3.3 Normes applicables et cadre RGPD

On lit dans une grande partie de la documentation commerciale que la norme NF X35-103 définirait les « principes d'ergonomie applicables à la conception des protections du travailleur isolé (PTI) et des dispositifs d'alarme pour travailleur isolé (DATI) », avec des exigences chiffrées de poids, d'étanchéité, d'autonomie ou de niveau sonore.

Comment vérifier soi-même ? En consultant le catalogue de l'organisme de normalisation, qui donne le titre officiel, la date de publication et le statut de chaque norme. C'est le réflexe à avoir pour toute référence normative citée dans un cahier des charges ou un argumentaire fournisseur : un numéro de norme exact peut être collé sur le mauvais sujet, et la répétition d'une erreur sur des centaines de pages ne la transforme pas en fait.

Ce que dit l'INRS, lui, est sans équivoque :

« Les DATI ne sont pas des composants de sécurité conçus sur la base de normes concernant la sécurité fonctionnelle. »

— INRS, dossier « Dispositifs d'alarme du travailleur isolé »

La conséquence est importante pour un acheteur : exiger une « conformité NF X35-103 » dans un cahier des charges n'a aucun sens et n'apporte aucune garantie. Ce qu'il faut exiger, ce sont les éléments décrits dans la suite de ce chapitre — et, surtout, la démonstration que le dispositif fonctionne dans vos locaux et sur vos postures.

La série NF EN 50134 existe bel et bien, et elle est souvent citée à propos des DATI. Son objet est toutefois plus étroit qu'on ne le dit : ce sont les systèmes d'alarme sociale, c'est-à-dire la téléassistance des personnes considérées comme à risque à leur domicile — le médaillon d'appel d'une personne âgée, et la chaîne qui le relie à un centre d'assistance.

Deux précisions qui corrigent des affirmations fréquentes :

• La série comporte cinq parties publiées (1, 2, 3, 5 et 7), même si la numérotation va jusqu'à 7. Écrire « la série en 7 parties » est inexact.
• La partie 7 n'est pas une déclinaison « travail isolé » : ce sont des lignes directrices d'application pour la fourniture d'un service d'alarme sociale.

Faut-il l'écarter pour autant ? Non. Les exigences de la partie 1 (disponibilité permanente du service, fiabilité de la chaîne) et de la partie 5 (communication et interconnexion) constituent des points de comparaison utiles lorsqu'on évalue un prestataire de réception d'alarmes. Mais elles ne sont ni obligatoires ni conçues pour le contexte professionnel : les invoquer comme une conformité réglementaire serait une erreur de même nature que la précédente.

Le marquage CE s'impose à tout dispositif commercialisé dans l'Union européenne. Pour un DATI, trois directives sont en jeu :

• Directive 2014/53/UE dite RED, relative aux équipements radioélectriques : elle couvre toute liaison sans fil du dispositif.
• Directive 2014/30/UE relative à la compatibilité électromagnétique.
• Directive 2011/65/UE dite RoHS, sur la limitation de substances dangereuses dans les équipements électriques et électroniques.

Concrètement, l'acheteur demande la déclaration UE de conformité du dispositif : c'est un document, pas un logo sur un emballage.

Les atmosphères explosives. Deux textes à ne pas confondre :

• la directive 2014/34/UE s'applique aux appareils et systèmes de protection destinés à être utilisés en atmosphères explosibles : c'est elle qui régit le matériel, et donc le DATI ;
• la directive 1999/92/CE concerne la protection des travailleurs sur les lieux susceptibles de présenter des atmosphères explosives. Elle est transposée en droit français aux articles R4227-42 à R4227-54 du Code du travail (section « Prévention des explosions »), qui imposent notamment à l'employeur de subdiviser en zones les emplacements concernés et d'y appliquer les prescriptions minimales de protection.

Le zonage distingue les zones 0, 1 et 2 pour les gaz, vapeurs et brouillards, et les zones 20, 21 et 22 pour les poussières combustibles, selon la fréquence et la durée de présence de l'atmosphère explosive. Un dispositif non certifié pour la zone considérée ne doit pas y être introduit : c'est une source potentielle d'inflammation.

Dès que le dispositif transmet une position, il traite des données à caractère personnel et le cadre s'applique intégralement. Le socle : le RGPD, la loi Informatique et Libertés, et, côté Code du travail, l'article L1121-1 (aucune restriction aux droits des personnes qui ne soit justifiée par la nature de la tâche et proportionnée au but recherché) et l'article L1222-4 (aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui ne lui a pas été porté préalablement à sa connaissance).

La finalité sécurité est admise. La CNIL range explicitement parmi les finalités légitimes le fait d'« assurer la sécurité de l'employé, des marchandises ou des véhicules ». Un dispositif destiné à secourir un travailleur isolé entre donc dans le cadre — à condition de ne pas servir à autre chose.

Ce qui est interdit, en revanche, est tout aussi explicite :

• surveiller un employé en permanence ;
• collecter la localisation en dehors du temps de travail — trajets domicile-travail, pauses ;
• suivre les représentants du personnel dans l'exercice de leur mandat ;
• contrôler le respect des limitations de vitesse ;
• calculer le temps de travail lorsqu'un autre dispositif existe déjà.

