Un responsable découvre qu’un salarié passe ses après-midi sur des sites sans rapport avec son poste. Premier réflexe : installer un logiciel pour tout enregistrer. C’est souvent la pire idée.
Un employeur a le droit de contrôler l’activité de ses équipes. Mais ce droit est encadré par le Code du travail, par le RGPD et par une jurisprudence abondante. Un dispositif mal mis en place peut coûter une sanction de la CNIL et rendre la preuve obtenue inutilisable devant le conseil de prud’hommes.
Ce guide s’adresse d’abord aux employeurs, petites structures comprises. Il intéressera aussi les salariés qui veulent savoir ce qu’on peut leur imposer.
Trois règles du Code du travail à connaître avant tout
Tout part de quelques articles courts, souvent méconnus.
| Règle | Texte | Ce que cela implique |
|---|---|---|
| Proportionnalité | Article L1121-1 du Code du travail | Une restriction aux libertés des salariés doit être justifiée par la nature de la tâche et proportionnée au but recherché |
| Transparence | Article L1222-4 du Code du travail | Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance |
| Consultation du CSE | Article L2312-38 du Code du travail | Le comité social et économique est informé et consulté avant la mise en œuvre de moyens permettant un contrôle de l’activité des salariés |
Le troisième point a changé de nom avec les ordonnances de 2017. Avant, on parlait du comité d’entreprise. Aujourd’hui, la consultation passe par le CSE, et elle doit intervenir avant le déploiement, pas après. Le sujet peut être inscrit à l’ordre du jour d’une réunion du CSE ordinaire.
Ces trois règles se cumulent. Un outil proportionné mais caché reste illicite. Un outil annoncé mais disproportionné aussi.
Derrière ces textes, il y a un principe plus large : le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée. La Cour de cassation l’affirme depuis 2001, et la Cour européenne des droits de l’homme l’a rappelé en 2017 dans l’affaire Bărbulescu contre Roumanie. Notre page sur la protection de la vie privée présente ce droit dans son ensemble.
Ce que le RGPD a changé depuis 2018
Avant mai 2018, la plupart des fichiers concernant les salariés devaient être déclarés à la CNIL. Le RGPD a supprimé ces formalités préalables pour les remplacer par une obligation de conformité permanente.
Pour un dispositif de contrôle, l’employeur doit en pratique :
- inscrire le traitement dans son registre des traitements
- définir une finalité précise (sécurité des locaux, prévention des fuites de données, suivi des véhicules)
- fixer une durée de conservation limitée
- informer individuellement chaque salarié, par une note ou une clause du règlement intérieur
- mener une analyse d’impact quand la surveillance est systématique ou à grande échelle
Les données concernées sont plus larges qu’on ne le croit. Un identifiant de connexion, une plaque d’immatriculation ou un journal d’accès au réseau sont des données à caractère personnel dès qu’ils permettent de remonter à une personne.
Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. La CNIL a déjà sanctionné des entreprises pour une surveillance jugée excessive de la productivité de leurs salariés.
Vidéosurveillance, géolocalisation, logiciels : dispositif par dispositif
Les caméras
Filmer les entrées, les zones de stockage ou les issues de secours se justifie facilement. Filmer un salarié en continu à son poste, beaucoup moins. La CNIL n’admet ce type de dispositif que dans des circonstances particulières, par exemple un salarié qui manipule des fonds.
Les zones de pause et les toilettes ne doivent jamais être filmées. Un panneau doit informer les personnes de l’existence des caméras.
La géolocalisation des véhicules
Un traceur GPS peut servir à organiser des tournées ou à sécuriser un véhicule. Il ne doit pas servir à contrôler le temps de travail lorsque ce contrôle peut être fait par un autre moyen. Hors du temps de travail, le salarié doit pouvoir désactiver la géolocalisation.
Les logiciels de contrôle
Les enregistreurs de frappe, qui captent tout ce que tape un salarié, sont en principe proscrits par la CNIL, sauf impératif de sécurité très fort. Même logique pour les captures d’écran à intervalles réguliers.
Le télétravail
Le travail à domicile ne donne pas de droits supplémentaires à l’employeur. Selon la CNIL, exiger une webcam allumée toute la journée ou un partage d’écran permanent est en principe disproportionné.
Le contrôle doit porter sur le travail rendu et sur le respect du temps de travail, avec les mêmes garanties qu’au bureau.
