Contrôler l’utilisation par le salarié des outils informatiques : vos droits, vos devoirs…

Contrôler l’utilisation du matériel de l’entreprise

C’est un principe ! Vous pouvez contrôler l’utilisation que les salariés font du matériel informatique que vous mettez à leur disposition dans le cadre de leur mission professionnelle. Parce que ces outils sont destinés à être utilisés pour l’exécution de leur travail, ils ont un caractère professionnel, ce qui vous autorise à exercer un contrôle.

Des tolérances généralement admises pour des utilisations personnelles. D’une manière générale, la plupart des entreprises, comme les tribunaux, reconnaissent la possibilité aux salariés d’utiliser ces outils informatiques à des fins privées. Toutefois, il est important de souligner que cette tolérance ne vaut que si cette utilisation privée est raisonnable et qu’elle n’affecte pas la sécurité des réseaux informatiques, ni la productivité attendue dans l’exécution de sa mission par le salarié.

Le point sur les fichiers informatiques. Par défaut, les fichiers qui sont enregistrés sur les ordinateurs mis à disposition de votre salarié sont présumés professionnels, vous pouvez donc en contrôler le contenu. Une restriction s’impose à vous toutefois : si un fichier est identifié comme étant personnel, vous ne pourrez y accéder qu’en présence du salarié ou après l’avoir appelé, ou si un risque est avéré.

Le point sur les connexions Internet. L’une des premières sources de difficultés dans ce domaine concerne l’usage d’Internet. Par principe, la connexion Internet qui est mise à la disposition du salarié pendant les horaires de travail est présumée l’être à titre professionnel : vous êtes donc autorisé à contrôler librement les connexions Internet de votre collaborateur, en dehors de sa présence. Le juge a, à cet égard, eu l’occasion de préciser que l'inscription d'un site sur la liste des « favoris » de l'ordinateur ne lui confère aucun caractère personnel.

Sécurisez l’accès aux ordinateurs ! Dans le cas où vous constatez un abus d’utilisation de la connexion internet, et que vous souhaitez le sanctionner, sachez que vous devrez apporter la preuve de l’identité de l’auteur de ces connexions. Pour pouvoir envisager la sanction de l’utilisateur habituel du poste informatique, il faut que ce poste soit uniquement accessible par cet utilisateur. Ainsi, un poste en libre accès, non protégé par un mot de passe, ou protégé par un mot de passe trop simple (initiales de l’utilisateur habituel, mot de passe général à la salle informatique, etc.), ne pourra pas permettre d’identifier l’auteur des connexions frauduleuses et donc de sanctionner l’utilisateur habituel du poste informatique.

Exemple. Le fait que les bureaux soient accessibles par tous vos collaborateurs et que l’accès aux ordinateurs ne soit rendu possible qu’en utilisant les initiales de l’utilisateur habituel ne permettent pas de sécuriser les accès informatiques. Par conséquent, l’employeur serait dans l’incapacité de s'assurer qu’un salarié donné soit réellement l'auteur d’une utilisation abusive des outils informatiques. Ce qui l’empêcherait alors de le sanctionner.

Le point sur la messagerie électronique. Vous pouvez également exercer un contrôle sur les e-mails adressés par l’intermédiaire de la messagerie électronique de l’entreprise : le juge a rappelé que les courriels adressés ou reçus par le salarié à l'aide de l'outil informatique que vous mettez à sa disposition pour les besoins de son travail sont présumés avoir un caractère professionnel. Il en sera de même à propos des e-mails transférés de la messagerie personnelle du salarié vers sa boîte mail professionnelle qui seront présumés professionnels, dès lors qu’ils ne sont pas clairement identifiés comme étant personnels.

Attention. Des correspondances entretenues par le biais de la messagerie personnelle d’un salarié, même depuis un ordinateur mis à sa disposition par l’employeur, conservent un caractère personnel. Leur lecture constitue une violation du secret des correspondances.

Le point sur les communications téléphoniques. Bon nombre d’entreprises mettent à la disposition de leur collaborateur des téléphones portables qu’ils sont amenés à utiliser dans le cadre de leur travail. Là encore, une utilisation privée de ce moyen de communication est, en règle générale, admise. Vous pouvez à cet égard, contrôler le relevé des communications téléphoniques fourni par votre opérateur ou le relevé des appels passés à partir des postes téléphoniques de l’entreprise grâce à l’autocommutateur téléphonique.

