Surveillance informatique au travail : quels sont vos droits (et ceux de l’employeur) ?

Un employeur peut-il surveiller l’activité informatique de ses salariés (sites consultés, e-mails échangés…) ? Que pouvez-vous faire avec votre ordinateur de travail ? La CFTC fait le point !

Un employeur est libre d’exercer son pouvoir de surveillance, dans les limites fixées par la loi et à condition de tenir informés ses salariés des dispositifs déployés. À l’heure du tout numérique, ce droit fait notamment écho à la surveillance informatique au travail. Quel usage pouvez-vous faire de votre ordinateur professionnel ? Quels sont vos droits et ceux de l’employeur ? Existe-t-il des recours en cas de litige ? La CFTC fait le point.

Surveillance informatique des salariés : les droits de l’employeur

Périmètre et encadrement juridique

Les droits de l’employeur en matière de surveillance informatique s’appliquent aux outils que vous utilisez dans l’entreprise (ordinateur, connexion internet, messagerie professionnelle…) mais aussi à tout le matériel numérique mis à votre disposition dans le cadre de vos fonctions (smartphone, ordinateur portable, tablette…).

De plus, l’utilisation de plus en plus courante des réseaux sociaux par les salariés au moyen des outils informatiques mis à leur disposition ainsi que les propos émis sur une page personnelle hors temps et lieu de travail, impliquant l’entreprise ou les salariés, posent la question de l’obligation de discrétion à laquelle sont tenus les salariés et des éventuels abus.

Ces droits sont encadrés par différents textes de loi : le code civil (pour la protection de la vie privée), le code du travail (pour les droits et libertés dans l’entreprise, l’information des employés), ainsi que le code pénal (pour les atteintes aux droits des personnes résultant des traitements informatiques).

Que peut faire l’employeur ?

L’étendue des droits de l’employeur est souvent méconnue des salariés. Tout d’abord, il peut contrôler et limiter votre utilisation d’internet, en installant un logiciel de filtrage par exemple, qui restreint la navigation et bloque l’accès aux sites non autorisés. Il peut aussi prendre connaissance des sites que vous consultez (historique, favoris…).

L’employeur peut lire vos e-mails professionnels. Attention : ces emails sont par défaut tous les e-mails échangés depuis votre adresse professionnelle. Il en va de même pour les sms reçus et envoyés sur votre téléphone de travail : le caractère de ces messages est présumé professionnel. De manière générale, l’employeur possède un droit d’accès étendu au matériel informatique appartenant à l’entreprise. Il peut consulter librement les fichiers présents sur votre disque dur, ou sur tout autre espace de stockage relié à votre ordinateur de travail (une clé USB par exemple, y compris s’il s’agit de votre clé USB personnelle dès lors que les fichiers ne sont pas identifiés comme personnels). Et ce même en votre absence.

L’employeur peut également consulter les conversations tenues sur une messagerie professionnelle (chat…) si elles ne sont pas explicitement identifiées comme « personnelles » ou « privées ».

Depuis peu, dès lors qu’il n’a eu recours à aucun stratagème pour les recueillir (preuve obtenue loyalement), l’employeur peut produire en justice des éléments personnels extraits du compte Facebook privé d’un salarié, à la condition que cette production soit indispensable (et non plus seulement nécessaire) à l’exercice du « droit à la preuve » et que l’atteinte à la vie privée du salarié soit proportionnée au but poursuivi (Cass.soc. 30/09/2020, n° 19-12058).

L’employeur peut également utiliser en justice une preuve issue du traçage informatique -conservation des tâches accomplies par le salarié à partir de l’outil informatique- pour justifier une sanction disciplinaire, même si cette preuve est illicite au regard de la loi informatique et libertés. La Cour de cassation fait ainsi primer le droit à la preuve de l’employeur sur l’atteinte à la vie personnelle du salarié lorsque la production de cette preuve est indispensable à l’exercice de ce droit (Cass.soc.25/11/2020, n° 17-19523).

Dans quels buts ?

Ce droit de surveillance ne doit pas servir à espionner, ni à “fliquer” les salariés. Il est là pour assurer la sécurité des réseaux pouvant subir des attaques et permettre à l’employeur de récupérer toute donnée nécessaire à la bonne marche de l’entreprise (pendant vos congés par exemple), de limiter les abus d’une utilisation trop personnelle des outils ou pouvoir éventuellement se défendre en cas de litige Il vise aussi à limiter les baisses de concentration et de productivité liées à un usage abusif des outils connectés (échanges privés, discussions sur les réseaux sociaux, shopping en ligne, streaming vidéo…). À noter : une utilisation personnelle du matériel de travail est généralement tolérée par l’employeur, tant qu’elle reste raisonnable et qu’elle ne nuit ni aux performances du salarié, ni à sa sécurité.

