Versie 2026-10 / Version 2026-10

TrapSpotter BV · Trekschurenstraat 245, 3500 Hasselt, Belgique · numéro d'entreprise 1031.603.017 (RPM Anvers, division Hasselt) · TVA BE1031603017 · privacy@trapspotter.com

Le présent accord de sous-traitance est le contrat visé à l'article 28 du règlement général sur la protection des données (règlement (UE) 2016/679, RGPD). Il fait partie des conditions professionnelles de TrapSpotter Teams et Fleet et s'applique entre l'entreprise qui utilise la console (le client), en tant que responsable du traitement, et TrapSpotter BV (TrapSpotter), en tant que sous-traitant. Les termes utilisés ont le sens que leur donne le RGPD.

1. Objet

1.1 TrapSpotter traite des données à caractère personnel pour le compte du client afin de fournir la console et les fonctions de Teams et de Fleet. L'annexe 1 décrit, pour chaque fonction, l'objet, la nature, la finalité, les personnes concernées, les données et la durée de conservation.

1.2 Pour le traitement des données à caractère personnel, le présent accord prévaut sur les conditions professionnelles.

2. Rôles

2.1 Le client est responsable du traitement pour les données de l'annexe 1. Il détermine les finalités, dispose d'une base juridique pour chaque traitement (pour les données relatives aux infractions routières, également d'un fondement admis par l'article 10 du RGPD, voir l'annexe 4), informe les personnes concernées et répond à leurs demandes.

2.2 TrapSpotter est sous-traitant pour ces données.

2.3 TrapSpotter est elle-même responsable du traitement, en dehors du présent accord, pour : le compte TrapSpotter personnel de chaque utilisateur et l'utilisation qu'il fait de l'application en dehors des fonctions de l'annexe 1 (comme les alertes, la navigation, les signalements et Premium), les données contractuelles et de facturation du client et de ses personnes de contact, la sécurité du service et la prévention des abus, et les statistiques qui n'identifient personne. La politique de confidentialité de TrapSpotter décrit ces traitements.

3. Instructions

3.1 TrapSpotter ne traite les données que sur instruction documentée du client, y compris en ce qui concerne les transferts vers un pays tiers. Les instructions sont : le présent accord, les conditions professionnelles, et ce que le client et ses gestionnaires paramètrent ou font dans la console. Le client donne toute autre instruction par écrit.

3.2 Si le droit de l'Union ou le droit d'un État membre oblige TrapSpotter à procéder à un traitement sans instruction, elle en informe le client au préalable, sauf si ce droit interdit cette information.

3.3 Si TrapSpotter estime qu'une instruction enfreint le RGPD ou d'autres dispositions relatives à la protection des données, elle en informe immédiatement le client. Elle n'est alors pas tenue d'exécuter l'instruction tant que le client ne l'a pas confirmée ou modifiée.

4. Confidentialité

4.1 Seuls les collaborateurs et les prestataires de TrapSpotter qui ont besoin des données pour leur mission y ont accès, et ils sont tenus à une obligation de confidentialité.

4.2 La console d'administration de TrapSpotter ne montre aux collaborateurs aucun trajet, itinéraire, adresse ou position, et ne permet pas d'ouvrir la console d'un client. Seuls les administrateurs techniques ont un accès technique à la base de données, pour la maintenance, la sécurité et la correction d'erreurs. Pour l'assistance, TrapSpotter ne consulte les données d'un client que si celui-ci le demande, et uniquement ce qui est nécessaire à cette fin.

5. Sécurité

TrapSpotter prend les mesures techniques et organisationnelles de l'annexe 2 (article 32 du RGPD) et les maintient à niveau. Elle peut les adapter, à condition que le niveau de protection ne baisse pas.

6. Sous-traitants ultérieurs

6.1 Le client donne à TrapSpotter une autorisation générale de faire appel aux sous-traitants ultérieurs de l'annexe 3.

6.2 TrapSpotter informe par e-mail le propriétaire du compte entreprise dans la console, au moins 30 jours à l'avance, de tout sous-traitant ultérieur nouveau ou remplaçant. Le client peut, dans ce délai, s'y opposer de manière motivée. Si les parties ne trouvent pas de solution, le client peut mettre fin au contrat avant que le sous-traitant ultérieur ne commence ; ce qu'il a payé à l'avance pour la période postérieure est remboursé.

