Géolocaliser un fichier client sans risquer une sanction CNIL : la majorité des entreprises naviguent à vue. Ce guide détaille les 3 bases légales réellement applicables au géomarketing, les formulations exactes de consentement à utiliser et les seuils de précision géographique autorisés selon vos finalités.
Ce que le RGPD considère comme donnée de géolocalisation client
Adresse postale, code postal, coordonnées GPS : statuts juridiques distincts
Le RGPD classe les informations de localisation en deux catégories aux implications très différentes. L’adresse postale complète (numéro, rue, ville) constitue une donnée directement identifiante : elle permet, seule, de retrouver un individu. Le code postal seul relève des données indirectement identifiantes : croisé avec d’autres informations (âge, profession), il peut conduire à l’identification.
Les coordonnées GPS (latitude/longitude) entrent dans une zone grise qui dépend de leur précision. Un point GPS à 6 décimales localise une personne à 10 centimètres près — c’est une donnée directement identifiante. Arrondi au niveau communal, ce même point devient indirectement identifiant.
Exemple concret : « 12 rue Victor Hugo, 69001 Lyon » identifie directement un foyer. « 69001 » seul concerne 30 000 habitants et ne permet pas, isolément, d’identifier quelqu’un. Votre registre des traitements doit refléter cette distinction.
Le seuil de précision qui fait basculer vers la donnée sensible
La CNIL a établi dans ses recommandations sur la géolocalisation des véhicules et des personnes un seuil critique : une précision inférieure à 100 mètres permet potentiellement d’identifier un domicile ou un lieu de travail. En dessous de ce seuil, la donnée de localisation devient assimilable à une donnée sensible dans certains contextes (déplacements, habitudes de vie).
Pour le géomarketing analytique, cette limite oriente vos choix techniques. Analyser la répartition de vos clients par zone IRIS (2 000 habitants en moyenne) reste dans un cadre peu intrusif. Cartographier chaque client à l’adresse exacte exige des précautions renforcées : base légale solide, durée de conservation limitée, accès restreint.
Les 3 bases légales réellement utilisables pour collecter des adresses clients
Le consentement explicite : quand et comment le formuler
Le consentement explicite reste la base légale la plus sûre pour collecter adresses clients légalement dans une finalité de géomarketing. La CNIL exige un acte positif clair : case à cocher non pré-cochée, distincte des CGV.
Formulation type conforme pour un formulaire :
- « J’accepte que mon adresse soit utilisée pour analyser la zone de chalandise du magasin et recevoir des offres adaptées à ma localisation. Je peux retirer mon consentement à tout moment via [lien]. »
Cette formulation remplit les critères d’un opt-in valide : finalité explicite, mention du droit de retrait, action volontaire. Évitez les formulations vagues comme « améliorer nos services » qui ne couvrent pas l’usage géomarketing.
L’exécution du contrat : cas des livraisons et services à domicile
Pour un e-commerçant ou un prestataire intervenant à domicile, l’adresse collectée pour livraison repose sur l’exécution du contrat. Cette base légale ne nécessite pas de consentement spécifique — l’adresse est indispensable pour honorer la commande.
Attention au détournement de finalité : utiliser cette même adresse pour une analyse de zone de chalandise constitue un traitement distinct. La CNIL tolère ce glissement si vous l’avez documenté dans votre politique de confidentialité et si le client pouvait raisonnablement s’y attendre. Un commerçant qui analyse la répartition géographique de ses clients pour optimiser ses livraisons reste dans un périmètre cohérent.
L’intérêt légitime : conditions strictes et test de proportionnalité
L’intérêt légitime offre une alternative au consentement pour la géolocalisation fichier client rgpd, mais exige un test en 3 étapes documenté :
- Étape 1 — Légitimité : votre intérêt est-il légal, précis et réel ? Exemple : « Identifier les zones sous-pénétrées pour ouvrir de nouveaux points de vente. »
- Étape 2 — Nécessité : le traitement est-il indispensable à cet objectif ? Pouvez-vous l’atteindre sans géolocaliser individuellement ?
- Étape 3 — Mise en balance : les droits des personnes sont-ils préservés ? Une localisation au code postal préserve davantage la vie privée qu’une localisation GPS précise.
Ce test doit figurer dans votre documentation interne et être présenté au DPO avant déploiement.
