géolocalisation

L’anonymat sur Internet

« Si je regarde suffisamment vos messages et votre localisation, et que j’utilise une intelligence artificielle, je peux prévoir où vous allez vous rendre. Montrez-nous 14 photos de vous et nous pourrons vous identifier. Vous pensez qu’il n’y a pas quatorze photos différentes de vous sur Internet ? Il y en a plein sur Facebook ! » le PDG de Google, Eric Schmidt, a estimé, que l’anonymat sur Internet était voué à disparaître et serait remplacé par une  » transparence totale « .

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire ! 

L’anonymat sur internet fait référence à la possibilité pour les utilisateurs d’utiliser des services en ligne sans révéler leur véritable identité.

Avec le développement des activités numériques sur le web, le terme  » anonyme  » prend une nouvelle orientation. Ainsi, des millions d’internautes naviguent sur le web de façon anonyme, du moins le croient-ils, en consultant des sites d’information ou d’e-commerce. Dans le même temps, d’autres millions d’internautes ont ouvert des comptes personnels sur des réseaux sociaux en se cachant derrière un pseudonyme. Alors qu’on utilise de plus en plus Internet, qu’on y laisse toujours plus de données et qu’il est de plus en plus facile de savoir qui y fait quoi, l’inquiétude quant à l’utilisation de ces données grandit chaque jour.

En toute hypothèse, sur le web, la sensation d’anonymat est décuplée par la distance qui existe entre l’internaute et le serveur auquel il accède pour y consulter des informations ou pour y créer des données (donner une opinion, écrire un texte, uploader un document, etc.). Et la sensation d’anonymat s’accroit chez de nombreux internautes à partir du moment où ils se cachent derrière un écran et un pseudonyme.

Dans la pratique, moins de 5% des internautes mettent en place des pratiques d’offuscation de leurs traces sur le web en utilisant notamment des services tels que les réseaux privés virtuels (VPN), des navigateurs anonymes et des services de messagerie anonymes

On notera le caractère ambigu de l’anonymat : d’un côté, c’est ce qui est sans nom, sans valeur, parfois menaçant ; de l’autre, c’est une stratégie de protection, de préservation, porteuse d’égalité (dans le cas par exemple, de l’anonymat du vote en France). Cette dualité se retrouve également sur internet.

 

I. L’anonymat, principe nécessaire à la protection de la vie privée sur internet

A. Anonymat et vie privée sur internet

Anonymat et vie privée sont très souvent associés, et pour cause. Le premier est un moyen de préserver la seconde. La vie privée est la raison pour laquelle on peut recourir à des techniques d’anonymisation. Internet bouleverse la manière dont nous gérons notre vie privée.

L’anonymat en ligne offre de nombreux avantages, notamment la possibilité de protéger ses données personnelles, de contourner les restrictions géographiques imposées par certains services, et de protéger son identité lors de la participation à des débats politiques ou sociaux


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


La vie privée ne peut se comprendre qu’en termes de contrôle de ce qu’on laisse sur internet. Elle consiste à conserver le contrôle d’une information personnelle et ne pas la laisser sortir d’un cadre dans lequel elle a été rendue publique.

La notion de vie privée se rapporte principalement à la capacité de contrôler les informations personnelles que l’on partage sur Internet, afin de préserver leur caractère confidentiel et de les empêcher de se propager au-delà du cadre dans lequel elles ont été rendues publiques.

Sur internet, cet ensemble d’informations personnelles aussi appelées données constitue ce que l’on nomme « l’identité numérique ». Elle se compose à la dois des traces personnelles, des traces liées à notre activité sur les plateformes et des traces commerciales.

Sur internet, l’utilisateur ne laisse pas seulement des traces volontairement et de manière visible. S’il existe bien des traces visibles et intentionnelles (commentaire sur un blog, photo sur les réseaux sociaux), les traces invisibles et non intentionnelles sont d’autant plus nombreuses (l’adresse IP quand on se connecte à un site internet, requête dans les archives d’un moteur de recherche). Il y a également les cookies placés sur le navigateur ou le tracker, qui est un petit programme présent sur les sites web qui enregistre certaines activités à des fins publicitaires, présent sur les sites de e-commerce.

