Illicéité de la géolocalisation par les employeurs aux fins de contrôle de la durée du temps de travail

CE, 10ème – 9ème chambres réunies, 15 décembre 2017, n°403776

Par un arrêt du 15 décembre 2017, le Conseil d’Etat est venu retoquer les pratiques d’une société informatique en jugeant qu’un dispositif de géolocalisation des véhicules utilisés par les salariés ne peut pas servir à contrôler leur temps de travail si ce contrôle peut être assuré par d’autres moyens, même moins efficaces.

En l’espèce, une société informatique avait doté d’un système de géolocalisation les véhicules utilisés par ses techniciens itinérants, afin de contrôler le temps effectif de travail. Comme toute collecte de données personnelles, la géolocalisation des salariés doit être déclarée à la CNIL, qui décide ensuite de la légalité de cette collecte. La CNIL procédait donc à un contrôle sur place et constatait que le suivi du temps de travail des salariés dans l’entreprise en question pouvait être assuré au moyen de déclarations, de sorte que le traitement des données de géolocalisation effectué par l’employeur présentait un caractère excessif. Elle mettait en demeure la société de cesser le traitement de ces données ; la société effectuait un recours pour excès de pouvoir.

Le Conseil d’Etat a rejeté le recours pour excès de pouvoir en statuant que :

« l’utilisation par un employeur d’un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation. »

Le Conseil d’Etat précise qu’en dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être regardées comme excessifs au sens de l’article 6 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

La Haute juridiction administrative précise toutefois que l’usage de la géolocalisation n’est pas proscrit en ce qui concerne les données permettant la facturation aux clients des prestations fournies.

Cet arrêt illustre une application stricte du principe de proportionnalité, puisque tout autre moyen existant permettant d’aboutir à la finalité recherchée, fût-il moins efficace que la géolocalisation, doit être privilégié. Cette jurisprudence converge avec celle de la chambre sociale de la Cour de cassation qui estime également que l’utilisation d’un système de géolocalisation pour contrôler la durée du travail n’est licite que si ce contrôle ne peut pas être fait par un autre moyen, (Cass. soc. 3-11-2011 n° 10-18.036 ; Cass. soc. 17-12-2014 n° 13-23.645). Ainsi, la mise en place d’un système de géolocalisation par les employeurs doit être considérée comme un moyen nécessairement subsidiaire.

Cette intransigeance des hauts magistrats administratifs n’est pas sans lien avec l’entrée en vigueur du Règlement no 2016/679, dit Règlement général sur la protection des données (RGPD) à compter du 25 mai 2018. Ce règlement européen renforce et unifie la protection des données pour les individus au sein de l’Union européenne et vient remplacer la Directive 95/46/CE sur la protection des données personnelles actuellement applicable.

L’article 5 du Règlement dispose que les données à caractère personnel doivent être : « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».

Il précise notamment que les données doivent être : « limitées au minimum nécessaire au regard des finalités du traitement ». Ainsi, ce Règlement européen consacre le principe de minimisation des données, selon lequel seules les données à caractère personnel qui apparaissent nécessaires à la réalisation de la finalité peuvent être traitées.

Dans cet arrêt le Conseil d’Etat démontre qu’il s’est approprié la lettre et l’esprit du nouveau texte, en imposant un respect renforcé du principe de proportionnalité en matière de collecte des données personnelles.

Alors que le scandale Facebook a récemment révélé de graves dérives en matière de traitement des données personnelles, le Conseil d’Etat rend ici une décision salutaire quant à la protection de nos libertés individuelles qui mérite d’être saluée.