Les questions-réponses de la CNIL sur le télétravail

Le télétravail est une forme d’organisation du travail, qui s’effectue à distance des locaux de l’employeur, par opposition au travail effectué « sur site », au moyen des technologies de l’information et de la communication.

Encadré par différents textes, il l’est notamment dans le secteur privé par un accord national interprofessionnel (ANI) et par le Code du travail, tandis que les principes pour le secteur public sont issus des dispositions de la loi dite « Sauvadet » et de différents décrets. 

Jusqu’à présent modestement développé en France, le télétravail a connu un essor spectaculaire lors du premier épisode de confinement, permettant à de nombreuses entreprises et administrations de maintenir leur activité.

Source de nombreuses opportunités s’il est bien encadré, le recours au télétravail soulève également de nombreuses questions qui ne se limitent pas à la protection des données, telles que le droit à la déconnexion et la porosité des vies personnelle et professionnelle, l’évolution de la fonction managériale et de l’évaluation du travail, ou encore la place du collectif dans le travail.

Parmi ces questions figurent celle de la protection des données personnelles des salariés, mais aussi celle des données que les salariés peuvent être amenés à traiter. 

Si les conditions de mise en œuvre du télétravail se sont progressivement assouplies depuis plusieurs années, elles le sont tout particulièrement en cas d’épisodes exceptionnels telle que la pandémie de COVID-19.

En temps « normal », sa mise en place doit faire l’objet d’un accord avec l’employeur formalisé par tout moyen, qu’il s’agisse d’un accord collectif ou individuel, ou encore d’une charte (article L. 1222-9 du Code du travail).

Dans le cadre de la pandémie de COVID-19, un accord n’est en revanche pas nécessaire et le télétravail peut alors être imposé aux salariés par l’employeur.

Oui, si cela ne porte pas atteinte aux droits et libertés des salariés et en respectant certaines règles.

Le télétravail n’étant qu’une modalité d’organisation de travail, l’employeur conserve, au même titre que lorsque le travail est effectué sur site, le pouvoir d’encadrer et de contrôler l’exécution des tâches confiées à son salarié.

Néanmoins, si le pouvoir de contrôle de l’employeur est une contrepartie normale et inhérente au contrat de travail, les juridictions ont rappelé de manière constante que ce pouvoir ne saurait être exercé de manière excessive.

L’employeur doit donc toujours justifier que les dispositifs mis en œuvre sont strictement proportionnés à l’objectif poursuivi et ne portent pas atteinte excessive au respect des droits et libertés des salariés, particulièrement le droit au respect de leur vie privée.

- article L. 1121-1 du Code du travail

Conformément tant au Code du travail qu’au RGPD, l’employeur est également soumis à une obligation de loyauté envers ses salariés.

Il doit à ce titre informer l’ensemble des salariés, préalablement à leur mise en œuvre, des éventuels dispositifs de contrôle de leur activité. Un employeur qui viendrait à manquer à cette obligation pourra voir sa responsabilité engagée ; par ailleurs, les juridictions ont rappelé à maintes reprises que les preuves obtenues à l’aide de tels dispositifs ne peuvent pas, en principe, être invoquées pour justifier une sanction.

L’information et la consultation des représentants du personnel participent à une meilleure transparence et au dialogue social, et constituent des conditions essentielles de mise en œuvre de ces dispositifs.

De la même manière, les juridictions ont eu l’occasion de rappeler qu’il est interdit à l’employeur d’avoir recours à des stratagèmes visant à « piéger » un salarié.

Par ailleurs, si depuis l’entrée en application du RGPD les traitements de surveillance de l’activité des salariés n’ont pas à faire l’objet d’une formalité préalable auprès de la CNIL, ils devront cependant être portés au registre des traitements.

Les traitements de données personnelles susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées doivent faire l’objet d’une analyse d’impact. 

Plus particulièrement, la liste des traitements pour lesquels une AIPD est requise rappelle que, dans les cas où ils peuvent être justifiés, les traitements ayant pour finalité de surveiller de manière constante l’activité des employés concernés doivent obligatoirement faire l’objet d’une analyse d’impact relative à la protection des données (AIPD).

Non.

Comme tout traitement de données personnelles, un système de contrôle du temps de travail ou d’activités, qu’il s’effectue à distance ou « sur site », doit notamment :

• avoir un objectif clairement défini et ne pas être utilisé à d’autres fins ;
• être proportionné et adéquat à cet objectif ;
• nécessiter une information préalable des personnes concernées.

Ne pas utiliser d’outil de surveillance permanente

En tout état de cause, comme le rappelle notamment les juridictions sociales et le code du travail, si l’employeur peut contrôler l’activité de ses salariés, il ne peut les placer sous surveillance permanente, sauf dans des cas exceptionnels dûment justifiés au regard de la nature de la tâche.

Les exemples suivants n’apparaissent pas compatibles avec ces principes :

• la surveillance constante au moyen de dispositifs vidéo (tels qu’une webcam) ou audio. Il peut s’agir, par exemple, de la demande faite par un employeur à un employé de se mettre en visioconférence tout au long de son temps de travail pour s’assurer de sa présence derrière son écran.

Un tel un système place les salariés sous surveillance permanente est excessif : il ne peut donc être mis en œuvre, qu’il s’agisse de poursuivre un objectif de sécurité ou un objectif de surveillance du temps de travail. Des moyens alternatifs moins intrusifs existent pour ce faire.

• Le partage permanent de l’écran et/ou l’utilisation de « keyloggers » (logiciels qui permettent d’enregistrer l’ensemble des frappes au clavier effectuées par une personne sur un ordinateur).

