Une course transmise entre chauffeurs peut contenir un nom, un téléphone, deux adresses, un horaire, un vol, une préférence, une demande d’accessibilité et parfois des informations beaucoup plus sensibles. Une charte de confidentialité ne doit pas se limiter à « ne pas divulguer ». Elle doit décrire qui décide, quelles données circulent, par quel canal, pendant combien de temps, qui répond au passager et que faire en cas d’erreur.
La charte complète le contrat ; elle ne le remplace pas. Elle devient réellement utile lorsqu’elle peut être appliquée en quelques secondes au moment d’affecter une course, de changer de chauffeur, de traiter une réclamation ou de retirer un membre du réseau.
Cartographier le trajet de la donnée avant d’écrire les règles
Dessinez une course réelle :
- le client ou une plateforme envoie la demande ;
- un coordinateur la reçoit ;
- un chauffeur est sélectionné ;
- un canal transmet le brief ;
- une application calcule éventuellement l’itinéraire ou l’heure estimée ;
- le chauffeur contacte le passager ;
- la course est exécutée ;
- preuve, facture, réclamation ou incident sont traités ;
- les copies temporaires sont retirées.
Pour chaque étape, notez l’émetteur, le destinataire, l’outil, les données, le but, la durée et le pays d’hébergement connu. Une charte sans cartographie oublie généralement les sauvegardes de téléphone, les notifications d’écran verrouillé, les exports, les comptes personnels et les sous-traitants de l’application.
Ne pas choisir les rôles RGPD par confort
Le chauffeur exécutant n’est pas automatiquement « sous-traitant » au sens du RGPD parce que la course est sous-traitée commercialement. La CNIL rappelle que la qualification dépend des faits : qui détermine les finalités et les moyens, qui agit pour le compte de qui, qui réutilise les données pour ses propres besoins ? Selon l’organisation, les acteurs peuvent être responsables distincts, responsables conjoints ou responsable et sous-traitant.
| Question | Indice | Document |
|---|---|---|
| Qui décide pourquoi le passager est contacté ? | Finalité de coordination | Commande et information |
| Qui choisit les données transmises ? | Moyens essentiels | Modèle de brief |
| Le chauffeur suit-il des instructions documentées ? | Traitement pour compte | Contrat et consignes |
| Conserve-t-il pour sa propre facture ou défense ? | Finalité propre possible | Registre et durée |
| Prospecte-t-il ensuite le passager ? | Réutilisation distincte | Interdiction ou base séparée |
Si un chauffeur est sous-traitant, un contrat ou acte juridique conforme à l’article 28 est nécessaire, avec objet, durée, nature, finalité, données, personnes, sécurité, assistance, sous-traitants ultérieurs et fin de prestation. Une signature sous une charte vague ne suffit pas.
Définir une fiche de flux par scénario
| Scénario | Données typiquement utiles | Données à écarter par défaut |
|---|---|---|
| Course simple | Référence, heure, points, contact opérationnel, voyageurs | Historique client, carte bancaire, commentaires personnels |
| Aéroport | Vol, terminal, bagages, règle de rencontre | Copie du billet ou passeport complet |
| Entreprise | Centre de coûts ou commande si nécessaire | Objet confidentiel du rendez-vous |
| Accessibilité | Besoin fonctionnel, dimensions du matériel | Diagnostic et dossier médical |
| Mineur | Instructions et contacts autorisés | Diffusion large de l’identité |
| Incident | Faits, heure, personnes habilitées | Rumeur, photo publique, qualification médicale |
« Minimum » ne signifie pas la même liste pour toutes les courses. La destination peut être indispensable à l’exécutant ; elle ne l’est pas nécessairement à chaque chauffeur consulté avant attribution. Transmettez d’abord une offre minimisée, puis le brief opérationnel au seul chauffeur retenu.
Organiser la transmission en deux temps
Étape 1 — recherche de disponibilité :
Course disponible [date/heure], zone de départ [commune ou secteur], destination [secteur], [nombre] voyageurs, véhicule [catégorie], besoin [fonctionnel sans identité], prix et réponse avant [heure].
Étape 2 — après acceptation et contrôle :
Référence [code], prise en charge [adresse et point], destination [adresse], horaire [fuseau], contact opérationnel [prénom/téléphone], voyageurs [nombre], bagages [faits utiles], consigne [rencontre], coordinateur [contact]. Données à utiliser pour cette mission uniquement selon le rôle et les instructions convenus.
Ne diffusez pas l’identité et l’itinéraire complet à dix chauffeurs pour en trouver un disponible. Le guide Course transmise à la dernière minute aide à garder les contrôles même sous pression.
Interdire les commentaires subjectifs et discriminatoires
La charte doit distinguer :
- consigne opérationnelle : « deux valises cabine » ;
- préférence exprimée : « souhaite une température modérée » ;
- fait d’incident : « le passager a contesté le prix à 22:14 » ;
- jugement à exclure : « client compliqué », « mauvais payeur » sans dossier, commentaire sur origine, religion, santé ou apparence.
