Divers médias ont fait état d'une plainte pénale déposée contre ING Belgique.[1] L'établissement de crédit aurait surveillé le trafic d’emails de quelque 2 000 employés. Cela soulève la question de savoir si, en tant qu'employeur, il est permis de surveiller le trafic d’emails de ses employés. Est-ce autorisé ou faut-il respecter des conditions particulières ? Nous avons étudié la question pour vous.

Droit à la vie privée vs. droit de contrôle

Le droit à la vie privée est un droit fondamental, ce qui signifie qu’en principe un employeur n'est pas autorisé à surveiller votre trafic d’emails. En d'autres termes, les violations de cette règle sont punies par la loi. Il existe toutefois des exceptions à cette interdiction de principe, de sorte que, dans des circonstances exceptionnelles et sous des conditions strictes, l'employeur est autorisé à contrôler les emails de ses employés. De son côté, l'employeur a un droit de contrôle et ce sont ces deux principes qui doivent toujours être mis en balance dans la pratique pour évaluer correctement l'admissibilité du contrôle du trafic d’emails d'un employé.

Les employeurs peuvent avoir diverses raisons de contrôler le trafic d’emails comme l'application des politiques de l'entreprise, la protection des informations de l'entreprise, la prévention des comportements inappropriés ou le respect des obligations légales.

Que dit l'Autorité de protection des données sur les emails ?

L'Autorité de protection des données[2] (ci-après : APD) est l'organe de contrôle indépendant qui supervise tout ce qui concerne le traitement des données à caractère personnel dans le cadre du RGPD et peut être considéré comme le chien de garde de la vie privée en Belgique.

En résumé, selon l’APD, les employeurs ont en principe le droit de contrôler les communications électroniques effectuées par les employés en utilisant les moyens mis à leur disposition pour leur travail. Ceci à condition que certains principes tels que le droit au respect de la vie privée et le secret des correspondances soient garantis. Afin de protéger la vie privée de l’employée, l’employeur doit tenir compte des principes de base suivants :

1. Principe de finalité : L'employeur doit toujours poursuivre un but légitime comme, par exemple, le suivi de la correspondance professionnelle avec la clientèle. Ainsi, l'employeur n’est pas autorisé à effectuer des contrôles par curiosité, mais bien pour sauvegarder les intérêts de l'entreprise.
2. Principe de proportionnalité : Deuxièmement, l'employeur doit limiter le contrôle au strict nécessaire. Le contrôle doit être nécessaire pour atteindre cet objectif. Si un e-mail est destiné au service des ressources humaines, il n'est pas prévu que d'autres services puissent le lire. Cela signifie que la collecte des données doit en principe rester globale et que l'individualisation (c'est-à-dire l'identification d'un employé spécifique) n'est en principe pas autorisée. Ce faisant, l'employeur ne doit pas avoir accès aux emails personnels de l'employé, sauf si ce dernier les utilise à des fins professionnelles.
3. Principe de transparence : Enfin, l'employé doit être informé de tout contrôle électronique et de la manière dont il sera effectué. L'APD recommande de diffuser cette information par le biais du règlement de travail, mais une politique transparente en matière d’ ICT, une disposition spécifique dans le contrat de travail individuel ou une convention collective sont également des possibilités. Un employeur ne doit jamais effectuer de contrôles dans le dos de ses employés.

Que dit le RGPD sur les emails?

Conformément à l'article 6 du règlement général sur la protection des données (ci-après dénommé "RGPD"[3]), tout traitement de données à caractère personnel doit être fondé sur un fondement licite. Le droit légal de l'employeur d'exercer son autorité peut être un motif licite pour l'employeur de surveiller électroniquement le trafic électronique sur internet et le trafic d’email de ses employés. En revanche, le consentement de l'employé, selon l'APD, ne peut servir de fondement licite puisque l'employé est nécessairement en position de subordination par rapport à son employeur et ne peut donc pas donner son consentement de son plein gré.

CCT n° 81

L’objectif de cette CCT n°81[4] est de garantir le respect de la vie privée du travailleur lorsque l'employeur collecte des données à partir de communications du réseau électronique à des fins de contrôle et comprend les trois principes fondamentaux du droit de la vie privée, tels qu’indiqués ci-dessus, à savoir les principes de finalité, de proportionnalité et de transparence.

En outre, le principe d'individualisation jour également un rôle, qui stipule que les contrôles de l'employeur ne peuvent normalement se faire que de manière globale et non individuelle. Toutefois, dans certains cas, l'employeur peut effectuer des contrôles auprès d'un employé en particulier, à savoir

• Prévention des actes illégaux ou diffamatoires, des actes contraires aux bonnes mœurs ou des actes susceptibles de porter atteinte à la dignité d'autrui ;
• La protection des intérêts économiques, commerciaux et financiers de l'entreprise pour lesquels il existe un aspect de confidentialité ;
• La sécurité et/ou le bon fonctionnement technique des systèmes informatiques du réseau de l'entreprise et la protection physique des installations de l'entreprise.

Conclusion

La réglementation permettant à l'employeur d'accéder légalement aux communications électroniques de son employé est sujette à interprétation. Le droit à la vie privée de l'employé et le droit de contrôle de l'employeur doivent toujours être mis en balance. Selon l’ADP, l'employeur a le droit de contrôler les communications électroniques de ses employés sous certaines conditions. Dans ce cas, les principes de finalité, de proportionnalité et de transparence doivent toujours être respectés.

Il est conseillé de demander un avis juridique spécifique à un professionnel du droit de la vie privée pour comprendre comment les règles s'appliquent spécifiquement à votre situation. Studio Legale Advocaten dispose de trois DPO accrédités, spécialisés dans le droit de la protection de la vie privée, qui peuvent vous guider tout au long de ce processus.

Si vous avez des questions après avoir lu cet article, n'hésitez pas à nous contacter via joost.peeters@studio-legale.be.

Studio Legale

Sources

Sources juridiques

• https://www.autoriteprotectiondonnees.be/citoyen/themes/vie-privee-sur-le-lieu-du-travail/surveillance-de-lemployeur-/surveillance-electronique-sur-internet-et-email.
• RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
• Convention collective de travail n° 81 du 26 avril 2002 relative à la protection de la vie privée des travailleurs à l’égard du contrôle des données de communications électroniques en réseau.

Liens vers les médias

• https://www.tijd.be/netto/analyse/werk/mag-uw-werkgever-uw-e-mailverkeer-controleren/10460465.html;
• https://www.standaard.be/cnt/dmf20230414_95708300;
• https://www.tijd.be/ondernemen/banken/strafklacht-tegen-ing-en-toplui-voor-inkijken-e-mails-personeel/10460323.html;
• https://m.facebook.com/story.php?story_fbid=pfbid02bLjLjoDpb4CtnyivYFPJE1rM2eij5wbpe7bFQeufXx324UVrcn1GEwmwknSafoNal&id=100092965990517

Reférences

[1]https://www.tijd.be/ondernemen/banken/strafklacht-tegen-ing-en-toplui-voor-inkijken-e-mails-personeel/10460323.html

[2] https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/privacy-op-de-werkplek/toezicht-van-de-werkgever/elektronisch-toezicht-op-internet-en-e-mail

[3] RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)

[4]Convention collective de travail n° 81 du 26 avril 2002 relative à la protection de la vie privée des travailleurs à l’égard du contrôle des données de communications électroniques en réseau ;