Conformité RGPD de la surveillance des salariés : ce que la loi autorise

La conformité RGPD de la surveillance des salariés ne dépend pas uniquement du logiciel choisi. Elle repose surtout sur la finalité du dispositif, sa proportionnalité, la transparence envers les employés et la capacité de l’employeur à démontrer que les données sont protégées.

Un outil de suivi peut aider à comprendre la charge de travail, sécuriser un parc informatique ou documenter l’utilisation de ressources professionnelles. En revanche, une surveillance permanente, dissimulée ou intrusive peut porter atteinte aux droits des salariés et exposer l’entreprise à des risques juridiques et sociaux. Le RGPD ne crée pas une interdiction générale : il impose un cadre strict, à compléter par le droit du travail et les règles nationales applicables.

Conformité RGPD de la surveillance des salariés : le principe de proportionnalité

Avant toute installation, l’entreprise doit répondre à une question simple : quel problème concret cherche-t-elle à résoudre ? Une finalité vague, comme « surveiller la productivité », est difficile à justifier. Une finalité plus précise peut être recevable, par exemple :

• comprendre la répartition de la charge de travail dans une équipe ;
• détecter une utilisation anormale d’un ordinateur professionnel ;
• améliorer la sécurité d’un environnement informatique ;
• vérifier l’activité sur des projets facturés au temps, lorsque cela est nécessaire ;
• identifier des blocages opérationnels ou des périodes de surcharge.

La collecte doit ensuite être limitée à ce qui est nécessaire. Mesurer des périodes d’activité ou les applications utilisées n’est pas équivalent à enregistrer toutes les frappes au clavier, à activer une webcam ou à capturer l’écran en continu. Plus la donnée est détaillée et intrusive, plus l’entreprise doit démontrer sa nécessité.

Le contrôle doit également être limité dans le temps et dans l’espace : appareils appartenant à l’entreprise, plages horaires définies, contexte professionnel clairement établi. La surveillance d’un ordinateur personnel ou d’une activité en dehors des heures de travail pose des problèmes particuliers et doit généralement être évitée.

Quelle base juridique utiliser ?

Le RGPD exige une base juridique pour tout traitement de données personnelles. Dans une relation de travail, le consentement du salarié n’est pas toujours une solution solide, car le lien hiérarchique peut empêcher de considérer ce consentement comme pleinement libre. L’entreprise doit examiner les bases pertinentes selon son objectif et le droit local : intérêt légitime, obligation légale ou, dans certains cas, exécution du contrat.

L’intérêt légitime suppose une véritable mise en balance : l’intérêt de l’entreprise doit être réel, le traitement nécessaire et les droits des salariés préservés. Cette analyse doit être documentée. Une entreprise ne devrait pas se contenter d’écrire « le RGPD nous autorise à surveiller les employés » : elle doit expliquer pourquoi ce traitement est justifié et pourquoi des moyens moins intrusifs ne suffisent pas.

Selon le type de données et l’ampleur du dispositif, une analyse d’impact relative à la protection des données peut être nécessaire, notamment lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les personnes. Le délégué à la protection des données, s’il existe, doit être associé suffisamment tôt au projet.

Informer les salariés de façon claire

La transparence est une obligation essentielle. Les salariés doivent savoir qu’un dispositif existe, quelles données sont collectées, dans quel but, pendant combien de temps elles sont conservées, qui peut y accéder et quels sont leurs droits.

Une information réellement utile doit répondre à des questions concrètes :

• L’outil collecte-t-il des captures d’écran, des horaires, des applications ou des sites consultés ?
• Les données servent-elles à la sécurité, à la gestion de projet ou à l’évaluation individuelle ?
• Les responsables peuvent-ils consulter les données brutes ou seulement des synthèses ?
• Les captures sont-elles visibles par l’employé ?
• Quelle est la durée de conservation ?
• Les données sont-elles hébergées dans l’Union européenne ou transférées vers un autre pays ?
• Comment exercer un droit d’accès ou demander une rectification ?

L’information doit être fournie avant le déploiement, dans une politique facilement accessible. Selon le pays et l’organisation, l’employeur peut aussi devoir consulter les représentants du personnel ou respecter des formalités prévues par le droit du travail. Il ne faut pas présenter un outil de surveillance comme une simple mise à jour informatique.

