Digitalisation des notes de frais kilométriques et RGPD : ce que l'entreprise doit savoir en 2026

La digitalisation des IK : un traitement de données personnelles

Lorsqu'une entreprise collecte les données de déplacements de ses salariés via un logiciel de gestion des IK, elle traite des données personnelles au sens du RGPD (Règlement Général sur la Protection des Données). Les informations concernées incluent : les adresses de départ et d'arrivée, les horaires, les distances, et potentiellement la géolocalisation en temps réel.

Bases légales du traitement

Le traitement des données IK repose généralement sur deux bases légales :

• L'exécution du contrat de travail : le remboursement des frais professionnels est une obligation contractuelle.
• L'intérêt légitime : la lutte contre la fraude et la conformité fiscale constituent des intérêts légitimes de l'entreprise.

Le consentement du salarié n'est généralement pas la base appropriée dans le cadre d'une relation de travail, car le consentement n'est pas considéré comme libre sous subordination.

Géolocalisation : attention aux règles CNIL

La CNIL encadre strictement la géolocalisation des salariés. Les points clés à respecter :

• La géolocalisation ne peut pas être utilisée pour surveiller en permanence le salarié.
• Les données de localisation doivent être proportionnelles à la finalité (calcul de distance, pas surveillance).
• Les salariés doivent être informés de la collecte et de son usage via le registre des traitements et une notice d'information.
• Le comité social et économique (CSE) doit être consulté avant déploiement d'un outil de géolocalisation.

Durée de conservation des données

Selon la CNIL, les données relatives aux déplacements professionnels doivent être conservées :

• 3 ans pour les données de remboursement (prescription URSSAF).
• 10 ans pour les pièces comptables associées (art. L. 123-22 Code de commerce).
• 10 ans en cas de fraude fiscale avérée (art. L. 169 LPF).

Au-delà de ces durées, les données doivent être supprimées ou anonymisées.

Synchronisation avec les agendas en ligne : risques RGPD

Les solutions qui proposent de synchroniser Google Calendar ou Microsoft Outlook avec le journal IK doivent obtenir un consentement explicite du salarié pour accéder à ses données d'agenda, données qui peuvent révéler des informations sensibles (rendez-vous médicaux, syndicaux…). L'accès doit être limité aux seuls événements marqués comme professionnels.

Ce qu'IKAA fait pour votre conformité RGPD

IKAA ne collecte que les données strictement nécessaires au calcul des IK. Les données sont hébergées en France, chez un hébergeur français, et chiffrées en transit (TLS 1.3). Les jetons d'accès aux agendas et les secrets d'authentification à deux facteurs sont chiffrés au repos, et les mots de passe sont hachés (bcrypt). Chaque utilisateur peut exporter ou supprimer ses données à tout moment (droit à la portabilité et droit à l'effacement). La synchronisation agenda est optionnelle et repose sur un consentement explicite, révocable à tout moment.

Checklist RGPD pour les employeurs

• ☐ Inscrire le traitement dans le registre des activités de traitement.
• ☐ Informer les salariés (notice RGPD dans le règlement intérieur ou onboarding).
• ☐ Consulter le CSE si géolocalisation ou surveillance étendue.
• ☐ Vérifier que le sous-traitant (éditeur logiciel) présente des garanties RGPD suffisantes.
• ☐ Définir une durée de conservation et une procédure de suppression.