Le suivi des travailleurs connectés peut réduire les délais d'intervention d'urgence, avertir les personnes avant qu'elles ne pénètrent dans des zones dangereuses et aider les équipes de secours à localiser une victime après une chute. Il permet également de créer un historique détaillé des déplacements de chaque employé et de la durée de ses présences sur place ; c'est là que les problèmes commencent.

Nous avons constaté que les projets de suivi suscitent un véritable enthousiasme au sein des équipes de sécurité et d'exploitation, enthousiasme qui s'estompe dès que les RH, le service juridique ou les représentants du personnel s'en mêlent. Leur préoccupation porte rarement sur la technologie de suivi elle-même, mais plutôt sur le risque qu'un système de sécurité se transforme subrepticement en système de surveillance.

Le respect de la vie privée doit donc être une exigence de déploiement dès le départ, et non une obligation de conformité ajoutée après la phase pilote. L'objectif est simple : recueillir suffisamment d'informations pour protéger les personnes sans créer d'historique inutile de leur journée de travail.

Suivi des travailleurs vs surveillance des employés : quelle est la différence ?

Un employé appuie sur le bouton d'alarme dans une usine chimique. L'équipe d'intervention a besoin immédiatement d'une localisation précise. Il s'agit d'un impératif de sécurité évident.

Un responsable ouvre ensuite le même système pour comparer le temps passé par chaque employé dans différents espaces de travail. Les données restent les mêmes, mais l'objectif a changé. Ce qui servait initialement au suivi des urgences est devenu un outil de contrôle des performances. C'est là que de nombreux projets rencontrent des difficultés.

En vertu du Règlement général sur la protection des données (RGPD) de l'UE, les organisations doivent définir les finalités du traitement des données personnelles, ne collecter que les données nécessaires à cette finalité et éviter de les conserver plus longtemps que nécessaire. L'article 25 du RGPD exige également la protection des données dès la conception et par défaut. En revanche, l'article 35 peut exiger une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. ⁽¹⁾

L'identifiant d'un appareil peut être considéré comme une donnée personnelle, même si la base de données n'affiche pas le nom du travailleur. Si une autre table associe l'identifiant du casque A0372 à un employé nommé, l'enregistrement de localisation reste identifiable.

Le principe de protection des données dès la conception doit donc couvrir l'ensemble du système :

• Le dispositif portable et sa configuration
• Passerelles, serveurs de réseau et moteurs de positionnement
• Cartes, tableaux de bord, bases de données et exportations
• Les personnes et les processus qui peuvent accéder à l'information

Le chiffrement est important, mais il ne constitue qu'une couche. Par exemple, le système Lansitec Capteur de casque LoRaWAN utilise AES128 pour son LoRaWAN La communication est protégée, mais elle ne détermine pas si un superviseur doit consulter l'historique des déplacements sur six mois. Il appartient au responsable du déploiement de prendre cette décision dans l'application et ses politiques d'exploitation.

Comment définir un objectif clair pour le suivi des travailleurs

“L’expression ” suivi des travailleurs » est trop vague pour guider un déploiement respectueux de la vie privée. Il convient plutôt de définir précisément les résultats attendus en matière de sécurité. Un énoncé d’objectif approprié pourrait être le suivant :

Le système détecte les alarmes déclenchées par les travailleurs, les chutes, les entrées dans des zones dangereuses définies et les dépassements de la durée de présence dans les zones contrôlées. Il fournit des informations de localisation aux intervenants autorisés lors d'un incident de sécurité ou d'une évacuation.

Cette déclaration établit des limites utiles. Elle n'autorise ni l'évaluation de la productivité, ni l'analyse continue des présences, ni l'optimisation des itinéraires par individu, ni le suivi disciplinaire.

La limitation de l'usage empêche également toute extension discrète après le déploiement. Si la direction souhaite ultérieurement utiliser l'historique de localisation à d'autres fins, l'organisation doit procéder à une évaluation distincte de la nécessité, de la proportionnalité et du fondement juridique. Les données de sécurité ne doivent pas être automatiquement transformées en données de performance du simple fait que le tableau de bord le permet.

