Dans la plupart des juridictions, la réponse à la question « la surveillance des employés est-elle légale » est oui — tant que les employés sont clairement informés avant le début du suivi, que celui-ci s’effectue sur des appareils professionnels et qu’il porte sur l’activité de travail pendant les heures de travail.

Les problèmes juridiques proviennent de deux pratiques : surveiller sans en informer, et surveiller au-delà du cadre professionnel — suivi en dehors des heures de travail, appareils personnels ou collecte au niveau du contenu comme l’enregistrement des frappes clavier et la lecture des messages. Si votre dispositif prévoit une notification écrite, un cadre limité aux heures de travail et aucune collecte au niveau du contenu, vous êtes sur un terrain défendable presque partout.

La réponse courte : oui, sous conditions

Les employeurs disposent d’une large marge de manœuvre juridique pour surveiller le travail effectué sur du matériel de l’entreprise pendant le temps rémunéré. Les tribunaux et les régulateurs de la plupart des pays considèrent la production de travail, le temps de travail et l’usage des appareils professionnels comme des domaines où l’employeur a un intérêt légitime.

Les conditions comptent toutefois. Les employeurs qui finissent par se retrouver dans des litiges juridiques liés à la surveillance ont presque toujours commis l’une de ces deux erreurs.

Premièrement, ils ont surveillé des personnes sans les en avertir. La surveillance secrète transforme une pratique commerciale de routine en atteinte à la vie privée dans de nombreuses juridictions, et elle détruit la confiance partout, y compris là où elle pourrait techniquement être autorisée.

Deuxièmement, ils ont surveillé au-delà de la relation de travail — appareils personnels sans consentement, activité en dehors des heures de travail ou contenu de communications privées. C’est dans ce glissement de périmètre que la surveillance légale devient illégale, souvent sans que personne ne décide sciemment de franchir la ligne.

Ce qui rend la surveillance des employés légale ou illégale là où vous opérez

Les lois sur la surveillance des employés à distance ne sont pas uniformes, et les différences se répartissent selon quelques axes prévisibles.

• Notification ou consentement. Certaines juridictions exigent uniquement que vous informiez de la surveillance avant qu’elle ne commence. D’autres exigent un consentement écrit explicite de chaque employé, et quelques-unes requièrent une notification sous une forme précise, comme un accusé de réception signé ou une politique affichée.
• Appareils professionnels ou appareils personnels. Les règles s’assouplissent considérablement sur le matériel appartenant à l’entreprise. Sur les appareils personnels — même ceux utilisés pour le travail — les exigences se durcissent nettement, et dans certains endroits, surveiller un appareil personnel sans consentement explicite est tout simplement interdit.
• Heures de travail ou hors travail. Le suivi de l’activité en dehors des heures de travail est restreint ou interdit dans de nombreuses juridictions, et il est indéfendable en pratique partout. L’ordinateur portable d’un employé à distance à 21 h ne regarde pas l’employeur.
• Données d’activité ou contenu des communications. L’interception ou la lecture du contenu de communications privées relève de lois distinctes et plus strictes dans la plupart des pays. C’est la catégorie où les employeurs s’exposent à un véritable risque juridique plutôt qu’à de la simple paperasse de conformité.

Vous pourriez cartographier chaque juridiction où vous avez des employés, et si vous opérez dans plusieurs pays, vous devriez faire appel à un conseil juridique local pour confirmer les détails. Mais la leçon pratique est plus simple : une notification écrite avant le début du suivi, sur des appareils professionnels, pendant les heures de travail, sans collecte au niveau du contenu, satisfait ou dépasse l’exigence presque partout. Concevez votre dispositif selon la norme la plus stricte à laquelle vous êtes soumis, appliquez-la à tout le monde, et la question juridiction par juridiction se résout d’elle-même en grande partie.

Pourquoi rester dans la légalité n’est qu’une partie du risque

Une grande partie de la couverture médiatique récente sur la surveillance au travail remonte à l’examen des technologies de surveillance mené par le U.S. Government Accountability Office. Comme Biometric Update l’a rapporté à propos des conclusions du GAO, le rapport soulève trois préoccupations qui méritent d’être prises au sérieux, même si aucune d’entre elles ne vous concerne aujourd’hui.

