1/ Finalités du dispositif.
L’article L1121-1 du Code du travail dispose que :
« Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».
Selon la CNIL, tout dispositif de contrôle de l’activité des salariés doit respecter le principe de minimisation prévu par l’article 5 (1.c) du RGPD.
Les finalités de l’utilisation du logiciel de caisse doivent être déterminées, explicites et légitimes, les données collectées ne devant pas permettre une utilisation incompatible avec les finalités prédéfinies [1].
Ainsi, les données collectées dans le cadre de l’utilisation du logiciel de caisse doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités identifiées.
Les logiciels de caisses permettent de surveiller le salarié et la Cour de cassation considère que l’employeur ne peut pas utiliser des moyens de surveillance clandestins pour contrôler l’activité des salariés.
En effet, tous les dispositifs de surveillance doivent être portés à la connaissance des salariés [2].
NB : L’utilisation d’un logiciel de caisse peut parfois permettre, indirectement, de géolocaliser le salarié (en fonctions des dispositifs disponibles sur le marché).
2/ Formalisme à respecter.
Le CSE doit être informé et consulté, préalablement à la décision de mise en place d’un logiciel de caisse, dans la mesure où celui-ci permet un contrôle de l’activité des salariés [3].
Par ailleurs, chaque salarié doit être individuellement informé, conformément à l’article L1222-4 du Code du travail selon lequel :
« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ».
Cette information peut figurer dans le contrat de travail, dans un avenant ou dans une lettre adressée ou remise au salarié.
Dans un arrêt du 13 septembre 2023 [4], la Cour de cassation a affirmé que si l’employeur a le droit de contrôler et surveiller l’activité de ses salariés pendant le temps de travail, il ne peut utiliser un système de géolocalisation pour assurer un contrôle de l’activité des salariés qui n’a pas été porté préalablement à leur connaissance.
3/ Utilisation du dispositif.
Les salariés doivent être formés à l’utilisation des logiciels de caisse, l’employeur devant assurer l’adaptation des salariés à leur poste de travail et veiller au maintien de leur capacité à occuper un emploi [5].
L’accès aux informations du logiciel de caisse doit être limité au personnel habilité, tel que le responsable hiérarchique ou l’employeur.
Pour éviter que des personnes non autorisées accèdent aux informations du dispositif, il est impératif de prendre des mesures de sécurité.
Par exemple, l’accès aux données personnelles contenues dans le logiciel de caisse doit se faire avec un identifiant et un mot de passe.
Il faut également impérativement prévoir :
- Une politique d’habilitation ;
- Une sécurisation des échanges ;
- Une journalisation des accès aux données et des opérations effectuées.
Les outils ou logiciels développés par des prestataires restent sous la responsabilité de l’employeur qui doit vérifier que ces outils ou logiciels respectent les obligations légales, en particulier les mesures de sécurité.
Le logiciel de caisse doit satisfaire aux conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données, notamment en vue du contrôle de l’administration fiscale [6].
Pour sécuriser les données, plusieurs mesures de protection peuvent être mises en place :
- Protection de l’accès au serveur ;
- Gestion des accès informatiques ;
- Création d’un système de sauvegarde ;
- Création d’une solution de récupération de données.
4/ Durée de conservation des données.
Les entreprises doivent conserver les livres, registres, documents ou pièces sur lesquelles peuvent s’exercer les droits de communication, d’enquête et de contrôle de l’administration, y compris les données issues des logiciels de caisse, pendant une durée de 6 ans à compter de la date de la dernière opération mentionnée sur les livres ou registres ou de la date à laquelle les documents ou pièces ont été établis [7].
L’article 5 du RGPD précise que les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
Il est donc conseillé de conserver les données de caisse pendant au moins 6 ans de manière à répondre aux exigences de l’administration fiscale.
Les données doivent, par la suite, être supprimées.
5/ Exigences liées au RGPD.
Si l’employeur a désigné un délégué à la protection des données (DPO), il doit être associé à la mise en œuvre du dispositif.
Le DPO est chargé de veiller au respect du RGPD, ce qui inclut donc la supervision des traitements de données personnelles effectués par le logiciel de caisse [8].
Le DPO doit également informer et conseiller l’employeur ainsi que les salariés sur leurs obligations en matière de protection des données.
Il surveille la mise en œuvre et l’application des politiques de protection des données [9].
La désignation d’un délégué est obligatoire pour :
- Les autorités ou les organismes publics, à l’exception des juridictions dans l’exercice de leurs fonctions juridictionnelles ;
- Les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle ;
- Les organismes dont les activités de base les amènent à traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations pénales et infractions.
Enfin, le logiciel de caisse doit être inscrit au registre des activités de traitement tenu par l’employeur.
Le registre est prévu par l’article 30 du RGPD et participe à la documentation de la conformité.
Document de recensement et d’analyse, il doit refléter la réalité des traitements de données personnelles de l’entreprise et permettre d’identifier précisément :
- Les parties prenantes (représentant, sous-traitants, co-responsables, etc.) qui interviennent dans le traitement des données ;
- Les catégories de données traitées ;
- A quoi servent ces données, qui accède aux données et à qui elles sont communiquées ;
- Combien de temps elles sont conservées ;
- Comment elles sont sécurisées.
La CNIL propose un modèle de registre de base destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures (TPE-PME, associations, petites collectivités, etc.).
Ce document permet de satisfaire au socle d’exigences posées par l’article 30 du RGPD.
