La surveillance des employés par géolocalisation constitue un enjeu majeur à l’intersection du droit du travail et de la protection des données personnelles. Face à l’essor des technologies mobiles et des systèmes de traçage GPS, les entreprises disposent désormais de moyens perfectionnés pour suivre les déplacements de leur personnel. Cette pratique soulève des questions fondamentales sur l’équilibre entre les prérogatives de l’employeur et le respect de la vie privée des salariés. Le cadre légal français et européen impose des limites strictes à cette forme de contrôle, qui ne peut s’exercer sans respecter certaines conditions. Quand la géolocalisation s’opère à l’insu des employés ou sans leur consentement valable, elle expose l’entreprise à des sanctions administratives et judiciaires significatives.
Cadre juridique de la géolocalisation en milieu professionnel
La géolocalisation des employés s’inscrit dans un cadre normatif précis, dominé par deux corpus juridiques majeurs. D’une part, le Règlement Général sur la Protection des Données (RGPD) fixe les principes fondamentaux applicables à tout traitement de données à caractère personnel au sein de l’Union européenne. D’autre part, le Code du travail français établit les limites du pouvoir de contrôle et de surveillance de l’employeur.
Le RGPD impose plusieurs principes cardinaux pour tout système de géolocalisation mis en place par un employeur. La licéité du traitement constitue la première exigence : l’employeur doit pouvoir justifier d’une base légale pour collecter ces données. Si le consentement peut théoriquement constituer une telle base, la Commission Nationale de l’Informatique et des Libertés (CNIL) considère qu’en raison du lien de subordination, ce fondement s’avère généralement inadapté en contexte professionnel. L’employeur devra plutôt s’appuyer sur son intérêt légitime ou la nécessité d’exécution du contrat de travail, tout en démontrant la proportionnalité de la mesure.
La jurisprudence française a progressivement affiné les contours de la légalité des dispositifs de géolocalisation. Dans un arrêt du 19 décembre 2018, la Cour de cassation a rappelé que « la géolocalisation n’est pas justifiée lorsqu’un salarié dispose d’une liberté dans l’organisation de son travail ». De même, l’arrêt du 3 novembre 2016 précise que ce type de surveillance constitue un mode de contrôle de l’activité disproportionné lorsque d’autres moyens moins intrusifs peuvent être mobilisés.
Le Code du travail, notamment en ses articles L.1121-1 et L.1222-4, établit que les restrictions aux droits des personnes doivent être justifiées par la nature de la tâche à accomplir et proportionnées au but recherché. L’article L.1222-4 stipule expressément qu' »aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ».
Délibérations et recommandations de la CNIL
La CNIL a émis plusieurs délibérations concernant la géolocalisation en entreprise, notamment sa délibération n°2015-165 du 4 juin 2015, qui constitue un référentiel incontournable. Elle y précise que la géolocalisation peut être justifiée pour :
- Le suivi et la facturation d’une prestation de transport de personnes
- La sûreté ou la sécurité du salarié lui-même ou des biens qui lui sont confiés
- Une meilleure allocation des moyens pour des prestations à accomplir en des lieux dispersés
- Le suivi du temps de travail, lorsque ce suivi ne peut être réalisé par d’autres moyens
En revanche, la CNIL considère comme illégitime l’usage de la géolocalisation pour contrôler le respect des limitations de vitesse ou pour surveiller un employé en permanence.
Les conditions de légitimité du traitement des données de géolocalisation
Pour qu’un système de géolocalisation soit considéré comme légitime, plusieurs conditions cumulatives doivent être satisfaites. Ces exigences découlent tant du RGPD que des positions adoptées par la CNIL et les juridictions françaises.
La finalité du traitement constitue le premier critère d’évaluation. L’employeur doit définir un objectif précis et explicite qui justifie le recours à la géolocalisation. Cette finalité doit être déterminée avant la mise en place du dispositif et communiquée clairement aux salariés concernés. La Cour de cassation a ainsi invalidé des systèmes dont la finalité restait floue ou susceptible d’évoluer sans information préalable des employés.
