[Jurisprudence] Illicéité du système de géolocalisation lorsque l'employeur dispose d'un autre moyen de contrôle

La technologie GPS permet à l'employeur de localiser en permanence ses salariés, pour le meilleur mais aussi pour le pire, ces derniers ne pouvant plus faire un pas sans que leur employeur n'en soit informé, et ce y compris alors que le contrat de travail serait valablement suspendu pendant leur temps de pause, ou de repos. C'est pourquoi l'utilisation des outils de géolocalisation est sévèrement encadrée, pour éviter que la vie privée des salariés ne soit menacée, notamment par la loi n° 78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés (N° Lexbase : L8794AGS), dite loi "informatique et liberté". Après la Cour de cassation en 2011, c'est au tour du Conseil d'Etat, saisi dans le cadre du contrôle de légalité des décisions de la Commission nationale de l'informatique et des libertés (CNIL), de prendre position sur la licéité de la géolocalisation des salariés (I) dans un sens également très restrictif, puisque ce recours n'est admis que si l'employeur ne dispose d'aucun autre moyen de vérifier le respect, par les salariés, de leur temps de travail, ce qui est, en pratique, peu probable, compte tenu de la pratique généralisée de l'auto-déclaration des horaires de travail des salariés itinérants (II).

Résumé L'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation.

I - Le recours très encadré aux dispositifs de géolocalisation des salariés

Cadre légal. L'employeur qui souhaite recourir à la géolocalisation des véhicules d'entreprise doit respecter un cadre légal très strict (1).

Il est soumis aux règles présentes dans le Code du travail dans la mesure où ces systèmes portent atteinte aux libertés et droits fondamentaux des salariés, à commencer par le droit au respect de la vie privée. L'employeur doit donc respecter les termes de l'article L. 1121-1 (N° Lexbase : L0670H9P) aux termes duquel "nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché" (2).

Ce double principe de nécessité et de proportionnalité des atteintes est également présent dans la loi "informatique et liberté" (3) dont la violation est pénalement et civilement sanctionnée, et qui risque de le priver, en cas de non-respect avéré, de la possibilité d'invoquer les données collectées irrégulièrement (4).

L'article 6 de la loi pose plusieurs principes qui devront être respectés par l'employeur, sans préjudice des formalités déclaratives : la "loyauté" et la "licéité" de la collecte et du traitement des données ; l'existence de "finalités déterminées, explicites et légitimes" (principe de nécessité) ; le caractère adéquat, pertinent et non excessif des données collectées au regard des finalités de la collecte et de leur traitement (principe de proportionnalité) ; le caractère exact et complet des données (principe de fiabilité) ; et enfin, la possibilité de déterminer l'identité des personnes concernées par la collecte et le traitement (principe de "traçabilité").

Pour simplifier les obligations des entreprises, la loi a prévu, outre les facilités accordées à celles qui se sont dotées d'un correspondant à la protection des données, d'un système de déclarations simplifiées, dont une en particulier (n° 51), qui concerne la mise en oeuvre dans l'entreprise d'un système de géolocalisation, instaurée en 2006 (5) et révisée en 2015 dans le prolongement de la recommandation du Conseil de l'Europe du 1er avril 2015 (6). Cette déclaration simplifiée autorise la mise en place d'un système de géolocalisation des véhicules professionnels pour assurer le "contrôle du respect des règles d'utilisation du véhicule" ainsi, à titre accessoire, que "le suivi du temps de travail, lorsque ce suivi ne peut être réalisé par un autre moyen, sous réserve notamment de ne pas collecter ou traiter de données de localisation en dehors du temps de travail des employés concernés".

Solutions jurisprudentielles. La Cour de cassation s'est prononcée en 2011 sur la licéité de ces dispositifs de géolocalisation pour contrôler l'activité des salariés et s'est clairement inscrite dans le cadre défini par la CNIL ; elle a, ainsi, considéré que ce mode de preuve pouvait être admis, mais a exprimé une triple réserve, rendant, en pratique, complexe l'admissibilité des éléments récoltés :

- l'employeur doit avoir valablement déclaré cette finalité à la CNIL,

- il ne doit pas disposer d'autre moyen de contrôle (notamment il ne doit pas avoir prévu de système auto-déclaratif) et

- ne peut utiliser ce procédé pour les salariés disposant d'une grande liberté professionnelle (7).

Cette solution a pu être critiquée, à l'époque, pour sa sévérité, notamment parce que la Haute juridiction écartait toute possibilité de recourir à la géolocalisation pour les salariés disposant d'une liberté dans l'organisation de leur travail, ce qui nous était apparu à la fois comme trop abstrait comme affirmation, alors que le principe de proportionnalité suppose une analyse concrète des situations, et illogique dans la mesure où, précisément, la géolocalisation semble particulièrement indiquée pour les salariés disposant d'une très large marge d'autonomie professionnelle.

