Numérique : droits & devoirs des salariés

L’arbitraire fait mauvais ménage avec les libertés

Trop d’employeurs et de cadres dirigeants estiment qu’une fois passée la porte de l’entreprise le salarié doit ranger sa liberté au vestiaire et accepter toute consigne soi-disant bonne pour l’entreprise.

Le principe réside dans une expression simple : toute décision de l’employeur doit être « justifiée par la tâche à accomplir et proportionnée au but recherché ». C’est sur cette base que, selon l’article L.2312-59 du Code du travail, un membre du CSE qui constate notamment une atteinte aux droits des personnes ou au libertés individuelles dans l’entreprise qui ne serait pas justifiée par la nature de la tâche à accomplir peut alerter l’employeur, l’obligeant ainsi à une enquête conjointe.

Ce principe s’applique à tout système de contrôle que les technologies numériques permettent. Aucun système de contrôle (conversations téléphoniques, messagerie électronique, navigation sur internet, vidéosurveillance, etc.) ne peut être mis en place sans être justifié par la tâche professionnelle à accomplir et proportionné au but recherché par l’activité de l’entreprise et le poste de travail occupé.

La vie privée du salarié est protégée… par la loi

Il est interdit d’écouter les conversations téléphoniques d’un salarié sans son accord. L’informer que l’entreprise le fait ne suffit pas. Un salarié a le droit d’avoir des conversations téléphoniques privées sur le lieu de travail que l’employeur n’a pas le droit d’écouter ni d’enregistrer.

Tout enregistrement (images ou sons) réalisé à l’insu des salariés est un mode de preuve clandestin, donc illicite. La mise en place d’une vidéo surveillance doit respecter les conditions impératives suivantes : en définir le motif, justifier chaque caméra en fonction de ce motif, consulter le CSE, informer chaque salarié de la position des caméras.
Au-delà de cette procédure qui s’impose à l’employeur, chaque salarié a le doit d’avoir des affaires personnelles dans son casier de vestiaire, dans son bureau et dans son ordinateur professionnel (à condition, bien sûr que les éléments « personnels » n’aient pas un caractère illicite). 

Un dossier informatique spécifiquement identifié comme « personnel » pourra être consulté par l’entreprise dès lors que l’employeur démontre un « risque ou événement particulier » et que le salarié était présent ou informé de la procédure. Il s’agit là d’une balance entre le droit à la preuve et le respect de la vie privée du salarié. En cas de litige, les juges sont chargés de vérifier que les mesures portant atteinte à la vie privée du salarié étaient indispensables à l’exercice du droit à la preuve et proportionnées au but poursuivi. Ainsi, ce n’est pas parce qu’un dossier est « personnel » qu’il ne pourra pas être ouvert par l’employeur. Ce dernier devra toutefois justifier sa démarche.

Où finit la liberté du salarié ?

Les délégués se voient souvent confrontés aux salariés qui viennent leur demander si ce que leur chef vient de leur imposer est légal. La seule réponse est celle-là :
« En quoi l’ordre qui vient d’être donné est justifié par la tâche à accomplir et proportionné au but recherché ». Ce qui n’est ni justifié, ni proportionné, est arbitraire et ce qui est arbitraire est une atteinte aux libertés.
Prenons un exemple : un informaticien travaille seul dans un local qui lui est réservé, il n’est pas en contact avec la clientèle ni chargé de représenter l’entreprise. Cet été-là, ce salarié vient travailler en bermuda, chemisette et chaussé de tongs. Il est propre sur lui, mais son employeur veut lui imposer une autre tenue vestimentaire. Le salarié refuse d’obéir ; la Cour de cassation confirme que le licenciement du salarié est sans cause réelle et sérieuse et que l’employeur a eu un comportement arbitraire.
Cependant, même si la Cour confirme que le licenciement du salarié résulte d’un choix arbitraire de l’employeur et est donc sans cause réelle et sérieuse, le salarié ne sera pas forcément réintégré dans l’entreprise. En effet, l’employeur peut refuser sa réintégration. L’employeur devra alors verser au salarié une indemnité décidée par le juge comprise entre les montant minimaux et maximaux fixés par le barème “Macron”.
Seul un licenciement fondé sur un motif discriminatoire permet l’annulation du licenciement et ainsi la réintégration obligatoire du salarié dans l’entreprise.
Ainsi, même si « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché », le refus par le salarié de se plier à une décision arbitraire de l’employeur qui porte atteinte à ses libertés de façon non-justifiée et non-proportionnée peut conduire à son licenciement. Celui-ci pourra être qualifié de licenciement sans cause réelle et sérieuse par les juges et lui permettre de bénéficier d’une indemnité légale encadrée mais le salarié se retrouvera alors sans emploi.

La CNIL a pris position sur les libertés à l’ère numérique

La commission Nationale de l’Informatique et des Libertés, créée en 1978 dispose d’un pouvoir règlementaire. Les textes législatifs de 2004, 2005 puis 2007 jusqu’au décret du 29 décembre 2011 ont renforcé son pouvoir et précisé les notions de vie privée, de protection des données personnelles et de liberté des salariés.
Chaque citoyen peut, à propos des outils informatiques et numériques, interroger ou alerter la CNIL de situations qui lui semblent porter atteinte aux libertés.

