Le pouvoir de l'employeur et l'utilisation des TIC par les salariés

Le pouvoir de l’employeur et l’utilisation des TIC par les salariés

Le contrôle de l’usage internet

Une interdiction générale et absolue de toute utilisation d’Internet à des fins autres que professionnelles ne paraît pas réaliste dans une société de l’information et de la communication, et semble de plus disproportionnée au regard des textes applicables et de leur interprétation par la jurisprudence. Un usage raisonnable, non susceptible d’amoindrir les conditions d’accès professionnel au réseau ne mettant pas en cause la productivité est généralement et socialement admis par la plupart des entreprises ou administrations.

Aucune disposition légale n’interdit évidemment à l’employeur d’en fixer les conditions et limites, lesquelles ne constituent pas, en soi, des atteintes à la vie privée des salariés ou agents publics.

À ce titre, la mise en place de dispositifs de filtrage de sites non autorisés (sites diffusant des produits à caractère pornographiques, pédophiles, incitation à la haine raciale, révisionnistes, etc.), associés au pare-feu peut constituer une mesure de prévention dont il y a lieu d’informer les salariés ou agents publics.

De même, la possibilité pour les salariés ou agents publics de se connecter à Internet à des fins autres que professionnelles peut s’accompagner de prescriptions légitimes dictées par l’exigence de sécurité de l’organisme, telles que l’interdiction de télécharger des logiciels, l’interdiction de se connecter à un forum ou d’utiliser le "chat", l’interdiction d’accéder à une boîte aux lettres personnelle par Internet compte tenu des risques de virus qu’un tel accès est susceptible de présenter.

Un contrôle a posteriori des données de connexion à Internet, restitué de façon globale, par exemple au niveau de l’organisme ou d’un service déterminé, devrait dans la plupart des cas être suffisant sans qu’il soit nécessaire de procéder à un contrôle individualisé des sites visités par un employé déterminé.

Les modalités d’un tel contrôle de l’usage d’Internet doivent, conformément à l’article L.432-2-1 du code du travail, faire l’objet d’une consultation du comité d’entreprise ou, dans la fonction publique, du comité technique paritaire ou de toute instance équivalente et d’une information des utilisateurs, y compris lorsque le contrôle est dépourvu d’un caractère directement nominatif.

Lorsque l’entreprise ou l’administration met en place un dispositif de contrôle individuel destiné à produire, poste par poste, un relevé des durées de connexion ou des sites visités, le traitement automatisé d’informations nominatives ainsi mis en oeuvre doit être déclaré à la CNIL (sauf désignation d’un correspondant informatique et libertés).

La durée pendant laquelle les relevés ainsi établis sont conservés doit être précisée. Une durée de conservation de l’ordre de six mois devrait être suffisante, dans la plupart des cas, pour dissuader tout usage abusif d’Internet. Le dossier de déclaration doit en outre comporter l’indication et la date à laquelle les instances représentatives du personnel ont été consultées sur de tels dispositifs.

Le contrôle et de l’usage de la messagerie électronique

L’utilisation de la messagerie électronique professionnelle pour envoyer ou recevoir, dans des proportions raisonnables, un message à caractère personnel correspond à un usage généralement et socialement admis. D’ailleurs, compte tenu des termes de l’arrêt de la chambre sociale de la Cour de cassation en date du 2 octobre 2001 une interdiction ne permettrait pas à l’employeur de prendre connaissance dans des conditions régulières du contenu de celles des correspondances qui relèveraient de la vie privée des personnes.

Il doit être généralement considéré qu’un message envoyé ou reçu depuis le poste du travail mis à disposition par l’entreprise ou l’administration revêt un caractère professionnel, sauf indication manifeste dans l’objet du message ou dans le nom du répertoire où il pourrait avoir été archivé par son destinataire qui lui conférerait alors le caractère et la nature d’une correspondance privée protégée par le secret des correspondances.

Des décisions de justice postérieures à l’arrêt de la Cour de cassation du 2 octobre 2001 ont précisé la « marge de manoeuvre » de l’employeur en matière de contrôle de la messagerie professionnelle de ses employés.

Il a ainsi été jugé que constitue une violation du secret des correspondances privées la lecture par l’employeur d’un message qui, bien que ne comportant pas expressément dans son objet la mention

« personnel », est classé automatiquement dans un dossier qualifié de « personnel » et fait référence dans son objet aux vacances, avec une formulation et une orthographe familières.

Avant d’accéder à un courriel, l’employeur doit donc vérifier que l’objet du message ne lui confère pas un caractère manifestement personnel. […]

Lorsque l’entreprise ou l’administration met en place un dispositif de contrôle individuel poste par poste du fonctionnement de la messagerie, le traitement automatisé d’informations nominatives ainsi mis en oeuvre doit être déclaré à la CNIL (sauf désignation d’un correspondant informatique et libertés). La durée pendant laquelle les messages sont conservés doit être précisée. Le dossier de déclaration doit en outre comporter l’indication et la date à laquelle les instances représentatives du personnel ont été consultées sur de tels dispositifs.

Retour au sommaire

Le rôle des administrateurs informatiques

Les administrateurs qui doivent veiller à assurer le fonctionnement normal et la sécurité des réseaux et systèmes sont conduits par leurs fonctions mêmes à avoir accès à l’ensemble des informations relatives aux utilisateurs (messagerie, connexions à Internet, fichiers "logs" ou de journalisation, etc.) y compris celles qui sont enregistrées sur le disque dur du poste de travail. Un tel accès n’est contraire à aucune disposition de la loi du 6 janvier 1978. […]

En tout état de cause, l’accès aux données enregistrées par les employés dans leur environnement informatique - qui sont parfois de nature personnelle – ne peut être justifié que dans les cas où le bon fonctionnement des systèmes informatiques ne pourrait être assuré par d’autres moyens moins intrusifs. […]

De même, les

...