Le principe de proportionnalité impose que le dispositif soit adapté à l’objectif poursuivi et n’excède pas ce qui est strictement nécessaire pour l’atteindre. Lorsque des moyens moins intrusifs permettraient d’obtenir le même résultat, la géolocalisation sera considérée comme disproportionnée. Par exemple, dans une décision du 17 décembre 2020, le Conseil d’État a confirmé une sanction contre une entreprise qui géolocalisait ses commerciaux alors qu’un simple reporting d’activité aurait suffi.
La durée de conservation des données représente un autre aspect fondamental. Selon les recommandations de la CNIL, les données de géolocalisation ne devraient pas être conservées plus de deux mois. Toute conservation prolongée doit être justifiée par des nécessités particulières et clairement documentées.
L’information préalable et la consultation des représentants du personnel
L’obligation d’information préalable des salariés constitue une condition sine qua non de la légalité du dispositif. Cette information doit être individuelle, complète et intervenir avant la mise en place du système. Elle doit préciser :
- Les finalités exactes du traitement
- La nature des données collectées
- La durée de conservation des informations
- Les destinataires des données
- Les modalités d’exercice des droits des salariés
Par ailleurs, l’article L.2312-38 du Code du travail impose la consultation du Comité Social et Économique (CSE) préalablement à la décision de mise en place d’un système de contrôle de l’activité des salariés. Le défaut de consultation constitue un délit d’entrave passible de sanctions pénales.
La transparence du dispositif implique que le salarié puisse savoir à tout moment s’il est géolocalisé. Les systèmes fonctionnant à l’insu des employés, notamment ceux dissimulés dans des applications professionnelles sans mention explicite, sont illicites. Le Tribunal de Grande Instance de Paris, dans un jugement du 4 avril 2019, a rappelé que tout dispositif occulte de surveillance constitue une atteinte disproportionnée aux droits des personnes.
La problématique spécifique du consentement en matière de géolocalisation
La question du consentement dans le contexte de la géolocalisation professionnelle soulève des difficultés particulières. Le RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
Dans la relation de travail, caractérisée par un lien de subordination, la liberté réelle du consentement fait l’objet de questionnements légitimes. Le Comité européen de la protection des données (CEPD) a clairement indiqué dans ses lignes directrices 05/2020 que « le consentement ne peut généralement pas constituer une base juridique valable pour le traitement de données à caractère personnel dans le contexte professionnel, lorsqu’il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement ».
Cette position est partagée par la CNIL française, qui considère que le consentement des salariés ne peut être valablement recueilli que s’ils disposent d’une véritable liberté de refuser sans subir de conséquences négatives. Dans sa recommandation du 16 juillet 2019, l’autorité précise que « compte tenu du lien de subordination, le consentement ne peut, sauf cas particulier, être considéré comme librement donné ».
La jurisprudence tend à confirmer cette approche restrictive. Dans un arrêt du 7 novembre 2018, la Cour de cassation a invalidé un système de géolocalisation malgré l’existence d’un accord écrit des salariés, considérant que cet accord ne constituait pas un consentement valable au sens de la réglementation sur la protection des données.
Les alternatives au consentement comme base légale
Face aux limites du consentement, les employeurs doivent généralement s’appuyer sur d’autres bases légales prévues par l’article 6 du RGPD pour justifier la mise en place d’un système de géolocalisation :
- L’exécution du contrat de travail, lorsque la géolocalisation est nécessaire à l’accomplissement des missions confiées au salarié
- L’intérêt légitime de l’employeur, sous réserve d’une analyse d’impact et d’une pondération avec les droits fondamentaux des salariés
- Le respect d’une obligation légale, dans certains secteurs spécifiques
Même lorsqu’une de ces bases légales est mobilisée, l’employeur reste tenu de respecter l’ensemble des autres principes évoqués précédemment : finalité déterminée, proportionnalité, minimisation des données, information préalable et consultation des représentants du personnel.
Les sanctions encourues en cas de géolocalisation non consentie
Les entreprises qui mettent en œuvre des systèmes de géolocalisation sans respecter le cadre légal s’exposent à un éventail de sanctions administratives, civiles et pénales, dont la sévérité s’est considérablement accrue depuis l’entrée en vigueur du RGPD.
