La surveillance des salariés en télétravail : que peut faire l’employeur ?

Depuis la crise sanitaire, le télétravail est plébiscité à la fois par les salariés et les employeurs. Si les avantages qu’il octroie ne sont plus à présenter dans un contexte où les problématiques de pouvoirs d’achat et les questions environnementales sont au cœur des préoccupations, ce nouveau mode d’organisation met particulièrement à l’épreuve les entreprises, notamment en matière de contrôle et de surveillance de l’activité des salariés. Alors que l’émergence des nouvelles technologies a largement permis de maintenir à distance le lien de subordination, leur usage doit cependant demeurer proportionné à l’objectif recherché et être transparent pour les salariés. Dans son Questions/Réponses, publié le 12 novembre 2020, la CNIL publiait déjà à destination des employeurs des recommandations pratiques, visant notamment à protéger la vie privée des télétravailleurs. Voilà quelques réponses aux questions que peuvent se poser les employeurs.

Selon l’enquête Sumer de la DARES (direction de l’animation de la recherche, des études et des statistiques), si seulement 3 % des salariés pratiquaient régulièrement le télétravail en 2017, ce sont désormais 23 % des actifs français qui y ont recours régulièrement. Encore marginale il y a peu, sa pratique s’est en effet généralisée avec la crise sanitaire que nous avons traversée au cours des deux dernières années et tend à se pérenniser.

Il convient de se reporter à la lecture de l’article L. 1222-9 du Code du travail pour connaître la définition légale du télétravail, ainsi que ses modalités de mise en œuvre. Aux termes de ces dispositions, « le télétravail désigne toute forme d’organisation du travail dans laquelle un travail qui aurait également pu être exécuté dans les locaux de l’employeur est effectué par un salarié hors de ces locaux de façon volontaire en utilisant les technologies de l’information et de la communication ».

Le télétravail doit être mis en place dans le cadre d’un accord collectif ou, à défaut, dans le cadre d’une charte élaborée par l’employeur après avis du comité social et économique (CSE), s’il existe. En l’absence d’accord collectif ou de charte, la mise en place du télétravail peut résulter d’un accord entre le salarié et l’employeur formalisé par tout moyen.

Aussi, c’est au niveau de l’entreprise que ses modalités précises de mise en œuvre doivent être définies, et ce dans le cadre fixé par le Code du travail et les dispositions de l’accord national interprofessionnel (ANI) du 19 juillet 2005 et du 26 novembre 2020.

Cependant, l’émergence de ce nouveau mode d’organisation du travail n’est pas sans poser de difficultés pratiques pour les entreprises, notamment en matière de contrôle et de surveillance de l’activité des salariés, l’enjeu étant de maintenir le niveau d’activité et de rentabilité des entreprises tout en préservant les libertés et les droits fondamentaux des télétravailleurs.

Quels sont les outils de surveillance des salariés ?

Le télétravail n’est qu’un mode d’organisation du contrat de travail, de sorte que l’employeur conserve à l’égard des télétravailleurs son pouvoir de direction, de contrôle et de sanction.

Une multitude d’outils se trouve à disposition de l’employeur pour contrôler l’activité du salarié. En effet, il est possible d’opter pour la mise en place de comptes rendus réguliers, quotidiens ou hebdomadaires, par téléphone ou par courriel.

Par ailleurs, le suivi du temps de travail des salariés peut être assuré par un système auto-déclaratif, par l’intermédiaire d’un logiciel de suivi du temps de travail rempli par le salarié ou d’un logiciel informatif de badgeage.

Parallèlement à ce système auto-déclaratif, des procédés de contrôle plus intrusifs sont à disposition de l’employeur. Ces outils n’ont pas pour seul objectif l’identification de la personne et le suivi du temps de travail, mais visent à analyser la qualité du travail et la productivité des travailleurs. Tel est le cas notamment du suivi de la boîte mail du salarié, des dispositifs d’écoutes téléphoniques, des dispositifs de vidéosurveillance et de traçage informatique. Les évolutions techniques ont également permis le développement de logiciels espions, appelés « keylogger », permettant d’enregistrer l’ensemble des actions du salarié.

