Source: https://www.cgslb.be/fr/controle-de-lutilisation-dinternet-et-de-la-messagerie-electronique-sur-le-lieu-du-travail
Timestamp: 2019-09-22 17:01:53+00:00
Document Index: 141867199

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Contrôle de l’utilisation d’internet et de la messagerie électronique sur le lieu du travail : cybersurveillance | CGSLB
L'éclairage au travail
Accueil › Sécurité et santé › Vie privée au travail › Contrôle de l’utilisation d’internet et de la messagerie électronique sur le lieu du travail : cybersurveillance
Contrôle de l’utilisation d’internet et de la messagerie électronique sur le lieu du travail : cybersurveillance
La loi du 8 décembre 1992 relative à la protection de la vie privée à l’égard des traitements de données à caractère personnel ;
La directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
La convention collective du travail no 81 du 26 avril 2002 relative à la protection de la vie privée des travailleurs à l’égard du contrôle des données de communication électroniques en réseau ;
La loi du 13 juin 2005 relative à la communication électronique.
Permettre à l’employeur d’exercer un contrôle délimité sur l’utilisation de l’outil informatique mis à disposition de ses travailleurs.
Faire en sorte que la vie privée du travailleur sur le lieu de travail soit garantie en déterminant des règles selon lesquelles l’employeur a le droit de s’y ingérer.
Notion « données de communication électroniques »
On entend par données de communication électroniques les données à caractère privé, internes ou externes relatives aux communications électroniques transitant par réseau, entendues au sens large et indépendamment du support par lequel elles sont transmises ou reçues par un travailleur dans le cadre de la relation de travail (courriels, SMS, WAP et MMS).
Les données suivantes peuvent être contrôlées : l’identité des destinataires ou des expéditeurs, l’objet de la communication, les addresses de sites web consultés, l’heure de l’expédition/réception ou de la connexion, la nature et l’ampleur d’une annexe éventuelle, à l’exception du contenu.
L’accès aux communications électroniques ou aux données d’internet concerne tant la surveillance par l’employeur que la conservation de la correspondance électronique (archivage).
Le traitement de données à caractère personnel est uniquement autorisé dans des cas bien déterminés :
la personne concernée a donné son consentement sans ambiguïté ;
le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ;
le traitement est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ;
et cet intérêt prévaut sur les droits ou libertés fondamentales de la personne concernée.
Le principe de finalité implique tout d’abord que les finalités d’un accès à la communication électronique du travailleur ou d’un contrôle de cette communication doivent être légitimes.
Il convient de déterminer clairement au préalable à quoi sert le contrôle et selon quelles modalités les éventuelles données traitées pourront être/seront utilisées ultérieurement. Ceci n’empêche pas que les données obtenues puissent être utilisées pour une autre finalité que celle annoncée, pour autant que cette utilisation ne soit pas inconciliable avec l’objectif initial.
Les données doivent toujours être traitées loyalement, ce qui signifie que le traitement doit se dérouler conformément à la ou aux finalités annoncées.
L’employeur ne peut contrôler l’utilisation de la messagerie électronique et d’internet que s’il poursuit l’une ou plusieurs des quatre finalités ci-après, lesquelles doivent être définies de façon claire et explicite :
La prévention de faits illicites ou diffamatoires, de faits contraires aux bonnes moeurs ou susceptibles de porter atteinte à la dignité d’autrui. Dans son arrêt du 15 novembre 2005, la Cour du travail d’Anvers a décidé qu’il devait s’agir d’une consultation des sites visés, ce qui suppose clairement une participation active de l’utilisateur.
La protection des intérêts économiques, commerciaux et financiers de l’entreprise auxquels est attaché un caractère de confidentialité ainsi que la lutte contre les pratiques contraires.
La sécurité et/ou le bon fonctionnement technique des systèmes informatiques en réseau de l’entreprise, en ce compris le contrôle des coûts y afférents ainsi que la protection physique des installations de l’entreprise.