6.3 TrapSpotter impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données qui correspondent au présent accord (article 28, paragraphe 4, du RGPD), et demeure pleinement responsable devant le client de leur exécution.

7. Transferts hors de l'Espace économique européen

7.1 La base de données et les fichiers du service se trouvent dans l'Union européenne (Stockholm, Suède), les serveurs propres de TrapSpotter en Allemagne. Certains sous-traitants ultérieurs traitent des données dans un pays situé hors de l'Espace économique européen (EEE) ou depuis un tel pays ; l'annexe 3 indique lesquels et où.

7.2 Un tel transfert n'a lieu qu'avec une garantie prévue au chapitre V du RGPD : une décision d'adéquation de la Commission européenne (pour les États-Unis : le cadre de protection des données UE-États-Unis, pour les entreprises certifiées dans ce cadre) ou les clauses contractuelles types de la Commission européenne. L'annexe 3 indique la garantie pour chaque sous-traitant ultérieur.

8. Assistance

8.1 Demandes des personnes concernées. Dans la console, le client peut consulter, exporter et rectifier les données, supprimer des véhicules et des documents, et désactiver des membres et des clients. Ce que le client ne peut pas faire lui-même, comme l'effacement de trajets, TrapSpotter l'exécute sur demande écrite du client dans un délai de dix jours ouvrables.

8.2 Si TrapSpotter reçoit elle-même une demande d'une personne concernée relative à des données du client, elle la transmet au client dans un délai de cinq jours ouvrables et n'y répond pas sur le fond, sauf si le client le demande.

8.3 TrapSpotter aide le client en ce qui concerne la sécurité, l'analyse d'impact relative à la protection des données (AIPD) et une éventuelle consultation préalable de l'autorité de contrôle, au moyen des informations dont elle dispose, dont les présentes annexes et le modèle d'AIPD par pays.

8.4 Cette assistance est gratuite, sauf pour les demandes manifestement infondées ou excessives ; TrapSpotter peut alors, après accord du client, demander des frais raisonnables.

9. Violations de données à caractère personnel

9.1 TrapSpotter notifie toute violation de données à caractère personnel du client dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, par e-mail au propriétaire et aux gestionnaires du compte entreprise, ou à l'adresse que le client indique à cet effet.

9.2 La notification contient, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et de données, les conséquences probables, les mesures prises et proposées, et une personne de contact. Les éléments encore inconnus sont communiqués dès qu'ils sont connus.

9.3 Le client décide de la notification à l'autorité de contrôle et de la communication aux personnes concernées (articles 33 et 34 du RGPD) ; TrapSpotter l'aide à cet égard et documente la violation.

10. Informations et audits

10.1 TrapSpotter met à la disposition du client les informations nécessaires pour démontrer qu'elle respecte le présent accord : notamment le présent accord et ses annexes, une description des mesures et la liste des sous-traitants ultérieurs.

10.2 Si ces informations ne suffisent pas, le client peut faire réaliser, à ses frais, un audit par un auditeur indépendant tenu à une obligation de confidentialité. Un audit a lieu au maximum une fois par an (sauf après une violation ou à la demande d'une autorité de contrôle), sur la base d'un plan écrit communiqué au moins 30 jours à l'avance, pendant les heures de bureau, et sans accès aux données d'autres clients. Pour les sous-traitants ultérieurs, leurs propres rapports d'audit et certificats s'appliquent.

11. Conservation et fin

11.1 Pendant la durée de l'accord, les durées de conservation de l'annexe 1 s'appliquent. Le client peut à tout moment demander par écrit que des données soient effacées plus tôt ; TrapSpotter y procède dans un délai de dix jours ouvrables.

11.2 Après la fin de l'abonnement, le client peut encore exporter ses données dans la console pendant 30 jours. Ensuite, TrapSpotter efface dans les 30 jours toutes les données de l'annexe 1, sauf si le droit de l'Union ou le droit d'un État membre exige leur conservation. Les données effacées disparaissent des sauvegardes lorsque celles-ci expirent, dans un délai de 30 jours au maximum.

