Le dispositif que vous n’avez pas annoncé se retourne contre vous
Vous avez installé des caméras, équipé des véhicules d’un boîtier, ouvert la messagerie d’un salarié qui venait de partir, et vous conservez les dossiers du personnel depuis l’ouverture de l’entreprise. Chacune de ces décisions est un traitement de données, avec une base légale, une durée et une information préalable. Le droit ne vous interdit pas de contrôler, il vous impose de dire ce que vous contrôlez, pourquoi, et jusqu’à quand vous gardez ce que vous collectez. Un dispositif installé sans cette préparation ouvre deux contentieux qui ne se plaident pas devant les mêmes juges, l’un devant la CNIL, l’autre devant le conseil de prud’hommes. Presque tout se règle en amont, sur le papier, avant le premier enregistrement.
c’est la durée maximale de conservation des images d’un système de vidéosurveillance, comptée depuis la captation. Au-delà, l’enregistrement cesse d’être une précaution et devient un manquement, indépendamment de ce qu’il montre
Vous contrôlez sans savoir jusqu’où vous pouvez aller
Ce qui rend licite le contrôle d’un salarié
Le RGPD n’a pas retiré à l’employeur son pouvoir de contrôle, il lui a imposé de l’écrire avant de l’exercer. La difficulté n’est presque jamais le dispositif lui-même, elle tient à ce qui aurait dû être décidé autour de lui : une base légale, une durée, une information, une consultation. Les repères ci-dessous sont présentés à titre général et se vérifient au regard des textes en vigueur et de votre convention collective. La CNIL publie des recommandations que le juge reprend largement, mais qui ne dispensent pas d’examiner chaque dispositif au regard de la situation réelle de l’entreprise.
Le consentement du salarié n’est presque jamais la bonne base légale
L’article 6 du RGPD ouvre six bases légales, et une seule doit être retenue par traitement, avant sa mise en œuvre. Dans une entreprise, trois suffisent presque toujours : l’exécution du contrat de travail pour la paie et l’administration du personnel, l’obligation légale pour le registre unique du personnel, les déclarations sociales et le suivi en santé au travail, l’intérêt légitime pour la sécurité des locaux et le contrôle proportionné de l’activité. Le consentement, lui, suppose un accord libre. La CNIL rappelle qu’un déséquilibre entre celui qui traite les données et celui qui les fournit rend ce caractère libre douteux, et la relation de travail en est l’exemple type, puisqu’un refus n’y est jamais sans conséquence. Fonder une caméra ou une géolocalisation sur une clause de consentement signée le jour de l’embauche revient à la fonder sur rien. L’intérêt légitime n’est pas une case à cocher non plus : il suppose d’avoir mis en balance, par écrit, la finalité poursuivie et l’atteinte causée, avant d’installer quoi que ce soit.
Le registre des traitements est la première pièce qu’on vous demandera
L’article 30 du RGPD impose à tout organisme, public ou privé, quelle que soit sa taille, de tenir un registre de ses activités de traitement. Beaucoup de dirigeants se croient dispensés en dessous de 250 salariés. La dispense existe, mais elle ne couvre que les traitements occasionnels, sans risque et sans données sensibles : la paie, la gestion du personnel, la vidéosurveillance et la géolocalisation en sont exclues par nature, ce qui la vide de son contenu dès qu’une entreprise emploie du personnel. Le registre décrit, pour chaque traitement, sa finalité, les catégories de données et de personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité. Son intérêt réel n’est pas documentaire : c’est le seul exercice qui oblige à fixer une durée, la question qu’aucune entreprise ne se pose spontanément. Lors d’un contrôle, son absence est le premier manquement relevé, et elle en révèle d’autres, puisqu’elle montre que rien n’a été cadré en amont.
