Une société de location de véhicules est responsable du traitement de géolocalisation installé dans ses véhicules.
Une société de location de véhicules de luxe avait déclaré à la Cnil le dispositif de géolocalisation présent dans ses véhicules mis en location en réalisant un engagement de conformité à la norme simplifiée n° 51.
Cet engagement de conformité ne pouvait toutefois couvrir le traitement concerné, dans la mesure où la norme simplifiée n° 51 est relative à la géolocalisation des véhicules des salariés, alors qu’en l’espèce les véhicules étaient loués sans chauffeur. La Cnil reprochait notamment à la société de location de véhicules de n’avoir pas accompli les formalités déclaratives pour le traitement en cause.
Devant le Conseil d’Etat, la société de location de véhicules contestait sa qualification en tant que responsable de traitement et, par suite, son obligation de déclaration du dispositif de géolocalisation à la Cnil, au motif qu’elle n’était pas propriétaire de l’ensemble des 36 véhicules constitutifs du parc automobile mis en location et objet du contrôle.
Le Conseil d’Etat a rejeté cet argument dans sa décision du 18 décembre 2015 (1). En effet, il a relevé le faisceau d’indices suivants, indiquant que la société de location de véhicules déterminait les finalités et les moyens du traitement et devait donc être considérée comme responsable de traitement :
- le contrat de location à l’origine de la plainte reçue par la Cnil était signé par la société de location de véhicules ;
- l’ensemble des données de géolocalisation des véhicules concernés était accessible depuis un seul poste de travail, dont l’épouse du gérant de la société détenait le mot de passe ;
- la société de location de véhicules a agi en tant que responsable de traitement en réalisant l’engagement de conformité à la norme simplifiée n° 51.
Le Conseil d’Etat en conclut que la société de location de véhicules doit être considérée comme responsable de traitement et qu’elle n’est donc pas fondée à demander l’annulation de la délibération de la Cnil la condamnant à une sanction pécuniaire d’un montant de 5 000 euros et à la publicité de la décision.
Cette décision rappelle ainsi l’obligation incombant à chaque responsable de traitement de vérifier la conformité de son dispositif de géolocalisation et de réaliser auprès de la Cnil les formalités déclaratives.
Chloé Torres,
Julie Schwartz
Lexing, Droit Informatique et libertés
(1) CE. 10ème / 9ème SSR 18-12-2015, n° 384794, Loc Car Dream.
(2) Délib. Cnil du 22-7-2014, n° 2014-294.