Auditer les trajets des salariés sans enfreindre le RGPD : le mode d'emploi

Pour bâtir un plan de mobilité crédible, vous diffusez généralement un questionnaire aux salariés : adresse de domicile (ou code postal précis), horaires d'arrivée et de départ, mode de transport actuel, distance, contraintes personnelles. C'est la matière première de votre diagnostic.

Or ce fichier est une concentration de données à caractère personnel au sens du Règlement général sur la protection des données. Pire, certaines réponses peuvent révéler indirectement des données dites sensibles : un salarié indiquant qu'il ne peut pas venir à vélo « pour raison de santé » donne une information médicale ; un parent isolé déposant ses enfants révèle sa situation familiale. La géolocalisation du domicile est en soi une donnée particulièrement protégée.

Beaucoup de coachs manipulent ce fichier comme un simple tableur de travail, sans réaliser qu'ils sont, à ce moment précis, soumis à un cadre juridique strict dont le non-respect expose à des sanctions et à des litiges.

Quand une entreprise vous confie les données de ses salariés pour réaliser l'audit, elle reste le responsable de traitement : c'est elle qui décide pourquoi et comment les données sont utilisées. Vous, qui les traitez pour son compte, êtes sous-traitant au sens de l'article 28 du RGPD.

Ce statut emporte des obligations précises :

• ne traiter les données que pour la finalité prévue (l'audit de mobilité), jamais pour autre chose ;
• garantir leur sécurité (chiffrement, accès restreint, pas de stockage sur un cloud personnel non sécurisé) ;
• ne pas faire appel à un autre sous-traitant sans autorisation (par exemple un outil de cartographie en ligne) ;
• aider le client à répondre aux demandes des salariés (droit d'accès, de suppression) ;
• supprimer ou restituer les données à la fin de la mission.

Idéalement, un contrat de sous-traitance (ou une clause dans votre devis) formalise ces engagements. Son absence ne vous exonère pas : la responsabilité existe par le seul fait de traiter les données. En cas de manquement, la CNIL peut vous sanctionner directement en tant que sous-traitant.

La règle d'or du RGPD est la minimisation : ne collecter et ne conserver que ce qui est strictement nécessaire. Or, pour produire un plan de mobilité, vous avez besoin de comprendre des flux, des distances et des zones de provenance, pas de l'identité de chaque salarié.

Concrètement, dès la collecte ou juste après, vous pouvez :

• remplacer les adresses nominatives par des codes postaux ou des zones de provenance agrégées ;
• raisonner par tranches de distance (« 0-5 km », « 5-10 km ») plutôt que par adresses exactes ;
• présenter les résultats sous forme de cartes de chaleur et de statistiques, jamais de listes nominatives ;
• supprimer le fichier source identifiant une fois l'analyse agrégée réalisée.

Un plan de mobilité bien conçu ne contient aucune donnée nominative dans son livrable final. Si le vôtre cite des salariés par leur nom, c'est un signal d'alerte.

L'anonymisation n'est pas qu'une obligation : c'est aussi un argument commercial. Garantir au client et aux salariés que leurs données seront agrégées et détruites lève une résistance majeure à la participation aux enquêtes mobilité.

Imaginez : vous travaillez le fichier des 200 salariés sur votre ordinateur portable. Il est volé, ou votre boîte mail est piratée et le tableur en pièce jointe se retrouve dans la nature. Les adresses personnelles, horaires et habitudes de centaines de personnes sont exposés.

Les conséquences s'enchaînent vite :

• obligation de notifier la violation à votre client (responsable de traitement), qui devra peut-être la déclarer à la CNIL sous 72 heures ;
• information des personnes concernées si le risque est élevé ;
• réclamations de salariés s'estimant lésés, voire plaintes ;
• mise en cause de votre responsabilité de sous-traitant pour défaut de sécurisation ;
• atteinte durable à votre réputation auprès des entreprises clientes.

C'est le terrain de l'assurance cyber. Elle prend en charge les frais d'expertise pour comprendre l'incident, l'accompagnement juridique sur les notifications, la gestion de crise et de communication, ainsi que votre défense face aux réclamations. Pour un indépendant, affronter seul une violation de données touchant des centaines de personnes est tout simplement ingérable.

Tous les coachs mobilité n'ont pas le même profil de risque. Celui qui anime surtout des ateliers et encadre des sorties est d'abord exposé sur le terrain physique et le conseil. Celui qui réalise de gros audits manipulant les données de centaines de salariés porte un risque numérique majeur.

Pour ce second profil, deux couvertures se complètent :

• la RC Pro, qui couvre le manquement à la confidentialité et la faute professionnelle dans l'exécution de la mission ;
• l'assurance cyber, qui prend le relais sur la dimension technique : violation de données, frais de notification, gestion de crise, défense face aux autorités et aux personnes concernées.

Si vous utilisez par ailleurs des outils numériques structurants (logiciel de cartographie, plateforme d'enquête, base de données clients), pensez aussi à protéger votre matériel informatique, dont la perte ou la panne peut bloquer une mission en cours.

Le bon réflexe : avant chaque mission impliquant des données de salariés, vous poser trois questions. Combien de personnes concernées ? Où sont stockées les données ? Mon contrat couvre-t-il une violation ? Y répondre en amont, c'est transformer un risque flou en risque maîtrisé.