Une entreprise de transport traite plusieurs ensembles de données qui ne répondent pas au même besoin : positions des véhicules, activités des conducteurs, coordonnées des destinataires, preuves de livraison et opérations en entrepôt. Leur présence dans un même système ne leur donne ni une base juridique commune ni une durée de conservation unique. L’organisation doit pouvoir expliquer chaque usage et en limiter les accès.
La démarche proposée suit une opération depuis la préparation d’une tournée jusqu’à la livraison, puis à l’archivage. Elle distingue les données nécessaires à l’exploitation, celles imposées par la réglementation du transport et celles utilisées pour contrôler le travail. Cette séparation permet de choisir des réglages concrets pour le TMS, les terminaux et les outils de suivi, sans transformer toute la chaîne logistique en surveillance individuelle permanente.
Cartographier une tournée et ses acteurs
Prenez une tournée représentative et décrivez les informations qui circulent entre le donneur d’ordre, le transporteur, le conducteur, le destinataire et les éventuels partenaires. Repérez les identifiants, numéros de téléphone, consignes d’accès et événements de livraison. Un champ libre peut contenir des informations sensibles ou inutiles que personne n’avait prévu de collecter. Sa présence doit être examinée comme celle d’un champ structuré.
Pour chaque étape, identifiez qui décide de la finalité et des moyens essentiels. Un transporteur ne devient pas automatiquement sous-traitant au sens du RGPD parce qu’il est appelé « sous-traitant » dans la chaîne commerciale. Certains acteurs peuvent être responsables autonomes pour leurs obligations ou leurs services. La distinction entre responsable et sous-traitant doit être analysée traitement par traitement.
Reportez cette organisation dans le registre des traitements. Un diagramme des systèmes peut l’accompagner, mais il ne remplace pas la description des finalités et des catégories de personnes. La tournée concerne le conducteur et les destinataires, parfois des contacts chez les clients. Une même donnée peut appeler des règles d’accès différentes selon la personne et l’usage concernés.
Justifier la géolocalisation par une finalité précise
La CNIL encadre la géolocalisation des véhicules des salariés. Elle envisage notamment la justification d’une prestation, la sécurité ou l’allocation de moyens pour des interventions dispersées. Il faut préciser le besoin réel et rechercher une solution moins intrusive. Le suivi accessoire du temps de travail n’est envisageable que lorsqu’il ne peut être réalisé par un autre moyen ; ce n’est pas une justification universelle pour ajouter un GPS.
La fréquence et la précision doivent suivre la finalité. Pour avertir un client d’un créneau d’arrivée, il n’est pas forcément nécessaire de lui communiquer le trajet complet ou l’identité nominative du conducteur. La minimisation doit se traduire dans les réglages et les écrans. Demandez ce que chaque destinataire doit savoir pour accomplir sa tâche, plutôt que rendre toutes les données disponibles par défaut.
La fiche CNIL exclut notamment le contrôle permanent d’un salarié, le contrôle des limitations de vitesse par ce dispositif et la collecte de localisation hors temps de travail. Les conducteurs doivent pouvoir désactiver la collecte ou la transmission pendant les périodes concernées, notamment les pauses et trajets privés. Vérifiez concrètement cette possibilité. Les véhicules du BTP présentent des questions proches, mais chaque usage et chaque régime sectoriel doivent être examinés séparément.
Informer les conducteurs et contrôler les accès
Expliquez les finalités, la base juridique, les personnes qui consultent les positions, les durées et les modalités d’exercice des droits. Montrez au conducteur ce que le système enregistre et comment fonctionne la désactivation. Une notice théorique est insuffisante si le bouton est inaccessible ou si l’application continue à transmettre en arrière-plan. La fiche sur l’information des personnes peut structurer cette présentation.
Les obligations envers les représentants du personnel doivent être examinées selon le Code du travail et la situation de l’entreprise. Dans le champ de l’article L. 2312-38, l’information et la consultation du CSE précèdent la décision de mettre en œuvre un moyen de contrôle de l’activité. Cette procédure ne se confond pas avec l’information individuelle du conducteur prévue par le RGPD.
Limitez l’accès aux équipes habilitées et aux seules informations nécessaires. Un client qui vérifie une intervention ne doit pas obtenir un accès général à la flotte. Utilisez des comptes individuels, protégez les échanges et journalisez les consultations pertinentes. La CNIL précise aussi que le nom du conducteur ne doit pas être communiqué au client sans intérêt particulier et indispensable. Testez ce que voit réellement un compte client ou un partenaire externe.
Appliquer les durées de géolocalisation selon l’usage
La réponse de la CNIL sur les durées indique en principe deux mois. Elle prévoit un an pour l’optimisation des tournées ou la preuve d’interventions lorsque cette preuve ne peut être apportée autrement, et cinq ans lorsque les données sont utilisées pour le suivi du temps de travail. Ces cas ne rendent pas licite un usage qui ne remplirait pas ses conditions initiales.