Un très grand nombre d’informations peuvent être collectées sur internet : l’historique de connexions et de visites, l’adresse IP, les recherches Google, les favoris et l’historique complet, les emails etc..

Par ailleurs, avec l’arrivée des objets connectées d’autres types de données sont à présents la cible des entreprises.

B. L’encadrement juridique de la protection des données collectées sur internet

S’il est aisé d’imaginer que nous sommes tous fichés par l’Etat et les organismes qui lui sont rattachés (sécurité sociale, fisc, police à travers la carte nationale d’identité, la préfecture lors de l’établissement de la carte grise, le Pôle emploi, le médecin, etc.), par son employeur, par des associations indépendantes (club de sport, association à laquelle on fait un don, forum de discussion ou chat, etc.) ou encore par des sociétés commerciales (banque, assureurs, téléphonie, fichiers clients des commerces, etc.), on imagine moins être fichés par des sociétés que l’on ne connaît pas. Et pourtant, les données personnelles circulent facilement soit contre rémunération pour le titulaire du fichier, soit de manière involontaire en cas notamment de piratage informatique ou de détournement de la finalité d’un fichier.

C’est pour cela qu’en France, la CNIL, la Commission nationale informatique et libertés veille à ce que la loi Informatique et libertés de 1978 et les autres textes qui protègent ces données personnelles, soient respectés, afin d’éviter les abus et les atteintes aux droits fondamentaux.

En 2014, la CNIL affirme que près de 35% des recruteurs avouent avoir déjà écarté un candidat à un emploi à cause d’une e-réputation négative. négative.

En France, le texte fondateur en matière de protection des données est la Loi informatique et liberté du 6 janvier 1978 qui définit les principes à respecter lors de la collecte, du traitement et de la conservation des données personnelles. Elle renforce les droits des personnes sur leurs données, prévoit une simplification des formalités administratives déclaratives et précise les pouvoirs de contrôle et de sanction de la CNIL.

La loi « Informatique et Libertés » est applicable dès lors qu’il existe un traitement automatisé ou un fichier manuel, c’est-à-dire un fichier informatique ou un fichier  » papier  » contenant des informations personnelles relatives à des personnes physiques.

Depuis le 25 mai 2018, la réglementation européenne à la protection des données a étendu les pouvoirs de la CNIL et la protection des données sur le plan européen.

En 2018, plusieurs associations actives dans le domaine de la protection des données personnelles ainsi qu’un opérateur de télécoms ont saisi le Conseil d’État de recours contre les décrets qui prévoient la conservation des données de connexions et qui organisent leur traitement pour les besoins du renseignement et des enquêtes pénales.

À cette occasion, le Conseil d’État a saisi, en 2018, la Cour de justice de l’Union européenne (CJUE) pour l’inviter à préciser la portée des règles issues du droit européen (directive 2002/58, dite « vie privée et communications électroniques » et règlement général sur la protection des données – RGPD). Plusieurs juridictions d’autres États membres de l’Union ont, elles aussi, saisi la CJUE dans le même but. Par trois décisions rendues le 6 octobre 2020, la CJUE a détaillé les limites posées à ses yeux par le droit européen

Dans un arrêt rendu le 6 octobre 2020, la CJUE a précisé que le droit de l’UE s’oppose à ce qu’une « réglementation nationale permettant à une autorité étatique d’imposer, aux fins de la sauvegarde de la sécurité nationale, aux fournisseurs de services de communications électroniques la transmission généralisée et indifférenciée des données relatives au trafic et des données de localisation aux services de sécurité et de renseignement ».

Toutefois, elle a nuancé sa position en rajoutant que, dans des situations dans lesquelles un État membre fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, ce dernier peut déroger à l’obligation d’assurer la confidentialité des données afférentes aux communications électroniques en imposant, par des mesures législatives, une conservation généralisée et indifférenciée de ces données pour une durée temporellement limitée au strict nécessaire, mais renouvelable en cas de persistance de la menace.