11.3 Sur demande, TrapSpotter confirme l'effacement par écrit.

12. Responsabilité

À l'égard des personnes concernées, l'article 82 du RGPD s'applique. Entre les parties, le régime de responsabilité des conditions professionnelles s'applique, sauf dans la mesure où la loi l'interdit.

13. Durée, droit applicable et juridiction compétente

Le présent accord s'applique aussi longtemps que TrapSpotter traite des données à caractère personnel pour le compte du client. Le présent accord est régi par le droit belge ; les litiges sont soumis à la juridiction désignée par les conditions professionnelles.

Annexe 1. Description du traitement

Nature du traitement. Collecte via l'application et la console, conservation, organisation, affichage, calcul (heures, kilomètres, indemnités), export, envoi (e-mails, notifications push) et effacement.

Personnes concernées. Propriétaires et gestionnaires du client ; chauffeurs (membres du personnel et autres collaborateurs que le client invite) ; personnes invitées ; personnes de contact des clients du client.

Durée. Pendant toute la durée de l'accord, puis pendant le délai prévu à l'article 11.

Par fonction :

Membres et invitations (Teams et Fleet). Données : prénom, nom, adresse e-mail, téléphone, fonction, numéro de personnel, notes, rôle, statut, siège (une place de chauffeur payante), si un propriétaire ou un gestionnaire fait aussi enregistrer ses propres trajets professionnels, dates d'invitation, d'acceptation et de départ. Finalité : gérer les accès et les sièges. Conservation : tant que le membre existe ; un membre parti ou retiré reste conservé tant que des données de travail y sont liées, au plus tard jusqu'à la fin de l'accord. Une invitation est valable 7 jours et est effacée au plus tard 90 jours après son envoi, dès qu'elle a été utilisée ou révoquée, ou qu'elle a expiré.
Journées de travail (Fleet). Données : début et fin, motif de la fin (arrêt par le chauffeur, arrêt automatique, fin de l'abonnement, départ), le véhicule ou la voiture personnelle. Finalité : temps de travail et kilomètres par journée de travail. Conservation : jusqu'à la fin de l'accord, sauf si le client demande l'effacement plus tôt.
Trajets (Fleet). Données : heures de début et de fin, positions de début et de fin avec l'adresse, l'itinéraire suivi (simplifié), la distance, le client, le véhicule ou la voiture personnelle, une note, et si le trajet est privé. D'un trajet privé, seules l'heure et la distance restent : les lieux, l'itinéraire et le client sont définitivement effacés sur le serveur, et la base de données n'accepte aucun trajet privé contenant de telles données. Finalité : justifier les trajets et les visites, calculer les kilomètres et les indemnités. Conservation : comme pour les journées de travail.
Positions en direct (Fleet, uniquement si le client les active). Données : position, direction et vitesse selon le téléphone, et l'heure ; au maximum une fois par minute, uniquement pendant une journée de travail et jamais pendant un trajet privé. La console affiche la position, pas la vitesse. Finalité : savoir qui se trouve où pendant le travail (planification, assistance). Conservation : effacées après 30 minutes, à la fin de la journée de travail, lorsque le chauffeur quitte l'entreprise, et immédiatement pour tous les chauffeurs lorsque le client désactive les positions en direct.
Clients et adresses (Fleet). Personnes concernées : clients du client et leurs personnes de contact. Données : nom, adresse, position, étiquette, personne de contact, téléphone, note. Finalité : relier les trajets aux visites et afficher les adresses dans l'application. Conservation : jusqu'à la fin de l'accord, sauf si le client demande l'effacement plus tôt.
Véhicules et documents (Fleet). Données : plaque d'immatriculation, marque, modèle, année de construction, carburant, kilométrage, chauffeur attribué ; type de document, référence, date d'expiration. Un e-mail au propriétaire et aux gestionnaires 30 et 7 jours avant l'expiration d'un document. Finalité : gérer le parc de véhicules et savoir qui conduisait quel véhicule. Conservation : jusqu'à ce que le client les supprime, au plus tard jusqu'à la fin de l'accord.
Reçus (Fleet). Données : date, type, commerçant, montant, TVA, litres, photo, statut, qui a décidé et quand. Les photos sont conservées dans un stockage à accès restreint : seuls le chauffeur qui les a envoyées ainsi que le propriétaire et les gestionnaires les voient, via des liens valables cinq minutes. Finalité : rembourser les frais. Conservation : jusqu'à la fin de l'accord, sauf si le client demande l'effacement plus tôt. Le client conserve lui-même ce qu'il doit conserver pour sa comptabilité.
Amendes, « Qui conduisait ? » (Fleet ; uniquement le propriétaire et les gestionnaires). Personnes concernées : chauffeurs. Données : plaque d'immatriculation, date, heure et lieu de l'infraction, référence de l'autorité, date de réception, délai, statut, le trajet et le chauffeur trouvés, la question posée au chauffeur et sa réponse, notes. Il s'agit de données relatives à des infractions au sens de l'article 10 du RGPD. Finalité : retrouver le conducteur et, lorsque la loi l'exige, le désigner dans le délai (annexe 4). Conservation : effacées automatiquement au plus tard 24 mois après la date de l'infraction. Le client les efface plus tôt lorsque le droit qui lui est applicable ou son autorité de contrôle le demande ; ainsi, en France, la CNIL recommande d'effacer les données servant à la désignation 45 jours après la réception de l'amende, et aux Pays-Bas, un propriétaire ou un détenteur de véhicule ne peut pas tenir de registre des infractions (annexe 4).
Relevé kilométrique (Fleet). Calculé à partir des journées de travail et des trajets lorsque le client le demande : kilomètres professionnels avec la voiture personnelle et avec un véhicule de société, nombre de trajets privés (sans les lieux), journées de travail, heures et indemnité ; par client : visites, kilomètres et temps passé sur place. Finalité : préparer l'indemnité kilométrique et la facturation aux clients. Conservation : il n'est pas conservé séparément.
Journal d'activité (Teams et Fleet). Données : qui a fait quoi dans la console et quand (par exemple un membre invité ou retiré, un paramètre modifié). Finalité : sécurité et responsabilité. Conservation : jusqu'à la fin de l'accord.
E-mails et notifications push (Teams et Fleet). Données : nom, adresse e-mail et nom de l'entreprise dans les invitations ; pour les chauffeurs, une notification push en cas de question concernant une amende ou lorsque le serveur a mis fin à une journée de travail ; pour les propriétaires et les gestionnaires, des rappels concernant les documents et les délais des amendes. Finalité : les fonctions ci-dessus. Conservation : les fournisseurs conservent les journaux d'envoi conformément à l'annexe 3.

