En bref
- Réglementation : RGPD.
- Opérateurs de transport, gestionnaires de billettique et fournisseurs de services de mobilité sont responsables de traitement.
- Fonder chaque traitement.
- Minimiser les données.
- Encadrer la géolocalisation.
- Amendes jusqu’à 20 M€ ou 4 % du CA mondial.
Échéances réglementaires
Les dates clés de cette réglementation.
Mai 2018
Entrée en application
En vigueurDe quoi parle RGPD ?
Le RGPD s’applique aux données rattachables à un voyageur : titres nominatifs, position, trajets. La géolocalisation et les historiques de déplacement sont particulièrement sensibles car ils permettent d’inférer domicile, travail et habitudes.
Le principe de minimisation invite à limiter la collecte et la conservation.
Le secteur « Transport & mobilité » est-il concerné ?
Opérateurs de transport, gestionnaires de billettique et fournisseurs de services de mobilité sont responsables de traitement. Les services tiers (via le Data Act) le sont pour leurs propres traitements.
La finalité (titre de transport, lutte contre la fraude, service) détermine base légale et minimisation.
Obligations détaillées
Fonder chaque traitement
Définir une base légale par finalité et informer les voyageurs.
Minimiser les données
Limiter la collecte et la précision des données de déplacement au nécessaire.
Encadrer la géolocalisation
Traiter la localisation avec vigilance : information, contrôle par l’utilisateur.
Maîtriser les durées
Appliquer des durées adaptées aux historiques de déplacement.
Sécuriser
Chiffrement, contrôle d’accès et sécurité des flux.
Sanctions & risques
Amendes jusqu’à 20 M€ ou 4 % du CA mondial. La géolocalisation et le profilage des déplacements attirent l’attention des autorités.
Erreurs fréquentes dans le secteur
- 1Collecte excessive. Conserver des historiques détaillés sans nécessité.
- 2Géolocalisation mal encadrée. Suivre la position sans information adéquate.
- 3Profilage non encadré. Profiler les déplacements sans encadrement.
- 4Conservation excessive. Garder les données au-delà du nécessaire.
Cas pratique
Un réseau conservait indéfiniment les historiques de trajets nominatifs. Après analyse, il définit des durées de conservation, anonymise les données au-delà, informe les voyageurs et encadre l’usage à des fins de fraude.
Feuille de route de mise en conformité
- 1
Cartographier. Recenser billettique, géolocalisation, historiques.
- 2
Qualifier. Vérifier bases légales et minimisation.
- 3
Encadrer. Définir information et contrôle utilisateur.
- 4
Sécuriser. Renforcer sécurité et durées.
- 5
Documenter. Tenir le registre.
Questions fréquentes
Oui : titres nominatifs, géolocalisation et historiques sont des données personnelles.
Passez à l'action sur RGPD
Diagnostic gratuit ou échange avec un expert dédié aux transport & mobilité.
Ils nous font déjà confiance
Découvrez comment des organisations du secteur transport & mobilité ont sécurisé leur conformité avec DCO.