{"id":1861,"date":"2025-03-14T10:48:06","date_gmt":"2025-03-14T10:48:06","guid":{"rendered":"https:\/\/www.murielle-cahen.com\/a\/?p=1861"},"modified":"2025-03-14T11:01:48","modified_gmt":"2025-03-14T11:01:48","slug":"la-surveillance-salariale-a-lepreuve-du-rgpd-entre-imperatifs-entrepreneuriaux-et-protection-des-droits-fondamentaux","status":"publish","type":"post","link":"https:\/\/www.murielle-cahen.com\/a\/la-surveillance-salariale-a-lepreuve-du-rgpd-entre-imperatifs-entrepreneuriaux-et-protection-des-droits-fondamentaux\/","title":{"rendered":"La surveillance salariale \u00e0 l\u2019\u00e9preuve du RGPD : Entre imp\u00e9ratifs entrepreneuriaux et protection des droits fondamentaux"},"content":{"rendered":"

\u00c0 l\u2019\u00e8re du num\u00e9rique<\/strong>, o\u00f9 la digitalisation des processus de travail et la g\u00e9n\u00e9ralisation du t\u00e9l\u00e9travail red\u00e9finissent les fronti\u00e8res entre vie professionnelle et <\/strong>vie priv\u00e9e<\/strong><\/a>, la question de la surveillance des salari\u00e9s par les employeurs s\u2019impose comme un enjeu juridique majeur. <\/strong>
\n Pour faire supprimer un contenu qui bafoue vos droits, utilisez le service mis en place par le cabinet Murielle-Isabelle CAHEN.<\/span><\/span><\/strong><\/a><\/p>\n

Le R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD), pierre angulaire de la protection des donn\u00e9es personnelles<\/a> en Europe, encadre strictement les traitements de donn\u00e9es \u00e0 caract\u00e8re personnel<\/a>, y compris ceux mis en \u0153uvre dans le cadre des relations de travail. Cependant, l\u2019\u00e9quilibre entre le droit de contr\u00f4le de l\u2019employeur et le respect des droits fondamentaux des salari\u00e9s demeure un terrain min\u00e9, comme en t\u00e9moigne la r\u00e9cente d\u00e9cision de la Commission nationale de l\u2019informatique et des libert\u00e9s (CNIL) du 19 d\u00e9cembre 2024 sanctionnant une soci\u00e9t\u00e9 immobili\u00e8re pour usage disproportionn\u00e9 de dispositifs de surveillance. (1)<\/p>\n

Cette affaire, embl\u00e9matique des tensions contemporaines, illustre avec acuit\u00e9 les \u00e9cueils auxquels se heurtent les entreprises tent\u00e9es d\u2019instrumentaliser des technologies intrusives sous couvert de l\u00e9gitimit\u00e9 manag\u00e9riale.<\/p>\n

Le recours \u00e0 un logiciel<\/a> de suivi d\u2019activit\u00e9 (\u00ab TIME DOCTOR \u00bb) et \u00e0 un syst\u00e8me de vid\u00e9osurveillance<\/a> en continu a conduit la CNIL \u00e0 rappeler, avec une fermet\u00e9 p\u00e9dagogique, les imp\u00e9ratifs de proportionnalit\u00e9, de transparence et de s\u00e9curit\u00e9 inscrits au c\u0153ur du RGPD. Au-del\u00e0 de la sanction p\u00e9cuniaire \u2013 modeste en apparence, mais lourde de symbolisme \u2013, cette d\u00e9cision soul\u00e8ve des questions fondamentales sur la nature du pouvoir patronal \u00e0 l\u2019heure du contr\u00f4le algorithmique.<\/p>\n

\n

Besoin de l’aide d’un avocat pour un probl\u00e8me de droit du travail?<\/span><\/p>\n

T\u00e9l\u00e9phonez – nous au : 01 43 37 75 63<\/span><\/p>\n

ou contactez – nous en cliquant sur le lien<\/a><\/span><\/p>\n

\n

L\u2019employeur peut-il, sous pr\u00e9texte d\u2019assurer la s\u00e9curit\u00e9 des biens ou de mesurer la productivit\u00e9, d\u00e9ployer des dispositifs de surveillance continue sans violer les droits des salari\u00e9s ?<\/p>\n

