Internet au travail : ce que l’employeur peut faire, et pas
L’accès à internet fourni par l’entreprise est un outil de travail, et un outil de travail se règlemente. Encore faut il connaître la frontière : elle est plus protectrice du salarié, et plus exigeante pour l’employeur, qu’on ne le croit généralement.
Le principe : usage professionnel, tolérance raisonnable
Les moyens informatiques mis à disposition sont présumés utilisés à des fins professionnelles. La jurisprudence admet toutefois un usage personnel raisonnable, à l’image de l’usage du téléphone. Ce qui déclenche la sanction n’est donc pas l’usage privé en soi, mais son caractère excessif ou sa nature.
- Présomption
- Les fichiers et courriels non identifiés comme personnels sont présumés professionnels et consultables par l’employeur.
- Exception
- Un fichier ou un message clairement identifié comme personnel ne peut être ouvert qu’en présence du salarié, sauf circonstances exceptionnelles.
- Sanction
- Elle suppose une règle connue à l’avance. Sans charte opposable, la faute est plus difficile à établir.
La charte informatique, et comment la rendre opposable
Une charte informatique décrit ce qui est autorisé, ce qui est interdit, et les contrôles qui peuvent être opérés. Pour fonder une sanction disciplinaire, elle doit avoir la valeur d’un règlement intérieur : elle y est donc annexée et suit la même procédure d’adoption, avec consultation des représentants du personnel et dépôt.
Dans les entreprises non soumises à l’obligation de règlement intérieur, une charte reste utile, mais sa portée est pédagogique plutôt que disciplinaire. Elle vaut alors surtout par ce qu’elle prévient.
- La liste des usages professionnels et le périmètre de tolérance personnelle.
- Les règles de mot de passe et l’interdiction de partager un compte.
- Le traitement des équipements personnels utilisés à des fins professionnelles.
- La conduite à tenir en cas de courriel suspect ou de perte de matériel.
- La nature exacte des contrôles opérés, et leur durée de conservation.
Contrôler, oui, mais sous conditions
Un employeur peut mettre en place des dispositifs de contrôle de l’activité, à trois conditions cumulatives. Le dispositif doit être proportionné au but recherché. Les salariés doivent en être informés individuellement avant sa mise en service. Et les représentants du personnel doivent avoir été informés et consultés lorsque l’entreprise en dispose.
Un contrôle installé en secret ne produit aucune preuve utilisable. Il produit un contentieux, et l’employeur y perd deux fois.
S’y ajoutent les obligations de protection des données. Les journaux de connexion sont des données personnelles : leur durée de conservation doit être limitée, leur finalité définie, et le traitement inscrit dans le registre tenu par l’entreprise.
La responsabilité de l’employeur
C’est le point que la plupart des dirigeants découvrent tard. L’entreprise met à disposition un accès et des moyens ; elle peut être recherchée si ces moyens servent à commettre certains actes, et si aucune mesure de prévention n’a été prise. La charte, la journalisation et le filtrage documentés ne servent donc pas seulement à sanctionner : ils démontrent la diligence.
Le cas du matériel personnel
L’usage du téléphone ou de l’ordinateur personnel à des fins professionnelles brouille tout : l’employeur ne peut pas contrôler un équipement qui ne lui appartient pas, et le salarié se retrouve à stocker des données de l’entreprise sans cadre. La réponse raisonnable consiste soit à fournir le matériel, soit à encadrer précisément ce qui peut y transiter.
Cette question devient centrale dès qu’une partie du travail se fait hors des locaux, ce qui renvoie directement aux règles décrites dans le télétravail et aux priorités de sécurité listées dans compétitivité et numérique.