Quelles données complémentaires peuvent être collectées lors du pointage des salariés ?
Réponse courte
Lors du pointage numérique, l'employeur peut collecter des données complémentaires telles que l'adresse IP, la géolocalisation salariés ou les caractéristiques des appareils utilisés, uniquement si cette collecte est justifiée par une finalité légitime et proportionnée au contrôle du temps de travail. La consultation préalable de la délégation du personnel (art. L.414-9) et l'obligation d'information conforme à l'article L.261-1 sont obligatoires.
La géolocalisation doit être désactivée en dehors du temps de travail, conformément aux recommandations de la CNPD. Une analyse d'impact (AIPD) est requise en raison du caractère intrusif de ces collectes complémentaires. Le non-respect du principe de minimisation des données expose l'employeur à des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
Définition
Le pointage enrichi désigne la collecte de données techniques et contextuelles additionnelles lors de l'enregistrement des temps de travail, au-delà des simples horodatages. Ces données comprennent notamment l'adresse IP, la géolocalisation et les caractéristiques des appareils utilisés.
Cette pratique s'inscrit dans le cadre du contrôle du temps de travail défini par l'article L.211-29 du Code du travail et est soumise au RGPD et à la loi du 1er août 2018 sur la protection des données.
Questions fréquentes
Conditions d’exercice
La collecte de données complémentaires doit respecter des conditions strictes.
| Condition | Détail |
|---|---|
| Finalité légitime | Collecte justifiée exclusivement par le contrôle du temps de travail |
| Proportionnalité | Données collectées adéquates, pertinentes et limitées au nécessaire (art. 5 RGPD) |
| Transparence | Information complète des salariés sur la nature des données collectées |
| Consultation préalable | Consultation obligatoire de la délégation du personnel (art. L.414-9) |
| Information collective | Information du comité mixte ou de la délégation (art. L.261-1) |
| AIPD | Analyse d'impact obligatoire en raison de la surveillance systématique (art. 35 RGPD) |
Modalités pratiques
La mise en oeuvre de la collecte complémentaire nécessite les mesures suivantes.
| Modalité | Contenu |
|---|---|
| Information individuelle écrite | Détail des données collectées, finalité, durée de conservation, droits du salarié |
| Registre des traitements | Documentation précise des données collectées (art. 30 RGPD) |
| Durée de conservation | Limitée au strict nécessaire (recommandation CNPD : max 1 an après période de référence) |
| Désactivation géolocalisation | Obligatoire hors temps de travail (recommandations CNPD) |
| Procédure d'exercice des droits | Accès, rectification, opposition accessibles aux salariés |
Pratiques et recommandations
Privilégier systématiquement la minimisation des données et ne collecter les données complémentaires que lorsqu'aucune alternative moins intrusive ne permet d'atteindre l'objectif poursuivi.
Établir une politique de confidentialité spécifique au pointage enrichi et former régulièrement le personnel RH aux obligations légales en matière de protection des données. Toutes les mesures techniques et organisationnelles doivent être documentées.
Prévoir des procédures de notification en cas de violation de données (72 heures à la CNPD, conformément à l'article 33 du RGPD) et sensibiliser les salariés à l'existence et aux modalités d'exercice de leurs droits.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.211-29 | Registre du temps de travail |
| Art. L.261-1 | Surveillance des salariés — information préalable, encadrement de la géolocalisation |
| Art. L.261-2 | Sanctions en cas de surveillance illicite |
| Art. L.414-9 | Consultation obligatoire de la délégation du personnel |
| Loi du 1er août 2018 | Protection des données à caractère personnel |
| RGPD, art. 5, 13, 30, 33, 35 | Principes, information, registre, notification de violation, AIPD |
Note
La collecte de données complémentaires de pointage constitue un traitement à risque élevé au sens du RGPD. Un défaut de conformité expose l'employeur à des amendes pouvant atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros, ainsi qu'à des sanctions pénales prévues par l'article L.261-2.