Contrôle de l'activité professionnelle : cadre légal et bonnes pratiques pour les employeurs

Le pouvoir de direction confère à l’employeur la possibilité d’encadrer et de superviser l’activité des membres du personnel ainsi que l’usage des équipements professionnels. Cette prérogative, inhérente au contrat de travail, doit néanmoins s’exercer dans le respect des droits et libertés des salariés, sans excès ni abus.

Objectifs et périmètre du contrôle

L’employeur est tenu de veiller à l’exécution conforme des missions confiées et à la sécurité des biens et des personnes placés sous sa responsabilité. Les dispositifs de contrôle peuvent porter sur :

• les équipements professionnels, notamment informatiques (ordinateurs, téléphones, véhicules de service) ;
• l’accès aux locaux et le suivi des horaires ;
• la vidéosurveillance sur le lieu de travail.

L’adéquation des outils mis en œuvre dépend des technologies employées (géolocalisation, enregistrements téléphoniques, etc.), chacune étant soumise à des exigences spécifiques.

Conditions cumulatives de licéité

Pour être conforme, un dispositif de contrôle doit satisfaire trois exigences impératives :

1. Justification et proportionnalité

Le dispositif doit répondre à un objectif légitime et être strictement proportionné à celui-ci, sans porter atteinte excessive aux droits fondamentaux des salariés, notamment au respect de leur vie privée. L’article L.1121-1 du code du travail rappelle que toute restriction aux libertés individuelles doit être justifiée par la nature de la tâche et proportionnée au but recherché.

L’équilibre entre les intérêts de l’entreprise et ceux des salariés s’apprécie au cas par cas. L’employeur doit :

• définir clairement l’objectif poursuivi et son périmètre ;
• identifier les risques d’atteinte aux droits et libertés ;
• s’assurer de l’absence de moyens moins intrusifs pour atteindre l’objectif ;
• limiter la collecte aux données strictement nécessaires, définir leur durée de conservation et restreindre l’accès aux personnes habilitées.

Une surveillance constante est généralement considérée comme excessive, sauf exceptions justifiées par un impératif de sécurité ou d’efficacité opérationnelle. À l’inverse, certains dispositifs peuvent être jugés disproportionnés, comme l’utilisation d’un keylogger pour surveiller un télétravailleur, en raison du risque de captation de données personnelles.

2. Consultation des instances représentatives du personnel

Avant toute mise en œuvre d’un dispositif de surveillance, l’employeur doit consulter les instances représentatives du personnel dans les structures concernées :

• le conseil social et économique (CSE) pour les entreprises privées de 50 salariés et plus ;
• les comités sociaux d’administration, territorial ou d’établissement (CSA, CST) pour les organismes publics employant du personnel dans les conditions du droit privé.

Cette étape s’inscrit dans le cadre du dialogue social et vise à garantir la transparence et l’acceptabilité du dispositif.

3. Information préalable des salariés

Les salariés doivent être informés de l’existence et des modalités du dispositif de contrôle avant sa mise en œuvre. Cette obligation de transparence s’inscrit dans le respect des principes de loyauté et d’information incombant à l’employeur.

Recours en cas de non-respect

Un salarié estimant qu’un dispositif de contrôle porte atteinte à ses droits peut saisir la CNIL pour toute violation des règles de protection des données personnelles. Cette démarche permet de contester la licéité du dispositif et d’obtenir sa régularisation ou son retrait.

Recommandations pour une conformité durable

La conformité des dispositifs de contrôle doit faire l’objet d’une vérification systématique avant toute installation ou modification. L’employeur est tenu de documenter les étapes d’analyse de nécessité et de proportionnalité, ainsi que le cycle de vie des données traitées. Cette traçabilité facilite les réévaluations en cas d’évolution des circonstances et renforce la preuve de conformité réglementaire.

Source : CNIL — Actualités