Enregistrement du temps et vie privée

Selon l'Autorité de protection des données (APD), l'employeur est en principe a priori compétent pour traiter des données de ses travailleurs en vue d'exécuter ses droits et obligations en droit du travail : nécessité contractuelle, nécessité légale et intérêt de l'entreprise.^[1]Ces trois bases figurent à l'article 6 du RGPD.^[2]

Là où une obligation d'enregistrement existe déjà aujourd'hui, comme pour les horaires flottants ou les dérogations à l'horaire des travailleurs à temps partiel, vous traitez les heures parce que la loi le demande.^[6][7]

Dans une relation de travail, le consentement est une base fragile. Pour la biométrie, l'APD souligne expressément que le consentement n'est pas une base valable en raison du lien de subordination, et qu'une base légale claire est nécessaire.^[5]

Les travailleurs doivent savoir que leurs données sont traitées et dans quel but, au moment où vous les collectez, donc à la conclusion du contrat de travail.^[1]L'article 13 du RGPD énumère ce que contient cette information, notamment la finalité, la base légale, la durée de conservation et les droits de la personne concernée.^[2]

Si vous utilisez un badge d'accès pour enregistrer aussi les heures d'arrivée et de départ, vous devez en informer vos travailleurs.^[3]Le règlement de travail est l'endroit logique pour décrire comment vous mesurez et contrôlez le temps de travail.

Le RGPD demande de ne pas traiter plus de données que nécessaire,^[2]et l'APD applique le principe de proportionnalité à la surveillance des travailleurs.^[1] Dans Klox, ce que chacun voit dépend de son rôle :

Chaque correction, export et sortie automatique est consigné dans le journal d'audit avec le moment, l'action et l'auteur. Klox y enregistre aussi l'adresse IP et le navigateur comme trace de sécurité ; l'application web ne les montre à personne, et l'API ne communique l'adresse IP qu'au gérant.

Chaque travailleur a le droit d'accéder à ses données personnelles et d'en obtenir une copie.^[2] Pour les horaires flottants, le travailleur doit en outre pouvoir consulter le système de suivi du temps,^[6] et un système de suivi du temps pour les travailleurs à temps partiel doit lui aussi être consultable par les travailleurs concernés.^[7]

Dans Klox, le travailleur voit sous "Mes heures" les mêmes enregistrements et corrections que l'employeur, avec le motif de chaque correction. Via "Mon dossier", il exporte ses propres heures en PDF ou en CSV. Si quelque chose ne va pas, il demande une correction depuis le même écran.

Il n'existe pas de réglementation spécifique pour la géolocalisation des travailleurs. L'APD l'aborde sous l'angle du RGPD, de l'article 8 de la CEDH et de l'article 22 de la Constitution, et estime qu'un contrôle permanent avec lecture systématique des données doit en principe être considéré comme disproportionné. Cette page de l'APD porte sur la géolocalisation des véhicules, pas sur le pointage avec un smartphone.^[4]

La biométrie, comme une empreinte digitale ou la reconnaissance faciale, est une catégorie particulière de données personnelles. Un modèle biométrique est de préférence conservé par le travailleur lui-même, et une base de données centrale n'est admise qu'exceptionnellement.^[5]

Le RGPD demande de ne pas conserver les données personnelles plus longtemps que nécessaire pour la finalité.^[2]Il n'existe pas de durée légale générale de conservation pour l'enregistrement du temps : elle dépend du régime. Pour les horaires flottants, c'est cinq ans après la fin du jour auquel les données se rapportent,^[6] et pour les dérogations des travailleurs à temps partiel, également cinq ans.^[7]

Pour les données de vos travailleurs, c'est vous, l'employeur, qui êtes responsable du traitement. Le fournisseur de votre enregistrement du temps est sous-traitant, et l'article 28 du RGPD exige un accord qui fixe la manière dont il traite ces données.^[2]

Chez Klox, l'accord de traitement (DPA) est inclus par défaut dans chaque abonnement. L'application et la base de données tournent chez Hostinger, dans un centre de données à Francfort (Allemagne). L'accord énumère aussi les autres sous-traitants ultérieurs : Brevo pour l'e-mail et Mollie pour les paiements. Cloudflare est uniquement le fournisseur DNS : le trafic ne passe pas par lui, et il ne traite ni contenu du service ni données personnelles des travailleurs. Pour les données des visiteurs et des titulaires de compte, dont Klox est lui-même responsable, c'est la politique de confidentialité qui s'applique.

1. 1

   1. Fixez la finalité et la base légale

   Pourquoi enregistrez-vous le temps : une obligation légale existante, l'exécution du contrat, ou l'intérêt de votre entreprise ? Mettez-le par écrit.
2. 2

   2. Informez vos travailleurs à l'avance

   À la conclusion du contrat, et dans votre règlement de travail : ce que vous enregistrez, pourquoi, combien de temps et qui le voit.
3. 3

   3. Limitez qui a accès

   Donnez aux responsables accès à leur propre équipe uniquement, et aux RH seulement un accès en lecture si cela suffit.
4. 4

   4. Ne collectez pas plus que nécessaire

   Les heures et les corrections suffisent pour enregistrer le temps. La localisation et la biométrie demandent une justification distincte et solide.
5. 5

   5. Organisez l'accès et la conservation

   Le travailleur doit pouvoir voir et recevoir ses propres données. Fixez la durée de conservation par régime.
6. 6

   6. Concluez un accord de traitement

   Avec chaque fournisseur qui traite les données pour vous, et vérifiez où les données sont hébergées.

Quelles obligations d'enregistrement s'appliquent déjà aujourd'hui et ce qui est annoncé pour 2027, vous le lisez sur l'enregistrement du temps obligatoire en 2027 ?