Dans un monde où la technologie s’immisce de plus en plus dans notre quotidien, les entreprises sont confrontées au défi d’intégrer des solutions innovantes sans porter atteinte à la vie privée de leurs travailleurs. L’enregistrement du temps de travail par des moyens biométriques, comme l’utilisation des empreintes digitales, constitue une méthode efficace pour suivre la présence des travailleurs. Se pose toutefois une question cruciale : comment cette technologie se conforme-t-elle aux règles strictes du Règlement général sur la protection des données (le fameux RGPD) ? Dans cet article, nous nous penchons sur les aspects juridiques de l’utilisation des données biométriques sur le lieu de travail en partant d’une affaire récente.
Principe général : interdiction de traitement des données biométriques
Certaines entreprises utilisent un système d’enregistrement du temps afin de mieux visualiser les prestations de travail de leurs travailleurs. Dans certains cas, le système d’enregistrement du temps de travail est même obligatoire, pensons par exemple aux horaires flottants.
Il existe différentes manières d’enregistrer les prestations de travail, par exemple via une pointeuse, un badge, etc. Avec l’évolution des technologies, il est désormais aussi possible d’utiliser des systèmes basés sur les empreintes digitales des travailleurs. Les empreintes digitales sont qualifiées de données biométriques et sont dès lors considérées comme des données très sensibles. Leur traitement est en principe interdit par le RGPD, sauf dans des cas spécifiques.
Consentement explicite comme motif d’exception — application dans la relation de travail
L’un des motifs d’exception au principe d’interdiction du traitement des données à caractère personnel est le consentement explicite de la personne concernée. Ce consentement doit être valable. Cela signifie qu’il doit être libre, éclairé et univoque.
Nous l’expliquons au moyen d’une décision de la Chambre contentieuse de l’Autorité belge de protection des données (APD[1]) sur la validité du consentement d’un travailleur lors de l’utilisation d’un système d’enregistrement du temps basé sur les empreintes digitales des travailleurs. Dans l’entreprise en question, il s’agissait de l’unique système d’enregistrement du temps disponible. Lors de son entrée en service, un travailleur a reçu une brochure d’accueil et le règlement du travail mentionnant l’utilisation du système d’enregistrement du temps basé sur les empreintes digitales. Ces documents ont été signés uniquement pour réception. Quelques années plus tard, un ancien travailleur a déposé une plainte au motif que son (ancien) employeur avait traité ses empreintes digitales sans son libre consentement et qu’il n’avait pas été informé des modalités de stockage ni de la durée de conservation de ses données biométriques.
Consentement libre
Dans une relation de travail, il peut toutefois être difficile de garantir que le consentement est accordé “librement” en raison, notamment, du rapport d’autorité entre l’employeur et le travailleur. Lorsqu’un travailleur ne peut raisonnablement pas refuser de donner son consentement pour le traitement des données, sans craindre des conséquences négatives en raison du déséquilibre des pouvoirs dans le contexte de travail, ce consentement ne peut être considéré comme libre.
L’APD précise une nouvelle fois que cela ne veut pas dire que l’exception du consentement ne peut jamais être utilisée dans une relation de travail. L’employeur devra alors démontrer qu’il s’agit bien d’un choix libre. À cette fin, il peut, par exemple, prévoir une méthode alternative pour l’enregistrement du temps (par exemple, l’utilisation d’un badge ou d’un code au lieu de prévoir uniquement la possibilité d’une empreinte digitale).
Dans ce cas-ci, aucune méthode alternative d’enregistrement du temps n’avait été proposée par l’employeur, ne laissant dès lors aucun choix libre aux travailleurs. En outre, le calcul du salaire était basé sur les heures enregistrées et le règlement du travail prévoyait des sanctions en cas d’absence d’enregistrement d’heures. Il va de soi qu’un travailleur va se sentir dans une position inconfortable pour refuser son consentement, compte tenu des conséquences négatives potentielles.