Comment le suivi des travailleurs basé sur les événements protège la vie privée

Tout le monde n'a pas besoin d'une carte en temps réel de chaque employé. Un système respectueux de la vie privée peut limiter la visibilité au quotidien tout en affichant plus de détails lors d'événements spécifiques. En temps normal, le tableau de bord peut n'afficher que :

• Le nombre de personnes présentes dans chaque zone de sécurité
• La disponibilité en ligne des dispositifs portables assignés
• Alertes de chute, de panique, de dépassement de durée ou de zone non résolues
• État d'évacuation d'une zone de travail

Lorsqu'un travailleur appuie sur le bouton d'alarme, le système peut communiquer sa position actuelle ou sa dernière position connue à l'équipe d'intervention autorisée. Cette même règle s'applique après une alarme de chute, lors d'une évacuation ou lorsqu'une personne reste trop longtemps dans un espace confiné.

Il s'agit d'une visibilité réservée aux situations d'urgence. Elle permet aux intervenants d'obtenir les informations nécessaires sans transformer les opérations de routine en observation continue.

Le Capteur de casque Lansitec Ce dispositif offre une base pratique pour cette approche. Il prend en charge le positionnement GNSS en extérieur, le positionnement Bluetooth en intérieur, des intervalles de rapport configurables, la détection d'usure et de chute, les alarmes panique, les alertes de zone et les alarmes de dépassement de durée. Toutefois, la plateforme choisie par le client doit définir clairement qui peut consulter les données et dans quelles conditions.

Accès basé sur les rôles aux données de localisation des travailleurs

Une erreur fréquente lors de la mise en œuvre consiste à accorder aux responsables les mêmes droits d'accès qu'aux secouristes. C'est facile à configurer, mais difficile à justifier.

Attribuer les autorisations en fonction des besoins opérationnels :

Rôle	Accès approprié	Accès à éviter par défaut
intervenant d'urgence	Localisation précise pendant une alarme, une évacuation ou un sauvetage en cours.	Mouvement historique de routine
Responsable EHS	Alertes de sécurité, rapports d'incidents, tendances des risques par zone	Suivi hors incident sans lien avec l'incident
superviseur de ligne	Effectifs, état des appareils, alertes non résolues	Historique de localisation individuel continu
HEURE	Politiques, plaintes et documentation des incidents approuvés	Cartes des travailleurs en direct
administrateur informatique	État de l'appareil, configuration, identifiants pseudonymes de l'appareil	Cartographie de l'identité des travailleurs lorsque cela n'est pas nécessaire

Dans la mesure du possible, il convient de séparer les données d'identité des données de géolocalisation. Un administrateur informatique peut avoir besoin de dépanner un capteur de casque sans savoir qui le porte. Un secouriste peut avoir besoin du lien entre identité et géolocalisation lors d'une urgence. Aucune de ces situations ne justifie d'accorder à chaque administrateur un accès illimité aux deux ensembles de données.

L'accès privilégié devrait également nécessiter des comptes individuels. Les identifiants partagés de la “ salle de contrôle ” empêchent d'établir qui a consulté ou exporté l'historique d'un employé.

Combien de temps les données de géolocalisation des travailleurs doivent-elles être conservées ?

Le suivi continu peut générer un volume considérable de données de géolocalisation. Les conserver “ au cas où ” accroît les risques juridiques, de cybersécurité et de relations avec les employés sans pour autant améliorer la sécurité.