Le respect de bonne foi des principes et des règles d’utilisation des technologies en réseau fixés dans l’entreprise.
Le contrôle des données globales ne peut être excessif, ni entraîner une immixtion dans la vie privée des travailleurs. Si le contrôle engendrait une telle ingérence, celle-ci devrait être limitée à un minimum. Il doit être adéquat au regard des finalités poursuivies.
Seules des données globales peuvent être recueillies.
L’individualisation au préalable des données de communication électroniques est interdite. Ce n’est qu’une fois que toutes les mesures préventives se sont avérées insuffisantes que l’employeur peut procéder à la constatation de l’existence d’un quelconque abus.
En ce qui concerne internet, l’employeur peut collecter des données concernant la durée de la connexion par poste de travail mais ne peut pas individualiser les sites visités. Pour ce qui est de la messagerie électronique, l’employeur peut recueillir des données concernant le nombre de messages envoyés par poste de travail ainsi que leur volume mais ne peut pas identifier le travailleur qui les a envoyés.
L’employeur doit informer les travailleurs et leurs représentants, de manière orale ou par écrit, sur l’existence d’un contrôle au sein de l’entreprise, et ce préalablement à l’installation du système de contrôle. Il doit aussi clairement indiquer dans quelle mesure l’utilisation d’internet et de la messagerie électronique est autorisée et de quelle façon l’accès à ces outils ou leur contrôle sera exercé.
L’employeur a l’obligation d’informer les travailleurs de manière collective mais également sur un plan individuel.
L’employeur qui entend installer un système de contrôle doit informer le conseil d’entreprise (ou, à défaut, le comité de prévention ou, à défaut, la délégation syndicale ou, à défaut, les travailleurs) de tous les aspects de ce contrôle, et ce préalablement à l’installation du système de contrôle. Ces informations portent sur :
la politique de contrôle ainsi que sur les prérogatives de l’employeur et du personnel de surveillance ;
la ou les finalité(s) poursuivie(s) ;
le fait que des données personnelles soient ou non conservées, le lieu et la durée de la conservation ;
le caractère permanent ou non du contrôle
L’information individuelle
L’employeur doit en outre informer les travailleurs individuellement de tous les aspects du contrôle. Les informations doivent se rapporter aux éléments susmentionnés des informations collectives ainsi qu’aux aspects suivants :
l’utilisation des outils mis à la disposition du travailleur pour l’exécution de son travail, y compris les restrictions relatives à l’utilisation dans le cadre de la fonction ;
les droits, devoirs et obligations des travailleurs ainsi que les interdictions éventuelles en ce qui concerne l’utilisation des moyens de communication électroniques en réseau de l’entreprise ;
les sanctions prévues dans le règlement de travail en cas de non-respect des règles.
L’employeur peut choisir lui-même quels moyens utiliser pour informer les travailleurs : des instructions générales (circulaires, affichage…), le règlement de travail, le contrat individuel de travail, des instructions lors de l’utilisation… Si des sanctions disciplinaires sont infligées en cas de violation des règles par les travailleurs, l’employeur a l’obligation de les inscrire dans le règlement de travail.
L’individualisation des données de communication électroniques
Par individualisation, on entend « l’opération consistant à traiter des données de communication électroniques en réseau collectées lors d’un contrôle installé par l’employeur en vue de les attribuer à un travailleur identifié ou identifiable. »
L’individualisation doit s’effectuer conformément aux principes de finalité, de proportionnalité et de transparence.
Une individualisation des données à caractère professionnel est autorisée. Dans ce cas, la procédure ne doit pas être suivie.
Les données de communication personnelles sont excessives en des circonstances normales et ne peuvent donc pas être connues de l’employeur. Elles ne sont pertinentes pour l’employeur que dans la mesure où elles compromettent la bonne exécution du contrat de travail ou le statut de la personne concernée et il ne pourra, en tout état de cause, ne pas prendre connaissance de leur contenu.