Consentement spécifique
Le consentement que l’on donne doit être spécifique. Cela veut dire qu’il doit être donné spécifiquement pour le traitement des données à caractère personnel dans un but précis et que celles-ci ne peuvent être traitées à d’autres fins.
Consentement éclairé
Par ailleurs, l’APD précise également dans sa décision que le consentement doit être “éclairé”. La simple mention d’un tel système dans une brochure d’accueil ou le règlement de travail (qui est signé pour réception - et donc pas pour accord - par les travailleurs) ne suffit pas. Les travailleurs doivent comprendre clairement à quoi ils consentent. Il va dès lors de soi que les informations que l’on donne doivent être clairement formulées dans un langage compréhensible. Il faut être transparent quant à la manière dont le système fonctionne, qui traite les données, leur durée de conservation, leur lieu de stockage, etc.
Il est recommandé de ne pas présenter les empreintes digitales, dans le document d’information, comme "alternative préférée" (et de ne pas dévaloriser inutilement les systèmes alternatifs tels que le badge ou le code). Sinon, cela donne l’impression d’une absence de libre choix.
Consentement univoque
Enfin, le consentement ne peut pas non plus être déduit du simple fait de ne pas s’opposer à un tel système. Le travailleur doit effectivement poser un acte positif clair par lequel il donne son consentement. La simple signature pour réception de la brochure d’accueil ou du règlement de travail ne suffit pas. Le consentement doit, par conséquent, être donné explicitement dans un document écrit (par exemple, un avenant séparé au contrat de travail dans lequel le consentement explicite est donné ou en cochant explicitement une case sur une plateforme électronique pour confirmation).
Retrait du consentement
Un travailleur qui a donné son consentement pour le traitement de données biométriques peut retirer à tout moment ce consentement. À partir de ce moment, tout traitement de ces données doit immédiatement cesser.
Autres principes de protection des données
N’oublions pas, en outre, que d’autres principes de protection des données doivent être respectés, à savoir :
- Limitation des finalités : Les données doivent être collectées pour des finalités déterminées, explicites et légitimes.
- Proportionnalité : Le traitement doit être adéquat, pertinent et non excessif pour la réalisation des finalités. L’APD a estimé que l’utilisation des données biométriques sur le lieu de travail est autorisée si des mesures moins intrusives ne sont pas suffisantes (par exemple, comme dans le cadre d’un contrôle d’accès sécurisé pour certains lieux, tels qu’une centrale nucléaire, etc.).
- Sécurisation : Des mesures techniques et organisationnelles appropriées doivent être prises pour garantir un niveau de protection élevé.
- Limitation du stockage : Les données ne peuvent pas être conservées plus longtemps que ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées.
- Transparence : Les travailleurs doivent être pleinement informés sur le traitement de leurs données.
Jugement de l’APD
L’enquête et l’analyse menées par l’APD ont révélé que le traitement des données biométriques était effectivement illicite et qu’en outre, les principes notamment de limitation des finalités et de minimisation des données n’avaient pas été respectés. Par conséquent, l’employeur a été condamné au paiement d’une amende administrative de €45.000.
Conclusion
Les entreprises doivent veiller à ce que leurs travailleurs disposent d’un libre choix concernant l’octroi de leur consentement à l’utilisation d’un système biométrique d’enregistrement du temps. Elles peuvent ainsi proposer des alternatives telles que les badges ou codes d’accès. Il est par ailleurs crucial que les travailleurs soient clairement et pleinement informés sur le traitement de leurs données biométriques. Enfin, les données biométriques doivent être utilisées uniquement à des fins spécifiques et nécessaires, tout en garantissant la proportionnalité du traitement. Dans la pratique, l’utilisation du consentement comme base juridique dans une relation d’autorité entre l’employeur et le travailleur nécessitera toujours des évaluations approfondies.
[1] Décision quant au fond 114/2024 du 6 septembre 2024, https://https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n0-114-2024-fr.pdf