Créez un calendrier de conservation pour chaque catégorie de données plutôt qu'une période unique :

Catégorie de données	approche pratique de la rétention
Lieu en direct	À utiliser pour les opérations en cours ; éviter de conserver une trace continue sauf si nécessaire.
présence de la zone de routine	Supprimer ou regrouper une fois le besoin opérationnel terminé
Panique, chute ou événement de dépassement de séjour	Conserver conformément à la politique d'enquête sur les incidents approuvée
Diagnostic de l'appareil	Conserver séparément de l'identité du travailleur dans la mesure du possible.
Tendances agrégées en matière de sécurité	Ne conserver plus longtemps qu'après une dépersonnalisation effective
Attribution des badges visiteurs	Expire après la visite et une courte période de réconciliation

Il n'existe pas de durée de conservation universelle applicable à tous les déploiements. Les règles de sécurité au travail, les exigences en matière d'enquêtes sur les incidents, les obligations d'assurance et les législations nationales du travail varient. L'article 88 du RGPD autorise expressément les États membres de l'UE à introduire des règles plus détaillées en matière de traitement des données à caractère personnel. ⁽¹⁾

L'important est de choisir et de documenter chaque période avant le début de la collecte. La suppression doit ensuite être automatique. Une politique stipulant “ supprimer après 30 jours ” est inutile si aucun processus ne supprime réellement les enregistrements de la base de données principale, des exportations et des sauvegardes.

Comment utiliser les données de suivi des travailleurs sans identifier les employés

Les systèmes de travailleurs connectés peuvent révéler des tendances utiles sans nommer les individus. Les équipes de sécurité pourraient vouloir savoir :

• Quelles sont les zones dangereuses qui génèrent le plus d'alertes ?
• En cas de surpopulation ou de dépassement de la durée de séjour autorisée,
• Combien de temps dure le décompte des personnes évacuées ?
• Si certaines zones ont une couverture de positionnement faible

Ces questions portent généralement sur les tendances, et non sur les déplacements individuels. L'agrégation réduit les risques pour la vie privée, mais ne les élimine pas automatiquement. Un rapport indiquant qu'un employé a passé 47 minutes dans une salle à accès restreint peut néanmoins permettre d'identifier cette personne. Définissez des tailles minimales pour les groupes, excluez les très petits groupes, supprimez les horodatages inutiles et vérifiez si la combinaison des horaires, des rôles et des lieux peut révéler l'identité d'un individu.

La pseudonymisation et l'anonymisation sont différentes. Remplacer le nom d'un employé par un numéro d'appareil constitue une pseudonymisation si l'organisation peut associer ce numéro à la personne. Les données restent alors soumises à la réglementation sur la protection des données.

Comment gérer le suivi des visiteurs et les badges temporaires

Les badges visiteurs posent un problème de confidentialité mineur, mais facilement négligé. Les visiteurs peuvent ne pas assister à la réunion d'information des employés, ne pas comprendre la terminologie du site ou ne pas s'attendre à ce que leurs déplacements soient enregistrés.

Utilisez un badge visiteur temporaire et conservez la correspondance entre les identités et le système d'accueil ou de contrôle d'accès. Expliquez le rôle du badge lors de sa remise, notamment s'il génère des alertes d'entrée de zone. L'accès doit expirer automatiquement à la fin de la visite.

Ne réutilisez pas l'enregistrement d'attribution du visiteur précédent lorsque vous remettez le badge à une nouvelle personne. Le dispositif physique peut être réutilisé, mais l'association d'identité et les données de session doivent être fermées au préalable.

Pour de nombreux sites, le suivi des visiteurs peut rester strictement basé sur les événements : confirmation d’entrée, avertissement de zone restreinte, rassemblement d'urgence, et le retour du badge. Un itinéraire historique détaillé n'apporte généralement que peu de valeur ajoutée.

Ce que les travailleurs doivent savoir sur le suivi de localisation

Une déclaration vague comme “ le suivi est utilisé à des fins de sécurité et opérationnelles ” ne permettra pas d'instaurer la confiance. Elle laisse également trop de place à l'interprétation.

Les travailleurs devraient recevoir des réponses en langage clair à quatre questions :

1. Quelles données d'événements et de localisation l'appareil collecte-t-il ?
2. Qui peut consulter les informations en direct et historiques ?
3. Combien de temps chaque type d'enregistrement est-il conservé ?
4. Ces données peuvent-elles être utilisées pour des décisions relatives aux performances ou à la discipline ?

La communication doit avoir lieu avant le projet pilote, et non après que les travailleurs aient constaté de nouvelles nouveautés. capteurs sur leurs casques.

