L’employeur qui souhaite installer un dispositif de géolocalisation devra, en plus du respect des points 1-4 ci-avant et des points 6-7 ci-après, veiller au respect des règles spécifiques de l’article L. 261-1 du Code du travail.
La loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données modifie l’article L. 261-1 du Code du travail. Le législateur a ainsi fait usage de l’option laissée aux Etats membres par l’article 88 du RGPD de prévoir des modalités plus spécifiques concernant les traitements de données à caractère personnel de salariés dans le cadre des relations de travail.
Le nouvel article L. 261-1 du Code du travail permet les traitements de données à caractère personnel à des fins de surveillance des salariés dans le cadre des relations de travail, par l’employeur, uniquement sur base d’une des conditions de licéité limitativement énumérées à l’article 6.1, lettres a) à f) du RGPD (voir point 1.).
Pour pareils traitements de données à caractère personnel, dont la géolocalisation sur le lieu du travail, l’article L. 261-1 du Code du travail prévoit une obligation d’information collective préalable à l’égard de la représentation du personnel, en plus de l’information individuelle des salariés des articles 12 et 13 du RGPD. Cette information doit contenir :
- une description détaillée de la finalité du traitement envisagé,
- une description détaillée des modalités de mise en œuvre du système de surveillance,
- le cas échéant, la durée ou les critères de conservation des données,
- un engagement formel de l’employeur sur la non-utilisation des données collectées pour une finalité autre que celle prévue explicitement dans l’information préalable.
L’article L. 261-1 du Code du travail prévoit que, sauf lorsque le traitement de données à caractère personnel à des fins de surveillance répond à une obligation légale ou règlementaire, les dispositions prévues aux articles L. 211-8 et L.414-9 du Code du travail sont d’application, lorsque le traitement est mis en œuvre pour les finalités suivantes :
- pour les besoins de sécurité et de santé des salariés ; ou
- pour le contrôle de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen pour déterminer le salaire exact ; ou
- dans le cadre d’une organisation de travail selon l’horaire mobile conformément au Code du travail.
Dans tous les cas de projets de traitements de données à des fins de surveillance des salariés dans le cadre des relations de travail, la délégation du personnel, ou à défaut les salariés concernés, peuvent, dans les 15 jours suivant l’information préalable mentionnée ci-dessus, soumettre une demande d’avis préalable relative à la conformité du projet de traitement à la CNPD, qui doit se prononcer dans le mois de la saisine. La demande a un effet suspensif pendant ce délai.
Enfin, l’article L. 261-1 du Code du travail rappelle que les salariés concernés ont toujours le droit d’introduire une réclamation auprès de la CNPD en cas d’atteinte à leurs droits, une telle réclamation ne constituant ni un motif grave, ni un motif légitime de licenciement.
La CNPD attire l’attention des responsables du traitement sur le fait que, conformément à l’article L. 261-2 du Code du travail, le non-respect de l’article L. 261-1 du Code du travail constitue une infraction pénale, passible d’une peine d’emprisonnement de huit jours à un an et/ou d’une amende de 251 à 125.000 euros. La juridiction saisie peut en outre prononcer la cessation du traitement sous peine d’astreinte.