Contrairement à toute attente, par rendu un arrêt rendu le 21 avril 2021, le CE avait autorisé la conservation généralisée des données de connexion, et ce, en dehors des situations exceptionnelles d’état d’urgence sécuritaire. Cette décision contraire aux exigences de la jurisprudence précédente de la CJUE (6 octobre 2020) a été possible grâce à une réinterprétation de la notion de « sécurité nationale » pour inclure des infractions au-delà de la lutte contre le terrorisme telles que l’organisation de manifestations non-déclarées ou encore le trafic de stupéfiants.

En outre, il relevait à cette occasion, la possibilité d’accéder à ces données pour la lutte contre la criminalité grave permet, à ce jour, de garantir les exigences constitutionnelles de prévention des atteintes à l’ordre public et de recherche des auteurs d’infractions pénales. En revanche, il ordonnait au Gouvernement de réévaluer régulièrement la menace qui pèse sur le territoire pour justifier la conservation généralisée des données et de subordonner l’exploitation de ces données par les services de renseignement à l’autorisation d’une autorité indépendante.

II. L’anonymat, principe menacé par les développements technologiques

A. Le Big Data au détriment de l’anonymat

Littéralement, le terme de  » Big Data  » signifie métadonnées, grosses données ou encore données massives. Ils désignent un ensemble très volumineux de données qu’aucun outil classique de gestion de base de données ou de gestion de l’information ne peut vraiment travailler. En effet, nous procréons environ 2,5 trillions d’octets de données tous les jours. Ce sont les informations provenant de partout : messages que nous nous envoyons, vidéos que nous publions, informations climatiques, signaux GPS, enregistrements transactionnels d’achats en ligne et bien d’autres encore. Ces données sont baptisées Big Data ou volumes massifs de données. Les géants du Web, au premier rang desquels Yahoo (mais aussi Facebook et Google ), ont été les tous premiers à déployer ce type de technologie.

L’analyse des données est capable d’extraire des informations très précises sur les individus en croisant des données anonymes. Par exemple, les signaux de géolocalisation des portables, la démarche d’un passant filmée par vidéosurveillance, le choix de films téléchargés forment autant d’indicateurs sur les habitudes, les intérêts et les activités des personnes.

Le cas Cambridge Analytica dévoilé en 2018, fait échos aux risques que font courir la collecte et la manipulation des données personnelles à grande échelle.

Actuellement, la tendance est à la convergence des différentes données disponibles. Data en ligne et hors ligne, structurées ou non structurées rassemblées et consolidées, accord entre Facebook et des courtiers de données : les algorithmes n’ont pas fini de générer de plus en plus de sources lucratives sur le marché des Big Data. Plus encore : il est possible de prédire où se trouvera une personne d’ici 80 semaines sur la base de données de géolocalisation issues de son GPS. Finalement, rester non identifié devient une gageure.

B. Une pression croissante de l’État

Depuis une dizaine d’années, les initiatives de la part des gouvernements pour tenter de réguler et de contrôler internet se sont multipliées. Rappelons les révélations d’Edward Snowden en 2013, qui ont montré que les collectes massives d’informations par la NSA, concernant des citoyens du monde entier, dépassaient le cadre de la lutte nécessaire contre le terrorisme ou contre les autres risques géopolitiques.

La France n’est pas en reste, puisque son service de renseignement extérieur, la DGSE (Direction Générale de la Sécurité Extérieure), a également à sa disposition un système d’interception massif d’Internet, sans compter sa proximité avec l’opérateur Orange. Au delà des services de renseignement, ces dernières années, le législateur français a été particulièrement attentif à la régulation d’internet :  LCEN (loi pour la confiance en l’économie numérique) ; DADVSI (loi relative aux droits d’auteur et droits voisins dans la société d’information) , LOPPSI 2 (loi d’orientation et de programmation pour la performance de la sécurité intérieure), Hadopi (loi Création et Internet de la Haute autorité pour la diffusion des œuvres et la protection des droits sur internet) ou encore les lois antiterroristes qui accroissent la surveillance du réseau à la recherche de potentiels terroristes.

