Données : quels droits d’usage pour les flottes ?

« Les sources de données se multiplient. Nous le voyons car nous sommes à la croisée des systèmes internes de nos clients et des systèmes de leurs fournisseurs, indique Jean-Charles Martin, directeur commercial du spécialiste de la gestion de flotte Chevin. Et les clients ont de plus en plus tendance à vouloir interfacer leurs données RH, CRM ou de notes de frais avec la partie fournisseurs. »

L’entreprise de services informatiques Atos a externalisé la gestion de ses 770 véhicules depuis juin 2017. Le prestataire sélectionné collecte ainsi des données à partir de trois sources : les données administratives d’Atos, les références de permis de conduire entrées directement dans la base par les conducteurs et, enfin, la totalité des informations remontées par les loueurs dont le numéro de série des véhicules, l’immatriculation, le contrat ou encore la facturation service par service. Au total, l’état de flotte complet regroupe au moins 200 colonnes d’informations, sans recourir à la télématique (voir le reportage).

Récupérer les données techniques

Or, avec les boîtiers embarqués voire les smartphones, les gestionnaires de parc ont maintenant accès à des données supplémentaires. En tête : la localisation des véhicules grâce aux antennes GPS ou encore les comportements de conduite par le biais des accéléromètres. Et les choses vont encore plus loin : avec la généralisation des boîtiers installés en première monte, ces gestionnaires peuvent récupérer les données issues des capteurs du véhicule et analysées par l’ordinateur de bord. Dont la consommation réelle, les alertes de maintenance et surtout le kilométrage réel, « l’alpha et l’oméga de la gestion de flotte. Dans un système non connecté, ces informations ne sont accessibles qu’au conducteur », rappelle Samuel Vals, directeur général de la plate-forme de télématique Axodel (Groupe Kuantic). Un technicien peut alors les extraire en branchant une valise de diagnostic à la prise OBD (on-board diagnostic). Et désormais, sur une voiture connectée, ces données techniques sont transmises à distance.

Ces informations vont rendre possible une gestion plus fine, par exemple pour anticiper la maintenance. « Les dates de maintenance ne sont plus forcément calculées sur table avec un kilométrage fixe. Sur un même véhicule, le parcours de circulation, évalué selon le nombre de vitesses passées, fait varier le pas de maintenance, notamment raccourci en cycle urbain », explique sur ce point Samuel Vals.

Des données corrélées en temps réel

La remontée des données se fait toujours plus précise et rapide, avec des possibilités d’intégration toujours plus nombreuses. « Il y a dix ans, les données arrivaient une fois par mois et devaient être téléchargées sous forme de fichiers, relate Ashley Sowerby, directeur général de Chevin. Aujourd’hui, il existe des flux de données machine-to-machine et en temps réel. Pour le gestionnaire de flotte, le bénéfice réside dans la qualité et la précision des données. Et il peut réunir l’ensemble de ces données en un seul endroit grâce à l’intégration étroite de plusieurs plates-formes. » Chez le télématicien Axodel, les trois quarts des véhicules connectés à la plate-forme sont reliés à un outil de gestion de parc.

« Nos clients sont friands de cette dématérialisation de l’information et de la création de flux, confirme Quentin Lebourgeois, directeur qualité et support et Data Protection Officer de l’éditeur de logiciels GAC Technology. Si bien qu’ils mettent de plus en plus en concurrence leurs fournisseurs pour que la passerelle soit faite avec leur intégrateur. »

Le volume de données se fait donc exponentiel. GAC Technology intègre actuellement entre 22 et 23 millions de lignes de données par mois dans son système pour l’ensemble de ses clients, des fichiers RH aux états de parc en passant par les facturations des loueurs, des pétroliers et des autoroutes.

