Enregistrement automatique du temps de travail : ce que l'employeur doit prouver
L'employeur qui déploie un système d'enregistrement automatique du temps de travail (badgeuse, pointeuse biométrique, logiciel de tracking) doit satisfaire simultanément deux régimes : la fiabilité probatoire exigée par le droit du travail et la conformité imposée par le RGPD. Concrètement, l'article L.3171-4 du Code du travail fait peser sur l'employeur la charge de fournir au juge des éléments objectifs de décompte du temps travaillé ; le dispositif doit donc être infalsifiable et documenté. En parallèle, tout enregistrement de données personnelles de pointage suppose une base légale, une information des salariés et une durée de conservation limitée. Un système techniquement performant mais juridiquement mal cadré expose à un double contentieux : prud'homal (rappels d'heures supplémentaires) et CNIL (sanction administrative). Voici la procédure de mise en conformité, les responsabilités précises de l'employeur et les contentieux-types identifiés.
Le double fondement juridique : preuve du temps de travail et protection des données
Un système d'enregistrement automatique du temps de travail ne relève pas d'une seule branche du droit. Il se situe à l'intersection de deux logiques distinctes qui ne poursuivent pas le même objectif.
Fondement social. L'article L.3171-4 du Code du travail organise la charge probatoire du temps de travail effectif. En cas de litige sur les heures supplémentaires, l'employeur doit fournir « les éléments de nature à justifier les horaires effectivement réalisés ». Un enregistrement automatique fiable constitue précisément cet élément. À l'inverse, l'absence de dispositif ou un dispositif contestable renverse la dynamique du procès au détriment de l'employeur.
Fondement RGPD. Les données de pointage (heure d'arrivée, de départ, temps de pause, géolocalisation éventuelle) sont des données à caractère personnel. Leur traitement suppose une base légale au sens du RGPD, une information préalable des personnes concernées, une durée de conservation proportionnée et, dans certains cas, une analyse d'impact.
La difficulté opérationnelle tient à ce que ces deux régimes tirent parfois dans des directions opposées : le droit social pousse à conserver des preuves détaillées et durables, le RGPD impose la minimisation et l'effacement. Le point d'équilibre se construit dossier par dossier.
Base légale du traitement : l'intérêt légitime, pas le consentement
Première erreur récurrente en ETI : croire qu'il faut recueillir le consentement du salarié pour installer une pointeuse. C'est faux, et même contre-productif.
Le consentement suppose un choix libre. Or, dans la relation de subordination, le salarié n'est jamais en situation de refuser librement un dispositif imposé par l'employeur. La CNIL considère de longue date que le consentement n'est pas une base valable dans le cadre du contrat de travail pour les traitements imposés par l'organisation. La base pertinente est l'intérêt légitime de l'employeur (organiser et contrôler le temps de travail, remplir ses obligations légales de décompte) ou, selon les cas, l'obligation légale de décompte de la durée du travail.
Cette qualification n'est pas cosmétique. Elle détermine les droits des salariés : sur une base d'intérêt légitime, le salarié conserve un droit d'opposition que l'employeur devra examiner cas par cas, ce qui doit être anticipé dans la documentation interne.
Verbatim praticien. « Le dossier le plus fréquent n'est pas la badgeuse illégale, c'est la badgeuse légale dont la base légale déclarée dans le registre des traitements est fausse. On lit "consentement" alors que le traitement est imposé. Le jour du contrôle CNIL, ce simple mot rend tout le registre non fiable — et le registre non fiable est un manquement autonome à l'article 30 du RGPD. »
Proportionnalité : le piège de la surcollecte et de la biométrie
Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la finalité. Un système d'enregistrement du temps de travail n'a pas besoin de suivre le salarié en continu ni de tracer chaque déplacement.
La géolocalisation ne peut jamais servir de mode principal de contrôle du temps de travail lorsqu'un autre moyen moins intrusif existe. La Cour de cassation a jugé que l'utilisation d'un dispositif de géolocalisation pour contrôler la durée du travail n'est licite que lorsque ce contrôle ne peut être réalisé par un autre moyen, fût-il moins efficace. Un système de pointage déclaratif ou par badge doit donc être privilégié.
