RGPD garage automobile : organiser les données clients

Un garage peut détenir un historique d’entretien légitime tout en conservant trop de pièces de financement ou en remettant à un acheteur les coordonnées de l’ancien propriétaire. La conformité consiste à séparer ces usages et à contrôler ce qui circule entre atelier, commerce, financeur et constructeur.

Identifier les données liées aux véhicules

Le VIN, la plaque et les interventions deviennent des données personnelles lorsqu’ils se rapportent à une personne physique identifiée ou identifiable. Dans le fichier du garage, le rapprochement avec un client permet souvent cette identification. Une référence technique ne sort donc pas automatiquement du RGPD. RGPD, Art. 4(1).

Distinguez le véhicule, son détenteur, le conducteur, le payeur et le contact d’une entreprise cliente. Ces personnes peuvent être différentes. Les justificatifs financiers sont des données personnelles à protéger ; certains contenus peuvent également révéler des catégories particulières, même si une donnée financière n’appartient pas, en elle-même, à la liste de l’Art. 9(1).

Une grille à compléter pour chaque parcours

Le contrat peut fonder les opérations nécessaires lorsqu’il lie le garage à la personne concernée. Il ne couvre pas automatiquement tous les salariés d’une société cliente ni tous les usages du CRM. Les obligations légales doivent être rattachées au texte pertinent ; l’intérêt légitime demande une analyse de nécessité et de mise en balance. RGPD, Art. 6(1)(b), 6(1)(c) et 6(1)(f).

Reportez cette grille dans le registre, en précisant les destinataires, les durées et les mesures de sécurité. Un registre des activités de traitement rempli permet de structurer cette documentation.

Financement et constructeurs : qualifier chaque échange

La banque qui décide de l’octroi d’un crédit exerce généralement ses propres responsabilités. Le rôle du garage dans la collecte et la transmission dépend du parcours et des décisions effectivement prises. Un organisme ne devient pas sous-traitant du seul fait qu’il est un partenaire commercial. CNIL, identifier son rôle.

Pour chaque partenaire, documentez la finalité, les données demandées, le canal, les rôles et le sort des copies. Une consigne du financeur ne justifie pas de conserver localement tout le dossier pendant la durée du crédit. Vérifiez si une preuve de transmission ou un document limité suffit aux besoins propres du garage.

Le logiciel de gestion, son hébergeur et son support doivent être examinés selon l’Art. 28 lorsqu’ils traitent pour le compte du garage. Les accès du constructeur au fichier et ses usages autonomes demandent une analyse séparée. La cartographie de la chaîne de sous-traitance aide à repérer les fournisseurs et accès indirects.

Reprise et vente : purger les données embarquées

Lors d’une reprise, distinguez le dossier de vente des informations stockées dans le véhicule : contacts synchronisés, trajets, adresses, comptes et appareils associés. Préparez une procédure de remise à zéro adaptée au véhicule, puis vérifiez le résultat et les éventuelles associations conservées à distance.

Pour remettre un historique d’entretien, préservez les informations techniques nécessaires en retirant les coordonnées, informations de paiement et autres données inutiles des anciens clients. La fiche sur les données personnelles dans un véhicule d’occasion organise ces deux contrôles.

La CNIL a publié le 30 juin 2026 sa recommandation sur la localisation des véhicules connectés, adoptée par délibération n° 2026-063 du 16 avril 2026. Elle traite notamment des particuliers propriétaires ou locataires, des profils et des risques laissés par les utilisateurs successifs. Son périmètre exclut les véhicules de fonction mis à disposition des salariés. Une base RGPD ne dispense pas d’examiner les règles de l’Art. 82 de la loi Informatique et Libertés sur l’accès aux données du véhicule. CNIL, recommandation véhicules connectés.

Caméras : distinguer atelier et espace public

Définissez le risque que chaque caméra doit prévenir et vérifiez son angle. La CNIL exclut la surveillance constante des salariés ; les postes de travail ne doivent pas être filmés sauf circonstances particulières justifiées, avec un cadrage proportionné. Les images sont en principe conservées au plus un mois, souvent quelques jours suffisent ; une extraction liée à une procédure suit un circuit distinct. Les zones ouvertes au public relèvent en outre d’une autorisation préfectorale. CNIL, vidéosurveillance au travail.

