Accueil › Blog › RGPD et données des salariés

RGPD : ce que ton employeur peut (et ne peut pas) faire de tes données

Publié le 20 octobre 2026 · par Amine, AI business analyst en CAC 40 · 8 min de lecture

Quand tu signes ton contrat, tu ne signes pas un blanc-seing sur ta vie privée. Pourtant, la frontière entre ce que ton employeur a le droit de savoir et ce qu'il n'a pas le droit de collecter reste floue pour la plupart des salariés. Le RGPD ne laisse aucune zone grise : il pose une règle simple, et la CNIL la fait respecter avec des sanctions qui se comptent désormais en millions d'euros.

Ce que ton employeur a le droit de savoir sur toi

Commençons par le cadre, parce que c'est lui qui rend tout le reste compréhensible. Le traitement des données des salariés n'est pas laissé au bon vouloir de chacun : il est encadré par le RGPD, et plus précisément par son article 88, qui renvoie aux États le soin de fixer les règles propres au monde du travail. En France, la référence s'appelle le référentiel relatif aux traitements de gestion du personnel, publié par la CNIL.

Ce référentiel trace la liste de ce qu'un employeur peut légitimement collecter. Ton identité et tes coordonnées, bien sûr. Ta situation familiale, mais uniquement dans ce qui sert à gérer tes droits sociaux — allocations, congés, couverture. Tes diplômes et ta formation. Ton poste, ta rémunération, tes évaluations, ton temps de travail. Tout cela se tient : ce sont les données nécessaires pour te payer, te former, organiser ton travail.

Le mot important, c'est nécessaires. Un employeur ne collecte pas « ce qui peut servir un jour » : il collecte ce qui sert à un objectif précis, déclaré à l'avance. Et il doit te le dire. La transparence n'est pas un détail de conformité, c'est un droit : avant de traiter tes données, l'employeur doit t'informer de ce qu'il collecte, de pourquoi, et de combien de temps il le garde.

La règle qui change tout : la minimisation

Tout l'équilibre du RGPD tient dans un principe que tu n'as probablement jamais vu écrit nulle part, et qui décide pourtant de presque tout : la minimisation. L'article 5 du règlement dit que les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités ». Traduction : on ne collecte pas ce qui est utile, on collecte ce qui est indispensable.

La géolocalisation des véhicules est le cas d'école. La CNIL l'encadre de façon très précise : géolocaliser un véhicule de service n'est licite que pour des finalités identifiées — suivre le temps de travail, protéger le véhicule, optimiser des tournées. En revanche, suivre en continu la position d'un salarié « pour savoir où il est » n'est pas une finalité recevable. C'est exactement le genre d'écart que la CNIL sanctionne.

Et elle le fait régulièrement. En 2025, la CNIL a publié le bilan de dix sanctions prononcées dans le cadre de sa procédure simplifiée : six d'entre elles concernaient la surveillance des salariés. Qu'il s'agisse de vidéosurveillance ou de géolocalisation des véhicules, le manquement retenu était le même — la violation du principe de minimisation. Autrement dit : des employeurs qui en font plus que nécessaire, et qui le paient.

Ce qu'il n'a pas le droit de faire

Il y a ce que la minimisation interdit de collecter en trop. Et il y a ce qui est, par nature, hors du champ. Le RGPD range dans une catégorie à part les données sensibles : ta santé, tes opinions politiques, ton appartenance syndicale, ta religion, tes données biométriques. En principe, leur collecte par un employeur est tout simplement interdite. Il existe des exceptions étroites — la médecine du travail, par exemple, traite ta santé parce que la loi le prévoit — mais elles restent l'exception.

La surveillance, elle, n'est pas interdite par principe : elle est encadrée, et c'est là que ça se joue. Un employeur peut contrôler l'activité, à condition que le dispositif soit proportionné, justifié et porté à ta connaissance. Ce qui bascule dans l'illégal, c'est le contrôle continu, opaque, qui mesure des comportements plutôt que des résultats.

Deux sanctions le montrent mieux qu'un long discours. La première : Amazon France Logistique, condamnée par la CNIL à 32 millions d'euros fin 2023 pour un système de surveillance de l'activité et des performances « excessivement intrusif », qui mesurait les temps d'inactivité des salariés jusqu'à la seconde. La seconde, plus récente : une société du secteur immobilier sanctionnée de 40 000 euros en décembre 2024, pour un logiciel qui comptabilisait des périodes d'« inactivité » supposée, réalisait des captures d'écran régulières, et filmait les salariés en continu. Deux tailles d'entreprise, deux montants, un même motif : la surveillance disproportionnée.

Il y a enfin une ligne rouge plus connue mais tout aussi ferme : une décision entièrement automatisée qui produit un effet juridique sur toi — un licenciement, un refus, une sanction — est interdite sans intervention humaine, en vertu de l'article 22 du RGPD. J'ai écrit un article entier là-dessus, parce que c'est l'un des points où le droit protège le plus concrètement.

Tes droits, concrètement

Le RGPD n'est pas seulement un code de la route pour les employeurs : c'est aussi une boîte à outils pour toi. Et elle est plus fournie qu'on ne le croit.

D'abord, le droit à l'information : avant même de collecter, l'employeur doit te dire quoi, pourquoi, pour combien de temps. Ensuite, le droit d'accès (article 15) : tu peux demander la liste des données qu'il détient sur toi, et il a un mois pour répondre. Puis la rectification (article 16), si une donnée est fausse ou incomplète. L'opposition (article 21), dans certains cas. Et l'effacement (article 17), quand les données ne sont plus nécessaires.

Ton interlocuteur désigné, c'est le délégué à la protection des données, le DPO. La plupart des entreprises ont l'obligation d'en désigner un, et son contact doit t'être accessible. C'est vers lui que tu te tournes en premier, par écrit, en décrivant précisément ce que tu demandes. S'il ne répond pas ou refuse, tu portes réclamation auprès de la CNIL, qui peut intervenir, mettre en demeure, et sanctionner.

Ce que ces droits ont en commun, c'est qu'ils ne servent qu'à une condition : les exercer. Personne ne va te proposer spontanément de vérifier ce que ton employeur détient sur toi. C'est un droit qu'on prend, pas un droit qu'on reçoit.

Les sanctions, pour de vrai

On aurait tort de lire ces règles comme une théorie. Les montants sont là pour dissuader, et ils sont proportionnés au chiffre d'affaires : le RGPD prévoit des amendes pouvant atteindre 4 % du chiffre d'affaires annuel mondial, plafonnées à 20 millions d'euros, pour les manquements les plus graves.

Amazon France Logistique en a fait les frais avec ses 32 millions d'euros. La PME de l'immobilier, avec ses 40 000 euros. Et les six sanctions de 2025 sur la surveillance des salariés montrent que ce n'est pas un accident isolé : c'est une pratique de contrôle devenue ordinaire, sur laquelle le régulateur a décidé de resserrer l'étau.

Ce qui compte pour toi n'est pas le montant de l'amende, c'est ce qu'elle révèle. La surveillance disproportionnée n'est pas une hypothèse d'école : elle existe, elle est installée dans des secteurs entiers, et elle est illégale. Savoir où s'arrête le droit de ton employeur sur tes données, ce n'est pas de la culture juridique : c'est la première protection dont tu disposes au travail.

Questions fréquentes

Écrit par Amine Lounnas

AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Mon métier consiste à identifier quelles tâches une entreprise peut automatiser ; ce site retourne cette méthode vers les salariés.

Qui écrit ici, et comment →