Source: http://brunoalan-1959.skyrock.com/3166584178-La-surveillance-de-l-activite-des-salaries.html
Timestamp: 2018-08-18 16:05:28+00:00

Document:
La surveillance de l'activité des salariés - sécuritas région nord
CFTC .Paru dans Liaisons Sociales Quotidien: N° 96 du 24/05/2013
Vidéosurveillance, géolocalisation, traçage informatique, identifications biométriques, etc. Les dispositifs de surveillance des salariés se multiplient et se perfectionnent.
Le Code du travail n'étant guère explicite sur ces sujets, il n'est pas facile de savoir précisément ce que peuvent faire les employeurs en la matière.
Nous publions ici une synthèse des règles légales et jurisprudentielles applicables, ainsi que des positions de la Cnil, à qui il faut d'ailleurs déclarer les procédés de traitements automatiques de données personnelles.
1. Droits et obligations de l'employeur
- EST-IL PERMIS DE SURVEILLER LES SALARIÉS ?
L'employeur, responsable de la bonne marche de l'entreprise, dispose d'un pouvoir de direction et de son corollaire, le pouvoir disciplinaire. Il en résulte qu'il peut contrôler et surveiller l'activité de ses salariés pendant le temps du travail, comme le rappelle régulièrement la jurisprudence (notamment : Cass. soc., 14 mars 2000. n° 98-42.090, Cass. soc., 4 juillet 2012, n° 11-30.266).
Mais cette surveillance ne doit pas se faire par le biais d'un procédé clandestin, à l'insu des salariés (Cass. soc., 10 janvier 2012, n° 10-23.482).
De plus, quelle que soit la méthode de surveillance utilisée, elle doit être justifiée par la nature de la tâche à accomplir et proportionnée au but recherché (C. trav., art. L. 1121-1). On notera à cet égard que la Commission nationale informatique et libertés interdit la surveillance permanente des salariés, sauf circonstances particulières (v. page 3).
Par ailleurs, ce pouvoir de surveillance de l'employeur doit se concilier avec le respect des libertés individuelles et de la vie privée des salariés.
Enfin, pour la majorité des procédés de surveillance, l'employeur doit satisfaire à des obligations d'information des salariés, de consultation des représentants du personnel et de déclaration à la Cnil (cf. ci-après).
- FAUT-IL INFORMER LES SALARIÉS ?
Selon l'article L. 1222-4 du Code du travail, aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance.
On notera toutefois que le simple contrôle de l'activité des salariés sur les lieux du travail par leur supérieur hiérarchique, sans qu'aucun dispositif technique ne soit mis en ½uvre, ne nécessite pas une information préalable des intéressés, comme l'a rappelé à plusieurs reprises la Cour de cassation (Cass. soc., 26 avril 2006, n° 04-43.582 ; Cass. soc., 3 mai 2007, n° 05-44.612 F-D).
Ni le Code du travail ni la jurisprudence ne précisant comment procéder à cette information, on conseillera d'adresser à chaque salarié, soit par lettre recommandée avec avis de réception, soit par remise en main propre contre décharge, une note d'information relative aux dispositifs de contrôle qui existent dans l'entreprise ou qui vont être mis en place.
En tout état de cause, cette information doit être complète (Cass. soc., 10 janvier 2012, n° 10-23.482, à propos d'une entreprise sanctionnée pour avoir informé le personnel de la présence de caméras de surveillance, mais sans préciser que ces dernières permettaient de contrôler leurs heures d'arrivée et de départ).
Selon la Cnil, les salariés doivent être informés des finalités poursuivies par le dispositif de surveillance ; des destinataires des données issues du dispositif ; de leurs droits d'opposition, d'accès et de rectification.
Quelles sanctions à défaut d'information des salariés ?
Faute d'information préalable d'un salarié sur l'existence et les modalités d'un dispositif de surveillance, les preuves ainsi recueillies ne pourront être alléguées à son encontre (Cass. soc., 10 janvier 2012, préc.).
Selon la formule de la Cour de cassation, si l'employeur a le pouvoir de contrôler et de surveiller l'activité de son personnel pendant le temps de travail, il ne peut mettre en ½uvre un
dispositif de contrôle clandestin et à ce titre déloyal (Cass. soc., 4 juillet 2012, n° 11-30.266 FS-PB, à propos de l'utilisation de lettres piégées à l'insu du personnel).
- FAUT-IL CONSULTER LES REPRÉSENTANTS DU PERSONNEL ?
Selon l'article L. 2323-32 du Code du travail, le CE est informé et consulté, préalablement à la décision de mise en ½uvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés.Signalons toutefois que le simple contrôle de l'activité d'un salarié par un service interne à l'entreprise chargé de cette mission ne requiert pas la consultation préalable du CE (Cass. soc., 4 juillet 2012, n° 11-14.241 F-D). Il en va autrement si le contrôle est opéré par une entreprise extérieure(en ce sens : Cass. soc., 15 mai 2001, n° 99-42.219).