Informer les salariés et consulter le CSE sont deux obligations distinctes
L’article L1222-4 du code du travail tient en une phrase : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Cette information est individuelle et écrite, elle précise la finalité, la base légale, les destinataires, la durée de conservation et les droits de la personne. Elle ne remplace pas la consultation du comité social et économique, imposée par l’article L2312-38 avant la mise en œuvre de moyens ou de techniques permettant un contrôle de l’activité des salariés. Deux formalités, deux destinataires, deux sanctions : l’absence d’information fragilise le dispositif, l’absence de consultation ouvre en plus le terrain du délit d’entrave. L’article L1121-1 pose la limite commune, puisque aucune restriction aux droits des personnes n’est admise si elle n’est pas justifiée par la nature de la tâche et proportionnée au but recherché. La marche à suivre avec le comité est décrite sur la page consulter le CSE.
La vidéosurveillance sécurise des locaux, elle ne mesure pas une productivité
Les finalités admises par la CNIL sont la sécurité des biens et des personnes, l’effet dissuasif et l’identification des auteurs de vols, de dégradations ou d’agressions. Aucune ne permet de vérifier l’assiduité ou le rendement. Un salarié ne peut pas être placé sous surveillance permanente : les caméras ne filment pas les postes de travail, sauf circonstances exceptionnelles comme la manipulation de fonds ou le stockage de biens de valeur, et le cadrage se limite alors à ce qui est strictement nécessaire. Certaines zones sont interdites en toutes circonstances : espaces de pause et de repos, sanitaires, locaux syndicaux et accès réservés aux représentants du personnel. L’information passe par un panneau permanent et visible, portant la finalité, la durée de conservation, le contact du responsable ou du délégué à la protection des données, les droits des personnes et les coordonnées de la CNIL. Seules des personnes habilitées consultent les images, et leurs accès sont tracés. Les enregistrements se conservent un mois au plus à compter de la captation : une extraction pour une procédure se fait dans ce délai, jamais après.
La géolocalisation s’arrête au temps de travail
C’est le dispositif le plus cher à corriger, parce qu’il tourne en continu et qu’il collecte sans discontinuer. La CNIL admet la géolocalisation d’un véhicule professionnel pour facturer ou justifier une prestation de transport, pour la sûreté du salarié, de la marchandise ou du véhicule, pour répartir les moyens sur des interventions dispersées, pour respecter une obligation légale, ou pour contrôler l’usage du véhicule. Le suivi du temps de travail n’est admis qu’à titre subsidiaire, lorsque aucun autre moyen n’existe dans l’entreprise. Trois interdits reviennent constamment : contrôler le respect des limitations de vitesse, suivre un salarié qui dispose d’une liberté d’organisation comme un commercial, et suivre un représentant du personnel dans l’exercice de son mandat. Le quatrième est le plus souvent ignoré : aucune donnée de localisation ne peut être collectée en dehors du temps de travail, ce qui vise les trajets entre le domicile et le lieu de travail ainsi que les temps de pause, y compris lorsque le dispositif sert à lutter contre le vol. Le salarié doit donc pouvoir désactiver le boîtier, l’employeur restant libre de vérifier la fréquence des désactivations. Les données se conservent deux mois, un an lorsqu’elles servent à prouver une intervention ou à optimiser une tournée, cinq ans lorsqu’elles alimentent le décompte du temps de travail.
Les fichiers du salarié sont présumés professionnels, et cette présomption a des bords
Les fichiers et les courriels créés sur l’outil professionnel sont présumés professionnels : l’employeur peut les consulter hors la présence du salarié, sans autorisation particulière. La présomption tombe lorsque le salarié les a identifiés comme personnels, et une intitulation générique ne suffit pas à produire cet effet : c’est une identification explicite qui est attendue, pas un dossier au nom de son auteur. Un élément ainsi identifié ne s’ouvre qu’en présence du salarié ou après l’avoir dûment appelé, sauf risque ou événement particulier. La chambre sociale a annulé en septembre 2024 un licenciement fondé sur des messages relevant de la vie privée, tout en confirmant en décembre 2024 le caractère professionnel de messages liés au travail, et la chambre criminelle a sanctionné en septembre 2025 un accès dissimulé à une messagerie. Un arrêt du 18 juin 2025 déplace en outre la question : les courriels émis ou reçus par un salarié sur sa messagerie professionnelle sont des données à caractère personnel, donc soumis à son droit d’accès, métadonnées comprises, sauf atteinte aux droits des tiers. Ce que vous avez lu, il pourra vous demander d’en fournir la copie. Lorsque la lecture sert à établir une faute, elle doit se raccorder à la procédure décrite sur la page sanctionner un salarié.
