Les véhicules connectés données personnelles constituent un enjeu croissant pour toutes les organisations qui gèrent des flottes commerciales, proposent des services de mobilité ou louent des véhicules. La CNIL a publié en juin 2026 sa recommandation sur l’utilisation des données de localisation des véhicules connectés utilisés par des particuliers. Ce texte s’adresse aux constructeurs, loueurs et fournisseurs de dispositifs embarqués. Les employeurs équipant leurs salariés de véhicules de fonction ne sont pas couverts par ce nouveau texte, mais restent soumis à une doctrine CNIL distincte, plus ancienne, sur la géolocalisation des salariés — un point que nous détaillons plus bas.
Pourquoi les données de localisation méritent une vigilance particulière
Les données de localisation d’un véhicule ne sont pas de simples coordonnées GPS. La CNIL les qualifie de données hautement personnelles : leur collecte systématique permet de reconstituer l’ensemble des déplacements d’une personne et d’en déduire des informations très sensibles. Ce niveau de sensibilité rejoint les principes plus généraux des obligations RGPD applicables à toute donnée personnelle.
- Adresse du domicile et du lieu de travail.
- Horaires et habitudes de déplacement.
- Lieux fréquentés : établissements de santé, lieux de culte, associations, etc.
- Centres d’intérêt, vie affective, appartenance religieuse ou syndicale.
Ce n’est pas un hasard si la CNIL a choisi d’agir maintenant : fin 2025, une fuite de données avait exposé les informations de localisation de plus de 800 000 propriétaires de véhicules électriques, tous constructeurs confondus. Cet épisode a rappelé l’ampleur du risque en cas de mauvaise sécurisation de ces données. En cas de fuite ou de piratage, ces données présentent un risque direct pour la sécurité physique des personnes concernées. C’est pourquoi le cadre juridique applicable dépasse la simple obligation de déclaration : une analyse d’impact (AIPD) est généralement requise pour ce type de traitement.
Les recommandations CNIL sur les véhicules connectés données personnelles
La recommandation publiée en juin 2026 fixe plusieurs exigences concrètes pour les professionnels visés (constructeurs, loueurs, fournisseurs de boîtiers télématiques, agrégateurs de données) :
- Minimisation de la collecte : seules les données strictement nécessaires à l’objectif poursuivi doivent être collectées. La fréquence de collecte, la quantité de données enregistrées et la durée de conservation doivent être limitées en conséquence. Conserver l’historique complet des trajets n’est, en principe, pas nécessaire ; la dernière position connue suffit souvent.
- Transparence renforcée : la politique de confidentialité doit expliquer clairement quelles données sont collectées, pourquoi, qui y accède et combien de temps elles sont conservées. La CNIL recommande des dispositifs visibles dans le véhicule : icônes, autocollants ou QR codes permettant d’accéder à la politique de confidentialité.
- Sécurité adaptée : des mesures de sécurité spécifiques doivent limiter l’accès aux données de localisation aux seuls destinataires qui en ont besoin.
- Profils utilisateurs : la CNIL recommande la possibilité pour chaque conducteur d’un véhicule partagé de disposer d’un profil authentifié, permettant d’associer les données de trajet à la bonne personne et de faciliter l’exercice des droits.
- Mode de désactivation : les services connectés optionnels et leurs traitements de données associés doivent pouvoir être désactivés facilement par l’utilisateur, idéalement via un bouton unique regroupant les partages optionnels.
Le bon réflexe lors de la restitution d’un véhicule
La recommandation attire l’attention sur un angle mort fréquent : lors du retour d’un véhicule de location ou de la vente d’un véhicule d’occasion, les données personnelles stockées dans le tableau de bord subsistent. Cela inclut l’historique de navigation GPS, les adresses enregistrées, le journal d’appels via Bluetooth et les contacts synchronisés depuis un téléphone.
La CNIL recommande une réinitialisation complète du système d’infodivertissement avant toute restitution ou cession du véhicule. Cette précaution s’applique aussi bien aux particuliers qu’aux gestionnaires de flotte qui revendent leurs véhicules. Pour structurer cette vigilance dans la durée, s’appuyer sur une solution de conformité adaptée permet de documenter systématiquement ce type de procédure.
Le cas des véhicules de fonction : ce qui n’est pas couvert par cette recommandation
Il est important de le préciser : la recommandation de juin 2026 ne s’applique pas aux véhicules de fonction mis à disposition des salariés par leur employeur. La CNIL avait déjà émis, avant ce texte, des préconisations spécifiques sur la géolocalisation des salariés, qui restent seules applicables à ce cas de figure.
