Contrôle des présences et vie privée en Italie : ce que l'employeur peut faire

Enregistrer les présences est un devoir de gestion, mais les données des salariés sont protégées par deux sources : le Statut des travailleurs (Statuto dei lavoratori) sur le contrôle à distance et le RGPD sur les données personnelles. Ce guide résume ce qu’ils demandent, quand un accord est nécessaire et ce qu’il faut éviter.

Ce que dit l’art. 4 du Statut des travailleurs

L’art. 4 de la loi 300/1970, réécrit par l’art. 23 du décret législatif 151/2015, couvre trois cas :

• Alinéa 1 : les instruments dont peut aussi découler un contrôle à distance de l’activité des travailleurs ne peuvent être utilisés que pour des besoins d’organisation et de production, la sécurité au travail et la protection du patrimoine de l’entreprise. Ils sont installés après un accord collectif avec les représentants du personnel (RSU ou RSA) ou, à défaut, avec l’autorisation de l’inspection nationale du travail (INL, Ispettorato nazionale del lavoro).
• Alinéa 2 : cette règle « ne s’applique pas aux instruments utilisés par le travailleur pour accomplir sa prestation de travail et aux instruments d’enregistrement des accès et des présences » (notre traduction).
• Alinéa 3 : les informations recueillies peuvent être utilisées à toutes les fins liées à la relation de travail, à condition que le travailleur soit adéquatement informé des modalités d’utilisation des instruments et d’exécution des contrôles, et dans le respect du décret législatif 196/2003 (le code de la vie privée, dont l’art. 114 confirme l’art. 4).

En pratique, un outil qui n’enregistre que le temps de travail relève de l’alinéa 2. Mais l’exception concerne l’enregistrement des présences : des fonctions supplémentaires, comme la localisation, peuvent replacer l’outil sous l’alinéa 1.

Opinions, RGPD et notice d’information

L’art. 8 du Statut interdit à l’employeur de s’enquérir, directement ou par des tiers, des opinions politiques, religieuses ou syndicales et des faits non pertinents pour apprécier l’aptitude professionnelle ; le code de la vie privée (art. 113) le confirme. Pas de champs ni de notes, donc, pour recueillir des données qui ne sont pas nécessaires à la gestion des heures.

Le RGPD (règlement (UE) 2016/679) ajoute les principes de l’art. 5 :

• licéité, loyauté et transparence, avec une base juridique pour le traitement (art. 6) ;
• minimisation des données : des données adéquates, pertinentes et limitées à ce qui est nécessaire ;
• limitation de la conservation : pas plus longtemps que nécessaire pour la finalité ;
• une sécurité appropriée.

La notice d’information (informativa, art. 13) doit indiquer qui traite les données, pourquoi, et pendant combien de temps elles sont conservées, ou selon quels critères la durée est fixée. L’art. 88 permet aux États membres de fixer des règles plus spécifiques sur les données des salariés : en Italie, le Statut et le code de la vie privée, entre autres, s’en occupent.

Biométrie : le Garante dit non

Les empreintes digitales et la reconnaissance faciale sont des données biométriques, une catégorie particulière (art. 9 du RGPD). Selon l’autorité italienne de protection des données (Garante privacy) :

• dans sa décision du 26 février 2026 (n° 122), qui a infligé 15 000 € d’amende à une coopérative à propos des empreintes digitales de six salariés, elle a écrit que le droit en vigueur « n’autorise pas le traitement des données biométriques des salariés » pour enregistrer les présences, et que les mêmes objectifs peuvent être atteints avec des outils moins intrusifs (notre traduction). Elle a interdit le traitement et ordonné l’effacement des données ;
• dans sa newsletter du 25 juin 2025, elle a rappelé que le consentement du salarié n’est en général pas une base valable dans le cadre du travail ;
• en 2024, elle a infligé une amende à cinq entreprises pour la reconnaissance biométrique des présences sur un site de traitement des déchets (de 2 000 à 70 000 €), en indiquant les badges comme solution de remplacement.

Géolocalisation des badges et des applications

La circulaire INL 2/2016 considère le GPS comme un outil supplémentaire, non utilisé « principalement et essentiellement » pour accomplir le travail : un accord ou une autorisation est donc nécessaire (alinéa 1). Dans sa décision du 9 janvier 2020 sur le système de gestion du personnel d’un grand opérateur, le Garante a jugé non conforme la surveillance continue de la position des salariés et a demandé une icône indiquant quand la localisation est active. Si vous souhaitez localiser les personnes qui pointent, commencez par un accord, une notice d’information et une évaluation par votre DPO (délégué à la protection des données).

Liste de contrôle pour l’employeur

1. Notice d’information remise avant l’utilisation, avec les finalités, les durées de conservation, les droits et les instructions sur l’usage de l’outil (art. 4, alinéa 3).
2. Base juridique identifiée avec le DPO ou le consultant, sans s’appuyer sur le consentement.
3. Minimisation : seulement les données nécessaires (début, fin, pause, absences).
4. Aucune donnée biométrique pour les présences.
5. Localisation seulement avec un accord ou une autorisation et une évaluation préalable.
6. Accès selon les rôles : chacun ne voit que ce dont il a besoin.
7. Conservation définie : le LUL (Libro Unico del Lavoro, registre unique du travail) a ses propres durées ; pour les autres données, choisissez et documentez une durée.
8. Demandes d’accès : les salariés peuvent demander une copie de leurs données (art. 15 du RGPD), avec une réponse sous un mois.

Questions à poser au prestataire : quelles données il recueille, qui peut y accéder, où elles sont stockées, pendant combien de temps, comment elles sont supprimées et exportées, et comment il décrit par écrit son rôle à votre égard, puisque vous êtes le responsable du traitement.

Erreurs à éviter

1. Croire que pointer suffit et sauter la notice d’information.
2. Activer la localisation ou d’autres fonctions de contrôle sans accord.
3. Demander le consentement pour des données biométriques : cela ne les rend pas licites.
4. Donner à tout le monde accès à tout, y compris aux données des collègues.
5. Tout conserver pour toujours, sans durée de conservation.

Comment Chrono Desk s’y prend

Chrono Desk enregistre les heures dans la feuille de temps : début, fin et pause, ou seulement le total, avec une note par poste.

• Quatre rôles, chacun avec ses propres autorisations : les salariés voient leurs propres données, les responsables celles de leur équipe, les administrateurs et le consultant du travail celles de l’entreprise ; les bulletins de paie ne sont visibles que par le salarié, les administrateurs et le consultant ;
• connexion avec RoxPay SSO, sans mots de passe ;
• des rapports par période qui s’exportent en CSV.

La notice d’information, la base juridique et les durées de conservation restent des choix de l’entreprise. Pour le voir en pratique, parlons-en. Si une partie de l’équipe travaille à distance, lisez aussi notre guide sur le télétravail et les présences.

---

Ce guide est fourni à titre informatif et ne remplace pas les conseils de votre consultant du travail, de votre DPO ni les règles de votre convention collective.