L'employeur peut-il auditer les boîtes mails archivées des salariés ?
Réponse courte
L'audit des boîtes mails archivées est licite sous conditions strictes : finalité légitime documentée (sécurité, contentieux, continuité d'activité), information préalable des salariés via la charte informatique et notice individuelle, et proportionnalité de l'opération. L'employeur ne peut pas accéder librement aux courriers : il doit cibler les messages professionnels selon les règles de surveillance des courriels.
Les messages identifiés comme "personnel" sont protégés par le secret des correspondances et ne peuvent être ouverts qu'en présence du salarié, d'un délégué ou sur autorisation judiciaire en cas de risque grave avéré, comme pour toute analyse de la messagerie professionnelle. Une AIPD est requise si l'audit est systématique. Toute consultation doit être journalisée et limitée aux personnes habilitées.
Définition
L'audit des boîtes mails archivées désigne l'opération par laquelle l'employeur consulte les courriels professionnels stockés dans les archives électroniques d'un salarié, à des fins de sécurité, de contentieux, de continuité d'activité ou de conformité.
Cette opération constitue un traitement de données à caractère personnel soumis au RGPD et à l'article L.261-1 du Code du travail, et touche à la protection du secret des correspondances garanti par la Constitution et la jurisprudence européenne (CEDH, Bărbulescu c. Roumanie).
Questions fréquentes
Conditions d’exercice
Le marquage explicite "personnel" ou "privé" par le salarié protège le message de la consultation par l'employeur, même sur la messagerie professionnelle ; à défaut, le message est présumé professionnel.
| Condition | Exigence |
|---|---|
| Finalité légitime | Sécurité, contentieux, continuité d'activité, conformité documentée par écrit |
| Information préalable | Charte informatique et notice individuelle (article 13 RGPD) |
| Distinction pro/perso | Messages marqués "personnel" exclus, sauf risque grave et procédure encadrée |
| Proportionnalité | Audit ciblé, périmètre justifié, durée limitée |
| Présence du salarié | Pour l'accès aux messages personnels en cas de risque grave |
Modalités pratiques
L'audit hors la présence du salarié est admis pour les messages clairement professionnels ; pour les messages marqués personnels, la présence du salarié, d'un délégué ou un huissier devient nécessaire.
| Démarche | Précision |
|---|---|
| Charte informatique | Document écrit communiqué et signé précisant les conditions d'audit |
| Notice individuelle | Information article 13 RGPD remise à chaque salarié |
| Consultation de la délégation | Article L.414-9 lorsque l'audit est systématique |
| AIPD | Obligatoire si audit systématique (article 35 RGPD) |
| Procédure documentée | Date, motif, périmètre, personnes présentes, données consultées |
| Présence du tiers | Délégué du personnel ou huissier pour les messages personnels |
| Habilitation | Liste nominative restreinte avec journalisation des accès |
Pratiques et recommandations
Définir dans la charte informatique les modalités précises d'audit, les motifs admis et la procédure en cas de message personnel.
Cibler strictement les messages susceptibles de contenir l'information recherchée, en évitant la consultation exhaustive.
Documenter chaque opération d'audit (date, motif, périmètre, intervenants, données consultées) au registre des traitements.
Respecter le marquage "personnel" et solliciter la présence du salarié ou d'un délégué pour les messages identifiés comme privés.
Limiter la durée de conservation des résultats d'audit à la durée nécessaire à la finalité.
Encadrer la sortie d'un salarié par une procédure d'audit prédéfinie incluant l'extraction des messages strictement professionnels.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 du Code du travail | Traitement de données pour surveillance des salariés (loi du 1er août 2018) |
| Art. L.261-2 du Code du travail | Sanctions pénales en cas de violation |
| Art. L.414-9 du Code du travail | Co-décision de la délégation du personnel pour les installations de contrôle |
| Loi modifiée du 1er août 2018 | Protection des personnes à l'égard du traitement des données à caractère personnel |
| Art. 5, 6, 13, 32, 35 du RGPD | Principes, licéité, information, sécurité, AIPD |
| Art. 11(3) de la Constitution + Art. 8 CEDH | Respect de la vie privée et secret des correspondances |
Note
L'accès aux messages identifiés comme personnels sans procédure encadrée est une atteinte au secret des correspondances, sanctionnée pénalement et civilement. La preuve obtenue est irrecevable, et le salarié peut obtenir des dommages et intérêts. La jurisprudence Bărbulescu c. Roumanie (CEDH, 2017) impose une information précise et préalable avant tout audit de la messagerie professionnelle.