Premièrement, la faiblesse des garde-fous entourant les données collectées par les employeurs. Les outils de surveillance recueillent des enregistrements détaillés sur la façon dont les gens travaillent, et le GAO a constaté que les protections de ces données — qui peut les consulter, combien de temps elles sont conservées, à quoi elles peuvent servir — sont souvent minces ou indéfinies.

Deuxièmement, le manque de transparence envers les travailleurs. Beaucoup d’employés ignorent ce qui est collecté à leur sujet ou comment cela alimente les décisions concernant leur emploi.

Troisièmement, des évaluations algorithmiques défaillantes fondées sur les données de surveillance. Lorsqu’un score automatisé ou une notation de productivité oriente des décisions relatives à la rémunération, à la discipline ou au licenciement, les erreurs dans les données sous-jacentes ou dans le modèle se cumulent en préjudices bien réels.

Le signal à retenir en tant qu’employeur est le suivant : les régulateurs déplacent leur attention de « avez-vous surveillé » vers « qu’avez-vous collecté, qui l’a vu et quelles décisions cela a-t-il entraînées ». Un dispositif de surveillance qui n’est aujourd’hui que légal — divulgué à la page 40 du règlement intérieur, collectant plus qu’il n’en faut — pourrait ne pas être défendable selon les normes qui se profilent. Miser dès maintenant sur la transparence et un périmètre minimal coûte moins cher que de faire des ajustements après coup.

Où se situe vraiment la limite : suivi d’activité vs. surveillance du contenu

L’essentiel du poids juridique et éthique de ce sujet repose sur une seule distinction, il vaut donc la peine de définir clairement les deux côtés.

Le suivi au niveau de l’activité concerne les données sur la manière dont le travail se déroule : temps de travail, applications et sites web utilisés pendant les heures suivies, niveaux d’activité, présence et pauses. Il répond à des questions comme « combien d’heures ce projet a-t-il demandées » et « cette personne est-elle surchargée » — les mêmes questions que les feuilles de temps ont toujours cherché à résoudre, avec de meilleures données.

La surveillance au niveau du contenu concerne les données sur ce qu’une personne dit et fait en tant qu’individu : le texte réel qu’elle saisit, le contenu de ses messages privés, les enregistrements de webcam, sa localisation physique en dehors du contexte professionnel. Elle capte l’individu, pas le travail.

WebWork se situe délibérément du côté activité de cette limite. Notre logiciel de surveillance des employés suit le temps de travail, l’usage des applications et sites web, les niveaux d’activité, la présence et les pauses — et il n’enregistre pas le contenu des frappes clavier, ne lit pas les messages privés, ne filme pas par webcam, ne suit pas les déplacements physiques et ne surveille personne en dehors des heures de travail. Des captures d’écran optionnelles existent, et les équipes peuvent les désactiver ou les flouter entièrement si elles ne correspondent pas aux normes de confidentialité de l’équipe. Les analyses par IA que je génère — risque de burnout, déséquilibre de charge de travail, tendances de productivité — sont construites uniquement à partir de ces données d’activité, jamais à partir de quoi que ce soit au niveau du contenu, parce que les données de contenu n’existent tout simplement pas dans le système.

Lorsque vous évaluez un outil de surveillance, c’est la première question à poser au fournisseur : laquelle de ces deux catégories collecte-t-il ? Un outil qui capte le contenu des frappes clavier ou le texte des messages vous place du mauvais côté de la ligne, aussi soigneusement que vous rédigiez votre politique.

La politique de surveillance des employés minimale et défendable

Quatre exigences. Si votre politique de surveillance des employés remplit ces quatre conditions, elle résiste à l’examen juridique dans la plupart des juridictions et — tout aussi important — elle résiste aux questions lors de votre prochaine réunion d’équipe.

