Faut-il une déclaration spécifique pour la géolocalisation des salariés ?
Réponse courte
Aucune déclaration préalable spécifique auprès de la CNPD n’est requise pour la géolocalisation des salariés au Luxembourg. Cependant, l’employeur doit obligatoirement informer individuellement et par écrit chaque salarié concerné, consulter la délégation du personnel avant la mise en place du dispositif, et documenter le traitement dans le registre des activités.
La réalisation d’une analyse d’impact relative à la protection des données (AIPD) est nécessaire si le traitement présente un risque élevé pour les droits et libertés des salariés. L’ensemble des démarches et de la documentation interne doit être conservé et tenu à disposition de la CNPD en cas de contrôle.
Définition
La géolocalisation des salariés désigne l’utilisation de dispositifs techniques permettant de localiser un salarié, en temps réel ou de manière différée, dans le cadre de son activité professionnelle. Ce traitement constitue une collecte de données à caractère personnel, soumise à des exigences strictes en matière de protection de la vie privée, conformément au Code du travail luxembourgeois et à la législation nationale sur la protection des données.
La géolocalisation est considérée comme une mesure de surveillance au sens du Code du travail. Elle implique des obligations spécifiques pour l’employeur, notamment en matière de transparence, de proportionnalité et de respect des droits fondamentaux des salariés.
Conditions d’exercice
La mise en place d’un système de géolocalisation n’est licite que si elle poursuit une finalité précise, légitime et proportionnée, telle que la sécurité des salariés, la gestion du temps de travail, la protection des biens de l’entreprise ou l’optimisation des déplacements professionnels.
L’employeur doit démontrer que la géolocalisation est strictement nécessaire à la réalisation de l’objectif poursuivi et qu’aucun autre moyen moins intrusif n’est envisageable. L’utilisation du dispositif à des fins de surveillance permanente ou en dehors du temps de travail effectif est interdite.
L’égalité de traitement entre salariés doit être respectée, et toute discrimination dans l’application du dispositif est prohibée.
Modalités pratiques
Avant toute mise en œuvre, l’employeur doit réaliser une analyse d’impact relative à la protection des données (AIPD) si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des salariés, conformément à l’article 35 du Règlement (UE) 2016/679 et à l’article 39 de la loi modifiée du 1er août 2018.
L’information individuelle et écrite de chaque salarié concerné est obligatoire. Cette information doit préciser la finalité du dispositif, les catégories de données collectées, la durée de conservation, les destinataires des données, les modalités d’exercice des droits des personnes concernées et l’existence d’un droit d’introduire une réclamation auprès de la CNPD.
La consultation préalable de la délégation du personnel est impérative, conformément à l’article L.261-1 et à l’article L.414-9 du Code du travail. L’employeur doit également documenter le dispositif dans le registre des activités de traitement et tenir cette documentation à disposition de la CNPD en cas de contrôle.
Depuis l’entrée en vigueur du RGPD, aucune déclaration préalable auprès de la CNPD n’est requise, mais la traçabilité des démarches et la documentation interne sont obligatoires.
Pratiques et recommandations
Il est recommandé de limiter la géolocalisation aux seuls salariés pour lesquels elle est strictement nécessaire et de restreindre la collecte de données aux périodes de travail effectif. Les dispositifs doivent permettre la désactivation en dehors des horaires professionnels.
L’employeur doit mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données collectées. Toute modification substantielle du dispositif nécessite une nouvelle information des salariés et une consultation de la délégation du personnel.
La durée de conservation des données doit être limitée à ce qui est strictement nécessaire à la finalité poursuivie, généralement quelques mois, sauf obligation légale contraire. L’encadrement humain du dispositif doit être assuré, notamment pour éviter toute décision automatisée sans intervention humaine.
Cadre juridique
- Code du travail luxembourgeois :
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel (articles 39 et suivants)
- Règlement (UE) 2016/679 (RGPD), notamment article 35 (analyse d’impact)
- Lignes directrices de la CNPD sur la géolocalisation
- Jurisprudence de la Cour supérieure de justice du Luxembourg
Note
L’absence d’information écrite ou de consultation de la délégation du personnel lors de la mise en place d’un dispositif de géolocalisation constitue une infraction susceptible d’entraîner la nullité du dispositif et des sanctions pour l’employeur. La traçabilité des démarches et la documentation interne sont essentielles pour démontrer la conformité en cas de contrôle.