L’employeur a le droit de surveiller l’activité de ses salariés pendant le temps de travail. Ce droit est reconnu par la loi, mais il n’est pas sans limites. Trois conditions s’imposent avant tout déploiement d’un dispositif de contrôle : informer les salariés, consulter le CSE et respecter le RGPD. Sans ces étapes, les preuves collectées tombent, et l’employeur s’expose à des sanctions lourdes.
⚖️ Ce qu’il faut retenir
3 obligations préalables
Information individuelle, consultation CSE et conformité RGPD sont toutes les trois obligatoires.
Des outils autorisés sous conditions
Badgeuse, vidéosurveillance, géolocalisation : chaque dispositif a ses règles propres.
Surveillance illicite = preuves nulles
Une preuve obtenue par procédé déloyal est irrecevable en justice, sans exception.
Sur quel fondement juridique repose le droit de contrôle de l’employeur ?
Le droit de surveiller ses salariés découle directement du pouvoir de direction que la loi reconnaît à tout employeur. Ce pouvoir n’est cependant pas unilatéral : il s’exerce dans un cadre légal précis, avec des contreparties explicites en matière de droits individuels.
Les trois pouvoirs de l’employeur
L’employeur dispose de trois attributs juridiques qui fondent son autorité dans l’entreprise :
- Le pouvoir de direction : organiser le travail, définir les missions, contrôler leur exécution
- Le pouvoir réglementaire : édicter les règles internes via le règlement intérieur, notamment sur l’usage des outils numériques
- Le pouvoir disciplinaire : sanctionner les manquements constatés, jusqu’au licenciement
L’article L.1121-1 du Code du travail pose une limite claire : toute restriction aux droits et libertés des salariés doit être justifiée par la nature de la tâche et proportionnée au but recherché. L’article 9 du Code civil, confirmé par la Cour européenne des droits de l’homme, rappelle que le respect de la vie privée s’applique y compris au sein de l’entreprise.
Les trois principes que tout dispositif de contrôle doit respecter
Quel que soit l’outil utilisé, trois principes s’appliquent sans exception à tout dispositif de surveillance des salariés :
- Proportionnalité : l’atteinte portée aux droits individuels ne doit pas dépasser ce que l’objectif légitime exige réellement
- Loyauté : il est interdit de collecter des informations à l’insu des salariés ou par stratagème
- Finalité : un dispositif installé pour une raison précise ne peut pas être détourné pour un autre usage, même postérieurement
Ces principes ont une conséquence directe : une caméra de sécurité installée pour surveiller les accès à l’entrepôt ne peut pas servir de base à une procédure disciplinaire pour insubordination, si ce n’était pas sa finalité déclarée.
Quelles obligations l’employeur doit-il remplir avant de mettre en place un dispositif de contrôle ?
Avant d’activer le moindre outil de contrôle de l’activité des salariés, trois étapes sont obligatoires. Aucune d’entre elles n’est facultative, et leur non-respect suffit à invalider les preuves collectées.
Informer chaque salarié individuellement
L’article L.1222-4 du Code du travail est sans ambiguïté : aucune information personnelle ne peut être collectée à l’insu d’un salarié. L’information doit préciser l’existence du dispositif, ses finalités, les données collectées, ainsi que les droits d’accès et de rectification dont dispose le salarié.
Les supports valables sont variés. L’employeur peut passer par une note de service, un courriel individuel, un affichage dans les locaux ou une mention dans le journal interne. Ce qui ne change pas, c’est la conséquence d’un défaut d’information : toute preuve recueillie sans que le salarié en ait été préalablement informé est irrecevable en justice. Le licenciement qui en découle sera considéré sans cause réelle et sérieuse.
Consulter le CSE dans les entreprises de 50 salariés et plus
Dans les entreprises atteignant le seuil de cinquante salariés, l’article L.2312-38 du Code du travail impose une consultation du comité social et économique avant toute mise en place d’un nouveau dispositif de contrôle. Cette consultation est déclenchée dès lors que l’outil implique l’introduction d’une nouvelle technologie ou modifie les conditions de travail, de santé ou de sécurité.
Sauter cette étape expose l’employeur à un délit d’entrave et entraîne l’invalidité des preuves recueillies par le dispositif. Le CSE dispose par ailleurs du droit de saisir l’inspection du travail ou la CNIL si le dispositif lui paraît illicite.
Tenir le registre des traitements et se conformer au RGPD
Depuis l’entrée en application du RGPD, les employeurs n’ont plus à effectuer de déclaration préalable auprès de la CNIL. En revanche, ils ont l’obligation d’inscrire chaque traitement de données dans leur registre des traitements. Si le dispositif envisagé présente un risque élevé pour les droits et libertés des personnes concernées, une analyse d’impact (AIPD) est requise avant son déploiement.
