Aller au contenu principal
Quelle Gestion d’affaires

Temps et CRA

Temps saisi et contrôle des salariés : ce que la CNIL demande

Votre situation : Vous déployez un outil de temps pour facturer, et un dirigeant demande déjà un tableau des heures par salarié.

Vous pouvez utiliser le temps saisi pour facturer, calculer la marge et tenir le décompte, à trois conditions : une finalité écrite, un dispositif proportionné et des salariés informés avant la collecte. Le même fichier ne sert pas d’office à surveiller ou à classer. Selon la CNIL, un relevé de badge de sécurité ne sert pas à vérifier les horaires. Si vous avez un comité social et économique (CSE), vérifiez son information et sa consultation, et faites relire.

Notre avis

Écrivez la finalité avant de déployer, informez avant de collecter, et refusez qu’un tableau de facturation devienne un tableau de contrôle sans examen. Aucun logiciel n’apporte cette conformité. Notre lecture ne vaut pas avis juridique : faites-la relire par votre délégué à la protection des données (DPO) ou votre conseil.

Pourquoi

  • La CNIL rappelle qu’un système de contrôle du temps doit avoir un objectif défini et ne pas servir à d’autres fins.
  • Un relevé de badge de sécurité ne peut pas servir à vérifier les horaires, et ce raisonnement s’étend selon nous aux autres données.
  • Un rapport d’heures par personne change de nature dès qu’il sert à juger cette personne.

Ce qui change le choix

L’avis se durcit en cas de suivi automatique, de captures d’écran ou de mesure d’inactivité. Il s’allège si l’outil ne porte que des jours par mission, vus par le seul manager et la facturation.

L’ordre à suivre

  1. Écrivez à quoi sert chaque donnée avant d’ouvrir les droits.
  2. Informez les salariés avant la mise en service, et traitez la question du CSE avant la décision.
  3. Limitez les accès aux personnes qui en ont besoin, avec des comptes individuels.
  4. Refusez la réutilisation pour classer ou surveiller, tant qu’elle n’a pas été examinée à part.
  5. Faites relire par votre DPO ou votre conseil, surtout en cas de CSE ou de contexte particulier.

De la règle de la CNIL au réglage de votre outil

Dans les pages lues, la CNIL ne consacre rien au logiciel de gestion d’affaires. Elle traite le contrôle des horaires et du temps. Le raisonnement ci-dessous transpose ces principes à vos temps saisis : la transposition est la nôtre, et votre responsable de traitement reste juge.

Les règles lues et leur traduction. La dernière colonne est notre avis.
RègleSourceDans votre outil
Restriction justifiée par la tâche et proportionnée au butCode du travail, L1121-1Ne saisir que le détail utile à la facture et à la marge
Aucune information personnelle collectée par un dispositif non porté à la connaissance du salariéCode du travail, L1222-4Note d’information avant la mise en service
CSE informé des traitements de gestion du personnel, informé et consulté sur les moyens de contrôle de l’activitéCode du travail, L2312-38Question à traiter avant la décision, si vous avez un CSE
Dispositif proportionné, sans usage à d’autres finsFiche CNILFinalités listées par écrit
Accès aux personnes habilitées, avec traçabilitéFiche CNILComptes individuels et droits par rôle
Information sur finalités, base légale, destinataires, durée et droitsFiche CNILCharte ou note de service, comme la fiche le suggère
Pas de surveillance permanenteQuestions-réponses CNIL sur le télétravailAucune capture, aucun enregistrement de frappe
Durées de suivi du temps : un an ou la période de référence, trois ans pour les forfaitsRéférentiel CNIL des duréesUne durée écrite par catégorie, en analysant vous-même l’application à un outil de temps saisi

Un même fichier, quatre usages très différents

Le badge offre le meilleur exemple. La CNIL écrit qu’un relevé de badgeuse installé pour la sécurité ne peut pas servir à vérifier les horaires, parce que ce serait un détournement de finalité. Appliquons cette logique à un fichier de temps saisis.