La consultation est également essentielle. Les représentants à la sécurité, les syndicats, les comités d'entreprise, les RH, la sécurité informatique et le délégué à la protection des données peuvent identifier des problèmes que l'équipe technique ne détecte pas. Par exemple, la transmission continue des données GNSS peut se poursuivre pendant la pause déjeuner hors de l'établissement. La solution pourrait alors interrompre le suivi lié à l'identité en dehors des heures de travail, utiliser une procédure de connexion en fin de poste ou limiter la transmission des données au lieu de travail.

Ne présumez pas que le consentement des employés résolve le problème. Les lignes directrices de l'UE reconnaissent le déséquilibre entre employeurs et employés, ce qui rend souvent le consentement sur le lieu de travail inadapté comme base juridique principale. (3)(4) L'organisation doit identifier une base juridique appropriée et démontrer que le suivi demeure nécessaire et proportionné.

Comment auditer l'accès aux données de géolocalisation des travailleurs

Si la plateforme enregistre les données des travailleurs, elle devrait également enregistrer la manière dont les administrateurs utilisent la plateforme.

Les journaux d'audit doivent enregistrer :

• Qui a consulté les données de géolocalisation précises ?
• Quel enregistrement de travailleur ou d'appareil ont-ils ouvert ?
• Lorsqu'ils ont exporté, modifié ou supprimé des informations
• Que l'accès soit lié à une alarme, une enquête ou une tâche de soutien approuvée

Examinez ces journaux. Ne les collectez pas simplement pour cocher une case.

Les actions sensibles peuvent nécessiter un code de motif, un numéro de ticket ou un identifiant d'incident. Dans certains cas, une double validation peut être requise avant l'exportation d'un historique de mouvements détaillé.

N'oubliez pas que les journaux d'audit contiennent des données personnelles concernant les administrateurs. Limitez leur accès et conservez-les conformément à leur finalité documentée.

Comment tester la confidentialité du suivi des travailleurs avant le déploiement

Un test technique vérifie si le système peut localiser un travailleur. Un test de confidentialité vérifie s'il fonctionne correctement lorsque personne n'est en danger.

Avant la mise en production, testez des scénarios tels que :

• Un superviseur tente de superviser un employé dont l'alarme n'est pas activée.
• Un administrateur exporte plus d'historique que son rôle ne le permet.
• Un badge visiteur reste associé à son précédent porteur.
• Un travailleur quitte le chantier tout en portant encore le dispositif.

Une analyse d'impact relative à la protection des données (AIPD) offre une méthode structurée pour examiner ces risques. Le Comité européen de la protection des données recommande d'appliquer la protection des données dès la conception tout au long du cycle de vie du traitement, depuis le choix des technologies et des paramètres par défaut jusqu'à la suppression et la mise au rebut des données. ⁽²⁾

Effectuez ce travail tant que les options de configuration restent ouvertes. La protection de la vie privée devient beaucoup plus coûteuse une fois que les tableaux de bord, les intégrations et les attentes de la direction se sont déjà formés autour de données non restreintes.

Le suivi des travailleurs peut-il améliorer la sécurité sans surveillance continue ?

Le suivi des travailleurs connectés permet de protéger les personnes sans avoir à documenter indéfiniment chacun de leurs déplacements.

Commencez par un objectif de sécurité précis. Maintenez une visibilité générale. Révélez la localisation précise uniquement en cas d'urgence définie. Séparez les rôles opérationnels, limitez la conservation des données, centralisez les analyses, expliquez clairement le système et auditez les accès.

Cette technologie peut assurer à la fois la sécurité et la surveillance. Le respect de la vie privée dès la conception détermine le système que vous déployez.

Références

1. Règlement (UE) 2016/679, notamment ses articles 5, 25, 35 et 88
2. Comité européen de la protection des données : Lignes directrices 4/2019 sur la protection des données dès la conception et par défaut
3. Groupe de travail Article 29 : Avis 2/2017 sur le traitement des données au travail
4. Commission européenne : Quand le consentement est-il valable ?