Les durées de conservation des données collectées au travail sont encadrées selon le type de dispositif : un mois maximum pour les images de vidéosurveillance, cinq ans pour les données de suivi du temps de travail.
Quels outils de surveillance l’employeur peut-il utiliser, et jusqu’où ?
Chaque dispositif de contrôle de l’activité au travail obéit à des règles qui lui sont propres. Le tableau suivant donne une vue d’ensemble des outils les plus utilisés, de leurs conditions d’usage et de leurs limites légales.
| Dispositif | Statut | Conditions clés | Interdit |
|---|---|---|---|
| Badgeuse | Autorisé | Badge classique préférable à la biométrie (proportionnalité) | Contrôle des déplacements internes, suivi des représentants du personnel |
| Vidéosurveillance | Autorisé sous conditions | Entrées, couloirs, caisses. Conservation max 1 mois. Autorisation préfectorale si lieu ouvert au public | Postes de travail en continu, espaces de pause, toilettes, locaux CSE |
| Géolocalisation | Autorisé sous conditions | Sécurité, suivi de prestations. Contrôle du temps de travail uniquement si aucun autre moyen n’existe | Salariés autonomes, trajets domicile-travail, titulaires de mandats syndicaux |
| Messagerie professionnelle | Autorisé | Lisible hors présence du salarié | Messages identifiés « Personnel » ou « Privé » |
| Messageries personnelles | Interdit | Inaccessibles même depuis un ordinateur professionnel | Tout accès, quelle que soit la situation |
| Connexions Internet | Autorisé | Usage personnel toléré s’il reste raisonnable. 41h de navigation personnelle en un mois caractérise une faute grave (Cass. soc. 18/03/2009) | Traçabilité active sans information préalable |
| Écoutes téléphoniques | Autorisé sous conditions | Formation, évaluation qualité. Non permanentes. Conservation max 6 mois | Lignes des membres du CSE et délégués syndicaux |
| Fouille des sacs | Autorisé sous conditions strictes | Motif légitime + respect de la dignité + accord du salarié informé de son droit de refus | Fouilles systématiques sans motif établi |
| Keyloggers / captures d’écran | Interdit | Exception très stricte : impératif de sécurité industrielle + information préalable spécifique | Usage courant, télétravail, surveillance individuelle |
| Webcam en continu | Interdit | Floutage d’arrière-plan requis si activation ponctuelle justifiée (entretien RH, client) | Surveillance audio ou vidéo continue en télétravail |
Un point mérite d’être précisé sur la géolocalisation des véhicules professionnels : le principe de subsidiarité s’applique strictement. Si un autre moyen permet déjà de suivre le temps de travail, même moins précis, la géolocalisation à cette fin devient illicite. La Cour de cassation l’a rappelé à plusieurs reprises (3 novembre 2011, 17 décembre 2014, 18 janvier 2018).
Sur la question de l’usage du téléphone personnel au travail, l’employeur peut encadrer les pratiques via le règlement intérieur, mais ne peut pas accéder aux contenus d’un appareil privé, quand bien même il serait connecté au réseau de l’entreprise.
Quelles sont les conséquences d’une surveillance illicite pour l’employeur ?
Une surveillance qui ne respecte pas les règles exposées ci-dessus ne fait pas seulement courir un risque théorique à l’employeur. Les conséquences sont concrètes, immédiates et potentiellement cumulatives.
Sur le plan judiciaire, toute preuve obtenue par un procédé déloyal est écartée par le juge. Un licenciement disciplinaire qui repose sur une telle preuve est requalifié en licenciement sans cause réelle et sérieuse. Le salarié obtient alors ses indemnités de licenciement, auxquelles s’ajoutent des dommages et intérêts pour atteinte à la vie privée.
Les sanctions administratives prononcées par la CNIL en cas de violation du RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, avec possibilité de rendre la sanction publique. Sur le plan pénal, l’article 226-1 du Code pénal prévoit un an d’emprisonnement et 45 000 euros d’amende pour captation sans consentement. L’article 226-16, qui vise les systèmes automatisés non conformes, monte à cinq ans et 300 000 euros.
Le salarié qui s’estime victime d’une surveillance abusive dispose de plusieurs recours : saisir l’inspection du travail, déposer une plainte auprès de la CNIL (avec réponse sous trois mois), ou former un recours gracieux devant la Présidente de la CNIL puis, le cas échéant, devant le Conseil d’État.
