Comment le RGPD encadre-t-il la communication de données lors d'un contrôle de travail illégal ?
Réponse courte
La transmission de données aux agents de contrôle repose sur une obligation légale au sens de l'article 6, paragraphe 1, point c) du RGPD. Les membres de l'inspectorat du travail peuvent exiger communication de tous livres, registres, fichiers, documents et informations relatifs aux conditions de travail (art. L.614-4) : le consentement des salariés n'a pas à être recueilli et ne peut être opposé.
Cette obligation ne vaut toutefois que dans la limite de la demande. L'employeur communique les seuls documents sollicités, vérifie la qualité des agents et documente chaque transmission dans son registre des activités de traitement.
Refuser la communication n'est pas une option praticable : le non-respect d'une injonction du directeur de l'ITM est puni d'une amende administrative pouvant atteindre 25 000 euros (art. L.614-13).
Définition
Un contrôle de travail illégal donne lieu à la communication de données à caractère personnel : identité, nationalité, titre de séjour, horaires, bulletins de salaire, affiliations. Cette communication est un traitement de données soumis au RGPD, dont la base licite est l'obligation légale pesant sur l'employeur et non son intérêt légitime. L'employeur reste responsable du traitement pour les données qu'il détient ; les autorités de contrôle le sont pour celles qu'elles collectent.
Conditions d’exercice
Le RGPD ne fait pas obstacle au contrôle : il en délimite l'assiette, en imposant que chaque donnée transmise réponde à une demande identifiée.
| Élément | Détail |
|---|---|
| Base licite | Article 6, paragraphe 1, point c) du RGPD : respect d'une obligation légale à laquelle l'employeur est soumis |
| Étendue légale | Livres, registres, fichiers, documents et informations relatifs aux conditions de travail, avec faculté de reproduction ou d'extraits (art. L.614-4) |
| Agents habilités | Police grand-ducale, agents des Douanes et accises à partir du grade de brigadier principal, membres de l'inspectorat du travail, fonctionnaires du département délivrant les autorisations d'établissement (art. L.573-1) |
| Minimisation | Seules les données adéquates, pertinentes et limitées à la demande sont transmises |
| Information des personnes | Due au titre des articles 13 et 14 du RGPD, sauf lorsqu'une exception légale s'applique |
| Données de surveillance | Les relevés issus d'un dispositif de surveillance ne sont exploitables que si ce dispositif respectait l'art. L.261-1 |
Modalités pratiques
Un contrôle se prépare avant d'avoir lieu : l'essentiel des difficultés vient de documents introuvables ou communiqués en excès.
| Aspect | Détail |
|---|---|
| Documents attendus | Contrats de travail, déclarations d'entrée au CCSS, registre spécial des heures (art. L.211-29), bulletins de salaire, copies des titres de séjour des ressortissants de pays tiers |
| Vérification préalable | Identité et qualité des agents, objet du contrôle, fondement de la demande |
| Traçabilité | Date, destinataire, liste des pièces remises, forme de la remise ; conservation d'une copie de ce qui a été transmis |
| Registre des traitements | Mention explicite de la finalité « réponse aux contrôles des autorités » et des catégories de données concernées |
| Sécurité | Transmission par canal maîtrisé, pas de messagerie personnelle ni de support amovible non chiffré |
| Interlocuteur unique | Une personne désignée centralise les échanges avec les autorités et sollicite le DPO en cas de doute |
Pratiques et recommandations
Le réflexe le plus utile est de séparer deux questions que les équipes confondent souvent : « ai-je le droit de transmettre ? » et « suis-je obligé de transmettre ? ». Dans un contrôle de travail illégal, la seconde question est déjà tranchée par la loi ; il n'y a donc pas à rechercher une base légale supplémentaire, ni à demander l'accord des personnes concernées.
À l'inverse, la sur-transmission est un risque réel. Remettre l'intégralité d'un dossier du personnel quand seule la copie d'un titre de séjour est demandée constitue une communication sans base légale, dont l'employeur répond seul.
L'information des salariés sur le traitement de leurs données, lorsqu'elle est due, s'anticipe dans la politique de protection des données sous une forme générique : « réponse aux contrôles des autorités ». Improvisée le jour du contrôle, elle arrive de toute façon trop tard pour être utile et retarde une remise que la loi rend obligatoire.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.211-29 | Registre spécial des heures de travail, présenté à toute demande des agents de l'ITM |
| Art. L.261-1 | Conditions de licéité du traitement de données à des fins de surveillance des salariés |
| Art. L.572-3 | Obligation de détenir une copie de l'autorisation ou du titre de séjour du ressortissant de pays tiers en vue d'une inspection |
| Art. L.573-1 | Corps habilités à rechercher et constater les infractions en matière de travail illégal |
| Art. L.573-3 | Amende de 251 à 125 000 euros pour obstacle à l'accomplissement de leurs devoirs par les agents de contrôle |
| Art. L.612-1 | Missions de l'ITM : veiller à l'application de la législation, constater les infractions, aviser le procureur d'État |
| Art. L.614-4 | Pouvoir d'exiger communication des livres, registres, fichiers, documents et informations |
| Art. L.614-13 | Amende administrative jusqu'à 25 000 euros en cas de non-respect d'une injonction du directeur de l'ITM |
| Règlement (UE) 2016/679 | Licéité, minimisation, information des personnes, registre des activités de traitement |
| Loi du 1er août 2018 | Protection des personnes à l'égard du traitement des données à caractère personnel |
Note
Le RGPD ne permet jamais de refuser une communication légalement exigée par un agent habilité ; il en limite seulement l'étendue. Mettre obstacle au contrôle est puni d'une amende de 251 à 125 000 euros.