Dans sa délibération du 4 juin 2015 portant adoption d’une norme simplifiée n°51, la CNIL défini la géolocalisation en entreprise comme un dispositif « permettant aux organismes privés ou publics de prendre connaissance de la position géographique, à un instant donné ou en continu, des employés par la localisation des véhicules mis à leur disposition pour l'accomplissement de leur mission ».

Par ailleurs, selon l’article 1121-1 du Code du travail, nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché.

Dès lors, la mise en place d’un dispositif de géolocalisation fait l’objet d’un contrôle strict de la CNIL mais également des juridictions.

Avec l’entrée en vigueur du RGPD, les normes simplifiées de la CNIL ont été supprimées. Néanmoins, elles restent une indication des critères que le dispositif doit respecter.

Ainsi, dans sa Norme simplifiée n°51, la CNIL établit les règles qu’un organisme, public ou privé, est tenu de respecter lorsqu’il met en place un dispositif de géolocalisation.

Selon la CNIL, un organisme n’est autorisé à mettre en place un dispositif de géolocalisation uniquement pour les objectifs suivants :

L’information des personnes concernées doit être effectuée en amont de la mise en place du système :

• S’il y en a, les instances représentatives du personnel doivent être informées et consultées avant la mise en œuvre du système de géolocalisation des salariés
• Les salariés doivent être informés, avant la mise en place du dispositif, des droits dont ils disposent ainsi que de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leur durée de conservation.

Selon la CNIL, le dispositif de géolocalisation ne peut pas être détourné de sa finalité pour suivre le temps de travail des salariés sauf si ce suivi ne peut être réalisé par un autre moyen. En tout état de cause, la géolocalisation du salarié en dehors de son temps de travail est interdite et porterait atteinte à son droit au respect de la vie privée. De ce fait, la possibilité de retirer le dispositif en dehors du temps de travail doit être laissée au salarié.

La jurisprudence est également venue préciser les limites à la mise en place d’un dispositif de géolocalisation en entreprise.

A noter toutefois que depuis l’entrée en vigueur du RGPD, les obligations de déclaration préalable à la CNIL ont été supprimées. Désormais, un responsable de traitement ne fait plus de Déclaration Cnil géolocalisation. Néanmoins, il est tenu de mettre en œuvre et de démontrer que toutes les mesures techniques et organisationnelles nécessaires à assurer la conformité du traitement de données à caractère personnel au RGPD ont été effectuées. Le traitement relatif au dispositif de geolocalisation CNIL sera notamment inscrit dans le registre des traitements tenu par l’organisme.