[Pratique professionnelle] La surveillance numérique des salariés et la vie privée

Mots-clés : surveillance • entreprise • salarié • droit du numérique • vie privée • fiscalité́ • droit du travail • vidéosurveillance • CNIL • RGPD

Dans son rapport annuel 2021, la Commission nationale de l’informatique et des libertés (CNIL) rapporte une hausse des cas de surveillance du salarié par l’employeur et souligne que certains dispositifs de contrôle des salariés travaillant à distance sont excessifs. La question de la surveillance des salariés est loin d’être marginale lorsque les nouvelles technologies permettent un contrôle toujours plus poussé de la productivité des travailleurs. Dans le cadre de son pouvoir de direction et disciplinaire, il faut rappeler que l’employeur doit s’assurer de la bonne exécution du travail de ses salariés. « L’employeur a le droit et même le devoir de surveiller l’activité de ses salariés » [1]. Il lui incombe notamment, en matière de durée du travail, l'obligation de fournir au juge des éléments de nature à justifier les horaires qu'il a effectivement réalisés. Mais jusqu’où peut-il aller pour rendre ce contrôle effectif ?

Le contrôle désigne au sens littéral « l’action de contrôler quelque chose, quelqu’un, de vérifier leur état ou leur situation au regard d’une norme » [3]. Dans l’usine, la surveillance du salarié était matérialisée par une pointeuse et un contremaître. La première s’assurait que le salarié arrivait et partait bien à l’heure, le second s’assurait que le salarié suivait bien le rythme imposé par la cadence de la machine. La révolution numérique introduit une nouvelle rupture [4]. « S’ouvre désormais l’ère du ‘‘contremaître virtuel’’ pouvant tout exploiter sans que le salarié en ait toujours parfaitement conscience et permettant, le cas échéant, au-delà des légitimes contrôles de sécurité et de productivité des salariés, d’établir le profil professionnel, intellectuel ou psychologique du salarié » [5]. À la surveillance physique et présentielle, on peut aujourd’hui suppléer la comptabilisation de chaque action du salarié. Le développement des nouvelles technologies a permis à l’employeur d’introduire des dispositifs de contrôle et de surveillance au sein de l’entreprise qui complètent le contrôle humain ou s’y substituent. Se faisant, les technologies numériques et les moyens de surveillance qu’elles offrent opèrent un nouvel équilibre entre les prérogatives de l’employeur et la liberté dont jouit le salarié [6]. L’évolution du rapport de travail tend à entraîner une concentration du pouvoir de l’employeur sur le contrôle de l’activité (II.). Ce pouvoir se heurte toutefois à la prise en compte des libertés des salariés et en particulier la protection de sa vie privée (I.).

I. Les données personnelles et la protection de la vie privée du salarié au travail

La protection des données personnelles est gouvernée par des normes internationales, communautaires et nationales, au premier rang desquelles figure l’article 8 relatif au respect de la vie privée de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales N° Lexbase : L4798AQR [7]. Cet article définit le droit au respect « de sa vie privée et familiale, de son domicile et de sa correspondance ». Ce droit est toutefois sujet à des restrictions « prévues par la loi » et « nécessaires, dans une société démocratique ».

La protection des données à caractère personnel est devenue un sujet majeur dans les relations sociales. A priori, le pouvoir de contrôle de l’employeur est plus étendu grâce aux technologies de l’information et de la communication. La vidéosurveillance, les puces RFID, la géolocalisation, le fait de pouvoir joindre un salarié partout (notamment sur son portable) représentent autant de moyens qui permettent à l’employeur de savoir ce que le salarié fait. Mais se faisant il pourra potentiellement atteindre à la vie personnelle. C’est d’autant plus vrai lorsque le salarié travaille à son domicile. La dissémination toujours plus importante des données personnelles et la capacité croissante d’un certain nombre d’acteurs, à regrouper les données concernant un même individu, causent une perte de maîtrise de leurs données par les individus et des risques dont ceux-ci ne perçoivent encore qu’imparfaitement la matérialité. En effet, le respect de la vie privée du salarié inclut la protection de ses données personnelles et le respect de la confidentialité des correspondances et communications personnelles. Dès qu’il est possible de rattacher une information à une personne, même par le biais d’un cryptage ou d’un numéro d’identification, cette information constitue une donnée à caractère personnel, et elle est à ce titre protégée par la loi.

