Charte informatique et RGPD : contrôler les outils sans surveiller illégalement les salariés

Un employeur a le droit de contrôler l'usage que ses salariés font des outils informatiques. Il n'a pas le droit de les surveiller en continu, en secret ou au-delà de ce que la finalité exige. Entre les deux, la CNIL sanctionne : 32 millions d'euros prononcés contre Amazon France Logistique en 2023, ramenés à 15 millions par le Conseil d'État, 40 000 euros contre une agence immobilière qui suivait ses télétravailleurs au clavier, 100 000 euros contre La Samaritaine pour des caméras camouflées. Cet article fixe la ligne : ce qui peut être contrôlé, à quelles conditions, et ce que la charte informatique doit annoncer pour que le contrôle tienne devant la CNIL et devant le juge.

Contrôler l'activité des salariés n'est pas interdit

Le pouvoir de direction inclut celui de vérifier que le travail est fait et que le système d'information est utilisé conformément aux règles. Aucun texte n'interdit à l'employeur de consulter les journaux de connexion, de filtrer les sites internet ou d'ouvrir la messagerie professionnelle. Le Code du travail et le RGPD encadrent la manière de le faire, pas le principe.

Deux textes structurent tout le sujet. L'article L1121-1 du Code du travail interdit d'apporter aux droits et libertés des salariés des restrictions « qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». L'article L1222-4 ajoute qu'aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. Le RGPD s'y superpose dès que le contrôle traite des données personnelles, c'est-à-dire presque toujours : la Cour de cassation a jugé le 25 novembre 2020 (n° 17-19.523) que les adresses IP extraites des fichiers de journalisation sont des données personnelles, au sens de la loi Informatique et libertés applicable avant le RGPD.

La charte informatique est l'outil naturel de cette information. Elle ne crée pas le droit de contrôler, elle le rend opposable. Pour son statut juridique et sa procédure d'adoption, voir notre article sur la charte informatique, obligatoire ou non, et comment la rédiger. Ici, on se concentre sur le volet contrôle.

Les quatre conditions d'un contrôle licite des salariés

La CNIL et le juge examinent les mêmes points. Un dispositif qui en manque un seul devient fragile.

1. Une finalité définie et légitime

Sécurité du système d'information, prévention des fuites de données, protection des biens, décompte du temps de travail : la finalité doit être écrite avant la mise en service. C'est elle qui fixe la base légale (le plus souvent l'intérêt légitime de l'article 6, paragraphe 1, f, du RGPD) et la mesure de ce qui est nécessaire. Un outil installé « pour la sécurité » puis utilisé pour évaluer la productivité change de finalité, et l'information donnée aux salariés ne couvre plus l'usage réel.

2. La proportionnalité

Le dispositif doit être le moins intrusif possible pour atteindre la finalité. L'article 5, paragraphe 1, c, du RGPD impose la minimisation, et l'article 5, paragraphe 2 met la preuve à la charge de l'employeur. Contrôler par sondage plutôt qu'en continu, sur des données agrégées plutôt qu'individuelles, pendant une durée limitée : chacun de ces choix se documente.

3. L'information préalable des salariés

L'article L1222-4 et l'article 13 du RGPD exigent une information avant la collecte : finalités, base légale, destinataires, durée de conservation, droits. Une information orale ne suffit pas à prouver qu'elle a été donnée. Les règles de forme et de contenu sont détaillées dans notre article sur l'information des salariés sur les traitements de données mis en place.

4. La consultation du CSE

Dans les entreprises d'au moins cinquante salariés, l'article L2312-38 impose d'informer et de consulter le CSE « préalablement à la décision de mise en œuvre » des moyens ou techniques permettant un contrôle de l'activité. La consultation intervient avant le choix définitif, pas après le déploiement. En dessous de ce seuil, l'information individuelle des salariés reste obligatoire.

Point de vigilance : l'ordre compte. Un outil acheté, paramétré et déployé avant la consultation du CSE et l'information des salariés produit des données dont l'usage disciplinaire sera contesté. Lancer la consultation pour régulariser un outil déjà en service est le scénario le plus coûteux à défendre.

Messagerie, fichiers, journaux : ce que l'employeur peut consulter

Le contrôle des outils classiques obéit à une règle simple : ce qui est professionnel est accessible, ce qui est identifié comme personnel est protégé.

