Quelles infractions sont possibles lors de l’utilisation d’un logiciel de pointage biométrique ?

Réponse courte

Les infractions possibles lors de l’utilisation d’un logiciel de pointage biométrique au Luxembourg concernent principalement : le traitement de données biométriques sans réalisation d’une analyse d’impact relative à la protection des données (AIPD), l’absence d’inscription du traitement au registre des activités de traitement, le non-respect des principes de minimisation, de limitation de la finalité et de sécurité des données, le défaut d’information écrite ou d’affichage auprès des salariés, le non-respect des droits des personnes concernées, l’absence d’information et de consultation de la délégation du personnel avant la mise en place du dispositif, ainsi que l’absence de déclaration préalable à l’Inspection du travail et des mines (ITM) en cas de contrôle du temps de travail.

Les sanctions administratives sont prononcées par la CNPD conformément à la loi du 1er août 2018 et au RGPD. Des sanctions disciplinaires internes et des sanctions pénales peuvent également s’appliquer.

Définition

Le pointage biométrique désigne l’utilisation de caractéristiques physiques ou comportementales uniques (empreintes digitales, reconnaissance faciale, etc.) pour contrôler l’accès ou enregistrer le temps de travail des salariés. Au Luxembourg, la collecte et le traitement de données biométriques sont considérés comme particulièrement sensibles et sont strictement encadrés par la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.

Les traitements de données biométriques sont soumis à des exigences renforcées en matière de sécurité, de justification et de documentation, en raison de leur nature sensible.

Conditions d’exercice

L’employeur ne peut recourir à un système de pointage biométrique que si ce traitement répond à une nécessité avérée, proportionnée et justifiée par la nature de l’activité ou la finalité poursuivie. L’utilisation de données biométriques à des fins de contrôle du temps de travail ou d’accès n’est licite que si aucune autre solution moins intrusive n’est envisageable.

L’employeur doit démontrer l’impossibilité de recourir à des moyens alternatifs (badges, codes, etc.). Il n’est plus requis d’obtenir une autorisation préalable de la CNPD, mais il est obligatoire de réaliser une analyse d’impact relative à la protection des données (AIPD) et d’inscrire le traitement au registre des activités de traitement conformément à l’article 30 du RGPD et à l’article 34 de la loi du 1er août 2018.

Modalités pratiques

Avant la mise en œuvre d’un logiciel de pointage biométrique, l’employeur doit réaliser une analyse d’impact relative à la protection des données (AIPD) conformément à l’article 39 de la loi du 1er août 2018. Cette analyse doit démontrer la nécessité et la proportionnalité du dispositif, ainsi que les mesures prises pour garantir la sécurité et la confidentialité des données.

L’inscription du traitement au registre des activités de traitement est obligatoire (article 30 RGPD, article 34 de la loi du 1er août 2018). L’information écrite ou l’affichage auprès des salariés sur la finalité, la durée de conservation, les droits d’accès et de rectification, ainsi que sur les modalités d’exercice de leurs droits, est impérative (article L.261-1 du Code du travail).

L’employeur doit informer et consulter la délégation du personnel avant la mise en place du dispositif, quelle que soit l’existence d’une délégation (article L.414-9 du Code du travail). Une déclaration préalable à l’Inspection du travail et des mines (ITM) est également requise en cas de dispositif de contrôle du temps de travail (article L.261-1 du Code du travail).

Pratiques et recommandations

L’employeur doit limiter la collecte des données biométriques au strict nécessaire, restreindre l’accès aux données aux seules personnes habilitées et garantir leur effacement dès que la finalité est atteinte ou que le salarié quitte l’entreprise. Toute conservation excessive ou traitement ultérieur non justifié expose à des sanctions.

Il est recommandé de documenter l’ensemble des démarches (analyse d’impact, inscription au registre des traitements, information écrite ou affichage auprès des salariés, consultation de la délégation du personnel, déclaration à l’ITM) et de mettre en place des procédures de contrôle interne. La CNS et la CNPD peuvent être sollicitées pour avis ou contrôle.

Cadre juridique

Les infractions possibles lors de l’utilisation d’un logiciel de pointage biométrique sont principalement prévues par :

La loi du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.
Le Règlement (UE) 2016/679 (RGPD).
Le Code du travail luxembourgeois.

Principales obligations et infractions :

Réalisation obligatoire d’une analyse d’impact (AIPD) : article 39 de la loi du 1er août 2018.
Inscription du traitement au registre des activités de traitement : article 30 RGPD, article 34 de la loi du 1er août 2018.
Respect des principes de minimisation, de limitation de la finalité et de sécurité des données : articles 5 et 32 RGPD.
Information écrite ou affichage auprès des salariés : article L.261-1 du Code du travail.
Information et consultation de la délégation du personnel avant la mise en place du dispositif : article L.414-9 du Code du travail.
Déclaration préalable à l’ITM en cas de dispositif de contrôle du temps de travail : article L.261-1 du Code du travail.

Les sanctions administratives sont prononcées par la CNPD conformément à la loi du 1er août 2018 et au RGPD. Les montants des amendes sont déterminés par la CNPD, dans la limite des plafonds prévus par le RGPD. Des sanctions pénales et disciplinaires internes peuvent également s’appliquer.

Note

L’utilisation d’un logiciel de pointage biométrique sans respecter l’ensemble des obligations légales expose l’employeur à des risques importants, tant sur le plan financier que sur le plan de la réputation. Il est impératif de réaliser une analyse d’impact, d’inscrire le traitement au registre, d’informer et de consulter la délégation du personnel, de déclarer le dispositif à l’ITM et de privilégier, chaque fois que possible, des solutions moins intrusives.

La CNPD, l’ITM et la CNS sont les organismes compétents pour contrôler le respect de ces obligations et prononcer les sanctions appropriées.