Les ordinateurs professionnels inspirent un dangereux sentiment d’intimité.
Nous passons tant de temps avec eux qu’ils finissent par ressembler moins à du matériel de bureau qu’à une extension de nous-mêmes – légèrement capricieuse. Nous y réservons des vols pendant la pause déjeuner, répondons à nos amis entre deux réunions et envoyons parfois, au sujet du travail, des messages que personne au bureau n’est censé lire.
Puis nous oublions de nous déconnecter.
En 2022, une fenêtre WhatsApp laissée ouverte s’est retrouvée au cœur d’une affaire portée devant la Cour de cassation luxembourgeoise. Un employeur avait accédé à l’ordinateur professionnel d’une salariée afin de sauvegarder des fichiers liés à son activité. L’ordinateur était toujours allumé, la fenêtre WhatsApp était restée ouverte et certains messages s’affichaient directement à l’écran.
Ces messages ont ensuite été utilisés dans le cadre d’une procédure relative à la mise à pied de la salariée et à la résiliation de son contrat de travail. Celle-ci soutenait qu’ils provenaient d’un compte personnel et devaient donc être protégés au titre du secret des correspondances.
La Cour a rejeté son pourvoi et admis que, dans ces circonstances particulières, les messages pouvaient être considérés comme professionnels.
Cela ne signifie pas que votre patron a le droit de parcourir la conversation du groupe familial. Mais la frontière entre « personnel » et « professionnel » devient nettement moins
rassurante lorsqu’un compte privé reste ouvert sur un appareil professionnel.
Parfois. Mais certainement pas quand bon lui semble.
Un employeur peut légitimement avoir besoin d’accéder à des courriels professionnels, de protéger des informations confidentielles, d’enquêter sur un problème de sécurité ou de récupérer un document pendant l’absence d’un salarié. Le fait que l’ordinateur appartienne à l’entreprise lui donne un certain contrôle sur l’appareil. Cela ne fait pas disparaître la vie privée du salarié.
La Commission nationale pour la protection des données (CNPD) rappelle que le salarié a droit au respect de sa vie privée sur son lieu de travail, notamment au secret des correspondances. Un employeur peut restreindre ou interdire l’utilisation personnelle du matériel de l’entreprise. Mais enfreindre cette règle ne lui donne pas automatiquement le droit de lire le contenu de chaque conversation privée.
Il existe, après tout, une différence entre constater qu’un salarié a ouvert WhatsApp au travail et lire la conversation familiale pour savoir qui apporte la salade de pommes de terre au déjeuner du dimanche.
Cette distinction est importante, car l’affaire WhatsApp de 2022 ne concernait pas un logiciel de surveillance installé par l’entreprise. L’employeur avait accédé à l’ordinateur pour sauvegarder des données professionnelles et avait trouvé WhatsApp déjà ouvert. La Cour de cassation s’est donc penchée sur la question de savoir si, dans ces circonstances, les messages pouvaient être considérés comme professionnels.
Surveiller délibérément les salariés est une autre affaire.
Un employeur qui souhaite contrôler les courriels, l’utilisation d’internet ou d’autres communications sur le lieu de travail doit disposer d’une base licite et ne peut aller au-delà de ce qui est nécessaire. Les salariés doivent en être informés au préalable. L’employeur doit également informer la délégation du personnel ou, à défaut, l’Inspection du travail et des mines (ITM).
Il doit préciser ce qui sera surveillé, dans quel but, comment le dispositif fonctionnera et, le cas échéant, combien de temps les données seront conservées.
Ces informations figurent généralement dans une charte informatique, une notice relative à la protection des données ou un règlement interne – des documents dont le principal exploit consiste souvent à être acceptés par des personnes qui ne les ont pas lus.
Cela vaut tout de même la peine de retrouver les vôtres.
Un avertissement général indiquant qu’« une surveillance peut avoir lieu » n’est pas un chèque en blanc. L’article L. 261-1 du Code du travail impose à l’employeur de décrire au préalable la finalité et les modalités de la surveillance envisagée. La CNPD précise également que la surveillance doit être graduée : l’employeur doit commencer par des contrôles ponctuels sans identifier les salariés. Ce n’est que si des indices ou des soupçons sont relevés qu’une surveillance plus ciblée peut être envisagée.