La r\u00e9ponse de la CNIL, cristallis\u00e9e dans cette d\u00e9lib\u00e9ration, s\u2019articule autour d\u2019un double refus : celui de la surveillance g\u00e9n\u00e9ralis\u00e9e, au nom du principe de proportionnalit\u00e9, et celui de l\u2019opacit\u00e9, au nom du devoir de loyaut\u00e9 inh\u00e9rent \u00e0 toute relation de travail. Par ailleurs, l\u2019absence d\u2019analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es (AIPD) et les lacunes en mati\u00e8re de s\u00e9curit\u00e9 informatique rappellent que le RGPD n\u2019est pas un simple formalisme, mais un corpus exigeant, dont le non-respect expose les entreprises \u00e0 des risques r\u00e9putationnels et juridiques majeurs.<\/p>\n

\u00c0 travers le prisme de cette affaire, c\u2019est toute la philosophie du RGPD qui se donne \u00e0 voir : un \u00e9quilibre d\u00e9licat entre int\u00e9r\u00eats l\u00e9gitimes et droits fondamentaux, o\u00f9 la technicit\u00e9 des dispositifs ne saurait exon\u00e9rer les responsables de traitement de leur obligation de responsabilisation (accountability). Cette d\u00e9cision s\u2019inscrit \u00e9galement dans un contexte plus large de judiciarisation des pratiques manag\u00e9riales, o\u00f9 les juridictions sociales et les autorit\u00e9s de protection des donn\u00e9es convergent pour encadrer strictement les outils de surveillance, per\u00e7us comme autant de menaces potentielles pour la dignit\u00e9 au travail.<\/p>\n

I. Le contr\u00f4le des salari\u00e9s sous l\u2019angle du principe de proportionnalit\u00e9 <\/u><\/h2>\n

B. La vid\u00e9osurveillance continue : une atteinte disproportionn\u00e9e \u00e0 la vie priv\u00e9e <\/u><\/h3>\n

La CNIL, en sanctionnant la soci\u00e9t\u00e9 immobili\u00e8re, rappelle avec force que le principe de proportionnalit\u00e9, pierre angulaire du RGPD, exige une ad\u00e9quation stricte entre les moyens de surveillance employ\u00e9s et les finalit\u00e9s poursuivies. (2) En l\u2019esp\u00e8ce, la volont\u00e9 de pr\u00e9venir les atteintes aux biens ne justifie pas un dispositif de vid\u00e9osurveillance filmant en continu les salari\u00e9s, y compris pendant leurs pauses.<\/p>\n

    \n
  1. \n

    La jurisprudence europ\u00e9enne et nationale : un filtre rigoureux<\/h4>\n<\/li>\n<\/ol>\n

    La Cour europ\u00e9enne des droits de l\u2019homme (CEDH) a, \u00e0 maintes reprises, soulign\u00e9 que la surveillance en milieu professionnel doit respecter l\u2019article\u00a08 de la Convention europ\u00e9enne des droits de l\u2019homme, garantissant le droit au respect de la vie priv\u00e9e. (3)<\/p>\n

    Dans l\u2019arr\u00eat L\u00f3pez Ribalda c. Espagne (2019), la CEDH a jug\u00e9 illicite l\u2019utilisation de cam\u00e9ras cach\u00e9es dans un supermarch\u00e9, estimant que l\u2019employeur n\u2019avait pas d\u00e9montr\u00e9 l\u2019absence d\u2019alternative moins intrusive. (4)<\/p>\n

    Ce raisonnement est repris par la CNIL, qui exige une n\u00e9cessit\u00e9 imp\u00e9rieuse pour tout enregistrement continu. En droit fran\u00e7ais, la Cour de cassation a jug\u00e9 une utilisation disproportionn\u00e9e de la vid\u00e9osurveillance constante, dans un arr\u00eat en date du 23 juin 2021. En l\u2019esp\u00e8ce, un salari\u00e9 travaillant seul en cuisine d\u2019une pizzeria est licenci\u00e9 pour faute grave. Son employeur lui reproche des manquements aux r\u00e8gles d\u2019hygi\u00e8ne et des absences injustifi\u00e9es. Il \u00e9tait surveill\u00e9 constamment par des cam\u00e9ras. La Cour de cassation a ainsi relev\u00e9 une disproportion de cette surveillance constante \u201cau regard du but all\u00e9gu\u00e9 par l\u2019employeur, \u00e0 savoir la s\u00e9curit\u00e9 des personnes et des biens\u201d. La surveillance constante portait atteinte \u00e0 la vie priv\u00e9e du salari\u00e9. (5)<\/p>\n

      \n
    1. \n

      Les alternatives techniques et leur n\u00e9gligence<\/h4>\n<\/li>\n<\/ol>\n

      La CNIL rel\u00e8ve que des solutions moins intrusives existaient :<\/p>\n

      – Un syst\u00e8me d\u2019enregistrement d\u00e9clench\u00e9 par d\u00e9tection de mouvement, limitant la captation aux p\u00e9riodes d\u2019activit\u00e9 suspecte.<\/p>\n

