Le RGPD s'applique-t-il aux pointeuses installées uniquement à des fins de présence administrative ?
Réponse courte
Le RGPD s'applique intégralement aux pointeuses installées à des fins de présence administrative, dès lors que le dispositif collecte des données permettant d'identifier directement ou indirectement un salarié. La finalité exclusivement administrative du traitement ne constitue pas une dérogation aux obligations prévues par le règlement européen et par la loi du 1er août 2018 relative à la protection des données à caractère personnel.
L'employeur doit garantir la licéité du traitement en s'appuyant sur une base légale du pointage appropriée, informer chaque salarié individuellement conformément à l'article 13 du RGPD, et consulter la délégation du personnel avant toute mise en place du dispositif en application de l'article L.261-1 du Code du travail. La collecte doit respecter le principe de minimisation et la durée de conservation être limitée à ce qui est strictement nécessaire.
Définition
La pointeuse administrative est un dispositif technique permettant d'enregistrer les horaires d'arrivée, de départ et de présence des salariés, sans finalité de surveillance comportementale. Les données collectées (identité, horodatage, mouvements) constituent des données à caractère personnel au sens de l'article 4 du RGPD.
Le traitement de ces données comprend toute opération effectuée sur ces informations, de la collecte à la suppression, en passant par la conservation et la consultation. L'employeur agit en qualité de responsable du traitement et doit documenter ses obligations dans un registre des activités de traitement.
Questions fréquentes
Conditions d’exercice
L'installation d'une pointeuse à finalité administrative est soumise à des conditions cumulatives.
| Condition | Détail |
|---|---|
| Base légale | Obligation légale (art. L.211-29) ou intérêt légitime de l'employeur |
| Proportionnalité | Collecte limitée aux données strictement nécessaires à la gestion du temps de présence |
| Information individuelle | Chaque salarié informé conformément à l'article 13 du RGPD |
| Consultation préalable | Information de la délégation du personnel (art. L.261-1) |
| Codécision | Obligatoire dans les entreprises de 150+ salariés (art. L.414-9, 6°) |
| AIPD | Obligatoire si surveillance systématique à grande échelle (art. 35 RGPD) |
Modalités pratiques
La mise en conformité du dispositif de pointage exige plusieurs actions documentées.
| Modalité | Contenu |
|---|---|
| Registre des traitements | Documenter la finalité, les catégories de données, les destinataires et les mesures de sécurité (art. 30 RGPD) |
| Durée de conservation | Maximum 1 an après fin de la période de référence (recommandation CNPD) |
| Mesures de sécurité | Chiffrement, contrôle d'accès, journalisation des consultations (art. 32 RGPD) |
| Droits des salariés | Accès, rectification, effacement et opposition à communiquer dans la note d'information |
| Biométrie | AIPD systématiquement obligatoire et proportionnalité stricte (lignes directrices CNPD) |
| Registre temps de travail | Mentions obligatoires : début, fin et durée du travail journalier (art. L.211-29) |
Pratiques et recommandations
Rédiger une note d'information claire à destination de chaque salarié, décrivant la finalité du traitement, les données collectées, la durée de conservation et les droits exercables.
Consulter la délégation du personnel avant toute installation et consigner formellement son avis dans un procès-verbal.
Limiter la durée de conservation des données de pointage conformément à la recommandation de la CNPD, soit un an maximum après la fin de la période de référence.
Restreindre l'accès aux données aux seules personnes habilitées (service RH, direction, gestionnaire de paie) et mettre en place des mesures de sécurité techniques adaptées.
Privilégier les alternatives non biométriques lorsque la finalité est exclusivement administrative, conformément au principe de proportionnalité.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD art. 4, 5, 6 | Définitions, principes de licéité et bases légales du traitement |
| RGPD art. 13 | Obligation d'information de la personne concernée |
| RGPD art. 30 | Registre des activités de traitement |
| RGPD art. 32, 35 | Sécurité du traitement et analyse d'impact |
| Art. L.261-1 | Information préalable en cas de traitement à des fins de surveillance |
| Art. L.414-9 | Codécision de la délégation du personnel (entreprises de 150+ salariés) |
| Art. L.211-29 | Registre du temps de travail et présentation à l'ITM |
| Loi du 1er août 2018 | Cadre national de protection des données et missions de la CNPD |
Note
La finalité exclusivement administrative d'une pointeuse ne dispense l'employeur d'aucune obligation prévue par le RGPD. En cas de manquement, la CNPD peut prononcer des amendes administratives pouvant atteindre 20 millions EUR ou 4 % du chiffre d'affaires mondial annuel. L'absence de consultation préalable de la délégation du personnel peut entraîner la nullité du dispositif.