La cybersurveillance des salariés dans l'entreprise: quels sont les droits de l'employeur ?

Le 28 Mars 2001, la CNIL a rendu public son 21ème rapport relatif à la cybersurveillance des salariés dans l'entreprise.

Partant du constat que les outils destinés à assurer la sécurité des réseaux permettent également de contrôler l'activité des salariés, la CNIL souhaite que s'engage un débat entre entreprises et salariés, responsables informatiques et juristes, instances représentatives et organisations professionnelles.

Quels sont aujourd'hui les moyens de surveillance et de contrôle de l'employeur sur ses salariés ? Quelles en sont les limites ? Quelles sont les sanctions en cas d'utilisation abusive d'internet par les salariés ? Autant de questions à résoudre afin de permettre un équilibre harmonieux entre l'intérêt de l'entreprise et sa sécurité informatique et la liberté individuelle des salariés.

1/ Quels sont les intérêts en cause ?

L'interception des courriers électroniques des salariés répond généralement au souci légitime de l'employeur de protéger les intérêts de son entreprise.

Il s'agit de veiller à ce que des informations confidentielles concernant l'entreprise ne soient pas transmises par ce biais, de traquer les virus susceptibles d'infiltrer le système informatique, ou encore d'éviter que la messagerie de l'entreprise ne véhicule des messages pornographiques ou racistes susceptibles d'exposer l'employeur à des poursuites pénales.

L'employeur peut également chercher à réduire le temps passé par les salariés sur leur messagerie électronique pendant leur temps de travail.

Cependant, bien que ces préoccupations apparaissent légitimes pour l'employeur, les salariés, à l'inverse, n'apprécient guère les restrictions à l'utilisation de leur messagerie électronique et à Internet, et ce d'autant plus qu'il a toujours été admis et reconnu par la Cour de Justice des Communautés Européennes et par la Cour Européenne des Droits de l'Homme, qu'il peut y avoir du temps "privé" au bureau.

Rappelons que le droit de surveillance et de contrôle de l'employeur sur l'activité des salariés lui est reconnu dans le cadre de son pouvoir de direction, mais que celui-ci doit se concilier avec les libertés fondamentales des salariés.

L'équilibre semble délicat à trouver.

2/ Les moyens de contrôle et de surveillance des salariés, et leurs limites :

a) D'un point de vue juridique, il est interdit aux salariés de surfer à des fins personnelles durant leurs heures de travail qui doivent être consacrées à l'employeur.

Cependant, une interdiction de principe faite aux salariés d'utiliser Internet et leur messagerie électronique à des fins non professionnelles paraît tout à la fois irréaliste et disproportionnée.

En effet, la chambre sociale de la Cour de Cassation, dans son arrêt du 2 octobre dernier, a considéré que « le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée ; que celle-ci implique en particulier le secret des correspondances ; que l’employeur ne peut dès lors sans violation de cette liberté fondamentale prendre connaissance des messages personnels émis par le salarié et reçu par lui grâce à un outil informatique mis à sa disposition pour son travail, et ceci même au cas où l’employeur aurait interdit une utilisation non professionnelle de l’ordinateur ».

La Cour fonde son considérant de principe sur l’article 8 de la Convention européenne des droits de l’homme, l’article 9 du Code civil, l’article 9 du nouveau Code de Procédure Civile et l’article L 120-2 du Code du travail.

Cet arrêt pose donc le principe d’interdiction à tout employeur de prendre connaissance des messages électroniques personnels de ses salariés.

En pratique, l’employeur devra donc être capable de distinguer un message personnel d’un message privé !

Or, l’arrêt de la Cour n’apporte aucune précision permettant d’opérer cette distinction.

A l’instar de la CNIL, il est conseillé de raisonner par analogie à la jurisprudence relative à la correspondance papier. De fait, le caractère professionnel des mails devra être reconnu en l’absence des mentions « privé » ou « personnel » dans le titre de ce dernier.

Il existe donc une présomption du caractère professionnel des e-mails.

Par conséquent, l’employeur a intérêt à ne pas interdire, mais seulement recommander à ses salariés un usage modéré de leur messagerie électronique à des fins privées.

La solution de filtrage de certains sites paraît donc préférable à une interdiction absolue et de principe faite aux salariés de naviguer sur le web.

