Réponse courte
L’employeur peut contrôler l’exécution du travail et enquêter sur un manquement, mais tout dispositif doit poursuivre un but légitime, être nécessaire et proportionné. Les salariés doivent en principe être informés avant toute collecte personnelle, et le CSE doit être consulté avant la mise en œuvre d’une technique de contrôle. Le RGPD ajoute finalité déterminée, base légale, minimisation, durée limitée, sécurité, droits et parfois analyse d’impact.
Les messages et fichiers professionnels sont plus accessibles que ceux clairement identifiés comme personnels. Le secret des correspondances et la vie privée subsistent au travail. Une enquête interne sur un harcèlement peut être menée sans confrontation immédiate de la personne mise en cause, mais elle doit être sérieuse, impartiale et ses résultats pourront être débattus devant le juge.
La biométrie est une donnée sensible : elle n’est admissible pour le contrôle d’accès que si une solution moins intrusive ne suffit pas, dans le respect du règlement type contraignant de la CNIL et après AIPD. Les algorithmes RH restent soumis au droit du travail, au RGPD, à la non-discrimination et, selon le cas, au règlement européen sur l’IA.
Depuis l’arrêt d’Assemblée plénière du 22 décembre 2023, une preuve illicite ou déloyale n’est plus automatiquement exclue du procès civil. Elle n’est recevable que si elle est indispensable au droit à la preuve et si l’atteinte est strictement proportionnée. Cette exception contentieuse ne rend pas licite la surveillance clandestine elle-même.
Le test commun : justification, nécessité et proportionnalité
L’ fournit la règle de base :
« justifiées par la nature de la tâche à accomplir [et] proportionnées au but recherché »
—
Avant de déployer vidéo, géolocalisation, journalisation informatique, contrôle des appels, captures d’écran ou métriques de productivité, l’employeur doit définir une finalité précise et vérifier qu’une mesure moins intrusive ne suffit pas. Une surveillance permanente est généralement excessive. La cite notamment le keylogger intégral d’un télétravailleur comme disproportionné et interdit le détournement d’un outil vers un objectif caché.
Trois démarches se cumulent. Premièrement, l’ interdit de collecter personnellement une information par un dispositif non préalablement porté à la connaissance du salarié. Deuxièmement, l’ impose l’information-consultation préalable du CSE sur les techniques contrôlant l’activité, et l’information sur les méthodes de recrutement et traitements automatisés de gestion du personnel. Troisièmement, le RGPD exige base juridique, transparence, minimisation, sécurité, limitation de conservation et respect des droits.
Le consentement du salarié est rarement solide en raison du déséquilibre de la relation. Une AIPD est nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé, notamment en cas de surveillance systématique ou de données sensibles.
Courriels, messageries et fichiers
Les dossiers, fichiers et messages créés sur un outil professionnel sont généralement présumés professionnels s’ils ne sont pas identifiés comme personnels ; l’employeur peut alors y accéder dans les limites de sa finalité et de sa charte informatique. Mais une mention « personnel », « privé » ou une messagerie personnelle appelle une protection renforcée. Le contenu strictement privé ne devient pas fautif par sa seule présence sur un ordinateur de travail.
Dans l’arrêt , la Cour a posé que la vie privée subsiste au temps et au lieu de travail :
« celle-ci implique en particulier le secret des correspondances »
—
La politique interne doit donc expliquer usages permis, contrôles, journaux, destinataires, conservation et droits. L’employeur évite les recherches générales : il circonscrit les comptes, dates et mots-clés aux soupçons documentés, protège les données de tiers et trace les accès. Le secret des affaires, l’obligation de sécurité et une enquête pénale peuvent justifier des mesures ciblées, non une aspiration indiscriminée de toutes les communications.
Enquête interne et faute présumée
Un signalement de harcèlement, fraude, corruption ou fuite peut imposer une enquête rapide. Il faut préserver les preuves, limiter l’équipe aux personnes habilitées, séparer faits et conclusions, écouter les témoins sans représailles, gérer les conflits d’intérêts et assurer une confidentialité réaliste — non promettre un anonymat absolu impossible à garantir.
Une enquête patronale n’est pas un procès. Dans , la chambre sociale a jugé que les droits de la défense n’imposent pas, pendant l’enquête, accès au dossier, confrontation avec les accusateurs ni même audition de la personne mise en cause, dès lors que les éléments fondant la décision pourront ensuite être discutés devant la juridiction. Cela n’autorise ni enquête partiale ni sanction non prouvée : le juge apprécie la valeur du rapport et de ses corroborations.