Facturer un compte rendu d’activité (CRA) validé : c’est l’objet même de l’outil. Calculer une marge par mission : usage lié, à mentionner. Tenir le décompte du temps de travail : autre document, autres règles, voyez notre page sur le CRA et le décompte. Classer chaque mois les consultants selon leurs heures : nous nous arrêtons là. Cette nouvelle finalité ne vient pas avec le logiciel.

Le référentiel de la CNIL sur la gestion du personnel retient les appréciations sur des critères objectifs, en lien direct et nécessaire avec l’emploi. Un volume d’heures brut peut difficilement passer ce filtre sans autre analyse, selon notre lecture. Ce référentiel demande d’adapter ses indications à chaque organisme, et il précise qu’il n’a pas vocation à encadrer les traitements ayant pour objet ou pour effet le contrôle individuel de l’activité des salariés : il ne valide donc pas un tel classement.

Si le même outil exploite aussi les compétences pour staffer, le rapprochement avec la gestion des compétences du référentiel reste possible, sous réserve de finalité, de proportion et de documentation. Notre page sur la matrice de compétences traite ce point.

La feuille à écrire avant d’ouvrir les droits

Une page suffit, et elle vous servira aussi le jour où un salarié posera une question.

  1. Finalités. Facturer, calculer la marge, et ce qui s’y ajoute, en clair.
  2. Données. Mission, date, durée. Pas de commentaire libre si rien ne l’exige.
  3. Accès. Qui voit quoi, avec des comptes individuels.
  4. Durée. Une durée par catégorie, renvoyée à votre grille de conservation.
  5. Information. Note remise avant la mise en service, avec les droits des salariés.
  6. CSE. Si vous en avez un, calendrier d’information et de consultation avant la décision.
  7. Risque. Demandez à votre DPO ou conseil si une analyse d’impact s’impose.
  8. Éditeur. Lieu de traitement, sous-traitants ultérieurs et cadre de transfert éventuel.

Si l’éditeur traite les données hors de l’Union

Ne vous laissez pas dire que la CNIL interdit tout hébergement hors de l’Union : les pages lues encadrent les transferts et ne traitent pas explicitement de l’hébergement. Un transfert repose sur une décision d’adéquation, sur des garanties appropriées telles que des clauses types ou des règles d’entreprise, ou, dans des situations particulières, sur une dérogation de l’article 49 du RGPD. Pour un outil de temps américain ou tout autre outil hors de l’Union, demandez par écrit lequel de ces cadres s’applique.

Limites de cette page

Cette page résume une lecture éditoriale et ne constitue pas un avis juridique. La CNIL et le code du travail ne visent pas nommément ces outils. L’effectif de votre société et la présence d’un CSE influent sur les obligations. Ni la jurisprudence ni les accords d’entreprise n’ont été étudiés.

Prochaine action

Écrivez la feuille ci-dessus avant d’ouvrir les droits. Faites-la relire par votre DPO ou votre conseil, surtout si vous avez un CSE ou un contexte particulier. Informez les salariés avant la mise en service, et traitez la question du CSE avant la décision. Regardez ensuite qui voit un rapport d’heures par personne dans votre outil actuel, et retirez les accès sans usage écrit. Si un projet de classement existe, sortez-le du déploiement pour l’examiner à part.

Preuves et sources

Lu le 5 novembre 2026 : la fiche de la CNIL sur l’accès aux locaux et le contrôle des horaires (mise à jour le 17 juin 2026) et ses questions-réponses sur le télétravail. Nous avons aussi lu ses référentiels sur la gestion du personnel et sur les durées de conservation, sa page sur les transferts hors de l’Union, et les articles L1121-1, L1222-4 et L2312-38 du code du travail. Nous n’avons trouvé aucune page de la CNIL consacrée à un outil de gestion d’affaires.