Si l'employeur omet de consulter le CE préalablement à la mise en place d'un dispositif de surveillance, il s'expose à une condamnation pour délit d'entrave.
De plus, les éléments recueillis par le biais de ce procédé seront considérés comme des moyens de preuve illicite (Cass. soc., 7 juin 2006, n° 04-43).
La consultation du CHSCT n'est pas expressément imposée par la loi, mais, compte tenu de l'importance grandissante de ce dernier en matière de santé et de sécurité au travail, il est conseillé de le faire participer au choix d'un mode de surveillance. Si l'on considère que la surveillance, par exemple par des caméras ou par géolocalisation, peut être source de stress, sa consultation se justifie d'autant plus.
Dès lors que le dispositif de surveillance dont l'employeur envisage la mise en place permet de recueillir des données personnelles sur les salariés, il entre dans le champ de la loi informatique et libertés et doit donc faire l'objet d'une déclaration à la Cnil.
La Cnil impose à l'employeur de préciser :
– la finalité du dispositif (contrôle des accès, gestion des temps de présence, etc.) ;
– les catégories de données qui seront collectées ;
– les services destinataires des données ;
– l'existence d'un droit d'accès, de rectification et d'opposition et de leurs modalités d'exercice ;
– le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un État non-membre de la Communauté européenne.
Pour plus de précisions sur la procédure de déclaration à la Cnil, v. le dossier pratique -Libertés Individuelles- n° 11/2013 du 16 janvier 2013.
Toutefois, si l'entreprise a désigné un correspondant informatique et libertés (CIL), aucune formalité auprès de la Cnil n'est nécessaire, le CIL devant juste noter ce dispositif dans son registre.
La Cnil peut ordonner l'interruption d'un traitement de surveillance, ses délibérations pouvant faire l'objet d'un recours devant le Conseil d'État (voir par exemple : Délib. Cnil n° 2010-112 du 22 avril 2010).
2. Précisions sur les différents moyens de surveillance
- LES CONTRÔLES PAR « BADGES »
Ces dispositifs permettent de contrôler les entrées et sorties du personnel, mais aussi les horaires de travail.
L'emploi de badges n'est pas interdit, notamment si l'employeur justifie d'impératifs de sécurité. Le Conseil d'État a même jugé que le fait, pour un salarié investi d'un mandat représentatif, de s'abstenir, de manière systématique, d'utiliser les badges en usage dans l'entreprise en dépit de plusieurs mises en garde constituait un comportement fautif de nature à justifier son licenciement (CE, 8 août 2002, n° 10-9749).
Le badgeage ne doit cependant pas empêcher les représentants du personnel qui en disposent d'exercer leur droit de circulation (Cass. soc., 26 septembre 2007, n° 06-11.425).
Outre l'information des salariés et la consultation des IRP (v. ci-dessus), la mise en place d'un système de badge doit être préalablement déclarée auprès de la Cnil. En effet, un tel système comporte des données permettant l'identification des employés, chaque passage du badge dans un lecteur permettant l'enregistrement des données relatives à son détenteur, enregistrements qui présentent des risques d'utilisation détournée et sont notamment susceptibles de tracer les déplacements des salariés.
Il s'agit d'une déclaration simplifiée (norme 42), sauf recours à des dispositifs biométriques, lesquels exigent une déclaration spécifique.
Si l'employeur omet de déclarer à la Cnil l'emploi d'un système de badges, le refus de s'y plier ne peut être reproché aux salariés (Cass. soc., 6 avril 2004, n° 01-45.227).
Quid de l'accès et de la conservation des données ?
Dans une fiche pratique « l'accès aux locaux et le contrôle des horaires » (janvier 2013), la Cnil a apporté des précisions sur ce point.
Les informations fournies par les badges ne doivent être accessibles qu'aux membres habilités
des services gérant le personnel, la paie ou la sécurité.
L'employeur doit prévoir des mesures pour assurer la sécurité des informations concernant ses salariés et empêcher que des personnes qui n'ont pas qualité pour y accéder puissent en prendre connaissance. Ainsi, il doit prévoir des habilitations pour les accès informatiques avec une traçabilité des actions effectuées (savoir qui se connecte à quoi, quand et dans quel but).
Les données relatives aux accès doivent être supprimées trois mois après leur enregistrement.
Les données utilisées pour le suivi du temps de travail peuvent être conservées pendant cinq ans.
En cas de mise en place d'un système de vidéosurveillance dans l'entreprise, toutes les conditions évoquées précédemment doivent être respectées, notamment la légitimité et le caractère proportionné du dispositif au but recherché.
