Géolocalisation des agents : ce qui est admissible, ce qui ne l'est pas

Savoir où sont ses agents est un besoin légitime d'exploitation. Suivre en continu la position d'un travailleur est autre chose, et le droit suisse fait la différence. Entre les deux se trouve une zone où beaucoup d'agences avancent sans avoir tranché — jusqu'au jour où quelqu'un pose la question.

Le point de départ n'est pas la protection des données, c'est le droit du travail. L'ordonnance 3 relative à la loi sur le travail encadre les systèmes de surveillance : ceux destinés à surveiller le comportement des travailleurs à leur poste sont proscrits. Lorsqu'un système est nécessaire pour d'autres raisons — sécurité, organisation —, il doit être conçu et disposé de manière à ne pas porter atteinte à la santé et à la liberté de mouvement.

Cette formulation est plus subtile qu'une interdiction. Elle ne dit pas « pas de géolocalisation » : elle dit que la surveillance du comportement ne peut pas être la finalité, et qu'un dispositif justifié par une autre finalité doit être calibré pour ne pas produire cet effet.

S'y ajoute l'article 328b du Code des obligations : l'employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur son aptitude à remplir son emploi ou sont nécessaires à l'exécution du contrat.

Vous préférez voir plutôt que lire ? Nous vous montrons ShieldOne sur vos propres cas, en 30 minutes.

Le test à conduire est en trois étapes, et il tient sur une page. Quelle finalité précise ? « Savoir où sont les agents » n'en est pas une ; « localiser un agent isolé lorsqu'une alarme est déclenchée » en est une. Le moyen est-il apte et nécessaire ? Existe-t-il une mesure moins intrusive qui atteint le même but ? L'atteinte est-elle proportionnée au bénéfice ?

Appliqué à la géolocalisation, ce test conduit presque toujours au même résultat : une localisation déclenchée par un événement — alarme, appel de détresse, prise de service — répond au besoin de sécurité avec une atteinte bien moindre qu'un suivi permanent.

Le suivi permanent, lui, se justifie difficilement pour un agent de sécurité, parce qu'il produit exactement l'effet que l'ordonnance vise : un enregistrement continu du comportement au travail. Une agence qui l'envisage doit pouvoir expliquer pourquoi rien de moins intrusif ne convenait — et le mettre par écrit.

Dans la plupart des cas, le besoin réel n'est pas « où est l'agent maintenant ? » mais « l'agent a-t-il pris son service, est-il passé aux endroits prévus, va-t-il bien ? ». Trois mécanismes y répondent : le pointage de prise et de fin de service, la validation de points de contrôle le long du parcours, et le contact planifié en milieu de vacation.

Ces trois mécanismes produisent des événements datés plutôt qu'une trace continue : ils répondent aux mêmes questions d'exploitation, ils s'expliquent facilement aux agents, et ils tiennent devant une question de l'inspection du travail.

Ils ont un autre avantage : ils fonctionnent hors ligne. Le pointage et la validation de rondes remontent dès que la connexion revient, chaque geste portant l'heure de son exécution et l'heure de réception par le serveur. Un dispositif de localisation continue, lui, tombe précisément là où l'on en aurait besoin — au sous-sol.

Cinq conditions rendent un dispositif défendable. Une finalité écrite, sécuritaire, formulée précisément. Une information préalable et complète du personnel : ce qui est collecté, quand, par qui c'est consulté, combien de temps c'est conservé, et ce que cela ne sert pas à faire. Une limitation temporelle : la localisation s'active pendant le service et pas au-delà.

Un accès restreint et tracé : la position d'un agent n'a aucune raison d'être visible de tous les responsables. Une durée de conservation courte, réellement appliquée — et jamais annoncée si le système ne l'applique pas.

Une sixième condition, non juridique mais décisive : ne jamais utiliser ces données à d'autres fins que celle annoncée. Une position collectée pour la sécurité et ressortie un jour dans un entretien disciplinaire détruit la confiance de toute l'équipe, et rend le dispositif inutilisable — les agents laisseront le téléphone dans un local.

C'est l'aspect le plus souvent sous-estimé. Un dispositif de suivi mal introduit produit trois effets immédiats : du contournement — appareil laissé quelque part —, une dégradation du climat, et une perte de crédibilité de tous les autres outils, y compris ceux qui servaient à l'agent.

À l'inverse, un dispositif présenté honnêtement — voici pourquoi, voici ce que ça collecte, voici ce que ça ne fait pas, voici qui peut le voir — se fait accepter, surtout lorsqu'il apporte quelque chose à l'agent lui-même : une remontée de détresse, une preuve de passage qui le protège d'une accusation, un décompte d'heures qu'il n'a plus besoin de défendre.

La règle de communication la plus utile : ne promettez jamais moins que ce que le système fait, et jamais plus que ce qu'il protège. Une agence qui affirme « on ne vous suit pas » alors que le système journalise des positions perd tout, y compris ce qu'elle avait bien fait.

ShieldOne ne fait pas de suivi permanent de position et n'en propose pas. Ce que le produit enregistre, ce sont des événements datés : pointage de prise et de fin de service, validation de points de contrôle, soumission de rapports. Chacun porte l'heure du geste et l'heure de réception par le serveur.

Ce choix n'est pas un manque de fonctionnalité : c'est une position. Un suivi continu de position aurait été plus simple à vendre et plus difficile à défendre — devant l'inspection du travail comme devant les agents. Nous préférons couvrir le besoin réel d'exploitation avec des mécanismes qui ne créent pas ce problème.

Pour le reste, les principes qui gouvernent le produit s'appliquent : les données principales sont hébergées exclusivement en Suisse, à Zurich ; les prestataires tiers sont déclarés destinataire par destinataire dans l'annexe de sous-traitance ; et votre société fixe elle-même les durées de conservation, dans le respect des planchers légaux.

Pointage, points de contrôle et rapports produisent des événements datés plutôt qu'une trace continue : c'est ce qui rend le dispositif explicable aux agents. Le détail du fonctionnement est présenté sur la page d'accueil de ShieldOne.