Partage de position VTC : signal minimal et sécurité

Partager un point sur une carte semble anodin. En pratique, un suivi en temps réel peut révéler le domicile d’un chauffeur, ses pauses, ses lieux fréquentés, l’itinéraire d’un passager ou l’adresse d’un client. La CNIL qualifie les données de localisation de particulièrement intrusives et rappelle qu’elles peuvent dévoiler des habitudes de vie. Le bon réflexe consiste donc à choisir le signal le moins détaillé qui permet encore d’accomplir la mission.

Pour coordonner une relève, une heure d’arrivée estimée peut suffire. Pour confirmer une prise en charge, des statuts « chauffeur arrivé » et « passager à bord » peuvent suffire. Pour dépanner un véhicule, la position actuelle peut suffire. Le tracé continu n’est retenu que si ces solutions ne répondent pas au besoin identifié.

Décrire le scénario avant d’ouvrir la carte

Une règle de réseau commence par une fiche d’usage :

événement : relève, approche, retard, panne, incident ou sécurité ;
personne aidée : chauffeur, coordinateur, client ou secours ;
décision permise : partir, attendre, réaffecter, intervenir ou informer ;
signal minimal : statut, heure estimée, point actuel ou position continue ;
début et fin : événements précis, pas « durée de la course » sans définition ;
destinataires : personnes nommées ou rôles limités ;
outil : application, compte, fournisseur et sous-traitants ;
preuve : journal minimal de l’activation et de l’extinction.

« Pour la sécurité » est trop large. Qui agit en cas d’alerte ? Que voit cette personne ? Pendant combien de temps ? Si personne ne surveille ni n’intervient, le partage crée surtout une exposition.

Choisir parmi cinq niveaux de précision

Niveau	Donnée	Usage adapté
0	Aucune localisation	Course confirmée sans besoin de coordination
1	Statut : en route, arrivé, relève faite	Client ou coordinateur qui attend un événement
2	Heure d’arrivée estimée	Informer d’un retard sans afficher le trajet
3	Point ponctuel	Rendez-vous complexe, panne ou relève
4	Suivi temporaire en direct	Coordination justifiée qui nécessite les mouvements

Commencez au niveau 0 et montez seulement jusqu’au niveau qui permet l’action. Ne transformez pas une demande d’ETA en historique de trajet. Un coordinateur qui sait que le chauffeur arrivera à 10 h 08 n’a pas nécessairement besoin de voir chaque rue.

Cartographier les acteurs et leurs responsabilités

Le chauffeur qui utilise une fonction grand public pour son propre compte, le réseau qui impose un outil, le donneur d’ordre qui reçoit la position, l’éditeur de l’application et un fournisseur de cartographie n’ont pas automatiquement le même rôle. Il faut examiner qui décide pourquoi et comment les données sont utilisées.

Acteur	Question	Document
Chauffeur	Déclenche-t-il librement le partage ou exécute-t-il une règle ?	Consigne et écran de contrôle
Réseau ou coordinateur	Définit-il finalité, destinataires, précision et durée ?	Registre et charte
Donneur d’ordre	Reçoit-il un statut, un lien ou un historique ?	Contrat et habilitations
Éditeur	Traite-il seulement pour fournir le service ou aussi pour ses finalités ?	Conditions et politique de confidentialité
OS, cartographie ou SDK	Collecte-t-il une donnée supplémentaire ?	Permissions, destinataires et transferts

Ne recopiez pas le mot « sous-traitant » depuis un modèle. Un fournisseur qui réutilise les positions pour sa publicité, son profilage ou ses propres statistiques peut déterminer une finalité distincte. La qualification dépend des faits et du contrat.

Choisir une base légale adaptée

Une finalité utile ne constitue pas à elle seule une base légale. Le responsable du traitement doit déterminer la base applicable à chaque usage et respecter les règles spécifiques aux terminaux et applications. La CNIL indique que le consentement est nécessaire lorsque la géolocalisation n’est pas strictement nécessaire au service demandé ; lorsqu’elle l’est, un autre fondement peut être pertinent selon le scénario.

