Combien de temps l'employeur peut-il conserver les données issues d'un système de pointage ?
Réponse courte
La durée de conservation des données de pointage est encadrée par deux réglementations complémentaires. Du point de vue du droit du travail, le registre quotidien prévu à l'article L.211-29 doit être conservé pendant au moins 3 ans, correspondant à la prescription de droit commun en matière de droit du travail. Du point de vue de la protection des données, la CNPD recommande une durée maximale de 1 an après la fin de la période de référence pour les données de pointage stricto sensu.
L'employeur doit concilier ces deux exigences en conservant le registre du temps de travail pendant la durée légale minimale et en supprimant les données non nécessaires à l'expiration de la période de référence. Le principe de limitation de la conservation prévu par le RGPD interdit toute conservation au-delà de ce qui est strictement nécessaire à la finalité poursuivie. Chaque salarié doit être informé de la durée de conservation applicable avant la mise en service du système.
Définition
Les données issues d'un système de pointage sont les informations relatives aux heures d'arrivée, de départ, de pause ou d'activités enregistrées par tout dispositif de contrôle du temps de travail (badgeuse, logiciel, terminal, registre papier).
Ces données constituent des données à caractère personnel lorsqu'elles permettent d'identifier un salarié. Leur traitement est soumis au RGPD et à la loi du 1er août 2018 relative à la protection des données.
Questions fréquentes
Conditions d’exercice
La durée de conservation varie selon la finalité et la réglementation applicable.
| Critère | Détail |
|---|---|
| Registre du temps de travail | Conservation minimale de 3 ans (prescription droit du travail) |
| Données de pointage (CNPD) | Recommandation : 1 an maximum après la fin de la période de référence |
| Contentieux en cours | Conservation prolongée pour la durée de la procédure |
| Finalité déterminée | La conservation doit correspondre à la finalité déclarée |
| Suppression obligatoire | Les données doivent être supprimées à l'expiration de la durée justifiée |
| Information du salarié | La durée de conservation doit être communiquée avant la mise en service |
Modalités pratiques
La gestion de la durée de conservation suit un processus défini.
| Étape | Détail |
|---|---|
| Définition des durées | Déterminer la durée de conservation pour chaque catégorie de données |
| Information préalable | Communiquer les durées à chaque salarié et à la délégation du personnel |
| Suppression automatique | Configurer le système pour supprimer les données à l'expiration du délai |
| Archivage contentieux | Conserver les données pertinentes en cas de litige en cours |
| Registre des traitements | Documenter les durées dans le registre des activités de traitement |
| Vérification périodique | Auditer régulièrement le respect des durées de conservation |
Pratiques et recommandations
Distinguer la conservation du registre du temps de travail (3 ans minimum, droit du travail) de celle des données de pointage au sens du RGPD (recommandation CNPD : 1 an).
Configurer le système de pointage pour supprimer automatiquement les données à l'expiration de la durée justifiée.
Conserver les données au-delà de la durée normale uniquement en cas de contentieux en cours ou prévisible.
Documenter les durées de conservation dans le registre des activités de traitement et dans les obligations d'information remises aux salariés.
Garantir la sécurité et la confidentialité des données pendant toute la durée de conservation.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.211-29 | Obligation de tenue du registre et présentation à l'ITM |
| Art. L.261-1 | Information préalable des salariés sur la durée de conservation |
| RGPD art. 5§1e | Principe de limitation de la conservation des données |
| RGPD art. 13 | Obligation d'informer sur la durée de conservation |
| RGPD art. 17 | Droit à l'effacement des données |
| Recommandation CNPD | Durée maximale de 1 an après la fin de la période de référence |
Note
La conservation excessive des données expose l'employeur à des sanctions de la CNPD. L'absence d'information sur la durée de conservation constitue une violation de l'article L.261-1 du Code du travail et de l'article 13 du RGPD.