Et les acteurs se bousculent sur le marché afin de proposer des services pour exploiter et mettre à disposition ces données, en particulier du côté des constructeurs et des loueurs. Sans compter les services offerts par les pétroliers, les sociétés d’autoroute ou les réseaux d’entretien. Mais cette évolution soulève des questions de vie privée et d’accès aux données.

« Entre tous ces acteurs, il y a une sorte de tiraillement ou de télescopage pour savoir qui est propriétaire des données et qui a le droit de les exploiter, voire de les commercialiser ou de les traiter », constate Jean-Charles Martin pour Chevin France. Mais y a-t-il vraiment un propriétaire des données liées à la flotte ? Pour répondre à cette question, il faut différencier deux types de données : les données personnelles et les autres.

Distinguer les données personnelles

« En France, la collecte des données personnelles relève du droit de l’individu, rappelle Régis Chatellier, chargé des études prospectives à la Commission nationale informatique et libertés (Cnil). Parler de propriété ne fonctionne pas quand on évoque des données personnelles constitutives d’un individu. La propriété impliquerait l’abusus, c’est-à-dire la perte de ses droits par l’individu, ce qui n’est pas le cas pour les données personnelles. »

Est une donnée personnelle toute donnée identifiante directement ou indirectement. Dans une flotte, les données personnelles vont entre autres regrouper les nom, prénom et matricule du conducteur, son poste ou son affectation, son adresse personnelle, ses numéros de téléphone et de permis ou encore des informations sur ses infractions routières.

Données personnelles : une notion large

« Ces données RH sont standards et la gestion de flotte ne traite pas de données dites “sensibles“, comme les données de santé », nuance Quentin Lebourgeois pour GAC Technology. Reste que 16 % des plaintes reçues par la Cnil impliquent le secteur des RH.

Mais la notion de données personnelles va encore plus loin : « Elle concerne aussi les identifiants numériques ou les adresses IP, observe Jean-Charles Martin pour Chevin France. Et lorsqu’on commence à lier des informations entre elles, la localisation, la vitesse ou le style de conduite peuvent juridiquement être considérés comme de la donnée personnelle. »

« Des chercheurs ont aussi démontré que les données d’éco-conduite, comme la manière d’appuyer sur la pédale de frein ou d’accélérer, peuvent fournir une empreinte de conduite permettant potentiellement d’identifier le conducteur. Le champ des données identifiantes indirectement est donc extrêmement vaste », précise Régis Chatellier pour la Cnil.

Que certaines données de la flotte soient personnelles ne signifie pas qu’il est impossible de les collecter et de les utiliser, mais qu’il y a des obligations à remplir. Ces obligations reposent sur cinq principes : finalité de la collecte, pertinence des données, conservation limitée, respect des droits et sécurité.

« Une personne doit être informée ou donner son consentement à la collecte et au traitement de ses données par des tiers, mais elle conserve toujours des droits d’accès, de modification et rectification, de suppression et bientôt de portabilité », énumère Régis Chatellier. Cela vaut aussi lorsqu’une entreprise souhaite transférer des données personnelles à des acteurs tiers. À noter que souvent, le consentement fait partie du contrat d’achat pour la remontée de données des véhicules connectés, ce qui peut poser problème (l’encadré page xx).

Données personnelles : des règles à respecter

En outre, la collecte et le traitement doivent avoir une finalité définie et donc se limiter aux données nécessaires. « Une grande entreprise française a dû démonter tous les boîtiers de géolocalisation de ses véhicules parce que les syndicats ont démontré devant un tribunal que le traitement des données n’était pas justifié et que la télématique n’était pas employée pour améliorer la qualité de service ou gérer les plannings », illustre Jean-Charles Martin pour Chevin France.

« Lorsque vous collectez des données, vous devez justifier d’un besoin positif, et non pas seulement éliminer un besoin négatif. Car l’entreprise est responsable de la vie privée de ses employés. Pourtant, de nombreuses entreprises conservent des données juste parce qu’elles peuvent le faire », note Ashley Sowerby pour Chevin (voir l’encadré).

