Surveillance de l'ordinateur du salarié : limites légales

L'une des questions que les employeurs posent le plus souvent est : « puis-je surveiller l'ordinateur professionnel de mon salarié ? » Réponse courte : oui, sous certaines conditions. Mais sauter ces conditions transforme un outil de productivité en risque juridique.

Cet article est une information générale et ne remplace pas un conseil juridique. Consultez toujours un conseil avant toute mise en œuvre concrète.

Le cadre légal : que disent le RGPD et le Code du travail ?

Le RGPD et la loi Informatique et Libertés reconnaissent que l'activité d'un salarié sur les équipements de l'entreprise peut constituer une donnée personnelle. L'article L1121-1 du Code du travail limite par ailleurs les restrictions aux libertés à ce qui est justifié et proportionné, et l'article L1222-4 interdit de collecter des informations par un dispositif qui n'a pas été porté à la connaissance du salarié.

• Licéité et loyauté : la surveillance ne doit être ni secrète ni dissimulée, mais reposer sur une base connue et légitime.
• Finalité déterminée et légitime : pas de « au cas où » ; il faut définir un objectif concret, comme la sécurité des données, la productivité ou une obligation légale.
• Proportionnalité : ne pas collecter plus de données que nécessaire pour la finalité (lire le contenu des messages privés est en général disproportionné).
• Limitation de conservation : les données ne doivent pas être conservées plus longtemps que nécessaire au regard de la finalité.

Information et consultation : les deux étapes les plus critiques

La jurisprudence de la Cour de cassation et la doctrine de la CNIL convergent : le salarié doit être informé préalablement et de façon explicite du dispositif. Les enregistrements issus d'une surveillance non déclarée peuvent être jugés illicites et perdre leur valeur probatoire devant le juge.

• Information préalable (art. 13 et 14 du RGPD) : quelles données, pour quelle finalité, pendant combien de temps et par quel moyen elles sont traitées doit être communiqué par écrit.
• Consultation du CSE : lorsqu'un comité social et économique existe, il doit être consulté avant la mise en place du dispositif.
• Charte informatique : le périmètre de la surveillance doit être documenté dans une charte d'utilisation des moyens informatiques annexée au règlement intérieur.
• Sécurité des données (art. 32 du RGPD) : l'accès aux données de surveillance doit être réservé aux personnes habilitées et les données conservées de façon chiffrée.
• Uniquement les équipements professionnels : surveiller l'appareil personnel d'un salarié obéit à des conditions bien plus étroites ; par principe, restez limité au matériel de l'entreprise.

À quoi ressemble en pratique une surveillance proportionnée ?

Le principe de proportionnalité signifie « voir le schéma d'usage » plutôt que « lire le contenu ». Par exemple, voir combien de temps est passé dans quelle application et combien sur des sites étrangers au travail suffit à la plupart des finalités ; accéder au contenu des messages privés est en revanche généralement disproportionné.

• Privilégiez un reporting centré sur la durée et la catégorie, pas sur le contenu.
• Une surveillance limitée au temps de travail est plus proportionnée qu'une surveillance permanente.
• Réservez l'accès aux personnes habilitées et conservez les données chiffrées.

Utiliser Spektio sur une base licite

Sur les équipements de l'entreprise, Spektio rapporte par catégorie les temps d'application, de web et de jeu ainsi que le temps d'écran ; il apporte une visibilité d'usage, pas une divulgation de contenu. Cela correspond à un modèle de surveillance respectueux du principe de proportionnalité.

Construire correctement la responsabilité vous revient : n'utilisez Spektio que sur des équipements appartenant à l'entreprise, en informant les salariés au préalable et en le documentant dans votre charte interne. Définissez les accès habilités aux données et des durées de conservation raisonnables.