RGPD et géolocalisation des véhicules dans le transport routier : obligations CNIL, droits des conducteurs et bonnes pratiques pour les PME en 2026
RGPD et géolocalisation flotte transport 2026 : finalités CNIL, information des conducteurs, durées de conservation et sanctions. Guide de mise en conformité pour PME de transport routier.
RGPD et géolocalisation des véhicules dans le transport routier : obligations CNIL, droits des conducteurs et bonnes pratiques pour les PME en 2026
Vous avez équipé votre flotte de boîtiers GPS, votre tachygraphe enregistre les trajets de vos conducteurs, et votre application mobile remonte les positions en temps réel. Bonne nouvelle : vous pilotez mieux vos missions. Moins bonne nouvelle : vous traitez chaque jour des données personnelles au sens du RGPD — et les PME de transport sont loin d'être toutes en règle. En 2026, la CNIL a renforcé ses contrôles dans le secteur des transports. La sanction peut atteindre 4 % de votre chiffre d'affaires annuel mondial, ou 20 millions d'euros. Pour une PME transport, quelques erreurs de conformité RGPD géolocalisation suffisent à déclencher un redressement à plusieurs dizaines de milliers d'euros. Ce guide vous explique tout ce que vous devez savoir pour être en règle — sans juriste.
1. Qu'est-ce que le RGPD et pourquoi s'applique-t-il à votre PME transport ?
Le Règlement Général sur la Protection des Données (RGPD, règlement UE 2016/679) est applicable depuis le 25 mai 2018 à toutes les organisations traitant des données personnelles de personnes physiques résidant dans l'UE. Aucun seuil de taille d'entreprise : même une PME avec 3 camions et 4 conducteurs est concernée dès qu'elle collecte des données permettant d'identifier une personne — directement ou indirectement.
Or, dans le transport routier, la géolocalisation est intrinsèquement liée à l'identité du conducteur : un trajet, c'est une personne physique derrière le volant. La position du véhicule à 14h37 le mardi, c'est la position du conducteur à ce moment précis. La CNIL considère depuis longtemps que les données de géolocalisation de flotte constituent des données personnelles dès lors qu'elles permettent de retrouver les déplacements d'un salarié identifiable.
Conséquence pratique : dès que vous utilisez un GPS, un tachygraphe numérique, une application mobile chauffeur ou tout autre système de suivi, vous êtes responsable de traitement au sens du RGPD et soumis à l'ensemble des obligations qui en découlent.
2. Quelles données personnelles votre flotte génère-t-elle ?
Une PME transport type collecte des données personnelles à travers plusieurs canaux sans toujours en avoir conscience :
| Source | Données collectées | Caractère personnel |
|---|---|---|
| Boîtier GPS / télématique | Position, vitesse, cap, heure, arrêts, kilométrage | Oui (lié au conducteur affecté) |
| Tachygraphe numérique / Smart Tacho V2 | Temps de conduite, repos, vitesse, activités, identité carte conducteur | Oui (données nominatives carte conducteur G2V2) |
| Application mobile chauffeur | Position, photos documents, signature eCMR, état de la mission | Oui |
| Caméra de bord (dashcam) | Images du conducteur, enregistrements sonores éventuels | Oui (données biométriques potentielles) |
| Cartes carburant fleet | Horaires et lieux de ravitaillement, consommation nominative | Oui |
| eCMR / lettre de voiture | Signature numérique du conducteur, horodatage | Oui |
Toutes ces données, croisées, permettent de reconstituer avec précision l'emploi du temps et les déplacements d'un salarié. C'est précisément ce que le RGPD entend protéger.
3. Les finalités autorisées par la CNIL
Le RGPD exige que tout traitement de données personnelles poursuive une finalité déterminée, explicite et légitime. La CNIL a identifié plusieurs finalités acceptables pour la géolocalisation de flotte de transport :
✅ Sécurité des personnes et des marchandises (localiser un chauffeur en détresse, retrouver un véhicule volé) ✅ Gestion opérationnelle de la flotte (affectation des missions, optimisation des tournées, calcul des temps de trajet) ✅ Conformité réglementaire (contrôle des temps de conduite CE 561/2006, téléchargement tachygraphe) ✅ Facturation et preuve de livraison (horodatage des arrivées/départs, eCMR) ✅ Éco-conduite et réduction des coûts carburant (analyse des comportements de conduite)
En revanche, plusieurs finalités sont explicitement refusées ou très encadrées :
❌ Surveillance permanente des performances individuelles à des fins disciplinaires : vous pouvez analyser les KPI collectifs, mais utiliser la géolocalisation pour sanctionner individuellement un conducteur sur la base d'un seul trajet pose problème. ❌ Suivi des conducteurs hors temps de travail : les véhicules de service doivent pouvoir être désactivés du dispositif GPS en dehors des heures de travail ou un accès à la désactivation doit être prévu pour les véhicules de fonction. ❌ Collecte excessive : si votre finalité est la gestion des missions, une remontée de position toutes les 5 minutes est suffisante. Une géolocalisation à la seconde serait disproportionnée.