Messagerie et fichiers

Depuis l'arrêt Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942), l'employeur ne peut pas prendre connaissance des messages personnels émis ou reçus par le salarié, même si l'employeur a interdit tout usage non professionnel. Le 18 octobre 2006 (n° 04-48.025), la Cour de cassation a posé la présomption inverse : les fichiers créés avec l'outil professionnel sont présumés professionnels, et l'employeur peut les ouvrir hors la présence du salarié, sauf s'ils sont identifiés comme personnels. L'atteinte de mauvaise foi au secret des correspondances électroniques est par ailleurs une infraction : l'article 226-15 du Code pénal la punit d'un an d'emprisonnement et de 45 000 euros d'amende.

La charte doit donc fixer la règle d'identification (un dossier nommé « Personnel », une mention « Privé » dans l'objet) et dire ce qui se passe en cas de doute : ouverture en présence du salarié ou après l'avoir appelé.

Journaux de connexion et traces

Les fichiers de journalisation sont indispensables à la sécurité et l'article 32 du RGPD pousse à les tenir. Ils deviennent un outil de contrôle dès qu'ils servent à reconstituer l'activité d'une personne. Dans l'affaire AFP de 2020, la charte prévoyait une conservation pouvant atteindre six mois, ce qui correspond à la recommandation de la CNIL. Six mois n'est pas une règle légale : une autre durée se justifie, par écrit.

Le contrôle des usages internet suit la même logique : un filtrage par catégories de sites et des statistiques globales sont proportionnés, un relevé nominatif et permanent de chaque page consultée l'est rarement.

Télétravail, vidéosurveillance et logiciels espions : les dispositifs à risque

Certains outils sont présentés par leurs éditeurs comme des solutions de « mesure de la productivité ». Pour la CNIL, ils sont souvent des dispositifs de surveillance permanente.

Le suivi des télétravailleurs

Dans ses questions-réponses sur le télétravail du 12 novembre 2020, la CNIL juge incompatible avec la protection des salariés la surveillance constante par webcam ou par micro. Elle qualifie de « particulièrement invasifs » les enregistreurs de frappe (keyloggers) et le partage permanent de l'écran, et écarte l'obligation de cliquer ou de se photographier à intervalles réguliers pour prouver sa présence. Elle recommande un contrôle par objectifs et par comptes rendus. Ces positions sont des recommandations, que la formation restreinte reprend dans ses décisions.

Un enregistreur de frappe installé à l'insu du salarié ajoute le risque pénal : l'article 226-18 du Code pénal punit la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite de cinq ans d'emprisonnement et de 300 000 euros d'amende.

La vidéosurveillance des postes de travail

Une caméra peut filmer les entrées, les issues de secours ou les zones de stockage. Elle ne doit pas filmer un salarié à son poste en permanence, sauf circonstances particulières comme la manipulation d'espèces. Le 23 juin 2021 (n° 19-13.856), la Cour de cassation a approuvé une cour d'appel qui avait jugé inopposables au salarié les enregistrements d'une caméra filmant en continu un cuisinier travaillant seul : le dispositif était attentatoire à sa vie personnelle et disproportionné au but de sécurité invoqué. La CNIL recommande une conservation des images qui n'excède pas un mois en principe, et réserve l'enregistrement du son à des cas exceptionnels.

D'autres dispositifs suivent la même grille avec des règles propres : la géolocalisation des véhicules des salariés et le pointage biométrique, que la CNIL encadre strictement.

Ce que la CNIL a sanctionné en matière de surveillance des salariés

Trois décisions récentes, toutes publiées sur Legifrance, montrent où passe la ligne.

