Le 28 mars 2023, l’Autorité française de protection des données personnelles (la « CNIL » ou « DPA française ») a annoncé une amende de 125 000 € à la société de location de scooters électriques Cityscoot pour violation des règles de protection des données de l’UE et de la France, notamment dans le contexte de géolocalisation et l’utilisation de Google reCAPTCHA. L’amende a été imposée le 16 mars 2023.
L’amende s’inscrit dans le cadre des efforts de la CNIL pour donner la priorité aux enquêtes et à la répression dans les domaines liés à la vie quotidienne des citoyens français.
Dans son enquête, la CNIL a découvert que Cityscoot collectait la géolocalisation des e-scooters loués toutes les 30 secondes et gardait une trace de ces informations. L’autorité française de protection des données a déterminé que, ce faisant, Cityscoot a enfreint son obligation de minimisation des données en vertu de l’article 5 du règlement général sur la protection des données (« RGPD ») de l’UE, car ce type de traitement est très intrusif et le service pourrait être fourni sans collecter les géolocalisations de ses utilisateurs de manière quasi permanente.
La CNIL s’est également penchée sur l’utilisation par Cityscoot du reCAPTCHA de Google lors de la création d’un compte, de la connexion ou de la récupération d’un mot de passe. L’autorité française de protection des données a déterminé que ce mécanisme fonctionne en collectant des informations matérielles et logicielles à partir de l’appareil de la personne concernée et en les partageant avec Google pour analyse, et que Cityscoot n’a pas obtenu le consentement requis de la personne concernée conformément à l’article 82 du la loi française sur la protection des données.
Enfin, l’autorité française de protection des données a enquêté sur les accords de traitement de données de Cityscoot, constatant que trois d’entre eux ne contenaient pas toutes les informations requises par l’article 28 du RGPD.
Lire la décision (en Français) et le communiqué de presse (en Anglais ET Français).