Pour les employeurs qui équipent leurs salariés de véhicules connectés ou déploient des systèmes de géolocalisation de flotte, le cadre applicable reste donc celui déjà en vigueur : RGPD, doctrine CNIL sur la géolocalisation des salariés, et dispositions du Code du travail sur la surveillance. Les principes essentiels à retenir :
- L’information des salariés sur la géolocalisation est obligatoire (registre des traitements, politique de protection des données, communication interne).
- La géolocalisation permanente des salariés hors temps de travail est interdite.
- La durée de conservation des données de localisation doit être documentée et limitée à ce qui est strictement nécessaire.
- Toute utilisation des données de localisation à des fins disciplinaires doit respecter les droits de la défense.
Ce sujet reste une source de risque fréquente pour les DPO et responsables conformité, tant les deux régimes (véhicules de particuliers vs véhicules de fonction) sont souvent confondus. Une solution dédiée aux DPO permet de sécuriser cette distinction dans le registre des traitements.
FAQ — Véhicules connectés données personnelles
Cette recommandation s’applique-t-elle aux véhicules de fonction fournis par l’employeur ?
Non. La recommandation CNIL de juin 2026 vise exclusivement les véhicules connectés utilisés par des particuliers, en tant que propriétaires ou locataires. Les véhicules de fonction mis à disposition par un employeur restent régis par la doctrine CNIL antérieure sur la géolocalisation des salariés, qui n’a pas été modifiée par ce nouveau texte.
Une AIPD est-elle obligatoire pour la géolocalisation d’une flotte commerciale ?
Dans de nombreux cas, oui. Une géolocalisation systématique de véhicules génère un traitement de données hautement personnelles et à risque élevé, qui répond souvent aux critères déclencheurs d’une Analyse d’Impact relative à la Protection des Données (AIPD), que ce soit pour une flotte de location ou une flotte salariée.
Combien de temps peut-on conserver les données de localisation d’un véhicule ?
La durée de conservation doit être strictement proportionnée à la finalité du traitement. Pour un service de dépannage, seule la position actuelle est nécessaire. Pour une gestion de flotte, quelques jours à quelques semaines peuvent être justifiés pour des usages opérationnels. La conservation de l’intégralité des trajets sur plusieurs années est rarement justifiable et nécessite une justification documentée.
Les données GPS d’un véhicule vendu peuvent-elles poser un problème ?
Oui. Si le tableau de bord n’a pas été réinitialisé avant la vente ou la restitution, les données personnelles de l’ancien propriétaire ou conducteur restent accessibles au suivant : adresses favorites, historique de navigation, contacts Bluetooth. La CNIL recommande une réinitialisation complète du système d’infodivertissement. Pour les gestionnaires de flotte, cette étape doit être intégrée à la procédure de restitution des véhicules.
Un salarié peut-il refuser la géolocalisation de son véhicule de fonction ?
Ce cas relève de la doctrine CNIL sur la géolocalisation des salariés, distincte de la recommandation de juin 2026. En principe, un salarié ne peut pas refuser une géolocalisation justifiée par une finalité légitime (sécurité, optimisation des tournées, gestion d’interventions) dès lors qu’il en a été dûment informé. En revanche, la géolocalisation hors temps de travail ne peut être imposée sans consentement, et les données collectées dans ce cadre ne peuvent pas servir à des fins de contrôle de l’activité professionnelle.
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
La recommandation CNIL de juin 2026 sur les véhicules connectés données personnelles impose aux constructeurs, loueurs et fournisseurs de dispositifs de limiter la collecte, d’améliorer la transparence et de sécuriser les données de localisation des particuliers. Ce texte ne couvre pas les véhicules de fonction des salariés, qui restent régis par une doctrine CNIL distincte. Un point souvent négligé reste commun aux deux cas : la réinitialisation des données personnelles stockées dans le tableau de bord lors de la restitution ou de la vente d’un véhicule.
Sources
- Véhicules connectés : dans quelles conditions vos données de localisation peuvent être utilisées ? — CNIL, 30 juin 2026
- CNIL – Véhicules connectés : dans quelles conditions vos données de localisation peuvent être utilisées ?
- CNIL – Recommandation relative à l’utilisation des données de localisation des véhicules connectés (texte intégral)
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
