La généralisation de l’usage de l’internet au travail repose en des termes nouveaux les questions traditionnelles du contrôle de l’activité professionnelle et de la surveillance. La formalisation des normes est débutante, et nombre de contentieux peuvent être traités au moyen des règlementations classiques. On présentera successivement, dans une série d’articles, la description du statut actuel du contrôle, puis la problématique générale de la cybersurveillance.
Réduction d’incertitude
La question de la réduction d’incertitude a hanté les organisateurs depuis les possibilités de production en série développées par le taylorisme. Elle existait certes auparavant, l’incertitude sur la fabrication (temps, qualité, adéquation, coûts etc.) est aussi vieille qu’elle. Mais elle était assurée par la qualification de ses auteurs, et leur appartenance à un groupe professionnel qui diffusait en même temps les savoir faire, les statuts respectifs et les règles de conduite. Ces manières existent toujours, dans de petits univers professionnels hautement qualifiés travaillant sur mesure. Mais plus dans les plus grandes entités, non seulement à cause du nombre (l’arsenal de Venise était déjà une grande entreprise au XVIe siècle), mais du fait de la réorganisation dite scientifique du travail.
La décomposition d’anciens métiers en tâches élémentaires (Taylor, Ford) a rendu impossible une telle professionnalisation au profit de la seule capacité de monter en cadence sur des gestes répétitifs. On ne pouvait donc plus asseoir la certitude relative de fabrication sur l’internalisation des savoirs et codes, y compris d’autoévaluation, de professionnels, mais sur le contrôle du suivi de procédures standardisées par des personnes chargées de préparation du travail et de surveillance (des temps, des lieux, des gestes). Une structure hiérarchique pyramidale assure théoriquement l’intégration de l’ensemble, sur un modèle militaire. Le contrôle du travail moderne, avec ses superviseurs, était né.
L’internet, plus largement les NTIC, vont à présent permettre une nouvelle refondation de la question initiale en allant beaucoup plus au coeur du processus de travail et de l’intimité de ceux qui l’assurent. À la fois une extension des possibilités, et un approfondissement de l’impact pour certaines catégories. L’histoire conflictuelle des rapports de travail a construit un système de règles, dans lesquelles sont insérées les questions de cybersurveillance et autres formes actuelles et futures de contrôle. On examine dans cette première partie les règles appliquées, ou en construction, sur les pratiques de contrôle en France.
L’encadrement général du contrôle
La relation de travail est encadrée juridiquement par le contrat de travail, qui crée un lien de subordination, tel que l’activité s’exerce sous l’autorité d’un employeur qui a le pouvoir de donner des ordres et des directives, d’en contrôler l’exécution et de sanctionner les manquements éventuels. Le droit confère à l’employeur trois pouvoirs : de direction, de réglementation, et disciplinaire.
De ce pouvoir patronal, exercé concrètement par des salariés qui en ont mission, découle le contrôle du travail des salariés et l’exercice du pouvoir disciplinaire. Ces composantes de la relation de travail peuvent toutefois, avec l’émergence des nouvelles technologies, donner lieu à des dérives et la barrière entre le contrôle du travail des salariés et une surveillance extensive sans rapport avec l’activité exercée peut vite être franchie.
A. Le contrôle des accès
La mise en place d’un système de badges peut poursuivre différentes finalités :
1. contrôle d’accès à l’entrée et dans certains locaux de l’entreprise
Certaines demandes de syndicats font apparaître la crainte que l’employeur n’utilise les données enregistrées à ce titre pour surveiller le personnel. Sur ce point, aucune jurisprudence n’a interdit une telle utilisation des données enregistrées dès lors que les salariés en ont été préalablement informés. Cependant, si ces traitements devaient avoir une telle finalité, elle devrait être déclarée à la CNIL
(durée de conservation des données : 3 mois).
