Mon employeur doit-il me prévenir s'il suit mes déplacements par GPS ?
Réponse courte
Oui, c'est une obligation légale absolue. Votre employeur doit vous informer individuellement et par écrit avant d'activer tout dispositif de géolocalisation. Cette notification doit préciser pourquoi vos déplacements sont suivis, quelles données sont collectées, combien de temps elles sont conservées, qui y a accès, et comment exercer vos droits d'accès et de rectification.
Si votre employeur active un GPS sans vous prévenir, il commet une infraction au Code du travail et au RGPD. Les conséquences sont lourdes : les preuves collectées sont nulles et inutilisables en cas de litige, le traitement peut être déclaré illicite par la CNPD, et l'employeur s'expose à des sanctions administratives pouvant atteindre 20 millions d'euros. La délégation du personnel doit également être consultée avant la mise en place du dispositif. Les précautions RGPD à respecter détaillent les mesures techniques et organisationnelles requises.
Définition
La géolocalisation désigne tout dispositif technique permettant de localiser, en temps réel ou différé, un salarié à travers un équipement fourni par l'employeur, tel qu'un véhicule, un téléphone ou un badge. Au Luxembourg, l'utilisation de ces dispositifs dans le cadre professionnel constitue un traitement de données à caractère personnel, soumis à des règles strictes de protection de la vie privée et des libertés individuelles des salariés.
Ce traitement implique la collecte, l'enregistrement, la conservation et l'utilisation de données permettant d'identifier directement ou indirectement un salarié. Le suivi des trajets en temps réel soulève des problématiques identiques. La géolocalisation est donc encadrée par le Code du travail luxembourgeois et la législation sur la protection des données à caractère personnel.
Questions fréquentes
Conditions d’exercice
L'employeur ne peut recourir à la géolocalisation des salariés que si cette mesure est justifiée par la nature de la tâche à accomplir, la nécessité d'assurer la sécurité des personnes ou des biens, l'organisation du travail, ou le contrôle du respect des obligations contractuelles. La mise en place du dispositif doit être proportionnée à l'objectif poursuivi et ne pas porter une atteinte excessive aux droits et libertés des salariés.
La géolocalisation ne peut être utilisée à des fins de surveillance permanente du salarié, sauf justification objective, documentée et proportionnée. L'employeur doit démontrer que le recours à la géolocalisation est nécessaire et qu'aucun autre moyen moins intrusif ne permet d'atteindre le même objectif.
Modalités pratiques
Avant la mise en œuvre d'un dispositif de géolocalisation, l'employeur doit informer individuellement et par écrit chaque salarié concerné. Cette information doit comporter :
- L'identité et les coordonnées du responsable du traitement des données ;
- Les finalités précises du dispositif de géolocalisation ;
- La base légale du traitement (intérêt légitime, obligation légale, exécution du contrat, etc.) ;
- Les destinataires ou catégories de destinataires des données collectées ;
- La durée de conservation des données ;
- Les modalités d'exercice des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité du salarié ;
- L'existence éventuelle d'un transfert de données hors du Luxembourg et les garanties associées.
L'information doit être délivrée avant l'activation du dispositif et renouvelée en cas de modification substantielle des conditions de traitement. L'absence d'information préalable constitue une violation du Code du travail et de la législation sur la protection des données à caractère personnel.
Pratiques et recommandations
Il est recommandé de formaliser l'information par une note de service, une annexe au contrat de travail ou tout autre document écrit remis contre signature au salarié. L'employeur doit consulter la délégation du personnel, s'il en existe une, avant la mise en place du dispositif, conformément à l'article L.414-3 du Code du travail.
Une analyse d'impact relative à la protection des données (AIPD) est obligatoire lorsque la géolocalisation est susceptible d'engendrer un risque élevé pour les droits et libertés des salariés. L'employeur doit limiter l'accès aux données aux seules personnes habilitées et mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données.
Il est également conseillé de documenter l'ensemble des démarches (consultation, information, analyse d'impact) afin d'assurer la traçabilité et la conformité du dispositif.
Cadre juridique
Le cadre juridique applicable repose sur les textes suivants.
| Référence | Objet |
|---|---|
| RGPD (Règlement UE 2016/679) | Obligation d'information sur la collecte et le traitement des données personnelles |
| Art. L.251-1 Code du travail | Consultation de la délégation du personnel |
| Loi du 1er août 2018 | Organisation de la CNPD et mise en oeuvre du RGPD |
| Règlement (UE) 2016/679 (RGPD) | Protection des données à caractère personnel |
| Lignes directrices CNPD | Géolocalisation des salariés |
| Jurisprudence luxembourgeoise | Licéité des dispositifs de géolocalisation et recevabilité des preuves |
Note
L'absence d'information écrite et préalable du salarié sur la mise en place d'un dispositif de géolocalisation constitue une infraction susceptible d'entraîner des sanctions administratives, la nullité des preuves collectées et la remise en cause de la licéité du traitement.