Badges et pointeuses mesurent un temps, ils ne suivent pas une personne
Un badge d’accès poursuit une finalité déclarée, et une seule : sécuriser l’entrée des locaux, restreindre l’accès à des zones sensibles, ou décompter les horaires. Utiliser les journaux d’un contrôle d’accès installé pour la sécurité afin de vérifier les heures d’arrivée d’un salarié est un détournement de finalité, sanctionné comme tel même quand les données existent déjà. Sont également proscrits le suivi des déplacements internes et le contrôle des heures de délégation des représentants du personnel. Les journaux d’accès ne se conservent pas au-delà de trois mois, quand les données servant au décompte des horaires peuvent être archivées jusqu’à cinq ans. La biométrie obéit à un régime plus strict : l’empreinte ou le visage sont écartés pour le simple pointage au titre de la minimisation, ils supposent un besoin de sécurité démontré, une analyse d’impact, et la suppression des gabarits dès le retrait des habilitations.
Les durées de conservation ne se décident pas dossier par dossier
La CNIL a publié en avril 2026 un référentiel consacré aux durées de conservation en gestion des ressources humaines. Il distingue deux temps : la base active, où la donnée sert à la gestion courante, et l’archivage intermédiaire, où elle n’est plus consultée mais reste accessible en cas de contentieux, avec des accès restreints. Plusieurs durées viennent d’un texte et s’imposent : le registre unique du personnel se conserve cinq ans à compter du départ du salarié, le double du bulletin de paie cinq ans, le bulletin remis sous forme électronique devant rester accessible bien plus longtemps. D’autres relèvent de la recommandation, à commencer par le dossier professionnel, conservé pendant la relation de travail puis archivé selon les délais de prescription applicables aux actions qui pourraient être engagées. Le décompte du temps de travail se conserve un an, porté à trois ans pour le suivi des conventions de forfait. Conserver au-delà n’est pas une prudence, c’est un manquement autonome, relevé sans qu’il soit besoin de démontrer le moindre préjudice.
Les candidatures suivent une règle à part, et les deux réflexes habituels sont mauvais : tout supprimer dès le recrutement clos, ou tout garder dans un vivier. Le dossier d’un candidat non retenu sort de la base active à l’issue du recrutement, puis s’archive cinq ans à compter de la date où le poste a été pourvu, parce qu’une action fondée sur une discrimination à l’embauche peut être engagée dans ce délai et que l’employeur devra justifier son choix. Un curriculum vitae conservé pour un poste futur suppose d’en informer la personne et de ne pas dépasser deux ans depuis le dernier contact. La collecte a ses limites elle aussi, puisque seules les informations permettant d’apprécier l’aptitude professionnelle peuvent être demandées : ce point est traité sur la page rédiger une offre d’emploi conforme.
L’analyse d’impact n’est pas une formalité de grande entreprise
L’article 35 du RGPD impose une analyse d’impact relative à la protection des données dès qu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. La liste publiée par la CNIL vise expressément les traitements de surveillance constante, ce qui recouvre la vidéosurveillance des postes de travail, les enregistreurs de frappe et la géolocalisation, mais aussi la biométrie de contrôle d’accès, les dispositifs d’alerte professionnelle et le profilage produisant des effets juridiques. La grille européenne fixe neuf critères, et deux critères réunis suffisent à déclencher l’obligation. L’analyse s’écrit avant la mise en œuvre, décrit le traitement, en évalue la nécessité et la proportionnalité, recense les risques et les mesures prises pour les réduire. Lorsque le risque résiduel reste élevé malgré ces mesures, l’article 36 impose de consulter la CNIL avant de démarrer. Son absence est un manquement en soi, souvent relevé en même temps que celle du registre, et une revue de conformité plus large est décrite sur la page faire un audit social.