Annexe 2. Mesures techniques et organisationnelles

Hébergement dans l'UE. Base de données, stockage de fichiers et fonctions serveur chez Supabase dans la région AWS eu-north-1 (Stockholm, Suède) ; serveurs propres pour les cartes et les adresses chez Hetzner à Falkenstein (Allemagne).
Chiffrement. TLS pendant le transport ; chiffrement des données stockées par le fournisseur d'hébergement.
Accès via des fonctions contrôlées. Les applications et les navigateurs n'ont pas d'accès direct aux tables (row level security sur chaque table, sans droits pour les utilisateurs). À chaque appel, chaque fonction vérifie qui est l'utilisateur, à quelle entreprise il appartient, quel est son rôle, et si l'entreprise est active.
Rôles. Propriétaire, gestionnaire et chauffeur. Un chauffeur ne voit que ses propres données. Les amendes ne sont visibles que pour le propriétaire et les gestionnaires.
Enregistrement minimal. Uniquement pendant une journée de travail, avec un arrêt automatique. Les trajets privés sont expurgés sur le serveur. Les positions en direct sont désactivées par défaut, au maximum une par minute, et effacées après 30 minutes. Les amendes sont effacées au plus tard 24 mois après l'infraction.
Invitations. Une clé aléatoire de 256 bits, dont seul le hachage est conservé ; valable 7 jours et utilisable une seule fois.
Reçus. Stockage à accès restreint ; lisibles uniquement via des liens valables cinq minutes.
Abus. Limitation du nombre de requêtes pour les opérations d'écriture et les fonctions sensibles ; protection contre les robots lors de la connexion à la console.
Journal d'activité. Les actions effectuées dans la console sont journalisées.
Collaborateurs de TrapSpotter. Accès selon le besoin et avec une obligation de confidentialité ; la console d'administration ne montre aucun trajet, itinéraire, adresse ou position et ne permet pas d'ouvrir la console d'un client.
Secrets. Les clés sont conservées dans les environnements d'administration des fournisseurs, pas dans le code source.
Vulnérabilités. Contrôle quotidien des logiciels utilisés afin de détecter les vulnérabilités connues.
Tests. Des tests automatisés vérifient les règles d'accès par rôle.
Rapports d'erreurs. Les erreurs sont signalées avec des données techniques (type d'erreur, version, appareil, identifiant de l'utilisateur), sans le contenu des trajets ou des positions.
Sauvegardes par le fournisseur d'hébergement, qui expirent dans un délai de 30 jours au maximum.
Incidents. Une procédure pour détecter, limiter et documenter les violations, et les notifier au client dans les 48 heures.

