Caroline Belotti – Avocate en droit des NTIC au sein du cabinet FTPA
Alexandre Ebtedaei, Avocat associé au sein du département Droit Social, cabinet FTPA
Les condamnations de plus en plus nombreuses des dispositifs de contrôle des déplacements des salariés imposent de faire un état des lieux des règles applicables en la matière.
Les dispositifs de contrôle des déplacements des salariés doivent correspondent à des motifs légitimes et proportionnels au but recherché
Dans de rares cas, c’est la loi ou les autorités publiques qui peuvent imposer la mise en place de dispositifs de suivi et de contrôle. Mais généralement, de tels dispositifs découlent de la volonté de l’entreprise de protéger son patrimoine, son savoir-faire, ses choix stratégiques, voire ses collaborateurs ou dirigeants.
Les moyens de contrôle sont variés, des plus classiques (vidéo surveillance, badges) aux plus sophistiqués (biométrie, géolocalisation,…). Principalement préventifs, ces dispositifs ont aussi pour objectif la constitution de preuves en cas de procédures judiciaires ou pénales intentées à l’encontre de salariés ou de tiers.
De manière indirecte, le contrôle des déplacements des collaborateurs, dans le cadre de leurs fonctions, pourra permettre également d’assurer le suivi de la durée de leur temps de travail.
Enfin, des dispositifs de géolocalisation peuvent faciliter la facturation d’une prestation, voire contrôler une meilleure allocation des moyens pour des prestations à accomplir dans des lieux dispersés.
De manière pragmatique, la CNIL n’a pas édicté d’interdiction absolue en ce qui concerne le recours aux dispositifs de suivi des déplacements des salariés. Mais elle incite à privilégier ceux qui minimisent la collecte de données personnelles, tout en s’assurant de l’impossibilité d’atteindre le même objectif avec des moyens plus respectueux des droits individuels. L’entreprise devra par ailleurs veiller à appréhender toutes les fonctionnalités des dispositifs qu’elle va déployer, dont celles qui pourraient potentiellement être dévoyées ou détournées de leur but initial.
L’étude de la jurisprudence (dont celle de la CNIL) montre que la surveillance des salariés doit être strictement limitée au temps et au lieu de travail, ne doit pas être permanente, ni être fixée sur leurs postes de travail.
L’information préalable des salariés
L’installation d’un dispositif de suivi et de contrôle clandestin étant susceptible de rendre illicite la preuve ainsi constituée, dans tous les cas, préalablement à sa mise en place, l’employeur doit informer :
- les instances représentatives du personnel, s’il en existe ;
- chacun des salariés concernés, notamment sur les modalités de fonctionnement du dispositif, des destinataires des informations collectées, et des modalités d’exercice de leurs droits d’opposition, d’accès et de rectification.
Les formalités déclaratives auprès de la CNIL
Les dispositifs de surveillance des salariés ne peuvent être mis en place qu’après avoir été déclarés ou autorisés par la CNIL. Aucune donnée personnelle issue d’un traitement non déclaré à la CNIL ne peut être invoquée à l’encontre d’un salarié pour fonder son licenciement, qu’il s’agisse de dispositifs utilisés dans les locaux, ou hors de l’entreprise.
- Vidéosurveillance. Lorsque la vidéosurveillance porte sur une partie de la voie publique, elle doit faire l’objet d’une autorisation de la préfecture et ne nécessite pas de déclaration auprès de la CNIL. En revanche, si elle ne concerne que les parties privatives de l’entreprise et intègre l’enregistrement des images, elle doit être déclarée auprès de la CNIL, dans le cadre d’une déclaration normale.
- Badges. ils doivent être déclarés et peuvent bénéficier de la norme simplifiée NS n° 42 de la CNIL si le système y est conforme.
- Biométrie. Ce sont des dispositifs permettant d’identifier une personne par ses caractéristiques physiques ou biologiques ou génétiques (empreinte digitale, reconnaissance du contour de la main, système veineux,…). La Biométrie n’est justifiée que si elle est fondée sur un véritable impératif de sécurité, notamment dans des zones hautement sécurisées. Elle doit dans tous les cas comporter des garanties de sécurité pour éviter la divulgation des données. Soumise à autorisation de la CNIL, elle peut bénéficier de ses différentes autorisations uniques si elle y est conforme.
- Géolocalisation des véhicules de société. Elle se réalise notamment grâce à des applications installées à la fois dans le véhicule et dans l’entreprise. Elle devra faire l’objet d’une déclaration normale sauf si celle-ci se conforme à la norme simplifiée NS 51 qui leur est dédiée.
- Géolocalisation des téléphones et tablettes. La combinaison de la carte SIM et le déploiement de la 4G installés sur ces nouveaux outils facilitent une localisation beaucoup plus précise de l’usager de l’appareil. Outre la mise en place d’une charte informatique interne d’usage négociée au sein de l’entreprise, la géolocalisation du salarié par ce biais devra faire l’objet d’une déclaration normale, la NS 47 relative notamment aux services de téléphonie fixe et mobile et datant de 2005 l’excluant expressément.
La relative complexité des règles applicables en la matière ne doit pas inciter les entreprises à les ignorer. La violation de ces obligations est pénalement sanctionnée (jusqu’à 300.000 € d’amendes et cinq ans d’emprisonnement pour le dirigeant social). La désignation d’un Correspondant Informatique et Libertés (CIL), interlocuteur privilégié de toutes les parties (Entreprise, salariés, CNIL) sur les questions de protection des données reste une solution pragmatique pour s’alléger des formalités déclaratives et veiller au quotidien, à la bonne application des règles édictées par la CNIL.