Vous avez prévenu le CSE pour le GPS ? Ça ne suffit pas

Vous avez réuni les élus, présenté le dispositif, consulté le CSE, rédigé un compte rendu propre que vous avez glissé dans le classeur. La case est cochée. Vous respirez : voilà, c’est fait, je suis dans les clous, à partir d’aujourd’hui je peux dormir tranquille. C’est la tranquillité de celui qui sort de la préfecture avec son permis neuf et croit déjà savoir conduire.

Le souci, c’est que depuis 2018 il n’y a plus de déclaration préalable à faire à la CNIL. On a parfois lu ça comme un allègement, comme si l’État vous lâchait la bride. En réalité c’est l’inverse : à la place du formulaire à déposer, il y a le principe de responsabilité, et la responsabilité ne se classe pas dans un tiroir. Elle vous suit. Vous devez être capable de prouver, à tout moment et pas une fois pour toutes, que ce que vous collectez est légitime. Personne ne vous donne plus un papier qui dit oui. C’est à vous de démontrer le oui, tous les jours.

Et c’est là que beaucoup de patrons de bonne foi se trompent de pièce. Informer le CSE, c’est la porte. Franchir une porte ne veut pas dire qu’à l’intérieur vous pouvez faire ce qui vous chante. La porte et la pièce sont deux choses différentes, et entre les deux passe toute la distance qui sépare se sentir conforme d’être conforme pour de vrai. Une nuance d’avocat, jusqu’au jour où une sanction vous rappelle qu’elle n’a rien de subtil.

Le 7 novembre 2023, la CNIL a regardé dans la pièce

Ce jour-là, la CNIL a prononcé dix sanctions d’un coup, dans le cadre de sa procédure simplifiée, pour un total de 97 000 euros. Plusieurs visaient exactement ce cas de figure : des employeurs qui géolocalisaient leurs salariés au su de tout le monde, dispositif assumé, et qui ont quand même été sanctionnés. Pas pour avoir installé le GPS en cachette. Pour la manière dont ils s’en servaient.

La formule de la CNIL mérite d’être lue lentement : l’enregistrement en continu des données de géolocalisation, sans possibilité pour le salarié d’arrêter ou de suspendre le dispositif pendant les pauses, constitue, sauf justification particulière, une atteinte excessive à la liberté d’aller et venir et à la vie privée. Traduit en clair : un boîtier qui piste la position toute la journée, sans bouton off, collecte une montagne de données dont vous ne ferez jamais rien, et qui, le jour où un salarié écrit à la CNIL, deviennent la preuve contre vous au lieu d’être en votre faveur. La consultation du CSE, là-dedans, n’a servi à rien, parce que ce n’est pas elle qu’on vous reproche.

Car ce sont deux questions distinctes, posées par deux logiques distinctes, et vous devez répondre aux deux. Informer et consulter les représentants du personnel, c’est le Code du travail. La façon dont vous traitez ensuite les données, ce que vous gardez et ce que vous jetez, combien de temps, et surtout ce que vous dites aux salariés, c’est le RGPD. Deux registres, deux examinateurs, et l’un ne vous absout pas de l’autre.

Ce qui compte vraiment, au-delà de la case cochée

Les garanties qui font la différence ne sont pas mystérieuses, elles sont juste ennuyeuses, et c’est précisément pour ça qu’on les saute. Collecter le minimum : la position sert à savoir que l’intervention a eu lieu à tel endroit, pas à reconstituer heure par heure où une personne a passé sa journée. Ne pas pister en continu, et prévoir une désactivation hors temps de travail. Effacer ce qui ne sert plus, au lieu d’empiler des années de traces dans une archive que personne ne regarde, jusqu’au mauvais regard. Et par-dessus tout, l’information : prévenir les salariés, par écrit et de façon compréhensible, de ce que vous collectez, pourquoi et pour combien de temps. Ce n’est pas une politesse, c’est l’article L1222-4 du Code du travail, aucune donnée concernant un salarié ne peut être recueillie par un dispositif qui ne lui a pas été porté à la connaissance.

Ça vous est déjà arrivé d’avoir consulté le CSE en bonne et due forme, et de n’avoir jamais écrit une ligne d’information individuelle à vos salariés ? C’est plus fréquent qu’on ne croit, et c’est exactement le trou par lequel passent les sanctions. Le compte rendu du CSE, dans ce cas, ne protège pas : il prouve même que vous saviez manipuler des données sensibles et que vous avez arrêté votre attention à la première étape, la formelle, en oubliant tout le reste. C’est comme avoir le contrôle technique à jour et rouler avec quatre pneus lisses : le papier ne répond pas de ce que fait la voiture.

Il y a aussi un malentendu de calendrier qui en piège beaucoup. On informe le CSE une fois, on archive, et à partir de là ça paraît une affaire close. Les garanties, elles, sont un travail qui continue. Chaque fois que vous changez de prestataire, que vous ajoutez une fonction, que vous embauchez, le tableau bouge et l’information doit être refaite. Celui qui traite la conformité comme un tampon pris et oublié se retrouve, des années plus tard, avec un système qui a grossi n’importe comment et une notice qui parle d’une autre entreprise.

Se mettre vraiment en règle

La bonne nouvelle, c’est que se mettre à niveau ne veut pas dire tout démonter. Ça veut dire choisir des outils pensés pour collecter peu et le dire clairement, et les accompagner des bons documents. Un système qui relève la position seulement au moment du pointage, à l’entrée et à la sortie, et jamais entre les deux, part déjà du bon pied : il collecte le minimum par nature, pas par bonne volonté, et ce minimum est exactement ce que la loi demande. Reste la partie écrite, l’information qui met les gens au courant, et là un modèle prêt à remplir enlève l’alibi du je ne sais pas par où commencer.

GeoTapp a été mis au point comme ça : la position s’enregistre d’un geste en début et en fin de poste, et entre les deux il n’y a aucun suivi, parce que la preuve du travail n’a pas besoin de filer quelqu’un. Le logiciel ne sait pas où sont vos équipes pendant la journée, et c’est voulu. La consultation du CSE, vous la faites ; les garanties, vous vous les donnez vous-même ; et entre les deux, pas de raccourci. Celui qui les traite comme un seul bloc, et les règle pour de bon, arrête de regarder sa boîte mail avec la peur d’y trouver un courrier de la CNIL.

Le compte rendu du CSE, presque tout le monde l’a. L’information écrite remise à chaque salarié, presque personne. Et c’est toujours par cette ligne manquante que la CNIL commence à regarder.

La case cochée ouvre la porte, l’information écrite vous garde à l’intérieur de la loi. Si cette ligne, vous ne l’avez pas encore écrite, autant partir du bon document.