Mon conseil : avant d’acheter un outil, écrivez en une phrase le problème que vous voulez résoudre. Si la phrase est vague, l’outil sera disproportionné.
Messagerie et fichiers : ce qui est personnel reste protégé
Les messages envoyés depuis la messagerie professionnelle sont présumés professionnels. L’employeur peut donc les ouvrir hors de la présence du salarié.
Il existe une exception de taille. Depuis l’arrêt Nikon de la Cour de cassation du 2 octobre 2001, un message identifié comme personnel est couvert par le secret des correspondances, même envoyé depuis l’ordinateur du bureau. Un objet ou un dossier intitulé « personnel » suffit en principe. Un intitulé comme « mes documents » ne suffit pas.
La question des e-mails mérite à elle seule un article, et nous lui avons consacré une page entière sur l’e-mail et le contrôle des salariés.
Et la preuve obtenue de façon déloyale ? Depuis un arrêt de l’assemblée plénière de la Cour de cassation du 22 décembre 2023, elle n’est plus automatiquement écartée. Le juge peut l’admettre si elle est indispensable à l’exercice du droit de la preuve et si l’atteinte aux droits du salarié reste proportionnée. C’est une possibilité, pas un feu vert.
Réseaux sociaux et expression publique des salariés
Un salarié jouit de sa liberté d’expression, dans l’entreprise comme en dehors. Il ne peut être sanctionné que pour un abus : propos injurieux, diffamatoires ou excessifs.
Tout dépend du caractère public ou privé de l’échange. La Cour de cassation a jugé que des propos tenus dans un groupe fermé réunissant un petit nombre de personnes relevaient d’une conversation privée. Ils ne pouvaient pas fonder un licenciement pour faute grave.
À l’inverse, un message publié sur un profil ouvert à tous peut engager la responsabilité du salarié, voire celle de l’entreprise si le salarié s’exprime en son nom. Les situations de dénigrement entre collègues sont détaillées dans notre article sur la diffamation au travail.
Franchement, la meilleure prévention reste une charte informatique claire, annexée au règlement intérieur, qui précise qui peut parler au nom de l’entreprise et sur quels comptes.
Les données des salariés sur le site de l’entreprise
Page équipe, organigramme, photos des collaborateurs : le site internet de l’entreprise diffuse lui aussi des données personnelles. Les salariés concernés doivent être informés et peuvent s’opposer à la diffusion pour des raisons tenant à leur situation particulière.
Pour les photos, le salarié dispose en plus de son droit à l’image. Demandez une autorisation écrite, limitée à l’usage prévu, et retirez la photo quand la personne quitte l’entreprise.
Même raisonnement pour l’intranet. Annuaire, forums, messagerie interne, statistiques de connexion : chacun de ces services collecte des données et doit figurer au registre.
Avant de déployer un dispositif : la liste de contrôle
- Écrire la finalité précise du contrôle
- Vérifier qu’aucun moyen moins intrusif ne permet d’atteindre le même but
- Consulter le CSE s’il existe
- Informer chaque salarié individuellement
- Inscrire le traitement au registre et fixer une durée de conservation
- Limiter l’accès aux données à quelques personnes habilitées
Un doute sur un dispositif particulier, ou un litige déjà engagé ? C’est le moment de consulter un avocat en droit du travail ou votre délégué à la protection des données.
Questions fréquentes
Un employeur peut-il surveiller ses salariés sans les prévenir ?
Non. Le Code du travail interdit de collecter des informations sur un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance. Le CSE doit aussi être informé et consulté avant la mise en place d’un moyen de contrôle de l’activité.
L’employeur peut-il lire les e-mails de ses salariés ?
Il peut ouvrir les messages de la messagerie professionnelle, présumés professionnels. Un message clairement identifié comme personnel reste protégé par le secret des correspondances. L’employeur ne peut pas en prendre connaissance librement.
Faut-il encore déclarer la vidéosurveillance à la CNIL ?
Non, la déclaration préalable a disparu avec le RGPD en 2018 pour les caméras filmant des lieux non ouverts au public. L’employeur doit en revanche inscrire le dispositif à son registre, informer les salariés et consulter le CSE.
Un salarié peut-il être licencié pour un message sur un réseau social ?
Cela dépend du contenu et de l’audience. Des propos injurieux ou diffamatoires publiés de façon publique peuvent justifier une sanction. Des propos tenus dans un groupe privé restreint relèvent en principe de la vie privée.