Article 226-15 du code pénal :

« Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance, est puni d’un an d’emprisonnement et de 45 000 euros d’amende.
Est puni des mêmes peines le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique ou de procéder à l’installation d’appareils de nature à permettre la réalisation de telles interceptions. »

Le passage au RGPD

Depuis 2018, toute entité traitant des données personnelles est dans l’obligation de respecter le règlement général de protection des données. L’objectif de la réforme RGPD est d’harmoniser et normaliser les différentes lois sur la protection des données personnelles existantes dans les pays de l’Union européenne. Elle renforce les droits des personnes et responsabilise les professionnels.

Le respect par une entreprise du RGPD est primordial. Son non-respect peut amener à des risques de contentieux. De plus, ne pas respecter la vie privée de ses clients ou de ses salariés est une très mauvaise publicité pour une entreprise .

Les obligations de la direction

Tout d’abord, un responsable du traitement des données doit être établi.  Il s’agit généralement du représentant légal de la personne morale.

Ensuite, un délégué à la protection des données (DPO) doit être désigné. Son rôle sera d’informer le responsable du traitement des données, de contrôler le respect du droit en matière de protection des données, de conseiller sur la réalisation d’une analyse d’impact et d’être le contact de l’autorité de contrôle.

La direction est tenue à une obligation générale de sécurité et de confidentialité. Le responsable du traitement des données doit donc prendre toutes les mesures nécessaires au respect de la protection des données personnelles. Elle est également tenue à une obligation d’information concernant notamment la finalité du traitement des données, la transmission des données et l’utilisation des données de navigation.

Le responsable du traitement doit également mener une analyse d’impact sur la vie privée dès lors que le traitement des données présente un risque pour les droits et libertés des personnes. Cette analyse vise à évaluer l’origine, la nature, la particularité et la gravité de ce risque.

Un registre de traitement des données doit être tenu à jour pour toutes les entreprises de plus de 250 salariés. Il doit permettre d’avoir une vision claire et globale des activités qui nécessitent la collecte et le traitement des données personnelles. Chaque fiche du registre va permettre de vérifier :
– que les données traitées sont bien pertinentes et nécessaires à l’objectif poursuivi
– la nature des données traitées afin d’adopter des mesures de sécurités spécifiques
– que les données ne sont pas conservées au-delà de ce qui est nécessaire.

De manière pratique, le site internet de l’entreprise doit également être conforme au RGPD. Cela implique que l’entreprise doit :

• Informer clairement le visiteur du site internet concernant la collecte des données effectuées ;
• Obtenir un consentement explicite sur le traitement des données ;
• Protéger la transmission des données personnelles ;
• Préciser les mentions juridiques du site internet (identité de l’organisme, identité de l’hébergeur, lien vers les informations et mentions relatives au RGPD).

Les droits des salariés

Le RGDP a introduit de nouveaux droits pour les salariés et a élargi ceux déjà existants.

Les salariés ont un droit à l’information.

Ce droit impose au responsable de traitement de fournir aux salariés dont les données sont collectées, son identité, l’objectif de la collecte d’informations, son caractère obligatoire ou facultatif, les destinataires des informations et les droits reconnus à la personne.

Les salariés ont un droit d’accès.

Ce droit leur permet de prendre connaissance de l’intégralité des données les concernant en s’adressant au responsable du traitement.

Les salariés ont un droit à l’oubli.

Il s’agit du droit pour le salarié de demander l’effacement de ses données personnelles auprès du responsable du traitement sous certaines conditions.

Les salariés ont un droit à la limitation du traitement.

Cela permet aux salariés, dans certains cas, d’exiger auprès du responsable de traitement que ses données soient conservées mais qu’il ne puisse pas s’en servir.

Les salariés ont un droit à portabilité.

Ce droit leur permet d’obtenir voire de réutiliser les données personnelles les concernant. La portabilité ne doit cependant pas porter atteinte aux droits et libertés de tiers.

La collecte des données personnelles par le CSE dans le cadre des ASC

Dans le cadre de la mise en place des activités sociales et culturelles, le CSE est amené à collecter de nombreuses données concernant les salariés. Ces données personnelles doivent être protégées et pour cela le RGPD a mis en place un cadre juridique posant 5 grands principes :

• la conservation des données d’une personne doit se faire dans un but précis, légal et légitime ; les activités sociales et culturelles constituent un but légitime, légal et précis à la collecte des données personnelles ;
• les types de données conservées doivent être nécessaires selon le but recherché ; dès lors, le CSE ne doit collecter que les informations nécessaires à la réalisation des ASC ;
• les données ne peuvent être conservées que pour une durée déterminée, qui doit être fixées au préalable ; le Code du travail impose de conserver les pièces justificatives de versement de prestations ou de paiement pendant 10 ans ;
• seules les personnes autorisées peuvent avoir accès aux données détenues ; le CSE est donc chargé de garantir la confidentialité des données qu’il stocke ;
• les salariés disposent d’un droit d’information, d’accès, de modification et de suppression de leurs données.