Amazon France Logistique : 32 millions, puis 15 millions

Par sa délibération SAN-2023-021 du 27 décembre 2023, la CNIL a prononcé 32 millions d'euros contre Amazon France Logistique. En cause, des indicateurs tirés des scanners des préparateurs : l'un signalait un rangement effectué moins de 1,25 seconde après le précédent, un autre les inactivités de plus de dix minutes, un troisième les temps de latence de moins de dix minutes en début et fin de poste et autour des pauses, l'ensemble étant conservé 31 jours pour chaque salarié. Le 23 décembre 2025 (n° 492830), le Conseil d'État a ramené l'amende à 15 millions d'euros. Il a jugé que ces trois indicateurs, émis dans des situations circonscrites, ne portaient pas une atteinte excessive aux droits des salariés et ne méconnaissaient pas l'article 6 du RGPD. Il a en revanche maintenu le manquement à la minimisation : l'entreprise n'établissait pas la nécessité de conserver chaque indicateur pendant 31 jours. Les manquements à l'information sur la vidéosurveillance et à la sécurité, que la société ne contestait pas, subsistent.

La leçon est pratique : un indicateur fin peut se défendre s'il est ciblé, mais la durée et le volume de conservation doivent être justifiés indicateur par indicateur.

Une agence immobilière et ses télétravailleurs : 40 000 euros

Par la délibération SAN-2024-021 du 19 décembre 2024, la CNIL a sanctionné une agence immobilière de taille réduite, non nommée dans la décision, qui utilisait un logiciel de suivi des télétravailleurs. Il décomptait comme inactivité les minutes sans frappe au clavier ni mouvement de souris et prenait des captures d'écran régulières. Les locaux étaient en outre équipés de caméras filmant les salariés à leur poste et captant le son en continu, consultables depuis une application mobile. Un encadrant et trois associés accédaient aux données nominatives du logiciel par le compte administrateur de l'un d'eux. Aucune analyse d'impact n'avait été faite. Manquements retenus : minimisation, base légale, information, sécurité et analyse d'impact.

La Samaritaine : 100 000 euros pour des caméras camouflées

Par la délibération SAN-2025-008 du 18 septembre 2025, la CNIL a sanctionné La Samaritaine, qui avait fait installer dans deux réserves cinq caméras ressemblant à des détecteurs de fumée, équipées de micros, après une série de vols. La CNIL admet, en s'appuyant sur l'arrêt López Ribalda de la Cour européenne des droits de l'homme (grande chambre, 17 octobre 2019), qu'une caméra dissimulée peut se justifier dans des circonstances exceptionnelles, à condition de rester temporaire. Ici, rien n'établissait ce caractère temporaire, le dispositif ne figurait pas dans l'analyse d'impact et la déléguée à la protection des données n'avait pas été informée. La société n'a notifié qu'après le contrôle de la CNIL la violation de données née de la conservation de deux cartes mémoire par des salariés qui avaient démonté les caméras.

Conseil d'avocat : dans ces trois dossiers, ce n'est pas l'existence d'un contrôle qui est sanctionnée, c'est l'absence de documentation : finalité non écrite, durée non justifiée, analyse d'impact absente, DPO tenu à l'écart. Un dossier de conformité rédigé avant le déploiement aurait réduit l'exposition dans chacun.

Preuve obtenue par un contrôle illicite : ce que fait le juge

Un contrôle irrégulier n'expose pas seulement à la CNIL. Il fragilise la preuve que l'employeur voudra produire pour sanctionner.

La preuve illicite n'est plus écartée d'office

Le 22 décembre 2023 (n° 20-20.648), l'assemblée plénière de la Cour de cassation a jugé qu'une preuve illicite ou déloyale ne conduit pas nécessairement à son rejet : le juge vérifie si sa production est indispensable à l'exercice du droit à la preuve et si l'atteinte aux droits du salarié est strictement proportionnée au but poursuivi. La chambre sociale appliquait déjà ce contrôle aux preuves illicites, notamment dans l'arrêt AFP de 2020.

La grille en trois temps

Le 8 mars 2023 (n° 21-17.802), la chambre sociale a précisé la méthode. Le juge vérifie d'abord la légitimité du contrôle et l'existence de raisons concrètes justifiant la surveillance et son ampleur. Il recherche ensuite si l'employeur pouvait atteindre le même résultat par des moyens plus respectueux. Il apprécie enfin la proportionnalité de l'atteinte. Dans cette affaire, des images de vidéosurveillance sans information sur leurs finalités ont été écartées : l'employeur invoquait un audit qu'il ne produisait pas, la vidéo n'était donc pas indispensable.