La prescription disciplinaire, les règles propres aux lanceurs d’alerte, le règlement intérieur et l’autorisation de l’inspecteur du travail pour un salarié protégé doivent être traités séparément. Les données collectées pour l’enquête ne doivent pas devenir un fichier permanent de soupçons.
Biométrie : une exception, non un badge de confort
Les empreintes, gabarits faciaux, iris ou autres caractéristiques utilisées pour identifier une personne sont des données biométriques sensibles au sens de l’article 9 RGPD. Leur traitement est en principe interdit, sauf exception applicable. Pour le contrôle d’accès aux locaux, appareils et applications professionnels, l’employeur français doit respecter le , qui est contraignant.
La biométrie n’est justifiée que pour sécuriser un accès nécessitant un niveau de protection que badge, clé, mot de passe ou authentification multifacteur ne peuvent raisonnablement assurer. L’employeur documente ce besoin, réalise une AIPD, informe les personnes, consulte le CSE, sécurise les gabarits et limite accès et conservation. La CNIL privilégie un gabarit sous maîtrise de la personne sur un support individuel ; tout stockage central ou sous maîtrise exclusive exige une justification renforcée.
Utiliser une empreinte pour un simple pointage de présence, parce que la solution paraît pratique, échoue normalement au test de nécessité. Une base légale RGPD ordinaire ne suffit pas sans satisfaire l’exception de l’article 9 et le cadre français.
Algorithmes, profilage et décisions RH
Un outil de recrutement, notation, planification, détection d’anomalies ou prédiction de départ traite souvent des données personnelles et peut reproduire des discriminations. L’employeur doit tester qualité et pertinence des données, biais, faux positifs, accessibilité, sécurité, explications et contrôle humain. Un fournisseur qui promet une « boîte noire conforme » ne transfère pas la responsabilité de l’employeur.
L’article 22 RGPD donne en principe le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant un effet juridique ou similaire significatif. Les exceptions sont étroites et appellent des garanties, notamment intervention humaine réelle, possibilité d’exprimer son point de vue et de contester. Un humain qui entérine mécaniquement le score ne constitue pas un contrôle effectif.
Au 19 juillet 2026, le chapitre II du est déjà applicable : l’inférence des émotions sur le lieu de travail est interdite, sauf finalité médicale ou de sécurité. Le reste du règlement s’applique en principe à partir du 2 août 2026. Les systèmes d’IA utilisés pour recrutement, décisions de carrière, licenciement, affectation fondée sur le comportement ou suivi/évaluation des travailleurs figurent alors parmi les systèmes à haut risque, sous les qualifications du texte. L’article 26(7) imposera à l’employeur-déployeur d’informer préalablement les représentants et travailleurs concernés, sans réduire les obligations françaises de consultation.
Une preuve clandestine peut-elle tout de même être produite ?
L’admissibilité judiciaire ne doit pas être confondue avec la licéité du procédé. Dans , des enregistrements réalisés à l’insu du salarié avaient été écartés uniquement parce qu’ils étaient déloyaux. La Cour a imposé un contrôle concret :
« indispensable à son exercice » et « strictement proportionnée au but poursuivi »
—
Le juge recherche la légitimité du but, l’existence d’alternatives moins attentatoires, l’étendue et la durée de l’atteinte, les personnes touchées et les garanties. Une preuve peut donc être admise sans que l’employeur échappe à une responsabilité RGPD, pénale, civile ou sociale liée à sa collecte. Inversement, une conversation purement privée sans lien avec les obligations professionnelles ne devient pas un motif disciplinaire simplement parce qu’elle est techniquement accessible.
Conclusion
L’employeur peut contrôler, mais pas placer le personnel sous observation générale. La voie sûre consiste à définir le risque, choisir le moyen le moins intrusif, consulter le CSE, informer les salariés, documenter le RGPD et réserver l’accès aux personnes habilitées. Communications privées, biométrie et décisions automatisées exigent une prudence accrue. Une enquête interne peut rester non contradictoire à son stade initial, mais sa preuve doit être fiable et contestable. Enfin, l’exception de preuve indispensable et proportionnée protège le droit au procès ; elle ne transforme jamais une surveillance clandestine en pratique normale de gestion.
Sources
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.