L’employeur ne traite les données de ses salariés que pour une finalité légitime, de façon transparente et proportionnée, sous le contrôle du juge et de la CNIL

Nul ne peut apporter aux libertés des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché, et aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (articles L.1121-1 et L.1222-4 du code du travail). Le RGPD exige une finalité explicite, la minimisation des données, une base légale et une information précise (articles 5, 6 et 13 du RGPD).

Dans les entreprises d’au moins cinquante salariés, le CSE est informé et consulté, avant la décision de mise en œuvre, sur les moyens permettant un contrôle de l’activité des salariés (article L.2312-38 du code du travail). Sous l’empire des textes alors applicables, la chambre sociale a jugé illicite, faute d’information des salariés et de consultation des représentants du personnel, la preuve tirée d’une vidéosurveillance de sécurité utilisée pour contrôler une salariée (Cour de cassation, chambre sociale, 10 novembre 2021, n°20-12.263, publié au Bulletin). Depuis le revirement du 22 décembre 2023, cette illicéité ne suffit plus à écarter la preuve : dans la même affaire, sur renvoi, les enregistrements ont été déclarés recevables (Cour de cassation, chambre sociale, 14 février 2024, n°22-23.073, publié au Bulletin).

Pour aller plus loin : Vidéosurveillance au travail : conditions et preuve.

Selon la CNIL, une surveillance permanente des salariés ne peut intervenir que dans des circonstances exceptionnelles, tenant par exemple à la nature de la tâche à accomplir (CNIL, délibération n° SAN-2024-021 du 19 déc. 2024). La chambre sociale a approuvé une cour d’appel ayant jugé inopposables à un cuisinier travaillant seul, soumis à la surveillance constante d’une caméra, les enregistrements issus d’un dispositif attentatoire à sa vie personnelle et disproportionné au but de sécurité allégué (Cour de cassation, chambre sociale, 23 juin 2021, n°19-13.856, publié au Bulletin), solution antérieure au revirement du 22 décembre 2023, depuis lequel l’illicéité n’emporte plus à elle seule le rejet de la preuve.

La CNIL a sanctionné une société dont deux caméras filmaient des salariés en continu, y compris pendant leurs pauses, en rappelant qu’une surveillance permanente suppose des circonstances exceptionnelles (CNIL, délibération n° SAN-2024-021 du 19 déc. 2024). Documenter la finalité et l’orientation de chaque caméra protège l’employeur ; un poste filmé en continu fournit au salarié un argument sérieux.

Pour aller plus loin : Vidéosurveillance au travail : conditions et preuve.

La géolocalisation ne contrôle licitement la durée du travail que si ce contrôle ne peut être fait par un autre moyen ; elle est injustifiée pour un salarié libre d’organiser son travail et limitée aux finalités annoncées (Cour de cassation, chambre sociale, 3 novembre 2011, n°10-18.036, publié au Bulletin). Cette subsidiarité joue même si l’autre moyen est moins efficace (Cour de cassation, chambre sociale, 18 mars 2026, n°24-18.976, publié au Bulletin), et le dispositif ne peut localiser le conducteur hors du temps de travail (Cour de cassation, chambre sociale, 14 février 2024, n°21-19.802, inédit.

L’arrêt de 2026 valide cependant le boîtier activé par des distributeurs de prospectus dont l’autonomie se réduisait au choix des horaires, faute de tout autre moyen de contrôle objectif, fiable et accessible, solution d’espèce qui ne saurait, à notre avis, être étendue à des salariés réellement libres d’organiser leur activité. Pour le salarié, le détournement de finalité rend illicites le dispositif et la preuve qui en est tirée (Cour de cassation, chambre sociale, 14 février 2024, n°21-19.802, inédit, arrêt inédit, qui ne se prononce pas sur l’admission de la preuve au titre du droit à la preuve) ; dans l’affaire de 2011, la Cour a approuvé les juges du fond d’avoir déduit que cette utilisation illicite constituait un manquement suffisamment grave justifiant la prise d’acte.

Pour aller plus loin : Géolocalisation des salariés et durée du travail.

