Géolocalisation des salariés : ce que la CNIL autorise

1. Le cadre juridique

La géolocalisation d'un salarié est un traitement de données personnelles. Trois corps de règles s'appliquent :

• le RGPD : finalité déterminée et légitime, minimisation des données, durée de conservation limitée, information des personnes, sécurité, analyse d'impact lorsque le traitement est susceptible d'engendrer un risque élevé ;
• le Code du travail : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L1222-4) ; les restrictions aux libertés doivent être justifiées et proportionnées (article L1121-1) ; le CSE est informé et consulté sur les moyens permettant un contrôle de l'activité des salariés (article L2312-38) ;
• la doctrine de la CNIL, en particulier sa fiche sur la géolocalisation des véhicules des salariés, qui sert de référence pour tous les dispositifs.

2. Les finalités admises par la CNIL

La CNIL admet la géolocalisation pour les objectifs suivants :

• suivre, justifier et facturer une prestation de transport de personnes ou de marchandises, ou une prestation de services directement liée à l'utilisation du véhicule ;
• assurer la sécurité de l'employé, des marchandises ou des véhicules dont il a la charge, notamment retrouver un véhicule volé ;
• mieux allouer les moyens pour des prestations à accomplir en des lieux dispersés, notamment les interventions d'urgence ;
• respecter une obligation légale ou réglementaire ;
• contrôler le respect des règles d'utilisation du véhicule définies par l'employeur ;
• suivre le temps de travail, de façon accessoire, lorsque ce suivi ne peut pas être réalisé par un autre moyen.

Le temps de travail, une finalité subsidiaire

La Cour de cassation a confirmé cette approche le 19 décembre 2018 (n° 17-14.631) : l'utilisation d'un système de géolocalisation pour contrôler la durée du travail n'est licite que si ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace. Elle n'est pas justifiée lorsque le salarié dispose d'une liberté dans l'organisation de son travail.

3. Ce qui est interdit

Le salarié doit pouvoir désactiver la géolocalisation en dehors de son temps de travail. L'employeur peut demander des explications en cas de désactivations trop fréquentes.

4. Informer les salariés et consulter le CSE

L'information individuelle

Avant la mise en service, chaque salarié concerné est informé, par exemple par un avenant, une note de service remise contre signature ou une notification dans l'application, de :

• l'identité du responsable de traitement et les finalités poursuivies ;
• la base légale du dispositif (en général l'intérêt légitime de l'employeur) ;
• les destinataires des données et leur durée de conservation ;
• ses droits (accès, rectification, opposition, limitation) et la possibilité d'introduire une réclamation auprès de la CNIL.

La consultation du CSE

Dans les entreprises qui ont un comité social et économique, celui-ci est informé et consulté préalablement à la mise en place. Un dispositif installé sans cette consultation, ou sans information des salariés, rend les données inopposables : elles ne pourront pas fonder une sanction.

Le registre et l'analyse d'impact

Le traitement est inscrit au registre des activités de traitement. Une analyse d'impact (AIPD) peut être obligatoire, notamment en cas de surveillance systématique de l'activité des salariés ; à défaut, elle reste recommandée pour documenter la proportionnalité du dispositif.

5. Combien de temps conserver les données ?

6. Le cas du pointage géolocalisé sur téléphone

La fiche de la CNIL vise d'abord les boîtiers installés dans les véhicules, qui enregistrent la position en continu. Les applications de pointage fonctionnent souvent autrement : elles relèvent la position une seule fois, au moment où le salarié appuie sur « pointer », pour vérifier qu'il se trouve bien sur le chantier ou chez le client. La CNIL n'a pas publié de fiche spécifique à ce mode de pointage ; on applique donc ses principes généraux.

Appliqués à ce cas, ces principes conduisent à une approche que nous jugeons proportionnée lorsque :

1. la finalité est limitée à la vérification de la présence sur le lieu de travail au moment du pointage, pour des salariés itinérants dont les horaires ne peuvent pas être contrôlés autrement ;
2. aucune position n'est collectée entre deux pointages, ni en dehors du temps de travail : pas de suivi continu, pas de trajet reconstitué ;
3. la donnée est minimisée : un indicateur « dans la zone / hors zone » suffit souvent, sans conserver l'historique détaillé au-delà de la durée nécessaire ;
4. une alternative existe pour le salarié qui ne souhaite pas utiliser la géolocalisation de son téléphone personnel : QR code affiché sur le site, borne tablette, déclaratif validé ;
5. l'information et la consultation décrites plus haut sont faites avant la mise en service.

Ce raisonnement ne dispense pas de l'analyse au cas par cas : pour un salarié sédentaire travaillant dans les locaux, une badgeuse ou une borne suffit, et la géolocalisation n'a pas lieu d'être. Pour les obligations générales d'enregistrement des heures, voir notre guide sur le décompte du temps de travail.

Questions fréquentes