Un champ libre devient vite un fichier de réputation caché. Remplacez-le par des catégories limitées, une source, une date de révision et une voie de contestation. Les faits d’incident détaillés restent dans un dossier habilité, pas dans le brief de chaque nouvelle course.
Traiter les données de santé avec une vigilance renforcée
Un handicap, une maladie, un traitement ou une prise en charge dans un service spécialisé peuvent constituer des données de santé. Pour transporter correctement, le chauffeur a généralement besoin du besoin fonctionnel :
- fauteuil pliable ou non ;
- dimensions du matériel ;
- transfert vers le siège possible ou non ;
- temps supplémentaire ;
- accompagnant ou chien d’assistance ;
- lieu et entrée.
Il n’a pas besoin du diagnostic, de l’ordonnance ou du compte rendu. La charte doit interdire la capture de documents médicaux et prévoir un circuit distinct lorsque la gestion d’un incident rend une information sensible réellement nécessaire.
Choisir un canal par usage
| Usage | Canal attendu | Interdit |
|---|---|---|
| Recherche de chauffeur | Groupe avec offre minimisée | Nom, téléphone et adresses complètes |
| Brief au chauffeur retenu | Espace nominatif ou échange direct contrôlé | Lien public sans expiration |
| Pièce de facturation | Outil comptable habilité | Galerie photo ou messagerie générale |
| Incident | Dossier restreint | Discussion collective |
| Demande de droit | Point de contact désigné | Réponse improvisée par chaque membre |
Évaluez chiffrement, contrôle des membres, authentification, appareils liés, export, sauvegarde, hébergement, sous-traitants et suppression. « Message chiffré » ne résout pas l’écran déverrouillé, la copie locale, le compte partagé ou l’ancien membre toujours présent.
Sécuriser les téléphones et comptes des chauffeurs
La charte impose au minimum :
- code ou authentification forte de l’appareil ;
- verrouillage automatique court ;
- contenu des notifications masqué ;
- compte individuel, jamais partagé ;
- MFA lorsque disponible ;
- système et application maintenus ;
- aucune exportation vers les contacts personnels sans besoin ;
- sauvegardes et appareils liés connus ;
- signalement immédiat de perte ou changement de numéro ;
- effacement à distance préparé sur le matériel géré.
Si l’appareil reste personnel, contractualisez les exigences minimales et séparez autant que possible l’espace professionnel. N’imposez pas une capacité d’effacement total de l’appareil privé sans base, transparence et mécanisme appropriés.
Définir une conservation par finalité, pas une suppression magique
L’article initial promettait la suppression dès la course et la facturation terminées. Cette règle est trop absolue. Plusieurs durées peuvent coexister :
- copie de coordination : très courte, retirée après la mission et les contrôles ;
- preuve de réservation : selon le texte et le besoin applicable ;
- facture et comptabilité : conservation légale, avec données limitées ;
- réclamation ou sinistre : durée liée au dossier et aux délais ;
- prospection : finalité et règles distinctes ;
- journal de sécurité : durée documentée et accès restreint.
La fin de la course ne supprime pas les obligations comptables ou contentieuses ; leur existence ne justifie pas de garder toutes les copies opérationnelles. Définissez pour chaque système la donnée maîtresse, la durée, le déclencheur, l’archive, le gel ciblé et la destruction.
Empêcher la réutilisation commerciale silencieuse
Le chauffeur qui reçoit un numéro pour exécuter une course ne doit pas l’ajouter à sa clientèle, à une liste de diffusion ou à un programme de fidélité sans cadre distinct. La charte précise :
- pas de prospection issue du brief ;
- pas de copie dans le carnet d’adresses personnel ;
- pas de sollicitation directe pour contourner le donneur d’ordre ;
- pas d’entraînement d’outil ou d’IA sur les conversations ;
- pas de réutilisation statistique nominative non prévue.
Si un passager souhaite devenir client direct, traitez cette relation via un nouveau parcours d’information et le cadre commercial du réseau. Le guide Client qui contacte directement le sous-traitant permet de séparer initiative du client, données et règles commerciales.
Encadrer les sous-traitants techniques
La chaîne comprend parfois centrale, logiciel de réservation, cartographie, messagerie, hébergeur, paiement, facturation et support. Pour chaque outil :
- identifier l’entité contractante ;
- qualifier son rôle réel ;
- lire finalités propres et réutilisations ;
- obtenir mesures de sécurité ;
- connaître les sous-traitants ultérieurs ;
- examiner transferts hors EEE ;
- définir assistance aux droits et violations ;
- tester export, restitution et suppression.
La CNIL précise qu’un responsable ne se décharge pas de ses obligations en acceptant les conditions standard d’un grand fournisseur. Une application gratuite n’est pas sans contrat ni finalité.
