Le cadre juridique général de la surveillance des salariés

Le pouvoir de surveillance de l'employeur constitue une composante essentielle du pouvoir de direction, lui-même fondé sur le lien de subordination juridique qui caractérise le contrat de travail. Ce pouvoir permet à l'employeur de contrôler l'exécution de la prestation de travail et l'utilisation des moyens professionnels mis à disposition des salariés. Toutefois, ce pouvoir n'est pas absolu : il se heurte aux droits fondamentaux des travailleurs, et notamment au droit au respect de la vie privée.

Le fondement et les limites du pouvoir de surveillance

Le pouvoir de surveillance trouve son fondement dans le contrat de travail et dans le pouvoir de direction reconnu à l'employeur. L'article L. 1121-1 du Code du travail pose le principe cardinal selon lequel nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Ce texte, issu de la loi du 31 décembre 1992 relative à l'emploi, au développement du travail à temps partiel et à l'assurance chômage, constitue le socle de l'encadrement de la surveillance patronale.

Le Conseil constitutionnel a par ailleurs reconnu la valeur constitutionnelle du droit au respect de la vie privée, rattaché à l'article 2 de la Déclaration des droits de l'homme et du citoyen de 1789 (Cons. const., 23 juillet 1999, n° 99-416 DC). Cette protection s'étend au lieu de travail, ce qui impose à l'employeur de concilier en permanence ses intérêts légitimes de gestion avec les libertés fondamentales des salariés.

Le principe de proportionnalité constitue ainsi la clé de voûte du système. Tout dispositif de surveillance doit répondre à un objectif légitime et les moyens employés doivent être strictement adaptés à cet objectif. La Cour européenne des droits de l'homme a confirmé cette approche dans l'arrêt Barbulescu c. Roumanie (CEDH, Grande chambre, 5 septembre 2017), en précisant les critères que les juridictions nationales doivent examiner pour apprécier la licéité d'une surveillance des communications électroniques des salariés.

Les obligations procédurales préalables

La mise en place d'un dispositif de surveillance est soumise à plusieurs obligations de transparence et de consultation. En premier lieu, l'employeur doit consulter le comité social et économique (CSE) préalablement à l'introduction de tout moyen de contrôle de l'activité des salariés, conformément à l'article L. 2312-38 du Code du travail. Cette consultation porte sur les moyens techniques permettant un contrôle de l'activité des salariés.

En second lieu, chaque salarié concerné doit être individuellement informé de l'existence du dispositif et de sa finalité, en application de l'article L. 1222-4 du Code du travail. Cette information préalable est une condition de licéité du dispositif : à défaut, les éléments de preuve recueillis sont déclarés irrecevables (Cass. soc., 20 novembre 1991, n° 88-43.120).

En troisième lieu, lorsque le dispositif de contrôle est susceptible de fonder des sanctions disciplinaires, il doit être prévu par le règlement intérieur, conformément aux articles L. 1321-1 et suivants du Code du travail. L'absence de mention dans ce document rend la sanction infondée.

Il convient toutefois de noter une exception jurisprudentielle importante : la Cour de cassation admet que l'employeur puisse se prévaloir d'un dispositif de surveillance dont le salarié n'a pas été informé lorsque ce dispositif ne constitue pas un stratagème et qu'il a été rendu nécessaire par un comportement fautif du salarié (Cass. soc., 26 novembre 2002, n° 00-42.401). La chambre sociale a précisé cette jurisprudence en jugeant qu'un simple contrôle de l'activité par un supérieur hiérarchique, même à l'insu du salarié, ne constitue pas un mode de surveillance illicite (Cass. soc., 26 avril 2006, n° 04-43.582).

L'impact du RGPD sur la surveillance patronale

Depuis l'entrée en application du règlement général sur la protection des données (RGPD, règlement UE 2016/679) le 25 mai 2018, complété en droit interne par la loi Informatique et Libertés modifiée du 6 janvier 1978, le cadre juridique de la surveillance s'est considérablement renforcé.

Tout dispositif de surveillance impliquant un traitement de données personnelles doit désormais figurer dans le registre des activités de traitement tenu par l'employeur (article 30 du RGPD). L'employeur doit également définir une base légale pour le traitement, qui sera le plus souvent l'intérêt légitime (article 6.1.f du RGPD), ce qui suppose une mise en balance avec les droits des salariés.

Lorsque le dispositif conduit à une surveillance systématique à grande échelle des salariés, l'employeur est tenu de réaliser une analyse d'impact relative à la protection des données (AIPD), prévue par l'article 35 du RGPD. Si cette analyse révèle un risque élevé résiduel, une consultation préalable de la CNIL est obligatoire avant la mise en œuvre du traitement (article 36 du RGPD). La CNIL a publié un référentiel relatif à la gestion des ressources humaines qui précise les conditions dans lesquelles ces dispositifs peuvent être déployés.

Le principe de minimisation des données (article 5.1.c du RGPD) impose en outre que seules les données strictement nécessaires à la finalité du contrôle soient collectées, ce qui renforce l'exigence de proportionnalité déjà posée par le Code du travail.

À retenir

• Le pouvoir de surveillance est une composante du pouvoir de direction, encadré par le principe de proportionnalité posé à l'article L. 1121-1 du Code du travail.
• Trois obligations procédurales s'imposent : consultation du CSE, information individuelle du salarié, inscription au règlement intérieur si le dispositif fonde des sanctions.
• Le RGPD ajoute des exigences spécifiques : registre des traitements, base légale, analyse d'impact en cas de surveillance systématique, et consultation de la CNIL en cas de risque élevé.
• L'absence de respect de ces formalités rend les preuves obtenues irrecevables et les sanctions infondées.
• La CEDH impose aux juridictions nationales un contrôle de proportionnalité renforcé (arrêt Barbulescu c. Roumanie, 2017).