Il résulte des articles 6 de la loi n° 78‑17 du 6 janvier 1978 et L. 1121‑1 du code du travail que l'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, même moins efficace. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être regardés comme excessifs au sens du 3° de l'article 6 de la loi du 6 janvier 1978.

Il résulte des articles 6 de la loi n° 78‑17 du 6 janvier 1978 et L. 1121‑1 du code du travail que l'utilisation par un employeur d’un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, même moins efficace que la géolocalisation. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être considérés comme excessifs au sens du 3° de l’article 6 de la loi du 6 janvier 1978.

Le fait que le point de départ de la durée de conservation des Géolocalisation soit lié non pas au contrat de location mais à la fin de la relation commerciale avec l'utilisateur ne permet pas de respecter le principe selon lequel les données à caractère personnel ne doivent pas être conservées pour une durée qui excède celle nécessaire au regard des finalités pour lesquelles elles sont traitées. En l'espèce, la société a conservé les données de Géolocalisation en cause pour une durée qui excédait celle nécessaire au regard des finalités pour lesquelles elles étaient traitées et a ainsi méconnu ses obligations au regard de l'article 5.1.e du RGPD.

1) En premier lieu, les dispositifs techniques d'enquête désignent plusieurs mesures d'investigation : l'utilisation d'un dispositif technique permettant de recueillir les données de connexion d'un équipement terminal, les données relatives à sa localisation, mais également l'interception des correspondances émises ou reçues par cet équipement ; l'utilisation d'un dispositif technique, éventuellement installé dans un lieu privé, ayant pour objet, sans le consentement des intéressés, la capture, fixation et enregistrement de paroles dans des lieux privés ou publics, ou l'image des personnes se trouvant dans un lieu privé ; l'utilisation d'un dispositif technique ayant pour objet, sans le consentement des intéressés, d'accéder, en tous lieux, à des données informatiques, de les enregistrer, de les conserver et de les transmettre, telles qu'elles sont stockées dans un système informatique, telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données, telles qu'il les y introduit par saisie de caractères ou telles qu'elles sont reçues et émises par des périphériques. Ces techniques présentent donc un caractère particulièrement intrusif.

En deuxième lieu, le législateur a prévu que le recours à ces techniques spéciales est autorisé, dans le cadre d'une enquête de flagrance ou préliminaire, pour tout crime, et non pour les seules infractions relevant de la criminalité organisée. Or, si une infraction d'une particulière gravité et complexité est de nature à justifier le recours à de telles mesures, il n'est pas nécessairement le cas d'infractions ne présentant pas ces caractères.

En troisième lieu, cette autorisation est délivrée, à la requête du procureur de la République, par le juge des libertés et de la détention. Toutefois, si le juge des libertés et de la détention peut ordonner à tout moment l'interruption des techniques spéciales d'enquête, les dispositions légales ne prévoient pas qu'il puisse accéder à l'ensemble des éléments de la procédure. Ainsi, alors que son autorisation est donnée pour une durée d'un mois, il n'a pas accès aux procès‑verbaux réalisés dans le cadre de l'enquête en cours autres que ceux dressés en exécution de sa décision et n'est pas informé du déroulé de l'enquête en ce qui concerne les investigations autres que les actes accomplis en exécution de sa décision.

Il résulte de ce qui précède que le législateur a autorisé le recours à des techniques d'enquête particulièrement intrusives pour des infractions ne présentant pas nécessairement un caractère de particulière complexité, sans assortir ce recours des garanties permettant un contrôle suffisant par le juge du maintien du caractère nécessaire et proportionné de ces mesures durant leur déroulé.

Le législateur n'a donc pas opéré une conciliation équilibrée entre, d'un côté, l'objectif de recherche des auteurs d'infractions et, de l'autre, le droit au respect de la vie privée et le secret des correspondances.

En outre, en prévoyant qu'en cas d'urgence, l'autorisation de recourir à une de ces techniques spéciales d'enquête peut être délivrée par le procureur de la République et se poursuivre sans contrôle ni intervention d'un magistrat du siège pendant vingt‑quatre heures, le législateur a porté une atteinte inconstitutionnelle au droit au respect de la vie privée et au secret des correspondances.

2) En autorisant, pour les nécessités d'une enquête ou d'une information relatives à une infraction relevant de la criminalité organisée, le recours à des dispositifs techniques permettant d'accéder à des données informatiques, de les enregistrer, de les conserver et de les transmettre telles qu'elles sont reçues et émises par des périphériques, y compris non audiovisuels, le législateur n'a pas méconnu le droit au respect de la vie privée.