Dans quel cadre cette surveillance peut-elle s’exercer ?

Si l’employeur conserve le pouvoir d’encadrer et de contrôler l’activité des salariés en télétravail au même titre que les salariés travaillant sur site, il n’en demeure pas moins que son usage ne doit pas être excessif.

En premier lieu, il convient de rappeler que l’employeur est tenu à une obligation de loyauté et de transparence à l’égard de ses salariés. Ainsi, en application des dispositions de l’article L. 1222-4 du Code du travail, il lui incombe de les informer de l’existence de dispositifs de contrôle préalablement à leur mise en place.

L’article L. 2312-38 du Code du travail précise également que le CSE doit être informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés.

Cette information doit être complète. À ce titre, la Cour de cassation a pu juger valable l’information transmise au moyen « d’un mémo circularisé sous forme papier, adressé à l’ensemble des salariés et disponible de manière constante sur l’intranet de l’entreprise »1.

En second lieu, la surveillance de l’employeur doit répondre à un impératif de proportionnalité. Elle doit en effet être en adéquation avec le but recherché, mais également proportionnée, c’est-à-dire mesurée et non excessive dans les moyens mis en œuvre.

Cette limite découle de l’article L. 1121-1 du Code du travail, en vertu duquel « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

Enfin, le cyber contrôle du salarié ne peut s’effectuer indépendamment des règles applicables à la protection des données. L’employeur doit en effet respecter le règlement sur la protection des données personnelles (RGPD) ainsi que les préconisations de la CNIL et veiller à la protection des données personnelles du salarié en télétravail et de celles qu’il traite à des fins professionnelles.

Quels sont les droits des salariés en matière de protection de leur vie privée lorsqu’ils sont en télétravail ?

L’ANI du 26 novembre 2020 rappelle en son article 3 que : « Les dispositions légales et conventionnelles applicables aux relations de travail s’appliquent aux salariés en télétravail. Ces derniers ont les mêmes droits légaux et conventionnels que le salarié qui exécute son travail dans les locaux de l’entreprise. »

Le télétravailleur bénéficie donc des mêmes droits que les salariés exécutant leur prestation de travail dans les locaux de l’entreprise en matière de protection de la vie privée. Il convient donc de s’en référer à l’abondante jurisprudence rendue en la matière pour fixer les contours du droit à la vie privée des salariés en télétravail.

La Cour de cassation a notamment posé le principe selon lequel « le fait imputé au salarié relevant de sa vie personnelle ne peut constituer une faute »2. Elle tempère néanmoins ce principe, lorsque ce fait s’accompagne d’un manquement à la loyauté dans l’exécution du contrat de travail3 ou lorsqu’il se rattache par un élément à la vie professionnelle et cause un trouble caractérisé au sein de l’entreprise4.

Il convient également de se reporter aux solutions jurisprudentielles développées en matière de consultation de la messagerie du salarié. Pour rappel, les courriels provenant de la messagerie personnelle du salarié sont couverts par le secret des correspondances, même s’il les consulte depuis son ordinateur professionnel5.

En revanche, les courriels reçus par le salarié sur sa messagerie professionnelle sont présumés avoir un caractère professionnel, et ce même s’ils contiennent des informations personnelles ou sont sans rapport avec son activité professionnelle6. Toutefois, il s’agit d’une présomption simple. Le salarié peut conférer à ces courriels un caractère personnel en apposant la mention « personnel », auquel cas l’employeur ne pourra en prendre connaissance7.

