RGPD BTP & construction 2026 : badgeage, géolocalisation, sous-traitance + durées

Une entreprise du BTP doit encadrer trois traitements sensibles avant tout : le badgeage/pointage (carte BTP, contrôle d’accès au chantier), la géolocalisation des véhicules et engins, et la sous-traitance en cascade. Concrètement : tenir un registre des traitements couvrant chantiers, ouvriers et conducteurs ; documenter une base légale par traitement ; fixer et appliquer des durées de conservation courtes (contrôle d’accès 3 mois, géolocalisation 2 mois, vidéosurveillance 1 mois, paie 5 ans) ; signer un accord de sous-traitance (art. 28) à chaque maillon de la chaîne ; et informer les salariés de chaque dispositif de traçage.

Le BTP cumule les points de friction RGPD : main-d’œuvre mobile et souvent détachée, chaînes de sous-traitance longues, obligations légales de lutte contre le travail illégal, et une tentation permanente de transformer les outils de gestion (géolocalisation, badgeage) en outils de surveillance. C’est précisément cet excès que la CNIL sanctionne. Voici le guide opérationnel.

Obligations RGPD spécifiques au BTP

Carte BTP, badgeage et contrôle d’accès au chantier

La carte d’identification professionnelle du BTP (carte BTP), gérée par l’union des caisses CIBTP, est un dispositif obligatoire de lutte contre le travail illégal et d’encadrement du détachement. Sa gestion repose sur une obligation légale (art. 6-1-c) : vous n’avez donc pas à recueillir le consentement du salarié, mais vous devez l’informer du traitement (art. 13) et limiter les données à ce que le dispositif impose.

Le badgeage et le pointage sur chantier, eux, relèvent d’un autre régime. S’ils servent à décompter le temps de travail et alimenter la paie, la base est l’obligation légale et l’exécution du contrat. Mais le contrôle d’accès (qui entre, quand, où) ne doit pas devenir un outil de surveillance permanente des allées et venues. Les données de simple contrôle d’accès se conservent 3 mois, alors que les données de pointage liées à la paie suivent la durée de la paie (5 ans). Ne mélangez pas les deux finalités dans une même base sans distinction de durée.

Géolocalisation des véhicules et engins

C’est le sujet le plus contentieux. La géolocalisation des véhicules et engins est licite, mais strictement encadrée par le principe de proportionnalité et par la recommandation de la CNIL sur la géolocalisation des véhicules des salariés. Règles opérationnelles :

• Finalités limitées : sécurité des biens, optimisation des tournées, suivi d’une prestation facturée au client. Pas de finalité « surveillance » ouverte.
• Information des salariés et des représentants du personnel avant tout déploiement (art. 13, et consultation du CSE).
• Désactivation possible du dispositif hors temps de travail, et pendant les temps de pause ou l’usage privé du véhicule.
• Interdiction d’en faire un outil de surveillance permanente, un moyen principal de contrôle du temps de travail, ou un instrument de relevé de la vitesse pour sanctionner le conducteur.

Une géolocalisation qui remonte la position toutes les 30 secondes ou tous les 500 mètres n’est pas proportionnée : c’est exactement ce que la CNIL a sanctionné (voir plus bas). Les données de géolocalisation se conservent 2 mois en base active. Un dispositif aussi intrusif justifie souvent une analyse d’impact (AIPD) — la surveillance systématique de salariés figure sur la liste des traitements pour lesquels la CNIL l’exige. Les entreprises du transport et de la logistique sont soumises aux mêmes règles de proportionnalité pour leurs flottes.

Sous-traitance en cascade : une chaîne de responsabilités

Le BTP fonctionne en cascade : maître d’ouvrage, entreprise générale, sous-traitants de rang 1, 2, 3. Chaque acteur qui traite des données personnelles pour le compte d’un autre est sous-traitant au sens de l’art. 28 — et cela impose un accord de sous-traitance (DPA) à chaque maillon. L’entreprise générale qui transmet à un sous-traitant les données des ouvriers (pour l’accès au chantier, la coordination sécurité, la carte BTP) doit encadrer ce flux par contrat. Le sous-traitant ne peut lui-même sous-traiter (rang 2) qu’avec autorisation et en répercutant les mêmes obligations. Ne laissez aucun maillon sans contrat de sous-traitance : c’est le point faible classique des chantiers, et le premier que la CNIL regarde. Le détail des obligations du sous-traitant doit être connu de chaque intervenant.

Données des ouvriers et conducteurs

Coordonnées, qualifications, habilitations (CACES, travail en hauteur), visites médicales, données de la carte BTP, éventuelles données de détachement : la collecte doit rester minimisée. On ne collecte pas la nationalité « pour information », ni des données de santé au-delà de l’avis d’aptitude. Le principe de minimisation des données est votre garde-fou : chaque champ doit être justifié par une finalité.

Vidéosurveillance de chantier

La vidéosurveillance de chantier a une finalité légitime : protéger le matériel et prévenir le vol, fléau récurrent des chantiers. Elle ne doit pas servir à surveiller les personnes ni filmer en continu les postes de travail. Orientez les caméras vers les zones de stockage et les accès, informez par affichage, et conservez les images 1 mois maximum. Toute conservation plus longue doit être justifiée par une procédure en cours.

Durées de conservation

Donnée / traitement	Durée en base active	Archivage / justification
Badgeage / pointage lié à la paie	5 ans	Données de paie (obligations sociales et fiscales)
Données de contrôle d’accès au chantier	3 mois	Sécurité des sites, pas de surveillance prolongée
Données de géolocalisation véhicules/engins	2 mois	Suivi d’activité ; au-delà, perte de proportionnalité
Vidéosurveillance de chantier	1 mois	Preuve en cas de vol ; conservation plus longue seulement si procédure en cours

Ces durées ne sont pas des maximums de confort : ce sont les seuils au-delà desquels la CNIL considère la conservation disproportionnée. Le cadre général est détaillé dans notre guide des durées de conservation.

