La mise en place du pointage au travail passe par des procédures à respecter.
L'employeur n'est pas libre d'installer du jour au lendemain un système de pointage dans son entreprise.
Avant toute mise en fonction du système, il doit :
- obtenir l'autorisation administrative de mise en place d'une pointeuse ;
- communiquer en interne auprès des salariés et de leurs représentants s'il y en a.
À noter : depuis l'entrée en vigueur du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) le 25 mai 2018, les formalités de déclaration à la CNIL sont supprimées. Désormais, le fichier doit être inscrit au registre des traitements de l’entreprise.
Pointage au travail, CNIL et RGPD : selon le système de pointage
À partir du moment où le système de pointage recueille et traite automatiquement des données nominatives et/ou personnelles, l'employeur doit se mettre en conformité avec le règlement général sur la protection des données (RGPD) : le règlement (UE) 2016/679 du 27 avril 2016.
C'est notamment le cas lorsque le système de pointage utilise les technologies suivantes :
- pointeuse numérique ;
- pointeuse mobile ;
- badgeuse ;
- pointeuse biométrique (attention, celle-ci ne peut pas servir aux contrôles des horaires, elles sont exclusivement destinées au contrôle des accès des zones restreintes).
Avant le 25 mai 2018: déclaration CNIL pour le pointage au travail
Avant toute installation et mise en fonction du système, l'employeur devait :
- informer la Commission nationale de l'informatique et des libertés pour obtenir un récépissé (CNIL : 3 place de Fontenoy - TSA 80715 - 75334 PARIS CEDEX 07 /www.cnil.fr) ;
- voire solliciter et obtenir une autorisation écrite de sa part.
Voici un tableau récapitulatif des formalités à accomplir pour la mise en place d'un système de pointage au travail :
| Type de pointeuse | Recueil et traitement de données nominatives (nom + prénom + adresse) |
Recueil et traitement de données personnelles (âge, forme de la main, empreintes digitales) |
|
|---|---|---|---|
| Traitement automatique conforme à une autorisation unique . | Traitement automatique non conforme à une autorisation unique (1). | ||
| Pointeuse numérique |
|
|
|
| Pointeuse mobile | |||
| Badgeuse | |||
| Pointeuse biométrique | _ | ||
Depuis le 25 mai 2018 : le registre des traitements
Le 25 mai 2018, le règlement général sur la protection des données (RGPD) est entré en application. Le régime des déclarations de fichiers auprès de la CNIL a été supprimé. Seules certaines formalités préalables subsistent : demande d’avis pour les secteurs régaliens et demande d’autorisation pour certains traitements de données de santé).
Désormais, les employeurs sont pleinement responsables de la protection des données qu’ils traitent. L'article 30 du RGPD impose au responsable du traitement de tenir un registre des traitements et un registre des activités de sous-traitance (pour les entreprises qui manipulent des données personnelles pour le compte de leurs clients).
Le registre recense l’ensemble des traitements mis en œuvre par votre l'entreprise. Chaque fiche de registre est propre à une activité et mentionne :
- les parties prenantes (représentant, sous-traitants) qui interviennent dans le traitement des données ;
- les catégories de données traitées ;
- l'objectif du recueil de ces données ;
- l'identification des personnes ayant accès aux données et à qui elle sont communiquées ;
- la durée de conservation des données ;
- le système de sécurisation.
Le 10 avril 2018, la CNIL a précisé sa doctrine pour mieux encadrer les systèmes d’authentification biométrique utilisés par des particuliers dans leur vie quotidienne et inciter les professionnels à veiller à ce que les technologies utilisées garantissent la protection des données personnelles. Dans un règlement type (délib. CNIL 2019-001 du 10 janvier 2019), elle y intègre les principes consacrés par le règlement général sur la protection des données (RGPD) entré en vigueur le 25 mai 2018. Ces règles sont les suivantes : justifier d'un besoin spécifique ; après information, laisser la personne libre d’y recourir ou de choisir un dispositif alternatif ; et maintenir les données biométriques sous le contrôle exclusif de la personne concernée.
À noter : avant toute mise en œuvre d'un dispositif d'identification biométrique sur le lieu de travail, l'employeur doit réaliser une analyse d'impact relative à la protection des données personnelles (AIPD). L'employeur doit procéder à une évaluation des risques sur les droits et libertés des personnes aux fins de les identifier et, le cas échéant, de les traiter. L'AIPD doit être mise à jour régulièrement, au moins tous les 3 ans.
Bon à savoir : la CNIL considère comme excessif et contraire au RGPD le fait de contrôler les horaires de travail du personnel par le biais d'un système de badgeage intégrant une prise de photographie systématique des salariés à chaque pointage (CNIL, communiqué, 27 août 2020).
Pointage au travail : en cas de non-respect des procédures
La tenue du registre des traitements est obligatoire, tout comme l'était la déclaration à la CNIL.
Si un employeur ne la respecte pas, il est passible de sanctions pénales : amendes et/ou peine de prison.
Il en va de même pour la mise en service d'un matériel sans respect de la procédure :
- L'inspection du travail peut, à cet égard, demander à l'employeur de consulter le registre.
