Article mis à jour le 17 mai 2021 par
« Les employeurs doivent tenir compte de nombreux facteurs lorsqu’ils surveillent les employés à distance tout en minimisant les problèmes de responsabilité.«
À cause du COVID-19, le télétravail est devenu la nouvelle norme en France et dans de nombreuses régions du monde. Les employeurs sont parfois autorisés à prendre certaines mesures raisonnables pour observer ou surveiller le travail des employés tout au long de la journée. Cela s’explique en partie par le fait que le lieu de travail n’est pas considéré comme un espace privé et que les employeurs peuvent contrôler raisonnablement le travail effectué par les employés sur le lieu de travail dans le cadre général de leurs tâches liées à l’emploi. C’est la cybersurveillance des salariés en télétravail.
Cependant, dans le monde du télétravail, le droit ou la capacité des employeurs à surveiller les employés n’est pas clair. Pour les employés en télétravail, les frontières entre l’espace personnel et les informations personnelles, et l’espace lié au travail et les informations professionnelles peuvent souvent est floues. Par conséquent, les employeurs doivent tenir compte de nombreux facteurs lorsqu’ils surveillent les employés à distance tout en minimisant les problèmes de responsabilité.
Sommaire
Cybersurveillance des salariés en télétravail : qu’est-ce que dit la loi ?
Le principe de limitation des finalités
Dans tous les cas, la finalité du traitement doit être déterminée de manière explicite et légitime. Cependant, sans le vouloir, certaines entreprises pourraient collecter de grandes quantités de données, sans avoir prédéfini une finalité précise. D’ailleurs, la plupart des entreprises souhaitent surveiller automatiquement la productivité de leurs employés. Pour ce faire, cette dernière renforce le contrôle des heures de travail. Quoi qu’il en soit, la légitimité de ces traitements doit être soigneusement analysée.
Le principe de proportionnalité
Dans le cadre de la surveillance télétravail des salariés, seules les données requises pour une finalité prédéfinie peuvent être collectées. C’est le principe de proportionnalité. Par exemple, l’employeur n’a pas à enregistrer systématiquement les réunions de visioconférence ou à collecter les conversations des employés pour organiser des événements virtuels. Il est également inutile de collecter des données relatives à la durée et à la fréquence des pauses des salariés pour surveiller leurs heures de travail.
En revanche, certaines données sont utiles pour assurer la sécurité du système d’information de l’entreprise tel que l’activation de la webcam, la prise des captures d’écran, ou encore l’enregistrement des mouvements de la souris. Néanmoins, une minimisation des données peut être réalisée dès la conception à l’aide des principes de protection de données.
Le principe de transparence
Une surveillance électronique des salariés en télétravail rend l’information plus importante. Contrairement aux caméras de surveillance, les salariés n’apercevront pas le dispositif de surveillance électronique automatisé.
D’une part, les informations sur les employés doivent être des informations personnelles (articles 13 et 14 du RGPD et article L 1222-4 du Code du travail). Par conséquent, la politique de confidentialité applicable aux salariés doit refléter l’évolution des pratiques de l’entreprise et informer les nouvelles opérations de traitement mises en œuvre). Ces changements, en fonction de leur importance, doivent être clairement portés à la connaissance des employés par des moyens de communication appropriés (par exemple, intranet, e-mail).
D’une autre part, les informations sont des informations collectives : la loi du travail (articles L2312-38 et L2312-8) impose au Comité social et économique de fournir des informations préalables concernant le traitement automatisé de la gestion du personnel et ses éventuelles modifications. Le comité doit également être notifié à l’avance et négocié sur les moyens ou la technologie pour contrôler les activités des employés et l’introduction de nouvelles technologies. Il a également le droit d’être avisé de tout changement majeur, que ce soit au niveau des conditions de santé, de sécurité, ou des conditions de travail. À cet égard, la Cour de cassation a récemment confirmé la décision de la cour d’appel, ordonnant la suspension de l’utilisation du nouveau logiciel RH de gestion du temps de travail. Celle-ci était mise en place sans concertation et sans information du comité compétent à l’avance. Ce qui violait la loi du travail en vigueur à l’époque.
Le BYOD, qu’est-ce que c’est ?
Le BYOD ou « Bring Your Own Device » est un terme employé pour désigner l’utilisation des appareils personnels (ordinateurs portables, tablettes, téléphones portables, etc.) dans un cadre professionnel. Par exemple, cela peut signifier que les employés utilisent leurs propres ordinateurs pour se connecter au réseau de l’entreprise. Dans de nombreuses sociétés, cette pratique est fortement encouragée. Il est entièrement supervisé afin que chaque utilisateur puisse accéder au réseau dans des conditions optimales tout en assurant la sécurité de ces réseaux.
Ainsi, il ne s’agit pas de dispositifs informatiques fournis par l’entreprise qui permettent aux employés de se connecter au réseau interne, au SI, pour stocker, recevoir ou envoyer des e-mails et d’autres informations qui peuvent avoir une importance stratégique. Cependant, avec le développement de l’Internet des objets et la prolifération des objets connectés, le BYOD est devenu une pratique qui pose un réel risque de sécurité pour le réseau de l’entreprise.
