L'opérateur de location de scooters électriques Cityscoot épinglé par la CNIL

Opérateur de location de scooters électriques en libre-service parmi les plus présents en France, Espagne et Italie, Cityscoot dispose d’une flotte de plus de 7 000 deux-roues.

Des scooters électriques qui lorsqu’ils sont en déplacement, ou prêts à rouler sont géolocalisés de façon automatique toutes les trente secondes.

C’est trop pour la CNIL (Commission nationale de l’informatique et des libertés) qui juge cela disproportionné pour le respect de la vie privée des clients, et a condamné l’opérateur à une amende administrative de 125 000 € (100 000 € pour un manquement RGPD et 25 000 € pour manquement à la loi Informatique et libertés).

Selon la CNIL : « La société pourrait proposer un service identique sans géolocaliser ses clients en quasi-permanence. Les données doivent être adéquates, pertinentes et non excessives au regard de l’objectif pour lequel elles sont collectées et utilisées. »

Les boîtiers embarqués collectent ainsi la position GPS toutes les trente secondes dès lors que le scooter est en location ou même prêt à être utilisé. L’historique des trajets de tous les utilisateurs de Cityscoot est ensuite conservé un an sur une base active, puis archivé douze mois supplémentaires au sein d’une autre base de données. Un traitement des données que Cityscoot juge malgré tout nécessaire pour « pouvoir calculer le montant à rembourser aux utilisateurs qui n’ont pas correctement mis fin à leur location. »

Un argument qui n’a pas convaincu la CNIL, qui n’a pas jugé nécessaire de devoir pour cela géolocaliser les scooters de façon aussi rapprochée : « Après avoir analysé quel était l’usage des données de géolocalisation pour chacune des finalités (objectifs) avancées par CITYSCOOT, la CNIL considère qu’aucune de ces finalités ne justifie une collecte de données de géolocalisation aussi fine que celle effectuée par la société. Une telle pratique est, en effet, très intrusive dans la vie privée des utilisateurs, dans la mesure où elle est susceptible de révéler leurs déplacements, leurs lieux de fréquentation ou encore la totalité des arrêts effectués au cours d’un parcours. »

L’opérateur a également été épinglé pour avoir remonté des informations sur ses 247 000 utilisateurs en France, Espagne et Italie à Google sans le consentement des utilisateurs via l’utilisation du « reCaptcha » : « Alors que les données collectées sont transmises à GOOGLE pour analyse, la société ne fournissait aucune information à l'utilisateur et ne recueillait pas son consentement préalable. »

Une solution qui a depuis été abandonnée par Cityscoot au profit d’une « solution 100 % compatible RGPD qui s'appelle MtCaptch » précise l’opérateur.

Des amendes que Cityscoot, qui juge les décisions infondées, compte maintenant contester devant le Conseil d’État.