Cass. soc. 18 mars 2026 — Géolocalisation et temps de travail

Fait vérifiable. Le 18 mars 2026, la Chambre sociale de la Cour de cassation (n° 24‑18.976) admet l’usage d’un système de géolocalisation pour contrôler la durée du travail lorsque les salariés n’ont pas de liberté d’organisation et qu’aucun autre dispositif « objectif, fiable et accessible » n’existe. Voir l’arrêt sur Légifrance.

L’affaire

Un employeur a utilisé un outil enregistrant la position de distributeurs « toutes les dix secondes » durant leurs tournées afin de contrôler le temps de travail. La Cour confirme la licéité du dispositif car (i) les salariés ne disposaient pas d’une liberté d’organisation de leur temps et (ii) aucune alternative ne permettait un contrôle « objectif, fiable et accessible » au sens de l’arrêt C‑55/18 (CCOO), fondé sur la directive 2003/88/CE et la directive-cadre 89/391/CEE.

Le raisonnement juridique

• Proportionnalité et nécessité. L’article L.1121‑1 C. trav. (atteinte proportionnée aux libertés) est lu à la lumière de C‑55/18: l’employeur doit recourir à un moyen « objectif, fiable et accessible » pour mesurer le temps de travail lorsqu’un contrôle est requis. La géolocalisation n’est licite qu’en l’absence d’alternative praticable et si le salarié ne s’auto-organise pas. Référence: Cass. soc., 18 mars 2026.
• Base légale et minimisation (RGPD). En pratique, la base n’est pas le consentement (déséquilibre hiérarchique) mais l’intérêt légitime (art. 6(1)(f) RGPD), sous réserve d’un test de nécessité/mise en balance et de garanties (désactivation hors temps, fréquence limitée). L’EDPB 05/2020 rappelle que le consentement n’est généralement pas « libre » en emploi: EDPB 05/2020.
• Données de mobilité: exigences EDPB. Les lignes directrices « véhicules connectés et mobilité » imposent minimisation, séparation des finalités et réglages protecteurs par défaut: EDPB 01/2020.
• Luxembourg: AIPD obligatoire. La CNPD considère la géolocalisation comme un cas typique d’AIPD (traçage d’individus) au titre de l’article 35(4) RGPD: CNPD — AIPD.

Ce que ça change concrètement (Luxembourg)

1. Finalité prioritaire et documentée. Le contrôle de la durée du travail est légitime si vous démontrez l’absence de liberté d’organisation et l’inexistence d’un autre moyen « objectif, fiable et accessible » (badgeage, application déclarative, planification outillée). Intégrez la grille C‑55/18 dans l’analyse de nécessité et l’AIPD. Référence: arrêt du 18/03/2026.
2. Base légale RGPD. Préférez l’intérêt légitime (art. 6(1)(f)), appuyé par un test de mise en balance solide (risque de suivi continu, effets disciplinaires). Voir EDPB 05/2020. Pour cadrer et documenter ces choix au Luxembourg, voir les exigences RGPD (registre et AIPD).
3. AIPD obligatoire. Attendez-vous à justifier la proportionnalité (zones, fréquence — éviter « toutes les 10 s » si 1–2 min suffisent), la désactivation hors horaires/zones, et la minimisation des destinataires. Référence: CNPD — AIPD. Un mandat DPO certifié peut sécuriser l’analyse et la gouvernance des risques.
4. Paramétrage technique (privacy by design). Enregistrer uniquement pendant la plage de travail, prévoir un bouton « pause privée », séparer strictement les finalités (RH ≠ sûreté/marketing), journaliser les accès. Référence: EDPB 01/2020.
5. Information et droits. Informer précisément (période/fréquence, finalités, base légale, conservation, critères disciplinaires) et organiser l’exercice des droits (accès à l’historique, rectification). Tenez le registre (art. 30) et la politique de rétention à jour.

Pièges fréquents observés

• Confondre « efficacité » et « nécessité ». Le caractère « moins efficace » d’une alternative ne suffit pas à l’écarter; documentez les autres moyens et les raisons techniques de leur inadaptation (cf. Cass. soc., 18/03/2026).
• Consentement en contexte d’emploi. Les bannières d’acceptation ne rendent pas le consentement valable en raison du déséquilibre hiérarchique (cf. EDPB 05/2020).
• Paramètres intrusifs par défaut. Fréquence excessive, suivi hors horaires, absence de « pause privée » contreviennent aux principes by design/by default (cf. EDPB 01/2020).
• AIPD lacunaire. Évitez les modèles génériques sans test de nécessité/légitimité ni scénarios d’abus; la CNPD exige une AIPD circonstanciée (liste art. 35(4)).
• Absence de preuves d’effectivité. Sans journaux d’accès et audits internes, difficile de prouver les habilitations et la purge à l’échéance.

Sources officielles

• Cour de cassation, 18 mars 2026, n° 24‑18.976
• Directive 2003/88/CE et Directive 89/391/CEE
• CJUE, C‑55/18 (CCOO), résumé
• EDPB 05/2020 (Consent)
• EDPB 01/2020 (Mobilité)
• CNPD Luxembourg — AIPD (art. 35(4))

En synthèse

L’arrêt du 18 mars 2026 fournit un cadre opératoire exigeant pour justifier la géolocalisation comme outil de mesure du temps de travail: base légale par intérêt légitime, AIPD documentée, paramétrage conforme EDPB, information renforcée et contrôles d’accès vérifiables. Pour un accompagnement opérationnel au Luxembourg, vous pouvez mobiliser un DPO Luxembourg et nous contacter.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.