La CNIL a condamné la société Cityscoot à une amende de 125 000 euros pour avoir géolocalisé de manière quasi permanente ses clients, sans leur consentement préalable.
La CNIL a relevé que Cityscoot collectait les données de géolocalisation des scooters de ses clients, y compris lorsque ces derniers n’étaient pas en cours de location. Ces données étaient conservées pendant une période de 18 mois.
La CNIL a estimé que cette pratique portait une atteinte disproportionnée à la vie privée des clients de Cityscoot. L’autorité a également relevé que la société n’avait pas mis en place de mesures de sécurité suffisantes pour protéger ces données.
Cityscoot a pris des mesures correctives depuis la mise en demeure de la CNIL. L’entreprise a notamment mis en place un système de géolocalisation qui ne collecte les données que lorsque les scooters sont en cours de location. Les données sont également conservées pendant une période de 7 jours maximum.
Voici les manquements spécifiques relevés par la CNIL :
- Géolocalisation des scooters de manière quasi permanente, sans consentement préalable des clients,
- Conservation des données de géolocalisation pendant une période de 18 mois,
- Absence de mesures de sécurité suffisantes pour protéger les données de géolocalisation.
Cette sanction est une mise en garde pour les entreprises qui collectent des données de géolocalisation. Les entreprises doivent s’assurer que la collecte de ces données est justifiée par une finalité légitime et que les données sont traitées de manière transparente et sécurisée.
La sanction infligée à Cityscoot par la CNIL est un exemple de la nécessité de respecter le RGPD (Règlement Général sur la Protection des Données) en matière de géolocalisation des clients, et comment la plateforme Data Comply One (ex Mission RGPD) aurait pu contribuer à éviter ces sanctions en fournissant des solutions spécifiques à chaque manquement.
Source du contrôle
La CNIL a choisi de contrôler les applications mobiles, une thématique prioritaire. Chaque année, la CNIL cible 3 sujets liés aux données personnelles.
Type de contrôle
Les manquements spécifiques relevés par la CNIL
Article 5.1.c RGPD – Minimisation de la collecte : La collecte des données de géolocalisation était injustifiée, et elle aurait pu être évitée tout en fournissant le même service aux utilisateurs. La collecte de ces données était donc excessive.
Article 28.3 RGPD – Encadrement des relations avec les sous-traitants : Trois contrats avec des sous-traitants ne contenaient pas les mentions RGPD requises.
Article 82 LIL – Information des utilisateurs : Cityscoot utilisait reCAPTCHA (Google) sans informer préalablement les utilisateurs ni obtenir leur consentement pour collecter des informations stockées sur leurs équipements ou y inscrire des informations.
Comment Data Comply One (ex Mission RGPD) aurait pu éviter ces sanctions
- Article 5.1.c RGPD – Minimisation de la collecte : Avec Data Comply One (ex Mission RGPD), Cityscoot aurait pu documenter dans le registre des finalités, effectuer une analyse automatique des risques associés au traitement des données, et utiliser les analyses d’impact intégrées pour évaluer la pertinence de la collecte de données.
- Article 28.3 RGPD – Encadrement des relations avec les sous-traitants : La plateforme Data Comply One (ex Mission RGPD) propose un audit de conformité des sous-traitants, ainsi que des modèles de mentions à intégrer dans les contrats (DPA).
- Article 82 LIL – Information des utilisateurs : Avec Data Comply One (ex Mission RGPD), Cityscoot aurait pu utiliser des modèles de mentions d’information pour les formulaires de collecte de données en ligne et mettre en place une politique de confidentialité.
Avec Data Comply One (ex Mission RGPD), CityScoot aurait pu se préparer à un contrôle de la CNIL grâce à une fiche pratique dédiée à ce sujet et à des simulations de contrôles réalisées au cours de l’accompagnement expert.
En résumé, Data Comply One (ex Mission RGPD) est une solution tout-en-un qui regroupe tous les outils nécessaires pour garantir la conformité au RGPD et éviter de telles sanctions.
Grâce à une mise en conformité efficace et un suivi continu, les entreprises peuvent maintenir leur conformité au fil du temps et éviter les erreurs, les failles et les non-conformités. Cela garantit la tranquillité et la sérénité nécessaires pour respecter les règles en constante évolution.
