Votre responsable vous annonce que le télétravail s’accompagne désormais d’un « outil de pilotage de l’activité » : captures d’écran toutes les cinq minutes, relevé des touches frappées au clavier, mesure des temps d’inactivité et classement quotidien des salariés les plus « productifs ». Vous découvrez le programme installé sur votre ordinateur, parfois sans aucun message préalable, et vous vous demandez si votre employeur a le droit de voir votre écran, de compter vos clics et de photographier votre domicile par-dessus votre épaule. La réponse tient en deux temps : l’employeur peut contrôler le travail, y compris à distance, mais les outils qui enregistrent en permanence l’écran, le clavier ou la présence relèvent de la surveillance excessive que la CNIL interdit et que les juges écartent. Cet article explique quels dispositifs sont prohibés, quels textes les condamnent et comment obtenir la désactivation du logiciel, la saisine de la CNIL et, devant le conseil de prud’hommes, l’annulation de la sanction assise sur ces captures ainsi que la réparation de votre préjudice.

I. Contrôler le travail à distance est permis, espionner le salarié en télétravail ne l’est pas

A. Trois verrous cumulatifs avant toute surveillance : finalité proportionnée, information préalable et base légale documentée

Le premier verrou est la proportionnalité. Aux termes de l’article L. 1121-1 du code du travail, « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Le télétravail ne suspend pas ce texte : suivre des dossiers, vérifier des livrables et mesurer des résultats restent des finalités légitimes, mais enregistrer chaque frappe au clavier ou photographier l’écran en continu dépasse ce que la tâche exige. Le même raisonnement irrigue le droit des données personnelles : le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, impose à son article 5, paragraphe 1, point c), que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) », et son article 6, paragraphe 1, point f), n’autorise le traitement fondé sur les intérêts légitimes de l’employeur que « dans la mesure où » ne prévalent pas « les intérêts ou les libertés et droits fondamentaux de la personne concernée ». L’article 88 du même règlement rappelle que les États membres peuvent fixer des règles plus spécifiques pour la protection des salariés, « en accordant une attention particulière à la transparence du traitement » et « aux systèmes de contrôle sur le lieu de travail », ce que le code du travail français fait précisément avec les articles cités dans cet article.

Le deuxième verrou est l’information préalable, et il est éliminatoire. Selon l’article L. 1222-4 du code du travail, « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Un logiciel déployé en silence, découvert par hasard dans la barre des tâches ou à l’occasion d’un entretien d’évaluation, ne peut donc servir de fondement à aucune remarque, aucun avertissement et aucun licenciement. Cette exigence se double de l’obligation d’informer les représentants du personnel : le comité social et économique doit être informé et consulté avant la mise en place de tout moyen de contrôle de l’activité, et le traitement doit figurer au registre des activités de traitement de l’entreprise avec sa finalité, sa base juridique, ses durées de conservation et ses destinataires. Côté RGPD, l’article 13 du règlement impose de délivrer au salarié, au moment de la collecte, l’identité du responsable du traitement, les coordonnées du délégué à la protection des données, les finalités, la base juridique et les droits dont il dispose, dont le droit d’accès et le droit d’opposition. L’évaluation du travail, enfin, obéit à l’article L. 1222-3 du code du travail : « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard », et ces méthodes « doivent être pertinentes au regard de la finalité poursuivie ». Un score d’activité calculé à partir de captures d’écran, présenté comme une note de performance sans que la méthode ait été annoncée, méconnaît ce texte.

Le troisième verrou est la preuve de tout cela devant le juge. La Cour de cassation casse régulièrement les décisions qui valident des licenciements assis sur des dispositifs non déclarés aux salariés. Dans un arrêt du 10 novembre 2021 concernant une vidéosurveillance installée dans une pharmacie, la chambre sociale rappelle que « les salariés concernés doivent être informés, préalablement à la mise en oeuvre d’un traitement de données à caractère personnel, de l’identité du responsable du traitement des données ou de son représentant, de la (ou les) finalité(s) poursuivie(s) par le traitement, des destinataires ou catégories de destinataires de données, de l’existence d’un droit d’accès aux données les concernant, d’un droit de rectification et d’un droit d’opposition pour motif légitime, ainsi que des modalités d’exercice de ces droits », et que « le comité d’entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (Cass. soc., 10 nov. 2021, n° 20-12.263). À l’inverse, lorsque l’employeur a loyalement annoncé le dispositif et sa finalité, la Cour refuse d’annuler la sanction : elle a ainsi rejeté le pourvoi d’un cuisinier qui contestait une vidéosurveillance dont l’employeur l’avait averti par écrit en précisant qu’elle visait à éviter la répétition de ses manquements (Cass. soc., 23 juin 2021, n° 19-13.856). La ligne de partage est donc nette : dispositif annoncé, finalité précise et proportionnée d’un côté ; outil clandestin ou détourné de sa finalité de l’autre.

