Numérique en entreprise : droits et devoirs des salariés

Le principe fondateur : justification et proportionnalité

L’article L. 1121-1 du Code du travail pose un principe simple : « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. »

Ce principe s’applique à tout système de contrôle numérique : conversations téléphoniques, messagerie électronique, navigation internet, vidéosurveillance. Aucun dispositif ne peut être mis en place sans être justifié par la tâche à accomplir et proportionné au but recherché.

💡 Le rôle du CSE : en vertu de l’article L. 2312-59, un membre du CSE qui constate une atteinte non justifiée aux droits des personnes ou aux libertés individuelles peut alerter l’employeur, qui est alors tenu de procéder à une enquête conjointe.

La vie privée du salarié est protégée par la loi

Les conversations téléphoniques. Il est interdit d’écouter les conversations d’un salarié sans son accord. L’en informer ne suffit pas. Le salarié a le droit d’avoir des conversations privées sur son lieu de travail.

Vidéosurveillance et enregistrements. Tout enregistrement (images ou sons) réalisé à l’insu des salariés est un mode de preuve illicite. Une vidéosurveillance doit respecter des conditions impératives : définir le motif, justifier chaque caméra en fonction de ce motif, consulter le CSE, informer chaque salarié de la position des caméras.

Les affaires personnelles. Chaque salarié a le droit d’avoir des affaires personnelles dans son casier, son bureau ou son ordinateur professionnel (à condition qu’elles ne soient pas illicites). Un dossier informatique identifié comme « personnel » peut néanmoins être consulté par l’employeur s’il démontre un risque ou événement particulier et que le salarié était présent ou informé de la procédure. Les juges vérifient alors que l’atteinte à la vie privée était indispensable au droit à la preuve et proportionnée au but poursuivi.

Où finit la liberté du salarié ?

Face à un ordre contesté, la question à se poser est toujours la même : cet ordre est-il justifié par la tâche à accomplir et proportionné au but recherché ? Ce qui n’est ni justifié ni proportionné est arbitraire et ce qui est arbitraire constitue une atteinte aux libertés.

Exemple jurisprudentiel. Un informaticien travaillant seul, sans contact avec la clientèle, se présente en tenue estivale (bermuda, chemisette, tongs). Son employeur exige une autre tenue ; le salarié refuse. La Cour de cassation a confirmé que le licenciement était sans cause réelle et sérieuse, l’employeur ayant agi de manière arbitraire.

⚠️ Une nuance importante : même dans ce cas, le salarié n’est pas automatiquement réintégré — l’employeur peut refuser la réintégration et devra alors verser une indemnité encadrée par le barème “Macron”. Seul un licenciement fondé sur un motif discriminatoire entraîne la nullité et la réintégration obligatoire.

La CNIL et la protection pénale des correspondances

La CNIL, créée en 1978, dispose d’un pouvoir réglementaire renforcé au fil des réformes successives, jusqu’à l’application du RGPD depuis 2018. Tout salarié peut interroger ou alerter la CNIL sur une situation lui semblant porter atteinte à ses libertés numériques.

Une protection pénale existe également. L’article 226-15 du code pénal punit d’un an d’emprisonnement et 45 000 € d’amende le fait, commis de mauvaise foi, d’ouvrir, détourner ou intercepter frauduleusement des correspondances — y compris électroniques.

Le RGPD : ce que doit faire l’employeur

Depuis le 25 mai 2018, toute entité traitant des données personnelles doit respecter le Règlement Général sur la Protection des Données, qui harmonise les règles européennes et renforce les droits des personnes.

