Faut-il une déclaration spécifique pour la géolocalisation des salariés ?

Réponse courte

Aucune déclaration préalable auprès de la CNPD n'est plus exigée depuis l'entrée en vigueur du RGPD le 25 mai 2018 ; le régime déclaratif a été remplacé par le principe d'accountability. L'employeur doit toutefois inscrire la géolocalisation au registre des traitements, réaliser une AIPD si le risque est élevé (article 35 RGPD) et tenir cette documentation à disposition de la CNPD.

Avant toute mise en œuvre, l'employeur informe individuellement chaque salarié par écrit et consulte la délégation du personnel (article L.414-9 du Code du travail pour les entreprises d'au moins 150 salariés). L'absence de ces démarches rend le traitement illicite et expose à des amendes administratives jusqu'à 4 % du chiffre d'affaires mondial.

Définition

La géolocalisation des salariés désigne tout dispositif technique permettant de localiser un salarié, en temps réel ou en différé, dans le cadre de son activité professionnelle. Elle constitue un traitement de données à caractère personnel dès lors que le salarié est identifiable.

Elle est qualifiée de mesure de surveillance au sens de l'article L.261-1 du Code du travail et impose des obligations strictes en matière de transparence, de proportionnalité et de respect de la vie privée.

Questions fréquentes

Comment informer les salariés avant l'activation de la géolocalisation ?

L'employeur doit remettre à chaque salarié une notice écrite individuelle précisant la finalité, les données, la durée, les destinataires, les droits et les modalités de désactivation, avant la mise en service du dispositif.

Faut-il déclarer la géolocalisation des salariés à la CNPD au Luxembourg ?

Non, aucune déclaration préalable à la CNPD n'est plus exigée depuis l'entrée en vigueur du RGPD le 25 mai 2018. Le régime déclaratif a été remplacé par le principe d'accountability fondé sur la documentation interne.

L'AIPD est-elle obligatoire pour la géolocalisation des salariés ?

Elle est obligatoire si le risque est élevé (article 35 RGPD). La CNPD recommande de la réaliser systématiquement pour la géolocalisation, car le traitement présente par nature un risque caractérisé pour les droits des salariés.

La consultation de la délégation est-elle obligatoire avant la géolocalisation ?

Oui, la consultation préalable est obligatoire et fait l'objet d'une co-décision pour les entreprises d'au moins 150 salariés (article L.414-9 du Code du travail). À défaut de délégation, l'employeur informe l'ITM.

Quelles sanctions en cas d'absence de registre ou d'AIPD ?

L'absence de registre des traitements ou d'AIPD pour un traitement à risque élevé constitue un manquement sanctionnable par la CNPD. Les sanctions administratives peuvent atteindre 4 % du chiffre d'affaires mondial.

Quels documents l'employeur doit-il tenir à disposition de la CNPD ?

L'employeur doit tenir le registre des traitements (article 30 RGPD), l'AIPD (article 35 RGPD), les notes d'information individuelle, le procès-verbal de consultation de la délégation et la charte interne, présentables immédiatement à la CNPD.

Conditions d’exercice

Le régime de déclaration préalable a disparu en 2018 ; la conformité repose désormais sur la documentation interne tenue à la disposition du régulateur.

Condition	Exigence
Accountability	Documentation interne complète tenue à disposition de la CNPD (registre, AIPD, notes d'information)
Finalité précise	Sécurité, gestion des trajets, justification du temps facturé — pas de surveillance générale
Information écrite	Notice individuelle préalable à chaque salarié concerné
Consultation	Délégation du personnel selon L.414-9 ou ITM à défaut
AIPD	Obligatoire si risque élevé (article 35 RGPD) — recommandée pour la géolocalisation

Modalités pratiques

L'absence de déclaration préalable ne dispense pas l'employeur : il doit pouvoir prouver à tout moment la conformité du traitement par son registre et sa documentation.

Démarche	Précision
Registre des traitements	Article 30 RGPD : finalités, destinataires, durée, mesures de sécurité
AIPD	Article 35 RGPD ; consultation du DPO ; documentation de l'analyse de proportionnalité
Notice individuelle	Finalité, données, durée, destinataires, droits, modalités de désactivation
Procès-verbal délégation	Consultation préalable (L.414-9) avec compte-rendu
Conservation	Durée du trajet + 2 mois maximum sauf justification documentée
Habilitation	Liste nominative avec traçabilité des consultations
Charte interne	Politique d'usage du véhicule et modalités de désactivation

Pratiques et recommandations

Réaliser systématiquement une AIPD pour tout dispositif de géolocalisation, même en l'absence de doute sur le risque.

Documenter la base juridique retenue (intérêt légitime) et le test de mise en balance.

Désactiver par défaut la géolocalisation hors temps de travail si l'usage privé est autorisé.

Limiter la durée de conservation à ce qui est strictement nécessaire à la finalité.

Conserver la preuve écrite de l'information individuelle et de la consultation de la délégation.

Réviser chaque année la pertinence du dispositif avec le DPO et la délégation.

Cadre juridique

Référence	Objet
Art. L.261-1 du Code du travail	Surveillance des salariés (loi du 1er août 2018)
Art. L.261-2 du Code du travail	Sanctions pénales
Art. L.414-9 du Code du travail	Co-décision de la délégation du personnel
Loi modifiée du 1er août 2018	Protection des personnes à l'égard du traitement des données
Règlement (UE) 2016/679 (RGPD)	Articles 5, 6, 12-13, 30, 35
Lignes directrices CNPD	Géolocalisation des véhicules

Note

L'absence de registre des traitements ou d'AIPD pour un traitement à risque élevé constitue à elle seule un manquement sanctionnable par la CNPD. Les sanctions administratives peuvent atteindre 4 % du chiffre d'affaires mondial et la jurisprudence luxembourgeoise écarte les preuves obtenues par un dispositif non documenté.