3) En premier lieu, la géolocalisation est une mesure de police judiciaire consistant à surveiller une personne au moyen de procédés techniques en suivant, en temps réel, la position géographique d'un véhicule que cette personne est supposée utiliser ou de tout autre objet, notamment un téléphone, qu'elle est supposée détenir. La mise en œuvre de ce procédé n'implique pas d'acte de contrainte sur la personne visée, ni d'atteinte à son intégrité corporelle, de saisie, d'interception de correspondance ou d'enregistrement d'image ou de son. L'atteinte à la vie privée qui résulte de la mise en œuvre de ce dispositif réside dans la surveillance par localisation continue et en temps réel de la personne, le suivi de ses déplacements dans tous lieux publics ou privés, ainsi que dans l'enregistrement et le traitement des données ainsi obtenues.

En second lieu, le recours à la géolocalisation est placé sous la direction et le contrôle de l'autorité judiciaire. Lorsqu'elle est autorisée pour une procédure de recherche des causes de la mort ou de blessures graves, d'une disparition, d'une personne en fuite ou dans le cadre d'une enquête pour une infraction relevant de la criminalité organisée, le procureur de la République ne peut l'autoriser que pour une durée maximale de quinze jours consécutifs. Dans les autres cas, la durée de son autorisation ne peut excéder huit jours consécutifs. À l'issue de ce délai, elle est autorisée par le juge des libertés et de la détention pour une durée maximale d'un mois renouvelable. En outre, la durée totale de l'opération ne peut excéder un an ou, s'il s'agit d'une infraction relevant de la délinquance organisée, deux ans. Lorsque, en cas d'urgence, elle est mise en place ou prescrite par un officier de police judiciaire, le procureur de la République, immédiatement informé, peut en prescrire la mainlevée.

Dès lors, en prévoyant qu'il peut être recouru à la géolocalisation lorsque les nécessités de l'enquête concernant un crime ou un délit puni d'une peine d'emprisonnement d'au moins trois ans l'exigent, le législateur a opéré une conciliation équilibrée entre l'objectif de valeur constitutionnelle de recherche des auteurs d'infraction et le droit au respect de la vie privée.

Le recours à la géolocalisation ne peut avoir lieu que lorsque l'exigent les nécessités de l'enquête ou de l'instruction concernant un crime ou un délit puni d'une peine d'emprisonnement d'au moins trois ans, s'agissant d'atteinte aux personnes, d'aide à l'auteur ou au complice d'un acte de terrorisme ou d'évasion, ou d'au moins cinq ans d'emprisonnement, s'agissant de toute autre infraction, ainsi qu'à des enquêtes ou instructions portant sur la recherche des causes de la mort, des causes de la disparition d'une personne ou des procédures de recherche d'une personne en fuite.

Le recours à la géolocalisation est placé sous la direction et le contrôle de l'autorité judiciaire. Dans les cas prévus par le 1° de l'article 230‑33 du code de procédure pénale, le procureur de la République ne peut l'autoriser que pour une durée maximale de 15 jours consécutifs. À l'issue de ce délai, elle est autorisée par le juge des libertés et de la détention pour une durée maximale d'un mois renouvelable. Dans les cas prévus au 2° du même article, le juge d'instruction peut l'autoriser pour une durée maximale de quatre mois renouvelables. En cas d'urgence, lorsqu'elle est mise en place ou prescrite par un officier de police judiciaire, le procureur de la République ou le juge d'instruction, immédiatement informé, peut prescrire sa mainlevée.

Il résulte de tout ce qui précède que le législateur a entouré la mise en œuvre de la géolocalisation de mesures de nature à garantir que, placées sous l'autorisation et le contrôle de l'autorité judiciaire, les restrictions apportées aux droits constitutionnellement garantis soient nécessaires à la manifestation de la vérité et ne revêtent pas un caractère disproportionné au regard de la gravité et de la complexité des infractions commises.

La loi déférée insère dans le code de procédure pénale des dispositions permettant, dans le cadre d'une enquête ou d'une instruction, l'activation à distance d'appareils électroniques à l'insu de leur propriétaire ou possesseur afin, d'une part, de procéder à sa localisation en temps réel et, d'autre part, de procéder à la sonorisation et à la captation d'images.

1) En premier lieu, ces dispositions ont pour objet de faciliter la mise en place ou la désinstallation des moyens techniques permettant, selon les cas, la géolocalisation ou la sonorisation et la captation d’images.

En deuxième lieu, il ne peut être recouru à l'activation à distance d'un appareil électronique, s'agissant de la géolocalisation, que lorsque les nécessités de l'enquête ou de l'instruction relative à un crime ou à un délit puni d'au moins cinq ans d'emprisonnement l'exigent et, s'agissant de la sonorisation et de la captation d’images, que si la nature et la gravité des faits le justifient.

