RGPD et données de pointage : ce qu'il faut cadrer
Enregistrer des heures, c'est traiter des données personnelles. Quelques règles simples, posées au départ, évitent d'avoir à tout reprendre ensuite.
À retenir
- Une finalité claire : suivre le temps de travail, pas surveiller les personnes.
- Des accès limités à ce que chaque rôle doit voir.
- Une information écrite remise aux collaborateurs avant le démarrage.
Définir la finalité et s'y tenir
Les données collectées servent à enregistrer le temps de travail, préparer la paie et démontrer le respect des durées. Elles ne servent pas à évaluer un comportement individuel en continu. Cette frontière, écrite, protège le projet et l'entreprise.
Collecter le minimum utile
Chaque donnée supplémentaire doit être justifiée par un usage réel.
- Identification du collaborateur, début, fin, pauses : le socle.
- Site ou chantier : utile en multi-sites, inutile sinon.
- Projet ou client : seulement si vous suivez des coûts.
- Localisation continue : à éviter, disproportionnée pour cette finalité.
Gérer les accès par rôle
Le collaborateur voit ses propres données. Le manager voit son équipe. L'administration voit l'ensemble pour la paie. Les accès élargis restent exceptionnels et tracés.
Informer et conserver
Remettez une note claire avant le démarrage : quelles données, pourquoi, qui y accède, combien de temps, comment exercer ses droits. Fixez ensuite une durée de conservation cohérente avec vos obligations sociales et supprimez au-delà. Faites relire ce cadre par votre conseil.
Exemple concret : une géolocalisation continue abandonnée
Une société de maintenance avait activé le suivi permanent de la position de ses 22 techniciens, avec l'idée d'optimiser les tournées. Trois mois plus tard, deux techniciens avaient démissionné et la délégation avait saisi la direction. La collecte dépassait largement la finalité annoncée : elle enregistrait aussi les déplacements privés entre deux interventions.
L'entreprise a remplacé ce suivi par l'enregistrement de la position au seul moment du pointage, à l'entrée et à la sortie du site. La finalité reste vérifiée, le climat social s'est rétabli et le volume de données conservées a fortement diminué.
La leçon vaut pour tout projet de pointage : collecter moins n'affaiblit pas la preuve. Une entrée et une sortie horodatées, associées à un site, suffisent à démontrer le temps de travail.
Les principes RGPD appliqués au pointage
Traduits en pratique, les principes du règlement se ramènent à des décisions concrètes que vous devez pouvoir justifier par écrit.
- Finalité : les données servent au calcul du temps de travail et au respect des obligations légales, pas à noter les comportements.
- Minimisation : pas de suivi continu, pas de captation de contenu privé, pas de données biométriques sans nécessité démontrée.
- Durée de conservation : une durée définie et documentée, alignée sur les obligations de conservation applicables.
- Accès limité : le collaborateur voit ses données, le responsable voit son équipe, l'administration voit l'ensemble.
- Traçabilité : toute correction conserve son auteur, sa date et son motif.
- Sécurité : accès nominatifs, chiffrement en transit, hébergement identifié.
Ce qu'il faut documenter et communiquer
Avant la mise en service, informez les collaborateurs par écrit : quelles données sont enregistrées, pourquoi, combien de temps elles sont conservées, qui y accède et comment exercer leurs droits. Cette note d'information est souvent la pièce la plus simple à produire et la première réclamée en cas de contrôle ou de litige.
Complétez votre registre des traitements avec une fiche dédiée au pointage, et associez la consultation des organes de concertation lorsqu'ils existent dans l'entreprise. Une introduction discutée en amont rencontre nettement moins de résistance qu'un dispositif découvert le jour du démarrage.
Enfin, prévoyez la procédure de réponse à une demande d'accès : un collaborateur peut demander l'historique de ses propres pointages, et vous devez pouvoir le fournir dans un délai raisonnable.
Questions fréquentes
- Où doivent être hébergées les données de pointage ?
- Un hébergement dans l'Union européenne simplifie le respect du RGPD ; vérifiez-le auprès de votre fournisseur.
- Le pointage est-il conforme au RGPD en Belgique ?
- Oui, si la finalité est limitée au suivi du temps de travail et de la paie, si les données collectées sont minimales, si les accès sont restreints et si la durée de conservation est définie. Les travailleurs doivent être informés avant le démarrage.
- Les données de pointage sont-elles des données personnelles ?
- Oui : elles identifient une personne et décrivent son activité. Leur traitement doit reposer sur une finalité précise, être limité aux données nécessaires, faire l'objet d'une information claire et d'une durée de conservation définie.
- Le pointage est-il légal au regard du RGPD ?
- Oui, lorsqu'il répond à une obligation légale ou à un intérêt légitime documenté, comme le respect de la durée du travail et le calcul de la paie. Il ne peut pas servir à une surveillance continue sans rapport avec cette finalité.
- La géolocalisation des pointages est-elle autorisée ?
- Elle doit rester proportionnée : enregistrer le lieu au moment du pointage est généralement admissible, suivre en permanence les déplacements ne l'est pas. Informez les collaborateurs et limitez la donnée au strict nécessaire.
- Qui peut consulter les données de pointage ?
- Le collaborateur pour ses propres données, son responsable pour son équipe, les RH et la paie pour leurs traitements, et l'inspection dans le cadre d'un contrôle. Les accès doivent être définis par rôle, pas ouverts à tous.
À lire ensuite
Commencer maintenant
Votre premier pointage en quelques minutes.
Créez votre compte et ajoutez votre équipe quand vous êtes prêt. Sans carte bancaire, sans matériel.
14 jours gratuits · sans carte bancaire · mise en place en quelques minutes