Vous ouvrez votre convocation à un entretien préalable et vous comprenez que votre employeur a lu vos e-mails. Des messages que vous pensiez privés sont cités dans la lettre, des pièces jointes extraites de votre poste figurent au dossier disciplinaire, et la sanction envisagée va jusqu’au licenciement pour faute grave. Ce scénario n’a rien d’exceptionnel : la messagerie professionnelle concentre aujourd’hui l’essentiel des preuves utilisées dans les contentieux disciplinaires, et beaucoup de salariés découvrent trop tard que leurs courriels ont été fouillés sans qu’ils en aient été informés.
La question n’est pas de savoir si l’employeur peut contrôler l’activité de ses salariés. Il le peut : diriger l’entreprise suppose de vérifier que le travail est fait et que les outils professionnels sont utilisés correctement. La question est de savoir à quelles conditions ce contrôle reste régulier, ce qui distingue un message que l’employeur avait le droit d’ouvrir d’un message couvert par le secret des correspondances, et ce qu’il vous reste comme recours quand la fouille était irrégulière et que la sanction repose sur elle.
Le droit applicable combine le code du travail, le règlement général sur la protection des données, le code pénal et les positions publiées par la Commission nationale de l’informatique et des libertés. La Cour de cassation a précisé pas à pas les règles du jeu, y compris sur le terrain le plus sensible : celui de la preuve obtenue de manière déloyale. Connaître ces règles change concrètement l’issue d’un entretien disciplinaire, d’une contestation devant le conseil de prud’hommes et d’une plainte devant la CNIL. C’est l’objet de cet article : exposer ce que votre employeur peut fouiller, ce qui lui est interdit, et comment contester une sanction assise sur vos e-mails pour obtenir l’annulation et la réparation de votre préjudice.
I. Ce que votre employeur peut fouiller, et ce qui lui est interdit
A. Vos messages professionnels sont présumés professionnels, vos messages marqués « Personnel » sont protégés
Le point de départ est simple et il est rappelé par la CNIL dans son guide consacré au contrôle de la messagerie : tout message qui transite par votre boîte professionnelle et qui n’est pas identifié comme personnel est présumé professionnel. L’employeur peut le lire, comme il peut prendre connaissance des sites consultés, y compris en dehors de la présence de l’employé. Cette présomption s’étend aux fichiers stockés sur le poste : par défaut, ils ont un caractère professionnel et l’employeur peut y accéder librement.
La protection existe, mais elle est conditionnelle. Le droit au respect de la vie privée et au secret des correspondances privées continue de s’appliquer sur le lieu et pendant le temps de travail. Pour que vos messages bénéficient de cette protection, ils doivent être identifiés comme personnels, par exemple en précisant dans leur objet « Personnel » ou « Privé », ou en les stockant dans un répertoire intitulé « Personnel » ou « Privé ». La CNIL ajoute une précision que beaucoup de salariés ignorent : les courriers ne sont pas considérés comme personnels du simple fait de leur classement dans le répertoire « mes documents » ou dans un dossier identifié par vos initiales. Un dossier à votre nom ne suffit donc pas à faire écran.
Quand le message ou le fichier est identifié comme personnel, l’employeur ne peut plus l’ouvrir librement. S’agissant des fichiers personnels, il ne peut y accéder qu’en votre présence ou après vous avoir appelé, sauf risque ou événement particulier qu’il appartiendra aux juridictions d’apprécier. S’agissant des courriels personnels, la voie régulière passe par le juge : en cas de litige, l’employeur peut demander au tribunal de faire appel à un huissier qui prendra connaissance des messages. L’ouverture unilatérale et discrète de votre correspondance identifiée comme personnelle sort de ce cadre.
Plusieurs pratiques de surveillance sont par ailleurs interdites en elles-mêmes, quel que soit le contenu visé. La CNIL juge excessif que l’employeur reçoive en copie automatique tous les messages écrits ou reçus par ses employés. Les logiciels qui enregistrent à distance chaque frappe au clavier et chaque action sur l’ordinateur, dits enregistreurs de frappe, sont illicites sauf circonstance exceptionnelle liée à un fort impératif de sécurité. Les journaux de connexion, qui tracent les heures et les usages, ne doivent pas être conservés plus de six mois. Si votre dossier disciplinaire repose sur une copie systématique de votre boîte ou sur un enregistrement exhaustif de votre activité au clavier, la méthode même de collecte est contestable.
Vos identifiants et mots de passe obéissent à une règle distincte : ils sont confidentiels et ne doivent pas être transmis à l’employeur. La seule exception admise concerne le salarié absent qui détiendrait sur son poste des informations indispensables à la poursuite de l’activité, lorsque l’administrateur réseau n’est pas en mesure de fournir l’accès : l’employeur peut alors exiger la communication des codes. Hors ce cas, vous refuser de donner votre mot de passe ne constitue pas une faute, et l’employeur qui vous l’imposerait par la contrainte s’exposerait à voir la preuve ainsi obtenue écartée.