La désactivation hors temps de travail est un droit. Les salariés doivent pouvoir « désactiver la collecte ou la transmission de la localisation géographique en dehors du temps de travail ». C'est une exigence à porter au cahier des charges, pas une option : un dispositif techniquement incapable d'être désactivé est difficilement déployable.

La durée de conservation retenue par la CNIL pour les données de géolocalisation est de deux mois en principe. Elle admet des durées plus longues pour des finalités précises : un an pour l'optimisation des tournées ou la preuve d'interventions, cinq ans pour le suivi du temps de travail lorsqu'il est fondé. Une conservation illimitée « au cas où » n'est pas conforme.

L'analyse d'impact. Lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, une analyse d'impact relative à la protection des données doit être menée avant sa mise en œuvre, au titre de l'article 35 du RGPD. Un suivi de localisation de salariés relève typiquement de cet examen : il est prudent de la conduire, avec le délégué à la protection des données lorsqu'il en existe un, et de la conserver.

Le CSE est informé et consulté préalablement à la mise en œuvre d'un moyen permettant un contrôle de l'activité des salariés. Attention : aucun texte n'impose de délai de deux mois entre la consultation et le déploiement — cette règle, souvent citée, n'existe pas. Ce qui compte est le caractère préalable de la consultation et la remise d'informations suffisantes pour que l'avis soit éclairé.

Les amendes administratives prévues par l'article 83 du RGPD peuvent atteindre, pour les manquements les plus graves, 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond théorique est souvent brandi ; il éclaire peu la pratique.

Ce qui éclaire davantage, c'est la doctrine de la CNIL sur la surveillance des salariés, où elle statue régulièrement. Deux principes reviennent :

• « La collecte en continu et la conservation des données de géolocalisation des véhicules des salariés vont à l'encontre du principe de minimisation des données » ;
• en principe, l'employeur ne peut pas surveiller ses salariés de manière continue ; une surveillance permanente non justifiée par des circonstances exceptionnelles porte atteinte au principe de minimisation.

À titre d'illustration réelle : par sa délibération SAN-2024-021 du 19 décembre 2024, la CNIL a prononcé une amende de 40 000 € à l'encontre d'une société pour une surveillance disproportionnée de l'activité de ses salariés, au moyen d'un logiciel paramétré pour comptabiliser des périodes d'« inactivité » supposée et effectuer des captures d'écran régulières de leurs ordinateurs. Plus largement, la CNIL indique que, sur une série de dix sanctions prononcées en procédure simplifiée depuis janvier 2025 pour un montant cumulé de 104 000 €, six concernaient la surveillance des salariés.

Le risque le plus concret pour un déploiement n'est d'ailleurs pas l'amende : c'est le rejet du dispositif. L'INRS prévient que, sans transparence et concertation, les mesures « risquent d'être perçues comme la mise en place d'un système de pistage des salariés », avec « un échec probable des mesures prises ». Un dispositif rejeté ne protège personne, quelle que soit sa conformité juridique.

Lorsque la réception des alarmes est confiée à un prestataire, le référentiel de place en France est l'APSAD R31, qui définit les exigences techniques et organisationnelles applicables aux stations de télésurveillance. La certification est délivrée par le CNPP, après examen de critères techniques, organisationnels et humains.

Les niveaux d'architecture sont désignés par des lettres et des chiffres. Attention à une évolution récente : la version 2026 du référentiel ne comporte plus le niveau P2 présent dans l'édition précédente ; les stations s'organisent désormais autour des architectures P3, P3 maillée et P5. Le niveau P5 correspond aux exigences les plus élevées de redondance, de résilience et de continuité de service. Une spécification d'achat qui exige encore « APSAD P2 » est donc à réécrire.

Sur le plan contractuel, deux points méritent d'être verrouillés : le prestataire agit comme sous-traitant au sens du RGPD (un contrat écrit encadre ce qu'il fait des données), et les modalités concrètes de la levée de doute et de l'escalade doivent être écrites, testées et révisables — c'est l'objet du chapitre 4.2.

Checklist avant déploiement

• Déclaration UE de conformité du dispositif (RED 2014/53/UE, CEM 2014/30/UE, RoHS 2011/65/UE), fournie et archivée.
• Certification ATEX 2014/34/UE correspondant à la zone réellement concernée, si le dispositif entre en zone classée ; zonage de l'établissement à jour (R4227-42 et suivants).
• Essai de couverture dans les locaux réels, y compris les points bas, les zones métalliques et les locaux techniques — et correction des trous de couverture identifiés.
• Essai sur postures réelles : vérifier le comportement des détections sur les positions de travail effectives avant de généraliser.
• Analyse d'impact menée et documentée lorsque le traitement le justifie (article 35 du RGPD).
• Information individuelle des salariés concernés, préalable et écrite (L1222-4).
• Consultation préalable du CSE, avec un dossier permettant un avis éclairé.
• Durée de conservation paramétrée (deux mois en principe pour la localisation) et exercice des droits opérationnel.
• Désactivation hors temps de travail techniquement possible et documentée.
• Contrat de sous-traitance RGPD avec le prestataire de réception d'alarmes, et niveau APSAD R31 vérifié dans sa version en vigueur.
• Procédure de suivi et d'organisation des secours écrite — sans elle, rien de ce qui précède ne sert.