Surveillance algorithmique des salariés : obligations RGPD, droits des IRP et encadrement juridique
Le recours aux outils algorithmiques pour piloter la performance, détecter les absences ou surveiller l'activité en télétravail s'est généralisé. Pour les DPO, RSSI et responsables conformité, ces dispositifs concentrent plusieurs risques juridiques simultanés : violation du RGPD, défaut de consultation des instances représentatives du personnel (IRP), et exposition à des sanctions de la CNIL ou du Conseil de prud'hommes. Tour d'horizon des obligations concrètes.
Ce que recouvre la surveillance algorithmique en entreprise
La surveillance algorithmique ne se limite pas aux logiciels de keylogging ou aux caméras intelligentes. Elle englobe tout système qui collecte des données sur les salariés et produit automatiquement des décisions ou des évaluations :
- Outils de suivi de productivité (captures d'écran, comptage de frappes, temps actif/inactif).
- Systèmes de scoring RH : prédiction de turnover, détection d'absentéisme, notation de la performance.
- IA de recrutement : analyse de CV, parsing, entretiens vidéo automatisés.
- Outils de monitoring réseau et DLP analysant les comportements utilisateurs.
- Géolocalisation couplée à des algorithmes d'optimisation de tournées.
Dès qu'un traitement produit un effet juridique ou similaire sur un salarié, l'article 22 du RGPD entre en jeu, avec ses exigences spécifiques en matière de décision automatisée.
Obligations RGPD de l'employeur
Base légale et proportionnalité
L'intérêt légitime (article 6.1.f) est souvent invoqué, mais la CNIL rappelle qu'il doit être mis en balance avec les droits des salariés, rapport de force structurellement déséquilibré. En pratique, le consentement est inadapté dans le contexte salarial : il ne peut être libre lorsqu'il existe un lien de subordination. La base légale la plus solide est généralement l'obligation légale (sécurité des SI, conformité réglementaire) ou l'exécution du contrat de travail, strictement délimitée.
Transparence et information des salariés
L'article 13 du RGPD impose une information claire avant la collecte. Cette information doit mentionner :
- La finalité précise du traitement (pas de formulation générique « amélioration de la performance »).
- La logique du traitement algorithmique et ses conséquences pour le salarié.
- La durée de conservation des données.
- Les droits d'accès, de rectification et d'opposition applicables.
Un simple paragraphe dans le règlement intérieur ne suffit plus. La CNIL attend une notice d'information dédiée, accessible et intelligible, distincte du contrat de travail.
Analyse d'impact (AIPD) obligatoire
La liste des traitements nécessitant une AIPD publiée par la CNIL inclut explicitement le traitement de données de localisation ou financières, le suivi systématique d'activité et l'évaluation automatisée des performances. Pour tout outil de surveillance algorithmique à grande échelle, l'AIPD n'est pas optionnelle. Elle doit documenter la nécessité, la proportionnalité et les mesures techniques réduisant le risque (anonymisation des logs, agrégation, limitation des accès).
Le rôle incontournable des IRP
Consultation obligatoire du CSE
L'article L. 2312-38 du Code du travail impose la consultation préalable du Comité Social et Économique avant tout déploiement d'un dispositif de collecte d'informations individuelles sur les salariés. Cette obligation est distincte du RGPD et s'applique même si le traitement est juridiquement fondé.
Concrètement, le CSE doit recevoir :
- Une description fonctionnelle de l'outil et de ses algorithmes.
- Les données collectées et leur mode de traitement.
- Les décisions susceptibles d'être prises sur la base des sorties algorithmiques.
- L'AIPD (ou son projet) si elle a déjà été réalisée.
Le déploiement avant avis rendu expose l'employeur à un délit d'entrave, sanctionné jusqu'à un an d'emprisonnement et 7 500 € d'amende.
Recours à un expert du CSE
Face à la complexité technique, le CSE peut désigner un expert-comptable ou un expert NTIC aux frais de l'employeur (article L. 2315-94). Cet expert peut auditer le fonctionnement de l'algorithme, interroger les fournisseurs et remettre un rapport au CSE avant que celui-ci ne rende son avis. Ignorer cette demande d'expertise constitue également un délit d'entrave.
Droits individuels des salariés face aux décisions algorithmiques
L'article 22 du RGPD confère au salarié le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques significatifs. En pratique :
- Un licenciement motivé uniquement par un score algorithmique est contestable devant le juge prud'homal.
- Le salarié peut demander une intervention humaine, exprimer son point de vue et contester la décision.
- L'employeur doit être en mesure d'expliquer la logique du traitement (explainability) en cas de demande d'accès RGPD.
Exemple concret : une entreprise logistique a utilisé un algorithme pour classer les livreurs par score de fiabilité et décider des renouvellements de contrat. La CNIL a considéré que l'absence d'information sur la logique de notation et l'impossibilité d'exercer un recours humain constituaient une double violation du RGPD.
Shadow AI : le risque silencieux de la surveillance non déclarée
De nombreuses équipes déploient des outils d'analyse comportementale ou des modules IA intégrés à des suites SaaS (Microsoft 365 Copilot Analytics, outils Slack) sans en référer à la DPO ni au CSE. Ce phénomène de shadow AI cumule tous les risques : absence de base légale documentée, pas d'AIPD, pas de consultation IRP. Une cartographie régulière des traitements IA actifs — couplée à une politique d'homologation des outils — est la première mesure de réduction du risque.
Bonnes pratiques pour sécuriser le dispositif
- Cartographier tous les outils algorithmiques existants avant d'en déployer de nouveaux.
- Inscrire les traitements au registre des activités de traitement avec la finalité exacte.
- Rédiger une AIPD documentée et la soumettre à la DPO avant tout déploiement.
- Lancer la consultation CSE suffisamment tôt pour permettre une expertise si demandée.
- Produire une notice d'information salarié claire, distincte des documents contractuels.
- Prévoir un mécanisme de recours humain pour toute décision à effet significatif.
- Mettre en place un processus d'homologation des outils IA pour contrer le shadow AI.
FAQ
Le consentement du salarié suffit-il à légitimer un dispositif de surveillance algorithmique ?
Non. La CNIL considère que le consentement ne peut pas être libre dans une relation de subordination. L'employeur doit s'appuyer sur une autre base légale (obligation légale, exécution du contrat) et respecter le principe de proportionnalité.
À quel moment le CSE doit-il être consulté ?
Avant tout déploiement, pas après. L'article L. 2312-38 du Code du travail exige une consultation préalable. Déployer l'outil avant l'avis du CSE constitue un délit d'entrave.
Un salarié peut-il contester une décision prise par un algorithme ?
Oui. L'article 22 du RGPD lui donne le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester toute décision fondée exclusivement sur un traitement automatisé ayant un effet significatif sur lui.
Une AIPD est-elle systématiquement obligatoire pour les outils de surveillance ?
Oui, dès lors que le traitement implique un suivi systématique d'activité ou une évaluation automatisée des performances. La liste de la CNIL classe ces traitements parmi ceux nécessitant obligatoirement une AIPD.
Comment gérer le shadow AI lié aux suites collaboratives (Microsoft 365, Slack) ?
Il faut cartographier les modules analytiques activés, vérifier leur conformité RGPD, les inscrire au registre de traitement et soumettre les plus intrusifs à une AIPD et à une consultation CSE avant activation.