Évitez le faux consentement imposé : « accepter d’être suivi ou perdre toutes ses courses ». Dans un réseau de professionnels indépendants, vérifiez la réalité du choix et l’alternative. Dans une relation de travail, le déséquilibre et les règles de contrôle des salariés appellent un examen spécifique ; la géolocalisation ne doit pas servir à une surveillance permanente ou à une finalité cachée.

Documentez séparément :

coordination d’une course ;
information du client ;
sécurité du chauffeur ;
preuve d’exécution ;
gestion de flotte ;
statistiques ;
lutte contre le vol.

Une donnée collectée pour la relève ne devient pas librement disponible pour noter la productivité, contrôler la vitesse ou cartographier la clientèle.

Définir le début par un événement

« Du début de la course » peut désigner acceptation, départ du domicile, trajet d’approche, arrivée au point ou embarquement. Choisissez l’instant nécessaire au scénario. Pour informer le client, commencer au départ privé du chauffeur peut être excessif ; une activation à l’approche ou une ETA calculée côté application peut suffire.

Exemples :

relève : activation trente minutes avant le rendez-vous, si cette fenêtre est justifiée ;
prise en charge : activation lorsque le chauffeur entre dans une zone d’approche définie ;
panne : partage d’un point au moment de la demande d’assistance ;
retard : ETA ou position ponctuelle envoyée après constat de l’écart ;
sécurité : activation selon un protocole avec destinataire capable d’agir.

Ne créez pas une règle de précision à la seconde si une fenêtre de quelques minutes suffit. Réduire la fréquence des points réduit le détail du comportement observable.

Définir l’extinction et la vérifier

Le partage doit se terminer automatiquement à un événement ou à une heure limite : relève confirmée, arrivée, course close, intervention terminée ou expiration du lien. Ajoutez une marge courte seulement si elle sert un besoin précis.

Prévoyez quatre mécanismes :

bouton visible pour arrêter immédiatement ;
expiration automatique côté serveur ;
notification lorsque le partage reste actif ;
contrôle de clôture dans le journal de mission.

Arrêter l’affichage ne garantit pas que le fournisseur supprime toutes les données. Distinguez disponibilité du lien, historique conservé par l’outil, journaux de sécurité et preuve minimale de l’événement. Chaque durée répond à une finalité et ne doit pas être prolongée « au cas où ».

Limiter réellement les destinataires

Un groupe de messagerie n’est pas un destinataire maîtrisé. Ses membres évoluent, un lien peut être transféré, des captures peuvent être faites et un ancien partenaire peut rester présent. Pour une course, envoyez le lien au compte nominatif ou au rôle opérationnel qui doit agir.

Appliquez une matrice :

client : ETA ou lien d’approche, pas historique de service ;
chauffeur de relève : point de rencontre et position utile à la jonction ;
coordinateur : statut et alertes, suivi détaillé seulement si nécessaire ;
donneur d’ordre : preuve de prise en charge agrégée, sauf besoin contractuel démontré ;
assistance : position de panne et contact ;
administrateur technique : accès exceptionnel journalisé, pas consultation ordinaire des trajets.

La charte de confidentialité entre confrères doit interdire la réutilisation des données de mission et préciser le retrait des accès.

Ne pas oublier la position du passager

Quand le passager est à bord et que la course est rattachée à son identité, la position du véhicule peut révéler sa localisation. Une personne qui reçoit le lien peut aussi déduire lieu de prise en charge, destination, horaire et fréquentations. Il ne suffit donc pas de dire que « seule la voiture est suivie ».

