CNPD — Géolocalisation des véhicules: ce que les lignes 2023–2025 imposent

La CNPD a mis à jour ses lignes directrices sur la géolocalisation des véhicules mis à disposition des salariés (PDF daté du 22/02/2023; page mise à jour le 10/04/2024) et a confirmé en 2024–2025 leur actualisation ainsi que la publication d’une fiche pratique. Enseignement central: l’intérêt légitime n’autorise pas tout et la proportionnalité s’évalue finalité par finalité. Voir les pages CNPD et la notice d’actualité.

L’affaire

• Autorité : Commission nationale pour la protection des données (CNPD), Luxembourg.
• Fait : publication et maintien à jour des « Lignes directrices en matière de géolocalisation des véhicules mis à la disposition des salariés » (22/02/2023; page MAJ 10/04/2024), avec fiche pratique (actualité 27/02/2023, MAJ 05/06/2025). PDF: lignes directrices.
• Portée : bases juridiques (dont art. 6(1)(f) RGPD), transparence (art. 12–13), proportionnalité/minimisation (art. 5(1)(b)-(c)), AIPD (art. 35), et obligations L.261-1/L.261-2 du Code du travail (information collective et sanctions pénales). Références: licéité et surveillance.

Deux points marquants:

• Interdiction de détourner les données de la finalité initiale (ex.: un dispositif prévu contre le vol ne peut pas ensuite servir à la discipline). Voir nécessité et proportionnalité.
• Obligation de prévoir une désactivation hors temps de travail si l’usage privé est autorisé. Voir les précisions CNPD.

Le raisonnement juridique

1) Base légale: intérêt légitime (art. 6(1)(f) RGPD)

Le consentement est rarement valide en contexte employeur-salarié (déséquilibre de pouvoir). La CNPD privilégie l’intérêt légitime, sous réserve d’un test en trois étapes (intérêt – nécessité – mise en balance) avec garanties adaptées. Réf.: licéité et lignes directrices EDPB sur le consentement (05/2020): EDPB 5/2020. Point d’actualité: les lignes EDPB 1/2024 détaillent la nécessité et la mise en balance (consultation close 20/11/2024): annonce EDPB 1/2024.

2) Finalité et minimisation (art. 5(1)(b)-(c))

Utiliser les données GPS uniquement pour des finalités explicites (optimisation des tournées, sécurité, anti-vol), dans la mesure strictement nécessaire. La réutilisation pour contrôler vitesse/trajectoires à des fins disciplinaires est proscrite si non prévue et justifiée. Voir CNPD – proportionnalité.

3) Transparence (art. 12–13)

Information individuelle des salariés et affichage visible dans chaque véhicule (pictogramme/notice). L’information doit couvrir la base légale, les finalités, la conservation, les destinataires, les droits et le mécanisme de désactivation hors temps privé. Voir exigences de transparence.

4) Droit du travail luxembourgeois (L.261-1/L.261-2)

La géolocalisation est un traitement « à des fins de surveillance » au sens du Code du travail: information collective préalable de la représentation du personnel requise, distincte de l’information RGPD, avec sanctions pénales en cas de manquement. Réf.: CNPD – surveillance.

5) AIPD (art. 35)

Le cumul de critères EDPB (surveillance systématique, subordination des salariés) conduit fréquemment à une AIPD obligatoire. L’AIPD du fournisseur peut être un apport, sans remplacer celle du responsable. Réf.: AIPD – CNPD. À noter: lignes directrices EDPB (17/01/2025) sur la pseudonymisation: actualité EDPB 2025.

Ce que ça change concrètement

• Base légale : privilégier l’intérêt légitime avec un LIA structuré (objectif, nécessité, mise en balance, mesures atténuantes: mode privé, rafraîchissement non continu, accès limités, journalisation). Appui: lignes EDPB 1/2024.
• Encadrement des finalités : distinguer « sécurité/antivol », « optimisation logistique » et « exigences contractuelles clients » avec paramètres, habilitations et durées dédiés. Voir proportionnalité.
• Désactivation hors temps privé : bouton/app ou mode « privé » garantissant l’absence de collecte/traçabilité durant les périodes privées, comme attendu par la CNPD.
• Gouvernance et dialogue social : informer et, le cas échéant, consulter les représentants; archiver les échanges (PV, note). Réf.: obligations L.261-1/L.261-2.
• AIPD et sécurité : chiffrement, séparation logique par finalité, accès profilés, effacement borné (ex. 30 jours sauf incident), tests réguliers, et encadrement des sous-traitants (art. 28). Réf.: AIPD – CNPD.

Exemples

• Flotte B2B : intérêt légitime pour l’optimisation; rafraîchissement 2–5 min, pas de suivi hors horaires, effacement 30 jours, reporting agrégé/anonymisé.
• Véhicules avec usage privé : mode « privé » désactivant la collecte; information claire dans la notice véhicule + affichage.
• Antivol haut risque : intérêt légitime « sécurité des biens »; accès restreint, alertes à l’anomalie, pas d’usage disciplinaire.

Pièges fréquents

1. Utiliser les données à des fins disciplinaires non prévues (vitesse, pauses, itinéraires): proscrit sans finalité dédiée et justification. Position CNPD.
2. Oublier la désactivation hors temps privé: non-conformité manifeste.
3. Se fonder sur le consentement du salarié: rarement valable; préférer l’intérêt légitime. EDPB 5/2020.
4. Négliger l’information collective (Code du travail): obligations et sanctions à la clé. Rappels CNPD.
5. Traiter l’AIPD comme une « boîte à cocher »: l’analyse doit refléter votre contexte. Guide AIPD.

Aller plus loin

Pour cadrer l’analyse LIA/AIPD, la mise en conformité RGPD et le dialogue social, vous pouvez vous appuyer sur un mandat DPO certifié et approfondir les exigences locales via notre page RGPD Luxembourg.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.