Surveillance des salariés : la CNIL rappelle les obligations des employeurs

La CNIL (Commission nationale de l’informatique et des libertés) a récemment rappelé les règles qui encadrent la surveillance des salariés, en sanctionnant une entreprise pour pratiques excessives.

Par sa décision du 19 décembre 2024, la CNIL a infligé une amende de 40 000 € à une société du secteur immobilier qui avait mis en place des dispositifs de surveillance jugés disproportionnés. Une affaire qui permet de faire le point sur les obligations des employeurs et les droits des salariés en matière de vie privée, en vertu, notamment, du règlement général sur la protection des données (RGPD) et du Code du travail.

L’encadrement juridique de la surveillance des salariés en France

En France, la surveillance des salariés est encadrée par des dispositions légales visant à concilier le pouvoir de contrôle de l’employeur avec le respect des droits et libertés des employés. L’article L. 1121-1 du Code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

▶ Toute mesure de surveillance doit être justifiée par la nature de l’activité professionnelle, et proportionnée vis-à-vis de l’objectif poursuivi.

Plus largement, l’article 9 du Code civil garantit le droit au respect de la vie privée, y compris sur le lieu de travail. Cette position a été confirmée par la Cour de cassation dans l’arrêt Nikon du 2 octobre 2001, où il a été jugé que l’employeur ne peut prendre connaissance des messages personnels émis ou reçus par le salarié via un outil informatique mis à sa disposition pour le travail, même en cas d’interdiction d’utilisation non professionnelle de l’ordinateur.

En matière de vidéosurveillance, l’employeur doit informer préalablement les salariés de l’existence et de la finalité du dispositif, conformément aux recommandations de la CNIL et à l’article L. 1222-4 du Code du travail,qui dispose qu’« aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ».

Par ailleurs, les caméras ne doivent pas filmer les zones de pause, de repos, les toilettes. Cela est également valable pour les postes de travail des employés, sauf circonstances particulières justifiant une telle mesure, comme la manipulation d’argent ou la protection de biens de valeur. De plus, les locaux syndicaux ou des représentants du personnel ne doivent pas être surveillés par caméra.

Enfin, l’article 5.1.c du RGPD impose le principe de minimisation des données, qui signifie que l’employeur ne peut collecter et traiter que les données strictement nécessaires à l’objectif professionnel poursuivi. Le non-respect de ces obligations peut entraîner des sanctions pour l’employeur, notamment l’irrecevabilité des preuves obtenues de manière illicite, et des condamnations pour atteinte à la vie privée.

▶ En résumé, la surveillance des salariés en France doit être justifiée, proportionnée, transparente et respecter strictement la vie privée des employés.

L’affaire du 19 décembre 2024 : un cas de surveillance excessive sanctionné par la CNIL

Dans l’affaire du 19 décembre 2024, l’entreprise en question avait installé plusieurs dispositifs qui ont été considérés problématiques par la CNIL.

Un logiciel de suivi de l’activité en télétravail

L’entreprise avait, premièrement, mis en place un logiciel sur les postes de travail des salariés en télétravail. Celui-ci :

• Mesurait le temps de travail et détectait les périodes d’« inactivité » supposée en analysant l’absence de mouvements de souris ou frappe sur les touches du clavier ;
• Comptabilisait ces périodes comme du temps non travaillé, alors qu’elles pouvaient correspondre à des tâches effectives (lecture de documents, réunions téléphoniques) ;
• Analysait le temps passé sur certains sites ou applications jugés « non productifs » ;
• Effectuait des captures d’écran des employés toutes les 3 à 15 minutes.

Cette surveillance intrusive de l’activité pouvait enregistrer des données personnelles sensibles, comme les mots de passe ou les conversations privées.

Un système de vidéosurveillance continu dans les locaux

En parallèle, l’entreprise avait mis en place un système de vidéosurveillance qui captait en continu l’image et le son des salariés, y compris dans des espaces de pause.

Les sanctions données par la CNIL

La CNIL a ainsi décidé de sanctionner l’entreprise d’une amende de 40 000 €, sur la base de ces motifs :

• Violation du principe de minimisation des données ;
• Atteinte disproportionnée à la vie privée ;
• Manquement à l’obligation d’information.

Elle a également décidé de rendre sa décision publique, pour rappeler les principes suivants :

• La vidéosurveillance continue des salariés, sans justification exceptionnelle, est disproportionnée et contraire aux principes de protection des données personnelles. Les entreprises peuvent opter pour d’autresalternatives autorisées, telles que la badgeuse électronique, les plannings prévisionnels, ou les échanges réguliers avec le manager ;
• La surveillance informatique excessive, notamment via des captures d’écran régulières et le suivi détaillé du temps d’activité, constitue une intrusion injustifiée dans la vie privée des salariés ;
• L’employeur doit s’assurer que les moyens de contrôle mis en place sont proportionnés aux objectifs poursuivis et respectent les libertés fondamentales des salariés.