L’accord ou la charte de télétravail fixe les modalités de contrôle du temps de travail, le télétravailleur ayant les mêmes droits que le salarié présent dans les locaux (article L.1222-9 du code du travail). Dans la délibération précitée (amende de 40 000 euros), la CNIL a aussi retenu un logiciel décomptant l’inactivité au clavier et prenant des captures d’écran périodiques, jugées disproportionnées, comme les enregistreurs de frappe, sauf circonstances exceptionnelles que le télétravail ne constitue pas.

Le Conseil d’État raisonne indicateur par indicateur : il a jugé, à propos d’Amazon France Logistique, qu’un indicateur d’inactivité des scanners émis au-delà de dix minutes consécutives, sans vocation à régir les pauses, ne portait pas une atteinte excessive à la vie privée, tout en confirmant le manquement tiré de leur conservation indifférenciée pendant 31 jours, l’amende étant ramenée à 15 millions d’euros (CE, 23 déc. 2025, n°492830). Chaque indicateur doit être justifié, y compris dans sa durée de conservation.

Pour aller plus loin : Télétravail : contrôler l'activité sans surveillance abusive.

Le traitement de données biométriques aux fins d’identifier une personne physique de manière unique est interdit par principe (article 9, § 1 du RGPD). L’employeur n’y recourt que pour les données strictement nécessaires au contrôle de l’accès aux lieux de travail, appareils et applications professionnels, conformément au règlement type de la CNIL (article 44 de la loi n°78-17 du 6 janvier 1978), qui exige de démontrer l’insuffisance d’un badge, une analyse d’impact et un dispositif alternatif (CNIL, délibération n°2019-001 du 10 janv. 2019).

Le contrôle des horaires n’en fait pas partie : la CNIL juge excessive une pointeuse à empreinte ou à reconnaissance faciale au regard du principe de minimisation. L’employeur s’expose aussi à la discussion de ses relevés, tout enregistrement automatique des heures devant être fiable et infalsifiable (article L.3171-4 du code du travail). Sanctionner le salarié qui refuse un dispositif irrégulier paraît difficile, sans que la Cour de cassation se soit, à notre connaissance, prononcée.

Pour aller plus loin : Badgeuse biométrique au travail : ce que dit le droit.

Les courriels envoyés ou reçus avec l’outil informatique professionnel sont présumés professionnels : l’employeur peut les ouvrir hors la présence du salarié, sauf s’ils sont identifiés comme personnels (Cour de cassation, chambre sociale, 26 juin 2012, n°11-15.310, publié au Bulletin). Le salarié conserve toutefois au travail le droit au respect de l’intimité de sa vie privée et au secret des correspondances, même si l’employeur a interdit tout usage non professionnel de l’ordinateur (article 9 du code civil ; Cour de cassation, chambre sociale, 2 octobre 2001, n°99-42.942, publié au Bulletin).

Sauf risque ou événement particulier, les fichiers identifiés comme personnels ne s’ouvrent qu’en présence du salarié ou celui-ci dûment appelé (Cour de cassation, chambre sociale, 17 mai 2005, n°03-40.017, publié au Bulletin), et la messagerie personnelle reste couverte par le secret des correspondances (Cour de cassation, chambre sociale, 26 janvier 2016, n°14-15.360, publié au Bulletin). Dans l’arrêt de 2012, le règlement intérieur exigeait en outre la présence du salarié pour consulter sa messagerie : la preuve recueillie en son absence a été jugée irrecevable, solution antérieure au revirement du 22 décembre 2023 : l’illicéité ouvre désormais le contrôle d’indispensabilité et de proportionnalité, sans emporter à elle seule le rejet.

Pour aller plus loin : Messagerie et fichiers du salarié : contrôle de l'employeur.

La charte qui crée des obligations générales et permanentes de discipline ou de sécurité est une adjonction au règlement intérieur, soumise au même régime (article L.1321-5 du code du travail) : avis du CSE, publicité, communication à l’inspecteur du travail et entrée en vigueur un mois après la publicité (article L.1321-4 du code du travail). Une sanction autre que le licenciement ne peut être prononcée par l’employeur tenu d’établir un règlement intérieur que si celui-ci la prévoit (Cour de cassation, chambre sociale, 23 mars 2017, n°15-23.090, publié au Bulletin, rendu sous le seuil alors applicable de vingt salariés, porté à cinquante depuis le 1er janv. 2020 : article L.1311-2 du code du travail) ; une charte adoptée sans ces formalités risque d’être jugée inopposable, ce qui fragilise, à notre avis, les sanctions fondées sur la seule méconnaissance de ses prescriptions.