Lire le contenu d’un message est plus intrusif que de constater quand une application a été utilisée ou combien de courriels ont été envoyés. Plus le contrôle est intrusif, plus sa justification doit être solide.
Les courriels envoyés ou reçus depuis un poste de travail mis à disposition par l’employeur sont en principe présumés professionnels, sauf s’ils sont identifiés comme personnels. Un employeur peut donc accéder à un courriel professionnel pour un motif légitime. Si un dossier client urgent reste coincé dans la boîte de réception d’une personne qui part deux semaines en congé, l’entreprise n’est pas condamnée à attendre son retour pour le récupérer.
Cela n’autorise pas pour autant un responsable à parcourir toute la boîte de réception par curiosité.
La CNPD recommande de rendre immédiatement reconnaissable le caractère privé d’un contenu. Les courriels personnels peuvent être signalés dans leur objet ou placés dans un dossier intitulé "personnel". Même un objet tel que "Réservation de vacances" peut indiquer clairement que le message n’a rien à voir avec le travail.
Selon la CNPD, un employeur ne peut pas ouvrir les courriels identifiables comme personnels. Une telle consultation peut violer le secret des correspondances et constituer une infraction pénale. Cette protection peut subsister même si l’employeur a interdit l’utilisation personnelle du matériel informatique de l’entreprise.
Toute la difficulté consiste à rendre cette limite visible à temps. Un message doit être identifiable comme privé avant que quelqu’un ne l’ouvre, et non une fois que son contenu est devenu gênant.
C’est aussi ce qui explique l’issue de l’affaire WhatsApp. Le compte était peut-être personnel, mais l’application était ouverte sur un ordinateur professionnel, les messages apparaissaient directement à l’écran et rien ne les identifiait expressément comme privés.
Aucun mot de passe ne permettait à l’employeur d’en déduire qu’ils relevaient de la vie privée de la salariée. La salariée savait que la conversation était personnelle. Rien de visible ne permettait à
l’employeur de le savoir.
Le nom de la plateforme ne suffit pas à trancher.
Une conversation avec un client depuis un compte Teams de l’entreprise paraîtra généralement professionnelle. Un échange privé avec un ami depuis un compte personnel aura, lui, bien plus de chances d’être considéré comme privé.
Les circonstances restent toutefois importantes. Le compte était-il ouvert sur un ordinateur professionnel ? Les messages étaient-ils immédiatement visibles ? Quelque chose indiquait-il qu’ils étaient personnels ? Pour quelle raison l’employeur avait-il accédé à l’appareil ?
Un employeur peut également constater qu’un salarié a consulté un site ou utilisé un service donné sans être autorisé à lire le contenu de ses conversations.
Le droit à la vie privée peut limiter les agissements de l’employeur. Il ne peut pas empêcher un message personnel de surgir sur un écran déverrouillé précisément au pire moment.
Pour toute conversation véritablement sensible, un compte personnel utilisé sur un appareil personnel reste la solution la plus sûre.
Commencez par consulter la charte informatique de l’entreprise, sa notice relative à la protection des données, son règlement intérieur et toute convention collective applicable. Vous pouvez demander quelles informations sont recueillies, pourquoi elles sont nécessaires, qui les reçoit et combien de temps elles sont conservées.
Le règlement général sur la protection des données (RGPD) permet également aux salariés de demander à leur employeur s’il traite des données personnelles les concernant et, si tel est le cas, d’y avoir accès. L’employeur doit en principe répondre dans un délai d’un mois.
La délégation du personnel peut vous aider lorsqu’un nouveau dispositif de surveillance est envisagé ou lorsqu’un système existant paraît excessif. Les salariés qui estiment que leurs droits en matière de protection des données ont été violés peuvent également introduire une réclamation auprès de la CNPD.
Toute personne dont les messages sont déjà invoqués dans le cadre d’une procédure disciplinaire devrait rapidement demander un avis juridique adapté à sa situation. À ce stade, la question n’est plus seulement de savoir si l’employeur a lu les messages, mais s’il avait le droit d’utiliser ce qu’il y a trouvé.
Le droit pose des limites à l’employeur. Encore faut-il ne pas les rendre inutilement difficiles à voir.
Votre employeur est peut-être propriétaire de l’ordinateur. Cela ne signifie pas que toutes les conversations qui s’y trouvent lui appartiennent. Cela signifie tout de même que vous feriez bien de fermer WhatsApp.