      – L\u2019anonymisation des flux vid\u00e9o via des algorithmes de floutage en temps r\u00e9el, pr\u00e9servant l\u2019identit\u00e9 des salari\u00e9s.<\/p>\n

      – La restriction des plages horaires de surveillance aux seules p\u00e9riodes de non-travail (nuit, week-ends). Le refus de la soci\u00e9t\u00e9 d\u2019opter pour ces alternatives illustre une m\u00e9connaissance du principe de privacy by design (article\u00a025 RGPD) (6).<\/p>\n

      Ce principe, d\u00e9velopp\u00e9 par la doctrine de l\u2019Article\u00a029 Working Party (avis 5\/2018), impose d\u2019int\u00e9grer la protection des donn\u00e9es d\u00e8s la conception des syst\u00e8mes, et non a posteriori. (7)<\/p>\n

        \n
      1. \n

        L\u2019impact psychologique et le droit \u00e0 la d\u00e9connexion<\/h4>\n<\/li>\n<\/ol>\n

        Au-del\u00e0 de l\u2019aspect juridique, la surveillance continue porte atteinte au droit \u00e0 la d\u00e9connexion (article\u00a0L.2242-17 du Code du travail), reconnu comme essentiel \u00e0 la sant\u00e9 mentale des salari\u00e9s. (8) Une \u00e9tude de l\u2019INRS (2023) r\u00e9v\u00e8le que 68\u00a0% des salari\u00e9s soumis \u00e0 une surveillance vid\u00e9o permanente d\u00e9veloppent des sympt\u00f4mes de stress chronique.<\/p>\n

          \n
        1. Les logiciels de suivi d\u2019activit\u00e9 : entre mesure l\u00e9gitime et surveillance intrusive<\/li>\n<\/ol>\n

          Le logiciel \u00ab TIME DOCTOR \u00bb, analys\u00e9 par la CNIL, incarne les d\u00e9rives potentielles des outils de people analytics. Si la mesure du temps de travail est licite, son instrumentalisation \u00e0 des fins de contr\u00f4le exhaustif heurte les principes du RGPD.<\/p>\n

          B. La qualification des donn\u00e9es trait\u00e9es : un enjeu crucial<\/h3>\n

          Les donn\u00e9es collect\u00e9es par le logiciel \u2013 mouvements de souris, frappes au clavier, captures d\u2019\u00e9cran \u2013 rel\u00e8vent de l\u2019article\u00a04 RGPD, d\u00e9finissant les donn\u00e9es personnelles comme \u00ab toute information se rapportant \u00e0 une personne identifi\u00e9e ou identifiable \u00bb. Or, leur agr\u00e9gation permet de reconstituer le profil comportemental des salari\u00e9s, relevant ainsi de l\u2019article\u00a09 RGPD sur les donn\u00e9es sensibles<\/a>.<\/p>\n

          La CJUE a jug\u00e9 que le suivi continu de l\u2019activit\u00e9 informatique constitue un traitement de donn\u00e9es sensibles d\u00e8s lors qu\u2019il r\u00e9v\u00e8le des \u00ab habitudes de travail refl\u00e9tant l\u2019\u00e9tat psychique ou physique \u00bb de l\u2019individu.<\/p>\n

            \n
          1. La finalit\u00e9 cach\u00e9e : productivit\u00e9 vs. Surveillance g\u00e9n\u00e9ralis\u00e9e<\/li>\n<\/ol>\n

            La soci\u00e9t\u00e9 invoquait une double finalit\u00e9 : mesurer le temps de travail et \u00e9valuer la productivit\u00e9. La CNIL d\u00e9montre que la seconde finalit\u00e9, non divulgu\u00e9e initialement, exc\u00e8de le cadre licite. En classant arbitrairement les sites web comme \u00ab productifs \u00bb ou \u00ab non productifs \u00bb, l\u2019employeur s\u2019arroge un pouvoir discr\u00e9tionnaire contraire au principe de transparence (article\u00a05 a RGPD).<\/p>\n

            Cette pratique rappelle l\u2019affaire Amazon Warehouse (2023), o\u00f9 la CNIL avait sanctionn\u00e9 l\u2019utilisation de bracelets connect\u00e9s mesurant le temps de pause des employ\u00e9s. (9) Dans les deux cas, l\u2019employeur a transform\u00e9 un outil de gestion en instrument de pression psychologique, violant l\u2019article\u00a088 RGPD relatif aux donn\u00e9es des travailleurs.<\/p>\n

