GPS et surveillance des salariés en Allemagne : ce qu'il faut pour être en règle

Ce qu'il vous faut

Pour chaque obligation, nous vous disons si elle s'applique dans ce pays : Oui signifie obligatoire, Cela dépend seulement dans certains cas, Non non requis.

• Accord avec le comité d'entreprise (Betriebsvereinbarung) avant l'installation, en vertu de l'article 87 BetrVG

  Cela dépendseulement dans certains cas

  En Allemagne, la cogestion du Betriebsrat est obligatoire pour les systèmes techniques susceptibles de surveiller le comportement ou le rendement des travailleurs (article 87, al. 1, n° 6 BetrVG) : sans accord avec le comité d'entreprise, le système ne peut pas être activé. Mais cela ne s'applique QUE là où un Betriebsrat existe ; de nombreuses PME n'en ont pas, et alors cette étape n'existe pas (l'ensemble du RGPD reste applicable). Ce qui compte, c'est l'aptitude objective à surveiller, et non l'intention de l'employeur.

  Betriebsverfassungsgesetz, § 87 (cogestione del consiglio aziendale)

• Autorisation d'une autorité du travail avant l'installation

  Nonnon requis

  L'Allemagne ne prévoit pas d'autorisation préalable d'une autorité du travail (il n'existe pas d'équivalent de l'Inspection du travail italienne). Le filtre est l'accord avec le comité d'entreprise ; l'autorité de protection des données n'intervient qu'à titre de surveillance et n'est consultée au préalable que dans le cas de l'article 36 du RGPD (risque élevé non maîtrisable mis en évidence par l'AIPD).

  Betriebsverfassungsgesetz, § 87 (cogestione del consiglio aziendale)

• Base juridique valable pour le traitement (article 6 du RGPD)

  Ouiobligatoire

  Une base juridique est nécessaire. Attention : après l'arrêt de la CJUE C-34/21 du 30 mars 2023, l'article 26 BDSG ne suffit plus à lui seul comme base autonome ; le traitement doit être fondé directement sur l'article 6 du RGPD (par exemple exécution du contrat, obligation légale, intérêt légitime avec mise en balance). Une éventuelle loi dédiée (Beschäftigtendatengesetz) est en discussion mais ne semble PAS en vigueur.

  Garante del Baden-Württemberg, FAQ sulle basi giuridiche dei dati dei dipendenti (sentenza CGUE C-34/21)

• Information des travailleurs (article 13 du RGPD)

  Ouiobligatoire

  Les travailleurs doivent être clairement informés des données de localisation collectées, de la manière, du moment et de la raison.

  Regolamento UE 2016/679 (GDPR)

• Interdiction du suivi continu (minimisation des données, article 5 du RGPD)

  Ouiobligatoire

  L'autorité allemande est claire : les systèmes permettant une surveillance permanente des salariés sont en principe illicites, et les travailleurs ne doivent pas être exposés à une pression de contrôle constante. La position n'est collectée que lorsqu'elle répond à une finalité légitime (par exemple sécurité du travailleur isolé, protection du chargement), et non en continu.

  Garante della Renania-Palatinato, guida sulla localizzazione GPS dei dipendenti

• Analyse d'impact relative à la protection des données (AIPD) pour la géolocalisation des salariés

  Ouiobligatoire

  La géolocalisation des salariés figure expressément sur la liste DSK des traitements qui nécessitent une analyse d'impact relative à la protection des données (article 35 du RGPD). Elle doit être réalisée avant d'activer le système.

  Lista DSK dei trattamenti che richiedono una valutazione d'impatto (settore privato)

La procédure, étape par étape

1. 1

   Si un Betriebsrat existe, négociez et signez la Betriebsvereinbarung avant l'activation (article 87 BetrVG).

2. 2

   Déterminez une base juridique valable au sens de l'article 6 du RGPD (plus le seul article 26 BDSG après l'arrêt C-34/21).

3. 3

   Réalisez l'analyse d'impact relative à la protection des données (AIPD) : elle est requise pour la géolocalisation des salariés.

4. 4

   Remettez l'information aux travailleurs (article 13 du RGPD).

5. 5

   Configurez le système selon la minimisation des données : pas de suivi continu, position uniquement lorsque cela est nécessaire.

6. 6

   Si l'AIPD révèle un risque élevé non maîtrisable, consultez au préalable l'autorité de protection des données de votre Land (article 36 du RGPD).

7. 7

   En cas de changement de système : si vous changez de système ou de logiciel de surveillance, mettez à jour et remettez l’information, et vérifiez si l’accord ou l’autorisation nationale de contrôle à distance doit être renouvelé. Le fournisseur (sous-traitant), les données collectées et les modalités changent souvent : celle remise auparavant ne suffit pas.

À qui vous adresser

Ce que vous risquez

Sources

• Betriebsverfassungsgesetz, § 87 (cogestione del consiglio aziendale)
• Bundesdatenschutzgesetz, § 26 (dati dei lavoratori)
• Garante del Baden-Württemberg, FAQ sulle basi giuridiche dei dati dei dipendenti (sentenza CGUE C-34/21)
• Regolamento UE 2016/679 (GDPR)
• Garante della Renania-Palatinato, guida sulla localizzazione GPS dei dipendenti
• Lista DSK dei trattamenti che richiedono una valutazione d'impatto (settore privato)
• BfDI, elenco delle autorita garanti per la protezione dei dati dei Land
• Garante di Amburgo, comunicato del 1 ottobre 2020 (sanzione H&M)
• BayLDA, autorita garante della Baviera
• BlnBDI, autorita garante di Berlino