L'employeur peut-il installer une pointeuse sur smartphone sans informer le salarié ?

Réponse courte

L'installation d'une pointeuse sur smartphone sans information préalable du salarié est interdite par le droit luxembourgeois. L'employeur a l'obligation d'information individuellement chaque salarié et la délégation du personnel avant la mise en place de tout dispositif de contrôle du temps de travail, y compris une application mobile, conformément à l'article L.261-1 du Code du travail.

Le non-respect de cette obligation constitue une violation du Code du travail et de la législation sur la protection des données à caractère personnel. L'absence d'information préalable rend le dispositif illicite et expose l'employeur à des sanctions administratives de la CNPD pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, ainsi qu'à la nullité des preuves collectées en cas de litige devant le tribunal du travail.

Définition

Une pointeuse sur smartphone désigne une application mobile permettant l'enregistrement des heures d'arrivée, de départ ou de présence du salarié, à des fins de gestion du temps de travail. Ce dispositif relève des outils de surveillance au sens de l'article L.261-1 du Code du travail.

La collecte de données par une pointeuse mobile constitue un traitement de données à caractère personnel, soumis aux obligations de la loi du 1er août 2018 et du RGPD en matière d'information, de transparence et de proportionnalité.

Questions fréquentes

Comment formaliser l'information préalable ?

Il est recommandé de formaliser l'information par un document signé par le salarié, attestant de la réception et de la compréhension des modalités. Ce document constitue un élément probant en cas de litige. Le registre des traitements doit être mis à jour avant la mise en service.

Faut-il consulter la délégation du personnel ?

Oui, la consultation de la délégation est obligatoire selon l'article L.414-9. L'avis motivé doit être recueilli avant la décision définitive. La délégation peut saisir la CNPD dans les 15 jours suivant l'information préalable, avec effet suspensif sur la mise en oeuvre.

L'application peut-elle utiliser la géolocalisation ?

Si l'application utilise la géolocalisation mobile, sa désactivation est obligatoire hors temps de travail selon les recommandations de la CNPD. La collecte doit être strictement nécessaire à la gestion du temps de travail. Une AIPD est obligatoire en cas de risque élevé.

L'employeur peut-il installer une pointeuse mobile sans informer le salarié ?

Non, l'installation d'une pointeuse sur smartphone sans information préalable est interdite par le droit luxembourgeois. L'employeur a l'obligation d'informer individuellement chaque salarié et la délégation du personnel avant la mise en place de tout dispositif de contrôle selon l'article L.261-1.

Quelles informations doit recevoir le salarié ?

L'information doit porter sur la finalité, les modalités de fonctionnement, les données collectées, la durée de conservation, les droits du salarié, et les coordonnées du responsable. Cette information écrite doit être remise individuellement avant toute collecte de données, conformément à l'article 13 RGPD.

Quelles sanctions pour défaut d'information ?

L'absence d'information préalable rend le dispositif illicite et expose l'employeur à des sanctions de la CNPD pouvant atteindre 20 millions EUR ou 4 % du chiffre d'affaires mondial, ainsi qu'à la nullité des preuves collectées en cas de litige devant le tribunal du travail.

Conditions d’exercice

L'installation ne peut intervenir qu'après le respect des conditions suivantes.

Condition	Détail
Information collective	Information préalable du comité mixte ou de la délégation du personnel ou de l'ITM (art. L.261-1 (2))
Information individuelle	Information écrite de chaque salarié (art. 13 RGPD)
Contenu de l'information	Finalité, modalités de fonctionnement, données collectées, durée de conservation, droits du salarié
Consultation obligatoire	Consultation de la délégation du personnel (art. L.414-9)
AIPD	Analyse d'impact si le dispositif présente un risque élevé (art. 35 RGPD)
Géolocalisation	Si l'application utilise la géolocalisation mobile : désactivation obligatoire hors temps de travail (CNPD)

Modalités pratiques

Les démarches préalables à l'installation comprennent les étapes suivantes.

Modalité	Contenu
Note d'information écrite	Remise individuelle à chaque salarié avant toute collecte de données
Consultation de la délégation	Avis motivé recueilli avant la décision définitive (art. L.414-9)
Saisine CNPD	Possibilité pour la délégation de saisir la CNPD dans les 15 jours (art. L.261-1 (4)), avec effet suspensif
Registre des traitements	Mise à jour du registre pour intégrer le dispositif mobile (art. 30 RGPD)
Mesures de sécurité	Chiffrement, contrôle d'accès, limitation de la collecte au strict nécessaire

Pratiques et recommandations

Formaliser l'information par un document signé par le salarié, attestant de la réception et de la compréhension des modalités du dispositif. Ce document constitue un élément probant en cas de litige.

Limiter la collecte des données à ce qui est strictement nécessaire à la gestion du temps de travail, en évitant la géolocalisation des salariés systématique ou le suivi en dehors des heures de travail. La mise à jour du registre des traitements doit être effectuée avant la mise en service.

Veiller à ce que l'utilisation de l'application ne porte pas atteinte à la vie privée du salarié et que les mesures techniques garantissent la sécurité et la confidentialité des données collectées.

Cadre juridique

Référence	Objet
Art. L.261-1	Surveillance des salariés — information préalable obligatoire
Art. L.414-9	Consultation obligatoire de la délégation du personnel
Loi du 1er août 2018	Protection des données à caractère personnel
RGPD, art. 13, 30, 35	Information des personnes, registre des traitements, analyse d'impact
Recommandations CNPD	Encadrement de la géolocalisation et de la surveillance mobile

Note

L'installation d'une pointeuse sur smartphone sans information préalable expose l'employeur à des sanctions de la CNPD pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, ainsi qu'à l'illicéité du dispositif.