2. gestion des horaires variables et des temps de présence pour harmoniser la durée du travail et offrir au personnel une plus grande souplesse dans l’aménagement de son temps de travail
(durée de conservation des données : un an). Art. L. 619-9 : « Les chefs d’établissement doivent tenir à disposition de l’inspecteur du travail et pendant une durée d’un an, y compris dans le cas d’horaires individualisés, le ou les documents existant dans l’établissement qui lui permettent de comptabiliser les heures de travail effectuées par chaque salarié ».
3. gestion de l’accès au restaurant d’entreprise et mise en place d’un système simple de paiement.
Les dispositifs de contrôle d’accès ou de circulation doivent être déclarés à la CNIL puisqu’ils constituent des traitements automatisés d’informations nominatives au sens de la loi de 1978 (identification physique des personnes). Le dossier constitué doit préciser la finalité du traitement en expliquant les différentes applications, les informations enregistrées, leurs destinataires, les modalités de consultations du CE (art. L. 432-2-1 du Code du travail) et l’information du personnel.
En vertu des articles 27 et 34 de la loi « Informatique et libertés », les salariés doivent être informés de leur droit d’accès et de rectification dont ils disposent aux informations nominatives les concernant figurant dans ces traitements.
B. Le contrôle de l’activité et de la productivité
La mise en place de systèmes sophistiqués de surveillance permet de mesurer à distance avec précision l’activité des personnes ayant un contact direct une machine : saisie informatique, téléphone, etc. Il peut en résulter des conséquences sur la mutation, les primes, voire les licenciements.
Certaines entreprises ont conçu le projet de filmer les salariés au travail pour observer leur comportement professionnel, ce qui peut se justifier, par exemple, sans intention de pénétrer dans le domaine de la vie privée, dans le but d’enregistrer la succession des gestes et d’en déduire des procédés visant à diminuer les temps de fabrication. Mais l’entreprise a la possibilité d’observer les cadences et les pauses et d’en déduire des conséquences. Bien que le film ne puisse être assimilé à un fichier automatisé, dès lors qu’il est conservé pour exploitation et que les personnes filmées sont aisément identifiables, la CNIL est saisie et admet l’opération à titre expérimental, sous réserve de respecter les principes de finalité et de transparence (prévenir au préalable les opérateurs, leur permettre de visionner les films, aucune application ne doit intervenir en matière de gestion du personnel et la vidéo doit être détruite après usage).
C. Le contrôle des communications téléphoniques
Ce contrôle peut revêtir deux aspects :
1. le comptage des communications :
La mise en place de standards téléphoniques (« autocommutateurs », ou PABX) permet d’enregistrer les numéros appelés à partir de chacun des postes téléphoniques, ainsi que les divers éléments de la communication (date, heure, durée, coût), afin de contrôler et de maîtriser les dépenses. Cette technique permet d’identifier les interlocuteurs et par là de procurer des informations directement ou indirectement nominatives.
Des garanties doivent être prises lors de l’installation de ces appareils :
consultation des instances représentatives du personnel et information préalable du personnel (modalités de contrôle téléphonique, destinataires des informations et droit d’accès et de rectification) ;
les 4 derniers chiffres des numéros de téléphones appelés doivent être occultés des relevés ;
les « salariés protégés » doivent disposer d’une ligne téléphonique non connectée à l’autocommutateur. La durée de conservation des données est de 6 mois.
Toutefois, on admet que l’intégralité des numéros appelés depuis les postes de l’entreprise puisse être connue des employeurs. On s’assure cependant que les documents qui peuvent être édités et qui sont parfois diffusés dans l’entreprise ne permettent en aucun cas de porter à la connaissance d’un salarié l’intégralité des numéros appelés par un autre salarié.
2. l’écoute ou l’enregistrement des conversations
L’état du droit ressort de diverses sources.
Art. L. 226-15 du Code pénal incrimine le fait commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie des télécommunications ou de procéder à l’installation d’appareils conçus pour réaliser de telles interceptions (1 an d’emprisonnement, 300 000 francs d’amende).
Art. L. 226-3 du Code pénal prévoit que l’installation d’appareils conçus pour réaliser l’enregistrement de paroles prononcées à titre personnel ou confidentiel doit faire l’objet d’une demande d’autorisation auprès du Secrétaire Général de la Défense Nationale.
