Oui mais seulement à certaines conditions.
Contrairement aux caméras de surveillance, il n’y a pas de législation spécifique à ce sujet ; ce sont donc les règles générales en matière de données personnelles qui trouvent à s’appliquer, et donc dorénavant le RGPD. Or, qu’en est-il en matière de géolocalisation ? Dans la mesure où, compte tenu du rapport hiérarchique entre les parties, les conditions pour obtenir d’un collaborateur un consentement réellement valide ne seront généralement pas rencontrées, il vous faudra justifier ce traitement sur pied d’une autre base juridique; en l’occurrence, il s’agira le plus souvent de la poursuite de vos « intérêts légitimes ». Cela signifie qu’il vous faudra non seulement identifier ces intérêts (par exemple la « gestion du parc automobile » pour identifier les besoins d’entretien ou de maintenance) mais également les évaluer au regard des attentes raisonnables que peuvent avoir vos collaborateurs à ce sujet. Pour le dire autrement, si vous poursuivez un intérêt légitime, cela ne vous permet pas forcément de justifier le traitement des données de vos collaborateurs si la « balance des intérêts » en présence penche en leur faveur. C’est donc, à chaque fois, une analyse au cas par cas qui justifie – ou non – cette géolocalisation.
Ainsi, par exemple, pour l’ancienne Commission de la Protection de la Vie Privée (CPVP), si ce dispositif est utilisé pour le contrôle des prestations de travail, il ne peut l’être que dans le cas où il n’existe pas d’autres moyens de contrôle. C’est également en ce sens que s’est récemment positionnée la Cour de cassation française pour qui cette utilisation ne serait licite que si le contrôle de la durée du travail ne peut pas être fait par un autre moyen « fût-il moins efficace que la géolocalisation ».
En outre, il vous faudra respecter les autres obligations applicables du RGPD, dont la nécessité d’une information en bonne et due forme à fournir aux collaborateurs concernés, par exemple au travers d’une « geo-policy ». Également, il vous faut adopter des mesures techniques et organisationnelles « appropriées », c’est-à-dire qu’il vous faut notamment réfléchir aux conditions d’accès aux données correspondantes, ainsi qu’à leur sécurisation. Pour le dire autrement, n’importe qui ne peut pas y accéder n’importe comment.
Par ailleurs, le traitement doit être proportionné aux finalités poursuivies. Ainsi par exemple, un contrôle permanent, avec une lecture systématique des données enregistrées, sera en principe jugé disproportionné. Dans certains cas cependant, cela pourrait être justifié pour des raisons de sécurité, à l’instar d’un transport de fonds. Pour la CPVP, le système devrait en tout cas pouvoir être désactivé lors de l’utilisation du véhicule en dehors des heures de travail.
Également, les données de géolocalisation permettent de repérer les véhicules en temps réel, et, pour la CPVP, ces données ne devraient pas être conservées. Lorsque, dans des cas exceptionnels, elles le sont pour contrôler les prestations de travail, elle considère alors que cette conservation ne devrait pas excéder 2 mois pour déterminer s’il y a eu – ou non – abus de la part des collaborateurs.
Last but not least, il ne faut pas oublier de mentionner ce traitement dans votre registre des activités, ainsi que d’effectuer une « analyse d’impact », c’est-à-dire un processus décrivant un traitement de données présentant, de prime abord, un risque élevé pour les personnes concernées ainsi que les mesures nécessaires pour gérer ce risque.
En résumé, un dispositif de géolocalisation reste possible mais la matière est complexe et sa mise en œuvre dépend des circonstances d’espèce puisque la jurisprudence, tantôt, consacre la recevabilité et la validité des données de localisation, tantôt les rejette. Plus d’informations sur le site internet de l’Autorité de Protection des Données www.autoriteprotectiondonnees.be