Cette pression croissante des gouvernements à des fins de contrôle, de régulation et de surveillance peut se faire au détriment de l’anonymat des utilisateurs d’internet.

Le 15 novembre 2001, la France a adopté la loi sur la sécurité quotidienne, dont l’article 29 oblige les fournisseurs d’accès à internet à conserver les identifiants de connexion de leurs abonnés. Ses mesures, dont l’article 29, auraient dû arriver à expiration fin décembre 2003. Cependant un amendement de la loi sur la sécurité intérieure du 21 janvier 2003, a pérennisé les mesures de conservation des identifiants et les a séparées du motif terroriste, leur raison d’être de l’adoption de la première loi. Ces mesures sont désormais présentes dans l’article 34-1 du Code des postes de communications électroniques.

À partir de la loi de 2004 et de la loi pour la confiance en l’économie numérique, la conservation des identifiants de connexion, qui devait être effectuée uniquement par les opérateurs de télécommunications, donc les fournisseurs d’accès à internet, concerne également les hébergeurs, c’est à dire, tous les sites qui mettent à disposition du public un service de  » stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature  » (sites d’informations, services de vidéo type Dailymotion ou Youtube, Wikipédia…). Le décret précisant les modalités n’est intervenu que le 1er mars 2012.

Le 30 juillet 2021, la loi n° 2021-998 relative à la prévention d’actes de terrorisme et au renseignement a été adoptée. Ce texte, par le biais de son article 17, a  modifié l’article L34-1 du Code des postes et des communications électroniques ainsi que l’article 6-II de la LCEN.

Ce texte révise la loi sur le renseignement du 24 juillet 2015 notamment pour tenir compte de l’évolution des technologies et des modes de communication utilisés par les terroristes. Les services de renseignement disposent de nouveaux moyens de contrôle, en particulier la possibilité à titre expérimental d’intercepter des communications satellitaires.

  1. Les limites dans le cadre des enquêtes pénales

Par une série de quatre arrêts rendus le 12 juillet 2022 par la chambre criminelle, la Cour de cassation tire les conséquences des décisions rendues par la Cour de justice de l’Union européenne relatives à la conservation des données de connexion et à l’accès à celles-ci dans le cadre de procédures pénales (Crim. 12 juill. 2022, FS-B+R, n° 21-83.710 ; Crim. 12 juill. 2022, FS-B, n° 21-83.820 ; Crim. 12 juill. 2022, FS-B, n° 21-84.096 ; Crim. 12 juill. 2022, FS-B, n° 20-86.652).

D’une part, la Cour de cassation énonce que les données de connexion ne peuvent être obtenues que dans le cadre d’enquêtes pénales relatives à des infractions d’une certaine gravité. A ce propos, la loi n° 2022-299 du 2 mars 2022 visant à combattre le harcèlement scolaire avait déjà limité une telle possibilité aux enquêtes relatives à une infraction punie d’au moins 3 ans d’emprisonnement en application notamment du nouvel article 60-1-2 du Code de procédure pénale.
L’appréciation du caractère grave de la criminalité par les juridictions est également effectuée au regard de la nature des agissements de la personne mise en cause, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

D’autre part, la Cour de cassation précise que la délivrance de réquisitions relatives aux données de connexion doit faire l’objet d’un contrôle préalable par une juridiction ou une autorité administrative indépendante au sens où l’entend la Cour de justice de l’Union européenne.

La Cour de cassation en conclut que les articles 60-1, 60-2, 77-1-1 et 77-1-2 du Code de procédure pénale n’étaient pas conformes au droit de l’Union européenne. Selon elle, les règles actuelles du Code de procédure pénale, qui permettent au procureur de la République ou à un enquêteur d’accéder à ces données, sont contraires au droit de l’Union car elles ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante. Bien que la Cour valide la compétence du juge d’instruction en la matière, elle considère en revanche que le procureur de la République, en ce qu’il incarne une autorité de poursuite, ne peut pas ordonner de telles mesures d’investigation.