L’information présente au bon moment :

quelle donnée est utilisée ;
pour quelle finalité ;
qui la reçoit ;
pendant combien de temps ;
quel fournisseur intervient ;
quels droits s’exercent et auprès de qui ;
quelle alternative existe si le suivi n’est pas nécessaire.

Une phrase prononcée dans l’habitacle ne remplace pas toute l’information exigible. Fournissez une notice courte dans la réservation ou l’application et un lien vers le détail. N’affichez pas le nom complet du passager dans l’URL de suivi.

Concevoir un lien temporaire comme un accès sensible

Un lien public agit souvent comme un jeton : toute personne qui le possède voit la position. Il doit être long, imprévisible, chiffré en transit, limité à une mission et doté d’une expiration courte. Il ne doit pas être indexable ni réutilisable sur une autre course.

Contrôles à demander à l’éditeur :

expiration appliquée côté serveur, pas seulement masquée dans l’interface ;
révocation immédiate possible ;
absence du nom et de l’adresse dans l’URL ;
affichage minimal sur la page ;
protection contre l’énumération des identifiants ;
journal d’accès limité et protégé ;
pas de pixels publicitaires sur la page de suivi ;
sous-traitants et pays de traitement documentés ;
signalement d’une consultation anormale ;
suppression ou agrégation selon les durées prévues.

Pour une mission sensible, une authentification du destinataire peut être préférable à un simple lien. Ne placez pas le lien dans un canal collectif et ne le recopiez pas dans une facture.

Auditer l’application et ses permissions

Le système d’exploitation, l’application de messagerie, le service cartographique et d’éventuels SDK peuvent chacun traiter des données. Avant déploiement, relevez l’éditeur, les finalités, permissions, destinataires, conservation, pays, sécurité et commandes de droits.

Configuration de départ :

localisation précise seulement si elle est nécessaire ;
permission « pendant l’utilisation » plutôt qu’en arrière-plan lorsque le scénario le permet ;
contacts, photos et microphone refusés s’ils sont inutiles ;
historique de localisation désactivé s’il ne sert pas la mission ;
publicité et partage analytique optionnel désactivés ;
compte professionnel séparé ;
verrouillage, chiffrement et mises à jour activés ;
notification visible pendant le partage.

Un réglage du téléphone n’annule pas un historique conservé côté serveur. Testez la fermeture du lien depuis un autre appareil après expiration, puis vérifiez les commandes du compte.

Encadrer le fournisseur comme un maillon de la chaîne

La CNIL recommande de choisir des sous-traitants offrant des garanties suffisantes et de contractualiser objet, durée, finalité, sécurité, habilitations, traçabilité et sous-traitants ultérieurs. Une application gratuite utilisée spontanément par chaque chauffeur peut rendre cette maîtrise impossible.

Le réseau vérifie :

identité et contact de l’éditeur ;
rôle pour chaque traitement ;
chiffrement des transmissions ;
authentification des comptes ;
gestion des administrateurs ;
détection et notification d’incident ;
export, restitution et suppression ;
transferts hors EEE et garanties ;
réversibilité en fin de contrat.

Ne donnez pas au fournisseur la liberté d’ajouter des SDK ou finalités publicitaires sans contrôle. Une mise à jour substantielle déclenche une nouvelle revue.

Traiter les salariés séparément des indépendants

Un réseau peut regrouper exploitants indépendants, salariés d’une flotte et coordinateurs. Une même fonction ne s’applique pas automatiquement de la même manière à tous. Pour les véhicules des salariés, la CNIL interdit notamment la surveillance permanente, le contrôle de vitesse via l’outil et la collecte hors temps de travail ; l’information et les instances représentatives doivent être traitées selon le cadre applicable.

Pour un indépendant, l’absence de lien salarial ne rend pas le suivi illimité. Le réseau qui conditionne l’accès aux missions, impose l’outil et exploite les positions doit documenter son rôle, la nécessité et les droits. Le chauffeur doit pouvoir voir quand le partage est actif et le fermer selon la procédure prévue.

