Surveillance des employés et RGPD : guide de conformité étape par étape

La surveillance des employés et le RGPD sont-ils compatibles ? Oui, mais uniquement si le dispositif répond à un objectif professionnel légitime, reste proportionné et respecte les droits des salariés. Le suivi de l’activité ne doit pas devenir une surveillance permanente ou invisible : il doit être expliqué, limité et régulièrement réévalué.

Ce guide propose une méthode étape par étape pour les entreprises qui envisagent un logiciel de suivi sur des ordinateurs appartenant à l’entreprise. Il fournit un cadre pratique, mais ne remplace pas l’avis d’un juriste ou de votre délégué à la protection des données (DPO), notamment lorsque le traitement présente un risque élevé.

1. Définir un objectif professionnel précis

Commencez par répondre à une question simple : pourquoi souhaitez-vous mesurer l’activité ? Un objectif vague comme « contrôler les employés » est difficile à justifier. En revanche, certains besoins peuvent être plus précis :

• comprendre la répartition du temps sur des projets facturables ;
• améliorer l’organisation d’une équipe distribuée ;
• identifier des blocages dans un processus ;
• protéger des équipements et des informations de l’entreprise ;
• disposer d’éléments objectifs lors d’une analyse de productivité, avec les garanties appropriées.

L’objectif doit être documenté avant le choix de l’outil. Évitez d’utiliser les données collectées à d’autres fins sans les avoir prévues et expliquées. Par exemple, un outil installé pour la sécurité informatique ne devrait pas servir automatiquement à classer les employés selon leur « productivité ».

2. Vérifier la base légale et les règles locales

Le RGPD exige une base légale pour tout traitement de données personnelles. Selon le contexte, l’intérêt légitime de l’employeur peut être pertinent, mais il faut alors réaliser une mise en balance entre les intérêts de l’entreprise et les droits des salariés. D’autres bases peuvent s’appliquer dans des situations particulières.

Le consentement n’est généralement pas une solution simple dans la relation de travail, car il peut être difficile de considérer qu’il est réellement libre. Faites également vérifier les règles du droit du travail, les obligations d’information et les éventuelles consultations des représentants du personnel dans votre pays.

Avant le déploiement, échangez avec votre DPO, votre service juridique ou un conseil spécialisé. Les exigences peuvent varier selon le pays, le secteur, les conventions collectives et la nature des données traitées.

3. Réaliser une analyse de proportionnalité

Un dispositif conforme doit être nécessaire pour atteindre l’objectif défini et ne pas aller plus loin que nécessaire. Comparez plusieurs options, de la moins intrusive à la plus intrusive : rapports agrégés, suivi de projets, catégories d’activité, puis données détaillées uniquement si elles sont indispensables.

Posez-vous notamment ces questions :

• Les données sont-elles nécessaires ou seulement pratiques à obtenir ?
• Une information agrégée suffirait-elle ?
• Le suivi concerne-t-il uniquement les appareils professionnels ?
• Peut-il être désactivé en dehors des heures définies ?
• Les images ou rapports risquent-ils de révéler des informations privées ?
• Qui a réellement besoin d’accéder aux données ?

Les captures d’écran fréquentes, le suivi continu ou l’évaluation automatisée des personnes peuvent créer des risques importants. Une analyse d’impact relative à la protection des données (AIPD) peut être nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé, notamment en cas de surveillance systématique ou d’utilisation de technologies nouvelles.

4. Choisir un outil transparent et limité

La transparence doit être intégrée au fonctionnement de la solution, pas ajoutée après coup. Les employés doivent savoir qu’un outil est actif, quelles données sont collectées, à quelles fins et pendant quelles plages horaires.

Par exemple, ZimaWork est conçu pour les ordinateurs appartenant à l’entreprise. Il affiche une notification aux employés, conserve une icône visible dans la zone de notification et ne relève pas les frappes au clavier. Il peut mesurer l’activité réelle, capturer des écrans et utiliser l’intelligence artificielle pour expliquer le travail réalisé. Ces fonctions doivent toutefois être configurées selon l’objectif retenu et les règles internes : aucune fonctionnalité ne rend automatiquement un traitement conforme.

Privilégiez les outils qui permettent de limiter les horaires, les appareils, les utilisateurs autorisés et les catégories de données. Vérifiez également les paramètres de confidentialité, les journaux d’accès, les fonctions d’exportation et les possibilités de suppression.

5. Informer clairement les employés

La notice d’information doit être remise avant la collecte. Elle doit être compréhensible et facilement accessible, sans se limiter à une clause générale du règlement intérieur. Elle peut préciser :

• l’identité du responsable du traitement ;
• les finalités et la base légale ;
• les types de données collectées ;
• les périodes et les appareils concernés ;
• les destinataires et les prestataires impliqués ;
• la durée de conservation ;
• les éventuels transferts internationaux ;
• les droits des personnes et la manière de les exercer ;
• les coordonnées du DPO ou du point de contact compétent.