- En cas de procès devant un conseil de prud'hommes, les preuves utilisées par l'employeur et générées par le système de pointage seront réputées sans valeur pour tout ce qui concerne le temps de travail (décompte-paiement).
En effet, lorsque le système de pointage permet de connaître l'identité des salariés et leurs horaires chaque jour, l'employeur doit respecter ces obligations. À défaut, le système est illicite et les documents qui en résultent ne peuvent pas être produits en justice, à l'appui d'un licenciement par exemple (arrêt de la Cour de cassation du 2 novembre 2016).
Pointage au travail : consulter les représentants du personnel
L'instauration du pointage au travail est impérativement précédée d'une information-consultation des représentants du personnel. Peu importe le type de système de pointage et/ou pointeuse choisi(s) par l'employeur : avant toute mise en service, les représentants du personnel doivent être informés et consultés.
Ce tableau rappelle les obligations de l'employeur :
| Qui ? |
Important : l'ordonnance n° 2017-1386 du 22 septembre 2017 portant réforme du Code du travail a opéré une fusion des instances représentatives du personnel (IRP) – les délégués du personnel (DP), le comité d'entreprise (CE) et le comité d'hygiène, de sécurité et des conditions de travail (CHSCT) – en un comité social et économique (CSE). La mise en place des CSE est effective depuis le 1er janvier 2020. Les attributions des anciennes IRP sont transférées aux CSE. |
|---|---|
| Comment ? | Information + consultation :
|
| Quand ? | Avant toute mise en service du système. |
| Formalisme | Rédaction d'un procès verbal de la consultation. |
| Sanctions en cas de non-respect | Amende et/ou peine de prison pour :
En cas de procès devant un conseil de prud'hommes :
|
Pointage au travail : communiquer avec les salariés
L'instauration du pointage au travail s'accompagne d'une communication à destination du personnel afin d'expliquer et informer. Comme leurs représentants, les salariés doivent recevoir une information avant la mise en place du pointage au travail.
Cette dernière a pour vocation de :
- les informer de l'entrée en service du système de pointage dans une optique de communication ;
- porter à leurs connaissances les modalités de fonctionnement du système et les procédures et obligations à respecter ;
- leur apprendre les natures et contenus des droits dont ils disposent si le pointage collecte et traite des données nominatives et/ou personnelles.
| Modalités | Contenu de la notification adressée à chaque salarié | ||||
|---|---|---|---|---|---|
| Notification écrite et personnelle par mail ou par courrier. | Identité du responsable du pointage : qui organise le pointage et recueille et exploite les données ? | Finalité/objectif du pointage : pourquoi met-on en place le pointage dans l'entreprise ? | Nature des données recueillies : quelles sont les données collectées par le système de pointage ? | Droit d'accès et de rectification : comment les salariés peuvent-ils exercer leur droit d'accès et de rectification ? | Durée de conservation des données : combien de temps les données collectées sont-elles conservées avant d'être effacées ? |
Important : si le dispositif de pointage au travail a également pour vocation de surveiller l'activité des salariés, ces derniers doivent en être informés tout comme leurs représentants. Le règlement intérieur de l'entreprise doit être complété à cet effet en suivant la procédure de modification applicable.
Prévoir les conséquences du pointage au travail
La mise en place d'un pointage au travail méthodique fait ressortir les problèmes de gestion du temps de travail. Le pointage au travail peut en effet faire apparaître un grand nombre d'heures à rattraper ou d'heures supplémentaires.
Exemple : un atelier cesse de produire à 17 h 00. Le contrat des salariés prévoit un départ à cette heure, mais il faut 15 minutes pour le nettoyage et le rangement, qui font partie du plan 5S de l'entreprise. Au bout d'un mois, on compte 5 heures de dépassement par salarié, soit 50 heures au bout d'un an, c'est-à-dire une semaine et demie de temps excédentaire à payer en heures supplémentaires ou à récupérer.
Bon à savoir : les juges considèrent que, lorsque les heures supplémentaires d’un salarié sont comptabilisées par un logiciel de pointage, l’employeur a été informé des heures effectuées et a ainsi donné son accord au moins implicite pour la réalisation de ces heures. Par conséquent, ces heures supplémentaires doivent être rémunérées (Cass. soc., 8 juillet 2020, n° 18-23.366).
Préparer le pointage au travail nécessite donc le plus souvent :
- de faire signer des avenants aux contrats de travail pour qu'ils correspondent à la réalité du temps de travail ;
- éventuellement de négocier un accord sur le temps de travail pour :
- de ne pas compter les heures au-delà d'une de marge prévue (30 minutes ou 1 heure après la limite contractuelle), sauf ordre écrit de la hiérarchie ;
- que le salarié régularise son temps de travail total par quinzaine ou par mois, ce afin de ne pas cumuler d'excédents d'heures, tout dépassement étant alors perdu.
Bon à savoir : attention aux heures supplémentaires ! La loi Travail du 8 août 2016 institue pour le salarié un « droit à la déconnexion » (article L. 2242-8 7° du Code du travail). Il a pour objectif d'« d'assurer le respect des temps de repos et de congé ainsi que de la vie personnelle et familiale » , et fait l'objet d'une négociation annuelle obligatoire dans chaque entreprise (à défaut, une charte doit être mise en place par l'employeur après consultation des IRP).