Suivi GPS des salariés RGPD 2026 : éviter les sanctions CNIL

C’est mercredi matin, 9 h 14. Vous ouvrez votre messagerie et trouvez un courrier officiel de la CNIL. Objet : suivi GPS de vos techniciens itinérants. Trois salariés ont déposé une réclamation, ils ne savaient pas que l’application installée sur le véhicule de service enregistrait en continu leur position, y compris pendant la pause déjeuner, y compris en fin de service quand ils utilisaient le véhicule pour des courses personnelles.

Les sanctions de la CNIL en matière de surveillance des salariés se sont nettement durcies ces deux dernières années. En 2024, la CNIL a prononcé une dizaine de mises en demeure et plusieurs sanctions financières, entre 20 000 et 150 000 €, visant des PME de la propreté, de la sécurité privée et du second œuvre. Motif récurrent : absence d’information préalable individuelle et collective, et non-respect du principe de proportionnalité.

Le problème est rarement technologique. Il est organisationnel : on remet un appareil, on installe une application, et personne n’explique au salarié précisément ce qui est enregistré, quand, pourquoi, combien de temps les données sont conservées, et qui peut y accéder. C’est exactement là que la CNIL intervient, et c’est là que naissent les sanctions.

Bases légales : quand le suivi GPS est-il réellement autorisé ?

Le RGPD n’autorise pas le suivi des salariés de manière générique. Il exige une base légale concrète au sens de l’art. 6 RGPD, complétée par l’art. L1121-1 du Code du travail (principe de proportionnalité) et l’art. L2312-38 (information du CSE). En pratique, trois voies sont possibles :

Intérêt légitime (art. 6.1.f RGPD) : l’employeur doit démontrer concrètement pourquoi le suivi est nécessaire, répartition d’interventions, optimisation des tournées, preuve de prestation. Des références vagues à la “sécurité” ou à “l’efficacité” ne suffisent pas. La mise en balance avec les droits du salarié doit être documentée par écrit, sous forme d’analyse d’intérêts (AIPD).

Exécution du contrat de travail (art. 6.1.b) : seulement quand le suivi est strictement nécessaire à l’exécution du contrat. La CNIL interprète ce point étroitement, la plupart des cas “je veux savoir où sont mes équipes” ne s’y prêtent pas.

Consentement (art. 7) : très problématique dans le cadre salarial, car le déséquilibre de pouvoir met en doute le caractère libre du consentement. Utilisable seulement en complément, jamais comme base unique.

Quelle que soit la base choisie, l’AIPD (Analyse d’Impact relative à la Protection des Données) est obligatoire selon l’art. 35 RGPD, la géolocalisation des salariés figure sur la liste CNIL des traitements “à risque élevé”.

Minimisation des données : ne collectez que ce qui est strictement nécessaire

L’art. 5.1.c RGPD impose la minimisation. Traduit : position GPS uniquement pendant le temps de travail convenu, pas pendant les pauses, pas après la fin de service, pas en congés. Suivre en continu, capter le salarié dans sa vie privée, c’est déjà perdu, avant même le premier contrôle.

Concrètement : l’application doit disposer d’une planification horaire. Elle s’active au pointage d’entrée, se met en pause au pointage de pause, s’interrompt sur les absences autorisées. Les géofences autour des adresses privées doivent être exclues de la configuration. Durée de conservation : au maximum le temps nécessaire à la finalité déclarée, typiquement 30 à 90 jours, puis suppression automatique.

Mesures techniques et organisationnelles (MTO)

L’art. 32 RGPD exige des mesures de sécurité adéquates. Concrètement : chiffrement des données GPS en transit et au repos, accès limité selon le principe du besoin d’en connaître, revue périodique des habilitations, journaux d’audit complets. La CNIL, en cas de contentieux, veut voir qui a consulté quelle position et quand.

Détail souvent négligé : la relation avec l’éditeur de l’application doit être encadrée contractuellement. L’art. 28 RGPD impose un contrat de sous-traitance (RAD ou DPA). À défaut, la violation est formelle et sanctionnable, indépendamment du fait que tout le reste soit conforme.

Erreurs fréquentes qui mènent à la sanction

1. Notice salarié absente ou incomplète. L’art. 13 RGPD impose une information complète à la collecte : finalité, base légale, conservation, destinataires, droits de la personne. Une clause vague dans le contrat ne suffit pas. Il faut un document de notice dédié, plus information collective au CSE.

2. Suivi en dehors du temps de travail. Classique. Tracer pendant la pause déjeuner ou le week-end revient à collecter des données sans base légale. Sanction CNIL plus actions individuelles en réparation possibles.

3. Absence d’AIPD. Pour le suivi GPS salariés, l’AIPD est obligatoire. Sans documentation, la CNIL présume la non-conformité.

4. Conservation excessive. Tenir les données GPS “au cas où” pendant des années viole le principe de limitation de la conservation (art. 5).

Vérifiabilité : l’avantage compétitif sous-estimé

Une solution de suivi moderne doit faire plus que de simplement éviter la CNIL. Elle doit prouver activement que les données collectées sont intègres. Des rapports scellés cryptographiquement avec signature ECDSA sont vérifiables de façon indépendante des mois plus tard, par le client, par un auditeur, par la CNIL. Ce n’est pas que de la conformité. C’est de la confiance qui se vend.

Qui en 2026 travaille encore avec des feuilles Excel non chiffrées ou des données d’application non vérifiées risque non seulement des sanctions, mais perd tout contentieux client demandant preuve de présence.

Que faire maintenant

Bloquez trois heures aujourd’hui pour un audit interne : quelle technologie de suivi utilisez-vous ? Où sont documentées les bases légales ? Vos salariés sont-ils activement informés ? Existe-t-il un contrat de sous-traitance écrit avec l’éditeur ? Qui a accès, et est-ce tracé ? L’AIPD est-elle réalisée ?

Si même un seul de ces points est flou, agissez maintenant, avant que la CNIL ne vous y force.