Un logiciel de surveillance peut-il être installé à distance sans prévenir le salarié ?
Réponse courte
Non : l'installation à distance d'un logiciel de surveillance, comparable à un keylogger, sans information préalable du salarié est strictement illicite au Luxembourg. L'employeur doit informer individuellement chaque salarié concerné par écrit avant le déploiement (articles 12-13 RGPD, L.261-1) et consulter la délégation du personnel (article L.414-9). Une analyse d'impact sur la protection des données est obligatoire si le risque pour les salariés est élevé.
L'installation clandestine constitue une violation pénale (L.261-2 : 8 jours à 1 an d'emprisonnement et amende de 251 € à 125 000 €) et administrative (jusqu'à 20 millions € ou 4 % du chiffre d'affaires mondial). Les preuves recueillies sont irrecevables devant le tribunal du travail et toute sanction disciplinaire fondée sur ces données est annulable.
Définition
L'installation à distance d'un logiciel de surveillance désigne le déploiement, sans intervention physique sur le poste, d'un programme permettant de collecter des données sur l'activité du salarié : courriels, navigation, frappes clavier, captures d'écran, applications utilisées, géolocalisation.
Cette opération constitue un traitement de données à caractère personnel d'une intensité particulière, soumis aux articles 5, 6, 13, 32 et 35 du RGPD ainsi qu'à l'article L.261-1 du Code du travail. Elle relève systématiquement de la cybersurveillance au sens des lignes directrices CNPD.
Questions fréquentes
Conditions d’exercice
L'installation clandestine d'un logiciel de surveillance n'est jamais admise, même en cas de soupçon grave : la procédure régulière (information, consultation, AIPD) doit être respectée préalablement.
| Condition | Exigence |
|---|---|
| Information préalable | Notice individuelle écrite avant le déploiement (article 13 RGPD) |
| Consultation délégation | Article L.414-9 préalable, procès-verbal conservé |
| AIPD | Obligatoire pour un dispositif intrusif (article 35 RGPD) |
| Finalité légitime | Sécurité des systèmes, lutte contre la fraude, protection des données |
| Proportionnalité | Aucun moyen moins intrusif disponible, périmètre justifié |
Modalités pratiques
Toute décision automatisée fondée sur les données collectées (alerte de productivité, blocage d'accès) doit faire l'objet d'une intervention humaine au titre de l'article 22 du RGPD.
| Démarche | Précision |
|---|---|
| Notice individuelle | Article 13 RGPD : finalité, données, durée, destinataires, droits |
| Consultation de la délégation | Article L.414-9, préalable au déploiement |
| AIPD | Documentée et révisée à chaque modification (article 35 RGPD) |
| Charte informatique | Précise les outils utilisés et leur finalité |
| Registre des traitements | Description complète du logiciel et de ses finalités |
| Habilitation des accès | Liste nominative restreinte des personnes pouvant consulter les données |
| Encadrement humain | Article 22 RGPD pour toute décision automatisée |
Pratiques et recommandations
Documenter rigoureusement la procédure d'information, de consultation et d'AIPD avant tout déploiement.
Privilégier des outils ciblés et temporaires plutôt qu'un monitoring permanent et généralisé.
Restreindre les accès aux données collectées à un nombre minimal de personnes habilitées.
Définir une durée de conservation strictement limitée à la finalité (quelques mois maximum).
Désactiver la collecte sur les espaces marqués comme personnels par le salarié.
Auditer annuellement la pertinence et la proportionnalité du dispositif avec la délégation et le DPO.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 du Code du travail | Traitement de données pour surveillance des salariés (loi du 1er août 2018) |
| Art. L.261-2 du Code du travail | Sanctions pénales en cas de violation |
| Art. L.414-9 du Code du travail | Co-décision de la délégation du personnel pour les installations de contrôle |
| Loi modifiée du 1er août 2018 | Protection des personnes à l'égard du traitement des données à caractère personnel |
| Art. 5, 6, 13, 22, 32, 35 du RGPD | Principes, licéité, information, décision automatisée, sécurité, AIPD |
| Lignes directrices CNPD | Cybersurveillance sur le lieu de travail |
Note
L'installation clandestine est une circonstance aggravante en cas de contentieux : la sanction RGPD se cumule avec la sanction pénale (L.261-2) et l'inopposabilité des preuves. La bonne foi de l'employeur n'exonère pas en cas de défaut d'information. La régularisation a posteriori ne purge pas la violation initiale.