Ces règles, déjà imposées par la Cnil avec la loi Informatique et Libertés, vont être renforcées à l’échelle européenne avec l’entrée en vigueur, le 25 mai 2018, du règlement général de protection des données (RGPD). Désormais, les entreprises devront s’assurer de la conformité de leurs traitements de données, et de ceux effectués par leurs fournisseurs et sous-traitants (voir l’encadré).

Les données non personnelles

Et pour les données non personnelles ? « Toutes les autres données relèvent du droit des bases de données, qui se situe entre la propriété et le droit d’auteur, explique Régis Chatellier pour la Cnil. Une personne qui anonymise un jeu de données en reste maître et peut en faire ce qu’elle veut, car elle n’a plus d’obligation vis-à-vis des individus. »

Le droit d’usage des données non personnelles de la flotte va donc être défini par contrat. Chez les éditeurs de logiciels et les télématiciens, le client reste en général propriétaire de sa donnée. « Tout est réglementé et contractualisé ; à partir du moment où le client paie, il a un droit de propriété sur les données de la plate-forme », affirme Samuel Vals pour Axodel. « Quand il passe d’un outil A à un outil B, le prestataire se doit de communiquer l’ensemble des données de ses bases. Cette opération est généralement cadrée contractuellement », complète Quentin Lebourgeois pour GAC Technology.

Mais avec les véhicules connectés équipés de boîtier de première monte, les choses se font plus complexes. « Les données non mises en forme pour être exploitables sont produites par le couple véhicule-conducteur, mais ce ne sont pas eux qui en sont propriétaires et a priori pas non plus leur entreprise, pointe Jean-Charles Martin pour Chevin France. Juridiquement, le producteur d’une donnée est celui qui la calcule, la met en forme et réalise les reportings, c’est-à-dire l’organisme qui travaille la donnée pour qu’elle devienne exploitable. »

Les prestataires vendent un droit d’usage

Les propriétaires de la donnée sont donc les constructeurs qui commercialisent sous forme d’abonnement des services fournissant des données mises en forme. « Juridiquement, ils vendent un droit d’utilisation de ces données aux entreprises », résume Jean-Charles Martin. La mise à disposition des données issues des boîtiers de première monte implique donc a priori de recourir directement aux offres des constructeurs ou de développer une stratégie de partenariat avec eux (voir le reportage Orange). Car les constructeurs ont le pouvoir de limiter l’accès aux données du véhicule.

« Une autre solution pour récupérer ces données techniques consiste à passer par le dongle OBD. Cela ne met pas le véhicule en danger car c’est un port obligatoire et légal. Sauf que des constructeurs, notamment allemands, désactivent ce port au-dessus de 30 km/h », déplore Patrick Martinoli, directeur délégué aux projets à l’innovation et à l’expertise automobile pour la flotte d’Orange. Un monopole cependant remis en cause : la Fédération internationale de l’automobile (FIA) a lancé la campagne My Car, My Data pour encourager les automobilistes à faire valoir leurs droits (voir l’encadré).

« Nous sommes en pleine bataille de terrain, confirme Céline Kastner, directrice juridique et des politiques publiques à l’Automobile Club Association (ACA). Les constructeurs considèrent que les règles de responsabilité justifient leur surveillance accrue et un droit d’accès exclusif aux données. Cette position n’est pas tenable sur un terrain strictement juridique. D’autre part, ces principes de responsabilité ne justifient pas qu’un constructeur refuse de donner l’accès à ces données à des tiers car cela contrevient au principe de libre concurrence. Enfin, le principe de portabilité, créé pour encourager la concurrence, doit être garanti aux consommateurs. »

Une bataille de terrain

L’Union européenne semble aller dans ce sens avec la réforme de l’homologation des véhicules, en cours de vote et prévue pour septembre 2020. Celle-ci veut garantir aux réparateurs indépendants « un accès illimité, normalisé et non discriminatoire aux informations du système OBD des véhicules. »

Sans compter que certaines données techniques, parce que rattachées à un ou deux conducteurs, deviennent des données personnelles. « Des données personnelles ne peuvent être la propriété des constructeurs. Sinon, les utilisateurs risquent de freiner des quatre fers face à cette évolution technologique, et d’en manquer les effets bénéfiques sur la sécurité routière, la gestion et la mobilité », avance ainsi Céline Kastner.