Comment nous sécurisons vos traitements de données RH
On part des dispositifs réellement en service, pas de la documentation qui était censée les décrire.
Recenser ce qui collecte, pas ce qui est déclaré
Caméras, boîtiers, badges, outils de suivi, tableurs RH, messagerie, prestataires : le recensement part du terrain. Presque toujours, des traitements actifs ne figurent dans aucun registre.
Rattacher chaque traitement à une base légale
Contrat, obligation légale ou intérêt légitime : la base se choisit par traitement et se justifie par écrit. Les clauses de consentement signées à l’embauche sont retirées, parce qu’elles ne protègent de rien.
Fixer une durée et la rendre automatique
Une durée écrite qui n’est appliquée par aucun paramétrage ne vaut pas mieux que pas de durée. La purge se règle dans les outils, avec une trace de ce qui a été supprimé.
Annoncer le dispositif avant de l’allumer
Note d’information individuelle, affichage sur site, consultation du comité social et économique : les trois se préparent ensemble. Un dispositif annoncé après coup ne se régularise jamais complètement.
Un dispositif de contrôle ne se juge pas sur ce qu’il permet de voir, mais sur ce qui a été écrit avant de l’installer. Le jour où il faut produire un enregistrement, ce sont le registre, l’information préalable et la durée de conservation qui décident de sa valeur.
Ce que Qavance fait sur vos données de salariés
La prestation centrale est la mise en conformité des traitements RH et des dispositifs de contrôle, parce qu’elle produit le registre, les bases légales et les durées dont tout le reste dépend. Les trois autres se greffent dessus : encadrer un dispositif précis avant son installation, reprendre les durées de conservation d’un dossier du personnel devenu illisible, ou répondre à une demande d’accès et à un contrôle déjà ouvert.
Mettre en conformité vos traitements RH et vos dispositifs de contrôle
Recensement sur le terrain de tout ce qui collecte des données de salariés, du logiciel de paie au boîtier de géolocalisation. Chaque traitement reçoit une finalité, une base légale justifiée, une durée de conservation, une liste de destinataires et un niveau de sécurité. Les mentions d’information et les clauses contractuelles sont reprises dans la foulée, et les traitements sans base légale sont arrêtés ou reconstruits.
Ce que vous recevezLe registre des activités de traitement complété, avec les durées retenues, les mentions d’information à diffuser et la liste des traitements à corriger.
Encadrer un dispositif de vidéosurveillance ou de géolocalisation
Avant l’installation ou après, lorsque le dispositif tourne déjà. Cadrage de la finalité, vérification de la proportionnalité, analyse d’impact lorsqu’elle s’impose, note d’information individuelle, affichage, paramétrage des durées et des habilitations. La consultation du comité social et économique est préparée avec le dossier qui l’accompagne.
Ce que vous recevezL’analyse d’impact, la note d’information aux salariés et le dossier de consultation du comité, prêts à être transmis.
Reprendre les durées de conservation du dossier du personnel
Revue des dossiers de salariés en poste, d’anciens salariés et de candidats, par catégorie de pièce. Séparation entre base active et archivage intermédiaire, définition des accès pour chacune, puis suppression de ce qui aurait dû l’être. Le paramétrage de purge est posé dans les outils pour que la règle tienne sans intervention manuelle.
Ce que vous recevezLa politique de conservation par type de document, le plan de purge et la trace des suppressions effectuées.
Répondre à une demande d’accès ou à un contrôle de la CNIL
Lorsqu’un salarié réclame son dossier et ses courriels, ou lorsqu’un contrôle est engagé : qualification de la demande, périmètre de ce qui doit être communiqué, protection des données de tiers, réponse dans le délai imparti. En contrôle, reprise du dossier avec l’organisme et arbitrage entre ce qui se régularise et ce qui se discute.
Ce que vous recevezLa réponse écrite au demandeur ou à l’autorité, avec l’extraction contrôlée des données et le plan de mise en conformité associé.
Trois expertises sur le même dossier, un seul interlocuteur
La donnée d’un salarié se joue à la fois sur le terrain de la conformité et sur celui du contrat de travail.
