Données RH : ce que vous avez le droit de collecter, et ce que non

Un salarié passe huit heures par jour dans votre entreprise, et pendant ces huit heures il laisse des traces partout : l’heure à laquelle il a pointé, l’endroit où était son véhicule, combien de chantiers il a clôturés, combien de messages il a échangés sur l’outil de gestion, jusqu’au nombre de fois qu’il a ouvert l’application. Tout ça, c’est une donnée, et aujourd’hui la collecter ne coûte presque rien. La tentation, compréhensible, est de tout garder : on ne sait jamais si ça peut servir. Le problème, c’est que sur les données de vos salariés, la loi a déjà tracé une ligne, et elle passe exactement là où on ne l’attend pas.

Cette ligne ne sépare pas les “bonnes données” des “mauvaises données”. Elle sépare ce dont vous avez réellement besoin de ce que vous collectez parce que vous en avez la possibilité. Ce principe s’appelle la minimisation des données, et c’est la colonne vertébrale du RGPD appliqué au travail : vous ne pouvez traiter les données de votre personnel que pour une finalité déclarée, dans la mesure strictement nécessaire à cette finalité, et seulement le temps que cela requiert. Ça ressemble à un détail technique. Ce n’en est pas un, c’est la question la plus pratique qui soit : à quoi me sert précisément cette donnée ? Si la réponse est “je ne sais pas, mais je la garde quand même”, vous n’auriez pas dû la collecter. C’est là que naissent presque tous les contentieux, non dans les systèmes complexes mais dans les archives gonflées dont plus personne ne sait pourquoi elles existent.

Prenez le pointage, le cas le plus courant. Savoir à quelle heure un salarié a commencé et terminé sa journée est une finalité légitime et presque toujours nécessaire : ça sert à le payer, à facturer le chantier, à prouver que le travail a eu lieu. Savoir où il se trouve à chaque minute de la journée, c’est autre chose, et c’est rarement nécessaire. Entre les deux il y a un monde, et c’est exactement le monde qui sépare un dispositif conforme d’un dispositif de contrôle à distance. En France, tout système permettant de surveiller un salarié dans l’exercice de ses fonctions doit faire l’objet d’une consultation du CSE dès lors que l’entreprise compte onze salariés ou plus, en application de l’article L2312-38 du Code du travail, et chaque salarié concerné doit avoir reçu une information individuelle préalable, conformément à l’article L1222-4. Le pointage, vous pouvez l’avoir. Le film de la journée, non.

Les outils gratuits pour vous mettre en conformité

Trois outils gratuits, tous dans votre navigateur et sans compte, pour passer de la théorie à la pratique :

• Êtes-vous conforme sur les données des salariés ? — un test de 9 questions avec un score et les points à corriger.
• Générateur d’avis de confidentialité GPS — prépare le modèle conforme à l’art. 13, désormais avec la clause de représentation du personnel par pays.
• Générateur de politique de conservation des données — un tableau de conservation par pays, avec durées conseillées et export PDF.

La finalité d’abord, la donnée ensuite

Il y a un réflexe qui piège même les plus rigoureux : on collecte d’abord, on décide après à quoi ça sert. Le droit raisonne à l’envers, et il a raison. Vous fixez la finalité, puis vous collectez uniquement ce que cette finalité exige. Un exemple qui vaut pour toute entreprise avec des équipes sur le terrain : si l’objectif est de démontrer au client qu’une intervention a été réalisée, il vous suffit d’une preuve ponctuelle, l’heure et le lieu au moment où l’équipe est arrivée et repartie, plus une photo si nécessaire. Vous n’avez pas besoin de tracer le trajet, vous n’avez pas besoin de savoir où Jean a déjeuné, vous n’avez pas besoin de conserver ces données pendant deux ans. Chaque élément supplémentaire que vous collectez est un élément supplémentaire que vous devrez un jour justifier, sécuriser, et si quelque chose tourne mal, expliquer à la CNIL.

Et puis il y a la conservation, le chapitre que presque personne ne regarde avant qu’il soit trop tard. Une donnée collectée correctement mais conservée indéfiniment devient une donnée hors normes. Les positions d’un pointage ne servent à rien après quelques semaines, les photos d’une intervention ne sont plus utiles une fois le chantier clôturé et la facture payée. Les garder “par précaution” n’est pas de la prudence, c’est l’inverse : c’est accumuler un risque qui ne vous apporte aucun avantage. La vraie sécurité, c’est de pouvoir dire à un contrôleur que vous supprimez ce qui ne vous sert plus, et de pouvoir le démontrer.

---

Le salarié n’est pas une exception, il est le sujet

Il y a une dernière chose qui distingue les données du personnel de toutes les autres, et c’est la raison pour laquelle le cadre juridique est plus exigeant ici qu’ailleurs : entre vous et vos salariés, il n’y a pas d’égalité. C’est précisément pour cela que le consentement du salarié, dans le cadre du contrat de travail, ne vaut pas grand-chose comme base légale : le salarié n’est pas réellement libre de dire non à son employeur, et les autorités de protection des données, CNIL en tête, considèrent ce consentement comme non valable car non libre. La base juridique qui tient, c’est l’intérêt légitime de l’employeur ou l’exécution du contrat de travail, et elle doit être documentée, proportionnée, et expliquée dans une information individuelle que le salarié reçoit avant le déploiement de tout dispositif, pas après.

Formulée ainsi, la conformité RH cesse de ressembler à un frein et devient ce qu’elle est vraiment : une façon de travailler qui collecte la preuve sans prétendre au contrôle. C’est la même logique sur laquelle fonctionne GeoTapp, qui enregistre la position uniquement au moment du pointage et non tout au long de la journée, de sorte que vous gardez la donnée dont vous avez besoin et rien de plus. Si vous voulez voir comment les règles varient selon les pays de l’Union, la carte des législations sur la géolocalisation des salariés en Europe est publique et consultable, et il y a aussi un générateur qui prépare l’avis d’information conforme à l’article 13 du RGPD en quelques minutes.

Au fond, la question à se poser est une seule, et je vous la retourne : de toutes les données que vous pourriez collecter sur vos salariés, combien vous sont réellement utiles, et combien les gardez-vous uniquement parce qu’un jour elles pourraient l’être ?