B. Les outils que la CNIL déclare disproportionnés : enregistreurs de frappe, partage permanent d’écran et traqueurs de présence

La CNIL a consacré aux télétravailleurs des questions-réponses officielles qui tranchent les cas les plus courants. L’autorité y rappelle que tout contrôle doit poursuivre un objectif clairement défini, sans réutilisation à d’autres fins, rester proportionné et adéquat à cet objectif, et être précédé d’une information des personnes concernées. Surtout, elle désigne nommément les procédés prohibés : partage permanent de l’écran, enregistreurs de frappe captant l’ensemble des touches du clavier, et obligation faite au salarié de prouver sa présence à intervalles rapprochés, par exemple en cliquant toutes les X minutes ou en se photographiant régulièrement. L’autorité juge ces procédés particulièrement invasifs et constitutifs d’une surveillance permanente et disproportionnée des employés. Autrement dit, les trois briques standard des logiciels dits de « productivité » — capture d’écran permanente, journalisation des frappes, preuve de présence à intervalles — sont jugées excessives par l’autorité compétente, que l’objectif invoqué soit la sécurité ou le suivi du temps de travail, car des moyens alternatifs moins intrusifs existent pour ces finalités. La CNIL ajoute que l’employeur ne peut imposer de façon systématique aux salariés en télétravail d’activer leur caméra pendant les visioconférences, cette activation devant en principe rester à leur appréciation. Ces positions ne sont pas de simples conseils : elles exposent l’employeur à une mise en demeure puis à une sanction pécuniaire.

L’ampleur du risque financier se mesure à l’affaire Amazon France Logistique : par délibération n° SAN-2023-021 du 27 décembre 2023, la formation restreinte de la CNIL a prononcé une amende administrative de 32 000 000 euros pour violation du RGPD, en retenant plusieurs manquements aux intérêts légitimes du point f) du paragraphe 1 de l’article 6, au principe de minimisation des données, aux obligations d’information des articles 12 et 13 et à la sécurité des traitements, à raison notamment d’indicateurs de temps d’inactivité et de latence issus des scanners d’entrepôt qui plaçaient les salariés sous une surveillance rapprochée. Saisi du recours, le Conseil d’État a confirmé l’essentiel des manquements tout en réformant la sanction, dont le montant est ramené à 15 000 000 d’euros (CE, 23 déc. 2025, n° 492830). La réduction porte sur l’appréciation de certains indicateurs temps réel au regard du point f) du paragraphe 1 de l’article 6 du RGPD, non sur le principe : la surveillance rapprochée et disproportionnée reste sanctionnée, et lourdement. Le raisonnement s’articule avec l’article L. 1121-1 du code du travail et la jurisprudence constante selon laquelle l’employeur ne peut surveiller ses salariés que par des moyens proportionnés aux objectifs poursuivis (Cass. soc., 23 juin 2021, n° 19-13.856). Pour un salarié, l’enseignement reste entier : un dispositif qui mesure l’inactivité à la minute et stigmatise les temps morts est disproportionné, et l’argument vaut à plus forte raison pour un enregistreur de frappe installé sur l’ordinateur du domicile.

Le télétravail aggrave la disproportion au lieu de la justifier. À domicile, l’écran surveillé capte inévitablement des éléments de vie privée : identifiants bancaires saisis au clavier, messages personnels affichés dans une notification, état de santé deviné à travers des rendez-vous médicaux, opinions révélées par les pages consultées pendant la pause. L’enregistreur de frappe ne distingue pas le mot de passe du compte rendu d’activité, et la capture d’écran ne floute pas la photo des enfants en fond. C’est pourquoi la porosité entre vie professionnelle et vie personnelle, rappelée par la CNIL dans ses questions-réponses, rend les outils permanents encore moins défendables à domicile que dans l’entreprise. Le droit à la déconnexion, négocié chaque année au titre de l’article L. 2242-17 du code du travail qui impose de définir « Les modalités du plein exercice par le salarié de son droit à la déconnexion et la mise en place par l’entreprise de dispositifs de régulation de l’utilisation des outils numériques », achève de disqualifier les logiciels qui comptabilisent l’activité le soir, le week-end ou pendant les congés : un temps de repos mesuré comme une « inactivité fautive » contredit l’objet même de la déconnexion. Si votre employeur lit en outre le contenu de vos messages ou de vos courriels pour alimenter votre évaluation, les règles de contestation de cet accès sont détaillées dans notre analyse consacrée aux salariés dont l’employeur lit les messages Teams, Slack ou les e-mails, qui complète utilement le présent article.