Sur le plan administratif, la CNIL dispose d’un pouvoir de sanction gradué. Elle peut prononcer un simple rappel à l’ordre, mais aussi infliger des amendes administratives pouvant atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial de l’entreprise. En 2019, la CNIL a ainsi prononcé une amende de 500 000 euros contre une société de livraison qui géolocalisait en permanence ses livreurs sans base légale adéquate.
Les juridictions civiles peuvent être saisies par les salariés qui s’estimeraient victimes d’une surveillance illicite. Les Conseils de Prud’hommes reconnaissent régulièrement le préjudice moral subi par les employés soumis à une géolocalisation non consentie. Dans un arrêt du 25 novembre 2020, la Cour d’appel de Versailles a accordé 10 000 euros de dommages-intérêts à un salarié géolocalisé à son insu.
Sur le plan pénal, plusieurs qualifications peuvent être retenues. L’article 226-1 du Code pénal sanctionne d’un an d’emprisonnement et 45 000 euros d’amende le fait de porter atteinte à l’intimité de la vie privée d’autrui. L’article 226-16 punit de cinq ans d’emprisonnement et 300 000 euros d’amende le fait de procéder à un traitement de données personnelles sans respecter les formalités préalables. Le Tribunal correctionnel de Paris a ainsi condamné en février 2021 un dirigeant d’entreprise pour avoir mis en place un système occulte de géolocalisation de ses commerciaux.
Conséquences sur l’utilisation des preuves obtenues par géolocalisation illicite
Une question connexe concerne l’admissibilité, dans le cadre d’une procédure judiciaire, des preuves obtenues par le biais d’un dispositif de géolocalisation illicite. La jurisprudence française adopte une position nuancée sur ce point.
Dans un arrêt de principe du 7 novembre 2018, la Cour de cassation a considéré que « si l’illicéité d’un moyen de preuve n’entraîne pas nécessairement son rejet des débats, le juge doit s’assurer que l’utilisation de cette preuve ne porte pas atteinte au caractère équitable de la procédure dans son ensemble ». En pratique, les juridictions tendent à écarter les preuves issues d’une géolocalisation manifestement illicite, notamment lorsqu’elle a été mise en œuvre à l’insu total du salarié.
Cette position s’inscrit dans une tendance plus large de la jurisprudence française et européenne à privilégier le respect des droits fondamentaux sur l’efficacité probatoire. La Cour européenne des droits de l’homme, dans l’arrêt Bărbulescu c. Roumanie du 5 septembre 2017, a rappelé que la surveillance des salariés, même dans un contexte professionnel, doit respecter un principe de transparence et de proportionnalité.
Vers une pratique éthique de la géolocalisation en entreprise
Face aux risques juridiques associés à une géolocalisation non consentie, les entreprises ont tout intérêt à développer des pratiques respectueuses des droits des salariés, qui s’inscrivent dans une démarche éthique globale de gestion des ressources humaines.
La réalisation d’une analyse d’impact relative à la protection des données (AIPD) constitue une première étape fondamentale. Cette procédure, rendue obligatoire par l’article 35 du RGPD pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés, permet d’identifier et de minimiser les risques liés à la géolocalisation. La CNIL a développé un logiciel open source, PIA, pour faciliter cette démarche.
L’adoption d’une charte de géolocalisation, élaborée en concertation avec les représentants du personnel, peut contribuer à clarifier les règles applicables. Ce document, annexé au règlement intérieur, précisera les finalités du dispositif, les garanties offertes aux salariés et les limitations mises en place (désactivation hors temps de travail, anonymisation des données, etc.).
La formation des managers et des équipes RH aux enjeux de la protection des données personnelles s’avère indispensable pour prévenir les dérives. Plusieurs organismes, dont la CNIL elle-même, proposent des modules de formation adaptés aux spécificités du monde professionnel.
Solutions techniques respectueuses de la vie privée
Les entreprises peuvent privilégier des solutions techniques intégrant les principes de privacy by design et de privacy by default, consacrés par l’article 25 du RGPD :
- Systèmes permettant la désactivation automatique de la géolocalisation en dehors des heures de travail
- Applications distinguant clairement usages professionnels et personnels sur les appareils mobiles
- Dispositifs d’anonymisation ou de pseudonymisation des données
- Interfaces transparentes permettant aux salariés de visualiser les données collectées les concernant
La médiation peut constituer une voie intéressante pour résoudre les conflits liés à la géolocalisation. Plusieurs entreprises ont mis en place des procédures internes permettant aux salariés d’exprimer leurs préoccupations concernant les dispositifs de surveillance, et d’obtenir des ajustements lorsque cela s’avère nécessaire.