Les obligations de la direction :

• Désigner un responsable du traitement des données (généralement le représentant légal)
• Nommer un Délégué à la Protection des Données (DPO), chargé de contrôler la conformité et d’être le contact de la CNIL
• Respecter une obligation générale de sécurité, confidentialité et information
• Mener une analyse d’impact dès lors qu’un traitement présente un risque pour les droits des personnes
• Tenir à jour un registre de traitement des données

⚠️ Précision importante sur le registre de traitement. Contrairement à une idée reçue, l’exception pour les entreprises de moins de 250 salariés est extrêmement restrictive : elle suppose un traitement purement occasionnel, sans risque ni données sensibles. Or la gestion de la paie ou des ressources humaines constitue un traitement récurrent, la CNIL considère donc que la quasi-totalité des entreprises, quelle que soit leur taille, doivent tenir ce registre.

Le site internet de l’entreprise doit également être conforme : information claire sur la collecte des données, consentement explicite, sécurisation de la transmission, mentions légales complètes.

Les droits des salariés issus du RGPD

• Droit à l’information : connaître l’identité du responsable de traitement, l’objectif de la collecte, son caractère obligatoire ou facultatif
• Droit d’accès : prendre connaissance de l’intégralité des données le concernant
• Droit à l’oubli : demander l’effacement de ses données sous certaines conditions
• Droit à la limitation du traitement : exiger que ses données soient conservées mais non utilisées
• Droit à la portabilité : récupérer ou réutiliser ses données personnelles, sans porter atteinte aux droits de tiers

Le rôle du CSE face au numérique

Être consulté avant toute mise en place d’un dispositif de contrôle. Vidéosurveillance, géolocalisation, badgeuse connectée, logiciel de suivi d’activité : le CSE doit être consulté préalablement, et peut vérifier que le dispositif est bien justifié et proportionné (article L. 1121-1).

Exercer le droit d’alerte. Face à une atteinte non justifiée aux libertés individuelles, tout membre du CSE peut alerter l’employeur sur le fondement de l’article L. 2312-59, déclenchant une enquête conjointe.

Assumer ses propres obligations RGPD. Dans le cadre des Activités Sociales et Culturelles, le CSE collecte lui-même de nombreuses données sur les salariés et leurs familles. Il doit alors respecter les grands principes du RGPD :

• Une finalité précise et légitime (les ASC en constituent une)
• Une collecte limitée aux données nécessaires
• Une durée de conservation déterminée — les pièces justificatives de versement de prestations doivent être conservées 10 ans
• Un accès restreint aux seules personnes autorisées
• Le respect des droits d’information, d’accès, de modification et de suppression des salariés concernés

💡 Bonne pratique : le CSE peut lui aussi désigner un référent RGPD en son sein pour sécuriser la gestion des fichiers ASC (adhérents, bénéficiaires, ayants droit).

FAQ – Vos questions sur le numérique et les droits des salariés

L’employeur peut-il lire les emails professionnels d’un salarié ?

En principe oui, sauf s’ils sont explicitement identifiés comme « personnels ». Dans ce cas, l’ouverture n’est possible qu’en présence du salarié, ou en cas de risque ou événement particulier.

Une entreprise de moins de 250 salariés doit-elle tenir un registre RGPD ?

Dans la quasi-totalité des cas, oui. L’exception légale ne s’applique qu’aux traitements strictement occasionnels, ce qui exclut la gestion de la paie ou des ressources humaines, traitements récurrents par nature.

Le CSE doit-il être consulté avant l’installation de caméras de vidéosurveillance ?

Oui, systématiquement. L’employeur doit également définir le motif de chaque caméra et informer chaque salarié de leur emplacement.

Un salarié licencié de façon arbitraire est-il automatiquement réintégré ?

Non, sauf si le licenciement repose sur un motif discriminatoire. Dans les autres cas, l’employeur peut refuser la réintégration et devra verser une indemnité encadrée par le barème Macron.

Le CSE doit-il lui-même respecter le RGPD ?

Oui. Pour la gestion des activités sociales et culturelles, le CSE est responsable de traitement et doit respecter les mêmes principes que l’employeur : finalité précise, données limitées, conservation encadrée, accès restreint.

Sources : Code du travail (articles L. 1121-1, L. 2312-59) ; Code pénal (article 226-15) ; Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ; loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.