Géolocaliser sans consentement explicite : ce qui est permis, ce qui ne l’est pas
Géocodage d’adresses déjà collectées : le cadre légal
Le géocodage — transformer « 12 rue Victor Hugo, Lyon » en coordonnées 45.7676, 4.8344 — ne constitue pas une nouvelle collecte. Vous exploitez une donnée existante sous une forme technique différente. Si l’adresse a été collectée légitimement avec une finalité analytique documentée, le géocodage s’inscrit dans le traitement initial.
La nuance critique : collecter une position GPS en temps réel via une application mobile est un traitement radicalement différent. Vous captez alors une donnée nouvelle, potentiellement continue, qui révèle les déplacements. Ce traitement exige un consentement explicite distinct.
Achat de fichiers enrichis en coordonnées GPS : les pièges à éviter
L’achat de fichiers géolocalisés auprès de data brokers expose à des risques majeurs. L’article 28 du RGPD vous impose de vérifier la conformité du fournisseur : comment les données ont-elles été collectées ? Avec quel consentement ? Pour quelle finalité ?
Cas pratique : un réseau de franchises souhaite acheter un fichier de 50 000 contacts géolocalisés pour prospecter. Vérifications obligatoires :
- Demander la preuve du consentement initial pour prospection par tiers
- Vérifier que la finalité « cession à des partenaires commerciaux » figurait dans l’information collecte
- Contrôler la date de collecte (données de plus de 3 ans = risque de non-conformité selon les recommandations CNIL)
- Exiger contractuellement la garantie de conformité RGPD du vendeur
Enrichir sa base données clients géolocalisée RGPD conforme : méthode pas à pas
Étape 1 : audit des données existantes et finalités documentées
Avant d’enrichir base clients coordonnées gps, cartographiez ce que vous possédez déjà. Quelles adresses sont complètes ? Quelles bases légales les couvrent ? Vos finalités documentées incluent-elles l’analyse géographique ?
Créez un tableau avec : source de la donnée, date de collecte, base légale, finalités autorisées. Cet audit révèle souvent que 30 à 40% des adresses sont incomplètes ou obsolètes — mieux vaut nettoyer avant d’enrichir.
Étape 2 : géocodage via API (Google Maps, IGN, OpenStreetMap)
La manipulation concrète : exportez vos adresses en CSV (colonnes : ID client, adresse, code postal, ville). Appelez une API de géocodage qui renvoie latitude et longitude pour chaque ligne.
Coûts moyens constatés :
- API IGN (adresse.data.gouv.fr) : gratuit, illimité, précision excellente sur la France
- Google Maps Geocoding API : 5€ pour 1 000 requêtes après les 200$ de crédit mensuel gratuit
- OpenStreetMap (Nominatim) : gratuit mais limité à 1 requête/seconde
Pour un fichier de 10 000 clients, l’API IGN représente le meilleur rapport qualité/coût. Le géocodage prend environ 15 minutes de traitement.
Étape 3 : rattachement aux zonages statistiques (IRIS, communes)
Les zones IRIS découpent la France en 50 000 unités de 2 000 habitants environ. Rattacher chaque client à son IRIS permet de croiser avec les données INSEE (revenus médians, CSP, âge moyen) sans identifier les individus.
Cette approche alimente directement vos analyses de zone de chalandise. Pour exploiter ces données dans votre stratégie commerciale, la segmentation RFM géolocalisée permet de croiser valeur client et données spatiales pour prioriser vos actions terrain.
Les mentions obligatoires et le registre des traitements
Rédiger l’information collecte pour un formulaire avec géolocalisation
L’article 13 du RGPD impose plusieurs mentions lors de la collecte. Voici leur adaptation à la conformité données localisation marketing :
- Identité du responsable : « Société X, 12 rue Y, SIRET… »
- Coordonnées DPO : « [email protected] »
- Finalités : « Analyse de votre zone géographique pour adapter nos offres locales »
- Base légale : « Votre consentement » ou « Notre intérêt légitime à optimiser notre réseau »
- Destinataires : « Service marketing, prestataire géomarketing X »
- Durée : « 3 ans après votre dernier achat »
- Droits : accès, rectification, effacement, opposition, portabilité, limitation
- Retrait du consentement : « À tout moment via [moyen] »
- Réclamation CNIL : « www.cnil.fr »
La fiche registre type pour un traitement géomarketing
Votre registre des traitements doit comporter une fiche dédiée. Modèle :
- Nom du traitement : Analyse de zone de chalandise
- Finalité : Identifier la répartition géographique des clients pour optimiser l’implantation et les actions commerciales
- Catégories de données : Adresse postale, coordonnées GPS, code IRIS
- Base légale : Intérêt légitime (test documenté le JJ/MM/AAAA)
- Durée de conservation : 3 ans après le dernier contact, conformément aux recommandations CNIL
- Mesures de sécurité : Chiffrement, accès restreint, pseudonymisation pour les exports
Exploiter le fichier en géomarketing sans créer de nouveau risque
Agrégation et anonymisation : les seuils de sécurité
Pour diffuser des analyses cartographiques internes ou externes, appliquez la règle des 11 individus minimum par zone. En dessous de ce seuil, le risque de réidentification devient significatif — un concurrent pourrait déduire l’identité de vos clients dans une zone peu dense.