Certains secteurs, comme le transport routier ou la livraison, où la géolocalisation présente des avantages organisationnels évidents, ont développé des accords collectifs spécifiques encadrant ces pratiques. Ces accords, négociés avec les partenaires sociaux, offrent souvent des garanties supérieures aux exigences légales minimales.
L’intégration de la géolocalisation dans une démarche de responsabilité sociale des entreprises (RSE) peut transformer une contrainte réglementaire en opportunité. Les entreprises qui démontrent leur engagement pour le respect de la vie privée de leurs collaborateurs renforcent leur attractivité et fidélisent leurs talents, dans un contexte où la sensibilité aux questions éthiques ne cesse de croître.
L’avenir de la géolocalisation professionnelle face aux évolutions technologiques
L’évolution rapide des technologies de géolocalisation soulève de nouveaux défis juridiques et éthiques que les entreprises devront affronter dans les années à venir. La miniaturisation des dispositifs, leur intégration dans des objets connectés variés et l’amélioration constante de leur précision transforment radicalement les possibilités de surveillance.
Les wearables professionnels (montres connectées, badges intelligents, vêtements incorporant des capteurs) constituent une première tendance significative. Ces dispositifs, souvent présentés comme des outils d’amélioration de la sécurité ou de l’efficacité, peuvent collecter des données de localisation extrêmement précises. La CNIL a émis en 2021 des recommandations spécifiques concernant ces technologies, rappelant que leur déploiement doit respecter les principes fondamentaux du RGPD.
La géolocalisation indoor, permettant de suivre les déplacements des salariés à l’intérieur même des bâtiments grâce à des technologies comme le Bluetooth Low Energy ou le Wi-Fi Positioning System, soulève des questions particulièrement sensibles. Le Contrôleur européen de la protection des données a alerté en 2020 sur les risques disproportionnés que ces systèmes font peser sur la vie privée des travailleurs.
L’intelligence artificielle appliquée aux données de géolocalisation permet désormais d’établir des profils comportementaux détaillés, d’anticiper les déplacements et d’identifier des schémas récurrents. Ces capacités analytiques renforcées accroissent considérablement l’intrusion potentielle dans la vie privée des salariés.
Perspectives d’évolution du cadre juridique
Face à ces innovations technologiques, le cadre juridique connaît lui-même des évolutions notables. Le Règlement européen sur l’intelligence artificielle, en cours d’élaboration, devrait comporter des dispositions spécifiques concernant les systèmes d’IA utilisés dans le contexte professionnel, notamment ceux exploitant des données de géolocalisation.
La jurisprudence de la Cour de Justice de l’Union Européenne (CJUE) et de la Cour européenne des droits de l’homme (CEDH) continue d’affiner les contours du droit à la vie privée des travailleurs. L’arrêt López Ribalda c. Espagne rendu par la CEDH le 17 octobre 2019 a rappelé que toute surveillance des salariés doit être proportionnée et transparente, principes directement applicables à la géolocalisation.
Au niveau national, plusieurs propositions législatives visent à renforcer l’encadrement de la géolocalisation professionnelle. Une proposition de loi déposée en avril 2021 suggère notamment d’instaurer un « droit à la déconnexion géographique » pour les salariés utilisant des équipements numériques professionnels.
Les autorités de protection des données européennes, regroupées au sein du Comité européen de la protection des données, travaillent actuellement à l’élaboration de lignes directrices harmonisées concernant la surveillance des employés. Ces recommandations, attendues pour 2023, devraient préciser les conditions d’utilisation légitime des technologies de géolocalisation en milieu professionnel.
La géolocalisation professionnelle se trouve ainsi à la croisée des chemins. Son développement futur dépendra largement de la capacité des entreprises à intégrer les exigences éthiques et juridiques dans leurs stratégies de digitalisation. Les organisations qui sauront développer une approche respectueuse des droits fondamentaux de leurs collaborateurs transformeront cette technologie en véritable levier de performance, plutôt qu’en source de contentieux et de défiance.