Il serait donc incorrect de conserver toutes les positions pendant cinq ans au motif que le conducteur est salarié. Séparez les données et les accès nécessaires à chaque finalité. Pour une contestation précise, isolez les éléments pertinents plutôt que prolonger automatiquement tout l’historique de la flotte. Documentez le point de départ, le sort des exports et la suppression effective, à l’aide de la méthode de conservation.
La recommandation CNIL de 2026 sur les véhicules connectés et la localisation exclut de son champ les véhicules de fonction mis à disposition des salariés. Elle ne remplace donc pas automatiquement les indications propres au contexte professionnel. Vérifiez toujours le périmètre d’une nouvelle publication avant de remplacer vos règles internes par une recommandation destinée à une autre relation entre utilisateurs et fournisseurs.
Traiter le chronotachygraphe comme un dispositif réglementé distinct
L’obligation d’utiliser un chronotachygraphe dépend du véhicule, de l’opération et des exclusions ou dérogations applicables. Elle ne concerne pas automatiquement chaque véhicule d’une entreprise de livraison. La Commission européenne présente le cadre des tachygraphes, y compris l’extension depuis le 1er juillet 2026 à certains véhicules utilitaires légers de plus de 2,5 tonnes affectés au transport international. Une flotte doit être examinée véhicule par véhicule et selon ses opérations.
Pour les traitements effectivement imposés par la réglementation, l’obligation légale peut constituer la base juridique. Cela ne dispense ni d’information, ni de sécurité, ni d’analyse des risques. Les données réglementaires ne doivent pas être réutilisées sans examen pour un objectif différent. Le temps de conduite, les autres activités et le temps de travail ne sont pas des notions interchangeables que le logiciel peut fusionner sans justification.
Distinguez les documents à présenter lors d’un contrôle routier et la conservation par l’entreprise. La Commission rappelle la période du jour en cours et des 56 jours précédents pour les relevés d’activité à produire selon les règles applicables. Ce n’est pas une durée générale d’effacement. L’article 33 du règlement 165/2014 prévoit notamment au moins un an pour les feuilles d’enregistrement et les impressions concernées. Les autres archives doivent être rattachées aux obligations qui leur correspondent.
Réduire les données exposées pendant la livraison
Le destinataire doit pouvoir recevoir son colis, mais cela n’autorise pas une circulation illimitée de ses coordonnées. Déterminez quelles informations le conducteur doit voir pendant sa mission et ce qui reste visible ensuite. Un historique de toutes les livraisons passées sur un terminal partagé peut exposer inutilement des adresses, des numéros et des consignes d’accès. Prévoyez le changement d’équipe et la restitution du matériel.
La base contractuelle de l’article 6.1.b suppose notamment que la personne concernée soit partie au contrat pertinent ou demande les mesures précontractuelles. Le destinataire n’est pas toujours le client contractuel du transporteur. Il faut alors examiner une autre base applicable, par exemple un intérêt légitime correctement évalué. Ne choisissez pas « contrat » automatiquement pour toutes les personnes d’une lettre de voiture ou d’un fichier de livraison.
Une photo de preuve peut révéler l’intérieur d’un logement, le visage d’une personne ou un document visible à proximité. Définissez un cadrage limité et des consignes pour les situations où la photographie n’est pas appropriée. Une signature ou une photo ne doit pas devenir un fichier d’identification réutilisable pour d’autres finalités. La preuve conservée doit rester proportionnée au besoin de démontrer la livraison et de traiter les contestations.
Encadrer les scanners et les indicateurs en entrepôt
Les terminaux et le WMS peuvent produire des informations détaillées sur les opérations et les salariés. Séparez le signal nécessaire pour corriger une erreur immédiatement des statistiques utilisées pour planifier le travail ou évaluer une personne. Chaque usage doit être expliqué, proportionné et assorti d’une conservation adaptée. Un accès à toutes les données brutes ne doit pas être donné à chaque encadrant par commodité.
La CNIL rappelle en juillet 2026 que le contrôle du travail ne doit pas être excessif et qu’un outil ne doit pas poursuivre un objectif caché. Examinez les moyens moins intrusifs : agrégation, fréquence réduite, accès limité ou indicateurs centrés sur le processus. Les sites industriels rencontrent des questions analogues, mais l’analyse doit tenir compte des tâches et de l’organisation propres à l’entrepôt.
Un traitement susceptible d’engendrer un risque élevé exige une AIPD avant sa mise en œuvre. Les listes de la CNIL comprennent notamment des traitements de surveillance constante des employés, lorsqu’ils peuvent être justifiés. La liste officielle de la CNIL cite notamment la fonction de chronotachygraphe parmi les exemples de cette catégorie. Le caractère réglementaire d’un dispositif ne permet donc pas d’ignorer cette analyse. Associez les personnes compétentes et examinez les erreurs d’attribution, les pressions induites et les possibilités de contester les résultats.
