Quels sont les critères d'un contrôle loyal et licite au regard du droit luxembourgeois ?
Réponse courte
Un contrôle est loyal et licite s'il poursuit une finalité légitime, déterminée et explicite, s'il est nécessaire et proportionné au but recherché, conformément à l'évaluation de proportionnalité de la cybersurveillance, et si les salariés ont été informés individuellement et préalablement (article 13 du RGPD). La consultation de la délégation du personnel (article L.414-9) et l'AIPD sont obligatoires lorsque le dispositif présente un risque élevé.
L'employeur doit aussi garantir un encadrement humain des décisions automatisées (article 22 RGPD), restreindre les accès aux données et limiter leur conservation. Le principe d'accountability issu du RGPD applicable en entreprise (article 24) lui impose de pouvoir démontrer la conformité à tout moment via le registre des traitements, l'AIPD et les preuves d'information. À défaut, les preuves sont irrecevables et le dispositif sanctionné.
Définition
Un contrôle loyal et licite est un dispositif de surveillance déployé conformément aux principes cumulatifs posés par le RGPD (article 5), la loi modifiée du 1er août 2018 et l'article L.261-1 du Code du travail luxembourgeois : licéité, loyauté, transparence, finalité limitée, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité.
La loyauté ajoute une exigence éthique au cadre juridique : la surveillance ne doit pas être dissimulée, contournée ni détournée de sa finalité initiale, sous peine d'inopposabilité des preuves recueillies et de sanctions cumulées.
Questions fréquentes
Conditions d’exercice
L'absence d'un seul des critères cumulatifs suffit à qualifier le contrôle d'illicite : il n'existe pas de hiérarchie permettant de compenser un manquement par la satisfaction d'autres critères.
| Critère | Exigence |
|---|---|
| Finalité légitime | Sécurité, protection des biens, prévention des infractions, contrôle ciblé |
| Nécessité | Aucun moyen moins intrusif disponible pour atteindre la finalité |
| Proportionnalité | Périmètre, durée et intensité ajustés à l'objectif poursuivi |
| Information préalable | Notice individuelle écrite article 13 RGPD remise avant déploiement |
| Consultation délégation | Article L.414-9 préalable, procès-verbal conservé |
Modalités pratiques
Le principe d'accountability impose à l'employeur de constituer un dossier complet (AIPD, procès-verbal, notices, registre) qu'il puisse présenter à la première demande de la CNPD ou du tribunal du travail.
| Démarche | Précision |
|---|---|
| AIPD | Obligatoire si risque élevé (article 35 RGPD), documentée et révisée |
| Registre des traitements | Article 30 RGPD : finalité, durée, destinataires, mesures de sécurité |
| Notices individuelles | Article 13 RGPD remises avec accusé de réception |
| Habilitation des accès | Liste nominative restreinte, journalisation des consultations |
| Encadrement humain | Article 22 RGPD pour toute décision automatisée |
| Durée de conservation | 8 jours en principe, 30 jours maximum avec justification (vidéosurveillance) |
| Audit annuel | Réexamen de la pertinence et de la proportionnalité avec la délégation |
Pratiques et recommandations
Documenter la finalité, la nécessité et la proportionnalité de chaque dispositif avant déploiement.
Privilégier des contrôles ciblés et temporaires plutôt que la surveillance permanente et généralisée.
Former les managers à la procédure d'information et à l'application uniforme des dispositifs.
Réviser annuellement la pertinence des dispositifs en place avec la délégation et le DPO.
Saisir la CNPD pour avis préalable en cas de doute sur la conformité d'un dispositif nouveau.
Articuler la charte informatique, les notices individuelles et le registre des traitements pour assurer la cohérence du dispositif.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 du Code du travail | Traitement de données pour surveillance des salariés (loi du 1er août 2018) |
| Art. L.261-2 du Code du travail | Sanctions pénales en cas de violation |
| Art. L.414-9 du Code du travail | Co-décision de la délégation du personnel pour les installations de contrôle |
| Art. L.312-1 du Code du travail | Obligation générale de sécurité au travail |
| Loi modifiée du 1er août 2018 | Protection des personnes à l'égard du traitement des données à caractère personnel |
| Art. 5, 6, 12-13, 22, 24, 30, 32, 35 du RGPD | Principes, licéité, information, encadrement humain, accountability, registre, sécurité, AIPD |
Note
L'accountability inverse la charge de la preuve : à défaut de pouvoir démontrer la conformité, l'employeur est présumé en infraction. Les sanctions cumulent l'amende RGPD (jusqu'à 20 millions € ou 4 % du chiffre d'affaires mondial), la sanction pénale L.261-2 (jusqu'à 1 an d'emprisonnement et 125 000 €) et l'irrecevabilité des preuves devant le tribunal du travail. Toute sanction disciplinaire fondée sur un dispositif illicite est annulable.