De tels procédés sont particulièrement invasifs et s’analysent en une surveillance permanente et disproportionnée des activités des employés.

• L’obligation pour le salarié d’effectuer très régulièrement des actions pour démontrer sa présence derrière son écran comme cliquer toutes les X minutes sur une application ou prendre des photos à intervalles réguliers.

Privilégier une adaptation des méthodes d’encadrement

En tant que nouvelle organisation du travail, le télétravail implique également une adaptation des méthodes d’encadrement et d’évaluation des salariés.

La mise en œuvre du télétravail par un organisme devrait donc être précédée d’une réflexion sur ces questions. Bien qu’aux limites des compétences de la CNIL, certaines solutions peuvent ainsi être recommandées :

• L’employeur peut par exemple mettre en place un contrôle de la réalisation par objectifs pour une période donnée. Ces objectifs devraient être raisonnables, susceptibles d’être objectivement quantifiés, et contrôlables à des intervalles réguliers ;
• Un compte rendu régulier du salarié est également un moyen de contrôle de l’activité pouvant être mis en place.

L'usage d'équipements informatiques personnels dans un contexte professionnel est connu sous l’acronyme de « BYOD » qui est l’abréviation de l’expression anglaise « Bring Your Own Device » (en français : « Apportez Votre Equipement personnel de Communication » ou AVEC).

La réglementation en matière de protection des données personnelles veut que le niveau de sécurité et de confidentialité des données personnelles traitées soit le même, quel que soit l’équipement utilisé.

L’employeur reste en effet responsable de la sécurité des données personnelles de son entreprise, y compris lorsqu’elles sont stockées sur des terminaux dont il n’a pas la maîtrise physique ou juridique, mais dont il a autorisé l’utilisation pour accéder aux ressources informatiques de l’entreprise.

Par ailleurs, si l’employeur est en principe libre d’accéder aux données présentes sur l’équipement professionnel confié au salarié, qui sont présumées avoir un caractère professionnel, ce n’est pas le cas pour les données figurant sur l’équipement personnel de ses employés.

Le recours au BYOD est donc une décision qui doit être prise après avoir mis en balance les intérêts et les inconvénients présentés par cet usage qui brouille la frontière entre vie personnelle et vie professionnelle.

L’activation des caméras dans une visioconférence peut faciliter la fluidité de la communication et participer à la convivialité de la réunion. Cependant, elle constitue un traitement de données personnelles, régi par le RGPD, qui peut conduire à révéler des informations intimes.

Dans toute la mesure du possible, le recours à la visioconférence depuis leur domicile ne devrait pas conduire les salariés à révéler davantage d’informations personnelles que lors d’une réunion sur leur lieu de travail. La CNIL invite donc les employeurs à privilégier les solutions de visioconférence qui permettent aux utilisateurs de flouter l’arrière-plan, afin de permettre aux participants de ne pas faire apparaître dans la visioconférence les images de leur domicile (qui peuvent révéler des informations privées) ou les tiers qui passeraient dans le champ de vision de la caméra. Lorsqu’un tel dispositif est en place, l’employeur peut demander à ses salariés d’activer leur caméra pendant une réunion, afin que ceux-ci soient visibles comme ils le seraient si la réunion se déroulait sur le lieu de travail.

Lorsqu’il n’est pas possible ou souhaitable de recourir à un dispositif de floutage, l’employeur ne peut pas imposer systématiquement l’activation de leur caméra aux salariés en télétravail qui participent à des visioconférences. Son activation doit donc en principe être laissée à l’appréciation des salariés dans la mesure où, dans la plupart des cas, une participation via le micro est suffisante.

Néanmoins, dans des cas particuliers (tels qu’un entretien « RH », une rencontre avec des clients extérieurs ou la présentation de nouveaux arrivants etc.), l’employeur peut imposer le déclenchement de la caméra. Lorsque c’est possible, il est préférable d’en avoir au préalable informé le ou les salariés qui pourront s’organiser en conséquence (choix d’une pièce adéquate, etc.).

La CNIL propose par ailleurs des conseils spécifiques pour utiliser les outils de visioconférence.

Récemment, certaines entreprises se sont mobilisées pour proposer, souvent gratuitement, leurs solutions numériques pour permettre aux entreprises de faire face au défi de la crise sanitaire.

Si ces solutions peuvent aider les organismes à mettre en place le télétravail dans un contexte d’urgence, la CNIL rappelle qu’il appartient aux entreprises qui souhaitent avoir recours à de telles solutions d’évaluer les garanties en matière de protection des données et particulièrement celles relatives à la sécurité et la confidentialité des données personnelles susceptibles d’être ainsi traitées.

Pour accompagner la mise en place du télétravail, la CNIL propose des conseils pratiques pour :

• les employeurs ;
• les salariés.

Elle rappelle également les règles et bonnes pratiques en matière de sécurité des données sur son site web et dans un guide téléchargeable.

Par ailleurs, l’Agence nationale de sécurité des systèmes d’information (ANSSI) a mis en place une liste des produits et services qualifiés de l’ANSSI en fonction du niveau de sécurité qu’ils offrent.

La CNIL peut réaliser des contrôles à distance, sur place, sur audition ou sur pièces en cas de plainte d’un salarié ou de sa propre initiative.

En cas de non-respect du RGPD ou de la loi, par exemple si l’employeur met en place une surveillance excessive des salariés, la CNIL dispose une chaîne répressive complète lui permettant de :

• mettre en demeure les organismes de se conformer au RGPD et à la loi ;
• prononcer une sanction financière ou non.

Dans certains cas, une publicité peut être décidée en fonction de la gravité des cas.