Votre badge enregistre vos entrées et vos sorties, une pointeuse note vos passages, un logiciel comptabilise vos connexions : ces traces existent, votre employeur les détient, et elles peuvent servir à faire payer vos heures supplémentaires. Beaucoup de salariés l’ignorent et renoncent à réclamer des heures pourtant effectuées, parce qu’ils pensent ne pas pouvoir les prouver. Cette crainte repose sur une idée fausse du droit applicable. En matière d’heures supplémentaires, la preuve ne pèse pas sur vos seules épaules : elle se partage avec l’employeur, qui a l’obligation de contrôler et de décompter votre temps de travail. Et ces relevés de temps de travail sont aussi des données personnelles : le règlement général sur la protection des données vous donne un droit d’accès direct à ces informations, indépendamment de tout procès.
Ce double levier change la donne. D’un côté, le code du travail impose à l’employeur d’établir les documents nécessaires au décompte de votre durée de travail et de fournir au juge les éléments qui justifient vos horaires en cas de litige. De l’autre, la protection des données personnelles vous permet d’exiger la communication de vos relevés de badgeuse ou de pointeuse, de contester un usage détourné de ces données, par exemple des images de vidéosurveillance recyclées en contrôle des horaires, et de saisir la CNIL quand l’employeur collecte plus que nécessaire. Les deux voies se renforcent : les données obtenues par l’exercice de vos droits alimentent votre décompte devant le conseil de prud’hommes, et l’absence de relevés fiables côté employeur joue en votre faveur devant le juge.
Cet article décrit pas à pas la méthode : quels relevés exiger et sur quels fondements, comment détecter un détournement de finalité ou une collecte excessive, comment la preuve se partage concrètement devant le juge, et quelles sanctions et réparations demander, de la CNIL au juge judiciaire. Il s’appuie sur les textes en vigueur au 11 octobre 2026 et sur des décisions effectivement rendues, dont les références officielles figurent en lien.
I. Exiger vos relevés de temps de travail et contrôler l’usage de vos données
A. Badgeuse, pointeuse, logiciel : quels relevés votre employeur doit détenir et vous communiquer ?
Quand vos horaires ne sont pas les mêmes pour tous dans votre service ou votre atelier, votre employeur a une obligation claire : l’article L. 3171-2 du code du travail dispose que « Lorsque tous les salariés occupés dans un service ou un atelier ne travaillent pas selon le même horaire collectif, l’employeur établit les documents nécessaires au décompte de la durée de travail, des repos compensateurs acquis et de leur prise effective, pour chacun des salariés concernés ». Autrement dit, dès que vous travaillez en horaires individualisés, en équipes, en télétravail partiel ou avec des dépassements réguliers, l’employeur doit produire un décompte individuel. Ce n’est pas une faculté, c’est une obligation dont il devra répondre devant le juge.
Ces documents doivent aussi être tenus à la disposition de l’inspection du travail. L’article L. 3171-3 du code du travail prévoit que « L’employeur tient à la disposition de l’agent de contrôle de l’inspection du travail mentionné à l’article L. 8112-1 les documents permettant de comptabiliser le temps de travail accompli par chaque salarié », et l’article D. 3171-16 du même code précise les durées : pendant un an les documents qui permettent de comptabiliser vos heures, et pendant trois ans ceux qui comptabilisent les jours travaillés quand vous êtes soumis à une convention de forfait en jours. Concrètement, les exports de badgeuse, les journaux de pointage, les relevés d’un logiciel de gestion des temps existent donc déjà dans la plupart des entreprises, ou devraient exister. Quand vous préparez une réclamation d’heures supplémentaires, la première démarche consiste à demander ces documents par écrit à votre employeur, en visant ces textes, et à conserver une copie de votre demande.
Parallèlement, ces relevés sont des données personnelles vous concernant, et le règlement général sur la protection des données vous ouvre un accès direct : son article 15 reconnaît à toute personne le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, d’y accéder avec les informations qui les accompagnent, comme les finalités, les destinataires et la durée de conservation (droit d’accès décrit par la CNIL). Vous pouvez donc adresser au délégué à la protection des données ou au service des ressources humaines une demande d’accès portant précisément sur vos relevés de pointage, vos passages de badge et vos journaux de connexion sur une période déterminée, en demandant aussi les finalités du traitement, les destinataires et la durée de conservation. L’employeur doit répondre dans un délai d’un mois. Cette demande d’accès produit souvent des pièces que l’employeur n’aurait pas spontanément versées aux débats, et elle laisse une trace écrite de son éventuel silence.