Sur ce dernier point, la Cnil refuse que des salariés soient filmés en continu sur leurs lieux de travail sauf circonstances particulières (personnes exposées à un risque d'une particulière gravité). Elle a ainsi condamné l'utilisation par une entreprise d'une caméra de vidéosurveillance filmant en permanence les agents installés dans le PC de sécurité d'une galerie commerçante, en considérant que cette surveillance était « disproportionnée au regard de la finalité de sécurité des biens et des personnes de l'immeuble » (Délib. Cnil n° 2012-475 du 3 janvier 2013 ; v. aussi Délib. Cnil n° 2010-112 du 22 avril 2010).
De plus, le système de vidéosurveillance ne doit pas être clandestin (v. ci-après).
Selon les circonstances, l'installation de caméras de surveillance peut permettre de présumer un harcèlement moral (Cass. soc., 14 mars 2012, n° 11-10.663,à propos de la mise en place d'un système de vidéosurveillance dans le seul magasin où travaillait la salariée, responsable de ce magasin).
Selon la Cnil (v. fiche pratique « vidéosurveillance-vidéo-protection au travail », accessible sur www.cnil.fr), les caméras peuvent être installées au niveau des entrées et sorties des bâtiments, des issues de secours et des voies de circulation. En revanche, elles ne doivent pas filmer les employés sur leur poste de travail, sauf circonstances particulières (employé manipulant de l'argent par exemple, mais alors la caméra doit davantage filmer la caisse que le caissier). En effet, sur le lieu de travail comme ailleurs, les employés ont droit au respect de leur vie privée.
Les caméras ne doivent pas non plus filmer les zones de pause ou de repos des employés, ou les toilettes. Par exemple, si des dégradations sont commises sur les distributeurs alimentaires, les caméras ne doivent filmer que les distributeurs et non toute la pièce.
Enfin, les caméras ne doivent pas filmer les locaux des représentants du personnel, ni leur accès lorsqu'il ne mène qu'à ces seuls locaux.
Comme pour les autres dispositifs de surveillance, l'employeur doit préalablement informer les salarié set les IRP de la mise en place d'une vidéosurveillance dans l'entreprise, sauf s'il s'agit de locaux dans lesquels les salariés n'ont pas à aller (Cass. soc., 19 janvier 2010, n° 08-45.092 : cas du toit d'un bâtiment dont l'accès était interdit au personnel pour des raisons de sécurité ; Cass. soc., 19 avril 2005, n° 02-46.295: porte d'accès d'un local dans lequel les salariés ne devaient avoir aucune activité ; Cass. soc., 31 janvier 2001, n° 98-44.290: entrepôts et locaux de rangement).
La Cour de cassation considère même que l'employeur, sous peine d'inopposabilité des enregistrements recueillis, doit informer ses salariés mis à la disposition d'une société cliente
de l'existence d'une vidéosurveillance installée sur le site de cette dernière dès lors qu'elle permet de contrôler leur activité (Cass. soc., 10 janvier 2012, n° 10-23.482).
En ce qui concerne les modalités d'information des salariés et du CE, des affichettes apposées dans un magasin ne sont pas suffisantes (Cass. soc., 7 juin 2006, n° 04-43.866).
Des caméras visant à assurer la sécurité des biens et des personnes peuvent être utilisées comme moyen de preuve d'une faute commise par un salarié, dès lors que le personnel est informé qu'il est filmé (Cass. soc., 2 février 2011, n° 10-14.263, cas d'un casino).
Déclaration à la Cnil et autres formalités
Si les caméras filment un lieu non ouvert au public, le dispositif doit être déclaré à la Cnil. Cette déclaration doit être effectuée pour chaque site ou établissement équipé.
Si elles filment un lieu ouvert au public (espaces d'entrée et de sortie du public, zones marchandes, comptoirs, caisses), le dispositif doit être autorisé par le préfet du département (le préfet de police à Paris). Le formulaire adéquat peut être retiré auprès des services de la préfecture du département ou téléchargé sur le site du ministère de l'Intérieur ou rempli en ligne sur le site : www.televideoprotection.interieur.gouv.fr.
Enfin, la Cnil recommande d'aviser les personnes concernées (employés et visiteurs) au moyen d'un panneau affiché de façon visible dans les locaux sous vidéosurveillance, de l'existence du dispositif, du nom de son responsable, de la procédure à suivre pour demander l'accès aux enregistrements visuels les concernant.
Un simple panneau « établissement sous surveillance vidéo » ne suffit pas.
Quelles sont les modalités de consultation et de conservation des images enregistrées ?
Seules les personnes habilitées peuvent visionner les images enregistrées (par exemple le responsable de la sécurité de l'entreprise). Ces personnes doivent être particulièrement formées et sensibilisées aux règles de mise en ½uvre d'un système de vidéosurveillance.
Les images captées et enregistrées au moyen du dispositif de vidéosurveillance doivent être suffisamment protégées contre des accès par des tiers non autorisés (Délib. Cnil n° 2010-112 du 22 avril 2010).