Enfin, l’accomplissement du travail en dehors de l’entreprise n’autorise pas pour autant l’employeur à contacter le salarié à toute heure. L’article L. 1222-9 du Code du travail précise notamment que l’accord d’entreprise, ou à défaut la charte, doit fixer les plages horaires durant lesquelles l’employeur peut contacter le télétravailleur, notamment ceux relevant d’un forfait annuel en jours. L’employeur doit donc déterminer ces plages horaires, en concertation avec le salarié, dans le respect du droit du travail et en cohérence avec les horaires de travail en vigueur dans l’entreprise8.

L’employeur doit également veiller à respecter le droit à la déconnexion du salarié, lequel est étroitement lié au droit à la vie personnelle et familiale du salarié. Sur ce point, l’ANI du 6 novembre 2020 rappelle que le droit à la déconnexion « doit faire l’objet d’un accord ou d’une charte traitant de ses modalités de mise en œuvre, dans les conditions prévues par les dispositions du Code du travail relatives à la négociation obligatoire en entreprise ».

Quelles sont les recommandations de la CNIL sur le sujet ?

Dans son Questions/Réponses publié le 12 novembre 20209, la CNIL rappelle que le système de contrôle du temps de travail ou d’activités doit avoir un objectif clairement défini, ne pas être utilisé à d’autres fins, et être proportionné et adéquat à cet objectif.

Elle exclut ainsi clairement les procédés de surveillance particulièrement invasifs et de nature à caractériser une surveillance permanente et disproportionnée des activités des salariés. Elle estime notamment que ne sont pas compatibles avec les principes susvisés :

• la surveillance constante du salarié au moyen de dispositifs vidéo ou audio ;

• le partage permanent de l’écran et/ou l’utilisation de « keyloggers» ;

• ou encore l’obligation pour le salarié d’effectuer très régulièrement des actions pour démontrer sa présence derrière son écran.

Elle recommande la mise en place d’un contrôle de la réalisation par objectifs pour une période donnée, à condition que ces objectifs soient raisonnables, susceptibles d’être objectivement quantifiés, et contrôlables à des intervalles réguliers. Un compte rendu régulier du salarié est également un moyen de contrôle de l’activité pouvant être mis en place.

Par ailleurs, elle préconise de veiller à ce que le recours à la visioconférence depuis leur domicile ne conduise pas les salariés à révéler davantage d’informations personnelles que lors d’une réunion sur leur lieu de travail et invite les employeurs à privilégier les solutions de visioconférence permettant aux utilisateurs de flouter l’arrière-plan.

En revanche, lorsqu’il n’est pas possible ou souhaitable de recourir à un dispositif de floutage, l’employeur ne peut pas imposer systématiquement l’activation de la caméra. La CNIL admet néanmoins que l’activation de la caméra puisse être exigée dans certains cas, tels qu’un entretien RH ou un rendez-vous client, mais invite l’employeur à en informer au préalable les salariés pour leur permettre de s’organiser en conséquence.

Que risque un employeur en cas de contrôle abusif ?

En cas de constat d’une violation du RGPD, et en particulier dans l’hypothèse d’un contrôle abusif des salariés, les sanctions pouvant être prononcées par la CNIL à l’encontre de l’employeur s’échelonnent du simple rappel à l’ordre à des amendes administratives d’un montant maximal de 10 M€ ou 2 % du chiffre d’affaires annuel mondial total de l’entreprise pour l’exercice précédent.

Par ailleurs, le contrôle excessif du salarié en télétravail peut conduire au prononcé de sanctions pénales. L’article 226-1 du Code pénal sanctionne « d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privé d’autrui », en captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel ou l’image d’une personne se trouvant dans un lieu privé.

De même, en application de l’article 226-16 du Code pénal, la mise en œuvre d’un système automatique de traitement de données personnelles ne respectant pas le RGPD est susceptible d’être punie des mêmes peines était passible de 5 ans d’emprisonnement et de 300 000 € d’amende.

Enfin, un contrôle abusif pourra justifier une action du salarié devant les juridictions prud’homales en requalification de son licenciement notamment, ainsi que l’octroi de dommages et intérêts10.