Règle d'or : chaque traitement doit être nécessaire, proportionné et limité à sa finalité. En cas de doute, demandez-vous : "Cette donnée m'est-elle vraiment indispensable pour atteindre mon objectif ?"
4. Obligations avant de déployer un système GPS
Avant d'installer le premier boîtier ou d'activer le suivi dans votre TMS, trois étapes s'imposent :
4.1 Tenir un registre des activités de traitement
Tout responsable de traitement doit tenir un registre RGPD documentant chaque traitement : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité. Pour la géolocalisation de flotte, créez une fiche dédiée dans ce registre. Des modèles gratuits sont disponibles sur le site de la CNIL.
4.2 Réaliser une Analyse d'Impact (AIPD) si nécessaire
Une Analyse d'Impact sur la Protection des Données (AIPD) est obligatoire lorsque le traitement présente un risque élevé pour les personnes concernées. La CNIL considère que la surveillance systématique de salariés via la géolocalisation peut entrer dans cette catégorie — en particulier si vous croisez les données GPS avec d'autres informations (performance, heures travaillées, etc.). En cas de doute, réalisez-la : c'est une obligation légale et un excellent outil pour identifier les risques.
4.3 Consulter le CSE (si vous avez ≥ 11 salariés)
Avant tout déploiement d'un dispositif de surveillance ou de contrôle de l'activité des salariés, vous devez informer et consulter le Comité Social et Économique (CSE). L'absence de consultation peut entraîner la nullité du dispositif et des sanctions prud'homales.
5. L'information obligatoire des conducteurs
C'est l'obligation la plus souvent négligée dans les PME transport : chaque conducteur doit être informé de l'existence du dispositif de géolocalisation, avant sa mise en place. L'Article 13 du RGPD impose un contenu précis :
- Identité et coordonnées du responsable de traitement (votre entreprise)
- Finalités et base légale du traitement (intérêt légitime, obligation légale ou contrat)
- Durées de conservation des données
- Droits des personnes concernées (accès, rectification, opposition, portabilité, effacement)
- Droit de saisir la CNIL en cas de litige
- Destinataires des données (votre TMS, le prestataire télématique, éventuellement l'assureur)
Comment informer ? Par écrit, de préférence via une clause dans le contrat de travail ou un avenant, ou via une note d'information remise contre signature. Un simple affichage en salle de repos est insuffisant.
Quand informer ? Avant la collecte des premières données, pas après. Si vous avez déjà déployé un GPS sans informer vos conducteurs, régularisez immédiatement.
6. Durées de conservation des données
La CNIL a défini des durées de conservation recommandées selon les finalités :
| Type de données | Durée recommandée CNIL | Durée légale tachygraphe |
|---|---|---|
| Données de géolocalisation temps réel | En mémoire vive uniquement (pas d'historique) | — |
| Historique des trajets (gestion flotte) | 2 mois maximum | — |
| Données comportement de conduite | 2 mois maximum | — |
| Fichiers tachygraphe conducteur | — | 365 jours (règlement CE 561) |
| Fichiers tachygraphe véhicule | — | 365 jours (règlement CE 561) |
| Archivage tachygraphe entreprise | — | 2 ans minimum |
| Données eCMR / livraison | Durée de prescription contractuelle | 1 an (transport national) |
Attention : la réglementation sur le tachygraphe impose des durées minimales de conservation, ce qui crée une tension avec le principe de minimisation du RGPD. La règle : conservez le strict nécessaire selon la finalité légale la plus contraignante.
7. Les droits des conducteurs à respecter
Vos conducteurs salariés disposent de droits individuels sur leurs données personnelles :
- Droit d'accès (Art. 15 RGPD) : tout conducteur peut demander à consulter les données vous détenues à son sujet. Vous avez 1 mois pour répondre.
- Droit de rectification (Art. 16) : si une donnée est inexacte (mauvais nom, erreur de trajet), le conducteur peut en demander la correction.
