Géolocalisation : interdite hors temps de travail !

La géolocalisation est un dispositif en plein essor qui permet à l’employeur d’identifier la position géographique de ses salariés, à un instant donné ou en continu, en localisant le véhicule mis à sa disposition dans le cadre de son activité.

Dès lors qu’il permet de recueillir des données à caractère personnel sur les salariés, le dispositif de géolocalisation doit être conforme à la loi relative à l’informatique, aux fichiers et à la liberté (3). À ce titre, non seulement, la géolocalisation doit faire l’objet d’une déclaration préalable auprès de la Cnil, mais doit également respecter les dispositions légales. Notamment l’article L.1121-1 du Code du travail qui interdit à l’employeur d’apporter aux droits et libertés des salariés des restrictions qui ne sont pas justifiées par la nature de la tâche à accomplir, ni proportionnées au but recherché. Lorsque le dispositif mis en œuvre a pour finalité de contrôler l’activité des salariés, les représentants du personnel doivent être informés ainsi que chaque salarié individuellement concerné.

La Cnil est habilitée à établir des normes destinées (4) à simplifier l’obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n’est pas susceptible de porter atteinte à la vie privée ou aux libertés.

• Une interdiction générale de géolocalisation, en dehors du temps de travail

La nouvelle délibération pose expressément une interdiction générale de géolocalisation, en dehors du temps de travail « pour ne pas porter atteinte au respect de l'intimité de la vie privée, il n'est pas possible de collecter une donnée de localisation en dehors du temps de travail du conducteur, en particulier lors des trajets effectués entre son domicile et son lieu de travail ou pendant ses temps de pause ».

Il est également prévu désormais dans la liste des données pouvant être traitées : la date et l’heure de l’activation et de désactivation du dispositif de géolocalisation pendant le temps de travail.

La délibération précise que le salarié doit pouvoir désactiver le système de géolocalisation en dehors de son temps de travail, en particulier, « à l’issue de leurs temps de travail ou pendant le temps de pause ». En contrepartie, le responsable de traitement pourra demander des « explications » au salarié qui désactive trop longtemps ou fréquemment le dispositif de géolocalisation.

Concernant les employés investis d’un mandat électif ou syndical, la Cnil rappelle qu’ «ils ne peuvent en aucun cas faire l’objet d’une opération de géolocalisation lorsqu’ils agissent dans le cadre de l’exercice de leur mandat ».

Cette interdiction de collecter des informations, en dehors du temps de travail est rappelée dans la liste des finalités justifiant le recours au dispositif de géolocalisation.

• La liste des finalités de traitement complétée

La Cnil ne permet le recours au dispositif de géolocalisation que s’il poursuit une finalité, un but autorisé. Par ailleurs, l’employeur a l’interdiction d’utiliser le dispositif pour une autre finalité que celle déclarée.

La nouvelle norme édictée par la Cnil reprend et complète la liste des finalités pouvant être poursuivies. Est désormais autorisé le recours à la géolocalisation pour justifier le contrôle du respect des règles d’utilisation du véhicule définies par le responsable de traitement, sous réserve de ne pas collecter une donnée de localisation en dehors du temps de travail du conducteur. Par ailleurs, lorsque la géolocalisation a pour finalité accessoire le suivi du temps de travail (lorsque celui-ci ne peut être réalisé par un autre moyen), c’est dorénavant sous réserve notamment de ne pas collecter ou traiter de données de localisation en dehors du temps de travail des employés concernés.

• Une sécurité des données renforcée

Le dispositif de géolocalisation doit nécessairement être accompagné de mesures de sécurité limitant l’accès aux seules personnes habilitées et aux seules données effectivement nécessaires à la réalisation de leurs missions (c’est-à-dire aux données adéquates, pertinentes et non excessives au regard de la justification). Sont ainsi renforcées les anciennes précautions tant au moment de leur collecte que durant leur transmission et leur conservation afin d’empêcher, notamment, qu'elles soient déformées, endommagées ou accessibles à des tiers non autorisés.

Les organismes privés et publics concernés doivent être en conformité avec la nouvelle norme au plus tard le 17 juin 2016 (la norme simplifiée adoptée en 2006 est désormais abrogée).

(1) Commission nationale de l’informatique et des libertés.
(2) Délibération n° 2015-165 du 04.06.15 portant adoption d’une norme simplifiée concernant les traitements automatisés de donnés à caractère personnel mis en œuvre par les organismes publics et privés destinés à géolocaliser les véhicules utilisés par leurs employés (norme simplifiée n°51).
(3) Loi 78-17 du 06.01.78, modifiée, relative à l’informatique, aux fichiers et à la liberté.
(4) En vertu de l’article 24 de la loi du 6 janvier 1978.
(5) CA de bordeaux du 27.11.12, n° 11-06.565.