Géolocalisation des véhicules: CNPD vs CNIL (durées et contrôle)

En avril 2026, la CNIL a arrêté un repère « en principe » de 2 mois pour les données de géolocalisation des véhicules professionnels. À l’inverse, la CNPD luxembourgeoise ne publie pas de durée chiffrée universelle et exige une justification de proportionnalité au cas par cas, avec un mécanisme de saisine par la délégation du personnel sous 15 jours (Code du travail, art. L.261‑1). Ce décalage doit orienter vos politiques RH et de gestion de flotte au Luxembourg.

L’affaire

• France (CNIL) : le « Référentiel – Durées de conservation – Gestion des ressources humaines » (avril 2026) retient, pour la géolocalisation des véhicules professionnels, 2 mois en base active « en principe », avec des extensions strictement encadrées (jusqu’à 1 an pour la preuve d’une prestation en l’absence d’autre moyen). Sources : CNIL, Référentiel RH (avril 2026) et CNIL Direct.
• Luxembourg (CNPD) : les lignes directrices encadrent les finalités, interdisent des usages disciplinaires hors finalité (ex. contrôler la vitesse si la finalité est l’anti‑vol), insistent sur la nécessité/proportionnalité et sur l’AIPD. Pas de durée chiffrée universelle : la conservation doit rester strictement liée à la finalité. Parallèlement, l’article L.261‑1 du Code du travail prévoit une saisine de la CNPD par la délégation du personnel sous 15 jours, la CNPD statuant sous un mois. Sources : CNPD, dossier géolocalisation et CNPD, art. L.261‑1.

En bref : côté CNIL, un repère temporel ferme (2 mois). Côté CNPD, pas de plafond chiffré unique mais une exigence de justification documentée et un garde‑fou procédural via L.261‑1.

Le raisonnement juridique

• Base légale (article 6 RGPD) : généralement l’intérêt légitime (art. 6(1)(f)) pour sécuriser les biens, optimiser la logistique ou, à défaut d’autre moyen fiable, mesurer le temps de travail ; exceptionnellement une obligation légale. La CNPD exige des finalités explicites et non dévoyées. Voir CNPD, Nécessité et proportionnalité.
• Principes de l’article 5 RGPD : minimisation, limitation des finalités et limitation de la conservation. La CNIL traduit l’article 5(1)(e) en barème pratique (2 mois « en principe » et cas d’extension bornés), tandis que la CNPD reste sur une appréciation contextuelle à prouver. Références : Référentiel RH (avril 2026) et dossier CNPD. Sur le cadre général, consultez aussi les exigences RGPD.
• Information et transparence (art. 13/14) : notice claire au point de contact (véhicule/application), finalités, base légale, durées, droits et contact DPO. Un mandat DPO facilite la cohérence de ces notices et des registres.
• AIPD (art. 35) : la surveillance systématique des salariés constitue un cas typique de haut risque. La CNPD le rappelle et souligne les responsabilités avec les prestataires (art. 28). Voir CNPD, AIPD – Géolocalisation.
• Dialogue social et contrôle : au Luxembourg, la fenêtre de saisine L.261‑1 est un garde‑fou procédural propre au droit local, distinct du référentiel français. Voir art. L.261‑1.

Ce que ça change concrètement

• Groupes actifs au Luxembourg : ne reproduisez pas mécaniquement le barème CNIL de 2 mois. Documentez la nécessité et la proportionnalité pour chaque finalité, anticipez la possible saisine sous 15 jours et alignez les purges automatiques.
• Finalités cloisonnées : pas d’usage disciplinaire hors finalité initiale (ex. vitesse/itinéraires si l’objectif est l’anti‑vol). Voir CNPD, Nécessité et proportionnalité.
• Temps de travail : possible seulement si aucun autre moyen « objectif, fiable et accessible » n’existe. Inspirez‑vous des fourchettes CNIL (2 mois en actif, jusqu’à 1 an pour la preuve), mais au Luxembourg rattachez chaque durée à la finalité et à l’analyse d’alternatives.
• Gouvernance RH/IT : menez une AIPD, un contrat article 28 avec votre prestataire télématique, et mettez en place des contrôles techniques (désactivation hors horaires, zones privées, granularité réduite, journalisation, purges vérifiables). Pour structurer cette conformité, explorez les bonnes pratiques RGPD au Luxembourg et sollicitez-nous via notre formulaire de contact.

Pièges fréquents

1. Durée « copiée‑collée » de 2 mois sans justification locale. La CNPD exige la preuve de proportionnalité. Voir dossier CNPD.
2. Finalités glissantes : réutiliser des données anti‑vol pour des blâmes RH est écarté par la CNPD, sauf obligation légale spécifique. Voir Nécessité et proportionnalité.
3. Absence d’AIPD et d’analyse d’alternatives : la géolocalisation est intrusive ; une AIPD est attendue. Voir AIPD – Géolocalisation.
4. Oubli du L.261‑1 : planifiez l’information/consultation et la fenêtre de 15 jours pour la saisine. Voir art. L.261‑1.
5. Conservation « pour tout faire » : les extensions CNIL ne sont pas transposables par réflexe au Luxembourg ; l’absence de chiffre CNPD n’autorise pas l’illimité. Voir Référentiel RH (avril 2026).

Sources officielles

• CNPD — Dossier géolocalisation
• CNPD — Nécessité et proportionnalité
• CNPD — Code du travail L.261‑1
• CNIL — Référentiel Durées de conservation (avril 2026)
• CNIL Direct — Durées géolocalisation

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.