La conservation des images ne doit pas excéder un mois. En règle générale, conserver les images quelques jours suffit à effectuer les vérifications nécessaires en cas d'incident, et permet d'enclencher d'éventuelles procédures disciplinaires ou pénales. Si de telles procédures sont engagées, les images sont alors extraites du dispositif (après consignation de cette opération dans un document spécifique) et conservées pour la durée de la procédure.
Lorsque c'est techniquement possible, une durée maximale de conservation des images doit être paramétrée dans le système, mais elle ne doit pas être fixée en fonction de la seule capacité technique de stockage de l'enregistreur.
Les salariés peuvent être géolocalisés notamment par leurs téléphones portables(GSM, Wi-Fi, etc.) et par les GPS de leurs véhicules.
Des finalités limitées
Selon la Cnil (Délib. n° 2006-066 du 16 mars 2006, reprise dans une fiche pratique de janvier 2013), l'usage de la géolocalisation comme moyen de contrôle de l'activité des employés peut donner lieu à des dérives qu'il convient de prévenir. Compte tenu de leur caractère intrusif, leur mise en ½uvre n'est justifiée que pour un nombre limité de finalités:
– la sûreté ou de sécurité du salarié lui-même ou des marchandises ou véhicules dont il a la charge (travailleurs isolés, transports de fonds et de valeurs, etc.) ;
– le respect d'une obligation légale ou réglementaire imposant la mise en ½uvre d'un dispositif de géolocalisation en raison du type de transport ou de la nature des biens transportés ;
– l'amélioration du processus de production, soit directement par une meilleure allocation des moyens disponibles (par exemple, l'envoi du véhicule le plus proche pour exercer une activité : interventions d'urgence (ambulances, ascenseurs, etc.), chauffeurs de taxis, flottes de dépannage, etc.), soit indirectement en analysant a posteriori les déplacements effectués (par exemple, l'analyse des temps nécessaires à des déplacements ou à la réalisation d'une tâche) ;
– le suivi des marchandises en raison de leur nature particulière (matières dangereuses, produits alimentaires, etc.) ;
– le suivi et la facturation de l'exécution d'une prestation liée à l'utilisation du véhicule (par exemple, interventions sur le réseau routier, collecte des ordures ménagères, etc.) ;
– le suivi du temps de travail, lorsque cela ne peut être réalisé par d'autres moyens, étant précisé que le recours à la géolocalisation n'est pas justifié lorsqu'un employé dispose d'une liberté dans l'organisation de son travail.
Appliquant à la lettre cette dernière précision, la Cour de cassation a jugé que l'utilisation d'un système de géolocalisation pour assurer le contrôle de la durée du travail n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen et n'est pas justifiée lorsque le salarié dispose d'une liberté dans l'organisation de son travail. En outre, précise l'arrêt, un système de géolocalisation ne peut être utilisé par l'employeur pour d'autres finalités que celles qui ont été déclarées auprès de la Cnil et portées à la connaissance des salariés (Cass. soc., 3 novembre 2011, n° 10-18.036 FS-PBRI, à propos d'un commercial salarié itinérant).
La Cnil a aussi été amenée à préciser que la géolocalisation ne doit pas servir à collecter des données relatives aux éventuels dépassements de limitation de vitesse: les infractions éventuelles ne doivent pas être identifiées, l'employeur n'étant pas habilité à les constater. Seul le traitement de la vitesse moyenne peut être réalisé.
L'utilisation illicite d'un système de géolocalisation peut constituer un manquement suffisamment grave pour justifier la prise d'acte de la rupture du contrat de travail aux torts de l'employeur (Cass. soc., 3 novembre 2011, n° 10-18.036).
Pas de contrôle permanent
Autre restriction au recours à la géolocalisation, celui-ci ne doit pas conduire à un contrôle permanent des salariés.
Ainsi, il ne doit pas être collecté de données relatives à la localisation en dehors des horaires de travail. Les salariés doivent avoir la possibilité de désactiverla fonction de géolocalisation à l'issue de leur temps de travail, lorsque leurs véhicules (ou leurs appareils connectés) peuvent être utilisés à des fins privées.
Cette possibilité n'est pas assurée lorsque le GPS d'un véhicule de fonction permet certes de « griser » les données de localisation en dehors du temps de travail, mais que l'employeur peut lever ce « grisage » (CA Bordeaux, 27 novembre 2012, n° 11/06565).
Cas des IRP
Enfin, la géolocalisation ne doit pas être utilisée dans le cadre de déplacements de représentants du personnel lorsqu'ils agissent dans le cadre de l'exercice de leur mandat (Délib. Cnil n° 2006-066 du 16 mars 2006). En effet, cela heurterait le principe de liberté de déplacement (CA Bordeaux, 27 novembre 2012, n° 11/06565), à moins que l'employeur ne réussisse à prouver que ce dispositif est indispensable à la sécurité du salarié, mais à notre connaissance, aucune affaire n'a été jugée en ce sens.
Comme les autres procédés de surveillance, la géolocalisation doit faire l'objet au préalable d'une information des salariés et d'une consultation des représentants du personnel.