Le pendant pénal de cette protection figure à l’article 226-15 du code pénal, qui dispose : « Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance, est puni d’un an d’emprisonnement et de 45 000 euros d’amende. » Le texte vise aussi expressément le fait d’intercepter ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique. L’ouverture de messages identifiés comme personnels, accomplie sciemment et hors des voies légales, peut donc relever du délit de violation du secret des correspondances, en plus de ses conséquences civiles et disciplinaires.
Le règlement général sur la protection des données encadre enfin toute la collecte sous l’angle des principes du traitement. Son article 5 impose notamment la minimisation des données : seules des données adéquates, pertinentes et limitées au nécessaire au regard des finalités peuvent être traitées. Une fouille intégrale de plusieurs années de messagerie pour établir un grief ponctuel heurte ce principe de minimisation. Quant à la base légale du contrôle, l’article 6 du règlement admet le traitement nécessaire aux fins des intérêts légitimes de l’employeur, sauf lorsque prévalent les intérêts, les libertés et les droits fondamentaux du salarié. Tout le contentieux de la cybersurveillance se joue dans cette mise en balance entre l’intérêt légitime de l’employeur et vos droits fondamentaux.
B. Aucun dispositif de contrôle n’est licite sans information, consultation et proportionnalité
Même pour accéder à des messages présumés professionnels, l’employeur doit respecter trois verrous cumulatifs. La CNIL les présente comme trois conditions qui s’imposent à l’employeur pour installer un dispositif de contrôle de l’activité du personnel : satisfaire aux tests de justification et de proportionnalité, soumettre le dispositif aux instances représentatives du personnel selon les règles en vigueur, et le porter à la connaissance des salariés. L’absence d’un seul de ces verrous fragilise tout ce qui a été collecté.
Le premier verrou est l’information individuelle. L’article L1222-4 du code du travail dispose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Concrètement, si aucun document, aucune note, aucune charte ne vous a informé que votre messagerie pouvait être contrôlée et dans quelles conditions, les informations tirées de ce contrôle ne pouvaient pas être régulièrement collectées. Vérifiez donc en premier lieu ce que vous avez signé et reçu : règlement intérieur, charte informatique, note de service, avenant. L’employeur qui affirme vous avoir informé doit le prouver.
Le deuxième verrou est collectif. L’article L2312-38 du code du travail prévoit que « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » Le comité social et économique doit donc être informé et consulté avant l’installation du dispositif, pas après. Dans les entreprises dotées d’un règlement intérieur, l’article L1321-3 du même code interdit en outre les dispositions apportant aux droits des personnes des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Une charte informatique adossée au règlement intérieur qui autoriserait une surveillance illimitée serait elle-même contestable.
Le troisième verrou est la proportionnalité, qui irrigue tout le dispositif. L’article L1121-1 du code du travail pose le principe : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » La CNIL en déduit que le dispositif doit être nécessaire à l’objectif affiché, qu’il ne doit pas exister de moyen moins intrusif pour l’atteindre, et qu’une surveillance constante des salariés est en général excessive. L’outil mis en place pour un but ne doit pas non plus servir un autre objectif caché : un logiciel déployé pour la sécurité du réseau ne peut pas devenir subrepticement un instrument de notation individuelle.
La chambre sociale de la Cour de cassation applique ce test avec sévérité. Dans son arrêt du 19 décembre 2018 rendu dans l’affaire du système de géolocalisation des distributeurs, elle a jugé que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail, laquelle n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût -il moins efficace que la géolocalisation, n’est pas justifiée lorsque le salarié dispose d’une liberté dans l’organisation de son travail » (Cass. soc., 19 déc. 2018, n° 17-14.631). La leçon vaut pour la messagerie : quand un contrôle moins intrusif suffisait, par exemple un rappel à l’ordre, un entretien ou un contrôle statistique des volumes, la fouille exhaustive et ciblée de votre boîte devient disproportionnée et donc illicite.
Retenez la méthode de vérification qui en découle. Face à un dossier disciplinaire alimenté par vos e-mails, posez-vous quatre questions dans cet ordre : le message était-il identifié comme personnel ; aviez-vous été préalablement informé du dispositif ; le comité a-t-il été consulté avant sa mise en place ; la fouille était-elle nécessaire et proportionnée au but affiché, sans moyen moins intrusif disponible. Chaque réponse négative est un moyen de contestation autonome, et leur cumul peut vider entièrement le dossier de sa substance.