Organiser les demandes de droits
La charte désigne un point de contact et un mécanisme de transfert. À réception :
- enregistrer la date et la demande ;
- vérifier l’identité de manière proportionnée en cas de doute ;
- déterminer quel acteur doit répondre ;
- rechercher dans les systèmes et chez les prestataires concernés ;
- protéger les droits des tiers ;
- répondre ou expliquer la prolongation dans les délais applicables ;
- tracer la décision.
La CNIL rappelle un mois maximum pour une demande simple, avec prolongation possible de deux mois selon complexité et nombre à condition d’informer dans le premier mois. Le droit à l’effacement n’est pas absolu : vérifiez obligations légales, défense de droits et autres exceptions avant suppression.
Traiter toute fuite comme un incident, pas comme une faute à cacher
Exemples :
- brief envoyé au mauvais chauffeur ;
- capture publiée dans le groupe ;
- téléphone perdu ;
- ancien membre toujours connecté ;
- lien de suivi public ;
- export de courses partagé sans mot de passe ;
- application compromise ;
- passager recevant les données d’un autre.
La procédure :
- contenir : retirer, révoquer, verrouiller ;
- préserver les traces nécessaires ;
- alerter immédiatement le point de contact ;
- identifier données, personnes, destinataires et durée d’exposition ;
- évaluer les risques pour les personnes ;
- documenter dans tous les cas ;
- notifier si les critères sont réunis ;
- corriger et vérifier.
Une notification à la CNIL n’est pas automatique pour toute erreur. Lorsqu’une violation présente un risque pour les droits et libertés, le responsable notifie dans les meilleurs délais et si possible sous 72 heures ; en cas de risque élevé, l’information des personnes peut aussi être requise. Le sous-traitant doit alerter le responsable sans délai injustifié selon le contrat.
Prévoir entrée, suspension et sortie d’un membre
À l’entrée : identité vérifiée, rôle, outils, formation, exercice fictif, accusé de charte et contact incident.
En suspension : arrêt des nouvelles transmissions, révocation ciblée des accès, conservation des preuves nécessaires, information des coordinateurs.
À la sortie : retrait des groupes, comptes, appareils liés, clés, exports et listes ; restitution ou suppression selon rôle et contrat ; attestation ciblée ; maintien des seules données justifiées ; test qu’aucune nouvelle course n’arrive.
Reliez ces étapes à la vérification d’un partenaire VTC et au futur guide sur la sortie du réseau. La confidentialité commence avant la première donnée et continue après la dernière course.
Tester la charte avec six exercices
- course aéroport réaffectée deux fois ;
- passager en fauteuil avec besoin fonctionnel ;
- téléphone chauffeur perdu avant la prise en charge ;
- demande d’accès portant sur une course ancienne ;
- capture envoyée au mauvais groupe ;
- chauffeur quittant le réseau avec deux missions en litige.
Pour chaque scénario, mesurez qui agit, en combien de temps, avec quel accès et quelle preuve. Une charte lisible mais impossible à exécuter doit être corrigée.
Structure de charte en douze clauses
- objet et périmètre ;
- acteurs et qualifications fondées sur les faits ;
- finalités autorisées ;
- catégories de données par scénario ;
- transmission en deux temps ;
- canaux et appareils ;
- prestataires et transferts ;
- durées, gel, restitution et suppression ;
- demandes de droits ;
- violations et escalade ;
- contrôle, formation et audit ;
- entrée, suspension et sortie.
Checklist avant chaque transmission
- chauffeur réellement pressenti ou retenu ;
- identité vérifiée ;
- rôle et instructions connus ;
- offre minimisée avant acceptation ;
- brief complet seulement après attribution ;
- aucune donnée de paiement ;
- besoin fonctionnel sans diagnostic ;
- aucun commentaire subjectif ;
- canal nominatif et contrôlé ;
- notification d’écran masquée ;
- durée de la copie temporaire connue ;
- contact droits et incident disponible ;
- réutilisation commerciale interdite ;
- réaffectation révoquant l’ancien accès ;
- fin de mission déclenchant la clôture.
Complétez cette checklist avec Course transférée : quelles informations transmettre. Le but n’est pas d’empêcher le service, mais de faire parvenir la bonne consigne à la bonne personne pendant la bonne durée.
Sources officielles
- CNIL : identifier responsable, sous-traitant ou responsables conjoints
- CNIL : sous-traitance et réutilisation des données
- CNIL : six bonnes pratiques responsable et sous-traitant
- CNIL : sécurité de la sous-traitance
- CNIL : minimiser les données collectées
- CNIL : définition des données de santé
- CNIL : répondre à une demande de droit d’accès
- CNIL : règles applicables aux violations de données
- CNIL : guide de la sécurité des données personnelles
- Ministère des Transports : réglementation VTC et centrales de réservation
Sources consultées le 6 septembre 2026. La qualification RGPD dépend des faits et non du titre commercial de « sous-traitant ». Adaptez les clauses, bases légales, durées, transferts et réponses aux droits à l’organisation réelle du réseau.