Un avocat en droit du travail
Inscrit à un barreau français et tenu au secret professionnel, il arbitre la proportionnalité des dispositifs de contrôle au regard de l’article L1121-1, sécurise l’articulation entre l’information des salariés et la consultation du comité, et rédige les clauses contractuelles qui accompagnent un dispositif. Il prend la main lorsque la donnée devient une pièce de procédure, du licenciement fondé sur un enregistrement à la demande d’accès contentieuse.
Un spécialiste conformité
Il construit le registre des activités de traitement, choisit et documente la base légale de chaque traitement, réalise les analyses d’impact et fixe les durées de conservation par catégorie de donnée. C’est lui qui repère les traitements en service qui ne figurent nulle part, les durées jamais appliquées et les prestataires qui accèdent aux données sans encadrement contractuel.
Un spécialiste RH
Il reprend le dossier du personnel pièce par pièce, sépare ce qui relève de la gestion courante de ce qui part en archivage, et remet à plat les circuits internes : qui saisit, qui consulte, qui transmet. Il écrit les procédures que les équipes appliqueront après le départ des experts, parce qu’une conformité qui repose sur la mémoire de deux personnes ne tient pas une année.
Les erreurs qui rendent un contrôle indéfendable
Faire signer une clause de consentement à l’embauche
Le consentement d’un salarié n’est pas considéré comme libre, faute d’équilibre entre les parties. Un dispositif adossé à cette clause se retrouve sans base légale le jour où il est examiné.
Installer les caméras avant d’en parler au comité
L’information des salariés et la consultation du comité social et économique sont préalables, pas concomitantes. Une régularisation après coup laisse subsister le manquement et le risque d’entrave.
Conserver les candidatures sans date de suppression
Une candidature non retenue s’archive pour une durée définie, liée au risque de contentieux, puis disparaît. Un vivier sans information des personnes et sans échéance est un stock de données indéfendable.
Détourner les badges d’accès pour vérifier les horaires
Les données existent déjà, ce qui donne le sentiment que leur usage est libre. Les réutiliser pour une finalité non déclarée est un manquement distinct, sanctionné pour lui-même.
Ouvrir la messagerie d’un salarié sans précaution
La présomption de caractère professionnel ne couvre pas ce que le salarié a identifié comme personnel. Une lecture faite sans respecter cette limite expose au-delà du terrain prud’homal.
Depuis l’arrêt de l’assemblée plénière du 22 décembre 2023 et celui de la chambre sociale du 14 février 2024, un enregistrement issu d’un dispositif illicite peut être produit devant le juge prud’homal lorsqu’il est indispensable à l’exercice du droit à la preuve et que l’atteinte reste strictement proportionnée au but poursuivi. Beaucoup y ont lu une autorisation générale de surveiller, alors qu’il s’agit d’un examen au cas par cas dont l’issue n’est jamais acquise. Surtout, la recevabilité devant le conseil de prud’hommes ne couvre pas le manquement au RGPD : le même dispositif peut fonder un licenciement et déclencher une sanction administrative, à laquelle s’ajoute le délit d’entrave si le comité n’a pas été consulté. En janvier 2024, une amende de 32 millions d’euros a été prononcée contre un exploitant logistique pour un suivi d’activité jugé excessif, une conservation de données trop longue et une vidéosurveillance mise en œuvre sans information préalable des salariés.
Comment cela se passe
Un travail court, parce que l’essentiel se voit en parcourant les outils et les contrats en service.
Vous nous montrez ce qui collecte
Les logiciels utilisés, les dispositifs installés, les prestataires qui accèdent aux données, vos contrats de travail et vos notes d’information, ainsi que votre registre s’il existe.
Vous savez ce qui tient et ce qui doit changer
Chaque traitement est rattaché à une base légale, confronté à sa finalité réelle et à sa durée. Vous voyez ce qui se garde en l’état, ce qui se corrige, et ce qui doit être arrêté sans délai.
