La mise en place d'une badgeuse est-elle considérée comme une mesure de cybersurveillance ?
Réponse courte
L'installation d'une badgeuse destinée à contrôler les horaires de présence des salariés constitue un traitement de données à des fins de surveillance des salariés au sens de l'article L.261-1 du Code du travail. Elle relève du régime de la surveillance sur le lieu de travail dès lors qu'elle enregistre des données nominatives et des horaires individuels, impliquant les obligations d'information préalable et de consultation de la délégation du personnel.
La qualification de cybersurveillance dépend des fonctionnalités du dispositif. Une badgeuse simple enregistrant uniquement les horaires d'entrée et de sortie constitue une surveillance indirecte. En revanche, un dispositif connecté intégrant des fonctionnalités de géolocalisation, de suivi des déplacements internes ou de collecte de données biométriques relève pleinement de la cybersurveillance, soumise à des conditions renforcées de proportionnalité et d'analyse d'impact.
Définition
La badgeuse est un dispositif électronique permettant l'enregistrement automatisé des entrées et sorties des salariés, généralement par carte magnétique, code ou système biométrique. Elle vise à contrôler la présence et les horaires des salariés.
La cybersurveillance désigne l'ensemble des dispositifs électroniques permettant la surveillance, le contrôle ou l'enregistrement des activités des salariés via des moyens informatiques ou numériques. La distinction entre simple contrôle de présence et cybersurveillance dépend du degré d'intrusion et de la nature des données collectées, la géolocalisation des salariés relevant pleinement de la cybersurveillance.
Conditions d’exercice
La qualification juridique du dispositif détermine les obligations applicables.
| Critère | Détail |
|---|---|
| Badgeuse simple | Surveillance indirecte : obligations d'information et de consultation (art. L.261-1) |
| Badgeuse connectée | Cybersurveillance : obligations renforcées et AIPD si surveillance systématique |
| Données biométriques | Conditions strictes : proportionnalité, AIPD obligatoire, alternatives à privilégier |
| Information préalable | Chaque salarié doit être informé individuellement et par écrit |
| Consultation délégation | Information préalable de la délégation du personnel obligatoire |
| Codécision (150+ salariés) | Accord commun requis pour les installations de contrôle (art. L.414-9) |
Modalités pratiques
La mise en place respecte un processus adapté au niveau de surveillance.
| Étape | Détail |
|---|---|
| Qualification du dispositif | Déterminer si la badgeuse constitue une simple surveillance ou une cybersurveillance |
| AIPD | Réaliser une analyse d'impact si le dispositif implique une surveillance systématique ou des données biométriques |
| Information délégation | Transmettre une description détaillée à la délégation du personnel |
| Information individuelle | Remettre à chaque salarié un document écrit détaillant le traitement |
| Registre des traitements | Inscrire le dispositif dans le registre des activités de traitement |
| Limitation des données | Collecter uniquement les données strictement nécessaires à la finalité |
Pratiques et recommandations
Évaluer le niveau de surveillance généré par le dispositif pour déterminer les obligations applicables (surveillance indirecte ou cybersurveillance).
Privilégier les dispositifs les moins intrusifs et éviter le pointage biométrique sauf nécessité impérative.
Réaliser systématiquement une analyse d'impact lorsque le dispositif intègre des fonctionnalités de suivi des déplacements, de géolocalisation ou de biométrie.
Limiter l'accès aux données aux seules personnes habilitées et garantir la sécurité et la confidentialité des informations collectées.
Documenter l'ensemble des démarches de mise en conformité pour pouvoir les produire en cas de contrôle de la CNPD ou de l'ITM.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 | Traitement de données à des fins de surveillance des salariés |
| Art. L.414-9 | Codécision dans les entreprises de 150+ salariés |
| RGPD art. 9 | Traitement des données biométriques |
| RGPD art. 35 | Analyse d'impact obligatoire si risque élevé |
| RGPD art. 5 | Principes de minimisation et de proportionnalité |
| Loi du 1er août 2018 | Cadre national de la protection des données |
Note
La mise en place d'une badgeuse sans respect des obligations d'information et de consultation expose l'employeur à la nullité du dispositif et à des sanctions administratives. Les preuves recueillies par un système non conforme peuvent être déclarées irrecevables devant le tribunal du travail.