Les salariés doivent être informés préalablement des dispositifs recueillant des informations les concernant. La consultation de l’Art. L2312-38 s’inscrit dans les attributions du CSE des entreprises d’au moins cinquante salariés ; il faut vérifier le cadre applicable à l’établissement, sans affirmer une procédure identique pour tout garage. C. travail, L1222-4 et L2312-38.

Pour les véhicules utilisés par des salariés, la géolocalisation demande une finalité propre et une proportionnalité démontrée. Elle ne doit pas servir à suivre en permanence le personnel. Consultez notre guide sur la géolocalisation des véhicules professionnels avant d’activer une fonction déjà disponible dans l’outil.

Fixer les durées par document

Le principe de limitation de conservation de l’Art. 5(1)(e) n’impose pas un calendrier unique au dossier client. Les documents comptables et pièces justificatives relevant de l’Art. L123-22 se conservent dix ans ; cette règle ne s’étend pas à tous les exports du CRM. C. commerce, L123-22.

Pour l’entretien, définissez les besoins de suivi, de garantie et de preuve, puis séparez l’archive utile de l’accès courant. Pour le financement, retenez les seules obligations et nécessités propres au garage. Pour les véhicules prêtés, fixez une échéance aux données opérationnelles et aux comptes associés.

Exemple hypothétique : l’atelier conserve une intervention dans l’historique technique ; le dossier d’achat garde la facture selon sa durée légale ; les relevés bancaires reçus pour une demande de crédit sont supprimés dès qu’aucun besoin propre ne justifie leur conservation. Il ne s’agit pas de donner la durée la plus longue à ces trois ensembles.

Prospection, droits et sécurité

Pour la prospection électronique auprès des particuliers, vérifiez le consentement ou toutes les conditions de l’exception client : coordonnées recueillies lors d’une vente ou prestation, produits ou services analogues fournis par la même personne, opposition simple à la collecte et à chaque envoi. Un passage à l’atelier n’autorise pas toute campagne d’un réseau ou d’un financeur. CPCE, L34-5, alinéas 1 et 4.

Préparez la recherche d’un dossier par personne et par véhicule, en tenant compte des changements de propriétaire. Le droit d’accès ne doit pas entraîner la communication des données d’un autre conducteur. Protégez les postes du showroom, les dépôts de pièces, les accès du support et les sauvegardes conformément à l’Art. 32(1).

Examinez enfin les obligations de DPO et d’AIPD sur les critères des Art. 37(1) et 35(1), à partir des traitements réels. Ni l’étiquette « garage indépendant » ni le seul volume du fichier ne tranchent à eux seuls la question.

Ce qu’il faut retenir

• Les données d’un véhicule sont personnelles lorsqu’elles se rapportent à une personne identifiable.
• Le garage et ses partenaires peuvent avoir des rôles différents selon les flux.
• Reprise, historique d’entretien et données embarquées exigent des contrôles distincts.
• Les caméras doivent être justifiées et les formalités adaptées aux lieux filmés.
• La durée du crédit ou de la comptabilité ne détermine pas celle de tout le dossier.

FAQ

Faut-il un consentement pour réparer le véhicule ?

Pas lorsque les données sont nécessaires à un contrat avec la personne concernée et que cette base est applicable. L’information demeure obligatoire, et la publicité constitue une finalité distincte.

Peut-on remettre les anciennes factures à l’acheteur ?

Examinez d’abord les informations utiles à l’historique. Retirez les données personnelles inutiles des anciens clients et fournissez, lorsque cela suffit, un relevé technique adapté.

L’organisme de crédit est-il sous-traitant du garage ?

Pas automatiquement. La décision de financement et les obligations du prêteur relèvent généralement de finalités propres. Le rôle de chacun doit être décrit à partir du parcours réel.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.