Une carte en direct montre en permanence où se trouve chaque équipage. C’est exactement ce qu’on lui demande, et c’est aussi ce qui en fait un traitement de données personnelles. Données GPS et RGPD ne font pourtant pas mauvais ménage : en séparant la carte publique de la télémétrie privée, en informant les concurrents avant le départ et en fixant une durée de conservation, un organisateur couvre l’essentiel. Voici les points à prévoir, poste par poste. Cet article donne des repères concrets, pas un avis juridique : pour les cas particuliers, votre conseil habituel reste la bonne porte.
La position d’un équipage est une donnée personnelle
Le RGPD définit la donnée personnelle comme toute information se rapportant à une personne identifiable, et cite expressément les données de localisation parmi les identifiants possibles. Un point GPS isolé ne dit rien ; rattaché à un numéro de course, lui-même relié à une liste d’engagés avec noms et licences, il décrit les déplacements d’une personne précise, minute par minute, pendant une semaine. C’est le cas d’école d’une donnée personnelle.
Deux idées reçues tombent au passage. Remplacer le nom par un numéro de course ne fait pas sortir du RGPD : tant que l’organisation détient la table de correspondance, la donnée reste rattachable à une personne. Et courir hors d’Europe ne change rien : le règlement s’applique au traitement effectué dans le cadre des activités d’un organisateur établi dans l’Union, que le traitement ait lieu ou non sur le territoire européen. Un raid marocain organisé depuis la France reste donc concerné.
Ce que votre dispositif de suivi collecte vraiment
Avant de se demander ce qu’on a le droit de faire, il faut savoir ce qu’on collecte. Un dispositif de suivi complet produit davantage que des points sur une carte :
- Les positions horodatées, émises par la balise à fréquence régulière, qui forment la trace complète de chaque véhicule ;
- Les vitesses, calculées ou mesurées, notamment dans les zones de contrôle ;
- Les statuts et alertes : SOS, demande d’assistance, arrêt prolongé, batterie faible ;
- Les données d’identification : noms, numéro de course, véhicule, contacts d’urgence collectés à l’engagement.
Les fiches médicales que beaucoup d’épreuves demandent à l’engagement relèvent d’une catégorie particulière de données, avec des règles plus strictes : tenez-les à l’écart du système de suivi et limitez leur accès au médecin de course. Le reste de cet article porte sur les données GPS proprement dites.
Carte publique, télémétrie privée : les deux usages des données GPS
La question la plus utile à se poser n’est pas « peut-on diffuser ? » mais « qui a besoin de voir quoi ? ». Elle découpe naturellement le dispositif en deux traitements, avec deux finalités distinctes.
La carte publique sert à faire vivre la course aux proches, aux sponsors et au public : c’est l’objet même du suivi GPS en rallye-raid, et une partie de ce que les équipages viennent chercher en s’engageant. Pour remplir ce rôle, elle n’a besoin que de la position courante, du numéro, du nom d’équipage et du classement. Elle n’a pas besoin des vitesses instantanées, des alertes de sécurité ni de l’historique fin des arrêts : les afficher publiquement serait contraire au principe de minimisation, et accessoirement du très mauvais spectacle pour l’équipage arrêté sur une panne.
La télémétrie complète (traces intégrales, vitesses, alertes SOS, main courante) sert la sécurité et la direction de course. Elle reste au PC course, accessible aux seules personnes qui en ont besoin. C’est ainsi que les fonctionnalités RaidLine sont découpées : une carte publique partageable par lien d’un côté, des outils de PC course avec accès restreint de l’autre, sans que l’un expose les données de l’autre.
Informer les concurrents avant le départ
Le RGPD impose d’informer les personnes au moment où les données sont collectées : qui traite les données, pour quelles finalités, qui y a accès, combien de temps elles sont conservées, et quels droits les personnes peuvent exercer (accès, rectification, effacement, réclamation auprès de la CNIL en France). Rien d’insurmontable : en pratique, une clause dédiée dans le règlement particulier et un paragraphe clair dans le dossier d’engagement couvrent l’exercice, à condition d’être écrits en français courant et non en jargon.
Annoncez explicitement la diffusion publique de la position pendant la course et l’éventuel replay après l’arrivée : un concurrent qui s’engage en connaissance de cause ne découvrira pas sa trace en ligne par surprise. Précisez aussi que le prestataire de suivi traite les données pour le compte de l’organisation, et encadrez ce point dans le contrat qui vous lie à lui. Ces écrits rejoignent le même dossier que vos obligations de sécurité : en cas d’incident, les traces GPS que vous conservez font partie des éléments qui établissent ce que l’organisation savait et a fait, comme le détaille notre article sur la responsabilité de l’organisateur.
