Surveillance de l'utilisation d'internet et des e-mails sur le lieu de travail

Pouvoir de contrôle encadré de l’employeur

L’employeur peut contrôler l’utilisation des outils informatiques mis à disposition des travailleurs dans le cadre de l’exécution du travail. 

Toutefois, cette surveillance est strictement encadrée par les principes du RGPD et par la CCT 81. Dans un contexte où les possibilités de contrôle numérique se renforcent, il est essentiel de connaître vos droits. Toute surveillance abusive peut être contestée.

Que prévoit la CCT 81 ?

Avec cette convention collective de travail, les partenaires sociaux ont voulu créer un cadre dans lequel les employeurs, dans le respect des principes de transparence, de proportionnalité et de finalité, peuvent prévenir et tracer les abus de communication en ligne des travailleurs pendant les heures de travail (c’est-à-dire une utilisation qui va au-delà de l’usage professionnel et de l’usage privé occasionnel normal du réseau).

Les garanties les plus importantes pour la protection du travailleur sont la limitation des finalités (but) pour lesquelles il est autorisé de contrôler et la procédure par étapes en matière d’individualisation.

Information et consultation

Les travailleurs doivent être informés à l’avance (collectivement et /ou individuellement) de tous les aspects du contrôle et de la politique concernant l’utilisation (non) autorisée des moyens de communication en réseau.

Les systèmes de contrôle installés doivent être régulièrement évalués, selon le cas, au sein du conseil d’entreprise, du comité pour la prévention et la protection au travail ou avec la délégation syndicale, de manière à faire des propositions en vue de les revoir en fonction des développements technologiques.

Limitation des finalités

Le contrôle de données de communication électroniques en réseau n’est autorisé que lorsque l’une ou plusieurs des finalités suivantes est ou sont poursuivies :

• la prévention de faits illicites ou diffamatoires, de faits contraires aux bonnes mœurs ou susceptibles de porter atteinte à la dignité d’autrui ;
• la protection des intérêts économiques, commerciaux et financiers de l’entreprise auxquels est attaché un caractère de confidentialité ainsi que la lutte contre les pratiques contraires (par exemple la divulgation de fichiers, la violation des secrets d’affaires, y compris la recherche et le développement, les processus de fabrication et toutes les données confidentielles) ;
• la sécurité et/ou le bon fonctionnement technique des systèmes informatiques en réseau de l’entreprise, en ce compris le contrôle des coûts y afférents, ainsi que la protection physique des installations de l’entreprise ;
• le respect de bonne foi des principes et règles d’utilisation des technologies en réseau fixés dans l’entreprise.
   

Individualisation

Dans un premier temps, le contrôle n’a lieu qu’au niveau global, c’est-à-dire sans pouvoir être lié à un travailleur individuel. Ce n’est que dans une deuxième phase que le contrôle peut être individualisé lorsqu’une infraction est établie.

L’individualisation des données de communication électroniques en réseau est, en fonction de la finalité que poursuit le contrôle installé par l’employeur, opérée :

• dans le cadre d’une procédure directe ;
• dans le cadre d’une procédure indirecte (avec procédure de sonnette d’alarme).

 Procédure directe

L’individualisation directe des données de communication électroniques en réseau est autorisée lorsque le contrôle poursuit l’une ou plusieurs des finalités suivantes:

• la prévention de faits illicites ou diffamatoires, de faits contraires aux bonnes mœurs ou susceptibles de porter atteinte à la dignité d’autrui ;
• la protection des intérêts économiques, commerciaux et financiers de l’entreprise auxquels est attaché un caractère de confidentialité ainsi que la lutte contre les pra- tiques contraires (ex : divulgation de fichiers, violation des secrets d’affaires, y compris la recherche et le développement, les processus de fabrication et toutes données confidentielles) ;
• la sécurité et/ou le bon fonctionnement technique des systèmes informatiques en réseau de l’entreprise, en ce compris le contrôle des coûts y afférents, ainsi que la protection physique des installations de l’entreprise.

Un employeur qui, dans le cadre d’un contrôle global (anonyme) aux fins énumérées  ici, constate une anomalie, a la possibilité d’individualiser directement les données de communication électroniques en réseau à partir des données globales dont il dispose, de manière à retracer l’identité de la ou des personne(s) responsable(s) de l’anomalie.
 

Procédure indirecte

Lorsque le contrôle a pour objet de vérifier le respect de bonne foi des principes et règles d’utilisation des technologies en réseau fixés dans l’entreprise, l’individualisation n’est autorisée que sous réserve d’une phase préalable d’information.

L’information a pour objet de porter à la connaissance du ou des travailleurs, de manière certaine et compréhensible, l’existence de l’anomalie et de les avertir d’une individualisation des données de communication électroniques en réseau lorsqu’une nouvelle anomalie de même nature sera constatée.

L’information doit revêtir un caractère de rappel ou de mise au point des principes et règles fixées dans l’entreprise de manière à éviter la survenance d’une nouvelle anomalie de même nature.

L’individualisation n’est autorisée qu’en cas de nouvelle violation après la communication de ces informations.

Le travailleur auquel une anomalie d’utilisation des moyens de communication électroniques en réseau peut être attribuée par application de la procédure d’individualisation indirecte, sera invité à un entretien par l’employeur.

Les principes du RGPD

En plus de la CCT 81, l'employeur doit également respecter les principes du RGPD :

• Finalité : les données ne peuvent être collectées que pour un objectif précis, légitime et déterminé (ex. : bon fonctionnement du réseau, non pour espionner la vie privée).
• Proportionnalité (ou minimisation) : l’employeur ne peut collecter que les données strictement nécessaires
• Transparence : vous devez être informé clairement et préalablement de l’existence, de la nature et des modalités du contrôle.
• Loyauté et limitation de la conservation : les données ne peuvent être conservées plus longtemps que nécessaire et ne peuvent servir qu’à la finalité pour laquelle elles ont été collectées.

Le consentement du travailleur ne peut pas servir de seule base légale, car il se trouve en position de subordination vis-à-vis de l’employeur.