Surveillance des salariés : toutes les pratiques ne sont pas permises

Une décision de la CNIL du 19 décembre 2024 permet de rappeler qu’en matière de surveillance des salariés, il y a des règles à respecter. Dans cette affaire, la CNIL a sanctionné une société d’une amende de 40 000 euros en raison d’une surveillance disproportionnée de l’activité de ses salariés, à travers un logiciel paramétré pour comptabiliser des périodes « d’inactivité » supposée et pour effectuer des captures d’écran régulières de leurs ordinateurs. En outre, les salariés étaient filmés en permanence.

La CNIL sanctionne un employeur à la suite d’un contrôle

Une société du secteur immobilier avait installé sur les ordinateurs de certains salariés un logiciel de suivi de leur activité dans le cadre du télétravail.

Elle avait également recours à un système de vidéosurveillance dans ses locaux pour la prévention des vols.

À la suite de plaintes, la CNIL a procédé à un contrôle. Lors de ses investigations, elle a notamment constaté que la société :

-filmait en permanence ses salariés, en captant l’image et le son,

-et qu’elle mesurait leur temps de travail et évaluait leur performance de manière très précise par le biais du logiciel installé sur leurs ordinateurs.

En conséquence, la CNIL a prononcé une amende de 40 000 € à l'encontre de la société en tenant compte notamment de sa situation financière et de sa petite taille.

Elle a publié sa délibération au regard de la gravité des manquements.

Un dispositif de vidéosurveillance continu mis en place pour prévenir les vols

Fonctionnalités de la vidéosurveillance. - L’employeur avait mis en place un dispositif de vidéosurveillance pour prévenir des vols.

Le système, composé de deux caméras, captait en continu les images et le son des salariés présents dans les locaux, qui leur servaient à la fois de lieu de travail et d’espace de pause.

Ces captations étaient consultables par les responsables en temps réel via une application mobile.

Atteinte excessive aux droits des salariés. - Les salariés ont droit à la protection de leur vie privée et personnelle, y compris au temps et au lieu du travail. Une atteinte à ce droit, par exemple par une surveillance permanente des salariés, doit être justifiée et proportionnée (c. trav. art. L. 1121-1 ; cass. soc. 2 octobre 2001, n° 99-42942, BC V n° 291).

On sait aussi que si l’employeur a le droit de surveiller les salariés, il doit le faire par des moyens proportionnés à l’objectif poursuivi (cass. soc. 23 juin 2021, n° 19-13856 FSB). Et, une surveillance permanente ne peut être mise en place que dans des circonstances exceptionnelles, lorsque cela est justifié par une situation ou un risque particulier auquel sont exposées les personnes filmées (délit. CNIL, §§ 35 et 36).

En l’espèce, l’employeur ne justifiait d’aucune circonstance exceptionnelle pouvant justifier le contrôle continu des salariés via une vidéosurveillance mise en place pour prévenir des vols. En d’autres termes, il était disproportionné de filmer en permanence les salariés, tout en captant le son, simplement pour prévenir des vols.

Non-respect du principe de minimisation. - Le système mis en place est aussi contraire au principe de minimisation des données (règlt UE 2016/679 du 27 avril 2016 (dit RGPD), art. 5.1.c, JOUE 4 mai 2016). Pour rappel, ce principe impose qu'un employeur ne collecte et ne traite que les données personnelles des salariés dont il a réellement besoin.

Ici, l’image et les sons captés allaient bien au-delà de ce qui était nécessaire au regard de l’objectif poursuivi, à savoir la prévention des vols (délit. CNIL, § 41).

La mesure du temps de travail avec le logiciel de surveillance des postes de travail des télétravailleurs

Fonctionnalités du dispositif. - L’employeur avait aussi installé un logiciel de suivi de l'activité des salariés en télétravail pour mesurer :

-leur temps de travail,

-et leur productivité (voir ci-après).

Le logiciel était paramétré pour décompter les heures de travail mais aussi mesurer nominativement les temps que l’employeur considérait comme des temps « d’inactivité » des salariés. Il détectait automatiquement, tout au long de la journée, si le salarié n’effectuait aucune frappe sur le clavier ou mouvement de souris sur une durée paramétrée de 3 à 15 minutes (« idle minutes » pour « minutes inactives »).

Ces temps « d’inactivité » comptabilisés, à défaut d’être justifiés par les salariés ou rattrapés, pouvaient faire l’objet d’une retenue sur salaire par l’employeur.

Un dispositif de surveillance permanente sans base légale. - La CNIL a déjà eu l’occasion de préciser, à propos de « keyloggers », qu’un tel dispositif de surveillance automatisée permanente des salariés était disproportionné au regard des intérêts légitimes de l’employeur, sauf circonstances exceptionnelles (délit. CNIL, § 44 ; CNIL, mise en demeure n° MED 2023-102 du 17 novembre 2023).

À noter : les « keyloggers » sont des enregistreurs de frappe, de la fréquence des frappes de clavier et des clics de souris permettant d’enregistrer à distance toutes les actions accomplies sur un ordinateur.

L’intérêt légitime de l’employeur ne peut donc pas être le fondement d’un tel traitement. Rappelons en effet qu’un traitement de données personnelles n'est licite que s'il repose sur une des bases légales énumérées par le RGPD, au nombre desquelles l’intérêt légitime du responsable du traitement (règlt UE 2016/679 du 27 avril 2016, art. 6).

En outre, l’atteinte portée aux droits des salariés était disproportionnée au regard de la finalité annoncée du dispositif, à savoir le décompte du temps de travail (délit. CNIL, § 51).

Enfin, l’employeur ne justifiait d’aucune circonstance exceptionnelle pouvant justifier la surveillance permanente des salariés. Le télétravail ne constitue pas une telle justification, dans la mesure où des moyens alternatifs, moins intrusifs, peuvent être mis en place pour encadrer et contrôler le temps de travail et l’activité des salariés (ex. : badgeuse électronique, plannings prévisionnels ou échanges réguliers avec l’encadrant) (délit. CNIL, § 52).

Un dispositif contraire au code du travail. - Par ailleurs, au regard de la définition du temps de travail effectif donnée par le code du travail (c. trav. art. L. 3121-1), les périodes pendant lesquelles le salarié n’utilise pas son ordinateur peuvent correspondre à du temps de travail effectif dans le cadre de ses missions (ex. : réunions ou appels téléphoniques) (délit. CNIL, § 45).

La CNIL considère aussi que le dispositif mis en place ne permettait pas un décompte fiable des heures de travail. Or, le code du travail impose exige des systèmes d’enregistrement automatique des heures de travail qu’ils soient fiables et infalsifiables (c. trav. art. L. 3171-4 ; délit. CNIL, § 50).

La mesure de la performance des salariés avec le logiciel de surveillance des postes de travail

Le logiciel permettait aussi, sur la base d’une liste de sites web et de programmes préalablement identifiés et paramétrés par l’employeur comme « productifs » ou non, de déterminer le temps passé par les salariés sur des sites web jugés non productifs durant leur temps de travail.

Le logiciel était également paramétré pour effectuer des captures régulières des écrans (« screencast ») des ordinateurs des salariés, selon une récurrence déterminée individuellement par la société entre 3 et 15 minutes.

Pour la CNIL, ce dispositif constituait une surveillance particulièrement intrusive, d’autant qu’il pouvait conduire à la captation d’éléments d’ordre privé (ex. : courriels personnels, conversations de messageries instantanées ou mots de passe confidentiels) (délit. CNIL, § 56).

Il portait ainsi une atteinte disproportionnée à la vie privée et à la vie personnelle des salariés.