Guide CNIL pour les employeurs et les salariés

La loi " Informatique et Libertés " du 6 janvier 1978 modifiée par la loi du 6 août 2004 est applicable dès lors qu'il existe un traitement automatisé ou un fichier manuel (c'est-à-dire un fichier informatique ou un fichier " papier ") contenant des informations relatives à des personnes physiques.

Le fichier du personnel et l'adresse électronique des employés ne peuvent être utilisés à des fins de propagande politique. Les informations enregistrées par un logiciel conçu pour la réservation de billets de transports et déclaré comme tel ne peuvent être utilisées par un employeur pour contrôler l'activité de ses salariés (Cour d'appel de Paris, ch. Soc., 31 mai 1995).

Par exemple : le recueil d'informations sur l'entourage familial, l'état de santé ou encore le numéro de sécurité sociale d'un candidat à un recrutement n'est pas pertinent. L'enregistrement de la situation familiale précise d'un salarié ne peut se justifier que pour l'attribution d'avantages sociaux particuliers au salarié ou à sa famille.

En outre, comme le rappelle le code du travail, la mise en place d'un dispositif de contrôle des salariés ne doit pas conduire à apporter de restrictions aux droits et libertés des personnes qui ne seraient pas proportionnées au but recherché et justifiées par l'intérêt légitime de l'entreprise (article L1121-1 du code du travail).

Par exemple : la mise sous vidéosurveillance permanente d'un poste de travail ne pourrait intervenir qu'en cas de risque particulier et dûment avéré pour la sécurité du salarié concerné (voir fiche n° 8). De même, la mise en place d'une base d'empreintes digitales, pour contrôler l'accès à des locaux, ne peut se justifier que face à un fort impératif de sécurité et en l'absence de solutions alternatives moins intrusives (voir fiche n° 12).

Par exemple : le temps de la présence du salarié s'agissant d'une application de gestion des carrières, cinq ans pour un fichier de paie, deux ans après le dernier contact avec le candidat à un emploi pour un fichier de recrutement, un mois pour les enregistrements de vidéosurveillance...

Par exemple : chaque salarié doit disposer d'un mot de passe individuel régulièrement changé. Les droits d'accès aux données doivent être précisément définis en fonction des besoins réels de chaque personne (lecture, écriture, suppression). Il peut également être utile de prévoir un mécanisme de verrouillage systématique des postes informatiques au-delà d'une courte période de veille.