Ne pas pouvoir choisir son prestataire, c’est aussi être tributaire de son mode d’exploitation des données. « Il peut y avoir des cas où le fournisseur du traitement des données a intérêt à établir des mécanismes pour attirer le client dans son réseau : lorsqu’il y a une révision à faire, le système peut proposer au conducteur le garage du réseau le plus proche », remarque Jean-Charles Martin pour Chevin France. « Là où les choses deviennent intéressantes, c’est que les loueurs ont souvent des accords avec plusieurs réseaux d’entretien : lequel sera choisi par le système ? Celui avec lequel le loueur fait le plus de marge ou celui que le client privilégie parce que moins cher ? Il faut donc que les gestionnaires de flotte soient vigilants, pas seulement sur la question de la propriété des données mais aussi sur leur exploitation », recommande Jean-Charles Martin.

Attention à l’exploitation des données

Le problème se pose pour les véhicules connectés mais aussi pour les applications sur smartphone à destination des conducteurs comme celle que vient de sortir le prestataire d’Atos. « Les conducteurs ont accès à une seule base de données fiables regroupant tout ce qui concerne leur voiture : révision, historique des réparations, etc. Ils y trouvent aussi plusieurs points de contact qu’ils peuvent consulter directement sur leur téléphone (loueurs, cartes carburant) », décrit Jean-Louis Gravier, gestionnaire de la flotte d’Atos.

À partir du moment où les données permettent de faire des suggestions aux conducteurs, « il faut soit que le flux de données soit traité de manière extrêmement transparente, soit que l’entreprise ait une politique bien définie », conseille donc Ashley Sowerby de Chevin.

Enfin, que l’on parle de données personnelles ou non personnelles, la question est aussi de les valoriser. Car plus on relie de données, plus il y a de moyens de les exploiter, y compris en dehors de ce pour quoi leur collecte avait été prévue. Orange se sert ainsi des données de la flotte pour évaluer la baisse des émissions de CO2 de son parc et présenter son engagement RSE. De son côté, le prestataire GAC Technology publie tous les ans un baromètre à partir des données stockées dans son logiciel. « Nous fournissons des proportions sur notre parc, par exemple sur la part de véhicules essence, et nous publions des analyses », argue Quentin Lebourgeois.

« La valorisation des données est un peu la clé de l’avenir de la télématique, affirme Samuel Vals pour Axodel. Nous lions les données de centaines de véhicules : celles-ci sont de plus en plus valorisées avec l’arrivée de nouveaux acteurs tels ceux de l’assurance ou de l’autopartage. » En ligne de mire : la possibilité de monétiser les données, y compris pour les entreprises possédant une flotte.

« Il peut y avoir des cas particuliers – qui d’ailleurs n’en seront peut-être plus demain –, où des clients trouveraient un intérêt à commercialiser les données de leur flotte. En ont-ils le droit ? », interroge Jean-Charles Martin pour Chevin France. Pour illustrer son propos, il évoque une entreprise de soins à domicile avec plusieurs milliers de techniciens se déplaçant sans arrêt sur le territoire français.