Il devrait être admis par la plupart des entreprises que les salariés peuvent se connecter au web et utiliser leur messagerie électronique, à des fins privées, au moins au dehors de leur temps de travail, quitte à ce que soient posées certaines interdictions à l'égard de sites web à caractère particulier (pornographiques, négationnistes, jeux).

Dans ce cas, le contrôle a posteriori de l'usage fait par les salariés peut être légitime.

Les outils techniques de surveillance du réseau sont nombreux.

Certains produits ne permettent, d'origine ou selon le paramétrage effectué que de mesurer les débits.

D'autres vont permettre la surveillance simultanée de plusieurs routeurs.

D'autres encore permettront quant à eux de mesurer le nombre d'appels, les durées des consommations et les seuils d'alerte.

En d'autres termes, il sera possible pour l'employeur de mémoriser les pages web consultées, de savoir qui s'est connecté, à quel site, à quelle heure et pendant quelle durée, de même que les tentatives de connexion qui ont échouées (serveur PROXY).

Il est également possible d'obtenir toutes les traces de l'activité qui transite par le salarié et notamment les détails des messages envoyés et reçus : expéditeur, destinataire, objet, nature de la pièce jointe, et éventuellement texte du message ( pare feu ou firewall).

La question se pose de savoir si l'employeur peut prendre connaissance des messages électroniques de ses salariés.

La question se pose exactement comme en matière de courriers postaux.

Si le caractère privé du message est apparent, l'employeur ne pourra pas en prendre connaissance.

En revanche, si rien n'est précisé, le message est présumé professionnel.

Le Tribunal de Grande Instance de PARIS a, dans son jugement du 02 Novembre 2000 affirmé le principe selon lequel il convient d'assimiler le courrier électronique à une correspondance privée.

Les prévenus ayant fait appel de ce jugement, il faut cependant attendre l'arrêt de la Cour d'Appel pour pouvoir éventuellement confirmer ce point.

Si l'on s'en tient à ce jugement, le courrier électronique professionnel ou privé sera toujours considéré comme de la correspondance privée.

Cependant, ce raisonnement ne peut s'appliquer strictement dans le cadre de l'entreprise où le privé doit rester l'exception.

D'ailleurs, certaines décisions de jurisprudence ont estimé que les messages électroniques échangés par les salariés ne sont pas protégés de manière absolue par le secret des correspondances.

Enfin, il paraît légitime pour l'employeur d'interdire à ses salariés de consulter une messagerie sur un serveur de messagerie gratuite, à raison des risques pour l'entreprise, notamment de contamination par virus.

Cette interdiction, pour être efficace, devra évidemment faire l'objet d'un contrôle.

Sur ce contrôle, la CNIL estime que s'il est légitime que les salariés soient soumis à des contrôles de productivité ou de qualité de leur travail, de tels contrôles ne sauraient pour autant être abandonnés à une implacable et systématique surveillance électronique.

b) Limites :

L'employeur a la possibilité de surveiller l'activité de ses salariés pendant leur temps de travail, mais cette possibilité est strictement encadrée par la loi et la jurisprudence.

En effet, trois limites s'imposent au pouvoir de direction de l'employeur en matière de contrôle et de surveillance des salariés.

* L'employeur doit tout d'abord respecter le principe de transparence fixé par l'article L 121-8 du Code du Travail aux termes duquel "aucune information concernant personnellement un salarié ou un candidat à un emploi ne peut être collecté par un dispositif qui n'a pas été porté préalablement à la connaissance du salarié ou du candidat à un emploi."

A titre d'exemple, l'employeur pourra effectuer une copie de sauvegarde des messages envoyés et reçus par le salarié à la condition que la durée de conservation de cette copie soit précisée et ce sans qu'il y ait lieu d'exercer un contrôle sur le contenu des messages échangés.

En d'autres termes, la transparence est entendue comme l'information préalable et la nécessaire loyauté.

L'employeur ne pourra donc pas utiliser des informations recueillies comme preuves sans en avoir averti les salariés au préalable, et il devra conserver la preuve que cette information a bien été dispensée.

Cette information préalable demeure aujourd'hui la meilleure prévention possible contre les abus.

* Le contrôle doit également être justifié par la nature des tâches et proportionné au but recherché.

Toutes les entreprises n'exigent pas le même degré de sécurité et de surveillance, la proportionnalité sera une affaire de cas par cas.

