CNIL - Commission Nationale de l'Informatique et des Libertés

07/09/2026 | Press release | Distributed by Public on 07/09/2026 06:16

Travail, ressources humaines : le contrôle de l’activité des personnes employées

Dans le cadre de son pouvoir de direction, l'employeur doit :

  • vérifier la bonne exécution des tâches confiées aux membres du personnel ;
  • et s'assurer qu'elles sont réalisées dans de bonnes conditions, puisqu'il doit assurer la sécurité des biens et des personnes sous sa responsabilité.

Les dispositifs mis en place dans cet objectif peuvent par exemple concerner : ​

En fonction des technologies utilisées (vidéosurveillance, géolocalisation, écoutes et enregistrements téléphoniques, etc.), des règles particulières peuvent s'appliquer.

Cependant, de manière générale, trois conditions cumulatives s'imposent à l'employeur pour lui permettre d'installer un dispositif de contrôle de l'activité des travailleurs.

À quelles conditions un dispositif de contrôle de l'activité du personnel est-il possible ?

Pour être licite (c'est-à-dire autorisé par la loi), un dispositif de contrôle de l'activité du personnel doit cumulativement :

  • satisfaire aux tests de justification et de proportionnalité ;
  • être soumis aux instances représentatives du personnel selon les règles en vigueur ;
  • être porté à la connaissance des salariés/agents.

Condition n°1 : la justification et la proportionnalité

Le dispositif doit être proportionné à l'objectif poursuivi et ne pas porter d'atteinte excessive aux droits et libertés des personnes, en particulier le droit au respect de leur vie privée.

Le droit au respect de la vie privée se poursuit au travail

L'article L.1121-1 du code du travail dispose que : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. »

De ce principe, la Cour de cassation a tiré depuis 2001 que « le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée ».

Aussi, lorsqu'il met en œuvre un dispositif de contrôle, l'employeur doit chercher un équilibre entre les différents droits, libertés et intérêts en présence (ceux de l'entreprise par rapport ceux des salariés/agents).

Par exemple, un usage privé des outils professionnels est en principe toléré tant qu'il n'affecte pas la sécurité de l'organisme.

Comment s'assurer qu'un dispositif est proportionné ?

  • La mise en balance des droits et intérêts respectifs se fait au cas par cas. Au préalable, l'employeur doit :
    • définir clairement l'objectif du contrôle et son périmètre ;
    • identifier les risques d'atteinte aux droits et libertés des personnes employées.
  • Le dispositif de contrôle doit être nécessaire à l'objectif du contrôle : l'employeur doit ainsi s'assurer qu'il n'existe pas de moyen moins intrusif pour l'atteindre. Cela nécessite notamment de déterminer quelles sont les données strictement nécessaires pour atteindre l'objectif fixé, combien de temps il faut les conserver et quelles personnes peuvent y accéder en raison des missions qui leur sont confiées.
  • Une surveillance constante est excessive : placer les membres du personnel sous surveillance permanente est en général considéré comme une atteinte excessive à leurs droits et libertés.

Exemple d'une exception de surveillance constante non excessive : la géolocalisation permanente d'un véhicule d'urgence afin de permettre l'intervention de l'équipe la plus proche du lieu d'un accident est proportionnée car elle ne sert pas à surveiller la bonne réalisation des tâches des salariés par l'employeur mais à permettre la meilleure réactivité des secours.

Attention : un outil mis en place dans un but ne doit pas poursuivre un autre objectif caché.

Par exemple, un outil de géolocalisation des véhicules opérant une tournée chaque matin chez des clients afin d'optimiser l'organisation ne doit pas servir, de manière dissimulée, à contrôler la vitesse de circulation en temps réel des personnes employées.

Exemple d'un dispositif interdit car disproportionné : un logiciel d'enregistrement de frappe au clavier ou « keylogger » en anglais (dispositif qui enregistre l'ensemble des touches tapées sur un clavier) pour surveiller un salarié ou une salariée en télétravail est disproportionné : il ne permet pas de distinguer les informations professionnelles et personnelles et risque de capter des éléments relevant de leur vie privée tout en les plaçant sous une surveillance constante.

Exemple d'un dispositif proportionné : un logiciel qui compte et transmet à l'encadrant (de façon transparente) le nombre de dossiers traités par trimestre par salarié/agent semble proportionné car la fréquence de la remontée d'information n'est pas assimilable à une surveillance constante. En outre, la productivité peut varier en raison de facteurs externes légitimes et peut parfois diminuer sur des courtes durées : il est donc plus cohérent de la mesurer sur des périodes plus longues qui seront plus représentatives du travail fourni.

Condition n°2 : la consultation des instances représentatives du personnel (dans les entreprises de plus de 50 salariés et plus et les institutions)

Avant toute mise en œuvre d'un dispositif de surveillance, dans le cadre du dialogue social, l'employeur doit consulter :

  • le conseil social et économique (CSE) dans les entreprises privées de 50 salariés et plus, les établissements publics à caractère industriel et commercial et les établissements publics à caractère administratif lorsqu'ils emploient du personnel dans les conditions du droit privé ;
  • le comité social d'administration, territorial ou d'établissement (CSA, CST et CSE) ou leurs formations spécialisées dans les organismes publics.

Exemple de mise en oeuvre illicite : l'installation d'une badgeuse ou de système de vidéosurveillance des salariés sans consultation préalable du CSE dans une entreprise de 50 salariés ou plus.

Condition n°3 : l'information des personnes

Le dispositif doit être porté à la connaissance des personnes concernées, préalablement à sa mise en place, pour satisfaire aux obligations de loyauté et d'information qui incombent à l'employeur.

Le contrôle d'activité doit toujours être mis en place avec précaution : la situation peut varier, à la fois d'un organisme ou d'un poste à un autre, mais également dans le temps.

Aussi, il convient de vérifier la conformité de chaque dispositif avant toute installation ou changement et d'en adapter systématiquement les modalités.

L'employeur doit pouvoir prouver le respect de ces conditions. Notamment, il est important de détailler les étapes de l'analyse de nécessité et de proportionnalité, le cycle de vie des données traitées ainsi que les mesures prises par le responsable de traitement pour l'information et l'exercice des droits des salariés concernés. Au-delà de prouver sa conformité à la règlementation en matière de protection des données, et indirectement au code du travail, cela permet de réévaluer facilement la situation en cas de changement.

Quels recours ?

Si un dispositif installé par l'employeur et collectant des données personnelles ne respecte pas ces règles, vous pouvez saisir :

  • la CNIL pour toute atteinte à la protection de vos données personnelles dans le cadre des dispositifs de surveillance de l'activité. Cela peut notamment concerner la collecte, l'utilisation, la conservation ou la sécurisation des données issues de ces dispositifs ;
  • les services de l'inspection du travail, notamment compétente pour le harcèle­ment moral au travail ;
  • les services de la préfecture, s'il s'agit de caméras filmant des lieux ouverts au public ;
  • les services de police ou de gendarmerie ou le procureur de la République si les faits sont susceptibles de constituer une infraction pénale.

La CNIL contrôle et sanctionne régulièrement des organismes qui procèdent à des contrôles illicites de l'activité du personnel.

CNIL - Commission Nationale de l'Informatique et des Libertés published this content on July 09, 2026, and is solely responsible for the information contained herein. Distributed via Public Technologies (PUBT), unedited and unaltered, on July 09, 2026 at 12:16 UTC. If you believe the information included in the content is inaccurate or outdated and requires editing or removal, please contact us at [email protected]