Des données à valoriser hors de la gestion de flotte

« Imaginons que cette entreprise souhaite déployer un service pour vendre à ses patients, sous forme d’abonnement, des statistiques sur ses temps d’intervention. Pour produire cette information, l’entreprise aura besoin d’exploiter les données fournies par les constructeurs et les loueurs. Mais aura-t-elle le droit de les exploiter pour les revendre sachant que son contrat avec ses fournisseurs ne lui confère qu’un droit d’utilisation en interne ? Ce sont des notions juridiques sur lesquelles l’entreprise devra se pencher », estime Jean-Charles Martin.

« Mais il ne faut pas tirer trop de plans sur la comète, nuance Samuel Vals. C’est le traitement et la valorisation de la donnée qui ont de la valeur. Pour créer de la richesse, il faut se mettre tout au bout de la chaîne. » Et cette richesse ne se fera qu’à travers le volume, c’est pourquoi les acteurs de la télématique ont intérêt à ce que le plus grand nombre de flottes soient équipées. « Il faut que le coût d’accès à la télématique soit le plus bas possible, comme pour l’accès à internet, afin que la masse critique ne soit pas trop faible », complète Samuel Vals.

Monétiser les données de la flotte ?

Inversement, les fournisseurs de traitement de données peuvent aussi avoir intérêt à les exploiter pour leur compte. C’est le cas d’Audi, BMW et Daimler qui ont racheté fin 2015 le spécialiste de la cartographie et de la localisation Here Technologies et commercialisent des services d’info-trafic et de sécurité routière à partir de données anonymisées remontées en temps réel par leurs véhicules connectés.

Là encore, comme pour les données personnelles, le consentement à l’utilisation de ces données se trouve généralement dans le contrat d’achat du véhicule. Pour être sûr de ses droits sur les données de la flotte, mieux vaut donc bien regarder son contrat avant de signer.

« J’ose espérer que toute utilisation des données des véhicules vendus à Orange sera soumise à autorisation auparavant, indique Patrick Martinoli. Si les constructeurs veulent les exploiter pour les besoins de développement de leur véhicule, c’est plutôt positif. Du point de vue des données, cela ne pose pas de problème tant qu’elles sont anonymes. C’est très important, surtout dès que ces données ont trait à l’entreprise ou aux conducteurs. »

Selon Patrick Martinoli, les entreprises vont donc devoir bâtir un dialogue avec les constructeurs : « Tous ne sont pas au même niveau sur la remontée des données. Selon les constructeurs, l’entreprise est au courant ou au contraire dans l’opacité. Il va falloir que les choses soient plus transparentes, tant sur le type de données récoltées que sur la façon dont elles sont remontées pour qu’elles soient identiques sur tous les véhicules. »

Gestionnaires de flotte : exiger la transparence

« Nous sommes encore loin de la transparence sur le traitement et l’utilisation des données », atteste Jean-Charles Martin pour Chevin France. Qui compte sur le RGPD pour encourager les entreprises à se saisir du sujet et demander des comptes à leurs fournisseurs. « Le seul souci, c’est que les gestionnaires de parc sont souvent débordés et ne possèdent pas la dimension juridique », juge-t-il.

Pour sa part, la Cnil tente de pousser les entreprises vers des pratiques vertueuses : « Si l’on va un peu plus loin, être clair et transparent sur l’utilisation des données peut constituer un avantage concurrentiel, argumente Régis Chatellier sur ce point. Car avec les affaires en cours – la dernière en date étant celle de Cambridge Analytica et Facebook –, il y a une prise de conscience des utilisateurs que les données collectées peuvent être employées différemment de ce qu’ils souhaitent. Or, il ne faut pas perdre la confiance des utilisateurs. »

Un enjeu de confiance

Un enjeu de confiance aussi important dans la relation RH entre l’employeur et le salarié, et dans la relation entre une entreprise et son prestataire. Dans le cadre de la collecte et l’exploitation des données de la flotte, il s’agit donc de prendre son temps et, surtout, de s’assurer que la question des droits d’utilisation et d’accès soit abordée avec l’ensemble des parties prenantes… y compris les conducteurs.