En troisième lieu, d'une part, cette activation à distance ne peut être autorisée que par le juge des libertés et de la détention, à la requête du procureur de la République, ou par le juge d'instruction et aux seules fins de procéder à la localisation en temps réel ou à la sonorisation et à la captation d’images de la personne. La décision d'autorisation doit comporter tous les éléments permettant d'identifier l'appareil concerné. D'autre part, la durée de l’autorisation de procéder à la sonorisation et à la captation d’images, qui doit être strictement proportionnée à l'objectif recherché, ne peut excéder quinze jours renouvelable une fois, au cours d'une enquête, et deux mois renouvelable sans que la durée totale des opérations excède six mois, au cours d'une information judiciaire.

En quatrième lieu, d'une part, l'activation à distance d'un appareil électronique ne peut, à peine de nullité, concerner les appareils électroniques utilisés par un membre du Parlement, un magistrat, un avocat, un journaliste, un commissaire de justice ou un médecin. S'agissant de la sonorisation et de la captation d’images, il est en outre prévu, à peine de nullité, que ne peuvent être transcrites les données relatives aux échanges avec un avocat qui relèvent de l'exercice des droits de la défense et qui sont couvertes par le secret professionnel de la défense et du conseil, hors les cas prévus à l'article 56‑1‑2 du code de procédure pénale. Il en va de même des données relatives aux échanges avec un journaliste permettant d'identifier une source ou des données collectées à partir d'un appareil qui se trouvait dans l'un des lieux protégés au titre des articles 56‑1, 56‑2, 56‑3 et 56‑5 du même code. D'autre part, le juge compétent ordonne la destruction dans les meilleurs délais des données qui ne peuvent être transcrites, ainsi que des procès‑verbaux et des données collectées lorsque les opérations ont été réalisées dans des conditions irrégulières.

Dès lors, les dispositions contestées, en tant qu'elles autorisent l'activation à distance d'appareils électroniques aux seules fins de géolocalisation, ne méconnaissent pas le droit au respect de la vie privée.

2) En revanche, l'activation à distance d'appareils électroniques afin de capter des sons et des images sans qu'il soit nécessaire pour les enquêteurs d'accéder physiquement à des lieux privés en vue de la mise en place de dispositifs de sonorisation et de captation, est de nature à porter une atteinte particulièrement importante au droit au respect de la vie privée dans la mesure où elle permet l'enregistrement, dans tout lieu où l'appareil connecté détenu par une personne privée peut se trouver, y compris des lieux d'habitation, de paroles et d'images concernant aussi bien les personnes visées par les investigations que des tiers. Dès lors, en permettant de recourir à cette activation à distance non seulement pour les infractions les plus graves mais pour l'ensemble des infractions relevant de la délinquance ou de la criminalité organisée, le législateur a permis qu'il soit porté au droit au respect de la vie privée une atteinte qui ne peut être regardée comme proportionnée au but poursuivi. Les dispositions contestées ne sont donc pas conformes à la Constitution.

Les dispositions du code de la sécurité intérieure encadrant l’exploitation des données de trafic et de localisation collectées par les services de renseignement, sans régir les activités des fournisseurs de services de communications électroniques en leur imposant des obligations spécifiques, ne relèvent pas du champ d’application de la directive 2002/58/CE (directive vie privée et communications électroniques).

Il résulte des articles 6 de la loi n° 78‑17 du 6 janvier 1978 et L. 1121‑1 du code du travail que l'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, même moins efficace. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être considérés comme excessifs au sens du 3° de l'article 6 de la loi du 6 janvier 1978.

Dispositif géolocalisant les véhicules professionnels en permanence, afin de lutter contre le vol du véhicule et de sa cargaison, ainsi que pour permettre d'optimiser les tournées de livraison. La CNIL considère de façon constante que l'enregistrement en continu des données de système de géolocalisation d'un véhicule professionnel, sans possibilité pour les salariés de ne pas être géolocalisé en dehors de leurs horaires de travail, porte en principe une atteinte excessive à la liberté d'aller et venir et au droit à la vie privée des salariés. La commission recommande ainsi que les employés puissent avoir la possibilité de désactiver la fonction de géolocalisation des véhicules pendant leurs temps de pause ou à l'issue de leur temps de travail lorsque ces véhicules peuvent être utilisés à des fins privées durant ces périodes. Cette possibilité de désactivation n'empêche pas la société de réactiver le dispositif à distance, comme cela est parfois possible, s'il a pour finalité de lutter contre le vol du véhicule.