Géolocalisation des salariés et bénévoles : RGPD, CNIL et code du travail pour les opérations de terrain

Le RGPD cite expressément les données de localisation parmi les identifiants qui rendent une information personnelle (article 4, point 1). Une position en direct rattachée à un membre d’équipe nommé, et la trace de ses déplacements pendant une vacation, sont des données personnelles. Avec le temps, elles peuvent révéler bien plus que le travail : où vit quelqu’un, quand il fait une pause, quel médecin il consulte.

L’organisation qui décide pourquoi et comment les positions sont collectées est le responsable du traitement : l’employeur, la commune, l’organisation de secours ou l’ONG qui conduit l’opération. Une société qui héberge le logiciel pour vous est normalement un sous-traitant et doit être liée par un contrat au titre de l’article 28. Quand plusieurs organisations travaillent sur une même opération, convenez de qui est responsable de quoi ; les responsables conjoints du traitement doivent le définir au titre de l’article 26.

En France, le code du travail s’ajoute au RGPD. Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1222-4), et le comité social et économique est informé et consulté avant la décision de mettre en œuvre des moyens permettant de contrôler l’activité des salariés (article L2312-38). La fiche de la CNIL sur la géolocalisation des véhicules des salariés admet notamment la sécurité de l’employé et une meilleure répartition des moyens pour des interventions dispersées ou urgentes, par exemple identifier l’employé le plus proche d’une panne. Elle exclut en revanche le contrôle permanent d’un salarié, le contrôle des limitations de vitesse, le suivi des représentants du personnel dans leur mandat et toute collecte en dehors du temps de travail. Ces règles visent les véhicules, mais leur logique vaut aussi pour une application sur téléphone.

Au sens du RGPD, le consentement doit être libre. Les lignes directrices du CEPD sur le consentement indiquent qu’en raison du déséquilibre des rapports de force entre employeur et salarié, les salariés ne peuvent que rarement donner un consentement libre, et que les employeurs devraient en général s’appuyer sur une autre base. Si une personne risque des conséquences en disant non, le consentement n’est pas valable.

Les bénévoles ne sont pas des salariés, mais une pression comparable existe quand la localisation est une condition pour participer à une unité ou à un déploiement. Le consentement peut convenir pour des fonctions réellement facultatives, par exemple partager sa position avec sa famille pendant un long événement. Pour le cœur d’une opération, l’intérêt légitime ou la mission d’intérêt public, appuyés sur une analyse en bonne et due forme, sont en général plus honnêtes et plus stables.

L’article 35 impose une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Les lignes directrices sur l’AIPD approuvées par le CEPD (WP248 rev.01) énumèrent des critères qui signalent un risque élevé. La géolocalisation d’une équipe en remplit souvent plusieurs :

• Surveillance systématique des positions des personnes.
• Personnes concernées vulnérables : les lignes directrices citent les salariés, en raison du déséquilibre des rapports de force.
• Usage innovant de technologies, comme le croisement des traces avec des capteurs, des caméras ou des alertes automatiques.
• Croisement ou combinaison de jeux de données, par exemple des traces avec des plannings et des fiches d’incident.
• Grande échelle, quand de nombreuses personnes sont localisées sur de longues périodes.
• En France, la liste de la CNIL des traitements pour lesquels une AIPD est requise (délibération n° 2018-327 du 11 octobre 2018) vise notamment les traitements qui surveillent de manière constante l’activité des employés et les traitements de données de localisation à large échelle.

Les articles 12 et 13 exigent une information claire au moment où la collecte des positions commence. Sur le terrain, cela signifie dire aux personnes, en langage simple et avant qu’elles activent l’application, au minimum : qui est le responsable du traitement, pourquoi les positions sont collectées et sur quelle base légale, qui peut les voir, quand la localisation fonctionne et quand elle s’arrête, combien de temps les traces sont conservées, et comment exercer leurs droits, y compris le droit d’opposition lorsque la base est l’intérêt légitime ou une mission d’intérêt public.

L’avis du G29 sur le traitement des données sur le lieu de travail ajoute un point pratique : lorsque des appareils ou des véhicules peuvent aussi servir à titre privé, les personnes doivent pouvoir couper la localisation en dehors du temps de travail. Un indicateur visible signalant que le partage est actif, et une fin nette du partage, font plus pour la confiance qu’une longue politique que personne ne lit.

La CNIL va dans le même sens : les salariés doivent pouvoir désactiver la collecte ou la transmission de leur position en dehors du temps de travail, l’employeur pouvant contrôler le nombre et la durée des désactivations. L’information peut passer par une note de service ou un avenant au contrat, et doit mentionner la possibilité d’introduire une réclamation auprès de la CNIL.

Ne collectez que ce que la finalité exige (article 5, paragraphe 1, point c) et ne le conservez pas plus longtemps que nécessaire (article 5, paragraphe 1, point e). Le RGPD ne fixe pas de nombre de jours. Pour la géolocalisation des véhicules de salariés, la CNIL indique qu’en principe les données ne devraient pas être gardées plus de deux mois, un an lorsqu’elles servent de preuve des interventions faute d’autre moyen, et cinq ans pour le suivi du temps de travail. Des choix pratiques qui tiennent bien :

• Ne partager les positions en direct que pendant une opération active, et seulement avec les rôles qui en ont besoin.
• Garder les traces détaillées le temps nécessaire au RETEX, puis les supprimer ou les agréger.
• Ne conserver plus longtemps que ce pour quoi vous avez une raison précise, comme un incident sous enquête ou une obligation de conservation légale.
• Ne pas réutiliser les traces pour évaluer la performance, sauf si cette finalité a été analysée et annoncée à l’avance.
• Retirer la localisation des photos avant qu’elles sortent de l’opération, sauf si elle est nécessaire.

Dans Sinkaos, un membre voit toujours quand sa position est partagée et avec qui. Le partage peut être limité à la durée de l’opération ou à certains rôles, la conservation se règle par type de données, les métadonnées des photos sont retirées ou gardées selon la règle choisie, et les exports comme les actions d’administration entrent dans le journal d’audit. Ces réglages appuient votre travail RGPD ; les décisions ci-dessus restent les vôtres. Voir la page Sécurité et le partage de position en équipe.