Le cadre est écrit et opposable
Registre complété, mentions d’information diffusées, durées paramétrées dans les outils, dossier de consultation du comité transmis et analyses d’impact réalisées là où elles s’imposent.
Les questions que se posent les employeurs sur les données personnelles de leurs salariés
Un employeur doit-il obtenir le consentement de ses salariés au titre du RGPD ?
Dans la très grande majorité des cas, non, et chercher ce consentement est même contre-productif. Le RGPD prévoit six bases légales et le consentement n’en est qu’une : il doit être libre, spécifique, éclairé et univoque, et la CNIL considère qu’un déséquilibre entre le responsable de traitement et la personne concernée en compromet le caractère libre. La relation de travail est l’exemple type de ce déséquilibre, puisqu’un salarié qui refuse s’expose à une conséquence professionnelle, réelle ou supposée. Les traitements RH se fondent donc sur l’exécution du contrat de travail pour la paie et l’administration du personnel, sur une obligation légale pour le registre unique du personnel, les déclarations sociales ou le suivi en santé au travail, et sur l’intérêt légitime pour la sécurité des locaux et le contrôle proportionné de l’activité. Une clause de consentement générale signée à l’embauche ne sécurise rien : elle laisse le traitement sans base valable le jour où la question est posée. Un consentement reste pertinent dans quelques cas marginaux, comme la diffusion de la photographie d’un salarié sur un site institutionnel, où le refus n’emporte aucune conséquence sur le poste. Le vrai travail consiste à choisir une base par traitement, à l’inscrire dans le registre et à la documenter, plutôt qu’à faire signer un document supplémentaire.
Combien de temps conserver le dossier d’un salarié qui a quitté l’entreprise ?
Il n’existe pas une durée unique pour le dossier du personnel, mais une durée par catégorie de pièce, et le référentiel publié par la CNIL en avril 2026 raisonne en deux temps. La donnée vit d’abord en base active, tant qu’elle sert à la gestion courante, puis passe en archivage intermédiaire, où elle n’est plus consultée mais reste accessible en cas de contentieux, avec des accès restreints à quelques personnes. Plusieurs durées viennent d’un texte et s’imposent : le registre unique du personnel se conserve cinq ans à compter du départ du salarié, et le double du bulletin de paie cinq ans, le bulletin remis sous forme électronique devant rester accessible bien plus longtemps. D’autres relèvent de la recommandation : le dossier professionnel se conserve pendant la relation de travail, puis s’archive selon les délais de prescription des actions susceptibles d’être engagées, ce qui conduit à raisonner par type de risque plutôt que par habitude. Le décompte du temps de travail se conserve un an, porté à trois ans pour le suivi des conventions de forfait. Garder au-delà par prudence produit l’effet inverse de celui recherché, puisque la conservation excessive est un manquement en elle-même, relevé sans qu’il soit besoin de démontrer un préjudice. La règle utile est d’écrire la durée par type de pièce, puis de la faire appliquer par un paramétrage, faute de quoi elle restera lettre morte.
Combien de temps peut-on conserver les candidatures non retenues ?
Deux réflexes cohabitent dans les entreprises et tous deux sont mauvais : tout supprimer dès la clôture du recrutement, ou tout garder indéfiniment dans un vivier. Le référentiel de la CNIL retient que le dossier d’un candidat non retenu sort de la base active à l’issue du recrutement, puis se conserve en archivage intermédiaire pendant cinq ans à compter de la date où le poste a été pourvu. Cette durée n’est pas un confort administratif : elle correspond au délai pendant lequel une action fondée sur une discrimination à l’embauche peut être engagée, et c’est l’employeur qui devra alors justifier les motifs objectifs de son choix. Supprimer trop tôt revient donc à se priver de sa propre défense. À l’inverse, conserver un curriculum vitae pour un poste futur relève d’une logique différente : cette conservation en vivier suppose d’informer la personne et de ne pas dépasser deux ans à compter du dernier contact avec elle. La collecte obéit elle aussi à une limite, puisque seules les informations permettant d’apprécier l’aptitude professionnelle du candidat peuvent être demandées, ce qui exclut la situation familiale détaillée, l’état de santé ou l’appartenance syndicale. Une boîte de réception qui sert d’archive de recrutement, sans tri ni échéance, est le cas le plus fréquemment relevé lors d’un contrôle.
