Par Franc Muller – Avocat droit du travail, Paris
Un employeur très intéressé par l’activité de ses salariés
La CNIL (Commission Nationale de l’Informatique et des Libertés) a récemment épinglé une entreprise qui s’intéressait de très près à l’activité de ses salariés, en violation des dispositions légales, et en particulier de celles relatives à la protection des données personnelles.
La société, une agence immobilière, surveillait les salariés en télétravail au moyen d’un logiciel intitulé TIME DOCTOR, pour la période du mois de septembre 2021 au 17 octobre 2022, date à laquelle un contrôle de la CNIL dans les locaux de l’entreprise l’avait contraint à mettre un terme à son utilisation.
Ce logiciel, installé sur les ordinateurs utilisés par les salariés non cadres de certains départements, présentait l’avantage non négligeable de permettre aux encadrants de consulter les données qu’il collectait à l’aide d’une application mobile.
Il était décliné en deux versions, la première, « interactive », installée sur les ordinateurs personnels des salariés, nécessitait une activation et une désactivation manuelle par ces derniers pendant leur temps de travail et de pause.
La seconde, dite « silencieuse », nettement plus intrusive, était installée sur les ordinateurs fournis par la société, l’activation et la désactivation étant automatiques lors du démarrage et de l’arrêt des ordinateurs.
L’employeur, dont l’intérêt pour les salariés présents dans les locaux de l’entreprise ne se démentait pas, avait également installé un dispositif de vidéosurveillance constitué de deux caméras, dans le louable objectif de prévenir la commission de vols.
Dans une parfaite illégalité, les caméras filmaient donc les salariés et captaient le son en continu, le dispositif étant visualisable en temps réel, également à travers une application mobile.
Une surveillance accrue des salariés, notamment en télétravail
Il est vrai que les salariés dont les fonctions le permettent ont désormais pris la détestable habitude de faire d’au moins un ou deux jours de télétravail par semaine une véritable exigence.
Au point que certaines entreprises peinent à recruter, notamment des cadres, lorsque cette exigence n’est pas satisfaite.
Or, il est des employeurs pour lesquels le salariat ne se conçoit qu’au prix d’un lien serré passé autour du cou des salariés, la simple perspective qu’ils puissent échapper à leur contrôle visuel étant cause d’une crise d’urticaire.
Cruel dilemme… entre les aspirations des salariés et le risque de ne plus pouvoir en recruter, cet employeur imaginatif avait trouvé la parade et exploitait les ressources que lui offrait la technologie.
Les ressources inestimables de la technologie
Les fonctionnalités du logiciel TIME DOCTOR lui ont permis non seulement de mesurer le temps de travail des salariés, mais également d’évaluer leur productivité.
La CNIL relève ainsi :
D’une part, ce logiciel comptabilisait les temps d’inactivité des salariés à travers leurs mouvements de souris et leur activité sur leurs claviers (« idle minutes »). D’autre part, il visait également à mesurer la productivité des salariés en procédant à des captures régulières de leurs écrans d’ordinateur (« sreencast ») et en comptabilisant leur temps passé sur certains sites web préalablement paramétrés comme productifs ou non par la société.
Le logiciel mesurait la productivité des salariés sur la base d’une liste de sites web et de programmes préalablement identifiés et paramétrés comme productifs ou non, eu égard à l’historique de sites et de programmes effectivement consultés par les salariés concernés et recensés par le logiciel.
Plus encore, pour effectuer un décompte du temps de travail des salariés, le logiciel incluait une fonctionnalité permettant de soustraire les temps de pause des périodes de travail actives des salariés.
Ainsi, l’employeur identifiait des temps « d’inactivité » des salariés, en fonction d’une durée préalablement paramétrée, entre trois et quinze minutes, au cours de laquelle le salarié n’avait effectué aucune frappe sur son clavier d’ordinateur ou aucun mouvement de souris.
Le système calculait le pourcentage de temps d’inactivité par rapport au temps de travail considéré comme effectif en tenant compte des horaires d’activation et de désactivation du logiciel.
Était ainsi considéré comme un temps de travail effectif, celui pendant lequel le salarié était constamment en activité, qui se matérialisait à travers les mouvements effectués sur son ordinateur.
Sauf à être justifiés ou rattrapés, les temps d’inactivité pouvaient faire l’objet d’une retenue sur salaire.
Conditions de validité de l’utilisation du logiciel de contrôle de l’activité des salariés
Un tel procédé avait toutefois le cruel défaut de s’asseoir sur quelques règles légales.
La CNIL rappelle que l’article 47 du RGPD impose à l’employeur utilisant un traitement des données personnelles qu’il soit fondé sur un intérêt légitime.
La jurisprudence considère que celui-ci repose sur 3 conditions :
- Que l’intérêt poursuivi soit légitime,
- Qu’il soit nécessaire de traiter les données à caractère personnel pour la réalisation de cet intérêt légitime
- Que le traitement ne heurte pas les droits et libertés fondamentaux des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables.
Elle rappelle encore que l’atteinte portée aux droits et libertés des salariés constitue l’élément essentiel à prendre en compte dans la mise en balance des intérêts.
Elle a déjà énoncé dans une autre délibération que :
Les dispositifs de surveillance automatisée permanente des salariés, tels que la prise de captures d’écran du salarié à intervalles réguliers ou l’utilisation de « keyloggers » (enregistreurs de frappe / de surveillance de la fréquence des frappes de clavier et des clics de souris permettant d’enregistrer à distance toutes les actions accomplies sur un ordinateur) comme disproportionnés au regard des intérêts légitimes de l’employeur, sauf circonstances exceptionnelles.
Elle retient que le temps de travail effectif d’un salarié, défini par le Code du travail comme le temps pendant lequel celui-ci est à la disposition de l’employeur et se conforme à ses directives sans pouvoir vaquer librement à des occupations personnelles (article L 3121-1), ne se limite pas à la réalisation d’une action continue, circonscrite à une activité de frappe sur un clavier ou un mouvement de souris.
Plus largement, il s’analyse comme un temps durant lequel le salarié est à la disposition de son employeur, pour agir selon ses directives, et sans que ce temps se limite nécessairement à la réalisation d’une tâche continue matérialisée par des actions faites sur ordinateur.
Par ailleurs, la CNIL indique que si l’usage d’un dispositif de décompte des heures de travail peut être admis, il doit cependant faire l’objet d’une information des personnes concernées respectant les dispositions du RGPD (articles 12 et 13).
En l’espèce, l’information écrite délivrée par l’employeur à ses salariés sur le traitement opéré par le logiciel pour contrôler leur temps de travail n’était pas complète.
Notamment, les contrats de travail produits par l’employeur ne comportaient pas les mentions relatives au droit à la limitation des traitements ou de s’y opposer, au droit à la portabilité des données, ou encore au droit d’introduire une réclamation auprès d’une autorité de contrôle, mentions qui apparaissaient nécessaires.
Sanctions de l’employeur
En conséquence, l’employeur est condamné à raison des manquements qu’il a commis au RGPD au paiement d’une amende administrative, dont le montant est déterminé en fonction d’un pourcentage du chiffre d’affaires réalisé par la société.
Le montant de cette amende administrative a été fixé à 40 000 €.
A titre de condamnation supplémentaire, la délibération de la CNIL est rendue publique (sur son site et sur le site de Légifrance).