II. Faire désactiver le logiciel, saisir la CNIL et gagner aux prud’hommes

A. Constater proprement, exiger par écrit et saisir la CNIL sans attendre la sanction

La première règle est de ne pas saboter l’outil. Désinstaller le logiciel en forçant les protections, falsifier les captures ou faire tourner un simulateur de souris expose à un licenciement pour faute que l’espionnage initial ne suffira pas à effacer. La bonne méthode consiste à figer les preuves de l’existence et du fonctionnement du dispositif : photographier les écrans et les icônes, conserver les courriels et messages annonçant son déploiement ou, à l’inverse, noter l’absence de toute annonce, enregistrer les convocations et les comptes rendus où le « score d’activité » apparaît, et demander par écrit à l’employeur la finalité exacte du traitement, sa base juridique, les catégories de données collectées, les durées de conservation, les destinataires et les coordonnées du délégué à la protection des données. Cette demande, envoyée en recommandé ou par un canal traçable, exerce votre droit d’accès prévu par le RGPD et place l’employeur face à ses obligations : s’il ne répond pas ou répond à côté, son silence servira votre dossier devant la CNIL comme devant les prud’hommes. Réclamez dans le même courrier la désactivation du dispositif en visant les textes : disproportion au regard de l’article L. 1121-1 du code du travail, défaut d’information préalable au sens de l’article L. 1222-4 du même code, minimisation des données de l’article 5 du RGPD et positions publiques de la CNIL sur les enregistreurs de frappe. Interrogez aussi le délégué à la protection des données de l’entreprise, dont les coordonnées doivent figurer dans l’information préalable : son avis écrit sur la proportionnalité du dispositif, versé au dossier, pèse devant la CNIL comme devant le juge prud’homal. Si l’entreprise refuse de communiquer son registre des traitements ou l’analyse d’impact relative au logiciel, mentionnez ce refus dans votre plainte, car l’opacité sur la base juridique et les durées de conservation aggrave le manquement. Adressez enfin une copie de la situation aux représentants du personnel : l’absence de consultation du comité social et économique, lorsqu’elle est établie, constitue un manquement autonome que le juge relève d’office dans les contentieux de surveillance.

La plainte auprès de la CNIL peut être déposée en ligne sans attendre l’issue du conflit interne, et elle n’oblige pas à choisir entre l’autorité administrative et le juge : les deux voies se cumulent. Joignez à la plainte les captures du logiciel, les relevés d’activité vous concernant, la demande écrite adressée à l’employeur et sa réponse ou son silence, ainsi que tout élément montrant la continuité de la surveillance, comme des scores calculés pendant vos arrêts maladie, vos congés ou vos soirées. Décrivez précisément les données captées : frappes au clavier avec les mots de passe et les données bancaires qu’elles incluent, captures d’écran avec les notifications privées visibles, temps d’inactivité mesurés pendant les temps de repos protégés par le droit à la déconnexion. Plus la plainte documente la captation de données étrangères au travail, plus la disproportion est évidente. L’affaire Amazon montre que l’autorité instruit ces dossiers jusqu’au bout et que les montants se chiffrent en millions même après réformation par le Conseil d’État, ce qui donne un poids réel à votre signalement dans la négociation avec l’employeur. Conservez enfin toute sanction ou menace liée au refus de l’outil : un avertissement motivé par un « taux d’activité » de 78 % calculé par captures d’écran est la pièce maîtresse du contentieux prud’homal.

B. Devant les prud’hommes : faire écarter les captures, annuler la sanction et chiffrer chaque préjudice

Le contentieux se joue sur trois tableaux : la recevabilité des captures, la validité de la sanction et le montant de la réparation. Sur la recevabilité, le droit applicable a basculé avec l’arrêt d’Assemblée plénière du 22 décembre 2023 rendu précisément dans le dossier d’un commercial travaillant depuis son domicile et licencié pour faute grave : la Cour y juge : « il y a lieu de considérer désormais que, dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats » ; et que « Le juge doit, lorsque cela lui est demandé, apprécier si une telle preuve porte une atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence, le droit à la preuve pouvant justifier la production d’éléments portant atteinte à d’autres droits à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi » (Ass. plén., 22 déc. 2023, n° 20-20.648). Concrètement, l’employeur peut désormais tenter de sauver des captures irrégulières en plaidant qu’elles étaient indispensables et proportionnées. Ne laissez pas ce moyen prospérer par défaut : demandez expressément au juge le contrôle de proportionnalité, démontrez que l’employeur disposait de moyens moins intrusifs comme le contrôle des livrables, les points d’avancement et les journaux de connexion ordinaires, et soulignez que la captation permanente du clavier et de l’écran ne peut jamais être « strictement proportionnée » puisqu’elle enregistre par construction des données privées étrangères au litige. La chambre sociale applique déjà ce contrôle avec exigence : le 8 mars 2023, elle a validé l’éviction d’une preuve patronale déloyale après examen de la balance des droits (Cass. soc., 8 mars 2023, n° 21-17.802), et le 14 février 2024 elle a confirmé l’analyse d’une cour d’appel qui avait écarté des images de vidéosurveillance obtenues sans information suffisante (Cass. soc., 14 fév. 2024, n° 22-23.073).