Si les données sont inexactes, par exemple des pointages manquants après une panne, des oublis de badge non régularisés ou des horaires tronqués par le logiciel, vous pouvez en exiger la rectification. Et quand des relevés sont conservés au-delà de leur utilité, l’article 17 du même règlement ouvre un droit à l’effacement, notamment lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées. La conservation de vos données de pointage doit rester proportionnée : le référentiel de la CNIL sur les durées de conservation en ressources humaines fixe des repères précis par type de document, et une conservation indéfinie de l’historique de vos passages expose l’employeur à une mise en demeure.
Avant d’installer ou de modifier un tel dispositif, l’employeur doit d’ailleurs respecter deux formalités du code du travail. D’une part, l’article L. 1222-4 dispose qu’« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » : vous devez être informé avant la mise en route de la badgeuse, du logiciel ou de la caméra, pas après. D’autre part, l’article L. 2312-38 impose que « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». Si la badgeuse ou le logiciel de suivi a été déployé sans information individuelle et sans consultation du comité social et économique, cette irrégularité fragilise toute utilisation ultérieure des relevés contre vous et peut fonder à elle seule une plainte devant la CNIL et un argument devant le juge.
B. Sécurité, horaires, biométrie : quand votre employeur détourne vos données de leur finalité ?
Collecter vos passages pour sécuriser un bâtiment n’autorise pas l’employeur à s’en servir pour vérifier vos horaires, et filmer un local pour prévenir les vols n’autorise pas à recompter vos pauses à partir des images. Le principe de limitation des finalités, posé par l’article 5 du règlement (UE) 2016/679, exige que les données soient collectées pour des finalités déterminées et légitimes et ne soient pas réutilisées ensuite de manière incompatible avec ces finalités. La CNIL l’illustre par un exemple directement applicable aux litiges d’heures supplémentaires : un relevé de badgeuse mis en place pour contrôler les entrées et sorties d’un bâtiment à des fins de sécurité ne peut pas servir ensuite à vérifier les horaires des salariés (fiche de la CNIL sur l’accès aux locaux et le contrôle des horaires). Quand votre employeur produit en justice des relevés de sécurité pour contester vos heures, ou quand il brandit des images de vidéosurveillance installée pour un autre motif afin de démontrer que vous étiez parti plus tôt, vous pouvez soulever ce détournement de finalité : les pièces sont contestables et le traitement lui-même est illicite.
La vidéosurveillance fournit l’exemple le plus fréquent. Un salarié licencié pour faute grave contestait son licenciement parce que l’employeur prétendait prouver les faits par les images d’un dispositif de vidéosurveillance. La chambre sociale de la Cour de cassation a rejeté le pourvoi de l’employeur le 23 juin 2021 (pourvoi n° 19-13.856) : l’information délivrée au salarié sur le dispositif était incomplète, notamment sur le destinataire des images et les modalités d’exercice du droit d’accès, et les enregistrements ont été déclarés inopposables au salarié. La leçon pour votre dossier d’heures supplémentaires est symétrique : si des images ou des relevés sont utilisés pour discuter vos horaires alors que vous n’aviez jamais été informé de cette finalité de contrôle des horaires, exigez la preuve de votre information préalable et contestez l’utilisation détournée. Le même raisonnement vaut pour la géolocalisation d’un véhicule de service ou pour les journaux d’un outil informatique : chaque finalité doit avoir été déclarée et portée à votre connaissance.
La collecte peut aussi être excessive par nature, même quand la finalité affichée est le contrôle des horaires. La présidente de la CNIL a mis en demeure plusieurs organismes qui utilisaient des badgeuses prenant systématiquement en photo l’agent à chaque pointage. La CNIL a estimé que la photographie systématique de l’employé à chacun de ses pointages, deux à quatre fois par jour, constitue une collecte excessive, parce que des pointeuses à badge classiques suffisent à contrôler les horaires (mises en demeure sur les badgeuses photo). Si votre entreprise utilise une badgeuse photo, une reconnaissance faciale ou une pointeuse à empreinte pour le simple décompte des heures, cette disproportion documentée par la CNIL renforce votre position : vous pouvez demander à l’employeur sur quelle analyse de proportionnalité il se fonde, en visant l’article L. 1121-1 du code du travail, selon lequel « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».