Le type indique s’il s’agit d’un fait cité, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Il n’atteste pas une lecture. Consultez le statut, la date et les limites des sources, puis vérifiez tout document marqué à vérifier avant de vous y fier. Notre méthode

  • Fait cité. L’article L1121-1 du code du travail interdit les restrictions aux droits et libertés qui ne seraient ni justifiées par la nature de la tâche ni proportionnées au but recherché.

    Périmètre : Version du 1er mai 2008

    Réserve : Application au cas par cas.

  • Fait cité. L’article L1222-4 du code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance.

    Périmètre : Version du 1er mai 2008

    Réserve : Aucune.

  • Fait cité. L’article L2312-38 prévoit que le comité social et économique est informé sur les traitements automatisés de gestion du personnel, et informé et consulté sur les moyens ou techniques permettant un contrôle de l’activité des salariés.

    Périmètre : Version du 1er janvier 2018

    Réserve : Champ à vérifier selon l’effectif et la présence d’un CSE.

  • Fait cité. La CNIL demande un dispositif de contrôle des horaires proportionné, informe sur les instances et l’information individuelle, et écrit qu’un relevé de badgeuse de sécurité ne peut pas servir à vérifier les horaires.

    Périmètre : Fiche mise à jour le 17 juin 2026

    Réserve : La fiche traite des dispositifs d’accès et d’horaires, pas d’un logiciel d’affaires.

  • Fait cité. Le référentiel de la CNIL renvoie, pour le suivi du temps de travail, à des durées d’archivage d’un an ou de la période de référence et de trois ans pour les forfaits, et mentionne l’action en paiement des salaires.

    Périmètre : Référentiel publié le 2 avril 2026, mis à jour le 20 mai 2026

    Réserve : L’application à un outil de temps saisi reste une analyse du responsable de traitement.

  • Notre calcul ou déduction. Un outil qui exploite des compétences internes peut être rapproché de la gestion des compétences et de la mobilité du référentiel, sous réserve de finalité, de proportion et de documentation par le responsable de traitement.

    Périmètre : Rapprochement éditorial

    Réserve : La CNIL ne vise pas nommément ces outils.

  • Fait cité. Selon les questions-réponses de la CNIL sur le télétravail, un système de contrôle du temps ou des activités doit avoir un objectif défini, être proportionné et faire l’objet d’une information préalable, sans placer les salariés sous surveillance permanente.

    Réserve : Contexte du télétravail ; la règle vaut à distance et sur site selon la page.

  • Fait cité. Le référentiel de la CNIL sur la gestion du personnel retient parmi les données de carrière l’appréciation sur critères objectifs en lien direct et nécessaire avec l’emploi, et demande d’adapter ses indications à chaque organisme.

    Périmètre : Référentiel adopté le 21 novembre 2019, modifié le 23 mai 2022

    Réserve : Il ne vise pas nommément un outil de temps, et n’a pas vocation à encadrer le contrôle individuel de l’activité.

  • Fait cité. Un transfert hors de l’Union repose sur une décision d’adéquation, des garanties appropriées telles que des clauses types ou des règles d’entreprise, ou une dérogation de l’article 49 du RGPD dans des situations particulières.

    Périmètre : Référentiel et page de la CNIL

    Réserve : La page ne traite pas explicitement de l’hébergement.

  • Notre calcul ou déduction. Transposer le raisonnement sur le badge à un fichier de temps saisis, puis écarter le classement des consultants selon leurs heures, est notre lecture.

    Périmètre : Notre lecture

    Réserve : Non validée par la CNIL ; à faire relire.

  • Notre avis. Nous recommandons d’écrire la finalité et d’informer les salariés avant de déployer un outil de temps, et de sortir tout classement individuel du déploiement pour l’examiner à part.

    Périmètre : Sociétés de services employeuses

    Réserve : Cadre général.

    Daté du 5 novembre 2026.