La CNIL vient de condamner CITYSCOOT à une amende de 125.000 euros pour violation de données personnelles. Le prestataire de scooter en libre service utilisait un dispositif de géolocalisation sans respecter le principe de minimisation, qui impose notamment de supprimer les données personnelles lorsqu’elles ne sont plus nécessaires.
Violation de l’obligation d’informer l’utilisateur et d’obtenir son consentement avant d’inscrire et de consulter des informations sur un terminal personnel
Dans sa délibération de la formation restreinte du 16 mars 2023, la CNIL a condamné CITYSCOOT à une amende de 125 000 € pour atteinte à la vie privée de ses clients. En effet, CITYSCOOT avait recours à une géolocalisation illégale, excessive et de manière quasi permanente de ses utilisateurs.
L’activité de CITYSCOOT est la location de scooters de courte durée. Les contrôles réalisés par la CNIL portaient entre autres sur les données collectées lors de ces locations. Ils s’assuraient aussi que l’utilisateur était informé et consentait préalablement à l’inscription et à la lecture des informations sur leurs appareils.
Au cours de l’enquête, la CNIL a découvert que l’entreprise collectait des données sur la localisation des véhicules toutes les 30 secondes lors de la location par des particuliers. De plus, la société conservait un historique de ces déplacements. Sur la base de ces constatations, la formation restreinte a condamné CITYSCOOT à une amende de 125 000 €.
Violation des obligations de minimisation des données
L’entreprise collectait des données de géolocalisation de véhicules pour diverses raisons.
- Traiter les infractions au code de la route ;
- Traiter les réclamations clientes ;
- Permettre une assistance à l’utilisateur (pour appeler les secours en cas d’accident de l’utilisateur) ;
- Gestion des dégradations et vols.
Après analyse de l’utilisation des données de localisation par CITYSCOOT au regard de ces objectifs, la CNIL a estimé qu’aucune de ces finalités ne justifiait la collecte des données détaillées de localisation par l’entreprise.
En fait, de telles pratiques violent la vie privée des utilisateurs car elles divulguent leurs mouvements, leur localisation et même leurs escales pendant leur voyage.
L’entreprise peut offrir le même service sans identifier l’emplacement du client de manière quasi permanente. De ce fait, CITYSCOOT viole le principe de minimisation des données.
Les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5, paragraphe 1, point c) du RGPD).
Violation de l’obligation contractuelle de réglementer le traitement par des sous-traitants
La CNIL a constaté que trois contrats signés avec des sous-traitants de CITYSCOOT ne contenaient pas toutes les informations requises par le RGPD dans son article 28, paragraphe 3. En effet, ces contrats doivent contenir des clauses minimales. Parmi elles, les données collectées, les mesures de sécurité prises et le sort des données à la résiliation du contrat.
Violation de l’obligation d’informer l’utilisateur et d’obtenir son consentement avant d’inscrire et de consulter des informations sur un terminal personnel (article 82 de la loi Informatique et Libertés)
CITYSCOOT utilisait le mécanisme reCAPTCHA fourni par GOOGLE, tant lors de la création d’un compte sur l’application mobile que lors des procédures de connexion et d’oubli du mot de passe. Ce mécanisme gère les collections d’informations matérielles et logicielles (telles que les données des appareils et d’application).
Les données collectées étaient ensuite envoyées à GOOGLE pour analyse. Cependant, la société ne fournissait pas d’informations aux utilisateurs et ne permettait pas aux utilisateurs d’accéder ou d’écrire des informations stockées sur leurs appareils. Aucun consentement préalable n’était obtenu.
***
Deshoulières Avocats est un cabinet d’avocats en propriété intellectuelle et nouvelles technologies. Vous pouvez dès à présent demander un devis gratuit ici.