Art. L. 121-8 / 432-2-1 du Code du travail
Règlement 90-13 du Comité de la réglementation bancaire du 25/07/1990 qui encadre les enregistrements des conversations téléphoniques liées aux passages d’ordres dans les salles de marché.
L’écoute ou l’enregistrement des paroles prononcées par une personne, sans le consentement de celle-ci, constituent une atteinte à l’intimité de la vie privée et sont réprimés par l’article 368 du Code pénal (il faut aviser le salarié et obtenir son consentement). L’infraction est également caractérisée dans la mesure où le correspondant n’est pas de son côté averti que la conversation peut être écoutée ou enregistrée.
Si toutes ces conditions sont réunies, la production par l’employeur des relevés de facturation téléphonique adressés par l’opérateur télécom pour le règlement des communications correspondant au poste du salarié ne constitue pas une preuve illicite.
Dans ce domaine, la CNIL n’est compétente que si le dispositif d’écoutes donne lieu à un enregistrement et à une conservation des conversations.
Elle recommande que :
les salariés puissent disposer de lignes non connectées au dispositif d’écoute pour leurs conversations passées à titre privé ;
les salariés puissent avoir connaissance du compte rendu de la conversation enregistrée afin de formuler leurs observations ;
les salariés doivent être prévenus des périodes pendant lesquelles leurs conversations seront enregistrées ;
les enregistrements des conversations alors qu’il s’agit d’opérer des contrôles de la qualité du service téléphonique rendu, ne devraient être conservés que le temps strictement nécessaire à l’objectif poursuivi (ex : effacement de la bande dès que le salarié l’a écoutée et/ou conservation de quelques heures à quelques jours).
L’internet au travail
Plusieurs arguments sont avancés par les entreprises pour justifier le droit de surveillance de ses salariés à l’occasion d el’utilisation du réseau :
le coût élevé (téléchargement de film ou de musique) de l’utilisation de l’internet,
l’efficacité du travail (chasse aux temps morts),
le risque informatique (virus, etc.),
le risque juridique d’engagement de responsabilité de l’entreprise dans les infractions pénales éventuellement commises par un salarié.
Par rapport aux autres modes de contrôle connus historiquement, la cybersurveillance représente une nouveauté de grande portée, outre le fait que la surveillance des salariés ne concerne plus uniquement les ouvriers et employés.
Jusqu’à présent, le contrôle concernait principalement la présence, la localisation physique de l’individu, ou le résultat de sa production. On demeurait encore à la périphérie du processus de travail lui même. Cependant, avec l’émergence des nouvelles technologies de communication et tout particulièrement l’introduction d’internet dans l’entreprise, c’est une véritable migration des technologies de contrôle de la périphérie jusqu’au coeur du processus de travail proprement dit qui s’opère.
La différence entre les NTIC et les divers modes de surveillance réside principalement dans la capacité à conserver toutes les traces laissées par la personne connectée. Elles peuvent être classées en trois catégories :
pour les besoins de l’entretien du système à titre préventif ou curatif : détecter les pannes, améliorer les performances ;
pour les besoins de sécurité, en n’autorisant l’accès au système qu’aux seuls utilisateurs habilités et savoir qui fait quoi ;
pour restreindre par filtrage, certaines actions des utilisateurs (censure) considérés par les entreprises comme étant hors du champ de leurs activités.
L’informatique ne peut fonctionner sans trace. En outre, en informatique, toute activité d’un utilisateur est « identifiable » (y compris son inactivité).
Cependant, les salariés demeurent encore largement ignorants des possibilités de traçage que les nouvelles technologies offrent à l’employeur et, de fait, l’équilibre nécessaire entre contrôle exercé par l’entreprise et respect des droits des salariés ne paraît pas assuré dans bien des cas.
A. Sources
Il n’existe pas de dispositions spécifiques en ce domaine, et le droit le régissant est dispersé. La jurisprudence est à ce jour peu abondante (on se tiendra informé en consultant les sites juridiques ou syndicaux).