Conserver les données GPS après la course : ce que le RGPD impose
Le RGPD ne fixe aucune durée de conservation : il pose un principe, ne pas garder les données sous forme identifiable plus longtemps que nécessaire aux finalités annoncées. C’est à l’organisateur de définir ses durées, de les annoncer et de s’y tenir. Le plus simple est de raisonner par usage :
- Classement et réclamations. Les traces servent de preuve pour trancher une réclamation ou un contrôle de passage : conservez-les au moins jusqu’à l’expiration des délais de réclamation et la publication du classement définitif.
- Replay public. Laisser la carte consultable quelques semaines après l’arrivée prolonge la vie de l’épreuve pour les équipages et les sponsors. Donnez une échéance à cette fenêtre et fermez-la à la date dite.
- Statistiques et préparation des éditions suivantes. Kilométrages réels, temps de passage moyens, zones d’arrêts fréquents : tout cela se calcule sur des données agrégées ou anonymisées, qui sortent du champ du RGPD une fois le lien avec les personnes réellement rompu.
Une fois ces échéances passées, on supprime ou on anonymise. Garder « au cas où » des traces nominatives sans finalité est précisément ce que le principe de limitation de la conservation interdit, même si les données sont bien sécurisées.
Les réflexes à prendre côté organisateur
- Inventoriez ce que vous collectez. Positions, vitesses, alertes, identités, contacts : la liste tient sur une page et conditionne tout le reste.
- Séparez carte publique et télémétrie privée. Le public voit la course, le PC course voit la sécurité. Vérifiez que votre plateforme fait réellement cette distinction d’accès.
- Écrivez la clause d’information. Finalités, diffusion publique, durées, droits : dans le règlement particulier et le dossier d’engagement, avant la collecte.
- Encadrez votre prestataire. Il traite les données pour votre compte : le contrat doit dire ce qu’il en fait, où, et ce qu’il en reste après l’épreuve.
- Fixez les durées et tenez-les. Réclamations, replay, archives anonymisées : une échéance par usage, et une suppression effective à la date prévue.
- Préparez-vous à répondre. Un concurrent peut demander sa trace ou son effacement après l’épreuve : sachez qui répond et comment extraire les données d’une seule personne.
Rien de tout cela n’exige un juriste à demeure : c’est une après-midi de travail avant la première édition, puis une relecture par an. Et cela complète ce que les fédérations demandent déjà sur le volet sécurité, détaillé dans notre article sur la réglementation du suivi GPS en rallye-raid.
Un suivi en direct qui sépare public et PC course
RaidLine fournit la carte publique partageable par lien et les outils de direction de course à accès restreint, en marque blanche : chacun voit ce qu’il doit voir, rien de plus. Démonstration sur demande.
Demander une démoQuestions fréquentes
La position GPS d’un concurrent est-elle une donnée personnelle ?
Oui. Le RGPD cite les données de localisation parmi les identifiants qui rendent une personne identifiable. Un point GPS isolé ne dit rien, mais rattaché à un numéro de course et à une liste d’engagés, il décrit les déplacements d’une personne précise. Remplacer le nom par un numéro ne suffit pas à sortir du RGPD tant que l’organisation garde la correspondance.
Peut-on publier la position des équipages sur une carte publique ?
Oui, à condition de l’annoncer avant la course, dans le règlement et au moment de l’engagement, et de limiter la carte publique à ce dont les spectateurs ont besoin : position, numéro, nom d’équipage, classement. Les vitesses, les alertes et l’historique fin restent au PC course.
Combien de temps garder les traces GPS après la course ?
Le RGPD ne fixe aucune durée : il impose de ne pas conserver les données plus longtemps que nécessaire à la finalité annoncée. En pratique, on définit une durée par usage (réclamations et classement, replay public limité dans le temps), on l’annonce aux concurrents, puis on supprime ou on anonymise une fois l’échéance passée.
Le RGPD s’applique-t-il si la course a lieu hors d’Europe ?
Oui, dès lors que l’organisateur est établi dans l’Union européenne : le règlement s’applique au traitement effectué dans le cadre de ses activités, que le traitement ait lieu ou non dans l’Union. Un raid couru au Maroc par un organisateur français reste donc concerné.