RGPD et géocodage : envoyer des adresses clients à une API de géocodage pose-t-il problème ?

Réponse courte : cela peut en poser, et c'est gérable. Une adresse postale rattachée à un client est une donnée personnelle au sens du RGPD (article 4, 1). L'envoyer à un fournisseur de géocodage est un traitement, et le fournisseur est en général votre sous-traitant. Ces informations sont générales, pas un avis juridique ; demandez à votre délégué à la protection des données ou à votre conseil pour votre cas.

Ce que le RGPD vous demande

Une base légale pour le traitement et une finalité que le géocodage sert (préparation de tournées, contrôle de fraude, statistiques).
Un contrat avec le fournisseur conforme à l'article 28 : un accord de traitement de données (DPA) couvrant les instructions, la sécurité, les sous-traitants et la suppression.
Une évaluation des transferts si le fournisseur ou ses sous-traitants traitent des données hors de l'Espace économique européen (chapitre V, articles 44 à 46).
Minimisation et conservation : n'envoyez que le nécessaire, et sachez combien de temps le fournisseur et vous conservez les données.

Sources : règlement (UE) 2016/679, articles 4, 28 et 44 à 46, sur eur-lex.europa.eu. [À VÉRIFIER : relecture juridique avant publication.]

Questions à poser à tout fournisseur de géocodage

Où les requêtes sont-elles traitées, et par quels sous-traitants ?
Les requêtes sont-elles journalisées ? Combien de temps, avec quels champs ?
Mes requêtes sont-elles réutilisées, par exemple pour améliorer des produits ou entraîner des modèles ?
Puis-je obtenir un DPA, et se signe-t-il en ligne ?
Que deviennent les fichiers batch après traitement ?

Ce qu'Addrova affirme, et les preuves

Le mode zéro log d'Addrova est spécifié sous forme d'affirmations numérotées, chacune reliée à un test automatique. Celles qui comptent le plus pour une revue de confidentialité :

Aucune adresse, coordonnée ni clé d'API dans les journaux, sur toutes les routes, y compris en erreur (ZL-10).
La ligne du journal d'accès a une liste fixe de champs, sans adresse IP ni user-agent (ZL-01).
La base ne contient ni requête ni résultat (ZL-21).
Les fichiers d'entrée des batchs sont supprimés après traitement ; les résultats au bout d'une heure par défaut (ZL-22).
Aucun appel externe n'est fait pour le repli de réparation (ZL-30).

Le tableau complet, avec les noms des tests, est sur la page conformité.

Ce que ces affirmations ne couvrent pas

Le lieu d'hébergement. Les tests prouvent le comportement de l'application, pas l'emplacement des serveurs. L'hébergement exclusivement dans l'UE reste à confirmer et à documenter. [À VÉRIFIER]
La périphérie réseau. Un proxy devant l'API peut journaliser les URL s'il n'est pas configuré autrement ; c'est de l'infrastructure, vérifiée séparément. Préférez POST pour que les adresses ne figurent pas dans les URL.
Le DPA et la liste des sous-traitants : à publier avant le lancement. [À VÉRIFIER : DPA signé en ligne, sous-traitants]

Une liste de contrôle pratique

Inscrire le géocodage dans votre registre des activités de traitement.
Choisir POST et éviter de journaliser les corps de requête de votre côté.
Ne stocker que les coordonnées utiles, avec une durée de conservation.
Conserver l'attribution des sources renvoyée avec les résultats.
Relire chaque année le DPA et les sous-traitants du fournisseur.

FAQ

Les coordonnées sont-elles des données personnelles ? Souvent, quand elles peuvent être rattachées à une personne, par exemple une adresse de domicile. Appliquez les mêmes précautions qu'à l'adresse.

Zéro log signifie-t-il zéro risque ? Non. Cela retire une copie de vos données de nos journaux. Vous restez responsable de votre propre stockage et de votre base légale.