On déduit une partie des règles applicables :
du droit au respect de la vie privée (Code Civil)
Art.8 : « Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance ».
Art.9 : « Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes les mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée ; ces mesures peuvent, s’il y a urgence, être ordonnées en référé ».
des libertés et des règles sociales au travail (Code du Travail)
Art. L. 120-2 : Limites aux restrictions apportées aux libertés individuelles et collectives : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».
Art. L. 121-8 : Réglementation de la collecte d’informations concernant le salarié : « Aucune information concernant personnellement un salarié ou un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à la connaissance du salarié ou du candidat à un emploi ».
Art. L. 432-2-1 : Information et consultation du CE sur les moyens et techniques de contrôle de l’activité du salarié : « Le comité d’entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ».
Art. L. 422-3 : Information des délégués du personnel : « Si un délégué du personnel constate, notamment par l’intermédiaire d’un salarié, qu’il existe une atteinte aux droits des personnes ou aux libertés individuelles dans l’entreprise qui ne serait pas justifiée par la nature de la tâche à accomplir ni proportionnée au but recherché, il en saisit immédiatement l’employeur ».
des textes appliqués à la correspondance (Code pénal)
Art. 432-9 : Protection des communications téléphoniques (à l’égard d’un exploitant réseau) : « Le fait, pour une personne dépositaire de l’autorité publique ou chargée d’une mission de service public, agissant dans l’exercice ou à l’occasion de l’exercice de ses fonctions ou de sa mission, d’ordonner, de commettre ou de faciliter, hors les cas prévus par la loi, le détournement, la suppression ou l’ouverture de correspondances ou la révélation du contenu de ces correspondances, est puni de trois ans d’emprisonnement et de 300 000 F d’amende. Est puni des mêmes peines le fait, par une personne visée à l’alinéa précédent ou un agent d’un exploitant de réseau de télécommunications autorisé en vertu de l’article L. 33-1 du code des postes et télécommunications ou d’un fournisseur de services de télécommunications, agissant dans l’exercice de ses fonctions, d’ordonner, de commettre, ou de faciliter, hors les cas prévus par la loi, l’interception ou le détournement des correspondances émises, transmises ou reçues par la voie des télécommunications, l’utilisation ou la divulgation de leur contenu ».
Art. 226-15 : Protection du secret des correspondances, y compris par télécommunication (à l’égard d’un particulier) : « Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner, d’utiliser ou de divulguer des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance, est puni d’un an d’emprisonnement et de 300 000 F d’amende. Est puni des mêmes peines le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie des télécommunications ou de procéder à l’installation d’appareils conçus pour réaliser de telles interceptions ».
Art. 226-1. Protection de la vie privée prohibant : - la captation, l’enregistrement des paroles prononcées à titre privé ou confidentiel, - la fixation, l’enregistrement de l’image : « Est puni d’un an d’emprisonnement et de 300000 F d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui :
1. En captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel ;
2. En fixant enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé.
Lorsque les actes mentionnés au présent article ont été accomplis au vu et au su des intéressés sans qu’ils s’y soient opposés, alors qu’ils étaient en mesure de le faire, le consentement de ceux-ci est présumé. »
La CNIL s’est préoccupée dans son rapport annuel 2000 de la « cybersurveillance des salariés ». Elle a depuis rendu publiques quelques unes des ses réflexions qui en substance consistent à reconnaître une vie personnelle du salarié dans l’entreprise et à considérer que les échanges par messagerie électronique obéissent aux mêmes règles que la correspondance écrite ou téléphonique, ce qui conduirait à permettre un contrôle « quantitatif » de la part de l’employeur, en excluant la possibilité de prendre connaissance du contenu des messages.
B. Types de contrôle
L’utilisation de la messagerie peut faire l’objet d’un contrôle :
Pour la correspondance professionnelle si elle est clairement identifiable, par rapport à la correspondance privée
Pour la correspondance privée, si le recours au contrôle est motivé et proportionnel au but recherché.
