respectivement à [...]et [...] dollars, soit environ et respectivement [...] euros et [...]euros. La société a déclaré employer 238 personnes en 2023.
3. La société a développé et commercialise le système SAAS Optimove qui permet à ses clients de créer et d’exécuter des campagnes marketing personnalisées à destination de leurs propres clients via l’intégration de leurs données à ce système. Dans ce cadre, la société héberge les données de ses clients.
4. En sus de la fourniture de son système SAAS Optimove, accessible en ligne, la société analyse les données de ses clients, réalise un travail de conversion dans ses propres formats et de segmentation de ces données, afin de permettre à ses clients d’optimiser leurs campagnes marketing à destination de leurs propres clients. 
5. Le 10 novembre 2022, la Commission nationale de l’informatique et des libertés (CNIL) a été destinataire d’une notification de violation de données à caractère personnel émanant de la société DEEZER et qui aurait concerné plusieurs millions d’utilisateurs de la plateforme dans le monde.
6. Cette notification désignait la société MOBIUS SOLUTIONS LTD, ancien sous-traitant de la société DEEZER qui lui fournissait sa solution " Optimove ", comme source probable de la violation de données.
7. Le 31 janvier 2023, la société DEEZER a transmis à la CNIL une notification de violation de données complémentaire, confirmant que, selon son analyse, l’origine de la violation de données résidait très certainement dans les systèmes de la société MOBIUS SOLUTIONS LTD.
8. Le 23 octobre 2023, en application de la décision n° 2023-206C de la présidente de la Commission du 25 septembre 2023, une délégation de contrôle de la CNIL a adressé un questionnaire à la société afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) des traitements mis en œuvre par elle ou pour son compte. La société a répondu le 12 janvier 2024.
9. Le 29 janvier 2024, des questions complémentaires ont été posées par la délégation de contrôle à la société, qui y a répondu le 8 février suivant.
10. Le 30 avril 2025, aux fins d’instruction de l’ensemble de ces éléments, la présidente de la CNIL a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur.
11. Le 15 mai 2025, le rapporteur a adressé une demande complémentaire à la société en application de l’article 39 du décret n° 2019-536 du 29 mai 2019, à laquelle la société a répondu par courrier du 6 juin 2025.
12. Le 13 juin 2025, à l’issue de son instruction, le rapporteur a notifié à la société un rapport détaillant les manquements aux articles 28, 29 et 30 du RGPD qu’il estimait constitués. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
13. Par courriel du 7 juillet 2025, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse, accordé le 10 juillet 2025, sur le fondement de l’article 40, alinéa 4, du décret du 29 mai 2019.
14. Le 29 juillet 2025, la société a produit des observations en réponse.
15. Le 8 août 2025, le rapporteur a transmis à la société sa réponse, à laquelle la société a répondu par observations du 23 septembre 2025.
16. Le 13 octobre 2025, le rapporteur a notifié à la société la clôture de l’instruction.
17. Par courrier du même jour, la société a été informée de l’inscription du dossier à l’ordre du jour de la séance de la formation restreinte du 20 novembre 2025.
18. A la suite de la demande de renvoi de la société du 16 octobre 2025, le président de la formation restreinte a informé la société de l’inscription du dossier à l’ordre du jour de la séance de la formation restreinte du 27 novembre 2025.
19. A l’issue de la procédure contradictoire écrite, le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur l’applicabilité du RGPD
20. En vertu de l’article 3, paragraphe 2 du RGPD : " Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées : […]a) à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes; ou b) au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l'Union ".
21. Le considérant 24 du RGPD précise que " Le traitement de données à caractère personnel de personnes concernées qui se trouvent dans l’Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l’Union devrait également être soumis au présent règlement lorsque ledit traitement est lié au suivi du comportement de ces personnes dans la mesure où il s’agit de leur comportement au sein de l’Union. Afin de déterminer si une activité de traitement peut être considérée comme un suivi du comportement des personnes concernées, il y a lieu d’établir si les personnes physiques sont suivies sur internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit ".
22. Dans ses lignes directrices 3/2018 relatives au champ d’application territorial du RGPD dans leur version du 12 novembre 2019, le Comité européen de protection des données (CEPD) a précisé que si : " le considérant 24 porte exclusivement sur le suivi d’un comportement au moyen du pistage d’une personne sur l’internet, le comité estime que le pistage par d’autres types de réseaux ou de technologies impliquant un traitement des données à caractère personnel devrait également être pris en considération pour déterminer si une activité de traitement constitue le suivi d’un comportement, par exemple au moyen de dispositifs portables ou d’autres dispositifs intelligents ".