Les données GPS sont des données personnelles
Dès que des données de localisation peuvent être associées à une personne identifiable, ce sont des données personnelles sous le RGPD. Pour les véhicules de fonction, c’est presque toujours le cas : le véhicule est attribué à un employé spécifique, donc la localisation du véhicule correspond à la localisation de cette personne.
Cela concerne :
- Les traceurs GPS dans les voitures de fonction
- Les données de localisation des téléphones professionnels
- L’enregistrement des itinéraires via les ordinateurs de bord
- Les applications qui suivent la localisation du personnel de terrain
Parce que les données de localisation offrent un aperçu détaillé du comportement et des déplacements d’une personne, le RGPD les considère comme particulièrement sensibles.
Deux affaires belges à retenir
Tribunal du travail de Louvain : le suivi 24h/24 est illicite
Un employeur a installé des traceurs GPS dans les véhicules de fonction et a suivi ses employés en continu, y compris en dehors des heures de travail. Le véhicule était utilisé à la fois à titre professionnel et privé. Le tribunal a jugé :
- Le suivi 24h/24 est une atteinte disproportionnée à la vie privée
- L’employeur n’avait aucune finalité claire et légitime pour une surveillance continue
- Les employés étaient insuffisamment informés du traitement des données
Résultat : le traitement était illicite. L’employeur a perdu l’affaire.
Amende de l’APD : entreprise de transport (2022)
Une entreprise de transport collectait des données GPS des chauffeurs via les ordinateurs de bord. L’Autorité de protection des données (APD) a constaté :
- Aucune base juridique claire (l’intérêt légitime n’était pas correctement étayé, pas de consentement valable)
- Pas de politique de confidentialité interne sur l’utilisation des données GPS
- Information insuffisante aux chauffeurs sur ce qu’il advenait de leurs données
Résultat : amende administrative pour manque de transparence.
Quand le suivi GPS EST-il autorisé ?
Le suivi GPS n’est pas interdit, mais vous devez respecter des conditions strictes :
1. Vous avez une finalité claire et spécifique Exemples de finalités valables :
- Optimisation et planification des itinéraires
- Prévention du vol de véhicules
- Facturation sur base des kilomètres parcourus
- Sécurité des employés dans des zones à risque
“Vérifier si les employés travaillent vraiment” est rarement une finalité valable.
2. Vous choisissez la bonne base juridique
- L’intérêt légitime est la base la plus courante pour le suivi GPS, mais vous devez réaliser et documenter une mise en balance des intérêts
- Le consentement est problématique dans une relation de travail en raison du déséquilibre de pouvoir ; un employé peut difficilement donner un consentement “libre”
3. Vous limitez le suivi au nécessaire
- Uniquement pendant les heures de travail, pas 24h/24
- Uniquement les données dont vous avez réellement besoin (par ex. point de départ et d’arrivée, pas la position chaque seconde)
- Pas de suivi des déplacements privés
4. Vous informez vos employés
- Mentionnez le suivi GPS dans votre politique de confidentialité du personnel
- Expliquez : quelles données, dans quel but, combien de temps conservées, qui y a accès
- Informez les employés avant d’activer le suivi, pas après
5. Vous réalisez une AIPD Pour un suivi systématique et à grande échelle, une analyse d’impact relative à la protection des données (AIPD) est obligatoire. Documentez les risques et les mesures que vous prenez.
À faire et à ne pas faire
Ce que vous DEVEZ faire
- Documentez l’utilisation du GPS dans votre registre des traitements et votre politique de confidentialité du personnel
- Limitez le suivi aux heures de travail sauf justification spécifique
- Limitez l’accès aux données GPS aux responsables qui en ont réellement besoin
- Réalisez une AIPD pour le suivi à grande échelle
- Appliquez la pseudonymisation lorsque possible (par ex. identifiant véhicule au lieu du nom de l’employé)
- Définissez des durées de conservation et supprimez automatiquement les anciennes données GPS
Ce que vous NE devez PAS faire
- Suivi 24h/24 sans nécessité impérieuse
- Baser le suivi sur un consentement général (“vous avez signé le contrat de travail, donc vous consentez”)
- Utiliser les données GPS à d’autres fins que celles pour lesquelles vous les avez collectées (par ex. collectées pour la planification, utilisées pour l’évaluation des performances)
- Conserver les données GPS plus longtemps que nécessaire
- Ignorer l’obligation de notification des violations de données en cas de fuite de données GPS
Que devez-vous faire maintenant ?
- Identifiez si vous traitez des données GPS (véhicules de fonction, téléphones, applications)
- Documentez la finalité, la base juridique et la durée de conservation dans votre registre des traitements
- Vérifiez que les employés sont informés via la politique de confidentialité du personnel
- Limitez le suivi aux heures de travail et aux données nécessaires
- Réalisez une AIPD si vous traitez systématiquement des données de localisation
- Définissez des durées de conservation et supprimez automatiquement les anciennes données GPS
GDPRWise vous aide a documenter toutes vos activites de traitement, y compris le suivi GPS. Avec des politiques de confidentialite et des recommandations generees automatiquement.