Les donnees GPS sont des donnees personnelles
Des que des donnees de localisation peuvent etre associees a une personne identifiable, ce sont des donnees personnelles sous le RGPD. Pour les vehicules de fonction, c’est presque toujours le cas : le vehicule est attribue a un employe specifique, donc la localisation du vehicule correspond a la localisation de cette personne.
Cela concerne :
- Les traceurs GPS dans les voitures de fonction
- Les donnees de localisation des telephones professionnels
- L’enregistrement des itineraires via les ordinateurs de bord
- Les applications qui suivent la localisation du personnel de terrain
Parce que les donnees de localisation offrent un apercu detaille du comportement et des deplacements d’une personne, le RGPD les considere comme particulierement sensibles.
Deux affaires belges a retenir
Tribunal du travail de Louvain : le suivi 24h/24 est illicite
Un employeur a installe des traceurs GPS dans les vehicules de fonction et a suivi ses employes en continu, y compris en dehors des heures de travail. Le vehicule etait utilise a la fois a titre professionnel et prive. Le tribunal a juge :
- Le suivi 24h/24 est une atteinte disproportionnee a la vie privee
- L’employeur n’avait aucune finalite claire et legitime pour une surveillance continue
- Les employes etaient insuffisamment informes du traitement des donnees
Resultat : le traitement etait illicite. L’employeur a perdu l’affaire.
Amende de l’APD : entreprise de transport (2022)
Une entreprise de transport collectait des donnees GPS des chauffeurs via les ordinateurs de bord. L’Autorite de protection des donnees (APD) a constate :
- Aucune base juridique claire (l’interet legitime n’etait pas correctement etaye, pas de consentement valable)
- Pas de politique de confidentialite interne sur l’utilisation des donnees GPS
- Information insuffisante aux chauffeurs sur ce qu’il advenait de leurs donnees
Resultat : amende administrative pour manque de transparence.
Quand le suivi GPS EST-il autorise ?
Le suivi GPS n’est pas interdit, mais vous devez respecter des conditions strictes :
1. Vous avez une finalite claire et specifique Exemples de finalites valables :
- Optimisation et planification des itineraires
- Prevention du vol de vehicules
- Facturation sur base des kilometres parcourus
- Securite des employes dans des zones a risque
“Verifier si les employes travaillent vraiment” est rarement une finalite valable.
2. Vous choisissez la bonne base juridique
- L’interet legitime est la base la plus courante pour le suivi GPS, mais vous devez realiser et documenter une mise en balance des interets
- Le consentement est problematique dans une relation de travail en raison du desequilibre de pouvoir ; un employe peut difficilement donner un consentement “libre”
3. Vous limitez le suivi au necessaire
- Uniquement pendant les heures de travail, pas 24h/24
- Uniquement les donnees dont vous avez reellement besoin (par ex. point de depart et d’arrivee, pas la position chaque seconde)
- Pas de suivi des deplacements prives
4. Vous informez vos employes
- Mentionnez le suivi GPS dans votre politique de confidentialite du personnel
- Expliquez : quelles donnees, dans quel but, combien de temps conservees, qui y a acces
- Informez les employes avant d’activer le suivi, pas apres
5. Vous realisez une AIPD Pour un suivi systematique et a grande echelle, une analyse d’impact relative a la protection des donnees (AIPD) est obligatoire. Documentez les risques et les mesures que vous prenez.
A faire et a ne pas faire
Ce que vous DEVEZ faire
- Documentez l’utilisation du GPS dans votre registre des traitements et votre politique de confidentialite du personnel
- Limitez le suivi aux heures de travail sauf justification specifique
- Limitez l’acces aux donnees GPS aux responsables qui en ont reellement besoin
- Realisez une AIPD pour le suivi a grande echelle
- Appliquez la pseudonymisation lorsque possible (par ex. identifiant vehicule au lieu du nom de l’employe)
- Definissez des durees de conservation et supprimez automatiquement les anciennes donnees GPS
Ce que vous NE devez PAS faire
- Suivi 24h/24 sans necessite imperieuse
- Baser le suivi sur un consentement general (“vous avez signe le contrat de travail, donc vous consentez”)
- Utiliser les donnees GPS a d’autres fins que celles pour lesquelles vous les avez collectees (par ex. collectees pour la planification, utilisees pour l’evaluation des performances)
- Conserver les donnees GPS plus longtemps que necessaire
- Ignorer l’obligation de notification des violations de donnees en cas de fuite de donnees GPS
Que devez-vous faire maintenant ?
- Identifiez si vous traitez des donnees GPS (vehicules de fonction, telephones, applications)
- Documentez la finalite, la base juridique et la duree de conservation dans votre registre des traitements
- Verifiez que les employes sont informes via la politique de confidentialite du personnel
- Limitez le suivi aux heures de travail et aux donnees necessaires
- Realisez une AIPD si vous traitez systematiquement des donnees de localisation
- Definissez des durees de conservation et supprimez automatiquement les anciennes donnees GPS
GDPRWise vous aide a documenter toutes vos activites de traitement, y compris le suivi GPS. Avec des politiques de confidentialite et des recommandations generees automatiquement.