L'employeur peut-il contrôler l'activité numérique des salariés ?
Réponse courte
Oui, mais uniquement dans le cadre strict de l'article L.261-1 du Code du travail : le traitement de données à des fins de surveillance des salariés n'est licite que s'il repose sur l'une des bases juridiques de l'article 6 du RGPD et respecte la procédure légale d'information préalable. L'employeur doit informer au préalable la délégation du personnel ou, à défaut, l'ITM, ainsi que les salariés concernés, en décrivant la finalité, les modalités et la durée de conservation.
Pour trois finalités — sécurité et santé, contrôle de la production ou des prestations lorsque c'est le seul moyen de déterminer le salaire exact, horaire mobile — le régime de codécision s'applique : dans les entreprises d'au moins 150 salariés, l'installation de dispositifs de contrôle exige un commun accord avec la délégation (art. L.414-9). La délégation ou les salariés peuvent saisir la CNPD pour avis préalable, avec effet suspensif.
Définition
La surveillance des salariés au sens de l'article L.261-1 recouvre tout traitement de données à caractère personnel destiné à suivre l'activité des salariés dans le cadre de la relation de travail : contrôle des connexions et de la messagerie professionnelle, géolocalisation, vidéosurveillance, journalisation des accès ou outils d'analyse de la productivité. Ce texte, issu de la loi du 1er août 2018, articule le droit du travail luxembourgeois avec le RGPD.
Le contrôle n'est jamais un droit discrétionnaire : il suppose une base juridique valable, une finalité explicite et proportionnée, et un engagement formel de ne pas utiliser les données à une autre fin que celle annoncée. La délégation du personnel joue un rôle central de contre-pouvoir, depuis l'information préalable jusqu'à la saisine de la CNPD.
Conditions d’exercice
La licéité du dispositif repose sur des conditions cumulatives de fond et de procédure.
| Condition | Exigence légale |
|---|---|
| Base juridique | Une des hypothèses de l'article 6, paragraphe 1, lettres a) à f) du RGPD (art. L.261-1) |
| Information préalable collective | Délégation du personnel ou, à défaut, ITM, avec description détaillée de la finalité, des modalités et de la conservation |
| Information des salariés | Droit à l'information de la personne concernée, préservé par le RGPD |
| Engagement de finalité | Engagement formel de non-utilisation des données à une autre fin que celle annoncée |
| Codécision à partir de 150 salariés | Commun accord avec la délégation pour les dispositifs de contrôle liés à la sécurité-santé, à la détermination du salaire ou à l'horaire mobile (art. L.414-9) |
Modalités pratiques
La procédure d'avis préalable devant la CNPD et les droits des salariés encadrent la mise en oeuvre du dispositif.
| Aspect | Règle applicable |
|---|---|
| Saisine de la CNPD | Demande d'avis préalable par la délégation ou, à défaut, les salariés, dans les 15 jours de l'information préalable ; effet suspensif |
| Délai de l'avis | La CNPD rend son avis dans le mois de la saisine |
| Réclamation individuelle | Tout salarié peut introduire une réclamation auprès de la CNPD ; elle ne constitue ni un motif grave ni un motif légitime de licenciement (art. L.261-1) |
| Documentation RGPD | Registre des traitements, analyse d'impact le cas échéant, durées de conservation définies |
| Accès aux données | Limitation aux personnes habilitées, traçabilité des consultations |
Pratiques et recommandations
Formaliser une charte d'utilisation des outils numériques annexée au règlement intérieur, précisant les usages autorisés, les contrôles opérés et leurs finalités.
Proportionner chaque dispositif à sa finalité déclarée : une surveillance permanente et généralisée des communications excède ce que permet l'article L.261-1 et fragilise toute preuve recueillie.
Consigner la preuve de l'information préalable de la délégation et des salariés avant l'activation du moindre outil de contrôle, cette antériorité conditionnant la licéité du traitement.
Auditer régulièrement les paramétrages des outils SIRH et de digitalisation RH, les modules de suivi d'activité pouvant activer une surveillance non déclarée.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 du Code du travail | Conditions de licéité de la surveillance des salariés, information préalable, saisine de la CNPD |
| Art. L.414-9 du Code du travail | Commun accord obligatoire sur les installations techniques de contrôle dans les entreprises d'au moins 150 salariés |
| Règlement (UE) 2016/679 (RGPD) | Bases juridiques, principes de finalité, minimisation et droits des personnes |
| Loi du 1er août 2018 | Organisation de la CNPD et mise en oeuvre du RGPD en droit luxembourgeois |
Note
Un dispositif de surveillance irrégulier expose l'employeur à des sanctions de la CNPD et à l'écartement des preuves obtenues en cas de litige devant le tribunal du travail. La réclamation d'un salarié auprès de la CNPD est expressément protégée : elle ne peut fonder aucun licenciement. La sécurité juridique passe par l'information préalable, la proportionnalité et la documentation du dispositif.