A. La correspondance privée du salarié : la jurisprudence de la CEDH

La Cour européenne des droits de l’homme a clairement affirmé que : « le respect de la vie privée doit aussi englober, dans une certaine mesure, le droit pour l’individu de nouer et développer des relations avec ses semblables. Il paraît, en outre, n’y avoir aucune raison de principe de considérer cette manière de comprendre la notion de vie privée comme excluant les activités professionnelles ou commerciales : après tout, c’est dans leur travail que la majorité des gens ont beaucoup, voire le maximum d’occasions de resserrer leurs liens avec le monde extérieur. Un fait, souligné par la Commission, le confirme : « dans les occupations de quelqu’un, on ne peut pas toujours démêler ce qui relève du domaine professionnel de ce qui en sort » [8]. Dans l’affaire Halford c. Royaume-Uni, la CEDH a établi que l’interception d’appels téléphoniques passés par les salariés depuis leur poste de travail constitue une violation de l’article 8 de la Convention. La Cour, dans cet arrêt, affirme qu’« il ressort clairement de sa jurisprudence que les appels téléphoniques émanant de locaux professionnels, tout comme ceux provenant du domicile, peuvent se trouver compris dans les notions de vie privée et de correspondance visées à l’article 8, § 1er. Rien ne prouve que Mme Halford ait été prévenue, en qualité d’utilisatrice du réseau interne de télécommunications [...], que les appels passés sur ce système étaient susceptibles d’être interceptés. La Cour estime qu’elle pouvait raisonnablement croire au caractère privé de ce type d’appels » [9].

B. La protection de l’intimité du salarié au travail

La distinction entre vie personnelle et vie professionnelle du salarié conduit à permettre une surveillance plus stricte du travailleur au temps et au lieu du travail que pendant les périodes où le salarié échappe à l’autorité de l’employeur [10].

La Cour de cassation déclare toutefois que « le salarié a droit, même au temps et au lieu du travail, au respect de l’intimité de sa vie privée et que celle-ci implique en particulier le secret des correspondances » [11].

Même lorsqu’il est au travail, une part de la personne du salarié échappe donc au pouvoir de l’employeur. Celui-ci ne saurait, par exemple, interdire toute conversation étrangère au service entre salariés [12].

Dans son questions-réponses sur le télétravail [13], la CNIL rappelle par exemple que lorsqu’il n’est pas possible de flouter l’arrière-plan (où l’on peut voir l’intimité de son domicile), l’employeur ne peut pas exiger d’un salarié qu’il active sa caméra en permanence à l’occasion d’une réunion en visioconférence sauf dans des cas particuliers comme un entretien RH ou une rencontre avec des clients extérieurs.

II. Les grands principes des règles de protection des données personnelles appliqués aux dispositifs de surveillance

Un employeur a le droit de contrôler à tout moment l’activité de son personnel sans le prévenir. Cela fait partie de son pouvoir de direction. Attention toutefois, si un employeur ne veut plus se contenter d’un contrôle humain, mais souhaite installer du matériel de surveillance (caméras, écoutes téléphoniques, GPS dans un véhicule de la société...), il devra alors non seulement se conformer aux exigences de la loi informatique et liberté, informer ses équipes et consulter le CSE. Suivant l’article 6 de la loi « Informatique et Libertés » N° Lexbase : L8794AGS, un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions mentionnées.

Il convient, dès lors, d’évaluer l’incidence de chacun des principes clés de la protection des données personnelles appliquée à la relation de travail : le principe de finalité (A.), le principe de proportionnalité et de pertinence des données (B.), le principe d’une durée de conservation des données limitée (C.), le principe de sécurité et de confidentialité des données (D.), le principe du respect des droits des salariés (E.).

A. Le principe de finalité

Le principe de finalité découle de l’obligation de loyauté des cocontractants. En effet, suivant le premier alinéa de l’article 4 de la loi « Informatique et Libertés », « les données sont collectées et traitées de manière loyale et licite ». Le deuxième alinéa précise qu’« elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données ».

B. Le principe de proportionnalité et de pertinence des données

Le système mis en place doit être proportionnel au but recherché. L’article L. 1121-1 du Code du travail précise que « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » N° Lexbase : L0670H9P. L’article L. 1321-3 du Code du travail N° Lexbase : L7923LCG, qui aborde les restrictions possibles des droits des salariés par le règlement intérieur, va également dans le sens de la proportionnalité. Le traitement d’informations faisant apparaître les opinions et convictions qui sont en rapport avec l’état de santé et la vie sexuelle, y compris les données génétiques, est interdit, hormis certaines exceptions énumérées de façon limitative par la loi.