II. Sanctionné sur la base de vos e-mails : contester et obtenir réparation
A. Faire écarter la preuve irrégulière et annuler la sanction devant les prud’hommes
La contestation commence dès l’entretien préalable et se joue ensuite devant le conseil de prud’hommes. Sur la procédure disciplinaire d’abord : lorsque l’employeur envisage une sanction autre qu’un avertissement sans incidence, l’article L1332-2 du code du travail lui impose de vous convoquer en précisant l’objet de la convocation, de vous entendre avec la personne de votre choix appartenant au personnel, d’indiquer le motif envisagé et de recueillir vos explications. La sanction ne peut intervenir moins de deux jours ouvrables ni plus d’un mois après le jour fixé pour l’entretien, et elle doit être motivée et notifiée. Toute entorse à ce calendrier ou à ces garanties s’ajoute à vos moyens.
Le délai le plus important pour vous est celui qui contraint l’employeur. L’article L1332-4 du code du travail dispose : « Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l’exercice de poursuites pénales. » Si les e-mails incriminés dormaient depuis des mois dans votre boîte avant que l’employeur ne décide de les exhumer pour vous sanctionner, exigez la date exacte à laquelle il en a eu connaissance. Quand il connaissait les faits depuis plus de deux mois sans engager de poursuites, la sanction est prescrite, et ce moyen suffit à lui seul à la faire tomber.
Sur la preuve ensuite, l’état du droit a changé en profondeur avec l’arrêt rendu en assemblée plénière le 22 décembre 2023. La Cour de cassation juge désormais que « dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats » (Cass., ass. plén., 22 déc. 2023, n° 20-20.648). Le juge doit mettre en balance le droit à la preuve et les droits antinomiques en présence, et la production d’éléments portant atteinte à d’autres droits n’est justifiée qu’à condition que « cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi ».
Concrètement, une preuve tirée de la fouille irrégulière de votre messagerie n’est plus écartée automatiquement, mais elle ne passe le filtre que si l’employeur démontre deux choses : qu’elle était indispensable à la défense de ses droits, c’est-à-dire qu’il ne disposait d’aucun autre moyen de prouver les faits, et que l’atteinte à votre vie privée et au secret de vos correspondances était strictement proportionnée au but poursuivi. Dans la plupart des dossiers disciplinaires alimentés par une pêche exploratoire dans votre boîte, l’employeur échoue sur les deux branches : il disposait d’autres moyens, comme les outils de mesure d’activité, les témoignages ou les documents de gestion, et la fouille allait bien au-delà du grief invoqué. Demandez donc expressément au juge d’écarter les pièces litigieuses en exposant cette double faille, pièce par pièce.
Si les pièces sont écartées et qu’il ne reste rien au dossier, le licenciement disciplinaire devient sans cause réelle et sérieuse, avec les indemnités correspondantes, le rappel de préavis et de congés payés, et le remboursement des allocations de chômage à l’organisme d’assurance chômage dans les conditions légales. Même si le juge admettait certaines pièces au prix du contrôle de proportionnalité, les manquements au contradictoire, à l’information préalable et à la consultation du comité subsistent comme moyens d’annulation de la sanction. La défense doit donc articuler les deux étages : écartement des preuves irrégulières d’une part, nullité de la sanction pour violation des garanties procédurales d’autre part.
La préparation matérielle de votre dossier conditionne tout. Conservez la convocation, la notification de sanction, la charte informatique et le règlement intérieur dans leurs versions en vigueur à l’époque des faits, ainsi que tout message de la direction relatif au contrôle de la messagerie, ou la preuve de leur absence. Notez les dates : premier accès allégué à vos messages, entretien, notification. Identifiez les témoins, notamment les représentants du personnel, qui peuvent attester que le comité n’a jamais été consulté. Et ne signez ni n’avouez sous la pression de l’entretien : vos explications orales peuvent combler les lacunes d’un dossier irrégulier.
B. Saisir la CNIL, déposer plainte au pénal et obtenir réparation de chaque préjudice
La contestation prud’homale ne suffit pas toujours : la surveillance illicite cause des préjudices propres qui appellent des recours propres. La plainte devant la CNIL en fait partie. Tout salarié peut saisir la Commission en ligne lorsqu’un organisme porte atteinte à ses données personnelles, après avoir en principe exercé ses droits directement auprès de l’employeur. Décrivez précisément le dispositif contesté : copie automatique de votre boîte, ouverture de messages marqués personnels, enregistrement exhaustif de l’activité, absence d’information préalable. Joignez la charte, les captures utiles et la chronologie. La CNIL peut instruire, mettre en demeure l’employeur de se mettre en conformité et prononcer des sanctions. Le règlement européen exige à son article 83 que les amendes administratives soient dans chaque cas effectives, proportionnées et dissuasives, en tenant compte notamment de la nature, de la gravité et de la durée de la violation ainsi que du nombre de personnes affectées. Une surveillance déployée sur toute une équipe pèse donc plus lourd qu’un accès isolé.