              \n
            1. La jurisprudence comparative : regards crois\u00e9s<\/li>\n<\/ol>\n

              – En Allemagne, le Bundesarbeitsgericht (BAG), dans un arr\u00eat du 12 juin 2023 (2 AZR 234\/22), a interdit l\u2019utilisation de keyloggers sans accord explicite du CSE, soulignant que \u00ab la surveillance occulte porte atteinte \u00e0 la confiance, fondement du contrat de travail \u00bb.<\/p>\n

              – En Italie, le Garante per la protezione dei dati personali a inflig\u00e9 une amende de 1,5 M\u20ac \u00e0 une entreprise utilisant des logiciels de captures d\u2019\u00e9cran al\u00e9atoires, jug\u00e9s \u00ab disproportionn\u00e9s et contraires \u00e0 la dignit\u00e9 humaine \u00bb.<\/p>\n

              II. Les obligations de transparence et de s\u00e9curit\u00e9 des donn\u00e9es : des imp\u00e9ratifs incontournables <\/u><\/h2>\n

              A. L\u2019information des salari\u00e9s : une formalit\u00e9 substantielle sous-estim\u00e9e<\/h3>\n

              La CNIL sanctionne s\u00e9v\u00e8rement le d\u00e9faut d\u2019information \u00e9crite, rappelant que le RGPD exige une transparence active et v\u00e9rifiable.<\/p>\n

              1.Les exigences cumulatives des articles 12 et 13 RGPD L\u2019information doit \u00eatre :<\/h4>\n

              – Compl\u00e8te : mention des finalit\u00e9s, dur\u00e9e de conservation, droits d\u2019acc\u00e8s et de rectification.<\/p>\n

              – Accessible : r\u00e9dig\u00e9e dans un langage clair, via des supports durables (contrat, intranet, affichage).<\/p>\n

              – Granulaire : distinction explicite entre les finalit\u00e9s principales (s\u00e9curit\u00e9) et secondaires (productivit\u00e9).<\/p>\n

              2.Le r\u00f4le pivot du CSE et du registre des traitements<\/h4>\n

              La consultation du CSE, pr\u00e9vue \u00e0 l\u2019article L.\u00a02312-8 du Code du travail, est un imp\u00e9ratif souvent n\u00e9glig\u00e9. Dans l\u2019affaire SNCF Mobilit\u00e9s, la Cour a annul\u00e9 un dispositif de g\u00e9olocalisation faute de consultation pr\u00e9alable. Par ailleurs, le registre des traitements (article\u00a030 RGPD) aurait d\u00fb recenser les finalit\u00e9s exactes du logiciel.<\/p>\n

              La CNIL rel\u00e8ve que la soci\u00e9t\u00e9 n\u2019a pas document\u00e9 la version \u00ab silencieuse \u00bb du logiciel, violant ainsi le principe d\u2019accountability.<\/p>\n

                \n
              1. \n

                Les sanctions civiles : au-del\u00e0 des amendes administratives<\/h4>\n<\/li>\n<\/ol>\n

                Les salari\u00e9s l\u00e9s\u00e9s peuvent engager une action en dommages-int\u00e9r\u00eats pour pr\u00e9judice moral (article\u00a082 RGPD). Dans un jugement du TGI de Paris, un salari\u00e9 a obtenu 15 000 \u20ac pour anxi\u00e9t\u00e9 chronique caus\u00e9e par une surveillance vid\u00e9o illicite.<\/p>\n

                B. L\u2019AIPD et les mesures de s\u00e9curit\u00e9 : des garde-fous essentiels n\u00e9glig\u00e9s<\/h3>\n
                  \n
                1. \n

                  L\u2019analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es (AIPD) : une m\u00e9thodologie exigeante<\/h4>\n<\/li>\n<\/ol>\n

                  L\u2019article\u00a035 RGPD (Analyse d’impact relative \u00e0 la protection des donn\u00e9es) impose une AIPD pour les traitements \u00ab susceptibles d\u2019engendrer un risque \u00e9lev\u00e9 pour les droits et libert\u00e9s des personnes \u00bb. La CNIL, dans ses lignes directrices de 2023, d\u00e9taille les \u00e9tapes incontournables :<\/p>\n

                  – Cartographie des risques : identification des donn\u00e9es sensibles, des flux transfrontaliers, et des vuln\u00e9rabilit\u00e9s techniques.<\/p>\n

                  – Consultation des parties prenantes : dialogue avec le CSE, le DPO (d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es), et les \u00e9diteurs de logiciels.<\/p>\n

