Surveiller un salarié en télétravail repose sur le même cadre juridique que le contrôle en présentiel : le pouvoir de direction de l’employeur s’exerce, mais il reste borné par le droit au respect de la vie privée et par les exigences du RGPD. La question n’est donc pas de savoir si un contrôle est possible, mais quels dispositifs restent proportionnés une fois le salarié installé chez lui.
Proportionnalité du contrôle en télétravail : ce que la CNIL sanctionne concrètement
Le principe de proportionnalité est le filtre central. Un outil de surveillance doit poursuivre un objectif légitime, et le moyen choisi ne doit pas excéder ce qui est strictement nécessaire pour l’atteindre.
Lire également : Quel business ouvrir en ce moment ?
La CNIL a illustré cette limite de façon nette. Dans sa délibération SAN-2024-021 du 19 décembre 2024, elle a sanctionné une entreprise d’une amende de 40 000 euros. Le dispositif cumulait trois mécanismes : suivi des périodes d’inactivité au clavier, captures d’écran régulières et vidéosurveillance continue par webcam.
Ce n’est pas un outil isolé qui a posé problème, mais leur accumulation. La CNIL a considéré que le cumul de plusieurs dispositifs intrusifs crée une surveillance disproportionnée, même lorsque l’employeur invoque un besoin légitime de mesurer l’activité.
A découvrir également : Quelles sont les limites du télétravail ?
Cette décision remet aussi en cause un raccourci fréquent : assimiler l’inactivité clavier à l’absence de travail. Un salarié qui lit un document, réfléchit à une stratégie ou participe à un appel téléphonique ne génère aucune frappe. Les indicateurs d’inactivité clavier ne mesurent pas le travail réel.
Charte de télétravail et obligation d’information préalable
Tout dispositif de contrôle suppose une information claire du salarié avant sa mise en place. Le code du travail (article L.1222-4) interdit la collecte d’informations personnelles par un dispositif dont le salarié n’a pas été préalablement informé.
En pratique, cette obligation se concrétise dans la charte de télétravail ou dans l’accord collectif. Le document doit préciser :
- La nature exacte des outils de contrôle déployés (logiciel de suivi du temps, rapports d’activité, pointeuse virtuelle, etc.)
- La finalité de chaque dispositif et les données collectées
- Les destinataires des données et leur durée de conservation
- Les droits du salarié (accès, rectification, opposition) conformément au RGPD
Le CSE doit également être consulté avant toute mise en place d’un dispositif de contrôle de l’activité des salariés. L’absence de cette consultation peut suffire à rendre le dispositif inopposable.
Outils de surveillance autorisés et outils interdits en télétravail
La frontière entre contrôle acceptable et surveillance abusive passe par le caractère permanent ou ponctuel du dispositif.
Ce qui reste admis
Un employeur peut demander des comptes rendus d’activité réguliers, fixer des plages de disponibilité pendant lesquelles le salarié doit être joignable, ou utiliser un logiciel de gestion de projet qui trace l’avancement des tâches. Le suivi du temps de connexion aux outils professionnels est également toléré, à condition qu’il serve à vérifier le respect des durées légales de travail et non à mesurer la productivité en continu.
Ce qui est interdit ou fortement restreint
La CNIL considère comme disproportionnés les dispositifs suivants, sauf circonstances exceptionnelles directement liées à la nature de la tâche :
- Les enregistreurs de frappes (keyloggers), qui captent l’intégralité des saisies clavier du salarié
- Le partage permanent d’écran ou les captures d’écran à intervalles réguliers sans motif spécifique
- La vidéosurveillance continue par webcam, qui revient à filmer le domicile du salarié
- L’obligation de prendre un nombre élevé de photos via webcam au cours de la journée pour prouver sa présence
La surveillance permanente suppose des circonstances exceptionnelles. Le simple fait de travailler à distance ne constitue pas une circonstance exceptionnelle. Un employeur ne peut pas justifier un keylogger par le seul motif que le salarié travaille depuis chez lui.
Analyse d’impact et RGPD : quand le contrôle devient un traitement de données sensible
Lorsque le dispositif de surveillance est constant ou systématique, la CNIL recommande de réaliser une analyse d’impact relative à la protection des données (AIPD). Cette démarche, prévue par l’article 35 du RGPD, évalue les risques que le traitement fait peser sur les droits et libertés des personnes concernées.
L’AIPD n’est pas une formalité optionnelle dans ce contexte. Un suivi continu de l’activité informatique d’un salarié constitue un traitement à grande échelle de données comportementales. Si l’analyse révèle un risque élevé que l’entreprise ne peut atténuer, elle doit consulter la CNIL avant de déployer le dispositif.
En l’absence d’AIPD, l’entreprise s’expose à une double sanction : administrative (amende CNIL) et prud’homale (nullité des preuves obtenues par un dispositif illicite).
Sanctions pour l’employeur en cas de surveillance abusive
Un salarié qui estime être soumis à un contrôle disproportionné dispose de plusieurs recours. Il peut saisir la CNIL, qui instruit les plaintes et peut prononcer des amendes administratives. Il peut aussi contester le dispositif devant le conseil de prud’hommes.
Les preuves collectées par un dispositif non conforme sont généralement écartées par les juges. Un licenciement fondé sur des données issues d’un keylogger non déclaré ou d’une vidéosurveillance permanente non justifiée risque d’être jugé sans cause réelle et sérieuse.
Le respect de la vie privée du salarié à domicile renforce encore cette exigence. Le domicile bénéficie d’une protection constitutionnelle, et tout dispositif qui capte des images ou des sons du logement personnel dépasse le cadre de la relation de travail.
Mettre en place un contrôle du télétravail qui tienne juridiquement revient à documenter chaque étape : définir un objectif précis, choisir l’outil le moins intrusif, informer le salarié, consulter le CSE et, si le suivi est systématique, réaliser une analyse d’impact. Les entreprises qui empilent les outils de surveillance sans cette rigueur s’exposent à des sanctions financières et à l’inutilisabilité des données collectées devant un tribunal.
