Cityscoot ose répliquer à la Cnil sur la condamnation de la géo-localisation de ses scooters

C’est rare et peut-être téméraire de la part du loueur de scooters électriques Cityscoot. La société ose monter au créneau après sa sanction par une amende de 125 000 € de la Cnil. Elle s’insurge que l’Autorité veuille lui apprendre comment délivrer ses services auprès de ses clients. La réaction de Cityscoot surprend tant la Cnil fait peur à toutes les entreprises françaises.

La Cnil sourde aux arguments de Cityscoot

Cityscoot se rebelle et réplique à la Cnil car elle estime que celle-ci n’a pas compris les exigences techniques afin de délivrer son service de location de courte durée sur la voie publique dans les meilleures conditions. Cityscoot est condamné pour une géo-localisation excessive de ses scooters – toutes les 30 secondes – et avoir conservé les trajets de ses clients. Cityscoot estime que des éléments clés de la conformité au RGPD n’ont pas été pris en compte par la Cnil. « La Cnil remet en cause le fonctionnement de notre service de manière infondée. Nous réfléchissons à contester cette décision devant le Conseil d’Etat » annonce Cityscoot.

La société estime que la Cnil l’a condamné sans tenir compte de ses arguments. Cityscoot affirme que contrairement à ce qui est indiqué par la Cnil, il ne collecte pas les données de géo-localisation de manière disproportionnée. « Au contraire, nous les collectons pour des finalités précises, et uniquement dans des cas limités parce que Cityscoot en a besoin pour fournir son service et gérer sa flotte de scooters » explique la société.

Ces données de géo-localisation permettent le remboursement des minutes non-utilisées. « Lorsqu’un utilisateur nous appelle pour nous dire qu’il n’a pas correctement mis fin à sa location, et nous demande de rembourser les minutes pendant lesquelles il n’a pas utilisé le scooter, nous avons besoin de vérifier depuis combien de temps le scooter est à l’arrêt pour pouvoir calculer le montant à rembourser » précise Cityscoot.

La Cnil suggère un fonctionnement technique balayé par Cityscoot

La société s’oppose à la Cnil qui déclare qu’il revient à l’utilisateur de vérifier qu’il a bien mis fin à sa location. « Des problèmes techniques ou de réseaux peuvent empêcher un utilisateur de le faire » relève Cityscoot. «  Dans ce cas, nous souhaitons pouvoir rembourser nos utilisateurs pour les minutes non-utilisées, lorsqu’ils nous en font la demande, pour maintenir la qualité de notre service client » poursuit l’entreprise.

Dès lors, pour Cityscoot, sa géo-localisation n’est pas disproportionnée et cela correspond aux attentes de ses utilisateurs. « Sans la géo-localisation, nous ne pourrons plus calculer les minutes non-utilisées et rembourser nos utilisateurs quand ils n’ont pas correctement mis fin à leur location » affirme la société. Cityscoot s’appose également à la suggestion de la Cnil de déclencher la géo-localisation au moment de l’appel d’un utilisateur. « Cela ne permettra pas à l’évidence de calculer les minutes non utilisées avant que l’utilisateur appelle » poursuit Cityscoot.

Autre raison d’une géo-localisation : retrouver les scooters volés, affirme Cityscoot. « Un scooter parcourt 400 mètres en 30 secondes quand il roule à 50km/heure » pointe la société. Pour Cityscoot, le seul moyen pour retrouver un scooter c’est de connaître sa dernière position pour délimiter un périmètre de recherche. La géo-localisation est donc essentielle, affirme Cityscoot. « Si nos scooters n’étaient pas géo-localisés, nous ne pourrions jamais les retrouver lorsqu’ils sont volés » insiste Cityscoot.

Les positions des scooters sont séparées des données des utilisateurs

Par ailleurs, Cityscoot veut souligner qu’il a mis en place des mesures protectrices de la vie privée. La société cite le fait que les données de position des scooters sont conservées dans une base distincte des données relatives aux utilisateurs. « La Cnil elle-même reconnaît qu’il s’agit d’un ‘choix d’architecture informatique respectueux de la vie privée (privacy by design)’ » s’étonne Cityscoot.

La société ajoute que les durées et les modalités de conservation des données sont conformes aux exigences du RGPD. « La Cnil l’a également reconnu dans sa décision » retient Cityscoot. Dernier point,  l’utilisation du dispositif Captcha de Google. « Le captcha est une technologie utilisée pour vérifier qu’une demande est bien faite par un humain et non par un logiciel malveillant en demandant une action que seul un humain peut faire comme reconnaître une image avec une forte distorsion, catégoriser des images non-évidentes, etc. » rappelle Cityscoot.

La société déclare que le leader mondial est Google avec ReCaptcha, le système de captcha le plus perfectionné et sécurisé, le plus intuitif. « Cependant, s’agissant de Google, des données personnelles transitent chez eux. Il n’y a aucune donnée de géo-localisation, ou personnelle sensible, mais des informations sur le compte Google peuvent être envoyées » reconnaît Cityscoot. « Suite à la demande de la Cnil, Cityscoot a complètement enlevé ReCaptcha et l’a remplacé par une solution 100% compatible RGPD qui s’appelle MtCaptcha » conclut la société.