La biométrie (empreinte digitale, reconnaissance faciale pour pointer) relève des données sensibles. Son usage pour la simple gestion du temps de travail est en principe disproportionné : la CNIL réserve la biométrie aux enjeux de sécurité élevés, non au décompte des horaires. Déployer une pointeuse biométrique « parce que c'est plus pratique » constitue un manquement caractérisé.
À retenir : la fiabilité probatoire recherchée en droit du travail ne justifie jamais, à elle seule, une atteinte disproportionnée à la vie privée. Le juge social écarte les preuves obtenues par un procédé illicite dès lors que la production n'est pas indispensable et proportionnée.
Information et consultation : les formalités préalables obligatoires
Aucun système d'enregistrement automatique ne peut être mis en service sans formalités préalables. Trois obligations se cumulent.
Information individuelle des salariés. Chaque salarié doit être informé, avant la mise en place, de l'existence du dispositif, de sa finalité, de la base légale, des destinataires des données, de la durée de conservation et de ses droits (accès, rectification, opposition). Un procédé de contrôle non porté préalablement à la connaissance du salarié lui est inopposable.
Consultation du CSE. Le comité social et économique doit être consulté préalablement à la décision de mettre en œuvre un moyen de contrôle de l'activité des salariés. L'absence de consultation constitue un délit d'entrave et fragilise la valeur probatoire du dispositif.
Documentation RGPD interne. Inscription au registre des traitements, définition de la durée de conservation, et le cas échéant analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé — hypothèse fréquente pour un contrôle systématique des horaires.
Document à produire, preuve à conserver. La note d'information remise aux salariés (avec émargement ou accusé de réception daté), le procès-verbal de consultation du CSE, l'extrait du registre des traitements. Ces trois pièces constituent le socle défensif en cas de contentieux.
Durée de conservation : le point aveugle le plus sanctionné
C'est ici que se situe la faille la plus fréquente. Les entreprises paramètrent la collecte avec soin, puis oublient de purger.
Les données de pointage servent à établir la paie et à décompter le temps de travail. Leur conservation en base active doit être limitée à la durée nécessaire à la gestion des variables de paie et au traitement d'éventuels litiges de courte durée. Au-delà, les données doivent être archivées ou supprimées.
L'articulation avec le droit social est délicate : les rappels d'heures supplémentaires se prescrivent par trois ans (article L.3245-1 du Code du travail). L'employeur a donc un intérêt légitime à conserver, en archivage intermédiaire (accès restreint, non exploité au quotidien), les éléments de décompte pendant la durée de prescription applicable. Mais conserver l'ensemble des données de pointage en base active pendant des années, accessibles à tout gestionnaire, est disproportionné et constitue un manquement.
Angle contre-intuitif. Conserver trop peu est aussi dangereux que conserver trop longtemps. L'employeur qui purge ses données de pointage à un an se prive de sa propre preuve en cas de litige prud'homal portant sur des heures supplémentaires réclamées sur trois ans. La durée de conservation doit être calibrée sur la prescription sociale, pas en dessous — sinon la conformité RGPD affaiblit la position sociale. C'est exactement l'inverse de l'intuition « moins je garde, mieux c'est ».
Contentieux-types : où se joue la responsabilité de l'employeur
Trois configurations de litige reviennent systématiquement.
Contentieux prud'homal — les heures supplémentaires. Le salarié réclame des rappels sur trois ans. Si le système d'enregistrement est jugé non fiable (données modifiables sans traçabilité, absence d'horodatage certain, dispositif contesté dans sa mise en place), le juge peut l'écarter et statuer sur les seuls éléments produits par le salarié. La qualité technique et procédurale du dispositif est ici décisive.
Contentieux probatoire — la preuve illicite. L'employeur produit les relevés de pointage pour justifier une sanction ou un licenciement (retards, absences). Si le dispositif n'a pas été porté à la connaissance du salarié, ou s'il a été mis en place sans consultation du CSE, la preuve peut être écartée. La production d'une preuve issue d'un dispositif illicite n'est admise que si elle est indispensable à l'exercice du droit de la preuve et proportionnée au but poursuivi — appréciation stricte du juge.