Annexe 3. Sous-traitants ultérieurs

Pour le service :

Supabase Pte. Ltd. (Singapour), avec Amazon Web Services comme fournisseur d'hébergement. Base de données, authentification, stockage de fichiers (y compris les photos des reçus) et fonctions serveur. Lieu : région AWS eu-north-1 (Stockholm, Suède) ; l'assistance fournie par Supabase, Inc. depuis les États-Unis peut impliquer un accès. Garantie : clauses contractuelles types (module 2) dans l'accord de sous-traitance de Supabase.
Hetzner Online GmbH (Gunzenhausen, Allemagne). Les serveurs propres de TrapSpotter : la carte dans la console et la recherche de l'adresse correspondant à une position. Lieu : Falkenstein, Allemagne. Aucun transfert.
Mapbox, Inc. (États-Unis). Solution de secours pour la recherche de l'adresse correspondant à une position, lorsque le serveur propre ne répond pas. Ne reçoit que des coordonnées, ni nom ni identifiant d'utilisateur. Lieu : États-Unis. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types.
Plus Five Five, Inc. (Resend, États-Unis). Envoi d'e-mails (invitations, rappels). Envoi depuis l'Irlande ; les données des e-mails et les journaux sont conservés aux États-Unis. Garantie : clauses contractuelles types ; cadre de protection des données UE-États-Unis.
Functional Software, Inc. (Sentry, États-Unis). Rapports d'erreurs de l'application et de la console : type d'erreur, version, appareil, identifiant de l'utilisateur. Lieu : Union européenne (Francfort) ; certaines données de compte aux États-Unis. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types à titre subsidiaire.
Vercel Inc. (États-Unis). Hébergement de la console sur fleet.trapspotter.com : fournit les pages et reçoit à cette occasion l'adresse IP et des données techniques du navigateur. Lieu : réseau mondial. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types.
Cloudflare, Inc. (États-Unis). Protection contre les robots (Turnstile) lors de la connexion à la console : adresse IP et signaux techniques du navigateur. Lieu : réseau mondial. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types. Cloudflare utilise également ces signaux en tant que responsable du traitement distinct pour améliorer sa détection des bots.
Google LLC et Google Ireland Limited (Firebase Cloud Messaging). Notifications push vers les téléphones Android : le jeton de l'appareil et le texte de la notification. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types.
Apple Inc. (États-Unis, Apple Push Notification service). Notifications push vers les iPhone : le jeton de l'appareil et le texte de la notification. Apple ne propose pour ce service ni accord de sous-traitance ni clauses contractuelles types ; c'est pourquoi les notifications push du service ne contiennent qu'un texte général, sans plaque d'immatriculation, lieu ni infraction. Le chauffeur ne voit les détails que dans l'application.

Pour la facturation (TrapSpotter en tant que responsable du traitement ; pour information) :

Stripe Payments Europe, Limited (Irlande) : abonnement, paiements et factures ; transfert à Stripe, LLC (États-Unis) au titre du cadre de protection des données UE-États-Unis et de clauses contractuelles types.
Billit NV (Gand, Belgique), dès que l'envoi via Peppol est actif : factures aux clients belges via le réseau Peppol ; serveurs en Europe.

Annexe 4. Base juridique des données relatives aux amendes (à titre informatif)

Le client détermine sa base juridique. La présente annexe résume ce que TrapSpotter a trouvé ; elle ne constitue pas un conseil juridique. Un délai court à partir de la date que fixe la loi (généralement l'envoi ou la date du courrier), et non à partir de la réception.