- Droit d'opposition (Art. 21) : le conducteur peut s'opposer à un traitement fondé sur l'intérêt légitime. Vous devrez alors démontrer que vos intérêts prévalent.
- Droit à la portabilité (Art. 20) : pour les traitements fondés sur le contrat ou le consentement, le conducteur peut demander ses données dans un format structuré (CSV, JSON).
- Droit d'accès aux données tachygraphe : spécificité réglementaire — un conducteur peut demander une copie de ses données tachygraphe à tout moment. C'est distinct du droit d'accès RGPD mais se cumule avec lui.
Pour les véhicules de fonction (pouvant être utilisés personnellement), le conducteur doit pouvoir désactiver le dispositif GPS hors temps de travail, ou ce véhicule doit être soumis à des règles particulières dans votre registre RGPD.
8. Données du tachygraphe : un régime spécifique
Le tachygraphe numérique — et a fortiori le Smart Tacho V2 déployé depuis 2025-2026 — génère des données qui relèvent à la fois du RGPD et de la réglementation transport européenne :
- Téléchargement obligatoire : les données conducteur toutes les 90 jours, les données véhicule toutes les 90 jours (28 jours pour les véhicules à Smart Tacho V2 permettant le téléchargement à distance).
- Archivage 2 ans minimum en entreprise — conservez les fichiers cryptés (.ddd, .tgd) dans un système sécurisé.
- Accès contrôlé : seuls les agents habilités (DREAL, gendarmerie, inspection du travail) et votre gestionnaire de transport peuvent accéder aux données. Le partage avec un tiers non habilité (assureur, client) sans base légale est une violation RGPD.
- Smart Tacho V2 et communication à distance : les nouvelles fonctions de communication à distance (pour les contrôles routiers) ne modifient pas vos obligations RGPD — elles ajoutent un canal de lecture, pas une finalité nouvelle.
Rejoindre la beta gratuite Axiotrans — axiotrans.fr — et centralisez la gestion de vos téléchargements tachygraphe, alertes d'échéances et données conducteurs dans un seul outil conforme.
9. Les 5 erreurs RGPD les plus fréquentes dans les PME transport
Erreur 1 — Pas d'information des conducteurs La moitié des PME équipées de GPS n'ont jamais remis d'information écrite à leurs conducteurs. C'est l'infraction documentée n°1 lors des contrôles CNIL.
Erreur 2 — Durée de conservation illimitée Conserver l'historique des trajets depuis 3 ans "au cas où" n'est pas légal. Définissez des purges automatiques à 2 mois dans votre outil de télématique.
Erreur 3 — Partager les données GPS avec l'assureur sans base légale Certains assureurs demandent un accès aux données comportementales pour calculer une prime. Ce partage nécessite une base légale explicite et l'information préalable des conducteurs — souvent absente.
Erreur 4 — Surveillance hors temps de travail Des véhicules de service (utilisés aussi le week-end pour des déplacements personnels) géolocalisés en permanence violent le droit à la vie privée des conducteurs.
Erreur 5 — Pas de registre RGPD Sans registre des activités de traitement, vous ne pouvez pas démontrer votre conformité à la CNIL en cas de contrôle. C'est une obligation légale dès le premier traitement.
10. Plan de mise en conformité RGPD en 5 étapes
Étape 1 — Cartographier vos traitements (Semaine 1) Listez tous les systèmes qui collectent des données sur vos conducteurs : GPS, tachygraphe, app mobile, cartes carburant, dashcam. Pour chacun, identifiez la finalité, les données collectées, les destinataires et la durée de conservation.
Étape 2 — Créer ou mettre à jour le registre RGPD (Semaine 1-2) Ouvrez le modèle gratuit de la CNIL et créez une fiche par traitement. Incluez la géolocalisation de flotte, les données tachygraphe, les données eCMR.
Étape 3 — Informer les conducteurs (Semaine 2) Rédigez une note d'information RGPD conforme à l'Article 13 et remettez-la à chaque conducteur contre signature. Intégrez une clause dans les nouveaux contrats de travail.
Étape 4 — Paramétrer les durées de conservation (Semaine 3) Configurez votre outil de télématique pour purger automatiquement les historiques de trajets au-delà de 2 mois. Archivez les données tachygraphe réglementaires séparément dans un stockage sécurisé.
Étape 5 — Former votre gestionnaire de transport (Mois 2) Votre gestionnaire de transport doit connaître les droits des conducteurs et savoir répondre à une demande d'accès en moins d'un mois. Une courte formation interne suffit.