En fonction des finalités poursuivies par l’employeur, l’individualisation s’opérera dans le cadre d’une procédure directe ou indirecte.
Procédure d’individualisation directe
En poursuivant une des trois finalités susmentionnées (1, 2 et 3 sous le point « La finalité ») et lorsque l’employeur constate une irrégularité, il peut procéder directement à l’individualisation sans aucune autre formalité. C’est lui qui décide de la suite à donner à cette individualisation.
Procédure d’individualisation indirecte
Le contrôle exercé dans le cadre de la quatrième finalité (le respect de bonne foi des principes et des règles d’utilisation des technologies en réseau fixés dans l’entreprise), nécessite une procédure spécifique.
Phase préalable d’information : l’employeur doit informer les travailleurs sur l’existence d’une irrégularité sur le lieu de travail et les avertir que si une nouvelle anomalie devait se produire, il procèdera à une individualisation des données de communication électroniques pour celui tenu responsable de l’irrégularité. A cette occasion, il fera un rappel/mise au point des principes et règles en vigueur dans l’entreprise de manière à éviter la survenance d’une nouvelle anomalie de même nature.
L’employeur est autorisé à identifier le suspect en cas de nouvelle irrégularité. Lorsque par la suite, un travailleur individuel est tenu pour responsable, il doit être invité à un entretien personnel par l’employeur, sauf si le contrat a été suspendu, quelle qu’en soit la raison. Cet entretien doit avoir lieu avant toute décision relative au travailleur. Il a pour but de permettre au travailleur de s’expliquer sur l’utilisation faite des moyens de communication électroniques en réseau mis à sa disposition. Il peut aussi faire part à l’employeur de ses objections vis-à-vis de la décision ou de l’évaluation envisagée. Il a le droit de se faire assister par un délégué syndical. Conformément à la procédure, les données de communication personnelles individualisées ne peuvent pas être portées à la connaissance de l’employeur.
Jurisprudence relative à l’utilisation de la preuve obtenue illicitement
Selon la jurisprudence, la consultation de sites web à des fins personnelles pendant une durée anormalement longue ou le fait de surfer sur des sites web suspects ou étrangers à l’activité professionnelle, peuvent être considérés comme fautes graves.
Preuve obtenue illicitement
Le principe selon lequel la preuve obtenue de manière irrégulière devait être systématiquement écartée des débats dans les affaires pénales, a, au fil du temps, été nuancé par la Cour de cassation. L’arrêt Antigone de la Cour de cassation du 14 octobre 2003, a définitivement fait basculer cette vision.
En effet, la Cour de cassation a estimé dans l’arrêt dit « Antigone » qu’une preuve obtenue illicitement ne doit être rejetée que si le respect de certaines exigences de forme est prescrit à peine de nullité, si l’illicéité commise a entaché la fiabilité de la preuve ou si l’usage de la preuve est contraire au droit à un procès équitable. Il s’agissait d’un renversement des règles d’exclusion de la preuve, événement marquant dans l’histoire du droit pénal et depuis repris par le droit civil/social.
Dans son arrêt du 23 mars 2004, la Cour de cassation a réitéré cette position en ajoutant qu’ « il appartient au juge d’apprécier l’admissibilité d’une preuve obtenue illicitement, compte tenu des éléments de la cause prise dans son ensemble, y compris le mode d’obtention de la preuve et les circonstances dans lesquelles l’illicéité a été commise. »
Dans l’arrêt du 10 mars 2008, la Chambre néerlandophone de la Cour de cassation a cassé la décision de la Cour du travail qui avait annulé une décision de l’ONEM prise sur la base d’une preuve obtenue de manière irrégulière. La Cour de cassation a statué qu’un juge ne peut pas rejeter une preuve uniquement sur base de la constatation qu’elle a été obtenue de façon illicite, mais que le juge doit se prononcer sur l’admissibilité de la preuve et ne peut refuser la preuve qu’en cas du non-respect d’une formalité prescrite à peine de nullité, si la manière dont la preuve a été obtenue, porte atteinte à la fiabilité de la preuve ou au droit à un procès équitable.