Peut-on installer des caméras de vidéosurveillance sur un lieu de travail ?
Oui, à condition que la finalité soit la sécurité et non la surveillance des salariés. La CNIL admet la vidéosurveillance pour protéger les biens et les personnes, dissuader et identifier les auteurs de vols, de dégradations ou d’agressions. Elle exclut en revanche qu’un salarié soit placé sous surveillance permanente : les caméras ne filment pas les postes de travail, sauf circonstances exceptionnelles comme la manipulation de fonds ou le stockage de biens de valeur, et le cadrage se limite alors au strict nécessaire. Certaines zones sont interdites en toutes circonstances, à savoir les espaces de pause et de repos, les sanitaires, les locaux syndicaux et les accès réservés aux représentants du personnel. Avant l’installation, les salariés sont informés individuellement et le comité social et économique est consulté ; sur place, un panneau permanent indique la finalité, la durée de conservation, le contact du responsable ou du délégué à la protection des données, les droits des personnes et les coordonnées de la CNIL. Seules des personnes habilitées consultent les images, et leurs accès sont tracés. Les enregistrements se conservent un mois au plus à compter de la captation, ce qui impose d’extraire dans ce délai la séquence utile à une procédure. Lorsque le dispositif filme en continu des zones de travail, une analyse d’impact devient nécessaire avant toute mise en service.
Peut-on géolocaliser les véhicules de ses salariés ?
Oui, pour des finalités limitées, et le sujet est celui sur lequel les entreprises se trompent le plus souvent. La CNIL admet la géolocalisation d’un véhicule professionnel pour facturer ou justifier une prestation de transport, pour la sûreté du salarié, de la marchandise ou du véhicule, pour répartir les moyens sur des interventions dispersées, pour respecter une obligation légale, ou pour contrôler l’usage du véhicule. Le suivi du temps de travail n’est admis qu’à titre subsidiaire, lorsque aucun autre dispositif ne permet de l’assurer dans l’entreprise. Plusieurs usages sont exclus : contrôler le respect des limitations de vitesse, suivre en permanence un salarié, suivre un salarié qui dispose d’une liberté d’organisation dans ses déplacements, et suivre un représentant du personnel dans l’exercice de son mandat. La limite la plus souvent ignorée porte sur le temps : aucune donnée de localisation ne peut être collectée en dehors du temps de travail, ce qui vise les trajets entre le domicile et le lieu de travail ainsi que les temps de pause, y compris lorsque le boîtier sert à retrouver un véhicule volé. Le salarié doit donc disposer d’un moyen de désactiver le dispositif, l’employeur restant libre d’en vérifier la fréquence d’usage. Les données se conservent deux mois, un an lorsqu’elles servent à prouver une intervention ou à optimiser une tournée, cinq ans lorsqu’elles alimentent le décompte du temps de travail. Le dispositif figure sur la liste des traitements soumis à analyse d’impact.
L’employeur peut-il lire les courriels et les fichiers de ses salariés ?
Les fichiers et les courriels créés sur l’outil professionnel sont présumés professionnels, ce qui autorise l’employeur à les consulter hors la présence du salarié et sans formalité particulière. La présomption cesse lorsque le salarié a identifié un élément comme personnel, et une intitulation générique ne suffit pas à produire cet effet : il faut une identification explicite, pas un dossier portant le prénom de son auteur. Un fichier ou un message ainsi identifié ne s’ouvre qu’en présence du salarié ou après l’avoir dûment appelé, sauf risque ou événement particulier justifiant l’urgence. La jurisprudence récente a resserré les deux bords de cette règle, en annulant un licenciement fondé sur des messages relevant de la vie privée, en confirmant le caractère professionnel de messages liés au travail, et en sanctionnant sur le terrain pénal un accès dissimulé à une messagerie. Un arrêt du 18 juin 2025 a par ailleurs jugé que les courriels émis ou reçus par un salarié sur sa messagerie professionnelle sont des données à caractère personnel : ils entrent donc dans le champ de son droit d’accès, métadonnées comprises, sous réserve des droits et libertés des tiers mentionnés dans ces échanges. Concrètement, ce que vous consultez pourra vous être réclamé en copie. Une charte informatique annexée au règlement intérieur, expliquant ce qui est contrôlé et comment, reste le meilleur moyen de rendre ces lectures prévisibles et défendables.
