CNIL, 9 juillet 2026 : les conditions du contrôle d’activité

Les trois conditions cumulatives

La CNIL rappelle qu’un employeur a le pouvoir d’encadrer et de contrôler l’activité du personnel et l’usage des équipements, mais qu’il ne peut l’exercer de manière excessive. Les trois conditions s’appliquent ensemble.

• Justification et proportionnalité. La CNIL cite l’article L. 1121-1 du code du travail : nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Elle rappelle que, depuis 2001, la Cour de cassation juge que le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée.
• Instances représentatives. L’employeur consulte avant la mise en œuvre le comité social et économique dans les entreprises privées de 50 salariés et plus, ou, dans les organismes publics, le comité social d’administration, territorial ou d’établissement ou leurs formations spécialisées.
• Information des personnes. Le dispositif est porté à leur connaissance avant sa mise en place, au titre des obligations de loyauté et d’information.

Proportionnalité : les exemples de la CNIL

L’employeur doit définir l’objectif et le périmètre du contrôle, identifier les risques d’atteinte aux droits, et vérifier qu’aucun moyen moins intrusif n’atteint le même but. Cela suppose de déterminer les données strictement nécessaires, leur durée de conservation et les personnes qui peuvent y accéder. La CNIL juge en général excessive la surveillance permanente, sauf exception comme la géolocalisation d’un véhicule d’urgence. Elle donne des exemples : un enregistreur de frappe (keylogger) sur le poste d’un salarié en télétravail est disproportionné, alors qu’un logiciel qui transmet de façon transparente le nombre de dossiers traités par trimestre semble proportionné. Elle précise aussi qu’un usage privé des outils professionnels est en principe toléré tant qu’il n’affecte pas la sécurité de l’organisme, et qu’un outil installé dans un but ne doit pas poursuivre un autre objectif caché.

Preuve de conformité et recours

L’employeur doit pouvoir prouver le respect de ces conditions. La CNIL recommande de détailler les étapes de l’analyse de nécessité et de proportionnalité, le cycle de vie des données traitées et les mesures d’information et d’exercice des droits des salariés. Si un dispositif ne respecte pas ces règles, la personne concernée peut saisir la CNIL, l’inspection du travail (notamment compétente pour le harcèlement moral au travail), la préfecture pour des caméras filmant des lieux ouverts au public, ou la police, la gendarmerie et le procureur de la République si les faits sont susceptibles de constituer une infraction. Les textes cités en référence comprennent les articles L. 1121-1, L. 1222-4, L. 2312-38 et L. 2312-8, II, 4° du code du travail, l’article 13 du RGPD et, pour le secteur public, les articles L. 253-1, L. 253-2 et R. 253-19 du code général de la fonction publique.

En pratique : avant une extraction dans une enquête

La fiche de la CNIL ne mentionne pas les enquêtes internes. Le raisonnement qui suit est celui de ce site, appliqué à un dossier de signalement : ce que la CNIL demande d’un dispositif de contrôle éclaire les questions à poser avant de récupérer des données professionnelles.

• Écrire la question avant l’extraction. Une pièce doit éclairer un épisode ou une circonstance précise. Une collecte globale de messagerie capte des informations sans lien avec le mandat.
• Chercher le moyen le moins intrusif. Une invitation de réunion, un document de travail ou un entretien apportent parfois l’information recherchée sans extraction technique.
• Vérifier l’origine de la donnée. Regardez pour quelle finalité l’outil a été installé et quelle information les salariés ont reçue. Réutiliser ses journaux dans une enquête pose la question de l’objectif initial, que la CNIL pose pour tout dispositif.
• Tracer et limiter. Consignez qui a autorisé la recherche, le périmètre, la provenance de chaque pièce et les personnes habilitées à y accéder. Si la recherche doit s’élargir, le prestataire en explique la raison avant d’agir.

Le DPO et le conseil juridique valident les conditions de collecte, d’information et d’utilisation pour le dossier concerné. Sur le droit d’accès d’un salarié à ses courriels, voir l’arrêt du 18 juin 2025, et sur le circuit des pièces, le guide de la protection des données.