Quelles obligations s'appliquent aux badgeuses en open space et lieux partagés ?

Réponse courte

L'installation de badgeuses dans les open spaces au Luxembourg est strictement encadrée par l'article L.261-1 du Code du travail et le RGPD. L'employeur doit informer préalablement la délégation du personnel (ou l'ITM à défaut) et chaque salarié individuellement avant mise en place.

Le dispositif doit répondre à une finalité légitime précise (gestion temps de travail, sécurité) et respecter le principe de proportionnalité. La surveillance individuelle permanente est interdite. Une analyse d'impact AIPD peut être obligatoire selon les critères CNPD. Aucune autorisation préalable CNPD n'est requise depuis le RGPD, mais un registre des traitements doit être tenu.

Définition

Une badgeuse est un dispositif électronique d'enregistrement des entrées, sorties ou déplacements des salariés dans les locaux professionnels. Elle constitue un traitement de données à caractère personnel au sens du RGPD et de la loi du 1er août 2018, ainsi qu'un dispositif de surveillance soumis à l'article L.261-1 du Code du travail. En open space, elle collecte des données nominatives sur la présence et les horaires, nécessitant un encadrement juridique strict pour protéger la vie privée des salariés.

Questions fréquentes

Faut-il une autorisation préalable de la CNPD pour une badgeuse ?

Non, depuis le 25 mai 2018, aucune autorisation préalable de la CNPD n'est requise. Les obligations d'information sont en revanche considérablement renforcées et un registre des traitements doit être tenu conformément à l'article 30 du RGPD.

La délégation peut-elle saisir la CNPD pour une badgeuse ?

Oui, la délégation du personnel peut demander un avis CNPD dans les 15 jours suivant l'information préalable. Cette saisine a un effet suspensif sur l'installation du dispositif, jusqu'à la délivrance de l'avis par l'autorité de protection des données.

La surveillance individuelle permanente par badgeuse est-elle légale ?

Non, la surveillance individuelle permanente est absolument interdite. Le dispositif doit répondre à une finalité légitime précise comme la gestion du temps de travail ou la sécurité, et respecter strictement le principe de proportionnalité posé par l'article L.261-1 du Code du travail.

Les données de badgeuse peuvent-elles servir à des fins disciplinaires ?

Toute utilisation disciplinaire des données n'est possible que si cette finalité a été expressément déclarée avant installation du dispositif. Le principe de limitation des finalités du RGPD interdit tout détournement ultérieur du traitement vers des objectifs non documentés initialement.

Peut-on installer une badgeuse en open space au Luxembourg ?

Oui, l'installation est possible mais strictement encadrée par l'article L.261-1 du Code du travail et le RGPD. L'employeur doit informer préalablement la délégation du personnel ou l'ITM à défaut, et chaque salarié individuellement avant toute mise en place effective du dispositif.

Quelles sanctions pénales en cas de badgeuse non conforme ?

L'article L.261-2 du Code du travail prévoit une peine d'emprisonnement de 8 jours à 1 an et une amende de 251 à 125 000 euros. La CNPD peut également prononcer des sanctions administratives pour non-respect des obligations RGPD applicables à ce traitement.

Une AIPD est-elle obligatoire pour une badgeuse en open space ?

Une analyse d'impact relative à la protection des données (AIPD) peut être obligatoire selon les critères CNPD, notamment en cas de surveillance systématique ou de risque élevé pour les droits des salariés, conformément à l'article 35 du RGPD.

Conditions d’exercice

L'installation d'une badgeuse doit respecter les conditions suivantes :

Condition	Détail
Finalité légitime	Justification par la nature de l'activité ou l'organisation du travail
Proportionnalité	Moyen adapté et non excessif par rapport à l'objectif poursuivi
Information préalable obligatoire	De la délégation du personnel ou itm (article l.261-1(2))
Information individuelle	de chaque salarié avant mise en place effective
Documentation précise	Description détaillée du système et modalités d'utilisation
Finalités autorisées	Gestion temps de travail, sécurité des biens et personnes uniquement
Interdiction absolue	de surveillance individuelle permanente

Modalités pratiques

Pour mettre en conformité votre système de badgeuse :

Modalité	Contenu
Information délégation personnel	Description détaillée de la finalité, modalités de mise en œuvre, durée de conservation et engagement de non-détournement
Information salariés	Notice écrite précisant finalité, base légale, données collectées, durée conservation, droits RGPD et coordonnées responsable traitement
Limitation des accès	Seules les personnes habilitées dans le cadre de leurs fonctions
Durée de conservation	Période strictement nécessaire à la finalité (ex: gestion paie, contrôle temps)
Sécurisation technique	Mesures contre destruction, perte, altération ou accès non autorisé
Documentation complète	Registre des traitements si obligations RGPD applicables

Pratiques et recommandations

Réalisez une AIPD si surveillance systématique ou risque élevé pour les droits des salariés

Limitez la collecte aux seules données nécessaires (principe de minimisation)

Définissez précisément les finalités avant installation (pas de détournement ultérieur)

Préparez les procédures d'exercice des droits RGPD (accès, rectification, effacement)

Cadre juridique

Référence	Objet
Article L.261-1	Surveillance des salariés et information préalable obligatoire
Article L.261-2	Sanctions pénales (8 jours à 1 an, 251 à 125.000 euros)
Loi du 1er août 2018	Protection données personnelles au Luxembourg
RGPD articles 6, 13, 30, 32, 35	Licéité, information, registre, sécurité, AIPD
Article L.414-9	Information délégation du personnel (consultation générale)
Directive CNPD	Lignes directrices surveillance lieu de travail
Guichet.lu	Procédures administratives surveillance salariés
Jurisprudence européenne sur surveillance systématique des salariés	Interprétation jurisprudentielle applicable

Note

Depuis le 25 mai 2018, aucune autorisation préalable CNPD n'est requise, mais les obligations d'information sont considérablement renforcées. La délégation du personnel peut demander un avis CNPD dans les 15 jours suivant l'information, avec effet suspensif. Toute utilisation disciplinaire des données n'est possible que si cette finalité a été expressément déclarée avant installation.