Les logiciels de contrôle de l’activité informatique peuvent enregistrer des données très différentes : connexions, applications utilisées, temps passé dans un outil, captures d’écran, frappes au clavier ou même activité de la webcam. Toutes ces fonctions ne sont pas juridiquement équivalentes.
La CNIL rappelle en juillet 2026 que l’employeur dispose d’un pouvoir normal de contrôle de l’activité et des équipements professionnels, mais que ce pouvoir ne peut pas devenir excessif. Le principe est celui d’un contrôle justifié et proportionné, non d’une visibilité totale sur chaque geste numérique du salarié.
Le keylogger est l’exemple type d’un dispositif disproportionné
Un keylogger enregistre les touches frappées au clavier. La CNIL cite expressément ce procédé comme exemple de dispositif disproportionné pour surveiller un salarié en télétravail : il ne distingue pas les informations professionnelles des informations personnelles et peut capter des mots de passe, des messages privés ou d’autres données sans rapport avec le travail.
Le problème ne tient donc pas seulement au volume de données. Le keylogger place la personne sous une surveillance constante et collecte inévitablement des informations étrangères à l’objectif professionnel.
Le partage permanent de l’écran n’est pas une solution acceptable
La CNIL considère également que le partage permanent d’écran ou l’enregistrement continu des actions informatiques est particulièrement intrusif lorsqu’il sert simplement à vérifier que le salarié travaille. De tels procédés reconstituent l’activité minute par minute et peuvent révéler des éléments personnels présents sur l’écran.
Un contrôle ponctuel ou agrégé peut être très différent. La CNIL donne l’exemple d’un logiciel qui transmet périodiquement le nombre de dossiers traités : la remontée trimestrielle d’un indicateur professionnel n’équivaut pas à une surveillance permanente.
La webcam ne peut pas servir de pointeuse continue
En télétravail, demander à un salarié de rester en visioconférence pendant toute sa journée afin de prouver sa présence est considéré par la CNIL comme excessif. La même logique vaut pour l’obligation de prendre régulièrement des photos ou d’effectuer sans cesse une action pour démontrer que l’on se trouve devant l’écran.
Ces pratiques transforment le contrôle de l’activité en surveillance continue du domicile et peuvent enregistrer l’environnement personnel du salarié. Des méthodes moins intrusives doivent être privilégiées : objectifs, compte rendu régulier, suivi de tâches ou indicateurs adaptés au poste.
Les captures d’écran automatiques sont elles aussi très sensibles
La CNIL a consacré une fiche spécifique aux captures d’écran couplées à l’enregistrement d’appels. Elle souligne qu’une capture isolée peut être trompeuse et révéler des courriels personnels, des messageries instantanées ou des mots de passe. Elle considère en principe ce type de capture comme difficilement pertinent et proportionné.
Le fait qu’un logiciel soit commercialisé comme outil de « productivité » ou de « management » ne suffit donc pas à le rendre licite. Il faut examiner précisément ce qu’il collecte et à quelle fréquence.
Le salarié doit être informé du dispositif
Un outil de contrôle ne doit pas être installé de manière clandestine comme mode normal de management. La CNIL rappelle que les salariés doivent être informés des dispositifs qui surveillent leur activité. Lorsqu’un CSE existe, l’article L. 2312-38 du Code du travail prévoit également son information et sa consultation avant la mise en œuvre de moyens ou techniques de contrôle.
La note d’information doit permettre d’identifier la finalité, les données collectées, la durée de conservation et les destinataires. Une formule vague indiquant que « le matériel informatique peut être contrôlé » n’explique pas nécessairement l’existence d’un outil qui prend une capture d’écran toutes les quelques minutes.
Un ordinateur professionnel n’efface pas toute vie privée
Le salarié doit respecter les règles d’utilisation des équipements de l’entreprise, mais la mise à disposition d’un ordinateur professionnel ne supprime pas ses droits et libertés. L’article L. 1121-1 du Code du travail impose toujours que les restrictions soient justifiées et proportionnées.
Un outil capable de collecter indistinctement des mots de passe, messages privés ou données personnelles dépasse rapidement ce qui est nécessaire à la gestion du travail.
Comment réagir à la découverte d’un logiciel de surveillance ?
Il faut d’abord relever les faits sans tenter de désinstaller ou neutraliser un outil professionnel au risque de créer un autre problème disciplinaire. Il est préférable d’identifier le nom du logiciel, les fonctions visibles, la note d’information reçue, la charte informatique et les éventuelles communications du CSE.
Le salarié peut ensuite exercer ses droits relatifs aux données personnelles, contacter le DPO lorsqu’il existe et saisir la CNIL si le dispositif paraît manifestement excessif ou caché. L’analyse doit porter sur le système réellement utilisé, pas seulement sur les capacités théoriques du logiciel.
Le même raisonnement vaut pour d’autres outils de contrôle
La surveillance numérique ne se limite pas à l’ordinateur. Un GPS installé dans un véhicule professionnel doit lui aussi respecter une finalité claire et la proportionnalité.
De même, une caméra qui filme en permanence un poste de travail est en principe excessive en dehors de circonstances particulières.