Une preuve issue d'un outil de gestion tiers est-elle recevable en justice ?
Réponse courte
Oui, et le recours à un prestataire ne modifie rien aux obligations. L'employeur reste responsable du traitement : c'est lui qui doit justifier de la licéité, avoir procédé à l'information préalable de l'article L.261-1 et pouvoir produire les données dans les meilleurs délais si l'ITM les demande.
Trois vérifications s'imposent avant d'exploiter ces données. Le contrat de sous-traitance exigé par l'article 28 du RGPD doit exister et encadrer les instructions, la sécurité et le recours à des sous-traitants ultérieurs. La localisation des données doit être connue, un hébergement hors de l'Union supposant un fondement du chapitre V du RGPD. Et l'information préalable doit avoir été faite si l'outil sert à surveiller l'activité.
Une contrainte pratique s'y ajoute : les journaux et historiques détenus par un prestataire ne survivent ni à la résiliation du contrat, ni toujours à un changement de version.
Définition
Le sous-traitant traite les données pour le compte de l'employeur. Il n'assume pas la responsabilité du traitement, qui demeure celle du responsable.
La réversibilité est la faculté de récupérer les données et les journaux dans un format exploitable en cas de changement de prestataire. Elle se négocie au contrat, jamais au moment de la rupture.
Questions fréquentes
Conditions d’exercice
Externaliser l'outil n'externalise ni la responsabilité ni la charge de la preuve.
| Élément | Régime |
|---|---|
| Responsable du traitement | L'employeur, quel que soit le prestataire retenu |
| Contrat de sous-traitance | Obligatoire, avec le contenu de l'article 28 du RGPD |
| Information préalable | Requise si l'outil sert à surveiller l'activité (L.261-1, §2) |
| Localisation des données | Hors de l'Union, transfert soumis au chapitre V du RGPD |
| Communication à l'ITM | Dans les meilleurs délais, quel que soit le lieu de stockage (L.614-4) |
| Droit d'accès du salarié | Article 15 du RGPD, opposable à l'employeur et non au prestataire |
| Journaux techniques | À extraire et archiver : ils ne survivent pas à la résiliation |
Modalités pratiques
Ce qui se vérifie avant de contracter détermine ce qui pourra être produit ensuite.
| Étape | Détail |
|---|---|
| Contrat | Vérifier les clauses de l'article 28 : instructions, confidentialité, sécurité, sous-traitants |
| Localisation | Identifier où résident les données et depuis où elles sont accessibles |
| Information préalable | La faire avant la mise en service, et en conserver la preuve |
| Extraction test | Mesurer le délai réel d'obtention d'un export complet |
| Archivage des journaux | Les exporter périodiquement, indépendamment de la plateforme |
| Réversibilité | Négocier format et délai de restitution avant la signature |
| Fin de contrat | Récupérer données et journaux avant la clôture de l'accès |
Pratiques et recommandations
La résiliation efface la preuve. Une entreprise qui change d'outil de gestion des temps ou de plateforme de signature perd l'accès aux journaux qui établissaient les pointages ou les validations — parfois sur plusieurs années. Cette perte est irréversible et se découvre au pire moment, lorsqu'un salarié conteste. Exportez périodiquement, sans attendre la fin du contrat.
Le prestataire n'est pas l'interlocuteur du salarié. Une demande d'accès au titre de l'article 15 du RGPD s'adresse à l'employeur, qui doit y répondre même si les données sont détenues ailleurs. Prévoyez contractuellement le concours du prestataire pour y satisfaire dans les délais.
Testez l'extraction avant d'en avoir besoin. L'obligation de communiquer à l'ITM dans les meilleurs délais ne s'accommode pas d'une procédure lourde chez un prestataire lointain, et le test révèle souvent que le format restitué n'est pas exploitable en l'état.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1, paragraphes (1) et (2) | Licéité du traitement à des fins de surveillance et information préalable obligatoire |
| Règlement (UE) 2016/679, art. 28 | Contrat de sous-traitance : instructions, sécurité, sous-traitants ultérieurs |
| Règlement (UE) 2016/679, art. 15 | Droit d'accès du salarié, opposable au responsable du traitement |
| Règlement (UE) 2016/679, art. 44 et suivants | Transferts de données hors de l'Union |
| Art. L.614-4 | Communication des documents à l'ITM dans les meilleurs délais |
| Art. 16 du Code de commerce | Conservation des documents dix ans à compter de la clôture de l'exercice |
Note
Externaliser l'outil n'externalise pas la responsabilité : l'employeur reste responsable du traitement et débiteur des données. Les journaux détenus par un prestataire disparaissent à la résiliation — les exporter périodiquement est la seule parade.