L’impact du RGPD sur la géolocalisation des techniciens

Le 25 mai 2018, l’entrée en vigueur du RGPD (Règlement Général sur la Protection des Données) a en partie modifié la réglementation applicable en matière de géolocalisation des salariés.  

Ainsi, si l’obligation de déclaration préalable disparait dans ce nouveau régime, les entreprises doivent cependant veiller à mettre en place de nouveaux processus internes pour offrir à leurs salariés une meilleure information et un meilleur accès aux données qui peuvent ainsi être collectées par leur employeur.  

A côté de cette volonté de responsabiliser les entreprises, l’adoption du RGPD est également venue considérablement renforcer le montant des sanctions encourues par les entreprises qui ne s’y conformeraient pas. Ce nouveau cadre n’est donc pas venu bouleverser fondamentalement le régime déjà en place s’agissant des finalités qui doivent être poursuivies par un dispositif de géolocalisation.  

Mais désormais les sociétés doivent mettre en place de nouvelles procédures afin de mieux informer les équipes qui sont susceptibles de faire l’objet de géolocalisation.

			Le livret Praxedo
			Géolocalisation du technicien, CNIL et RGPD : les règles à suivre
				Télécharger

De nouvelles procédures internes à mettre en place

Ainsi, l’entrée en vigueur du RGPD le 25 mai 2018 a mis fin à l’obligation faite à l’employeur de procéder à une déclaration préalable auprès de la CNIL en cas de mise en place d’un système de géolocalisation.   En contrepartie, il a mis à la charge de l’employeur l’obligation de mettre en place plusieurs procédures internes destinés à protéger les droits des salariés dont les données sont traitées.  

La consultation du personnel

Lorsque l’entreprise possède des instances représentatives du personnel, celles-ci doivent impérativement faire l’objet d’une consultation, préalablement à toute mesure de géolocalisation.   Au sein des entreprises de plus de 250 salariés, un nouveau personnage central a été créé par le RGPD : le Délégué à la Protection des Données (dit DPO) (cf. art 37 RGPD). Le DPO a naturellement vocation à remplacer les anciens correspondants informatiques et libertés. Il a également vocation à accompagner les salariés de la société face à ces problématiques de collecte de données personnelles.  

L’information du salarié

C’est véritablement en termes d’information devant être communiquées au salarié que le nouveau régime est venu rompre avec le cadre antérieur (cf. art 6 RGPD).   Désormais, toute mesure de géolocalisation nécessite de communiquer un certain nombre d’informations aux salariés qui en font l’objet de cette mesure :

• L’objet du traitement : à savoir la finalité et l’intérêt justifiant la mesure de géolocalisation.

• Le contenu des données collectées : par exemple nom, matricule, plaque immatriculation, kilomètres parcourus, nombre d’interventions effectuées, et historique.

• L’identification du destinataire des données : c’est à dire les personnes et les services qui auront accès à ces données personnelles tels que les coordinateurs ou les équipes de ressources humaines.

• La durée de conservation des données : En principe la durée de conservation des données de géolocalisation est de deux mois. Cette durée peut être portée à un an lorsque l’entreprise qui la met en place ne peut conserver autrement la preuve de l’exécution de ses prestations vis-à-vis de ses clients. En cas de contestation des prestations effectuées avant l’expiration de ces délais, ces données peuvent être conservées jusqu’à son règlement.

• L’identité et les coordonnées du DPO (lorsque l’entreprise en possède un).

• Les droits dont dispose le salarié vis-à-vis des données personnelles qui sont collectées à l’aide de la géolocalisation notamment :

  • le droit d’y avoir accès ;

  • le droit de procéder à leur rectification ;

  • le droit de demander leur effacement ;

  • le droit de s’opposer à leur collecte ;

  • le droit d’introduire une réclamation auprès d’une autorité de contrôle.

La sécurisation des données recueillies

L’entreprise doit également s’assurer que le processus et le logiciel permettant de récolter les données sur le salarié, par le biais de la géolocalisation, soient sécurisés et offrent certaines fonctionnalités protectrices.   Le logiciel mis en place doit permettre de minimiser au maximum la quantité de données traitées, mais également permettre de saisir et de transmettre les seules données pertinentes, adéquates et strictement limitées à la tâche à accomplir (comme indiqué dans l’article 5.1 c du RGPD).   Le processus mis en place devra aussi protéger les données collectées en s’assurant de leur confidentialité, en organisant le droit d’accès et le droit d’effacement du salarié.   Faute de respecter ces procédures et conditions, la société s’exposerait aux nouvelles sanctions renforcées, désormais prévues par le RGPD.   Dans un article à paraître prochainement, nous présenterons ainsi les sanctions auxquelles s’expose l’entreprise en cas de non-respect des règles de la CNIL et du RGPD.   Téléchargez la version intégrale du nouveau livret « Parole d’Experts », rédigé par les avocats spécialisés du cabinet PARDALIS.