Les limites aux droits de l’employeur et le respect de la vie privée

Le contrôle exercé ne peut pas devenir excessif. Pour être légaux, les dispositifs déployés doivent servir le but recherché. Une surveillance informatique disproportionnée constitue une atteinte à la vie privée des salariés. À titre d’exemple, votre employeur ne peut pas exiger de recevoir en copie automatique tous les e-mails que vous échangez. Vos identifiants et mots de passe sont confidentiels : ils n’ont pas à être transmis (sauf cas très exceptionnels). Les logiciels espions qui enregistrent à distance toutes les actions accomplies sur un ordinateur (type enregistreurs de frappe ou keyloggers) ne sont, quant à eux, pas autorisés.

Un employeur n’a pas non plus le droit de consulter les e-mails personnels de ses salariés. Pour être protégé, un message présent dans votre boîte mail professionnelle doit comporter la mention « Personnel » ou « Privé » en objet, ou bien être stocké dans un dossier séparé nommé « Personnel » ou « Privé ». En d’autres termes, le caractère confidentiel de la correspondance doit être clairement stipulé et immédiatement identifiable. À noter : votre employeur ne peut pas lire les messages échangés depuis votre adresse personnelle, même s’ils sont envoyés depuis votre poste de travail.

Le même principe s’applique aux fichiers enregistrés sur votre ordinateur de travail. Les documents stockés dans un dossier “Personnel” ou “Privé” (ou dont le nom porte l’une de ces mentions) ne peuvent pas être consultés par l’employeur. L’ouverture de ces documents n’est possible qu’en votre présence ou sur votre information.

L’employeur ne peut pas non plus consulter les conversations d’un salarié sur une messagerie instantanée personnelle, installée sur l’ordinateur professionnel, sans méconnaitre le secret des correspondances (Cass.soc. 23/10/2019, n° 17-28448).

En cas de litige, si la production d’un message privé Facebook n’est pas indispensable à l’exercice du droit à la preuve de l’employeur, le salarié peut solliciter en justice des dommages et intérêts même en l’absence de préjudice. La seule constatation de l’atteinte à la vie privée ouvre droit à réparation (Cass.soc.12/11/2020, n° 19-20583).

Information et recours : les droits du salarié

Les salariés ont droit au respect de leur liberté d’expression (sauf abus), de leur vie privée et au secret de leur correpondance.

Charte informatique et droit à l’information

Les représentants du personnel doivent être informés par l’employeur avant la mise en place de tout nouveau dispositif de surveillance. Concernant le stockage des données personnelles et leur utilisation, chaque salarié doit notamment être informé, dans le cadre du RGPD (Règlement général sur la protection des données) :

• des finalités poursuivies ;
• des destinataires des données ;
• de la durée de conservation des données ;
• de l’existence de ses droits (droit d’opposition pour motif légitime, droits d’accès et de rectification, possibilité de déposer une réclamation auprès de la CNIL…).

Ces informations, ainsi que les conditions d’utilisation d’internet et du matériel informatique de l’entreprise, doivent faire l’objet d’une charte jointe au règlement intérieur, d’une note individuelle ou d’une note de service. Tous les dispositifs de contrôle des outils informatiques sont à inscrire au registre des activités de traitement tenu par l’employeur. À noter : après avoir été communiquée aux représentants du personnel, à l’inspection du travail puis aux salariés, la charte informatique de l’entreprise doit être attentivement observée. Tout manquement expose le salarié à des sanctions disciplinaires pouvant conduire jusqu’au licenciement.

Qui contacter ou saisir en cas de litige ?

Comme dans tout conflit opposant salarié et employeur, l’aide d’un tiers est souvent nécessaire. Les membres du CSE (comité social et économique) sont vos représentants au sein de l’entreprise : ils vous informent et vous accompagnent en cas de litige (procédure disciplinaire, abus de l’employeur, manquement aux dispositions légales…). En matière de surveillance informatique aussi, ils connaissent vos droits et vos devoirs, ainsi que ceux de l’employeur. Grâce à la négociation et au dialogue, ils pourront vous aider à sortir d’une situation conflictuelle, à trouver des solutions et parvenir à un compromis. Dans le cas d’une procédure disciplinaire, ils pourront vous assister à chaque étape, notamment pendant l’entretien avec l’employeur.

En cas d’abus de la part de l’employeur, vous pouvez saisir les services de l’inspection du travail ou la Commission nationale de l’informatique et des libertés (CNIL). Des contrôles inopinés peuvent d’ailleurs avoir lieu au sein de l’entreprise, à la demande des représentants du personnel ou à l’initiative de la CNIL. Les salariés peuvent également porter plainte contre leur employeur.

L’encadrement de l’activité informatique du salarié, le contrôle de sa connexion internet ou encore la lecture de ses mails professionnels sont donc des pratiques tout à fait légales. À condition cependant d’être justifiées, de servir un but précis et de ne pas porter atteinte au respect de la vie privée. Au sens large, la “surveillance informatique au travail” peut également renvoyer à l’utilisation des outils numériques pour surveiller l’activité du salarié au sein de l’entreprise, mesurer ses performances, s’assurer de son assiduité… Ces dispositifs (vidéosurveillance, badgeuse électronique, enregistrement téléphonique…) sont eux aussi encadrés par la loi et doivent faire l’objet d’une attention accrue afin d’éviter toute dérive.

Crédit photographique : Pixabay / fancygrave