Belgique. La personne morale, ou la personne physique qui la représente en droit, communique l'identité du conducteur ou, si elle ne la connaît pas, celle de la personne responsable du véhicule, dans les 15 jours suivant l'envoi de la demande de renseignements (article 67ter de la loi relative à la police de la circulation routière). Quiconque ne le fait pas encourt, depuis le 1er septembre 2026, une amende de 1 600 € à 32 000 €, à majorer des décimes additionnels (article 29ter). Base juridique : article 6, paragraphe 1, point c), du RGPD. Article 10 du RGPD : article 10, § 1er, 1°, de la loi du 30 juillet 2018 (gestion de ses propres contentieux), à confirmer par le client ; le client tient la liste des catégories de personnes ayant accès et veille à ce qu'elles soient tenues à la confidentialité (article 10, § 2).
Luxembourg. Le représentant légal de la personne morale titulaire du certificat d'immatriculation communique les données permettant d'identifier le conducteur dans les 45 jours suivant la date du courrier, avec un mois supplémentaire pour les personnes qui ne résident pas au Luxembourg (articles 4, 8, 8bis et 9 de la loi modifiée du 25 juillet 2015). Quiconque ne le fait pas encourt une amende de 1 000 € à 10 000 € (article 12). Base juridique : article 6, paragraphe 1, point c), du RGPD. Article 10 du RGPD : la même obligation légale ; nous n'avons pas trouvé de règle luxembourgeoise expresse pour les employeurs privés.
France. Le représentant légal d'une personne morale titulaire du certificat d'immatriculation ou détentrice du véhicule communique l'identité et l'adresse du conducteur dans les 45 jours suivant l'envoi ou la remise de l'avis d'infraction, pour les infractions constatées par un appareil de contrôle automatique (article L121-6 du Code de la route). Quiconque ne le fait pas expose la personne morale à une amende forfaitaire de 675 € (1 000 € si l'infraction initiale est un délit). Base juridique : article 6, paragraphe 1, point c), du RGPD. Article 10 du RGPD : article 46 de la loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés), avec les articles A121-1 et suivants du Code de la route, comme le confirme le référentiel 2021-043 de la CNIL relatif à la désignation des conducteurs. Ce référentiel recommande de conserver les données servant à la désignation pendant 45 jours à compter de la réception de l'amende ; le client les efface ensuite dans la console ou demande à TrapSpotter de le faire.
Pays-Bas. Pour une amende relevant de la loi Mulder (WAHV), il n'existe pas d'obligation de désigner le conducteur : le titulaire de l'immatriculation paie (article 5 de la WAHV) et peut, depuis le 1er septembre 2026, traiter des données à caractère personnel pour récupérer l'amende auprès du conducteur (article 5, alinéa 2, de la WAHV). En cas d'ordonnance pénale (strafbeschikking), le propriétaire ou le détenteur du véhicule est responsable, sauf s'il communique le nom et l'adresse du conducteur (article 181 de la Wegenverkeerswet 1994, dont l'alinéa 5 prévoit une base pour les données pénales) ; en cas de délit, il doit faire connaître le conducteur dans le délai fixé par la réquisition, qui est d'au moins 48 heures (article 165). Base juridique : article 6, paragraphe 1, point f), du RGPD, ou point c) dans le cas de l'article 165. Les données pénales relatives au personnel sont traitées selon des règles établies avec l'accord du conseil d'entreprise (article 33, alinéa 3, de l'UAVG). Le législateur souligne qu'un propriétaire ou un détenteur de véhicule ne peut pas tenir de registre des infractions et ne peut traiter des données que pour chaque sanction concrète. Selon le législateur, les amendes Mulder ne sont pas des données au sens de l'article 10 du RGPD ; le service les traite comme telles par précaution.
Allemagne. Il n'existe pas d'obligation de désigner le conducteur. Si le conducteur ne peut pas être identifié, l'autorité peut, en vertu du § 31a StVZO, imposer au détenteur la tenue d'un carnet de bord (Fahrtenbuch). Base juridique : article 6, paragraphe 1, point f), du RGPD. Article 10 du RGPD : nous n'avons pas trouvé de base claire en droit allemand pour les employeurs ; le client ne traite ces données que pour chaque amende concrète et fait examiner sa base juridique.

Une infraction routière relève de l'article 10 du RGPD selon la Cour de justice (22 juin 2021, C-439/19).