À l'inverse, le 14 février 2024 (n° 22-23.073), la Cour a admis des images issues d'un dispositif illicite : des écarts de stock avaient été constatés, des premières recherches étaient restées infructueuses, le visionnage était limité dans le temps et avait été réalisé par la seule dirigeante, et le recoupement avec les journaux de caisse avait révélé dix-neuf anomalies graves en moins de deux semaines.

Le détournement de finalité

Le 10 novembre 2021 (n° 20-12.263), sous l'empire des textes antérieurs au RGPD, la Cour a jugé illicite la preuve tirée de caméras installées pour la sécurité des biens mais utilisées pour contrôler une salariée : l'employeur aurait dû informer les salariés et consulter le comité d'entreprise sur cette utilisation. Les arrêts de 2023 et 2024 reprennent ce raisonnement. À l'inverse, un dispositif de clients mystères annoncé au comité et par une note affichée a été jugé licite le 6 septembre 2023 (n° 22-13.783), sur le fondement de l'article L1222-3.

Ce que la charte informatique doit annoncer sur les contrôles

La charte n'a pas à décrire chaque paramètre technique. Elle doit permettre au salarié de savoir, avant toute collecte, ce qui est contrôlé et comment. Une clause de contrôle qui tient comporte au minimum :

• la liste des dispositifs : journaux, filtrage, antivirus et outils de détection, vidéosurveillance, outils de suivi éventuels ;
• la finalité de chacun, et l'interdiction de l'utiliser à une autre fin sans nouvelle information ;
• le mode de contrôle : statistiques globales d'abord, contrôle individuel seulement en cas d'anomalie ;
• les personnes habilitées à accéder aux données et leur obligation de confidentialité ;
• les durées de conservation ;
• la règle d'identification des contenus personnels et la procédure d'ouverture en cas de doute ;
• les droits des salariés et le contact du DPO ou du référent.

Une formule comme « l'employeur se réserve le droit de contrôler à tout moment l'ensemble des données » est à proscrire : elle n'informe de rien et signale au juge un contrôle sans limite. Pour les entreprises de cinquante salariés et plus, la charte qui annonce un nouveau dispositif s'accompagne de la consultation du CSE prévue par l'article L2312-38. La charte de télétravail prévue par l'article L1222-9, adoptée après avis du CSE, doit rester cohérente avec elle sur les outils utilisés à domicile.

AIPD et registre : documenter avant de déployer

Tout dispositif de contrôle figure au registre des traitements. Certains exigent en plus une analyse d'impact relative à la protection des données (AIPD) au sens de l'article 35 du RGPD, réalisée avant la mise en œuvre.

Quand l'AIPD est obligatoire

La liste adoptée par la CNIL dans sa délibération n° 2018-327 du 11 octobre 2018 vise expressément les traitements ayant pour finalité de surveiller de manière constante l'activité des employés, ainsi que les traitements établissant des profils à des fins de gestion des ressources humaines. Un logiciel de suivi de l'activité, une vidéosurveillance couvrant des postes de travail ou un outil de détection des comportements à risque y entrent presque toujours. Dans la décision de décembre 2024, l'absence d'AIPD a été retenue comme un manquement autonome. Dans celle de septembre 2025, l'absence du dispositif dans le registre et dans l'AIPD a servi à établir que le traitement était déloyal et non documenté.

Ce que le dossier doit contenir

Un dossier défendable réunit la fiche de registre, l'AIPD quand elle est requise, le procès-verbal de consultation du CSE, la note d'information ou la charte remise aux salariés, et l'avis du DPO. Ces pièces sont celles que la CNIL demande en contrôle et celles que l'employeur produira devant le conseil de prud'hommes pour établir la licéité de sa preuve. Le dispositif s'insère alors dans un programme de conformité plus large, que je structure avec les directions dans le cadre de l'accompagnement à la mise en conformité RGPD.

Par où commencer

Dressez la liste des outils qui produisent des traces nominatives sur vos salariés, y compris ceux qu'un service a installés sans passer par la DSI. Pour chacun, vérifiez la finalité écrite, la durée de conservation, l'information donnée et, si vous dépassez cinquante salariés, la consultation du CSE. Les écarts trouvés se corrigent avant la prochaine procédure disciplinaire, pas pendant. Si vous voulez faire ce point sur un outil précis ou sur votre charte, échangeons sur les contrôles que vous prévoyez.