La méconnaissance de la charte n’empêche pas le juge d’apprécier la proportionnalité de la sanction (Cour de cassation, chambre sociale, 29 mai 2024, n°22-19.832, inédit. Elle est l’outil naturel pour encadrer les IA génératives grand public, sur lesquelles nous n’avons identifié aucun arrêt de la Cour de cassation. La copie, sur des clés USB personnelles, de fichiers sensibles auxquels la salariée n’avait pas accès a pu justifier une faute grave, la Cour approuvant l’appréciation des juges du fond (Cour de cassation, chambre sociale, 25 septembre 2024, n°23-13.992, publié au Bulletin, dont l’apport publié porte sur l’admission de la preuve au titre du droit à la preuve), alors que le transfert d’un courriel confidentiel vers une adresse personnelle, sans diffusion ni rappel antérieur, n’a pas constitué une cause réelle et sérieuse (Cour de cassation, chambre sociale, 9 avril 2025, n°24-12.055, inédit.

Pour aller plus loin : Charte informatique : opposabilité et sanctions ; IA générative au travail : confidentialité et sanctions.

Dans les entreprises d’au moins cinquante salariés, le CSE est consulté sur l’introduction de nouvelles technologies (article L.2312-8 du code du travail) ; un juge des référés a suspendu sous astreinte, dans cette attente, le déploiement de logiciels de gestion des compétences recourant à l’IA (TJ Nanterre, réf., 29 janv. 2026, n°25/02856). Candidats et salariés sont informés au préalable des méthodes de recrutement ou d’évaluation utilisées à leur égard, qui doivent être pertinentes au regard de la finalité poursuivie (articles L.1221-8 et L.1222-3 du code du travail).

Nul ne peut faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative, et, lorsqu’une telle décision est admise parce qu’elle est nécessaire au contrat ou fondée sur le consentement explicite de la personne, celle-ci doit au moins pouvoir obtenir une intervention humaine (article 22 du RGPD). Le règlement (UE) 2024/1689 range les systèmes de recrutement et d’évaluation parmi les systèmes à haut risque. En l’état des textes au 18 septembre 2026, et après le report opéré par le règlement (UE) 2026/1744, les obligations correspondantes des déployeurs s’appliqueront à compter du 2 décembre 2027, date à revérifier avant tout projet.

Pour aller plus loin : Outils RH et IA : consulter le CSE et informer les salariés.

Le RGPD ne fixe aucune durée chiffrée : les données ne sont conservées que le temps nécessaire à leur finalité (article 5 du RGPD). Les textes imposent cinq ans après le départ pour le registre unique du personnel (article R.1221-26 du code du travail), cinq ans pour le double des bulletins de paie (article L.3243-4 du code du travail), un an (ou la durée de la période de référence si elle excède l’année) pour les décomptes d’heures et trois ans pour ceux des forfaits en jours (article D.3171-16 du code du travail).

L’archivage se cale ensuite sur les prescriptions : deux ans pour l’exécution du contrat, douze mois pour la rupture (article L.1471-1 du code du travail), trois ans pour les salaires (article L.3245-1 du code du travail), cinq ans à compter de sa révélation pour la discrimination (article L.1134-5 du code du travail). En cas de litige sur les heures supplémentaires, il appartient au salarié de présenter des éléments suffisamment précis, afin que l’employeur, qui assure le contrôle des heures effectuées, puisse y répondre utilement en produisant ses propres éléments (Cour de cassation, chambre sociale, 18 mars 2020, n°18-10.919, publié au Bulletin) : purger les relevés dès l’expiration du délai d’un an prive l’employeur, à notre avis, des pièces nécessaires à cette réponse pendant toute la durée de la prescription triennale. Une sanction de plus de trois ans ne peut plus être invoquée à l’appui d’une nouvelle (article L.1332-5 du code du travail).

Pour aller plus loin : Conservation des données RH : durées et dossier du salarié.