Par le passé, la Cour de justice de l’Union européenne avait en effet jugé, par un arrêt de sa Grande chambre du 2 mars 2021, H. K. et Prokuratuur, C-746/18, que « l’article 15, paragraphe 1, de la directive 2002/58, telle que modifiée par la directive 2009/136, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale donnant compétence au ministère public, dont la mission est de diriger la procédure d’instruction pénale et d’exercer, le cas échéant, l’action publique lors d’une procédure ultérieure, pour autoriser l’accès d’une autorité publique aux données relatives au trafic et aux données de localisation aux fins d’une instruction pénale. »

La Cour de cassation a toutefois jugé que les éléments de preuve ainsi obtenus ne peuvent être annulés que si une telle irrégularité portait concrètement atteinte aux droits de la personne poursuivie. Cette interprétation permet de limiter les cas dans lesquels la nullité des actes serait encourue et de sauvegarder la plupart des procédures pénales en cours.

Pour lire une version plus complète de cet article sur l’anonymat sur internet, cliquez sur ce lien

Sources :

Sources :

https://books.google.fr/books?id=zSsTBQAAQBAJ&pg=PR18&lpg=PR18&dq=anonymat+sur+internet+mémoire&source=bl&ots=1x_SHNL5q8&sig=YwazYsBgPmSWpV-Tqbi1hwnlvMc&hl=fr&sa=X&ved=0ahUKEwjksqHopafLAhUGVxoKHWTYAggQ6AEIOTAF#v=onepage&q=anonymat%20sur%20internet%20mémoire&f=false
http://www.journaldunet.com/ebusiness/le-net/1169618-vers-un-reglement-europeen-sur-la-protection-des-donnees-qui-vise-les-plateformes-us/
http://www.zdnet.fr/actualites/etat-d-urgence-le-gouvernement-n-interdira-pas-le-wi-fi-public-et-tor-39829552.htm
http://rue89.nouvelobs.com/blog/oh-my-code/2016/03/05/respect-de-la-vie-privee-apple-ou-surveillance-generalisee-fbi-vous-de-choisir-235245

Droit et geolocalisation

La géolocalisation permet de localiser géographiquement un objet ou une personne. Ce procédé offre des possibilités d’actions marketing ciblées très avantageuses pour les entreprises et les utilisateurs. Il permet de cerner la personnalité et les habitudes de chaque individu. Néanmoins, l’exploitation de cette fonctionnalité entraîne, fatalement, une surveillance des déplacements dans le temps et l’espace qui peut nuire à la vie privée des individus.

NOUVEAU : Utilisez nos services pour faire valoir vos droits en droit du travailen passant par le formulaire !

La géolocalisation est une technologie permettant de déterminer, plus ou moins précisément, la localisation d’un objet ou d’une personne par l’intermédiaire d’un système GPS ou d’un téléphone mobile. Ce service est accompli par un réseau de télécommunication.

Avec le développement des nouvelles technologies, la majorité des applications installées sur nos smartphones offre des fonctions de partage de localisation. La géolocalisation est un outil utile lorsqu’elle est utilisée de manière bienveillante. On la retrouve en particulier dans le transport (par exemple de suivre un chauffeur VTC, trouver une trottinette électrique), dans la livraison (suivre la progression d’une livraison en cours), pour assurer la sécurité des biens (pour retrouver sa voiture ou son smartphone par exemple) ou encore dans le sport (certaines applications sportives proposent de retracer l’itinéraire de l’utilisateur lors d’un footing ou d’une randonnée). Bien que ces technologies soient utiles, elles récupèrent des données à caractère personnel qui peuvent comprendre des risques pour notre vie privée.