Rejoindre la beta gratuite Axiotrans — axiotrans.fr — accès anticipe gratuit, sans carte bancaire. Axiotrans intègre le suivi GPS de votre flotte et vous aide à centraliser toutes les données conducteurs dans un cadre opérationnel et conforme.
11. FAQ — RGPD et géolocalisation dans le transport routier
Un conducteur peut-il refuser d'être géolocalisé ? Non, si la géolocalisation est justifiée par une finalité légitime (sécurité, gestion flotte) et que vous avez informé le conducteur. Il peut exercer un droit d'opposition, mais vous pouvez le rejeter si vous démontrez que vos intérêts légitimes prévalent. En revanche, hors temps de travail sur un véhicule de fonction, le conducteur peut légitimement désactiver le dispositif.
Puis-je utiliser les données GPS pour sanctionner un conducteur ? Avec précaution. Les données GPS peuvent corroborer un fait établi par d'autres moyens (témoignages, factures). Mais utiliser le GPS comme seul outil de surveillance individuelle à des fins disciplinaires est risqué — le risque est une contestation aux prud'hommes pour surveillance déloyale.
Mes conducteurs indépendants (sous-traitants) sont-ils concernés par le RGPD ? Les conducteurs indépendants ne sont pas des salariés, donc les règles du Code du travail sur la surveillance ne s'appliquent pas directement. Mais le RGPD s'applique : vous traitez toujours leurs données personnelles et devez les informer et respecter leurs droits.
L'assureur peut-il accéder à mes données GPS ? Oui, mais uniquement avec une base légale claire (consentement du conducteur ou intérêt légitime documenté) et une information préalable des conducteurs mentionnant l'assureur comme destinataire. Une clause dans votre registre RGPD et dans la note d'information suffit.
Le Smart Tacho V2 change-t-il mes obligations RGPD ? Il ajoute de nouvelles catégories de données (localisation GNSS/OSNMA, données de franchissement des frontières automatiques) mais ne modifie pas les principes : finalités légitimes, information des conducteurs, durées de conservation, sécurité. Les fichiers téléchargeables à distance restent soumis aux mêmes règles d'archivage (2 ans).
Combien de temps puis-je conserver les données GPS de mes conducteurs ? La CNIL recommande 2 mois maximum pour les données de géolocalisation à finalité de gestion de flotte. Au-delà, il faut une justification spécifique (litige en cours, enquête, etc.) et une durée proportionnée à cette justification.
Qu'est-ce qu'une "violation de données" en transport et comment la gérer ? Une violation de données, c'est tout incident qui compromet la confidentialité, l'intégrité ou la disponibilité de données personnelles : vol du terminal mobile d'un chauffeur contenant des positions GPS, intrusion dans votre système TMS, etc. Vous devez notifier la CNIL dans les 72 heures si la violation présente un risque pour les conducteurs.
La CNIL contrôle-t-elle vraiment les PME de transport ? Oui. Depuis 2024, la CNIL a intensifié ses contrôles dans le secteur transport/logistique, souvent déclenchés par des plaintes de conducteurs. Les sanctions documentées vont de quelques milliers à plusieurs centaines de milliers d'euros pour des PME. Le risque réputationnel (publicité de la sanction) est aussi un enjeu pour fidéliser vos conducteurs.
Conclusion : conformité RGPD, un investissement, pas une contrainte
Le RGPD dans le transport routier n'est pas une formalité administrative réservée aux grandes entreprises. C'est un cadre qui protège à la fois vos conducteurs et votre entreprise. Une PME transport conforme au RGPD :
- Évite les sanctions pouvant atteindre 4 % du CA
- Améliore la relation de confiance avec ses conducteurs (fidélisation, attractivité)
- Se prépare aux contrôles DREAL et CNIL sans stress
- Utilise ses données de façon optimale, avec des outils qui valorisent les données sans les stocker inutilement
La mise en conformité d'une PME transport de 5 à 30 véhicules se fait en quelques semaines de travail interne, sans coût juridique exorbitant. L'essentiel : documenter, informer, proportionner.
Rejoindre la beta gratuite Axiotrans — axiotrans.fr — accès anticipe gratuit, sans carte bancaire. Axiotrans intègre le suivi GPS en temps réel, la gestion des conducteurs et les conformités réglementaires dans un seul outil pensé pour les PME de transport routier françaises.
Articles connexes
Prêt à moderniser votre gestion transport ?
Axiotrans est le TMS pensé pour les PME françaises du transport. Essai gratuit 30 jours, sans carte bancaire.
Essayer gratuitement