Par la suite, la Cour de cassation semble avoir assoupli sa jurisprudence en matière de respect de la loi "informatique et liberté", notamment en 2017 où elle a considéré, à propos de la messagerie électronique d'entreprise, que le défaut de déclaration n'interdit pas à l'employeur d'invoquer les éléments collectés alors que la messagerie n'aurait pas été régulièrement déclarées, à la condition qu'il se soit agi d'une déclaration simplifiée s'agissant d'une messagerie dépourvue d'un contrôle individuel de l'activité des salariés (8).

Nouvelle solution au regard des règles de la loi "informatique et libertés". Le Conseil d'Etat avait eu l'occasion, en 2015, de statuer dans le cadre d'une sanction infligée par la CNIL à une entreprise pour défaut de déclaration préalable d'un système de géolocalisation (9), mais il s'agissait alors d'une société de location de véhicules qui ne concernait pas précisément la question du contrôle de l'activité des salariés de l'entreprise, mais celle des clients. Le principal intérêt de cet arrêt en date du 15 décembre 2017 est, par conséquent, de prendre position sur la question particulière du contrôle de l'activité des salariés.

II - Le Conseil d'Etat, gardien d'une conception stricte du recours subsidiaire à la géolocalisation des véhicules d'entreprise

L'affaire. Une société spécialisée dans la maintenance de systèmes informatiques, notamment de terminaux de paiement, et dont l'activité s'étend sur tout le territoire national, a équipé en 2012 les véhicules de ses techniciens itinérants de dispositifs de géolocalisation en temps réel afin, notamment, de mieux planifier ses interventions. Ces dispositifs permettaient de collecter diverses données relatives, notamment, aux incidents et événements de conduite ou au temps de travail des salariés.

Le 13 janvier 2016, une délégation de la CNIL a procédé à un contrôle sur place qui a conduit la présidente de la CNIL à délivrer une mise en demeure d'adopter un certain nombre de mesures afin de faire cesser divers manquements constatés à la loi du 6 janvier 1978, notamment de cesser de traiter les données issues de l'outil de géolocalisation afin de contrôler le temps de travail des salariés.

C'est l'annulation de cette mise en demeure qui avait justifié la saisine du juge administratif, en vain, puisque le Conseil d'Etat rejette, ici, la requête de la société.

L'intérêt de la décision. Outre certains aspects procéduraux, la décision est intéressante dans la mesure où elle conduit le Conseil de d'Etat à statuer, à son tour, sur la licéité des éléments récoltés par un système de géolocalisation, singulièrement au regard du principe de proportionnalité du 3° de l'article 6 de la loi du 6 janvier 1978, aux termes duquel le traitement ne doit porter que sur des données "non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".

On se rappellera qu'en 2011 la Cour de cassation avait affirmé, au visa de l'article L. 1121-1 du Code du travail, que "l'utilisation d'un système de géolocalisation pour assurer le contrôle de la durée du travail [...] n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen". Le Conseil d'Etat, qui vise également ce même article L. 1121-1, reprend cette même affirmation ("l'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen"), tout en apportant une précision supplémentaire : "fût-il moins efficace que la géolocalisation".

Le respect d'une conception stricte du principe de proportionnalité. Dans cette affaire, l'entreprise faisait valoir toute une série d'arguments pour tenter de faire annuler cette mise en demeure.

Elle prétendait, en premier lieu, que cette mise en demeure allait entraîner des conséquences négatives sur la gestion de ses clients, singulièrement s'agissant de la facturation. L'argument n'avait, ici, aucune portée, dans la mesure où la mise en demeure ne portait pas sur la collecte des données proprement dite, mais sur leur utilisation pour contrôler le temps de travail des salariés, ce qui était très différent.

Elle faisait valoir, en second lieu, qu'elle ne disposait pas d'autres moyens pour contrôler avec autant de précision le temps de travail de ces salariés itinérants. Or, le dossier montrait qu'elle avait également recours, comme cela avait été le cas, d'ailleurs, dans l'affaire traitée par la Cour de cassation en 2011, à un contrôle à partir des déclarations d'intervention des salariés, étant rappelé qu'en cas de doute sur leur véracité, l'entreprise a toujours la possibilité de les corroborer en interrogeant ses clients pour vérifier, notamment, les heures d'arrivée et de départ des techniciens.

Le Conseil d'Etat refuse, par conséquent, d'entrer ici dans une logique d'efficacité des moyens de contrôle de l'activité des salariés, et on ne peut que s'en féliciter. Outre le fait qu'un tel contrôle impliquerait d'admettre systématiquement la licéité du recours à la géolocalisation (car on ne voit pas quel autre procédé serait plus fiable), ce critère ne figure pas dans la loi telle qu'interprétée par la CNIL, qui pose, au contraire, comme principe la liberté des salariés, et comme exception la possibilité de les géolocaliser, ce qui impose une interprétation restrictive des facultés de les pister électroniquement.