Cet arrêt a eu pour conséquence que la jurisprudence établie en matière de droit pénale a été étendue aux affaires de droit civil.
Ainsi, le tribunal du travail peut estimer que la preuve obtenue sans avoir annoncé le contrôle est valable lorsque l’infraction commise par le travailleur dépasse de loin cette irrégularité.
En effet, dans son jugement du 1er septembre 2008, le tribunal du travail de Gand a décidé que les courriers électroniques que le travailleur avaient envoyés et qui ont permis le lancement d’une activité concurrente pouvaient quand même être utilisés pour accepter le licenciement pour motif impérieux bien que le contrôle n’avait pas été annoncé. La Cour du travail d’Anvers a appliqué les mêmes principes dans son arrêt du 2 septembre 2008.
L’arrêt Antigone a été transposé en loi et le Code de procédure pénale a été modifié le 24 octobre 2013 ( entrée en vigueur le 22 novembre 2013).
Dorénavant, il existe trois cas dans lesquels la preuve obtenue irrégulièrement sera frappée de nullité et ne pourra donc pas être utilisée. C’est le cas pour les violations de formes prescrites à peine de nullité, c’est-à-dire les cas dans lesquels le législateur a, expressément, déterminé que la preuve serait nulle si une condition de forme n’a pas été respectée. C’est, par exemple, le cas des règles de procédure relatives au secret de la correspondance ou des écoutes téléphoniques. Quand l’irrégularité entache la fiabilité de la preuve, celle-ci est alors, également, entachée de nullité. Ce serait, par exemple, le cas d’une déclaration faite sous la torture. Enfin, l’élément de preuve obtenu irrégulièrement est également nul lorsque son usage est contraire au droit à un procès équitable.
Dans tous les autres cas, l’élément de preuve obtenu irrégulièrement ne sera plus frappé de nullité. Il pourra donc servir à établir l’existence d’une infraction.
Dans le deuxième et le troisième cas, le juge pourra apprécier par rapport au cas d’espèce si le fiabilité de la preuve a été, effectivement, entachée ou si l’usage de cette preuve pourrait, réellement, aller à l’encontre du droit à un procès équitable. Pour ce dernier cas, la Cour de Cassation énonce dans sa jurisprudence un ensemble de critères d’appréciation tels que :
le caractère intentionnel ou non de la violation de forme ;
la gravité de l’infraction ;
le fait que l’irrégularité ait ou non une influence sur la question de la culpabilité.
La Commission pour la protection de la vie privée estime que le juge qui se trouve en dehors de ces hypothèses et face à un problème de cybersurveillance devrait faire un examen de mise en balance entre la faute commise et l’atteinte au droit à la vie privée (recommandation).
A côté de l’exclusion de la preuve (évaluée ou non par le juge de fait), l’employeur qui traite des données en contradiction avec la LVP s’expose à des poursuites pénales.
Action préventive versus contrôle à postériori par l’encadrement de l’utilisation des nouvelles technologies
L’employeur peut agir de manière préventive en prévoyant un code de conduite dans lequel les moyens de communication, les conditions d’utilisation et les personnes ayant accès à ces outils sont listés. Il a le droit de limiter l’accès à l’internet et à la messagerie électronique, en bloquant par exemple l’accès à certains sites web.
Le code de conduite, de préférence annexé au règlement de travail, peut comporter les informations suivantes :
les moyens de contrôle auxquels l’employeur a recours pour vérifier si les conditions d’utilisation sont respectées ;
les personnes chargées de la sécurité et de la surveillance de l’outil informatique, plus particulièrement les communications électroniques en ligne ;
la finalité du contrôle de l’utilisation des technologies en réseau ;
les mesures de contrôle relatives à l’utilisation d’internet et de la messagerie électronique ;
les mesures en vue d’individualiser les données recueillies lors d’un contrôle ;
les sanctions éventuelles lorsqu’un travailleur ne respecte pas les règles en la matière.