Les bonnes pratiques en termes de cybersurveillance des salariés en télétravail
Pour les employeurs qui ont décidé que la surveillance informatique à distance des employés était la bonne solution pour leur entreprise, il y a quelques bonnes pratiques à suivre.
- Communiquer les plans de l’entreprise
Afin d’éviter un manque de confidentialité ou de confiance, il est important que l’entreprise communique son intention quant à la cybersurveillance des salariés en télétravail. Fournir une transparence totale à l’employé sur ce qui sera surveillé, comment l’entreprise surveillera l’employé et les attentes de l’entreprise vis-à-vis de l’employé sont essentielles pour éviter tout manque de confidentialité ou toute erreur de confiance.
- Établir des directives formelles
Toutes les entreprises devraient établir des directives écrites officielles de surveillance des salariés. Les lignes directrices devraient être documentées et rendues accessibles à tout employé pour examen. Dans les lignes directrices, il faut préciser ce que les employeurs suivront et à quelle fréquence les données seront examinées. Cela rassurera l’employé que sa vie privée soit respectée et établira sur quels domaines les gestionnaires peuvent se concentrer en ce qui concerne le travail de l’employé.
- Obtenir le consentement des employés
Après avoir établi des lignes directrices et que les employés comprennent ce qui va être surveillé, il est important d’obtenir le consentement des employés. Cela fait écho à des considérations juridiques, car certains États interdisent aux employeurs de surveiller leurs employés sans leur consentement. Avant de mettre en œuvre la surveillance des employés, consultez un conseiller juridique pour déterminer si votre entreprise opère dans un État qui nécessite un consentement.
- Soyez ouvert aux changements
Lorsque les entreprises collectent des données sur leurs employés à partir d’outils de surveillance des employés, ces données peuvent révéler des informations exploitables. Certains processus peuvent fonctionner plus efficacement et peuvent être étendus, tandis que certains processus sont inefficaces et doivent être résolus. La surveillance peut également indiquer que certains employés sont plus efficaces au travail à distance, tandis que d’autres éprouvent des difficultés. Les employeurs devront analyser les données et ajuster les processus sur une base régulière, fournir une formation si nécessaire et être prêts à accepter des changements.
Garantir le respect de la vie privée : les limites à la surveillance de l’employeur
La surveillance des boîtes mails professionnelles, sous quelles conditions ?
Dans le cadre d’une cybersurveillance des salariés en télétravail, l’employeur peut mettre en place une surveillance des mails sur le lieu de travail à condition d’en informer préalablement les salariés (article L121-8 du Code du travail). Cependant, une telle surveillance doit faire l’objet d’éventuelles discussions avec le CSE au préalable et l’employeur doit respecter le principe de proportionnalité.
Sur cette base, une surveillance anormalement disproportionnée peut être considérée comme abusive et punie. Par contre, à une exception majeure : vous ne pourrez pas consulter les e-mails provenant d’adresses e-mail personnelles (ou même connectées à des ordinateurs de travail) et les e-mails clairement identifiés comme personnels sans l’accord préalable de l’employé.
L’accès aux clés USB personnelles des employés est également réglementé. De manière générale, si le dossier en question est clairement désigné comme dossier privé, l’employeur n’a pas le droit d’accéder au dossier personnel sur un ordinateur professionnel par l’employeur. Sous réserve de règles strictes, d’autres mesures de surveillance des employés (par exemple, la géolocalisation d’un employé) sont également autorisées.
Les enregistrements vidéo des écrans et enregistrements des appels téléphoniques
Dans certains cas, il peut y avoir un couplage entre l’enregistrement appel téléphonique et l’enregistrement vidéo de l’écran. L’enregistrement vidéo à l’écran permet de surveiller en permanence les opérations des employés sur leurs postes de travail. Contrairement aux captures d’écran, il s’agit d’un film qui peut refléter plus précisément le comportement des employés.
Ce couplage est proportionné à condition qu’il soit utilisé uniquement à des fins de formation du personnel et que les garanties suivantes soient mises en œuvre :
- L’employeur avise ses employés de cet enregistrement ;
- L’enregistrement vidéo est limité aux fenêtres des applications métiers impliqués dans la formation ;
- Le dispositif n’est actif que pendant un appel téléphonique : l’enregistrement vidéo est déclenché au décrochage du combiné téléphonique et s’achève à l’accrochage ;
- Ce dispositif ne doit être destiné qu’aux personnes qui ont vraiment besoin de former des applications ou des logiciels d’entreprise (inexpérimentés ou débutants). Le nombre d’enregistrements doit également être proportionnel aux besoins de formation et strictement limité à la capacité d’analyser ces enregistrements à des fins de formation (si le but final de l’analyse n’est pas de faire un petit nombre d’appels, des dizaines d’appels ne devraient pas être enregistrés) ;
- À moins que d’autres vidéos ne soient enregistrées de manière anonyme, les employés ne peuvent être formés que sur la base de leurs propres vidéos ;
- L’accès aux dossiers est limité au personnel autorisé et doit avoir une traçabilité d’accès ;
- Toutes les garanties spécifiques applicables à l’enregistrement des conversations téléphoniques doivent être mises en œuvre (par exemple, lignes téléphoniques dédiées aux représentants du personnel).