Les pratiques particulièrement risquées

Certaines méthodes sont difficiles à concilier avec les principes de nécessité et de respect de la vie privée :

• surveillance secrète, sauf circonstances exceptionnelles prévues et encadrées par la loi ;
• enregistrement systématique des frappes au clavier ;
• activation de la webcam ou du microphone sans nécessité spécifique et information claire ;
• captures d’écran permanentes ou prises à des intervalles excessifs ;
• classement automatique des salariés selon un score de « productivité » présenté comme une vérité ;
• collecte pendant les pauses, en dehors des horaires ou sur des appareils personnels ;
• utilisation des données pour une finalité différente de celle annoncée ;
• conservation indéfinie des historiques détaillés.

Une capture d’écran peut parfois contenir des informations personnelles concernant un client, un collègue ou un proche. L’entreprise doit donc prévoir des contrôles d’accès, un chiffrement approprié, des procédures de suppression et des règles pour traiter les incidents de sécurité.

Évaluer la productivité sans réduire le travail à un score

Les données de suivi ne constituent pas, à elles seules, une mesure fiable de la performance. Une activité visible à l’écran peut correspondre à une tâche peu utile, tandis qu’une réunion, une réflexion, une lecture de document ou un appel peuvent être essentiels sans produire beaucoup d’événements informatiques.

Il est préférable d’utiliser ces informations comme un signal à interpréter, jamais comme une décision automatique. Une baisse d’activité peut s’expliquer par une panne, une formation, une mission de coordination ou une charge de travail mal répartie. Toute décision importante concernant un salarié devrait intégrer le contexte, un échange humain et des éléments professionnels pertinents.

Si l’entreprise utilise une analyse automatisée ou de l’intelligence artificielle, elle doit expliquer son rôle et vérifier ses résultats. Une IA peut résumer des activités ou mettre en évidence des tendances, mais elle ne devrait pas être présentée comme un juge impartial de la valeur d’un employé.

Comment déployer un outil de manière plus responsable

Une démarche prudente peut suivre ces étapes :

1. Définir une finalité précise et documenter le besoin.
2. Comparer plusieurs solutions, en privilégiant celle qui collecte le moins de données nécessaires.
3. Vérifier les fonctions de limitation : horaires, appareils concernés, rôles d’accès et durée de conservation.
4. Réaliser l’analyse juridique et, si nécessaire, l’analyse d’impact.
5. Informer les salariés et consulter les instances compétentes.
6. Tester le dispositif sur un périmètre limité avant un déploiement général.
7. Former les responsables afin qu’ils n’utilisent pas les données à d’autres fins.
8. Réévaluer régulièrement la nécessité du traitement et supprimer les données devenues inutiles.

ZimaWork s’inscrit dans cette approche lorsqu’il est configuré avec des limites explicites : il fonctionne sur des appareils appartenant à l’entreprise et pendant des horaires définis, affiche une information aux employés et conserve une icône visible dans la zone de notification. Il ne collecte pas les frappes au clavier. La plateforme peut mesurer l’activité réelle, capturer les écrans et utiliser l’IA pour expliquer le travail observé, mais ces fonctions doivent être paramétrées selon une finalité légitime, communiquées clairement et utilisées avec discernement. Aucun outil ne remplace l’analyse du contexte, la politique interne et la vérification des obligations locales.

FAQ

Le RGPD interdit-il de surveiller les salariés ?

Non. Il encadre cette surveillance. Le dispositif doit avoir une finalité légitime, être nécessaire et proportionné, respecter la transparence et protéger les données. Le droit du travail national peut imposer des exigences supplémentaires.

Faut-il demander le consentement de chaque salarié ?

Pas nécessairement. Dans le contexte professionnel, le consentement peut ne pas être considéré comme libre. L’entreprise doit déterminer la base juridique adaptée avec son conseil juridique ou son délégué à la protection des données.

Peut-on enregistrer toutes les frappes au clavier ?

Cette pratique est généralement très intrusive et difficile à justifier pour un suivi ordinaire de l’activité. Elle peut aussi collecter des informations sensibles ou des mots de passe. Elle doit être évitée sauf nécessité exceptionnelle, fondement juridique solide et encadrement très strict.

Combien de temps conserver les données de suivi ?

Il n’existe pas une durée universelle. La conservation doit être définie selon la finalité, limitée à ce qui est nécessaire et expliquée dans l’information remise aux salariés. Les données détaillées devraient généralement être supprimées ou agrégées plus tôt que les documents nécessaires à une obligation précise.

Une IA peut-elle décider qu’un salarié n’est pas productif ?

Une décision importante ne devrait pas reposer uniquement sur un score ou une analyse automatisée. Les résultats doivent être contrôlés, replacés dans leur contexte et discutés avec la personne concernée, conformément aux règles applicables.