II. Contester le décompte et obtenir le paiement puis la réparation
A. Devant le conseil de prud’hommes, comment la preuve des heures supplémentaires se partage-t-elle ?
Commencez par établir votre propre décompte, même imparfait. Relevez semaine par semaine vos heures d’arrivée et de départ à partir de vos agendas, de vos courriels horodatés, de vos tickets de transport, de vos relevés de badgeuse obtenus par votre demande d’accès et des attestations de collègues. Un tableau simple et régulier vaut mieux qu’une affirmation générale : indiquez les jours, les horaires, les pauses déduites et les totaux hebdomadaires, en retranchant les absences et les congés. Ce décompte personnel est la pièce centrale de votre dossier, parce que le droit n’exige pas de vous une preuve parfaite. Dans un arrêt de principe du 18 mars 2020 (pourvoi n° 18-10.919), la chambre sociale a jugé qu’« il appartient au salarié de présenter, à l’appui de sa demande, des éléments suffisamment précis quant aux heures non rémunérées qu’il prétend avoir accomplies afin de permettre à l’employeur, qui assure le contrôle des heures de travail effectuées, d’y répondre utilement en produisant ses propres éléments ». Des éléments suffisamment précis, donc, pas une reconstitution minute par minute : votre décompte, vos relevés d’accès et quelques pièces qui les corroborent suffisent à ouvrir le débat et à mettre l’employeur en demeure de répondre.
Une fois votre décompte versé aux débats, c’est à l’employeur de produire ses propres éléments, et son silence lui coûte cher. L’article L. 3171-4 du code du travail dispose qu’« En cas de litige relatif à l’existence ou au nombre d’heures de travail accomplies, l’employeur fournit au juge les éléments de nature à justifier les horaires effectivement réalisés par le salarié », et le juge « forme sa conviction » au vu des éléments des deux parties, « après avoir ordonné, en cas de besoin, toutes les mesures d’instruction qu’il estime utiles ». Concrètement, si vous présentez un décompte précis et que l’employeur se borne à le critiquer sans produire ses relevés de pointage, ses plannings ou ses journaux informatiques, le juge peut accueillir votre demande. Et si le décompte est assuré par un système d’enregistrement automatique, le même article ajoute que « celui-ci doit être fiable et infalsifiable » : un logiciel que l’encadrement peut retoucher à la main, une badgeuse dont les oublis sont complétés sans traçabilité ou des exports partiels perdent leur force probante, et vous pouvez demander au juge une mesure d’instruction, par exemple la production intégrale des journaux ou une expertise du système.
N’attendez pas pour agir, car le temps joue contre vous sur deux tableaux. D’abord, l’article L. 3245-1 du code du travail dispose que « L’action en paiement ou en répétition du salaire se prescrit par trois ans à compter du jour où celui qui l’exerce a connu ou aurait dû connaître les faits lui permettant de l’exercer ». Vous ne pouvez donc réclamer que les trois dernières années de salaire, et chaque mois qui passe efface le mois correspondant trois ans plus tôt. Ensuite, les relevés eux-mêmes disparaissent : les documents de comptabilisation des heures ne sont conservés qu’un an à la disposition de l’inspection du travail, et les journaux informatiques sont souvent purgés plus vite encore. Adressez donc votre demande de relevés et votre réclamation écrite le plus tôt possible, puis saisissez le conseil de prud’hommes compétent : selon l’article R. 1412-1 du code du travail, vous pouvez saisir « celui dans le ressort duquel est situé l’établissement où est accompli le travail », ou encore celui du lieu de votre domicile si vous travaillez à domicile ou hors établissement, ou celui du lieu d’embauche. Pour un salarié qui travaille à Paris ou en Île-de-France, le conseil de prud’hommes de Paris ou celui du département du lieu de travail est donc directement accessible, sans détour par le siège social de l’entreprise quand celui-ci se trouve ailleurs.
Préparez aussi l’argument de l’accord de l’employeur, car des heures effectuées sans ordre écrit exprès restent dues dans bien des cas. Le ministère du travail rappelle que les heures supplémentaires sont celles effectuées à la demande de l’employeur ou avec son accord, même implicite, ou rendues nécessaires par les tâches confiées au salarié (fiche officielle sur les heures supplémentaires). Des dépassements connus du supérieur, des objectifs irréalisables dans l’horaire contractuel, des connexions tardives visibles sur les outils de l’entreprise ou des relevés de badgeuse que l’employeur détenait sans réagir établissent cet accord implicite. Croisez donc vos relevés d’accès avec vos livrables et votre charge de travail : c’est cette cohérence entre les traces numériques et l’activité réelle qui emporte la conviction du juge. Les salariés soumis à des outils de surveillance rapprochée trouveront des développements complémentaires sur la contestation de ces dispositifs dans l’analyse consacrée à la surveillance par keylogger, captures d’écran ou webcam et à ses voies de recours, dont plusieurs raisonnements sur la proportionnalité et la preuve illicite sont transposables aux relevés de temps de travail.