Par ailleurs, le dispositif de géolocalisation doit faire l'objet d'une déclaration à la Cnil (norme simplifiée n° 51 pour les GPS dans les véhicules).
Il a été jugé que l'introduction d'un système de géolocalisation permet au CHSCT de recourir à une mesure d'expertise prise en charge par l'employeur (TGI Valence, 5 décembre 2012, ord. référé n° 12/00632).
Accès et conservation des données de géolocalisation
L'employeur doit mettre en place de mesures de sécurité afin que l'accès aux données de géolocalisation soit limité aux seules personnes qui, dans le cadre de leur fonction, peuvent légitimement en avoir connaissance (les personnes en charge de coordonner, de planifier ou de suivre les interventions, les personnes en charge de la sécurité des biens transportés ou encore les personnes ou le responsable des ressources humaines).
Par ailleurs, la loi du 6 janvier 1978 prévoit que toute personne peut interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir la communication, sous une forme accessible, des données à caractère personnel qui la concernent. Une entreprise qui refusait à un salarié la communication de données de géolocalisation au motif que ces données ne pouvaient quitter l'entreprise a ainsi été condamnée à une sanction pécuniaire de 10 000 ¤ (Délib. Cnil n° 2012-213 du 22 juin 2012).
La durée de conservation adéquate doit être définie. Pour la Cnil, une durée de deux mois paraît proportionnée, sauf si un délai plus long est nécessaire, soit dans un objectif d'historique des déplacements à des fins d'optimisation des tournées, soit à des fins de preuve des interventions effectuées lorsqu'il n'est pas possible de rapporter la preuve de cette intervention par un autre moyen.
Dans ces cas, une durée de conservation d'un an est recommandée, cette durée ne faisant elle-même pas obstacle à une conservation plus longue en cas de contestation, dans ce délai d'un an, des prestations effectuées.
Dans le cadre du suivi du temps de travail, seules les données relatives aux horaires effectués peuvent être conservées pour une durée de cinq ans.
- LA SURVEILLANCE DE L'UTILISATION DES TÉLÉPHONES
Il faut distinguer le simple contrôle des relevés et l'enregistrement des conversations téléphoniques.
La Cnil considère que, dès lors que l'usage personnel par les salariés du téléphone professionnel est admis sous réserve d'une utilisation raisonnable et non préjudiciable à l'entreprise, il est légitime que l'employeur contrôle le caractère non abusif de cette utilisation, en vérifiant la durée, le coût et les numéros des appels téléphoniques passés à partir de chaque poste édité au moyen de l'autocommutateur téléphonique de l'entreprise. Toutefois, ce contrôle doit s'opérer dans des conditions propres à garantir le respect de la vie privée et des libertés des personnels sur leur lieu de travail. Pour cela, la Commission préconise que, sur les facturations détaillées des opérateurs de téléphone, les quatre derniers chiffres des numéros de téléphone soient occultés, les supérieurs hiérarchiques ne pouvant accéder aux numéros complets des relevés individuels que de façon exceptionnelle (par exemple en cas d'utilisation manifestement anormale du téléphone par un salarié).
L'écoute des conversations téléphoniques des salariés obéit à des règles plus strictes. Selon la Cnil (Fiche pratique « l'enregistrement des conversations téléphoniques sur le lieu de travail »), l'enregistrement des conversations téléphoniques ne peut être réalisé qu'en cas de nécessité reconnue et doit être proportionné aux objectifs poursuivis. Par exemple, un enregistrement pour des besoins de formation ne pourra être réalisé que sur une brève période
et en aucun cas de manière permanente.
Il faut aussi informer les salariés des périodes pendant lesquelles leurs conversations sont susceptibles d'être enregistrées ou écoutées.
La Cnil exige aussi que la fonction enregistrement puisse être neutralisée pour les appels privés. Pour ce faire, les salariés doivent disposer de lignes téléphoniques non reliées au système d'enregistrement ou d'un dispositif technique leur permettant, en cas de conversation privée, de se mettre hors du champ du dispositif d'enregistrement, tant pour les appels entrants que sortants, qui peut se matérialiser par la possibilité d'utiliser une touche particulière avant de composer un numéro de téléphone pour neutraliser la fonction d'enregistrement.
Pour l'accomplissement de leur mission légale et la préservation de la confidentialité qui s'y attache, les salariés protégés investis d'un mandat électif ou syndical doivent pouvoir disposer sur leur lieu de travail d'un matériel ou procédé excluant l'interception de leurs communications téléphoniques et l'identification de leurs correspondants (Cass. soc., 4 avril 2012, n° 10-20.845 ; Cass. soc., 6 avril 2004, n° 02-40.498).
Comme pour tous les moyens de surveillance de l'activité des salariés, il faut informer les salariés et consulter le CE préalablement à la mise en place de dispositifs de contrôle des relevés et d'enregistrement des communications.