L’application la plus récente donne le mode d’emploi de la victoire. Le 16 septembre 2025, la cour d’appel d’Orléans a jugé le cas d’un salarié sanctionné au vu d’un contrôle de type client mystère mené sans information préalable : rappelant que les procédés techniques de contrôle mis en oeuvre de façon dissimulée pour surprendre le salarié sont illicites, et visant l’article L. 1222-3 du code du travail comme le contrôle de proportionnalité issu de l’arrêt d’Assemblée plénière du 22 décembre 2023, la cour a annulé la sanction disciplinaire et condamné l’employeur à 200 euros de dommages-intérêts plus 2 000 euros au titre de l’article 700 du code de procédure civile. Le raisonnement se transpose point par point au logiciel espion du télétravailleur : outil dissimulé ou détourné, absence d’information sur la méthode d’évaluation, sanction assise sur les données ainsi captées. Exigez donc l’annulation de l’avertissement, de la mise à pied ou du licenciement fondé sur ces pièces, et à titre subsidiaire la requalification en licenciement sans cause réelle et sérieuse avec l’indemnité prévue par le barème de l’article L. 1235-3 du code du travail.

Chiffrez enfin chaque préjudice séparément au lieu de tout fondre dans l’indemnité de licenciement. L’atteinte à la vie privée ouvre droit à des dommages-intérêts propres : mois de frappe au clavier enregistrée avec vos identifiants et vos échanges intimes, anxiété d’être photographié à votre domicile, temps de repos comptés comme fautes. Le manquement à l’obligation de sécurité de l’employeur, qui doit protéger la santé mentale des télétravailleurs au lieu de les placer sous une pression algorithmique permanente, fonde un chef de préjudice distinct, étayé par certificats médicaux et attestations. Ajoutez le remboursement des frais et la cessation du trouble sous astreinte : le juge peut ordonner la désinstallation du logiciel sur votre poste et l’effacement des données irrégulièrement collectées, avec une astreinte par jour de retard. Présentez ces demandes dans un tableau chiffré, pièce par pièce, en distinguant la réparation du licenciement, la réparation de l’atteinte à la vie privée et la réparation du préjudice moral lié à la surveillance : les conseillers prud’homaux indemnisent mieux ce qu’ils voient clairement ventilé.

En résumé, un logiciel qui enregistre vos frappes au clavier, photographie votre écran en continu ou vous oblige à prouver votre présence à intervalles réguliers n’est pas un outil de management comme un autre : sans finalité précise et proportionnée, sans information préalable et sans consultation des représentants du personnel, il méconnaît ensemble le code du travail et le RGPD, et la CNIL l’a dit en des termes qui ne laissent guère de place au doute. La sanction Amazon, même ramenée à 15 millions d’euros par le Conseil d’État, rappelle que la surveillance rapprochée des salariés se paie au prix fort, tandis que la jurisprudence récente donne au salarié deux leviers complémentaires : la plainte à la CNIL pour faire cesser le dispositif et la sanction pécuniaire de l’entreprise, et le recours prud’homal pour annuler la mesure assise sur les captures et obtenir une réparation ventilée. N’attendez pas l’entretien préalable pour réagir : chaque semaine de captation ajoute des données privées à votre dossier et complique l’effacement. Constatez par écrit, exigez la désactivation et faites-vous assister avant de signer le moindre document reconnaissant la validité du « score d’activité ».

Besoin d’un avis rapide sur votre dossier

Vous êtes surveillé par un logiciel espion en télétravail et vous voulez contester le dispositif, protéger vos données personnelles et défendre votre poste aux prud’hommes ? Maître Reda KOHEN, avocat au Barreau de Paris, vous répond avec un avis sur votre dossier en numérique et données personnelles. Appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact pour une consultation téléphonique en 48 heures avec un avocat du cabinet.