Un logiciel qui mesure le temps de connexion des équipes en télétravail, des caméras dans l’entrepôt, la géolocalisation des véhicules de service, l’accès de la direction aux messageries professionnelles : ces dispositifs sont devenus courants, souvent installés sans analyse préalable.
Le 9 juillet 2026, la CNIL a publié une fiche rappelant les conditions dans lesquelles un employeur peut contrôler l’activité de son personnel. Le pouvoir existe, il est légitime, mais il ne s’exerce pas sans limite. Et la surveillance excessive des salariés figure aujourd’hui parmi les principaux motifs de sanction.
Un employeur peut-il contrôler l’activité de ses salariés ?
Oui.
Encadrer l’activité du personnel et l’usage des équipements professionnels relève du pouvoir de direction : c’est une contrepartie normale du contrat de travail, d’autant que l’employeur doit assurer la sécurité des biens et des personnes placés sous sa responsabilité.
La difficulté porte sur la mesure. L’article L. 1121-1 du code du travail interdit les restrictions aux libertés qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché. La Cour de cassation en tire depuis 2001 que le salarié conserve, même sur son lieu et pendant son temps de travail, le droit au respect de l’intimité de sa vie privée. Un usage privé raisonnable des outils professionnels reste donc en principe toléré tant qu’il n’affecte pas la sécurité de l’organisme.
La CNIL pose trois conditions cumulatives : proportionnalité du dispositif, consultation des instances représentatives du personnel, information préalable des personnes. Un dispositif qui n’en respecte que deux est irrégulier.
Comment vérifier qu’un dispositif est proportionné ?
L’analyse se fait au cas par cas, en quatre temps : définir l’objectif du contrôle et son périmètre, identifier les risques pour les personnes, vérifier qu’aucun moyen moins intrusif ne permet d’atteindre le même but, puis déterminer les données strictement nécessaires, leur durée de conservation et les personnes habilitées à y accéder.
Le test décisif est celui du moyen moins intrusif. La CNIL l’illustre par deux cas opposés. Un logiciel enregistrant l’ensemble des touches frappées au clavier d’un salarié en télétravail est disproportionné : il ne distingue pas les informations professionnelles des informations personnelles et place la personne sous surveillance permanente. À l’inverse, un outil transmettant à l’encadrant le nombre de dossiers traités par trimestre paraît proportionné, la fréquence de remontée n’équivalant pas à une surveillance continue.
Retenez le principe : une surveillance constante est en règle générale excessive.
Point de vigilance fréquent en pratique, le détournement de finalité. Géolocaliser des véhicules pour optimiser des tournées est légitime ; se servir du même outil pour contrôler la vitesse de circulation des salariés en temps réel ne l’est pas. Un dispositif installé pour un objectif ne doit pas en poursuivre un autre, dissimulé.
Faut-il consulter le CSE ?
Oui, dans les entreprises de 50 salariés et plus, avant toute mise en œuvre. Dans le secteur public, ce sont les comités sociaux d’administration, territoriaux ou d’établissement qui doivent être saisis.
La CNIL cite un manquement classique : l’installation d’une badgeuse ou d’un système de vidéosurveillance sans consultation préalable du CSE. Lorsqu’un dispositif est déjà déployé sans cette étape, la régularisation suppose de saisir le CSE et de documenter la démarche, étant entendu qu’une consultation a posteriori ne purge pas l’irrégularité passée.
Comment informer les salariés ?
L’information doit être délivrée avant la mise en place du dispositif, au titre des obligations de loyauté et d’information de l’employeur (article L. 1222-4 du code du travail et article 13 du RGPD). Elle porte sur la finalité poursuivie, les données collectées, leur durée de conservation, les destinataires et les droits des personnes.
En pratique, elle se matérialise par une mention d’information dédiée remise aux salariés ou annexée au contrat, complétée selon les cas par une mention au règlement intérieur et, pour les caméras, par un affichage visible à proximité des zones filmées. Une note de service vague ne suffit pas, et l’employeur doit pouvoir prouver que l’information a bien été délivrée avant le déploiement.
Que risque une entreprise ?
Le risque est documenté.
En décembre 2024, la CNIL a sanctionné une société du secteur immobilier d’une amende de 40 000 euros : logiciel comptabilisant les périodes d’inactivité supposée et réalisant des captures d’écran régulières sur les postes des salariés en télétravail, caméras filmant en continu les locaux, image et son compris, y compris dans les espaces de pause. Le montant a tenu compte de la petite taille de la société : les obligations RGPD des PME ne sont pas allégées sur ce terrain.
En septembre 2025, une amende de 100 000 euros a sanctionné des caméras dissimulées dans les réserves d’un grand magasin, malgré une hausse avérée des vols : la surveillance non visible n’est admise que dans des circonstances exceptionnelles strictement encadrées.
Les sanctions CNIL 2026 confirment la tendance. Sur les 23 sanctions prononcées en procédure simplifiée depuis janvier, la vidéosurveillance excessive des salariés figure parmi les trois motifs principaux. Des entreprises de restauration rapide, de transport urbain ou de commerce en gare ont été sanctionnées pour avoir filmé leurs salariés en permanence, en méconnaissance du principe de minimisation.
À anticiper : la CNIL a fait du contrôle de l’activité des personnes employées un axe qui préfigure ses futures attributions d’autorité de surveillance du marché dans le champ du travail au titre du règlement européen sur l’intelligence artificielle. Les outils de suivi de performance et de tri automatisé des candidatures sont concernés : IA RH et RGPD forment désormais un même sujet de conformité. Ces obligations ayant été reportées, l’enjeu est d’anticiper plutôt que de se mettre en conformité dans l’urgence.
Par où commencer ?
- Recenser les dispositifs. Caméras, badgeuses, géolocalisation, logiciels de suivi d’activité, journalisation des connexions, outils de mesure de la productivité. Chacun doit figurer dans le registre des traitements avec sa finalité, sa base légale et sa durée de conservation. Une analyse d’impact (AIPD) est requise lorsque le dispositif conduit à une surveillance systématique à grande échelle ou à une évaluation de la performance des personnes, ce qui vise en pratique la plupart des outils de suivi d’activité.
- Formaliser l’analyse de proportionnalité. Une fiche par dispositif suffit : objectif poursuivi, données collectées, alternatives moins intrusives écartées et motifs de ce choix, durée de conservation, personnes habilitées. C’est ce document qui sera demandé en cas de contrôle.
- Reprendre les étapes manquantes. Vérifier que le CSE a été consulté et que les salariés ont reçu une information écrite préalable. Si ce n’est pas le cas sur un dispositif existant, régulariser sans attendre une plainte.
- Réexaminer chaque année. Un outil proportionné à son installation peut cesser de l’être après une évolution des effectifs, des locaux ou des fonctionnalités du logiciel. Un audit RGPD régulier permet de le détecter à temps.
Contrôler l’activité de ses équipes n’est ni interdit ni suspect. Ce qui expose l’entreprise, c’est un dispositif installé sans objectif défini, sans analyse de proportionnalité, sans consultation du CSE ou sans information préalable.
Les sanctions récentes ne visent pas des technologies exotiques, mais des pratiques ordinaires poussées trop loin : une caméra qui filme en continu un poste de travail, un logiciel qui mesure l’inactivité minute par minute, un outil détourné de sa finalité initiale.
SOURCES :
https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006900785
https://www.cnil.fr/fr/cameras-dissimulees-la-cnil-sanctionne-la-samaritaine
