Enquêtes déplacements et géolocalisation : le piège RGPD du conseil en mobilité

Le coeur de votre métier consiste à comprendre comment les gens se déplacent. Pour cela, vous collectez des informations en apparence anodines : adresse de domicile, lieu de travail, horaires, modes de transport utilisés, parfois des traces de géolocalisation issues d'applications ou de boîtiers embarqués. Mises bout à bout, ces données dessinent le portrait précis du quotidien d'une personne.

Or le RGPD protège ces informations dès lors qu'elles permettent d'identifier directement ou indirectement une personne physique. L'adresse domicile-travail croisée avec des horaires et un mode de déplacement constitue une donnée personnelle à part entière. Et la géolocalisation, parce qu'elle révèle les déplacements, les lieux fréquentés et potentiellement des informations sur la vie privée, fait l'objet d'une vigilance renforcée de la CNIL.

Le risque pour vous n'est donc pas théorique. Une enquête mobilité mal conçue peut transformer une mission de conseil vertueuse en traitement de données non conforme, avec des conséquences pour votre client employeur et pour vous-même en tant que prestataire.

Le RGPD distingue deux rôles essentiels. Le responsable de traitement détermine les finalités et les moyens du traitement ; le sous-traitant agit pour le compte et sur instruction du responsable. Dans une mission de conseil en mobilité, votre client employeur est en général responsable de traitement, et vous intervenez le plus souvent comme sous-traitant.

Ce statut n'est pas une formalité. Il impose un contrat de sous-traitance conforme à l'article 28 du RGPD, qui encadre la finalité, la durée, les mesures de sécurité et le sort des données en fin de mission. Il vous oblige aussi à ne traiter les données que sur instruction documentée et à garantir la confidentialité.

• Pas de réutilisation détournée : les données collectées pour un diagnostic mobilité ne peuvent pas servir à autre chose sans nouvelle base légale.
• Sécurité des supports : fichiers d'enquête, exports, traces de géolocalisation doivent être protégés et chiffrés.
• Restitution ou suppression : à la fin de la mission, les données doivent être rendues ou détruites selon les instructions.

Manquer à ces obligations vous expose directement, en tant que sous-traitant, à la responsabilité prévue par le RGPD, et pas seulement votre client.

Dans la pratique, les difficultés se concentrent sur quelques points récurrents qu'il vaut mieux connaître avant de lancer une enquête.

1. L'anonymisation en trompe-l'oeil. Retirer le nom d'un fichier ne suffit pas. Le croisement de l'adresse, du service et des horaires peut permettre de réidentifier un salarié dans une petite entreprise. Une véritable anonymisation, ou à défaut une pseudonymisation rigoureuse, est indispensable.

2. La finalité qui déborde. Une enquête déplacements sert à dimensionner un plan de mobilité, pas à évaluer l'assiduité ou le temps de trajet des salariés. Utiliser ces données pour un autre objectif, même à la demande du client, vous expose, car vous avez l'obligation d'alerter sur un usage non conforme.

3. La géolocalisation excessive. Le suivi des déplacements via GPS est l'un des traitements les plus surveillés par la CNIL. Il doit être proportionné, transparent pour les personnes et limité dans le temps. Un dispositif disproportionné est une faute caractérisée.

En tant que conseil, votre devoir d'alerte sur la conformité du traitement fait partie intégrante de votre prestation. Le silence sur un risque RGPD peut être qualifié de manquement.

Le risque se matérialise sous deux formes très différentes. La première est la sanction administrative : en cas de traitement non conforme, la CNIL peut prononcer des amendes significatives à l'encontre du responsable de traitement, mais aussi engager la responsabilité du sous-traitant pour ses propres manquements.

La seconde, souvent sous-estimée, est la violation de données. Un fichier d'enquête mobilité contenant les adresses et habitudes de centaines de salariés constitue une cible. Une fuite, un vol d'ordinateur, un rançongiciel ou un envoi erroné déclenche une obligation de notification, une gestion de crise et potentiellement une mise en cause par les personnes concernées.

C'est là que les deux assurances se complètent. Votre RC Professionnelle couvre la faute de conseil (par exemple un défaut d'alerte sur la non-conformité). Mais elle n'est pas conçue pour gérer une violation de données : c'est le rôle d'une assurance cyber, qui prend en charge les frais de notification, l'expertise technique, la gestion de crise et la défense face aux réclamations.

Concilier qualité du diagnostic et conformité RGPD est parfaitement possible. Quelques principes structurent une démarche maîtrisée.

1. Minimisez la collecte. Ne demandez que les données strictement nécessaires au diagnostic. Une adresse à la maille du quartier suffit souvent là où l'adresse exacte n'apporte rien.
2. Anonymisez dès que possible. Travaillez sur des données agrégées plutôt que nominatives chaque fois que la finalité le permet.
3. Contractualisez votre rôle de sous-traitant. Un contrat conforme à l'article 28 clarifie vos obligations et protège la relation avec votre client.
4. Sécurisez vos supports. Chiffrement, accès restreints et suppression en fin de mission limitent le risque de fuite.
5. Doublez votre RC Pro d'une garantie cyber. Pour un conseil en mobilité qui manipule des données personnelles à grande échelle, c'est la couverture qui transforme une crise majeure en incident gérable.

La donnée est devenue la matière première de votre métier. La traiter avec rigueur, et l'assurer correctement, fait désormais partie intégrante de votre professionnalisme.