Tirer une leçon précise de l’affaire Amazon
La CNIL avait infligé 32 millions d’euros à Amazon France Logistique le 27 décembre 2023. Le Conseil d’État a ramené l’amende à 15 millions le 23 décembre 2025. Il a réformé certains constats d’absence de base juridique relatifs aux indicateurs, tout en maintenant notamment le manquement à la minimisation lié à la conservation indifférenciée de données détaillées pendant 31 jours pour plusieurs finalités.
Il ne faut donc présenter l’arrêt ni comme une validation générale de tous les indicateurs ni comme l’interdiction de tout suivi individuel. Pour un entrepôt, la question pratique est de justifier le détail nécessaire à chaque finalité et la durée pendant laquelle il reste nécessaire. Les décisions concernant des scooters ou voitures de location destinés au public ne définissent pas non plus automatiquement les conditions du suivi des salariés.
Maîtriser les fournisseurs et les incidents
Lorsqu’un fournisseur de TMS, d’hébergement ou de support traite des données pour votre compte, les obligations de l’article 28 doivent être respectées. Un modèle de DPA peut structurer l’accord, mais ses annexes doivent décrire les données, les opérations, la sécurité et l’assistance effectivement convenues. La qualification préalable reste nécessaire pour les partenaires qui ont leurs propres finalités.
Contrôlez les sous-traitants ultérieurs, les lieux d’accès et les conditions de support. Un technicien n’a pas nécessairement besoin d’un export complet des destinataires pour résoudre un problème de tournée. Préférez des données fictives ou limitées lorsque cela suffit et encadrez les copies nécessaires. À la fin de la relation, prévoyez la restitution ou la suppression, les accès résiduels et le sort des sauvegardes.
Une perte de terminal ou une exposition de liens de suivi peut constituer une violation de données. La procédure de gestion des violations doit permettre de recueillir rapidement les faits, de contenir l’incident et d’évaluer les risques pour les personnes. Les notifications au titre du RGPD dépendent de leurs conditions propres ; elles ne se confondent pas avec les signalements opérationnels au client ou les obligations sectorielles de cybersécurité.
Distinguer NIS2, ressources humaines et exigences de livraison
Le mot « transport » ne suffit pas à conclure à un assujettissement à NIS2. La catégorie d’activité, la taille et les exceptions pertinentes doivent être examinées. Au 27 septembre 2026, le dossier parlementaire français indique encore un projet de loi, avec une discussion à l’Assemblée annoncée pour le 7 octobre 2026. Cette étape future ne doit pas être décrite comme une loi déjà promulguée.
Suivez la transposition française de NIS2 tout en appliquant les obligations déjà en vigueur. La préparation cyber peut partager des moyens avec la sécurité des données personnelles, sans effacer les différences de périmètre. Le donneur d’ordre peut aussi demander des garanties contractuelles ; leur présence dans un contrat ne transforme pas automatiquement le prestataire en entité directement assujettie à chaque réglementation citée.
Pour les conducteurs et opérateurs, évitez également la règle simpliste « toutes les données RH pendant cinq ans ». Les justificatifs professionnels, éléments de paie, habilitations et informations relatives à une procédure ont des régimes distincts. La gestion RGPD des ressources humaines aide à les organiser. Ne recueillez pas des informations familiales ou sensibles sans besoin et fondement propres à la situation.
Valider le fonctionnement avec une tournée fictive
Avant un déploiement, simulez une livraison, une pause du conducteur, un changement de véhicule et une contestation de réception. Vérifiez ce que voient l’exploitation, le client et le partenaire du dernier kilomètre. Testez la désactivation hors travail et les réglages de conservation. Un paramétrage annoncé dans le contrat doit pouvoir être constaté dans l’outil utilisé quotidiennement.
Confiez à un responsable le suivi des écarts et des changements : nouvelle application, nouveau destinataire des données, nouvel indicateur ou nouvelle durée. Reliez les décisions à la base juridique retenue et au registre. La conformité ne dépend pas d’un seul document initial, mais de la capacité à expliquer la configuration actuelle et à corriger ce qui ne correspond plus au besoin.
Questions fréquentes
Peut-on garder toutes les positions GPS cinq ans ?
Non. La durée de cinq ans évoquée par la CNIL concerne un usage spécifique pour le suivi du temps de travail, lui-même soumis à des conditions. Elle ne s’étend pas automatiquement aux positions collectées pour organiser les tournées. Appliquez la durée justifiée par chaque finalité et limitez les données effectivement conservées.
Le chronotachygraphe autorise-t-il tous les usages des données du conducteur ?
Non. L’obligation réglementaire justifie les traitements qu’elle impose dans son champ. Les autres usages doivent être analysés séparément. L’information, la sécurité, les droits et la conservation restent à organiser, et une obligation de présentation lors d’un contrôle ne constitue pas une durée générale d’archivage.
Un prestataire de livraison est-il toujours un sous-traitant RGPD ?
Non. La terminologie commerciale ne suffit pas. Il faut déterminer qui décide des finalités et des moyens essentiels pour chaque traitement. Le contrat doit ensuite correspondre à cette qualification et préciser les échanges, responsabilités et garanties nécessaires.