Contentieux CNIL — le manquement RGPD. Contrôle sur place ou sur pièces, plainte d'un salarié, ou signalement du CSE. Les manquements typiquement relevés : base légale erronée, surcollecte, absence d'information, conservation excessive, absence d'AIPD. La sanction est autonome : elle ne dépend d'aucun préjudice individuel démontré.
Procédure de mise en conformité en sept étapes
Pour un déploiement ou une régularisation, la séquence suivante structure le dossier de compliance prouvable.
- Cartographier la finalité. Écrire noir sur blanc à quoi sert le dispositif (décompte du temps, gestion de la paie, contrôle des présences). Une finalité floue rend tout le reste indéfendable.
- Qualifier la base légale. Retenir l'intérêt légitime ou l'obligation légale — jamais le consentement. Documenter le test de mise en balance (balance test) pour l'intérêt légitime.
- Appliquer la minimisation. Écarter biométrie et géolocalisation sauf nécessité démontrée. Limiter les champs collectés au strict décompte horaire.
- Fixer la durée de conservation. Base active limitée à la gestion de paie ; archivage intermédiaire calé sur la prescription triennale (L.3245-1).
- Informer et consulter. Note d'information individuelle datée + consultation préalable du CSE avec PV.
- Documenter côté RGPD. Registre des traitements, AIPD si risque élevé, politique de gestion des droits (accès, opposition).
- Tester la fiabilité technique. Horodatage certain, traçabilité des modifications, restriction des accès. Le dispositif doit résister à la contestation prud'homale.
Sur chacune de ces étapes, le cabinet intervient pour auditer l'existant, identifier les manquements et sécuriser la documentation défensive. En amont, DAIRIA IA répond aux questions de qualification (base légale, durée de conservation, articulation prescription) en citant les textes applicables ; elle outille le service RH pour cadrer le dossier avant l'intervention de nos avocats.
Questions fréquentes
Faut-il déclarer une pointeuse à la CNIL avant de l'installer ?
Non, le régime de déclaration préalable a disparu avec le RGPD. L'obligation est désormais d'inscrire le traitement au registre des traitements et, si le contrôle systématique des horaires engendre un risque élevé, de réaliser une analyse d'impact (AIPD) conservée en interne et présentable en cas de contrôle.
Un salarié peut-il refuser de badger ?
Sur une base d'intérêt légitime, le salarié dispose d'un droit d'opposition que l'employeur doit examiner au regard de sa situation particulière. Un refus systématique et non justifié peut néanmoins constituer un manquement disciplinaire dès lors que le dispositif est licite et proportionné. Chaque opposition s'apprécie individuellement.
Les relevés de pointage suffisent-ils à prouver les heures supplémentaires ?
Ils constituent un élément central mais non exclusif. Sous L.3171-4, l'employeur doit fournir des éléments objectifs ; un relevé fiable et infalsifiable pèse fortement. En revanche, un système dont les données sont modifiables sans traçabilité peut être écarté par le juge.
Peut-on conserver les données de pointage cinq ans « au cas où » ?
Pas en base active. La conservation quotidienne doit se limiter à la gestion de la paie. Un archivage intermédiaire à accès restreint peut couvrir la prescription triennale des salaires (L.3245-1). Conserver toutes les données accessibles pendant cinq ans est disproportionné.
La reconnaissance faciale pour pointer est-elle autorisée ?
En principe non pour le simple décompte du temps de travail. La biométrie relève des données sensibles et son usage est réservé à des enjeux de sécurité élevés. Recourir à un procédé biométrique pour la seule gestion des horaires est considéré comme disproportionné.
Que risque l'employeur qui n'a pas consulté le CSE ?
Deux risques cumulés : un délit d'entrave et l'inopposabilité du dispositif comme mode de preuve. Un relevé de pointage issu d'un système installé sans consultation préalable du CSE peut être écarté par le juge prud'homal.
Le télétravail change-t-il les obligations d'enregistrement du temps ?
L'obligation de décompte demeure, mais les modalités doivent respecter la vie privée du salarié à domicile. Le suivi ne peut pas justifier une surveillance permanente ni une géolocalisation. Un système déclaratif ou un pointage logiciel proportionné est privilégié.