Expliquez aussi ce que le dispositif ne fait pas. Par exemple, indiquez explicitement si les frappes au clavier ne sont pas enregistrées, si le suivi s’arrête hors des horaires prévus ou si les appareils personnels sont exclus. Une présentation aux équipes et une période de questions favorisent une utilisation plus sereine.

6. Définir une politique interne d’utilisation

Formalisez les règles dans une politique accessible aux salariés et aux responsables. Elle doit préciser les usages acceptables des données et interdire les pratiques disproportionnées, comme la consultation des captures par curiosité ou l’utilisation d’un score unique pour prendre automatiquement une décision RH.

Prévoyez une procédure de revue humaine. Une donnée d’activité peut être mal interprétée : une réunion, une tâche de réflexion ou un appel client ne ressemble pas nécessairement à une activité informatique continue. Les rapports doivent donc servir de point de départ à une discussion, jamais de preuve isolée d’un manque d’implication.

Définissez également les responsabilités des managers, les sanctions en cas d’accès abusif et un canal permettant aux employés de signaler une erreur ou une collecte inattendue.

7. Sécuriser et limiter l’accès aux données

Les captures d’écran et les rapports d’activité peuvent contenir des informations confidentielles, des données clients ou des éléments relatifs aux collègues. Appliquez une approche de sécurité adaptée :

• accès selon le besoin d’en connaître ;
• authentification renforcée pour les administrateurs ;
• chiffrement lors du transfert et du stockage lorsque cela est approprié ;
• journalisation des consultations et des exports ;
• séparation des rôles entre administration, RH et management ;
• procédure de gestion des incidents ;
• vérification des sous-traitants et de leurs engagements contractuels.

Contrôlez aussi où les données sont hébergées et si un transfert hors de l’Espace économique européen est prévu. Votre fournisseur doit pouvoir expliquer ses mesures de sécurité, ses sous-traitants et les modalités de restitution ou de suppression des données.

8. Fixer une durée de conservation et respecter les droits

Ne conservez pas indéfiniment les informations « au cas où ». Déterminez une durée cohérente avec chaque finalité, documentez-la et mettez en place une suppression ou une anonymisation lorsque les données ne sont plus nécessaires. Les captures brutes peuvent souvent être conservées moins longtemps que des synthèses utiles à la gestion d’un projet.

Les salariés disposent de droits prévus par le RGPD, notamment l’accès à leurs données, la rectification de données inexactes et, selon les circonstances, l’effacement, la limitation ou l’opposition. Les modalités et exceptions dépendent du contexte. Organisez un processus pour répondre dans les délais applicables et conservez la trace des demandes traitées.

9. Tester, documenter et réévaluer

Avant un déploiement généralisé, réalisez un test limité avec des critères précis. Vérifiez la visibilité de l’outil, les horaires, les autorisations, les exports, la suppression et l’expérience utilisateur. Demandez aux équipes si les informations affichées correspondent réellement à leur travail.

Conservez les documents essentiels : analyse de proportionnalité, registre des traitements, notice d’information, AIPD si nécessaire, contrats avec les prestataires, politique interne et résultats des contrôles. Réévaluez le dispositif après un changement de finalité, de fournisseur, de configuration ou de réglementation.

La conformité n’est pas une case à cocher lors de l’installation. C’est un processus continu qui combine gouvernance, sécurité, dialogue et retenue dans l’utilisation des données.

Questions fréquentes

Le suivi de l’activité des employés est-il interdit par le RGPD ?

Non, il n’est pas automatiquement interdit. Il doit cependant avoir une finalité légitime, une base légale, une collecte proportionnée, une information claire et des garanties adaptées. Le droit du travail local peut imposer des exigences supplémentaires.

Peut-on surveiller un ordinateur personnel utilisé pour le télétravail ?

Cela présente des risques importants pour la vie privée. Il est préférable de distinguer l’appareil professionnel de l’appareil personnel et de limiter le dispositif aux équipements appartenant à l’entreprise, pendant des horaires définis.

Faut-il enregistrer les frappes au clavier pour mesurer l’activité ?

Non. L’enregistrement des frappes est particulièrement intrusif et n’est généralement pas nécessaire pour comprendre l’activité professionnelle. Des données moins sensibles, comme le temps consacré à un projet ou des catégories d’activité, peuvent souvent suffire.

Les captures d’écran sont-elles compatibles avec le RGPD ?

Elles peuvent l’être dans certains contextes, mais leur nécessité et leur fréquence doivent être justifiées. Il faut informer les salariés, limiter les accès, protéger les images et définir une durée de conservation appropriée.

ZimaWork rend-il automatiquement une entreprise conforme ?

Non. ZimaWork peut proposer des fonctions de transparence et de limitation, mais la conformité dépend de la configuration, de la finalité, des politiques de l’entreprise et du respect des obligations applicables dans votre pays.