TL;DR pour le DPO
Trois conditions cumulatives : justification et proportionnalité, consultation des instances représentatives du personnel, information préalable. S'il en manque une, le dispositif est illicite même si les deux autres sont parfaites. Et l'employeur doit pouvoir PROUVER que l'analyse a été faite : pour une autorité, une analyse non écrite n'a jamais eu lieu.
Le pouvoir de contrôle existe, mais il n'est pas illimité
La CNIL part de la reconnaissance du pouvoir de direction : l'employeur doit vérifier la bonne exécution des tâches confiées et assurer la sécurité des biens et des personnes sous sa responsabilité. Les dispositifs peuvent porter sur les équipements professionnels (téléphone, ordinateur, voiture de service), l'accès aux locaux et le contrôle des horaires, la vidéosurveillance au travail. Mais ce pouvoir ne peut pas être exercé de manière excessive.
La référence est l'article L.1121-1 du code du travail : nul ne peut apporter aux droits des personnes des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. De ce principe, la Cour de cassation a tiré depuis 2001 que le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée.
Les deux conditions qui font tomber les dispositifs
C'est là que l'employeur tombe
La discussion porte presque toujours sur la proportionnalité. Mais la CNIL énumère trois conditions CUMULATIVES, et les deux autres sont procédurales : la consultation préalable des instances représentatives du personnel - le CSE dans les entreprises privées de 50 salariés et plus, le comité social dans les organismes publics - et l'information préalable des personnes. L'exemple de la CNIL est net : installer une badgeuse ou un système de vidéosurveillance sans consultation préalable du CSE, dans une entreprise de 50 salariés ou plus, est illicite. Point. Aucune proportionnalité ne le sauve.
Ce que proportionné veut dire, avec les exemples
La CNIL donne une méthode, pas une formule : définir clairement l'objectif du contrôle et son périmètre, identifier les risques d'atteinte aux droits, s'assurer qu'il n'existe pas de moyen moins intrusif, et déterminer quelles données sont strictement nécessaires, combien de temps les conserver et qui peut y accéder.
- Une surveillance constante est en général excessive. Avec une exception instructive : la géolocalisation permanente d'un véhicule d'urgence est proportionnée, car elle ne sert pas à surveiller le salarié mais à permettre l'intervention de l'équipe la plus proche.
- Le keylogger sur une personne en télétravail est disproportionné : il ne permet pas de distinguer les informations professionnelles et personnelles et place la personne sous surveillance constante.
- Un logiciel qui compte et transmet à l'encadrant, de façon transparente, le nombre de dossiers traités par trimestre semble proportionné : la fréquence n'est pas assimilable à une surveillance constante, et des périodes plus longues sont plus représentatives du travail fourni.
- Un outil mis en place dans un but ne doit pas poursuivre un autre objectif caché : la géolocalisation des véhicules pour optimiser les tournées ne doit pas servir, de manière dissimulée, à contrôler la vitesse en temps réel.
La charge de la preuve
Le passage le plus utile est le dernier. La CNIL écrit que l'employeur doit pouvoir prouver le respect de ces conditions, et précise quoi : les étapes de l'analyse de nécessité et de proportionnalité, le cycle de vie des données traitées, les mesures prises pour l'information et l'exercice des droits. Et elle ajoute une raison pratique qui vaut plus que la conformité elle-même : documenter permet de réévaluer facilement la situation en cas de changement.
Que faire maintenant, concrètement
1) Pour chaque dispositif de contrôle chez vos clients, demandez trois choses : l'analyse de proportionnalité écrite, le procès-verbal de la consultation du CSE et le texte de l'information remise. Si la deuxième manque, le dispositif est illicite quoi qu'il en soit du reste. 2) Cherchez les finalités cachées : prenez la finalité déclarée et demandez quels autres usages le système permet techniquement. C'est de là que viennent les plaintes. 3) En télétravail, vérifiez l'absence d'enregistrement continu : keyloggers, captures d'écran périodiques, suivi minute par minute. 4) Portez les indicateurs de productivité sur des périodes longues et rendez-les visibles à la personne : c'est l'exemple que la CNIL elle-même juge proportionné. 5) Inscrivez au registre article 30 la durée de conservation des enregistrements et la liste des accès : ce sont les deux rubriques qu'on trouve vides en contrôle.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