Si vous êtes soumis à une convention de forfait en jours, la logique reste la même mais les pièces changent : ce sont alors les documents qui comptabilisent vos jours travaillés, conservés trois ans, qui servent de point de départ, croisés avec vos agendas, vos déplacements et vos connexions. Un forfait privé d’entretien annuel de charge de travail ou de décompte fiable peut être déclaré inopérant par le juge, ce qui rouvre le droit au paiement des heures supplémentaires sur la période concernée. Dans ce cas, vos relevés d’accès et vos journaux informatiques redeviennent décisifs, car ils matérialisent l’amplitude réelle de vos journées face à un décompte en jours qui la masquait. Demandez ces documents dès la contestation du forfait, par les mêmes voies d’accès écrites, avant toute purge des historiques.
B. CNIL, inspection du travail et juge : quelles sanctions et quelles réparations demander ?
Quand l’employeur refuse de communiquer vos relevés, conserve vos données au-delà du nécessaire ou détourne un dispositif de sa finalité, la plainte devant la CNIL est une voie autonome et efficace. Vous pouvez saisir le service des plaintes de la CNIL en exposant les faits : dispositif jamais porté à votre connaissance, absence de réponse à votre demande d’accès, badgeuse photo systématique, relevés de sécurité utilisés pour contrôler vos horaires. Joignez vos demandes écrites restées sans réponse et, si possible, la documentation du dispositif. La CNIL peut contrôler l’entreprise, la mettre en demeure de se conformer, comme elle l’a fait pour les badgeuses photo, puis saisir sa formation restreinte qui peut prononcer une sanction pécuniaire publique. Même sans sanction, une mise en demeure obtenue en cours de litige prud’homal pèse dans l’appréciation du juge sur la loyauté des preuves de l’employeur.
L’inspection du travail est votre deuxième appui. Puisque l’employeur doit tenir à sa disposition les documents qui permettent de comptabiliser votre temps de travail, signalez-lui par écrit l’absence de décompte, le refus de produire les relevés ou l’existence d’un système manifestement retouchable. L’agent de contrôle peut demander la production des documents, constater leur absence et dresser procès-verbal. Ce constat administratif, versé ensuite devant le conseil de prud’hommes, objective le manquement de l’employeur à son obligation de décompte et corrobore votre propre relevé. Pour les salariés d’Île-de-France, la demande s’adresse à l’unité départementale d’affectation du lieu de travail, et elle peut être adressée en parallèle de la procédure prud’homale sans la suspendre.
Devant le juge, vos demandes se cumulent par fondement. Au titre du salaire, réclamez le rappel d’heures supplémentaires avec les majorations légales et les congés payés afférents, en détaillant votre calcul semaine par semaine à partir de votre décompte et des relevés obtenus. Au titre de la protection des données, l’article 82 du règlement (UE) 2016/679 ouvre à toute personne victime d’une violation du règlement un droit à réparation de son préjudice matériel ou moral contre le responsable du traitement ou le sous-traitant : un contrôle des horaires par un dispositif illicite, une surveillance excessive ou un refus persistant d’accès à vos relevés causent un préjudice moral distinct du salaire impayé, que le juge peut réparer par des dommages et intérêts. Enfin, sur le plan pénal, l’article 226-16 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de mettre en œuvre un traitement de données personnelles sans respecter les formalités préalables prévues par la loi : sans déposer plainte vous-même dans la plupart des dossiers, le rappel de cette incrimination dans vos écritures souligne la gravité du manquement et peut justifier une transmission au procureur par le juge ou par la CNIL.
Constituez votre dossier comme un enquêteur : demande écrite de relevés à l’employeur avec preuve d’envoi, demande d’accès au titre de la protection des données, copie de l’information qui vous a été donnée sur chaque dispositif, exports de badgeuse et journaux conservés, décompte personnel hebdomadaire, attestations de collègues, signalement à l’inspection du travail et plainte à la CNIL si nécessaire. Chaque pièce a une fonction : votre décompte ouvre le débat sur la preuve partagée, les relevés obtenus le chiffrent, les manquements de l’employeur à ses obligations de décompte et d’information le fragilisent, et les démarches devant la CNIL et l’inspection documentent l’illicite. C’est cet ensemble cohérent, traces numériques et démarches écrites, qui transforme des heures contestées en condamnation.
Vos passages enregistrés chaque jour ne sont pas seulement des traces de présence : ce sont des preuves que le droit vous permet d’exiger, et des données personnelles dont l’usage détourné ou excessif se sanctionne. L’employeur qui refuse de produire ses relevés devant le juge tout en contrôlant vos horaires par des moyens illicites cumule les torts, et la combinaison du droit du travail et de la protection des données offre dans ce cas le dispositif de recours le plus complet : décompte partagé devant les prud’hommes, rappel de salaire sur trois ans, contrôle de la CNIL, constat de l’inspection du travail et réparation du préjudice né de la violation de vos données. Agissez tôt, écrivez tout et conservez chaque relevé : dans ce contentieux, la trace que vous gardez vaut souvent autant que celle que l’employeur efface.