RGPD et suivi du temps : ce que les freelances et petites équipes de l'UE doivent savoir

Réponse rapide

Enregistrer ses heures est en général compatible avec le RGPD. Les ennuis commencent avec ce qu'un outil collecte en plus et avec l'usage que vous en faites. Pour un suivi du temps conforme au RGPD, trois habitudes couvrent l'essentiel : choisissez une base légale avant de commencer, ne collectez que ce que la finalité exige, et dites aux personnes ce que vous enregistrez et quand vous le supprimez.

Il s'agit d'informations générales, pas d'un avis juridique. Le droit du travail et la protection des données varient d'un pays de l'UE à l'autre : si vous suivez le temps d'autres personnes, consultez l'autorité de protection des données de votre pays.

Comment ça marche concrètement

Le RGPD s'applique dès que vous traitez des données personnelles d'autres personnes. Noter uniquement vos propres heures pour vos propres factures, ce n'est pas la même chose que consigner le temps d'un sous-traitant ou d'un salarié. Si vous travaillez seul, l'essentiel de ce qui suit ne vous concerne que lorsque le personnel d'un client ou vos collaborateurs entrent en jeu.

Choisissez une base légale

Tout traitement a besoin d'une base juridique. Le Comité européen de la protection des données en cite six : consentement, contrat, obligation légale, mission d'intérêt public, intérêts vitaux et intérêts légitimes. Pour le suivi du temps, deux conviennent le plus souvent :

• Contrat. Enregistrer les heures dont vous avez besoin pour rémunérer quelqu'un ou facturer un client. Le traitement doit être réellement nécessaire au contrat, et mieux vaut noter pourquoi.
• Intérêts légitimes. Budgétiser des projets ou planifier la charge de travail. Cela exige une mise en balance documentée : l'objectif est-il licite et réel, le suivi est-il nécessaire pour l'atteindre, et prime-t-il sur ce que la personne peut raisonnablement attendre ?

Le consentement demande le plus de prudence. Selon le guide du CEPD, en principe, les salariés ne peuvent pas consentir librement au traitement par leur employeur, car ils peuvent se sentir dans l'impossibilité de refuser. Si quelqu'un ne peut pas dire non sans conséquences, ce consentement n'est pas valable.

Ne collectez que le nécessaire

La présentation des principes par la Commission indique que les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard de la finalité. Pour une feuille de temps, cela donne : projet, client, heures de début et de fin, total d'heures. Les captures d'écran, l'enregistrement des frappes, la géolocalisation et les données biométriques sont bien plus difficiles à justifier pour facturer ou budgétiser.

La même page précise que la finalité doit être précise. Des heures collectées pour la facturation ne devraient pas devenir discrètement une pièce dans une procédure disciplinaire sans finalité compatible ni nouvelle base. Pour un exemple d'usage légitime de relevés comme preuve, lisez conserver des preuves quand un client conteste vos heures.

Informez et fixez la durée de conservation

Les personnes doivent savoir ce que vous enregistrez, pourquoi, sur quelle base et pour combien de temps, dans une notice concise et claire. Leurs droits d'accès, de rectification, d'effacement et d'opposition demeurent. Dans une petite équipe, un paragraphe exact dans le document d'accueil suffit.

Sur la conservation, le guide recommande de garder les données le moins longtemps possible et de fixer des délais d'effacement ou de réexamen. Les règles fiscales ou du travail peuvent imposer de garder les feuilles de temps plus longtemps. Choisissez une date. Notez-la. Supprimez à l'échéance. Si un outil tiers traite les données pour vous, signez un contrat de sous-traitance avec le fournisseur.

Quand l'utiliser (et quand s'en abstenir)

Le simple suivi des heures convient bien quand la finalité est claire :

• Facturer des clients à partir des heures enregistrées.
• Comparer les estimations aux heures réelles d'un projet.
• Voir si une équipe de trois personnes est surchargée, comme dans suivre le temps dans une petite équipe sans microgestion.

Ralentissez, ou renoncez, quand le suivi devient de la surveillance. La surveillance large de l'activité, les données de localisation, la biométrie ou les scores de productivité automatisés augmentent le risque. Une analyse d'impact relative à la protection des données (AIPD) vaut alors la peine avant d'activer quoi que ce soit. Les scores automatiques qui pèsent sur des décisions d'emploi peuvent aussi relever des règles du RGPD sur les décisions automatisées : gardez donc un humain dans la boucle.

Le suivi automatique se situe entre les deux. Il peut être utile, mais plus il enregistre en arrière-plan, plus il faut le justifier. Notre article sur jusqu'où aller avec le suivi automatique du temps traite ce compromis du côté de la précision.

Un test simple : pourriez-vous expliquer le suivi à la personne concernée en deux phrases, et le trouverait-elle raisonnable ? Sinon, collectez moins.

Où Pomlo s'intègre

Pomlo est un outil de suivi du temps pour iOS, Android et le web, conçu autour du type de données que cet article considère comme le choix sûr : des heures par projet et par client. Le démarrage et l'arrêt en un geste gardent le journal simple, et les rapports montrent où est passée la semaine, de sorte que vous pouvez budgéter des projets et expliquer une facture sans collecter autre chose que des heures.

Quelques points qui comptent ici :

• Projets et clients : vous classez les heures selon la personne que vous facturez, ce qui correspond à la base contractuelle.
• Facturation intégrée : elle transforme les heures enregistrées en facture en un geste.
• Respect de la vie privée : vos données ne sont ni vendues ni utilisées pour entraîner des modèles.

Il vous reste à rédiger votre propre notice, à choisir votre base légale et à fixer votre date de conservation. Un outil ne peut pas les choisir à votre place, alors notez-les avant de commencer. Téléchargez Pomlo sur l'App Store ou Google Play et commencez par un simple journal d'heures.

Questions fréquentes

Le RGPD s'applique-t-il si je ne suis que mon propre temps en tant que freelance ?

Suivre uniquement vos propres heures pour votre usage n'est en général pas ce que vise le RGPD. Il s'applique dès que vous traitez des données personnelles d'autres personnes, comme le personnel d'un client ou vos sous-traitants. Les règles varient selon les pays : renseignez-vous auprès de votre autorité nationale de protection des données.

Mon équipe peut-elle consentir au suivi du temps ?

Le consentement est une base fragile pour les salariés, car ils peuvent se sentir dans l'impossibilité de refuser. Le contrat, ou un intérêt légitime documenté, convient en général mieux.

Combien de temps dois-je conserver les feuilles de temps ?

Seulement le temps nécessaire à la finalité indiquée, avec une date fixe de réexamen ou d'effacement. Les règles fiscales ou du travail peuvent exiger plus longtemps : vérifiez lesquelles vous concernent.

Faut-il une AIPD pour un outil de suivi du temps ?

De simples saisies d'heures et de projets présentent moins de risques. Une surveillance large de l'activité, la localisation ou la biométrie augmentent le risque et rendent une AIPD recommandée.