Dans un document, la CNIL rappelle que l'employeur dispose d'un véritable pouvoir de contrôle et de surveillance sur l'activité de son personnel, mais que ce pouvoir reste strictement encadré par plusieurs conditions cumulatives et non négociables.
Alors que les outils de surveillance se multiplient dans les entreprises, la Commission nationale de l'informatique et des libertés (CNIL) profite de l'été et des quelques semaines qui nous séparent de la rentrée de septembre pour rappeler les limites du pouvoir de contrôle de l'employeur sur ses salariés. Les dispositifs comme la badgeuse, la géolocalisation, la vidéosurveillance ou les logiciels de suivi d'activité restent autorisés, mais leur mise en place est soumise à trois conditions qui doivent toutes être réunies en même temps, sans exception. Le gendarme des données détaille, exemples concrets à l'appui, la frontière entre un contrôle légitime et une surveillance abusive. Voilà qui devrait en intéresser plus d'un !
Voici ce que l'employeur peut surveiller sans enfreindre la loi
Que ce soit pour s'assurer que les tâches soient bien réalisées, ou veiller à la sécurité de chacun sur le lieu de travail, l'employeur dispose de ce que le droit du travail appelle un « pouvoir de direction ». Concrètement, c'est ce même pouvoir, celui qui lui permet de fixer les horaires ou d'organiser les missions, qui l'autorise aussi à surveiller l'activité de ses équipes. Il n'y a rien d'anormal à cela, et la CNIL rappelle que ce droit découle directement du contrat de travail, un peu comme sa contrepartie logique. Mais ce pouvoir a beau être légitime, il n'est pas pour autant illimité.
Car ce contrôle peut prendre plusieurs formes. Il peut s'agir de la simple utilisation des équipements professionnels comme l'ordinateur, le téléphone ou la voiture de service, mais aussi de la gestion des accès aux locaux et du suivi des horaires. La vidéosurveillance fait également partie de la panoplie, tout comme, selon les cas, la géolocalisation ou l'écoute téléphonique, chacune de ces technologies répondant à des règles qui lui sont propres.
La vie privée ne s'arrête pas à la porte du bureau. Le code du travail interdit toute restriction aux libertés individuelles qui ne serait ni justifiée par la tâche à accomplir, ni proportionnée au but recherché. La Cour de cassation l'a confirmé dès 2001 en disant que les salariés conservent, même sur leur lieu et pendant leur temps de travail, un droit au respect de leur intimité. Imaginons par exemple un coup de fil personnel passé depuis le téléphone du bureau, ou un rapide message envoyé depuis son ordinateur professionnel : en théorie, rien ne justifie une sanction, tant que cela reste occasionnel et sans conséquence pour l'employeur.
Ce qui rend une géolocalisation permanente légale ou non
Le cadre réglementaire impose justification et proportionnalité, autrement dit prouver que le dispositif de surveillance sert un vrai besoin, sans en faire plus que nécessaire. Avant d'installer quoi que ce soit, l'employeur doit donc se poser les bonnes questions : à quoi va servir précisément cet outil, et quels risques fait-il peser sur les droits des salariés ? Il doit aussi vérifier qu'il n'existe pas de solution moins intrusive pour arriver au même résultat, un peu comme on choisirait la caméra la moins gênante plutôt que la plus puissante. Cela l'oblige à déterminer quelles données sont vraiment utiles, combien de temps les garder, et qui, dans l'entreprise, a le droit d'y accéder. Une chose est sûre, une surveillance permanente et continue du personnel est, par principe, jugée excessive par la CNIL.
La CNIL décrit mieux cette règle par deux cas opposés, presque symétriques. Un keylogger, qui est un logiciel qui enregistre chaque frappe au clavier d'un salarié en télétravail, est jugé disproportionné, car il capte indistinctement des données professionnelles et personnelles, plaçant de fait la personne sous une surveillance quasi permanente. À l'inverse, un outil qui se contente de remonter, en toute transparence, le nombre de dossiers traités par trimestre passe le test haut la main. C'est logique, puisque la productivité fluctue naturellement selon des facteurs qui échappent au salarié, et la mesurer sur une période longue donne une image bien plus juste du travail fourni qu'un flicage minute par minute.
Il existe toutefois des nuances. La géolocalisation permanente d'un véhicule d'urgence, par exemple, reste proportionnée puisqu'elle sert la réactivité des secours plutôt que la surveillance du personnel. En revanche, un outil censé optimiser des tournées (de livraison notamment) ne doit jamais servir, en coulisses, à contrôler la vitesse des employés. Un dispositif détourné de son objectif initial devient immédiatement illicite, prévient l'autorité administrative.
Comment réagir si vous êtes surveillé de façon abusive au travail
La deuxième condition est réservée aux structures de 50 salariés ou agents et plus. Il s'agit de la consultation préalable des instances représentatives du personnel. Dans le privé, c'est le comité social et économique (CSE) qui doit être associé en amont ; et dans le public, ce rôle revient au comité social d'administration, territorial ou d'établissement (CSA, CST, CSE selon les cas). Installer une badgeuse ou des caméras sans consulter ces instances rend le dispositif illicite d'emblée, quand bien même il serait par ailleurs parfaitement proportionné. Ici, la forme compte autant que le fond.
La dernière condition, c'est l'information. Chaque dispositif doit être porté à la connaissance des personnes concernées avant sa mise en place, au nom du principe de loyauté qui structure toute la relation de travail. L'employeur doit, en outre, être capable de prouver à tout moment le respect de ces trois conditions : détailler son analyse de nécessité et de proportionnalité, tracer le cycle de vie des données collectées, mais aussi documenter les mesures prises pour permettre aux salariés d'exercer leurs droits. Il s'agit donc d'un dossier à tenir à jour, et non une simple formalité qu'on coche une fois pour toutes dans sa check-list.
En cas de doute ou d'abus constaté, chacun doit savoir que plusieurs recours existent, et ils dépendent de la nature du problème rencontré. La CNIL peut être saisie pour toute atteinte à la protection des données personnelles, l'inspection du travail pour des situations de harcèlement moral, la préfecture lorsque des caméras filment des lieux ouverts au public, ou encore la police, la gendarmerie et la justice si les faits sont susceptibles de constituer une infraction pénale. La CNIL rappelle d'ailleurs contrôler et sanctionner régulièrement les employeurs qui franchissent la ligne rouge. Reste à savoir si ces principes, pensés pour la badgeuse et la caméra, résisteront à la vague des outils de surveillance dopés à l'intelligence artificielle, de plus en plus discrets et de plus en plus fins.