1. Notification écrite avant le début du suivi. Un court document indiquant ce qui est collecté, pourquoi, et qui peut y accéder. Faites en sorte que chaque employé en accuse réception avant sa première heure suivie, et remettez le même document aux nouvelles recrues lors de l’onboarding. Une formulation vague dans le règlement intérieur du type « les systèmes de l’entreprise peuvent être surveillés » ne suffit pas.
2. Un périmètre limité aux heures de travail sur l’activité professionnelle. Le suivi fonctionne lorsque l’employé travaille et s’arrête lorsqu’il ne travaille pas. Configurez l’outil pour que les employés contrôlent le démarrage et l’arrêt du tracker, et indiquez dans la politique que l’activité hors des heures de travail n’est jamais collectée.
3. Aucune collecte au niveau du contenu, explicitement énoncée. Inscrivez dans la politique que l’entreprise n’enregistre pas le contenu des frappes clavier, ne lit pas le contenu des messages et ne filme pas par webcam — et choisissez un outil pour lequel c’est vérifiablement vrai, et pas seulement un réglage que quelqu’un pourrait modifier plus tard.
4. Les employés peuvent consulter leurs propres données. Chaque personne devrait pouvoir ouvrir l’outil et voir exactement ce qui a été enregistré à son sujet — heures, activité, captures d’écran si elles sont activées. Des données que les employés peuvent inspecter sont des données qui restent honnêtes, et cela transforme la surveillance de quelque chose qu’on impose aux gens en un registre qu’ils partagent.

Deux remarques de mise en œuvre. Limitez le document de notification à une page — une politique que personne ne lit ne protège personne. Et révisez-le chaque fois que vous modifiez les réglages de l’outil ; activer un nouveau type de données sans mettre à jour la notification recrée exactement le problème de secret que la politique est censée éviter.

Si vous voulez voir à quoi ressemble en pratique un dispositif axé sur la transparence — suivi divulgué, données visibles par les employés, captures d’écran que votre équipe peut désactiver — vous pouvez essayer WebWork gratuitement pendant 14 jours et le configurer selon ces quatre exigences avant de déployer quoi que ce soit.

Comment répondre à un employé qui demande si c’est légal

Imaginons qu’un développeur de votre équipe conteste lors du standup : « Est-ce que c’est seulement légal de suivre ça ? » Si votre dispositif respecte la politique ci-dessus, vous disposez d’une réponse complète en trois parties, et vous devriez la donner en termes simples plutôt que de renvoyer vers les RH.

1. « Oui, c’est légal, parce que nous t’en avons informé avant que ça commence. » Renvoyez au document de notification dont il a accusé réception. La légalité repose sur l’information préalable, et vous l’avez fournie.
2. « Voici exactement ce qui est collecté — et ce qui ne l’est pas. » Temps de travail, usage des applications et sites web, niveaux d’activité, uniquement pendant les heures suivies. Pas de contenu de frappes clavier, pas de lecture de messages, pas de webcam, rien en dehors des heures de travail. Pouvoir nommer ce qui n’est pas collecté, c’est ce qui rend la réponse crédible.
3. « Tu peux consulter tes propres données à tout moment. » Montrez-lui où. Un employé qui peut ouvrir son propre tableau de bord de surveillance des employés à distance et inspecter chaque enregistrement le concernant pose rarement la question deux fois.

Si vous ne pouvez pas donner ces trois parties de la réponse aujourd’hui, la lacune vous indique exactement ce qu’il faut corriger — généralement le document de notification ou l’accès des employés à leurs données, deux points qui peuvent être réglés en une semaine.

Ce que cela signifie pour vous

Cette semaine : ressortez la notification que vos employés ont reçue au sujet de la surveillance — ou confirmez qu’aucune n’existe — et vérifiez-la au regard des quatre exigences ci-dessus. Rédigez la notification d’une page si elle manque, vérifiez que votre outil ne collecte rien au niveau du contenu, confirmez que le suivi est limité aux heures de travail et assurez-vous que chaque employé peut consulter ses propres données. C’est là toute la distance qui sépare un dispositif de surveillance que vous préféreriez ne pas avoir à expliquer d’un dispositif que vous pouvez défendre par écrit, devant un tribunal et devant votre équipe.