Selon l’article 4 du Règlement européen sur la protection des données, une donnée est personnelle dès lors qu’elle permet d’identifier directement ou indirectement un individu personne physique.

La personne est identifiée directement lorsque son nom apparaît dans un fichier et, indirectement lorsque le fichier comporte des informations l’identifiant (adresse IP, numéro de téléphone…).

Lorsqu’elles sont utilisées et permettent la mise en place de service, il s’agit d’un traitement qui est strictement encadré par la loi.

Selon le même article,  » Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction « .

I/ Le droit et  la géolocalisation


Besoin de l’aide d’un avocat pour un problème de droit  du travail ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien


Le RGPD énonce en son chapitre II un certain nombre de principes qui régissent la mise en place d’un traitement de données. Certaines de ces obligations incombent aux sociétés exploitantes ou utilisant un service de géolocalisation dans la mesure où cela entraîne un traitement de données personnelles et une possible atteinte à la vie privée des utilisateurs.

 » Le traitement doit avoir un objectif précis et les données récoltées doivent être en concordance avec cet objectif. Cette finalité ne doit pas être détournée, les données doivent toujours être exploitées dans le même but.

 » L’utilisateur doit donner son autorisation avant toute collecte de donnée de localisation.
La localisation peut être ponctuelle ou continue. Lorsqu’elle est ponctuelle, la collecte d’information est limitée dans le temps et l’espace (météo ou trafic routier). Ainsi, la simple demande, par l’utilisateur, d’accéder à un tel service est considérée comme une manifestation de son consentement.
Lorsque la localisation est continue, l’utilisateur doit avoir la possibilité de l’utiliser, ou non, à chaque fois qu’il le souhaite, par l’intermédiaire d’une inscription (bouton, case à cocher).

 » Une information précise de la nature du traitement des données doit être apportée aux utilisateurs (type de donnée, durée de conservation, finalité et droits relatifs à ces données).

 » Les données personnelles doivent être soumises à des mesures de sécurité adaptées aux risques amenés par le traitement. Dès lors, les responsables du traitement mettre en place une sécurité à la fois physique et logique.

 » Les données collectées doivent, nécessairement, jouir d’une date de péremption. Les responsables ont l’obligation de fixer une durée raisonnable de conservation. Le caractère raisonnable s’apprécie en fonction de l’objectif du service et à la durée nécessaire à sa fourniture. Une fois le service fourni, une conservation est possible lorsque les données sont indispensables à la facturation et au paiement des frais d’interconnexion. Si ces données donnent lieux à la conservation d’un historique, elles doivent être rendues anonymes.

En outre, la géolocalisation peut également toucher la vie privée des salariés. L’entrée en vigueur du Règlement général sur la protection des données (RGPD) a exempté l’employeur de l’obligation de déclaration à la CNIL des systèmes de géolocalisation de véhicules professionnels. Toutefois, l’employeur reste tenu d’une obligation d’information de ses salariés de l’existence du dispositif en question et des droits qui peuvent en découler. Il doit, éventuellement, informer et consulter le Comité social et économique au préalable à la mise en place de ce dispositif

L’article L1121-1 du Code du travail dispose que : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » (1)

Le Conseil d’État avait énoncé, dans un arrêt rendu le 15 décembre 2017, qu’« il résulte de [l’article L. 1121-1 du Code du travail] que l’utilisation par un employeur d’un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être regardés comme excessifs au sens du 3° de l’article 6 de la loi du 6 janvier 1978 précité. » (2)

À cet effet, la Cour de cassation s’est alignée sur cette jurisprudence du Conseil d’État. En effet, dans un arrêt de la chambre sociale du 19 décembre 2018, la Cour de cassation a également illustré le contrôle mis en place en vertu de l’article L1121-1 du Code de travail.

En l’espèce, la question se posait autour de la licéité d’un dispositif de géolocalisation mis en place par une société spécialisée dans la distribution de publicités ciblées afin de localiser les salariés chargés de la distribution et de contrôler ainsi leur durée de travail.