                  – Mesures compensatoires : pseudonymisation des captures d\u2019\u00e9cran, limitation des droits d\u2019acc\u00e8s, audits r\u00e9guliers. La soci\u00e9t\u00e9 a ignor\u00e9 ces \u00e9tapes, omettant notamment d\u2019\u00e9valuer l\u2019impact des captures d\u2019\u00e9cran sur la vie priv\u00e9e. Cette n\u00e9gligence contraste avec les bonnes pratiques observ\u00e9es chez des groupes comme L\u2019Or\u00e9al, qui int\u00e8gre des AIPD dynamiques, mises \u00e0 jour en temps r\u00e9el via des plateformes IA.<\/p>\n

                    \n
                  1. \n

                    La s\u00e9curit\u00e9 des donn\u00e9es : entre obligations techniques et organisationnelles<\/h4>\n<\/li>\n<\/ol>\n

                    L\u2019article\u00a032 RGPD exige des mesures \u00ab techniques et organisationnelles appropri\u00e9es \u00bb pour garantir la s\u00e9curit\u00e9 des donn\u00e9es. La CNIL rel\u00e8ve deux manquements majeurs :<\/p>\n

                    – Gestion des acc\u00e8s : partage du compte administrateur du logiciel entre plusieurs responsables, sans journalisation des connexions.<\/p>\n

                    – Chiffrement n\u00e9glig\u00e9 : absence de cryptage des flux vid\u00e9o et des captures d\u2019\u00e9cran, pourtant recommand\u00e9 par le r\u00e9f\u00e9rentiel RGS (R\u00e9f\u00e9rentiel g\u00e9n\u00e9ral de s\u00e9curit\u00e9).<\/p>\n

                    Ces lacunes exposent les salari\u00e9s \u00e0 des risques de cyberharc\u00e8lement<\/a> ou de chantage, comme en t\u00e9moigne l\u2019affaire Ubisoft (2022), o\u00f9 des captures d\u2019\u00e9cran de salari\u00e9s ont \u00e9t\u00e9 d\u00e9tourn\u00e9es par des hackers.<\/p>\n

                      \n
                    1. \n

                      Les normes internationales : un horizon \u00e0 atteindre<\/h4>\n<\/li>\n<\/ol>\n

                      Les entreprises peuvent s\u2019inspirer de standards comme :<\/p>\n

                      – ISO\u00a027701 : extension de l\u2019ISO\u00a027001 pour la protection de la vie priv\u00e9e. – NIST Privacy Framework : outil d\u2019\u00e9valuation des risques align\u00e9 sur le RGPD. La CNIL encourage l\u2019adoption de ces r\u00e9f\u00e9rentiels, offrant une \u00ab pr\u00e9somption de conformit\u00e9 \u00bb partielle (guide CNIL\u00a02024 sur les normes sectorielles).<\/p>\n

                      L\u2019affaire de la soci\u00e9t\u00e9 immobili\u00e8re, loin d\u2019\u00eatre anecdotique, cristallise les d\u00e9fis du droit num\u00e9rique au travail. Elle rappelle que le RGPD n\u2019est pas un simple formalisme, mais un cadre \u00e9thique exigeant, o\u00f9 chaque traitement de donn\u00e9es doit \u00eatre justifi\u00e9, limit\u00e9 et s\u00e9curis\u00e9. Les employeurs doivent d\u00e9sormais voir dans la protection des donn\u00e9es non pas une contrainte, mais un levier de confiance et d\u2019innovation sociale, \u00e0 l\u2019heure o\u00f9 le droit \u00e0 la d\u00e9connexion et la qu\u00eate de sens red\u00e9finissent les \u00e9quilibres professionnels.<\/p>\n

                      La CNIL, en sanctionnant avec p\u00e9dagogie, trace une voie m\u00e9diane entre laxisme et prohibitionnisme, invitant les entreprises \u00e0 repenser leur gouvernance data \u00e0 l\u2019aune des imp\u00e9ratifs d\u00e9mocratiques. Reste \u00e0 savoir si le l\u00e9gislateur europ\u00e9en, face \u00e0 l\u2019essor des m\u00e9tavers professionnels et de l\u2019IA \u00e9motionnelle, saura renforcer ces garde-fous sans \u00e9touffer l\u2019agilit\u00e9 \u00e9conomique.<\/p>\n

                      Pour lire une version plus courte de cet article sur la surveillance des salari\u00e9s<\/a>, cliquez<\/p>\n

                      Articles qui pourraient vous int\u00e9resser\u00a0:<\/p>\n