Droit du travail & RH

Article ancien - Il se peut que les informations et les liens ne soient plus à jour

Contrôle des messageries via un dispositif automatisé : n’oubliez pas la déclaration à la CNIL

Publié le 24/10/2014 à 07:44 par la rédaction des Éditions Tissot dans Relations avec les représentants du personnel.

Avant la mise en place d’un dispositif automatisé permettant la collecte d’informations personnelles, vous devez informer le comité d’entreprise, les salariés. Pensez également à le déclarer auprès de la CNIL ou vous ne pourrez pas vous servir des éléments obtenus, par le biais de ce dispositif, comme preuves dans le cadre d’une sanction disciplinaire.

Mise en place d’un dispositif de contrôle de la messagerie

Vous pouvez mettre en place un système de contrôle de l’utilisation de la messagerie de l’entreprise, ainsi que l’usage d’Internet par vos salariés. Mais attention, cela est soumis à certaines conditions.

Vous devez informer au préalable les salariés (Code du travail, art. L. 1222–4). Le comité d’entreprise est également informé et consulté sur le sujet (Code du travail, art. L. 2323–32).

Ils doivent notamment connaitre la finalité du dispositif du contrôle et la durée pendant laquelle les données seront conservées, comment elles sont archivées, etc.

Ensuite, vous devez déclarer à la CNIL le traitement automatisé de données personnelles que vous souhaitez mettre en oeuvre (ex. : logiciel d’analyse du contenu des messages électroniques entrant ou sortant, destiné au contrôle de l’activité des salariés), sauf si vous avez désigné un correspondant informatique et libertés (CIL).

Cette déclaration doit être effectuée rapidement.

Pas de déclaration à la CNIL = pas de preuve et donc pas de sanction

Si vous n’effectuez pas cette déclaration auprès de la CNIL, vous ne pourrez pas utiliser les éléments obtenus à l’aide de votre dispositif pour sanctionner un salarié.

Une entreprise a mis en place un dispositif automatisé de contrôle des messageries de son personnel. Elle a bien consulté et informé son comité d’entreprise et ses salariés. Le dispositif a été mis en place en octobre mais l’entreprise a tardé pour déclarer son dispositif auprès de la CNIL : déclaration effectuée en décembre. Le problème est qu’elle a licencié une salariée lui reprochant une utilisation excessive de la messagerie électronique à des fins personnelles :

607 courriels sur le mois octobre ;
621 pour le mois de novembre.

La déclaration n’ayant toujours pas été transmise au moment des faits reprochés, l’entreprise ne pouvait pas s’appuyer sur les éléments de preuve collectés grâce à son dispositif pour sanctionner la salariée. Les preuves sont illicites. Les juges ne pourront pas se fonder sur ces éléments pour apprécier si le licenciement a une cause réelle et sérieuse.

Cour de cassation, chambre sociale, 8 octobre 2014, n° 13–14991 (les éléments de preuve obtenus à l’aide d’un système de traitement automatisé d’informations personnelles avant qu’il ne soit déclaré à la CNIL sont illicites et ne peuvent donc pas justifiés une sanction disciplinaire, voire un licenciement)