Le volet pénal ne doit pas être négligé quand des messages personnels ont été ouverts sciemment. L’article 226-15 du code pénal sanctionne d’un an d’emprisonnement et de 45 000 euros d’amende l’ouverture ou la prise de connaissance frauduleuse de correspondances, y compris électroniques. Le dépôt de plainte, y compris avec constitution de partie civile, produit aussi un effet procédural utile : les faits qui ont donné lieu à des poursuites pénales dans le délai de deux mois échappent à la prescription disciplinaire de l’article L1332-4, et une enquête pénale peut établir des éléments que le juge prud’homal prendra en compte. Faites qualifier les faits avec précision par écrit : dates, messages concernés, personnes ayant accédé à la boîte, diffusion éventuelle de leur contenu à des tiers, ce qui aggrave la situation de l’employeur.
La réparation, enfin, se demande poste par poste. Devant le conseil de prud’hommes, l’annulation de la sanction ou la reconnaissance d’un licenciement sans cause réelle et sérieuse ouvre droit aux indemnités légales et conventionnelles, auxquelles s’ajoutent les rappels de salaire et les congés payés afférents. Le préjudice distinct causé par la violation de vos données personnelles, anxiété, discrédit auprès de l’équipe, diffusion de messages intimes, peut être indemnisé sur le fondement du droit commun et sur celui de l’article 82 du règlement européen, qui ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant. L’employeur, responsable du traitement de vos données de messagerie, répond de ce préjudice sauf à prouver que le fait dommageable ne lui est nullement imputable.
Attention aux délais qui vous contraignent, vous. L’article L1471-1 du code du travail prévoit que toute action portant sur la rupture du contrat se prescrit par douze mois à compter de la notification de la rupture, et que toute action portant sur l’exécution du contrat se prescrit par deux ans à compter du jour où celui qui l’exerce a connu ou aurait dû connaître les faits. Un licenciement fondé sur vos e-mails doit donc être contesté dans l’année de sa notification, tandis qu’une demande liée à la surveillance subie pendant l’exécution du contrat obéit au délai de deux ans. Ces délais courent indépendamment de la plainte CNIL : saisissez le conseil de prud’hommes à temps, sans attendre l’issue de la procédure devant la Commission.
Ce contentieux de la messagerie rejoint celui des autres outils de cybersurveillance, dont les logiques juridiques sont les mêmes : information préalable, consultation des représentants, nécessité et proportionnalité. Les salariés soumis à une surveillance logicielle de leur activité en télétravail trouveront dans notre analyse des dispositifs de keyloggers, captures d’écran et webcams permanentes les mêmes réflexes de contestation, pièce par pièce, devant la CNIL et les prud’hommes. La cohérence de votre défense suppose d’embrasser l’ensemble des dispositifs qui vous visent, et non le seul e-mail cité dans la lettre de sanction.
Conclusion
Votre employeur peut contrôler votre travail, mais il ne peut pas tout lire, tout copier et tout utiliser contre vous. Les messages non marqués comme personnels sont présumés professionnels et peuvent être lus ; les messages identifiés comme personnels exigent votre présence ou l’autorisation du juge ; la copie systématique de votre boîte et l’enregistrement exhaustif de votre activité sont excessifs ; et aucun dispositif n’est régulier sans information préalable, sans consultation du comité et sans proportionnalité démontrée. Quand la fouille était irrégulière, la sanction qui repose sur elle peut tomber : écartement des pièces non indispensables ou disproportionnées, prescription des faits connus depuis plus de deux mois, annulation pour violation des garanties procédurales.
Ne laissez pas le dossier disciplinaire se construire seul. Faites constater par écrit l’étendue de la fouille, exigez la preuve de votre information et de la consultation du comité, contestez chaque pièce litigieuse devant les prud’hommes dans les délais, et saisissez la CNIL pour faire cesser le dispositif et sanctionner l’employeur. La violation du secret de vos correspondances et de vos données personnelles ouvre en outre droit à une réparation propre, devant le juge prud’homal et sur le fondement du règlement européen. Face à une surveillance qui déborde, la réponse la plus efficace reste la mieux documentée : quatre questions, des dates, des écrits, et les bons recours exercés à temps.
Besoin d’un avis rapide sur votre dossier
Vous faites l’objet d’une surveillance de votre messagerie ou d’une sanction fondée sur vos e-mails et vous voulez un avis sur votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique : 80 EUR TTC. Appelez le 06 46 60 58 22 ou écrivez via la page https://kohenavocats.fr/formulaire-de-contact/.