Le point sur les sms. Comme pour les e-mails, les juges considèrent que les sms envoyés ou reçus par un salarié au moyen du téléphone que vous mettez à sa disposition pour les besoins de son travail sont présumés avoir un caractère professionnel : vous êtes donc en droit de les consulter en dehors de sa présence, sauf s'ils sont identifiés comme étant personnels.

Attention à la preuve que vous apportez. Pour rappel, chacun a droit au respect de sa vie privée. Aussi, la présentation d’une conversation privée du salarié qui ne serait pas justifiée par l’exercice légitime du droit à la preuve porterait atteinte à sa vie privée. Et le juge estime que la seule constatation de l’atteinte à la vie privée ouvre droit, pour le salarié, à réparation.

Contrôler les documents et informations personnels du salarié ?

Attention au respect de la vie privée ! Des collaborateurs peuvent détenir des documents ou des fichiers personnels sur l’ordinateur de l’entreprise, recevoir des e-mails privés sur leur messagerie professionnelle ou des messages sur leurs téléphones professionnels. Pouvez-vous contrôler ces documents ou correspondance ? La réponse est positive, mais assortie de strictes conditions.

Ce que vous devez faire. Si vous devez contrôler des documents, des fichiers ou des correspondances qui sont clairement identifiés comme étant personnels, vous devez vous entourez de précaution : sauf risque ou évènement particulier, vous ne pouvez y avoir accès qu’en présence du salarié ou après l’avoir dûment appelé.

Une frontière parfois floue… Pour que le document ou le fichier soit qualifié de personnel, il faut qu’il soit clairement identifié et nommément désigné comme tel. Une salariée avait reproché à son employeur d’avoir utilisé le contenu d’une clé USB personnel pour justifier son licenciement. Le juge a validé ce licenciement, estimant que cette clé USB, qui n’était pas identifiée comme étant personnelle, et connectée à l’ordinateur professionnel de la salariée, était présumée utilisée à des fins professionnelles.

Attention. N’oubliez pas que la violation du secret des correspondances peut être pénalement sanctionnée.

Pour la petite histoire. Un salarié a été licencié à la suite d’un usage abusif de son disque dur professionnel, qui stockait de fausses attestations et des images et vidéos à caractère pornographique. Licenciement que le salarié conteste, estimant que l’employeur ne pouvait pas consulter son disque dur puisqu’il était intitulé « D:/données personnelles ». Mais le juge valide le licenciement, rappelant qu’un salarié ne peut pas utiliser l’intégralité d’un disque dur professionnel pour son usage personnel.

Gérer les moyens de contrôle

Mettre en place des contrôles. Vous pouvez décider de mettre en place des moyens de contrôle, pour fixer les conditions et limites d’utilisation d’Internet, pour contrôler l’usage de la messagerie électronique de l’entreprise, etc. C’est ainsi que vous pouvez interdire le téléchargement de logiciels étrangers à l’activité, l’accès à des forums, à une boîte mail privée, ou encore mettre en place des systèmes de filtres pour éviter l’accès à des sites non autorisés, etc. Vous pouvez aussi mettre en place des filtres anti-spam, des outils de gestion des pièces jointes, etc.

Un objectif. La mise en place de ce type de contrôle doit toujours être guidée par le souci de sécuriser et de protéger le réseau informatique de l’entreprise et d’éviter les abus qui pourraient être préjudiciables pour l’entreprise.

Informez vos salariés. Si vous mettez des moyens de contrôles en place, vous devez en informer vos salariés et vous devez consulter, au préalable, et le cas échéant, vos instances représentatives du personnel. Vous devez les informer de la finalité des moyens de contrôle et de la durée de conservation des données sauvegardées.

Déclarer les outils informatiques ? Les formalités déclaratives qui devaient, auparavant, être effectuées auprès de la Cnil, supprimée en grande partie par le RGPD, sont maintenues pour les seules données « sensibles » : données biométriques nécessaires à l’identification ou au contrôle de l’identité des personnes, données génétiques, données utilisant le numéro d’inscription au répertoire national d’identification des personnes physiques et données de santé. La mise à disposition d’outils informatiques (mise en place d’une messagerie professionnelle par exemple) doit faire l’objet d’une déclaration à la Commission Nationale de l’Informatique et des Libertés (Cnil).

Attention. La mise en place d’un dispositif de surveillance des accès Internet ne doit pas avoir pour finalité la recherche et la constatation d’infractions pénales (une entreprise n’a pas pu, pour ces raisons, mettre en place un système visant à contrôler les sites à caractère pédopornographique à partir des ordinateurs professionnels). Préférez plutôt le filtrage des sites Internet à contenus illégaux.