---

(1) Lire J.-E. Ray, Droit du travail. Droit vivant, Wolters Kluwers, 26ème éd., 2018, n° 169 et s. ; P. Waquet, Y. Struillou et L. Pécaut-Rivolier, Pouvoirs du chef d'entreprise et libertés du salarié, éd. Liaisons, coll., Droit vivant, 2014.
(2) La mise en oeuvre dans l'entreprise d'un tel système est également susceptible de constituer un "projet important" ouvrant droit à l'expertise du CHSCT/CSE : Cass. soc., 25 janvier 2016, n° 14-17.227, F-D (N° Lexbase : A3338N7R).
(3) Loi n° 78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés (N° Lexbase : L8794AGS).
(4) N'est pas justifiée la prise d'acte de la rupture du contrat de travail du salarié dès lors que l'employeur a organisé une réunion d'information, suivie d'une déclaration à la CNIL, avant de procéder à l'installation du dispositif de géolocalisation et que, par lettre adressée au salarié, il a rappelé les finalités de la géolocalisation : Cass. soc., 20 décembre 2017, n° 16-12.569, FS-D (N° Lexbase : A0579W9C). Mais encore faut-il que la personne qui se prévaut du non-respect de la loi "informatique et liberté" ne se trouve pas, elle-même, dans une situation illicite ; il a ainsi été jugé que l'auteur d'un vol de voiture, identifié par le biais d'un système de géolocalisation, ne peut se prévaloir des recours ouverts normalement au propriétaire du véhicule. C'est la position qu'a rappelée la Chambre criminelle de la Cour de cassation, en refusant de renvoyer une QPC au Conseil constitutionnel (Cass. crim., 14 novembre 2017, n° 17-82.435, F-P+B+R N° Lexbase : A6997WZ8).
(5) Délibération n° 2006-067 du 16 mars 2006, portant adoption d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel mis en oeuvre par les organismes publics ou privés destinés à géolocaliser les véhicules utilisés par leurs employés (N° Lexbase : X8158ADI) ; délibération n° 2006-066 du 16 mars 2006, portant adoption d'une recommandation relative à la mise en oeuvre de dispositifs destinés à géolocaliser les véhicules automobiles utilisés par les employés d'un organisme privé ou public (N° Lexbase : X6642ADD), sont abrogées.
(6) Délibération n° 2015-165 du 4 juin 2015, portant adoption d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel mis en oeuvre par les organismes publics ou privés destinés à géolocaliser les véhicules utilisés par leurs employés (norme simplifiée n° 51) (N° Lexbase : X5169AP7). Lire A. Gardin, Géolocalisation du véhicule du salarié : quand finalité, proportionnalité et fiabilité font loi, Rev. trav., 2015, p. 544.
(7) Cass. soc., 3 novembre 2011, n° 10-18.036, FS-P+B+R+I (N° Lexbase : A5253HZL) et nos obs., A propos de la géolocalisation des salariés : la CNIL et la Cour de cassation à l'unisson, Lexbase, éd. soc., n° 462, 2011 (N° Lexbase : N8765BSG) ; D., 2011, p. 901, obs. P. Lokiec et J. Porta ; Just. et cass., 2012, 195, rapp. P. Florès ; ibid., 202, avis G. Taffaleau ; Dr. soc., 2012, p. 61, étude J.-E. Ray ; RDT, 2012, p. 156, obs. B. Bossu et T. Morgenroth.
(8) Cass. soc., 1er juin 2017, n° 15-23.522, FS-P+B (N° Lexbase : A2658WGK) et les obs. de S. Tournaux, Le régime probatoire favorable à l'employeur en cas de déclaration simplifiée à la Cnil, Lexbase, éd. soc., n° 702, 2017 (N° Lexbase : N8807BW4).
(9) CE, 9° et 10° ch.-r., 18 décembre 2015, n° 384794, inédit au recueil Lebon (N° Lexbase : A5054PKE).

Décision CE, 9° et 10° ch.-r., 15 décembre 2017, n° 403776, publié aux tables du recueil Lebon (N° Lexbase : A1345W8C) Rejet de la requête en nullité (décision n° 2016-055 du 27 juillet 2016 de la Présidente de la Commission nationale de l'informatique et des libertés) Texte : loi n° 78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés (N° Lexbase : L8794AGS), art. 6. Mots clef : géolocalisation ; durée du travail. Lien base : (N° Lexbase : E5521E7M).

© Reproduction interdite, sauf autorisation écrite préalable