Les systèmes de badgeage doivent-ils être déclarés à la CNPD ?
Réponse courte
Les systèmes de badgeage ne doivent plus faire l’objet d’une déclaration préalable auprès de la CNPD. Cependant, l’employeur doit tenir un registre interne des activités de traitement et, en cas de risque élevé pour les droits et libertés des salariés, réaliser une analyse d’impact relative à la protection des données.
La consultation préalable de la CNPD n’est obligatoire que si le risque identifié ne peut pas être réduit à un niveau acceptable après l’analyse d’impact. L’employeur doit également consulter la délégation du personnel avant l’introduction ou la modification du système de badgeage.
Définition
Un système de badgeage désigne tout dispositif technique permettant d’enregistrer, de manière automatisée, les entrées, sorties ou déplacements des salariés sur le lieu de travail, généralement à l’aide de badges électroniques ou de dispositifs similaires. Ces systèmes collectent des données à caractère personnel, telles que l’identité du salarié, les horaires de présence et les mouvements au sein de l’entreprise.
Conditions d’exercice
La mise en place d’un système de badgeage constitue un traitement de données à caractère personnel au sens de la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel. Ce traitement doit répondre à une finalité déterminée, explicite et légitime, telle que la gestion du temps de travail, le contrôle d’accès ou la sécurité des locaux. Le recours au badgeage doit être proportionné à la finalité poursuivie et ne pas porter une atteinte excessive aux droits et libertés des salariés.
Modalités pratiques
Depuis l’entrée en vigueur du règlement (UE) 2016/679 et de la loi luxembourgeoise du 1er août 2018, la déclaration préalable des traitements auprès de la Commission nationale pour la protection des données (CNPD) n’est plus requise pour la majorité des traitements, y compris les systèmes de badgeage. Toutefois, l’employeur doit tenir un registre interne des activités de traitement, mentionnant notamment la description du système, les catégories de données collectées, les finalités, les destinataires et la durée de conservation. En cas de traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, une analyse d’impact relative à la protection des données (AIPD) doit être réalisée avant la mise en œuvre du système. La consultation préalable de la CNPD n’est obligatoire qu’en cas d’impossibilité de réduire le risque identifié à un niveau acceptable.
Pratiques et recommandations
Il est recommandé d’informer individuellement et collectivement les salariés de la mise en place du système de badgeage, de ses finalités, de la nature des données collectées, de la durée de conservation et des droits dont ils disposent. L’information doit être claire, accessible et documentée. L’employeur doit limiter l’accès aux données aux seules personnes habilitées et mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. Toute modification substantielle du système doit faire l’objet d’une réévaluation des risques et, le cas échéant, d’une mise à jour du registre et de l’analyse d’impact. La consultation préalable de la délégation du personnel est obligatoire avant l’introduction ou la modification d’un système de contrôle automatisé du temps de travail.
Cadre juridique
- Loi du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), applicable au Luxembourg.
- Code du travail, articles L.261-1 et suivants relatifs à la consultation de la délégation du personnel.
- Décisions et recommandations de la CNPD relatives aux dispositifs de contrôle du temps de travail.
Note
La CNPD peut effectuer des contrôles sur place et sanctionner tout manquement aux obligations en matière de traitement des données, même en l’absence d’obligation de déclaration préalable. Il est donc essentiel de documenter rigoureusement la conformité du système de badgeage et de conserver toutes les preuves des démarches accomplies.