Organiser une relève sans tracer toute la course

Pour une relève, le besoin se limite souvent à la rencontre :

confirmer le lieu et la fenêtre ;
envoyer une ETA à trente minutes ;
partager un point ponctuel à l’entrée de la zone ;
activer un suivi court seulement si le point ne suffit pas ;
confirmer « relève effectuée » ;
révoquer l’accès.

Le guide relève sans chaîne infinie attribue une seule décision et évite de propager le lien à tout le réseau.

Transmettre la course sans transmettre l’historique

Le chauffeur qui accepte une mission a besoin des informations minimales décrites dans la course transmise à la dernière minute. Il n’a pas besoin de voir les positions des jours précédents, les autres clients ou le domicile du confrère.

À la clôture :

le statut de la mission est conservé si nécessaire ;
le lien expire ;
le tracé détaillé est supprimé ou raccourci selon sa finalité ;
la preuve d’exécution est réduite à ce qui est contractuellement utile ;
le destinataire perd l’accès ;
le chauffeur peut exercer ses droits auprès du bon acteur.

Ne fixez pas une durée unique pour toutes les catégories. Un événement « arrivé à 9 h 58 » peut être utile au rapprochement pendant une durée définie, tandis que chaque point GPS intermédiaire ne l’est pas.

Prévoir les incidents de partage

Un lien peut être envoyé au mauvais client, rester actif, apparaître dans une capture, être récupéré depuis une boîte compromise ou permettre un accès trop large. Préparez une procédure courte :

révoquer le lien ou le jeton ;
arrêter la collecte si elle n’est plus nécessaire ;
identifier période, personnes, précision et destinataires ;
préserver les seuls journaux utiles à l’analyse ;
changer les accès compromis ;
évaluer la violation et appliquer les obligations correspondantes ;
informer selon le risque et le cadre ;
corriger l’outil ou la procédure avant réactivation.

Ne demandez pas à tous les membres du groupe de « supprimer le message » comme unique mesure. La révocation côté service est la première barrière ; la diffusion résiduelle est ensuite évaluée.

Tester avec des trajets fictifs

Avant une vraie course, créez trois scénarios fictifs :

ETA envoyée à un client sans carte ;
point ponctuel à un chauffeur de relève ;
suivi en direct à un coordinateur, puis expiration.

Vérifiez la précision, les personnes visibles, les notifications, le transfert du lien, la fermeture, l’historique, les journaux, la suppression et le support. Utilisez des lieux sans relation avec un vrai domicile ou client.

Pendant le pilote, mesurez : part des demandes résolues par statut ou ETA, nombre de suivis directs, durée moyenne, liens encore actifs après mission, destinataires par partage, incidents et demandes de droits. L’objectif est de réduire le suivi continu tout en conservant la coordination.

Checklist avant activation

action attendue du destinataire définie ;
statut ou ETA testés avant le suivi direct ;
responsable et sous-traitants cartographiés ;
base légale documentée pour chaque finalité ;
salarié et indépendant non confondus ;
début déclenché par un événement précis ;
fréquence et précision réduites ;
expiration et révocation côté serveur testées ;
destinataires nommés, aucun groupe par défaut ;
passager informé lorsque sa position peut être déduite ;
URL sans nom ni adresse et jeton imprévisible ;
permissions du téléphone minimisées ;
historique serveur vérifié séparément ;
publicité et réutilisation exclues ou traitées distinctement ;
durées définies par catégorie de donnée ;
preuve de course séparée du tracé complet ;
incident, droits et réversibilité testés ;
pilote fictif validé avant le premier passager.

Sources officielles

Sources consultées le 6 septembre 2026. Les rôles, bases légales et durées dépendent du scénario, du statut des personnes, du contrat et du fonctionnement réel de l’outil. Cette méthode ne remplace pas l’analyse RGPD propre au réseau.