Si l’employeur est en droit de contrôler et de surveiller l’activité de ses salariés, ce n’est pas sans limites. Par exemple, il doit justifier le contrôle exercé par un intérêt légitime : problèmes de sécurité (préservation du secret des affaires) ou nécessité d’éviter des usages abusifs ou préjudiciables à l’entreprise.
S’agissant de la messagerie électronique le salarié est protégé par le principe du secret des correspondances émises par les voies des télécommunications. En effet, le tribunal correctionnel de Paris a jugé que le courrier électronique, de personne à personne, constitue de la correspondance privée.
Si l’employeur n’informe pas les salariés d’un contrôle de leurs courriers électroniques, ils constitueront des moyens de preuve illicite à l’appui d’une sanction disciplinaire ou d’un licenciement devant les tribunaux. L’employeur peut réserver exclusivement la messagerie électronique à l’usage professionnel et, dans cette hypothèse, les salariés qui en auront été préalablement avertis ne pourront pas invoquer le secret de la correspondance, puisque le courrier électronique sera susceptible d’être lu. Cependant, l’élaboration d’une règle par l’employeur n’interdit pas au juge d’exercer son contrôle (appréciation de la règle de proportionnalité).
Les mode de contrôle de l’usage d’un courrier électronique concernent le volume des messages échangés, leur taille, le format des pièces jointes.
Sur ce thème, la jurisprudence la plus importante est celle de la Cour de Cassation (chambre sociale), du 2 octobre 2001. On y trouve les principes qui ont vocation à s’appliquer dans les contentieux futurs : « ...le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée... celle-ci implique en particulier le secret des correspondances... l’employeur ne peut dès lors sans violation de cette liberté fondamentale prendre connaissance des messages personnels émis par le salarié et reçus par lui grâce à un outil informatique mis à sa disposition pour son travail et ceci même au cas où l’employeur aurait interdit une utilisation non professionnelle de l’ordinateur. »
L’utilisation d’autres fonctionnalités d’internet (web notamment) peut faire l’objet d’un contrôle sur les durées des connexions, et les sites les plus visités (de façon globale/par service).
Concernant les possibilités de traçage électronique, il faudra attendre d’autres décisions de la Cour de Cassation afin de savoir dans quelle mesure l’employeur peut utiliser les nouvelles technologies pour tracer contrôler l’activité.
C. L’usage à titre personnel
L’usage à titre personnel fait l’objet de tolérances variables, qui ne touchent pas le seul internet.
Le minitel et le téléphone utilisés à des fins privés peuvent être sanctionnés par le licenciement :
Faute grave
Le fait pour un salarié d’avoir « usé du téléphone de l’entreprise de façon continuelle et journalière à des fins privées » (Cass. soc. 7 novembre 1995).
Le fait pour un cadre chargé de l’adaptation du système informatique d’avoir utilisé à des fins personnelles le téléphone dans l’entreprise, notamment pour s’entretenir avec des sociétés pour lesquelles in effectuait des prestations informatiques sans lien avec l’employeur, alors que de surcroît, il avait été précédemment mis en garde officiellement (Rennes, ch. Soc. 3 juin 1999).
Cause réelle et sérieuse
Le fait pour une secrétaire d’avoir passé « en dix mois 33 heures au téléphone à des fins privées mais alors qu’elle n’avait pas été mise en garde au préalable et que la bonne marche de l’entreprise ne s’en était pas trouvé affecté » (Paris, 24 février 1999).
Une utilisation répétitive et délibérée du téléphone par un mécanicien soumis à une astreinte de nuit mais alors que la convention des parties n’interdisait pas l’usage du téléphone à des fins privées (Cass. soc. 3 février 1999).
En revanche, est un licenciement abusif l’incrimination de :
1. L’usage par un conducteur du téléphone portable qui lui avait été confié par l’entreprise alors que « ses conditions de travail le contraignaient à appeler sa famille pour l’avertir de ses retards et la rassurer » et que le salarié proposait de rembourser les sommes dues à l’employeur (Nancy, ch. Soc. 1er mars 1999).
