CNIL et flotte connectée : obligations 2026 pour rester conforme

En 2025, la CNIL a maintenu la géolocalisation parmi ses sujets de contrôle les plus sensibles dès qu’un employeur suit des salariés via un véhicule ou un terminal professionnel. Pour une flotte connectée, le bon niveau de preuve repose sur des documents simples mais explicites : registre des traitements, note d’information, mode privé effectif, durées de conservation paramétrées et contrat de sous-traitance RGPD. Voici la check-list 2026 à garder opposable en cas d’audit.

Sources réglementaires à citer dans votre dossier

• Article L.1222-4 du Code du travail pour l'information préalable des salariés concernés ;
• Article 13 du RGPD pour l’information des personnes concernées ;
• Article 28 du RGPD pour le contrat de sous-traitance avec l’éditeur télématique ;
• Référentiel CNIL sur la géolocalisation des véhicules utilisés par les salariés pour les limites d’usage, le mode privé et la proportionnalité.

Ces références doivent être visibles dans votre registre, votre note d’information et votre kit de conformité. Sans ancrage source explicite, la conformité paraît théorique alors qu’un contrôle CNIL attend des preuves datées, nominatives et cohérentes.

Ajoutez aussi, dans vos modèles internes, la date de dernière revue du dossier et le nom du responsable qui valide les paramètres. Cette simple traçabilité renforce beaucoup la crédibilité du dispositif lors d’un échange avec la CNIL, un client grand compte ou un auditeur ISO.

1. Registre des traitements à jour

Le traitement « géolocalisation des véhicules » doit figurer explicitement dans le registre RGPD avec sa finalité, sa base légale, les catégories de données collectées, les destinataires, les sous-traitants et les durées de conservation. Le registre doit être daté et mis à jour à chaque évolution du dispositif.

2. AIPD dès que le risque devient élevé

L’analyse d’impact relative à la protection des données (AIPD) devient indispensable dès que la flotte atteint un volume important, que la géolocalisation est couplée à l’identification conducteur ou que les données servent à évaluer une activité individuelle. L’absence d’AIPD fragilise fortement le dossier en cas de contrôle.

3. Information collective et individuelle

Un affichage général ne suffit pas. Chaque salarié concerné doit recevoir une note individuelle couvrant l’article 13 du RGPD : identité du responsable de traitement, finalités, base légale, destinataires, durées de conservation, droits, coordonnées du DPO et modalités d’activation du mode privé.

4. Mode privé réellement activable

Le salarié doit pouvoir couper le suivi hors temps de travail par une action simple et documentée. Le mode privé doit être visible dans l’interface, effectif immédiatement et expliqué dans la note d’information. C’est l’un des premiers points vérifiés lors d’un audit CNIL sur la télématique embarquée.

5. Sous-traitant conforme au RGPD

Votre fournisseur GPS agit comme sous-traitant au sens de l’article 28 du RGPD. Le contrat doit préciser l’objet du traitement, la nature des données, les mesures de sécurité, les conditions d’assistance et les règles de notification en cas d’incident.

6. Sécurité technique et conservation

Les contrôles portent aussi sur la réalité technique du dispositif :

• chiffrement des flux et des sauvegardes ;
• journalisation des accès à la plateforme ;
• gestion des habilitations par rôle ;
• purges automatiques cohérentes avec la politique de conservation.

Documents de preuve à garder prêts

• fiche de traitement extraite du registre RGPD ;
• AIPD si le niveau de risque le justifie ;
• notes d’information signées ;
• PV de consultation du CSE ;
• contrat de sous-traitance RGPD ;
• preuve du paramétrage des durées de conservation et du mode privé.

Pages de preuve à relier

• /conformite-transport pour la vue d’ensemble conformité et preuves d’audit ;
• /conformite-transport/rgpd-geolocalisation-salaries pour le détail des obligations d'information et du mode vie privée ;
• /articles/modele-note-information-salaries-geolocalisation pour la note salarié ;
• /articles/controles-cnil-2025-flottes-professionnelles pour les motifs de contrôle récurrents ;
• /glossaire-telematique/rgpd-flotte et /glossaire-telematique/mode-vie-privee pour les définitions réutilisables dans les procédures internes.