Suivant le troisième alinéa de l’article 4 de la loi « Informatique et Libertés », les données collectées doivent également être « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ». Le pouvoir « discrétionnaire » laisse ainsi place à un contrôle de la légitimité, à un contrôle des justifications.

Le traitement de données personnelles n'est possible que s'il existe une raison suffisamment légitime pour le justifier, s'il est indispensable pour pouvoir exécuter un contrat, pour respecter une obligation ou assurer la sécurité des biens et des personnes. Le pouvoir patronal est invité à une motivation de plus en plus poussée notamment lorsqu’il vient se heurter aux libertés fondamentales. Les magistrats ont ainsi mis en place ces dernières années un contrôle plus poussé des objectifs fixés par les employeurs.

C. Le principe d'une durée de conservation des données limitée

La proportionnalité réside également dans la question de la durée de conservation des données. Suivant le cinquième et dernier alinéa de l’article 4 de la loi du 6 janvier 1978, les données « sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ». Celle-ci doit être conforme à la finalité poursuivie par le traitement mis en place et ayant fait objet d’une déclaration à la CNIL. La mesure impose ici à la technique une conservation limitée dans le temps. Les informations ne peuvent être conservées de façon indéfinie dans les fichiers informatiques. Une durée de conservation précise doit ainsi être déterminée en fonction de la finalité de chaque fichier. Le législateur a prévu expressément certaines durées de conservation. Les fichiers relatifs à la paie doivent par exemple être conservés cinq ans [14], les documents relatifs à la comptabilisation des jours de travail des salariés sous convention de forfait doivent être conservés trois ans [15]. Finalement, même si le support informatique permet une conservation quasi-illimitée des informations l’employeur doit prévoir en amont leurs suppressions pour rendre ce principe effectif.

D. Le principe de sécurité et de confidentialité des données

L’employeur, en tant que responsable du traitement, est également astreint à une obligation de sécurité : il doit définir les mesures nécessaires pour garantir la confidentialité des données. Cette obligation passe par la sécurité des matériels, des mots de passe individuels, des habilitations d’accès définies en fonction des besoins réels de chaque intervenant. Ainsi, les données à caractère personnel ne peuvent être consultées que par les services habilités à y accéder en raison de leurs fonctions. Elles peuvent néanmoins être communiquées à des tiers autorisés en application de dispositions législatives particulières (inspection du travail, services fiscaux, services de police...).

E. Le principe du respect des droits des salariés

Il est nécessaire de maintenir un équilibre entre le contrôle de l’activité des salariés et la protection de la vie privée. Cet équilibre passe avant tout par une bonne compréhension des droits et des obligations de chacun, et du cadre légal applicable. Si l’employeur a le pouvoir de contrôler et de surveiller l’activité de son personnel pendant le temps de travail, il ne peut mettre en œuvre un dispositif de surveillance clandestin et, à ce titre, déloyal [16]. Conformément à l’article L. 1222-4 du Code du travail N° Lexbase : L0814H9Z, « aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». L’information du salarié sur les dispositifs de contrôle de son activité découle directement du principe de loyauté, qui doit exclure les modes de preuves ayant pour objet ou pour effet de piéger le salarié. Selon une formule classique de la Cour de cassation, si l’employeur a le droit de contrôler et de surveiller l’activité de son personnel durant le temps de travail, il ne peut mettre en œuvre un dispositif de contrôle qui n’a pas été porté préalablement à la connaissance des salariés [17].

Le salarié est également en droit d’accéder aux données personnelles le concernant traitées par son employeur et, le cas échéant, de demander la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme. En effet, suivant le quatrième alinéa de l’article 4 de la loi « Informatique et Libertés », « toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». S’agissant de l’enquête contradictoire préalable à la délivrance d’une autorisation administrative de licenciement d’un salarié protégé, celui-ci doit, sous peine d’irrégularité de l’autorisation de licenciement, être informé non seulement de l’existence des pièces de la procédure, mais aussi de son droit à en demander la communication [18].

Toute personne a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant soient enregistrées dans un fichier informatique, sauf si celui-ci résulte d’une obligation légale ou réglementaire, comme, par exemple, la tenue du registre du personnel. Un salarié peut ainsi s’opposer à la mise en ligne de ses coordonnées professionnelles ou de sa photographie [19]. Afin d’anticiper les contentieux, il est ainsi recommandé que l’utilisation de photographies de salariés sur l’internet fasse l’objet d’une autorisation préalable écrite.

© Reproduction interdite, sauf autorisation écrite préalable