Faut-il consulter le CSE avant d’installer un dispositif de contrôle ?
Oui, dès lors que le dispositif permet un contrôle de l’activité des salariés, et cette consultation est préalable à sa mise en œuvre. L’article L2312-38 du code du travail vise les moyens ou les techniques permettant ce contrôle, ce qui englobe la vidéosurveillance, la géolocalisation, les outils de suivi de production, les dispositifs de journalisation informatique et les systèmes de contrôle d’accès utilisés pour décompter les horaires. Cette consultation ne se confond pas avec l’information individuelle prévue par l’article L1222-4, qui reste due à chaque salarié et porte sur la finalité, la base légale, les destinataires, la durée de conservation et les droits de la personne. Deux formalités, deux destinataires, deux conséquences en cas d’omission : l’absence d’information fragilise le dispositif devant le juge, l’absence de consultation ouvre en plus le terrain du délit d’entrave. La consultation suppose de remettre au comité un dossier lisible décrivant le dispositif, sa finalité, les données collectées, les destinataires et les durées, puis de lui laisser un délai d’examen. Un dispositif installé d’abord et présenté ensuite ne se régularise jamais tout à fait, puisque la période antérieure reste irrégulière. Lorsque l’entreprise n’a pas de comité, l’information individuelle des salariés reste due dans les mêmes termes.
Quelles sanctions la CNIL peut-elle prononcer contre un employeur ?
L’éventail est plus large que la seule amende, et c’est souvent la mesure non pécuniaire qui pèse le plus. La CNIL peut prononcer un rappel à l’ordre, mettre en demeure de se conformer, ordonner la mise en conformité sous astreinte, limiter ou suspendre un traitement, voire en ordonner l’arrêt. L’amende administrative est plafonnée à dix millions d’euros ou deux pour cent du chiffre d’affaires annuel mondial, et à vingt millions d’euros ou quatre pour cent pour les manquements les plus graves, le montant le plus élevé étant retenu. Une procédure simplifiée existe pour les affaires les moins complexes, avec un plafond de vingt mille euros et sans publicité de la décision, alors que les autres sanctions peuvent être rendues publiques aux frais de l’organisme, ce qui constitue une peine en soi pour une entreprise qui recrute. Les manquements les plus fréquemment relevés côté employeur sont l’absence de registre, l’absence d’analyse d’impact, la conservation excessive et le défaut d’information des salariés. En janvier 2024, une amende de trente-deux millions d’euros a sanctionné un exploitant logistique pour des indicateurs de suivi d’activité jugés excessifs, une conservation de données brutes trop longue et une vidéosurveillance mise en œuvre sans information préalable. Ces sanctions se cumulent avec le contentieux prud’homal : un salarié peut obtenir des dommages et intérêts devant le conseil de prud’hommes pour atteinte à sa vie privée, indépendamment de la procédure conduite par l’autorité.
Vous pouvez également être concerné par…
Mettre en place les entretiens de parcours professionnel
Réforme de 2025, nouvelles échéances, trames et managers : organiser des entretiens de parcours professionnel utiles et conformes.
Faire un audit social de mon entreprise
Contrats, paie, temps de travail, documents obligatoires et pratiques RH : identifier les écarts pendant qu’ils se corrigent encore, et chiffrer ce qu’ils coûteraient.
Préparer un contrôle de l’inspection du travail
Visite sans avertissement, documents exigibles, délit d’obstacle, mise en demeure et amende administrative : ce que l’agent de contrôle peut demander, et ce qui suit la visite.
Un contrôle se prépare sur le papier avant de s’installer au mur.
Premier échange confidentiel et sans engagement.