Quelle est la durée de conservation légale des données GPS des salariés au Luxembourg ?
Réponse courte
La durée de conservation légale des données GPS des salariés au Luxembourg ne doit pas excéder deux mois à compter de leur collecte, selon les lignes directrices officielles de la CNPD. Cependant, des durées spécifiques s'appliquent selon la finalité : jusqu'à 3 ans pour la vérification du temps de travail (secteur privé) ou 5 ans (secteur public), et 1 an pour la facturation des prestations clients quand aucun autre moyen de preuve n'existe.
À l'expiration de ces délais, les données doivent être supprimées définitivement ou anonymisées de manière irréversible. L'employeur doit mettre en place des procédures automatiques de suppression et documenter toute conservation exceptionnelle dans le cadre de procédures judiciaires ou disciplinaires en cours.
Définition
Les données GPS correspondent aux informations de géolocalisation collectées via des dispositifs électroniques installés dans les véhicules professionnels, équipements ou directement sur les salariés. Ces données comprennent la position géographique, les itinéraires empruntés, les horaires de déplacement, le kilométrage et les temps d'arrêt.
Au Luxembourg, ces informations constituent des données à caractère personnel dès qu'elles permettent d'identifier directement ou indirectement un salarié. Les donnees collectees par les dispositifs embarques doivent respecter le principe de minimisation. Leur traitement relève du Règlement Général sur la Protection des Données (RGPD) et des dispositions spécifiques du Code du travail luxembourgeois.
Questions fréquentes
Conditions d’exercice
L'employeur ne peut recourir à la géolocalisation des salariés que pour des finalités précises, légitimes et proportionnées énumérées par la CNPD :
- Sécurité et santé des salariés
- Protection des biens de l'entreprise contre le vol
- Optimisation des tournées et déplacements professionnels
- Vérification du temps de travail (uniquement si c'est le seul moyen possible)
- Facturation des prestations clients (si aucune autre preuve disponible)
Obligations préalables obligatoires :
- Information individuelle claire de chaque salarié concerné (article 13 RGPD)
- Consultation de la délégation du personnel (article L.414-9 Code du travail)
- Inscription dans le registre des activités de traitement (article 30 RGPD)
- Information collective de la représentation du personnel (RGPD Code du travail)
Modalités pratiques
Durées de conservation selon la finalité :
Règle générale : 2 mois maximum pour toutes les données GPS collectées
Durées spécifiques légales :
- Vérification temps de travail : 3 ans (secteur privé) / 5 ans (secteur public) - conformément au délai de prescription des actions en paiement de salaire
- Facturation prestations clients : 1 an maximum - uniquement si impossible de rapporter la preuve par d'autres moyens
- Incident ou procédure judiciaire : conservation possible au-delà des délais normaux pour transmission aux autorités compétentes
Procédures techniques obligatoires :
- Suppression automatique à l'expiration du délai légal
- Anonymisation irréversible comme alternative à la suppression
- Traçabilité des accès aux données avec restriction aux personnes habilitées
- Mesures de sécurité techniques et organisationnelles adaptées
- Documentation écrite de toute conservation exceptionnelle
Pratiques et recommandations
Recommandations CNPD :
- Privilégier la durée la plus courte nécessaire à l'objectif poursuivi. Le salarie beneficie d'un droit a l'anonymat dans ses trajets prives
- Mettre en place un paramétrage automatique de suppression des données
- Restreindre l'accès aux seules personnes ayant un besoin légitime de consultation
- Auditer régulièrement le respect des durées de conservation
- Former les équipes sur la gestion conforme des données GPS
Bonnes pratiques organisationnelles :
- Documenter précisément la finalité de chaque collecte dans le registre des traitements
- Séparer les données selon leur finalité pour appliquer les bonnes durées
- Informer explicitement les salariés sur les durées applicables
- Prévoir un responsable du contrôle périodique des durées de conservation
- Établir des procédures d'urgence pour les demandes de suppression
Cadre juridique
| Référence | Objet |
|---|---|
| Loi du 1er août 2018 | Relative à la protection des personnes à l'égard du traitement des données à caractère personnel |
| Règlement (UE) 2016/679 | (RGPD) : |
| Lignes directrices sur la géolocalisation | Des véhicules mis à disposition des salariés (2021, applicables en 2025) |
| Décisions sanctionnelles | Illustrant les manquements aux durées de conservation |
Note
Le non-respect des durées maximales expose l'employeur à des sanctions administratives de la CNPD pouvant atteindre jusqu'à 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros (article 83 RGPD). Les salariés peuvent également engager des actions en responsabilité pour atteinte à leur vie privée.
La CNPD recommande vivement de privilégier l'approche la plus protective des droits des salariés et de documenter rigoureusement toute conservation supérieure aux durées standard.