Tout salarié, même parti, peut obtenir l’accès à ses données et une copie (article 15 du RGPD), dans un délai d’un mois prolongeable de deux mois si l’employeur l’en informe dans le premier mois (article 12 du RGPD), sans avoir à motiver sa demande (CJUE, 26 oct. 2023, C-307/22). L’employeur ne peut refuser d’y donner suite que s’il démontre, à titre exceptionnel, qu’elle est manifestement infondée ou excessive, ce qui couvre la demande introduite dans une intention abusive, fût-elle la première (CJUE, 19 mars 2026, C-526/24). Les courriels qu’il a émis ou reçus sur sa messagerie professionnelle sont des données personnelles dont l’employeur fournit les métadonnées et le contenu, sauf atteinte aux droits et libertés d’autrui (Cour de cassation, chambre sociale, 18 juin 2025, n°23-19.022, publié au Bulletin).

Les droits des tiers et le secret des affaires justifient des modalités de communication qui les préservent, non un refus de toute communication (CJUE, 4 mai 2023, C-487/21). Faute de réponse, le salarié peut saisir la CNIL. Pour être indemnisé, il doit établir le dommage que la violation lui a causé, la simple méconnaissance du RGPD n’ouvrant pas, à elle seule, droit à réparation (Cour de cassation, chambre sociale, 24 juin 2026, n°24-22.792, publié au Bulletin).

Pour aller plus loin : Droit d'accès RGPD du salarié : courriels, délai, limites.

Depuis le 22 décembre 2023, une preuve illicite ou déloyale n’est plus écartée d’office : le juge, lorsque cela lui est demandé, l’admet si sa production est indispensable à l’exercice du droit à la preuve et l’atteinte strictement proportionnée (Cour de cassation, assemblée plénière, 22 décembre 2023, n°20-20.648, publié au Bulletin). Face à une surveillance, il vérifie les raisons concrètes du contrôle, l’absence de moyen plus respectueux de la vie personnelle, puis la proportionnalité de l’atteinte (Cour de cassation, chambre sociale, 14 février 2024, n°22-23.073, publié au Bulletin).

L’enregistrement clandestin, procédé déloyal, suit cette grille, qu’il émane du salarié ou de l’employeur. Il est écarté lorsque d’autres pièces suffisent (Cour de cassation, chambre sociale, 17 janvier 2024, n°22-17.474, publié au Bulletin), mais le juge doit rechercher s’il était indispensable à la preuve des pressions alléguées (Cour de cassation, chambre sociale, 10 juillet 2024, n°23-14.900, publié au Bulletin). Pénalement, l’enregistrement de propos relevant de la seule activité professionnelle a été jugé étranger à l’atteinte à l’intimité de la vie privée (article 226-1 du code pénal ; Cour de cassation, chambre criminelle, 12 avril 2023, n°22-83.581, inédit.

Pour aller plus loin : Preuve illicite ou déloyale devant le juge prud'homal ; Enregistrement clandestin par un salarié : quelle preuve ?.

Le même jour, l’assemblée plénière a jugé qu’une conversation privée non destinée à être rendue publique ne peut constituer un manquement aux obligations découlant du contrat de travail : le licenciement disciplinaire qu’elle fonde est insusceptible d’être justifié, et le droit à la preuve de l’employeur est inopérant (Cour de cassation, assemblée plénière, 22 décembre 2023, n°21-11.330, publié au Bulletin). Le licenciement fondé, même en partie, sur le contenu de messages personnels émis avec l’outil professionnel est nul (Cour de cassation, chambre sociale, 25 septembre 2024, n°23-11.860, publié au Bulletin).

La protection cède lorsque le contenu se rattache à l’activité, comme des SMS dénigrants envoyés du téléphone professionnel, retenus au soutien d’une procédure disciplinaire bien qu’ils n’aient pas été destinés à être rendus publics (Cour de cassation, chambre sociale, 11 décembre 2024, n°23-20.716, publié au Bulletin), ou lorsqu’une publication sur un compte privé viole une clause de confidentialité (Cour de cassation, chambre sociale, 30 septembre 2020, n°19-12.058, publié au Bulletin). L’employeur qualifie donc le message avant d’agir ; le salarié démontre le caractère privé de l’échange.

Pour aller plus loin : Messages privés, réseaux sociaux et licenciement.