2. L’usage n’ayant entraîné qu’un coût modique (moins de 150 F) et alors que l’employeur n’avait fixé aucune règle à cet égard ni mis à la disposition des salariés un point téléphone (Montpellier, ch. Soc.18 février 1999).
L’utilisation à des fins privées de l’internet serait possible sauf en cas de violation d’une règle imposée par l’employeur et d’abus caractérisé. Cependant, ici aussi, l’élaboration d’une règle par l’employeur n’interdit pas au juge d’exercer son contrôle (appréciation de la règle de proportionnalité entre le fait et sa sanction).
On ne peut appliquer d’emblée et automatiquement une sanction proprement dite à ce qui n’est le plus souvent qu’un simple abus dont l’évaluation peut être délicate. Il existe trois degrés de comportements « fautifs » :
le comportement illégal (ex : connexion à un site pédophile) qui engendre une dénonciation au Parquet ;
le comportement illicite, plus difficile à définir (ex : interdit par une charte ou un règlement intérieur) ;
le comportement abusif, le plus souvent rencontré (ex : trop de temps passé, trop d’e-mails, etc.).
S’ajoutent à une évaluation délicate d’un comportement « fautif », d’autres questions :
L’identification du fautif peut être diffcile.
Au Conseil général de la Sarthe, un haut fonctionnaire utilisait le poste de son assistante pour se connecter à des sites pédophiles. Par conséquent, il faut prouver la faute et identifier l’auteur de celle-ci. Dans la pratique, le cas le plus fréquent, le comportement abusif, est en réalité facile à résoudre du fait de la répétition.
La fiabilité du contrôle peut être faible. Plusieurs décisions ont mis en avant la « possibilité de manipulation ». « Une vidéo numérique ne donne pas des garanties suffisantes d ’authenticité, de sincérité, d’impartialité ». Ou encore, la Cour d’appel de Rouen énonce : « preuve irrecevable, les possibilités de manipulations sont trop grandes ».
Le coût peut rarement être identifié, toutes les entreprises disposent presque toujours de forfaits.
La morale a des limites légales : les sites pédophiles sont illégaux et un site érotique ne l’est pas (du moins en France). Au niveau international, les différences culturelles compliquent le problème. Le ton parfois utilisé en France, serait considéré comme du harcèlement sexuel aux Etats-Unis (une entreprise qui accepte des e-mails à connotation sentimentale ou érotique ne se rend-t-elle pas « complice d’une atmosphère de harcèlement sexuel » ?)
Conclusion partielle
L’entreprise dispose d’outils de grande puissance pour constituer des preuves (traçabilité), mais lorsqu’elles sont produites devant une juridiction, il faut qu’elles soient acceptables. C’est à dire que l’employeur respecte les différentes démarches établies par le droit. Les tribunaux sont catégoriques sur le respect des procédures.
Quant aux sanctions, il faut d’abord qu’elles aient une source : soit le règlement intérieur, soit une Charte spécifique, soit le pouvoir disciplinaire général de l’employeur. En toute hypothèse, le doute profitant au salarié, l’entreprise doit prouver la faute avec des preuves recevables.
Concernant la charte, elle peut contenir des dispositions sur le fonctionnement d’internet qui sont en principe exclues du règlement intérieur. Toutefois, une charte, si elle fige des prescriptions permanentes et générales dont le non respect est sanctionné, relève du règlement intérieur. Les prescriptions et interdictions assorties d’une sanction ainsi que les procédures de contrôle relèvent d’une charte à caractère disciplinaire (art. L. 122-34).
Cependant, comme le souligne la CNIL, « l’examen de ces chartes, qui sont très rarement négociées avec les représentants du personnel ou leurs syndicats, manifeste un déséquilibre patent entre les prérogatives de l’employeur et les droits des salariés ». Le contentieux naissant autour du respect de ces chartes soulève la question de leur nature et de leur portée. Et, au delà, de la manière de réglementer l’usage de l’internet au travail.
à suivre