L’anonymisation irréversible (suppression des identifiants, agrégation forte) sort les données du champ du RGPD. La pseudonymisation (remplacement par un identifiant) les maintient dans le périmètre réglementaire mais réduit les risques en cas de fuite.
Partage avec des prestataires : clauses contractuelles minimales
Tout prestataire géomarketing accédant à vos données géolocalisées doit signer un contrat incluant :
- Objet et durée du traitement définis précisément
- Finalité exclusive : le prestataire ne peut pas réutiliser vos données pour d’autres clients
- Mesures de sécurité techniques : chiffrement, hébergement localisé, accès nominatifs
- Interdiction de sous-traitance sans accord écrit préalable
- Obligation de suppression en fin de mission
- Clause d’audit : vous pouvez vérifier la conformité sur site
Ces données géolocalisées, une fois sécurisées, alimentent vos stratégies territoriales. Pour transformer ces analyses en actions commerciales concrètes, la construction de personas locaux adaptés à chaque territoire permet de traduire les données spatiales en profils opérationnels pour vos équipes terrain.
Le consentement géolocalisation clients n’est pas un obstacle au géomarketing — c’est le socle qui rend vos analyses exploitables sereinement, sans risque de sanction ni de perte de confiance.
Questions fréquentes
Comment collecter les adresses clients en respectant le RGPD ?
Trois bases légales permettent de collecter légalement des adresses clients : le consentement explicite via une case à cocher non pré-cochée, l’exécution d’un contrat (livraison, intervention à domicile), ou l’intérêt légitime après avoir réalisé le test de proportionnalité en 3 étapes. Chaque collecte doit être documentée dans le registre des traitements avec sa finalité précise.
Peut-on géolocaliser ses clients sans leur consentement explicite ?
Oui, dans deux cas précis : le géocodage d’adresses déjà collectées légitimement (transformer une adresse postale en coordonnées GPS) ne nécessite pas de nouveau consentement si la finalité initiale le couvre. L’intérêt légitime peut aussi justifier une géolocalisation à faible précision (code postal, commune) pour l’analyse de zone de chalandise, après test de proportionnalité documenté.
Quelles mentions légales pour un fichier client géolocalisé ?
L’article 13 du RGPD impose 11 mentions : identité du responsable de traitement, coordonnées du DPO, finalités et base légale, destinataires, transferts hors UE, durée de conservation, droits de la personne, droit de réclamation auprès de la CNIL, caractère obligatoire ou facultatif de la collecte, et existence d’une prise de décision automatisée.
Quelle durée de conservation pour des données de géolocalisation client ?
La CNIL recommande une durée de 3 ans après le dernier contact actif pour les données de prospection commerciale, y compris les données de localisation. Pour les clients actifs, la conservation dure le temps de la relation contractuelle plus les délais légaux (5 ans pour les factures). Au-delà, l’anonymisation ou la suppression s’impose.
Comment enrichir légalement sa base clients avec des coordonnées GPS ?
Trois étapes : auditez d’abord vos données existantes et documentez la finalité d’enrichissement. Utilisez ensuite une API de géocodage (IGN gratuit, Google Maps à 5€/1000 adresses) pour convertir les adresses en lat/long. Rattachez enfin les coordonnées aux zonages statistiques IRIS pour croiser avec les données INSEE sans identifier les individus. Cet enrichissement ne requiert pas de nouveau consentement si la finalité analytique était prévue initialement.
Image à la une — Photo : Marina Leonova / Pexels