La Cour de cassation s’est prononcée en considérant que ce système de géolocalisation est disproportionné quant au but recherché, et ce, sur le fondement de l’article L1121-1 du Code de travail. Les juges de cassation se fondent sur deux raisons principales à savoir que, ce système n’est licite « que lorsque ce contrôle ne peut pas être fait par un autre moyen fût-il moins efficace que la géolocalisation » et que l’usage de ce dernier « n’est pas justifié lorsque le salarié dispose d’une liberté dans l’organisation de son travail ». (3)

Une autre fonction rendue possible par la géolocalisation a fait l’objet d’un avis de la CNIL. Il s’agit du marketing ciblé qui transforme le terminal mobile de l’utilisateur en un support de message publicitaire.
Selon la CNIL  » le marketing ciblé basé sur de la géolocalisation n’est pas interdit « , néanmoins les usagers doivent souscrire à des services de géolocalisation et être informés de la possibilité de s’y opposer.

II/ Le rôle particulier de la CNIL et ses pouvoirs

La CNIL est une autorité indépendante créée par la loi du 06 Janvier 1978 « Informatique et libertés ». Elle à ce titre chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Elle exerce ses missions conformément à la loi no 78-17 du 6 janvier 1978 modifiée notamment en 2004 et en 2019.

Le développement généralisé de la géolocalisation amène la commission à être vigilante et à multiplier les opérations de sensibilisation à l’attention de l’ensemble des citoyens et sociétés.
Elle émets de nombreux avis sur de nouveaux dispositifs de géolocalisation, jugés trop intrusifs (Google Latitude, Facebook Lieux).

À travers ses contrôles, la CNIL peut infliger des sanctions en cas de non-respect des obligations légales.
Les contrôles ont été renforcés ces dernières années au sein des entreprises proposant des services de géolocalisation. La CNIL peut effectuer ses contrôles directement dans les locaux des entreprises et demander la communication de tout document permettant l’accès aux programmes informatiques et aux données afin de vérifier la licéité et la conformité des traitements effectués.

Lorsqu’une entrave à la loi est constatée, la CNIL peut prononcer des sanctions pécuniaires pouvant s’élever jusqu’à un montant maximum de 150 000€ et 300 000 en cas de récidive. De surcroît, des injonctions de cesser le traitement illicite peuvent être déclarées.
Les manquements à la loi  » Informatique et Libertés  » sont punis de 5 ans d’emprisonnement et de 300 000€ d’amende.

En 2011, la commission s’est attaquée à Google et à ses services Street View et Latitute. L’entreprise a été condamnée à 100 00€ d’amende. Les voitures de Street View et Latitude collectaient, en plus des photos, les réseaux Wifi ouverts et de ce fait une grande quantité de données privées.

Depuis le 25 mai 2018, la formation restreinte de la CNIL peut prononcer des sanctions à l’égard d’organismes qui ne respectent pas le règlement général sur la protection des données (RGPD) de l’Union européenne jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires mondial.

S’agissant de la mise en œuvre d’un dispositif de géolocalisation des salariés, la CNIL apporte sur des éclaircissements quant à la licéité de cette pratique. En effet, cette dernière liste les utilisations permises et les utilisations proscrites.

Ainsi, il est permis à titre d’exemple de recourir à ce dispositif afin d’assurer le suivi d’une prestation, d’assurer la sécurité ou la sûreté du salarié et/ou des marchandises, de veiller à une allocation optimale des moyens mis à disposition pour l’exécution de la prestation et de veiller au respect des règles d’utilisation du véhicule.

Toutefois, le dispositif de géolocalisation ne peut avoir pour finalité de contrôler le respect des limitations de vitesse, de contrôler l’employé en permanence, de surveiller les déplacements du salarié en dehors de son temps de travail ou encore de contrôler les déplacements des représentants du personnel. (4)

Le rôle de la CNIL s’avère de plus en plus fondamental face à la multiplication et la banalisation de ces technologies. Un simple défaut de paramétrage, où en cas de piratage d’un téléphone, une surveillance constante des utilisateurs peut s’instaurer.