Précisons que, même s'il n'a pas été préalablement porté à la connaissance du salarié, la simple vérification des appels téléphoniques passés à partir de chaque poste édité au moyen de l'autocommutateur téléphonique de l'entreprise ne constitue pas en soi un procédé de surveillance illicite (Cass. soc., 29 janvier 2008, n° 06-45.279, Cass. soc., 15 mai 2001, n° 99-42.937). En revanche, l'enregistrement d'une conversation à l'insu de l'intéressé est prohibé et constitue un procédé déloyal rendant irrecevable en justice la preuve ainsi obtenue (Cass. soc., 16 mars 2011, n° 09-43.204 ; Cass. soc., 29 janvier 2008, n° 06-45.814).
En revanche, si les salariés sont dûment avertis que leurs conversations téléphoniques sont écoutées, ces écoutes réalisées constituent un mode de preuve valable (Cass. soc., 16 décembre 2008, n° 07-43.993 ; Cass. soc., 14 mars 2000, n° 98-42.090).
Les fichiers constitués à partir de l'utilisation de services de téléphonie fixe et mobile doivent être déclarés à la Cnil par le biais de la norme simplifiée n° 47.
S'agissant de l'information des interlocuteurs des salariés sur l'enregistrement possible des conversations téléphoniques, elle peut notamment être réalisée par la diffusion d'un message au début de l'appel, ou par l'insertion d'une mention particulière dans le document contractuel ou d'information relatif au service téléphonique.
Selon la Cnil, la durée de conservation des données relatives à l'utilisation des services de téléphonie ne doit pas excéder un an.
S'agissant des enregistrements, quand ils sont réalisés à des fins de formation du personnel, la durée de conservation maximale est de six mois.
Lorsque les enregistrements sont réalisés à des fins de preuve en matière bancaire, la durée de conservation doit être conforme aux articles 321-78 et 321-79 du Règlement général de l'Autorité des marchés financiers (cinq ans maximum).
S'agissant d'écoutes téléphoniques, les comptes-rendus des conversations téléphoniques et grilles d'analyse sont conservés pour une durée d'un an maximum.
- LA SURVEILLANCE DE LA MESSAGERIE PROFESSIONNELLE
Mails privés/mails professionnels
De manière générale, les entreprises peuvent, selon la Cnil, mettre en place des outils de contrôle de la messagerie au nom d'exigences de sécurité, de prévention ou de contrôle de l'encombrement du réseau (Cnil, Fiche pratique « le contrôle de l'utilisation d'Internet et de la messagerie »). Il peut s'agir d'outils de mesure de la fréquence, de la taille, des messages électroniques ou d'outils d'analyse des pièces jointes (détection des virus, filtres « antispam » destinés à réduire les messages non sollicités, etc.).
Le règlement intérieur de l'entreprise peut toutefois contenir des dispositions restreignant ce pouvoir de consultation de l'employeur (Cass. soc., 26 juin 2012, n° 11-15.310).
Par ailleurs, depuis l'arrêt Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942), le droit au secret des messages personnels émis et reçus par les salariés grâce à un outil informatique mis à sa disposition pour leur travail est gravé dans le marbre, et ce même si, comme le précise cet arrêt, l'employeur a interdit une utilisation non professionnelle de l'ordinateur.
Les messageries des instances représentatives du personnel doivent rester parfaitement confidentielles, comme d'ailleurs toute leur activité informatique dans le cadre de leur mandat.
La jurisprudence a posé le principe selon lequel les courriels adressés ou reçus par le salarié à l'aide de l'outil informatique mis à sa disposition par l'employeur pour les besoins de son travail sont présumés avoir un caractère professionnel, en sorte que l'employeur est en droit de les ouvrir en dehors de la présence de l'intéressé, sauf s'ils sont identifiés comme étant personnels (Cass. soc., 15 décembre 2010, n° 08-42.486).
La question s'est posée de savoir ce qui différencie un mail personnel d'un mail professionnel, lorsque le mot « personnel » n'apparaît pas textuellement. La mention de ce caractère personnel doit avoir été portée par le salarié (Cass. soc., 30 mai 2007, n° 05-43.102). À défaut d'une telle mention, les messages sont présumés être professionnels.
La Cnil recommande aux salariés de faire figurer la mention « personnel » ou « privé » dans l'objet du message ou dans le nom du répertoire dans lequel il est stocké (Cnil, Fiche pratique « le contrôle de l'utilisation d'internet et de la messagerie »). Parallèlement, la Commission conseille aux employeurs de porter à la connaissance des salariés (par exemple dans une charte) le principe retenu pour différencier les e-mails professionnels des e-mails personnels.
Limites au droit au secret des mails privés
Le fait qu'un courriel soit clairement identifié comme personnel n'empêche pas toute consultation par l'employeur. En effet, l'employeur pourra ouvrir le message, mais en présence de l'intéressé, ou, a minima, en l'ayant fait dûment appeler (Cass. soc., 17 mai 2005, n° 03-40.017).