Compte tenu du fait qu’une boîte de réception peut toujours contenir des informations non professionnelles, il est préférable de travailler avec une personne de confiance intermédiaire, même lorsque les boîtes de réception se trouvent sur un serveur de l’employeur. L’intervention de cette personne peut empêcher que l’employeur puisse déjà contrôler a priori au niveau de l’utilisateur en ce qui concerne l’abus non désiré, illégitime ou punissable des moyens de communication en ligne. Cette personne ne peut en effet transmettre à la direction aucune donnée de communication individualisée sur des travailleurs sans raison légitime en vertu de l’obligation de discrétion.
Le secret des communications électroniques
Sans le consentement de toutes les personnes concernées, de façon directe ou indirecte, personne n’a le droit de :
prendre connaissance intentionnellement des communications électroniques de toute nature auxquelles il ne prend pas part personnellement ;
d’identifier sciemment les personnes impliquées dans l’envoi de l’information ou à son contenu ;
révèler ou divulguer sciemment à une autre personne le contenu des communications électroniques qui ne lui sont pas destinées ;
modifier, supprimer, divulguer, sauvegarder ou utiliser les informations, les identifications ou les données, qu’elles soient obtenues intentionnellement ou non.
Le contenu d’une communication privée est protégé.
La Cour européenne des Droits de l’Homme a statué que prendre connaissance du contenu d’un e-mail et utiliser cette information reviennent au même.
Le fait d’accéder en interne à un système informatique avec une intention frauduleuse ou dans le but de nuire en outrepassant son pouvoir d’accès à un système informatique, sachant qu’on n’y est pas autorisé, est punissable.
De plus, la personne qui se trouve dans une de ces situations et qui :
soit reprend, de quelque manière que ce soit, les données stockées, traitées ou transmises par le système informatique ;
soit, fait un usage quelconque d’un système informatique appartenant à un tiers ou se sert du système informatique pour accéder au système informatique d’un tiers ;
soit, cause un dommage quelconque, même non intentionnellement, au système informatique ou aux données qui sont stockées traitées ou transmises par ce système ou au système informatique d’un tiers ou aux données qui sont stockées, traitées ou transmises par ce système court le risque d’être sanctionnée.
La sanction peut aller d’un emprisonnement de 3 mois à 1 an et/ou d’une amende de 26 euros à 25 000 euros.
Recommandation du 2 mai 2012 faite par la Commission pour la protection de la vie privée
La Commission a estimé qu’elle doit limiter la portée de sa recommandation aux données de communication électroniques – messages électroniques ou connexions internet. Les règles de base seront à l’avenir étendues à d’autres situations plus spécifiques.
Par « consentement de la personne concernée », on entend « toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »
En ce qui concerne l’utilisation d’internet, il pourrait suffire de reprendre une disposition générale à cet égard dans le règlement de travail, dans le contrat de travail ou dans une politique relative à la messagerie électronique et à internet. Quant au contrôle de l’utilisation de la messagerie électronique, l’obtention du consentement peut constituer un problème pratique étant donné qu’il est difficile d’obtenir le consentement de participants qui ne sont pas des travailleurs de l’entreprise.
La Commission plaide pour une politique de contrôle menée par le patronat prévisible, en spécifiant celle-ci dans une procédure.
Etant donné que l’employeur est responsable vis-à-vis de tiers pour les dommages causés au système informatique par son travailleur, il est normal qu’il puisse avoir un certain droit de contrôle.
La surveillance par caméras sur le lieu du travail
Le recours à un détective privé par l’employeur
Contrôles d’accès et de sortie des travailleurs (les fouilles)
Le secret de la correspondance sur le lieu de travail
Vie privée du postulant dans le cadre de la procédure de sélection