Dans une récente décision du 18 décembre 2015 (CE, 18 déc. 2015, n° 384794), le Conseil d’Etat a considéré qu’un loueur de véhicules peut être le responsable du dispositif de géolocalisation, même s’il n’est pas propriétaire de l’ensemble des véhicules qui en sont équipés.
En l’espèce, la société LOC CAR DREAM, dont les véhicules sont équipés d’un dispositif de géolocalisation, s’est vue infliger une sanction pécuniaire de 5.000 euros en vertu d’une délibération de la CNIL en date du 22 juillet 2014 (Délibération n° 2014-294).
La CNIL reprochait notamment au loueur de véhicules une l’absence de déclaration préalable du dispositif de géolocalisation. En effet, le loueur de véhicules, destinés à des particuliers, ne pouvait se prévaloir d’un engagement de conformité à la norme simplifiée n°51 (norme simplifiée n° 51) qui ne porte que sur la géolocalisation de véhicules utilisés par des employés.
Devant le Conseil d’Etat, la société LOC CAR DREAM a ensuite soutenu pour sa défense qu’elle ne saurait être regardée comme responsable du traitement contesté au motif « qu’elle ne serait pas propriétaire de l’ensemble des véhicules munis d’un dispositif de géolocalisation et objet du contrôle ».
Pour rappel, l’article 3 de la Loi informatique et libertés du 6 janvier 1978 dispose que le responsable du traitement est « la personne, l’autorité publique, le service ou l’organisme qui détermine ses finalités et ses moyens » (Art. 3 loi n° 78-17 du 6 janvier 1978).
Peu sensible aux arguments de LOC CAR DREAM, le Conseil d’Etat, dans sa décision du 18 décembre 2015, constate d’abord que le contrat de location à l’origine de la plainte reçue par la CNIL a été signé par LOC CAR DREAM. Ensuite, il relève que l’ensemble des données de géolocalisation, centralisées chez un hébergeur, était accessible depuis un seul poste de travail, dont l’épouse du gérant détient le mot de passe. Enfin et surtout, il souligne que l’engagement de conformité de LOC CAR DREAM à la norme simplifiée n°51 de la CNIL n’était pas valable puisque cette norme simplifiée concerne les dispositifs de géolocalisation des véhicules des employés et non des clients.
En conséquence, le Conseil d’Etat a considéré que LOC CAR DREAM doit être regardé comme déterminant les finalités et les moyens du traitement litigieux, et, par voie de conséquence, comme responsable du traitement du dispositif de géolocalisation
Cette décision illustre ainsi l’obligation pour tout responsable de traitement de se livrer à une interprétation stricte de chaque norme simplifiée adoptée par la CNIL, s’il souhaite se dispenser du formalisme de la déclaration préalable dite « normale », généralement requise en matière de traitement de données à caractère personnel.