Il ressort de ce même arrêt que les courriels peuvent être consultés sans la présence du salarié si l'employeur justifie d'un risque ou d'un événement particulier justifiant l'atteinte portée à la vie privée (Cass. soc., 10 mai 2012, n° 11-13.884), la réalité de ces « risques ou événements particuliers » dépendant de l'appréciation des juges et étant donc à manier avec précaution...
Mais, dans ce cas, ou si le salarié, présent, refuse l'ouverture de ses messages, l'appel à un
Huissier est recommandé.
Par ailleurs, comme le précise la Cnil, le secret peut être levé dans le cadre d'une instruction pénale ou par une décision de justice, un juge pouvant prendre une ordonnance afin de désigner un huissier de justice pour accéder aux messages (Cnil, Fiche pratique « l'accès à la messagerie d'un salarié en son absence », 26 mars 2012).
Les dispositifs de contrôle de la messagerie doivent donner lieu à une consultation du comité d'entreprise et à une information individuelle des salariés, qui doivent être renseignés,, notamment sur la finalité du dispositif et sur la durée pendant laquelle les données sont conservées ou sauvegardées.
En cas d'archivage automatique des messages électroniques, ils doivent aussi être avisés des modalités de l'archivage, de la durée de conservation des messages, et des modalités d'exercice de leur droit d'accès.
La messagerie professionnelle doit faire l'objet d'une déclaration de conformité à la Cnil (norme n° 46). Si un dispositif de contrôle individuel de la messagerie est mis en place, il doit être déclaré à la Cnil, sauf si un correspondant informatique et libertés a été désigné.
La Cnil considère comme excessif le fait, pour la hiérarchie, de paramétrer le système de manière à recevoir en copie automatique tous les messages écrits ou reçus (Cnil, fiche « les outils informatiques au travail », janvier 2013).
LA SURVEILLANCE DE L'UTILISATION DE L'ORDINATEUR PROFESSIONNEL
Comme pour les mails transitant par la messagerie professionnelle (cf. supra), l'employeur peut accéder relativement librement aux fichiers informatiques stockés sur l'ordinateur professionnel du salarié. Sauf si le salarié les identifie comme étant personnels, les dossiers et fichiers créés par un salarié grâce à l'outil informatique mis à sa disposition par son employeur pour l'exécution de son travail sont présumés avoir un caractère professionnel, de sorte que l'employeur peut y avoir accès même hors sa présence (Cass. soc., 10 mai 2012, n° 11-13.884).
En revanche, l'employeur ne peut consulter les fichiers clairement identifiés comme personnels que si l'intéressé est présent ou a été dûment appelé (Cass. soc., 17 juin 2009, n° 08-40.274), ou en cas de risque ou d'événement particulier justifiant l'atteinte portée à la vie privée (Cass. soc., 10 mai 2012, n° 11-13.884).
Là encore, comment distinguerun fichier personnel d'un fichier professionnel ? La jurisprudence n'admet guère d'autre signe d'identification que la mention « personnel» ou à la limite « perso » (Cass. soc., 17 mai 2005, n° 03-40.017).
La Cnil admet le terme « privé» (Cnil, Fiche pratique« les outils informatiques au travail », janvier 2013).
Ainsi, n'ont pas été considérés comme personnels :
– un répertoire identifié par les initiales du salarié (Cass. soc. 21 octobre 2009, n° 07-43.877)
– un répertoire dont l'intitulé était le prénom du salarié (Cass. soc. 8 décembre 2009, n° 08-44.840)
– un fichier dénommé « Mes documents» (Cass. soc., 10 mai 2012, n° 11-13.884).
Selon la même logique, le fait de mettre un code d'accès sur son ordinateur professionnel ne lui donne pas nécessaire un caractère privé (Cass. soc. 8 décembre 2009, précité). Idem pour la tactique consistant à renommer son disque dur « D:/données personnelles» : cela ne confère pas un caractère personnel à l'intégralité des données qu'il contient et ne le protège pas de toute consultation par l'employeur (Cass. soc., 4 juillet 2012, n° 11-12.502 D).
Dès lors qu'elle est connectée à un outil informatique mis à la disposition du salarié par l'employeur pour l'exécution du contrat de travail, la clé USB appartenant au salarié est présumée utilisée des fins professionnelles, de sorte que l'employeur peut avoir accès aux fichiers non identifiés comme personnels qu'elle contient, hors la présence du salarié (Cass. soc., 12 février 2013, n° 11-28.649 FS-PB).
Selon la Cnil, l'employeur est libre de fixer les conditions et limites de l'utilisation d'Internet par les salariés. Ainsi, il peut mettre en place des dispositifs de filtrage de sites non autorisés (sites à caractère pornographique, pédophile, d'incitation à la haine raciale, etc.). Il peut également fixer des limites dictées par des exigences de sécurité, telles que l'interdiction de télécharger des logiciels, de se connecter à des forums ou d'utiliser les « chats », l'interdiction d'accéder à une boîte aux lettres personnelle compte tenu des risques de virus qu'un tel accès est susceptible de présenter, etc.