* Enfin, la mise en place de ce contrôle doit faire l'objet d'une discussion collective.

Les délégués du personnel doivent être informés et le comité d'entreprise doit être consulté.

A cet égard, la CNIL recommande aux entreprises d'engager une négociation entre les employeurs et les salariés.

Cette discussion est en effet prévue par le Code du Travail lors de l'introduction dans l'entreprise de traitement automatisé de gestion du personnel ou de moyens et techniques permettant un contrôle de l'activité du salarié.

Toutes ces mesures de contrôle qui seront opérées par l'employeur pourront être arrêtées dans un plan d'ensemble, une charte par exemple, qui sera portée à la connaissance des salariés et de leur représentant dans les instances de l'entreprise.

Ces mesures doivent être exposées clairement et précisément aux salariés ainsi qu'à leur représentant et au comité d'entreprise.

Ainsi, lorsqu'un pare feu est mis en place, associé ou non à d'autres outils, la signification des informations enregistrées et leur durée de conservation doivent être précisées aux salariés.

3/ Quelles sont les sanctions en cas d'utilisation abusive de l'internet et de la messagerie électronique par les salariés ?

Il est délicat pour les employeurs d'infliger une sanction proprement dite aux salariés qui, le plus souvent, ne commettent qu'un simple abus dans l'usage de l'internet et de la messagerie électronique.

Cependant, certains comportements seront illicites lorsqu'ils ont été interdits dans la charte élaborée par l'employeur ou dans le règlement intérieur, d'autres seront illégaux notamment concernant la navigation sur des sites pédophiles et sanctionnables.

Les sanctions seront le plus souvent un avertissement ou un blâme en cas de simple abus.

Néanmoins, l'employeur pourra s'il estime que la faute commise par un salarié est grave et susceptible d'entraver la bonne marche de l'entreprise, rompre le contrat de travail (exemple : en cas de communication d'informations confidentielles de l'entreprise par le biais de la messagerie électronique).

La jurisprudence est encore quasi inexistante en ce qui concerne l'usage d'internet et de la messagerie électronique par les salariés de l'entreprise.

Cependant, ainsi que le souligne la CNIL, les premières décisions prud'homales paraissent en l'état témoigner d'une sévérité plus grande à l'égard de l'usage à des fins privées des messageries professionnelles qu'à l'égard des moyens plus traditionnels de communication, tels le téléphone et le minitel.

Exemples :

- Conseil des Prud'hommes de PARIS, 1er Février 2000 : le licenciement d'un salarié est intervenu à la suite de l'envoi par erreur à l'ensemble des salariés de la Société d'un message initialement destiné à un proche extérieur à l'entreprise, révélant, de manière explicite, son homosexualité.

La juridiction prud'homale s'est bornée à relever que les faits reprochés au salarié n'étaient pas contestés et qu'ils constituaient "une infraction au règlement intérieur et aux règles propres à l'utilisation des micros ordinateurs" caractérisant une cause réelle et sérieuse de licenciement.

- Cour de Cassation, Chambre Sociale, 14 Mars 2000 : Monsieur DUJARDIN c/ Société INSTINET FRANCE : A commis une faute grave un salarié qui, régulièrement pendant son temps de travail, utilisait le matériel de l'entreprise pour se livrer à des jeux de hasard avec des tiers, tels que paris sur l'élection présidentielle et les matchs de football.

- Conseil des Prud'hommes de MONTBELIARD, 19 Septembre 2000, Madame RICHARD c/ Société SULZER ORTHOPEDIE : Le fait qu'un salarié utilise à des fins personnelles pendant son temps de travail la messagerie d'une entreprise peut justifier une sanction de la part de l'employeur.

- TGI du MANS, 16 Février 1998, MP c/M.H : Condamnation d'un salarié ayant utilisé un ordinateur du secrétariat pour se connecter sur internet et recevoir des messages pédophiles.

En conclusion, les principes de transparence et de proportionnalité doivent régner dans l'entreprise en matière de cybersurveillance.

Les chartes semblent être le meilleur support permettant de définir précisément les moyens de contrôle.

Ces chartes doivent être le fruit de la négociation collective afin que toutes les opinions soient exprimées et prises en compte de manière à réaliser le meilleur équilibre possible entre les intérêts des entreprises et les libertés individuelles des salariés.

Source :  Me Martine RICOUART-MAILLET - BRM Avocats