III. Illustration récente

En 2020, la CNIL a pour partie axé son action de contrôle sur plusieurs thématiques prioritaires en lien avec les préoccupations quotidiennes des Français dont la géolocalisation pour les services de proximité.

Dans une délibération rendue le 16 mars 2023 par la formation restreinte de la CNIL, une sanction de 125 000 euros a été prononcée à l’encontre de la société CITYSCOOT pour avoir notamment porté une atteinte disproportionnée à la vie privée de ses clients en les géolocalisant de manière quasi permanente. Cette décision a été prise en coopération avec les autorités de protection des données espagnole et italienne dans la mesure où la société propose aussi ces services dans ces pays.

Depuis 2016, la société propose un service de location de scooters électriques en libre-service accessible à partir de son application mobile. Les scooters ne sont pas stationnés dans des espaces précis et peuvent être laissés, après utilisation, dans la zone de location identifiée dans l’application. Les véhicules sont équipés d’un dispositif de localisation embarqué qui permet à CITYSCOOT et aux utilisateurs, via leur application mobile, de connaître la position des scooters. La location d’un scooter électrique auprès de la société suppose la création d’un compte à partir de l’application mobile. Il s’agit d’un service sans engagement qui est facturé à la minute.

Un contrôle en ligne a été effectué sur le site web  » cityscoot.eu  » et l’application mobile  » CITYSCOOT « , le 13 mai 2020.  La délégation de la CNIL s’est notamment attachée à vérifier les données collectées et les finalités de la collecte. Ce contrôle avait également pour but de vérifier l’encadrement de la sous-traitance et la sécurité des données.

A l’occasion de ce contrôle, la CNIL s’est aperçue qu’au cours de la location d’un scooter par un particulier, la société collectait des données relatives à la géolocalisation du véhicule toutes les 30 secondes lorsque le CITYSCOOT est actif et que son tableau de bord est allumé, qu’il soit en déplacement ou prêt à rouler. Lorsque le CITYSCOOT est inactif, le boîtier collecte des données de position toutes les 15 minutes. En outre, la société conservait l’historique de ces trajets durant douze mois en base active, puis douze mois en archivage intermédiaire avant d’être anonymisées.

La société justifie la collecte des données de position des scooters au regard de diverses finalités telles que le traitement des infractions au code de la route, le traitement des réclamations clients, le support aux utilisateurs (afin d’appeler les secours en cas de chute d’un utilisateur), ou encore la gestion des sinistres et des vols. Or selon la CNIL, aucune des finalités avancées par la société ne justifie une collecte quasi permanente des données de géolocalisation au cours de la location d’un scooter.
Elle relève un premier manquement à l’article 5 du RGPD qui instaure l’obligation de veiller à la minimisation des données.

Elle a également pu constater que la société fait appel à quinze sous-traitants ayant un accès ou hébergeant des données à caractère personnel. Sur ces quinze contrats, elle considère que les contrats avec les sociétés ne contiennent pas toutes les mentions prévues par le RGPD. D’une part, certains d’entre eux ne mentionnent pas les dispositions relatives aux procédures de suppression ou de renvoi des données à caractère personnel du sous-traitant au responsable de traitement à échéance du contrat. D’autre part, certains ne mentionnent ni l’objet du traitement, ni sa durée.

Elle constate donc un second manquement à l’obligation d’encadrer les traitements faits par un sous-traitant par contrat (article 28 du RGPD).

Pour finir, elle souligne également un manquement à l’obligation d’informer l’utilisateur et d’obtenir son consentement avant d’inscrire et de lire des informations sur son équipement personnel (article 82 de la LIL).

Comme le rappelle la CNIL « Le montant de la sanction tient compte du chiffre d’affaires de la société, de la gravité des manquements constatés mais également des mesures prises par la société pour y remédier lors de la procédure. »

Pour lire une version plus complète de cet article sur la géolocalisation, cliquez

Sources :