La jurisprudence considère que l'employeur a par conséquent le droit de surveiller les connexions Internet de ses salariés grâce à l'historique des sites visités durant le temps de travail à l'aide de l'ordinateur professionnel, étant précisé que pour contrôler les connexions Internet, la présence du salarié n'est pas requise (Cass. soc., 9 février 2010, n° 08-45.253, Cass. soc., 9 juillet 2008, n° 06-45.800).
En cas d'utilisation abusive d'Internet, les salariés encourent des sanctions pouvant aller jusqu'au licenciement disciplinaire. C'est notamment le cas lorsqu'ils consultent des sites à connotation sexuelle (Cass. soc., 10 mai 2012, n° 10-28.585), mais également lorsqu'ils consacrent une part excessive de leur temps de travail à la consultation de sites privés parfaitement légaux (Cass. soc. 26 février 2013, n° 11-27.372 : faute grave d'une salariée en raison de 10 000 connexions à des sites extraprofessionnels en moins de trois semaines de travail).
Les « keyloggers » (« enregistreur de touches »), qui permettent d'enregistrer à distance toutes les actions accomplies sur un ordinateur représentent un mode de surveillance illicite, sauf circonstance exceptionnelle liée à un fort impératif de sécurité (Cnil, Fiche pratique « les outils informatiques au travail », janvier 2013).
Comme pour tout moyen de surveillance des salariés, le comité d'entreprise doit avoir été consulté et les salariés informés au préalable des dispositifs mis en place et des modalités de contrôle de l'utilisation de l'outil informatique, notamment quant à la finalité du dispositif de contrôle, à l'identité des destinataires des données et à la durée pendant laquelle les données de connexion sont conservées.
Lorsque l'entreprise met en place un dispositif de contrôle individueldes salariés destiné à produire un relevé des connexions ou des sites visités, poste par poste, le traitement ainsi mis en ½uvre doit être déclaré à la Cnil. Tel est par exemple le cas d'un logiciel de contrôle permettant d'analyser les données de connexion de chaque salarié ou de calculer le temps passé sur internet par un salarié déterminé.
Si le système choisi permet seulement de réaliser des statistiques sur l'utilisation d'internet au niveau de l'ensemble des salariés de l'entreprise ou au niveau d'un service déterminé, une simple déclaration de conformité (norme simplifiée n° 46) suffit.
Pour la Cnil, une durée de conservation de l'ordre de six mois est généralement suffisante pour dissuader tout usage abusif d'Internet.
- QUELS RISQUES EN CAS DE RECOURS ILLICITES AUX SYSTÈMES DE SURVEILLANCE ?
Les salariés ou les organisations syndicales peuvent, en cas d'utilisation illicite ou abusive de systèmes de surveillance, saisir le service des plaintes de la Cnil, l'inspection du travail ou le procureur de la République, voire les services de la préfecture, de la police ou de la gendarmerie si des caméras filment des lieux ouverts au public.
Par ailleurs, certaines infractions sont passibles de sanctions pénales, notamment :
– enregistrement de l'image d'une personne à son insu dans un lieu privé ou captation de paroles prononcées à titre privé ou confidentiel : un an d'emprisonnement et 45 000 ¤ d'amende (C. pén., art. 226-1);
– atteinte à la vie privée par les personnes morales : amende de 225 000 ¤ et interdiction, à titre définitif ou pour une durée de cinq ans au plus, d'exercer directement ou indirectement leur activité professionnelle (C. pén,. art. 226-7);
– atteinte au secret des correspondances : un an d'emprisonnement et 45 000 ¤ d'amende (C. pén., art. 226-15);
– non-déclaration auprès de la Cnil d'un système de traitement de données à caractère personnel : cinq ans d'emprisonnement et 300 000 ¤ d'amende (C. pén., art. 226-16);
– collecte frauduleuse, déloyale ou illicite de données à caractère personnel : cinq ans d'emprisonnement et 300 000 ¤ d'amende (C. pén. art. 226-18);
– durée de conservation excessive de données à caractère personnel : cinq ans d'emprisonnement et 300 000 ¤ d'amende (C. pén., art. 226-20).
Rappelons également que ne pas consulter les représentants du personnel peut constituer un délit d'entrave.
- QUID DE LA FILATURE ?
Une filature organisée par l'employeur pour contrôler et surveiller l'activité d'un salarié constitue un moyen de preuve illicite dès lors qu'elle implique nécessairement une atteinte à la vie privée, insusceptible d'être justifiée, eu égard à son caractère disproportionné, par les intérêts légitimes de l'entreprise (Cass. soc., 26 novembre 2002, n° 00-42.401).

References: art. 226
 art. 226
 art. 226
 art. 226
 art. 226
 art. 226