Bases légales par traitement

Traitement	Base légale (art. 6 / art. 9)	Commentaire
Carte BTP / lutte contre le travail illégal	Obligation légale (art. 6-1-c)	Dispositif imposé par la loi ; information des salariés obligatoire
Géolocalisation véhicules/engins	Intérêt légitime (art. 6-1-f)	Mise en balance écrite ; proportionnalité et information indispensables
Paie et pointage associé	Obligation légale (art. 6-1-c)	Obligations sociales et fiscales
Sous-traitance (transmission entre acteurs)	Cadrée par l’art. 28	DPA à chaque maillon de la cascade

Documenter la base juridique de chaque traitement dans le registre est le socle : sans base légale identifiée, le traitement est illicite, quelle que soit sa durée.

Sanctions CNIL réelles du secteur

Soyons honnêtes : il n’existe pas, à ce jour, de sanction CNIL « BTP » médiatisée. La CNIL privilégie dans ce secteur les mises en demeure. Mais deux familles de décisions sont directement transposables aux chantiers, car elles portent sur les traitements que le BTP manipule au quotidien.

Géolocalisation excessive — le risque n°1 pour vos véhicules et engins. La CNIL a sanctionné CITYSCOOT à hauteur de 125 000 € (16 mars 2023) pour une géolocalisation quasi permanente de scooters (relevé toutes les 30 secondes), et UBEEQO INTERNATIONAL à 175 000 € (2022) pour une géolocalisation de véhicules de location tous les 500 mètres. Dans les deux cas, le manquement est le même : atteinte à la minimisation. Le principe s’applique à l’identique à une flotte de camions ou d’engins de chantier — une remontée de position trop fréquente ou trop fine n’est pas proportionnée.

Surveillance excessive des salariés — le risque pour le badgeage et le traçage. AMAZON FRANCE LOGISTIQUE a été sanctionnée de 32 M€ (27 décembre 2023), amende ramenée à 15 M€ par le Conseil d’État le 23 décembre 2024, pour une surveillance jugée excessive de la productivité et de l’inactivité des salariés. Le message pour le BTP : un badgeage ou un traçage qui va au-delà du décompte du temps et se transforme en mesure continue de l’activité individuelle expose au même reproche.

Erreurs courantes

• Faire de la géolocalisation un mouchard : relevés trop fréquents, absence de désactivation hors mission, usage pour sanctionner la vitesse — c’est le manquement type sanctionné (Cityscoot, Ubeeqo).
• Oublier un maillon de la sous-traitance : un DPA signé avec le rang 1 mais rien avec les rangs 2 et 3 qui accèdent pourtant aux données des ouvriers.
• Confondre contrôle d’accès et pointage paie : une seule base de données conservée 5 ans « parce que la paie », alors que le contrôle d’accès doit être purgé à 3 mois.
• Détourner la vidéosurveillance : caméras braquées sur les postes de travail au lieu des zones de stockage, images gardées bien au-delà d’un mois.
• Négliger l’information et la consultation : déployer géolocalisation ou badgeage sans informer les salariés ni consulter le CSE.
• Collecter trop sur les ouvriers détachés : accumuler nationalité, données familiales ou de santé au-delà de ce qu’imposent la carte BTP et l’aptitude médicale.

FAQ

La géolocalisation des camions de chantier est-elle autorisée ?

Oui, mais sous conditions strictes de proportionnalité. Elle doit répondre à une finalité précise (sécurité des biens, suivi de tournées), les conducteurs doivent être informés, le dispositif doit pouvoir être désactivé hors mission, et il ne peut ni servir de moyen principal de contrôle du temps de travail ni relever la vitesse pour sanctionner. Une remontée de position trop fréquente est illicite : c’est ce que la CNIL a sanctionné chez Cityscoot et Ubeeqo.

Faut-il un contrat RGPD avec chaque sous-traitant du chantier ?

Oui, dès qu’un intervenant traite des données personnelles pour votre compte (données des ouvriers, accès chantier, coordination). L’article 28 impose un accord de sous-traitance à chaque maillon de la cascade. Un sous-traitant ne peut recourir à un sous-traitant ultérieur qu’avec votre autorisation et en lui imposant les mêmes obligations. Utilisez un modèle de DPA systématiquement.

Combien de temps conserver les images de vidéosurveillance de chantier ?

Un mois maximum en base active. La finalité est la protection du matériel : au-delà d’un mois, la conservation n’est justifiée que si une procédure (plainte, enquête) est en cours pour un incident précis. Les caméras ne doivent pas filmer en continu les salariés à leur poste.

Conclusion

Le RGPD dans le BTP se joue sur trois lignes : ne pas transformer la géolocalisation en surveillance, sécuriser chaque maillon de la sous-traitance par un DPA, et appliquer réellement les durées de conservation (3 mois, 2 mois, 1 mois, 5 ans selon le traitement). Documentez le tout dans un registre à jour et informez vos équipes — la formation des salariés est votre meilleure assurance contre l’usage détourné des outils. Un outil comme Legiscope, qui automatise le registre des traitements et les AIPD, permet de tenir cette documentation à jour sans y consacrer des semaines. Les sanctions Cityscoot, Ubeeqo et Amazon le montrent : ce n’est pas la technologie qui est visée, c’est l’excès.