Le salarié et
ses données : quelle qualification juridique pour l’ordinateur ?
Annie Blandin,
maître de conférences à l’ENST Bretagne
Face aux enjeux de la maîtrise/ appropriation des données dans le contexte de la relation salariale, l’exercice proposé consister à qualifier l’ordinateur en distinguant successivement une dimension spatiale, matérielle puis personnelle. Dans la première hypothèse, l’ordinateur est à la fois un espace de subordination et un espace personnel. Cette approche spatiale fonde le droit d’accès de l’employeur à l’ordinateur tout en le limitant. La dimension matérielle permet de déterminer ensuite, sur la base d’une analyse en terme de patrimoine informationnel, ce à quoi l’employeur peut prétendre accéder. Ces deux premières dimensions convergent puisqu’elle révèlent l’existence d’un espace personnel et d’un patrimoine informationnel du salarié qui justifie que soit examiné le lien entre l’ordinateur pris dans sa globalité et le salarié. Le statut de la machine peut alors se déduire de l’émergence de la figure du travailleur en tant que sujet du droit dont l’ordinateur exprime l’identité. Ces observations plaident en faveur d’un contrôle de l’accès par le salarié, même si toutes les données ainsi que l’outil ne sont pas sa propriété.
L’abondante littérature et jurisprudence relatives à la cybersurveillance des salariés a contribué à déplacer le débat sur la propriété de l’information dans la firme vers un questionnement sur l’accès aux données du salarié, accès limité aux données professionnelles grâce à une reconnaissance croissante d’un espace privé au sein de l’entreprise. Pour important qu’il soit, ce thème n’en cache pas moins les véritables enjeux pour l’employeur en terme de maîtrise du travail et de l’information déposée dans les ordinateurs. La protection de la sphère personnelle du salarié a en effet des contreparties qu’un arrêt de mars 2003[1] résume bien en posant pour acquis le principe selon lequel le salarié ne doit pas se comporter comme s’il était propriétaire de l’ordinateur. Loin de confirmer une position aussi tranchée, le présent article propose une analyse critique fondée sur la qualification juridique de l’ordinateur.
I -
L’ordinateur-espace
1.
Un espace de
subordination
Au même titre que le temps de travail constitue le
temps de la subordination, le lieu de travail représente l’aire d’autorité de
l’employeur. Ce lieu est aussi celui de la localisation de l’ordinateur,
laquelle constitue un critère important aux fins de la qualification du travailleur.
Si l’ordinateur se trouve exclusivement à son domicile, celui-ci peut, s’il
remplit les autres critères légaux, être
qualifié de travailleur à domicile ou de travailleur indépendant. De la même
façon, c’est la portabilité de l’équipement informatique (et téléphonique) qui
fait du salarié un nomade.
A priori, le lien de subordination s’estompe quand
l’ordinateur s’éloigne de l’entreprise. S’agissant du télétravail par exemple,
l’article L. 721.1 du Code du travail n’exige aucun lien de subordination mais
l’existence d’un tel lien ne remet pas en cause la qualification de
télétravailleur. La mise à disposition de l’équipement informatique peut même
entraîner un resserrement du lien de subordination tant par le biais des règles
de réservation de l’usage du matériel à des fins professionnelles posées par
l’employeur que par sa capacité à contrôler le temps de travail voire la
productivité du travailleur.
La délocalisation de l’ordinateur s’accompagne
souvent de son appropriation par le travailleur. Lorsque celui-ci est
indépendant et lié par une obligation de résultat, les conséquences du régime
de propriété sont faciles à cerner puisque c’est la mise en oeuvre de son
propre patrimoine qui confère au travailleur un droit sur l’objet de ses
efforts. Plus délicat en revanche est le cas où l’entreprise finance en tout ou
en partie le matériel personnel du salarié. A la condition que cette opération
ait donné lieu à un accord d’entreprise ou de groupe, la loi la considère comme
un avantage non imposable. D’une façon générale, l’appropriation par le salarié
du matériel ou d’espaces de communication est considérée comme un avantage.
C’est ainsi par exemple que certaines entreprises font de la mise à disposition
d’un espace anonyme, un argument de recrutement (Belleil, 2001).
La délocalisation de l’espace de travail constitue
une alternative ou un complément de celle de l’ordinateur. On désigne ainsi par
le terme d’« e-room », des espaces privés de travail sur Internet
permettant une collaboration et un partage d’informations pour un projet
déterminé. La gestion des accès constitue une condition essentielle du bon
fonctionnement de ce mode de travail, cette question étant résolue dès le
départ, l’employeur ou du moins le responsable de projet faisant nécessairement
partie des élus.
En tout état de cause, quand l’ordinateur se trouve
dans l’entreprise, l’employeur peut prétendre y accéder et ceci dans sa
globalité. Il est ainsi en droit de demander son code d’accès au travailleur en
arrêt maladie qui est dans l’obligation de le transmettre en vertu de son
devoir de loyauté. De la même façon, il est admis que les administrateurs de
réseaux peuvent faire usage de leurs positions et de toutes les possibilités
techniques dont ils disposent pour mener à bien leur missions[2].
Ce droit d’accès ne disparaît pas à la fin du contrat de travail. La
récupération de données perdues ou volontairement effacées par un salarié avant
son départ constitue même un service proposé par certaines sociétés
spécialisées dans la recherche de preuves informatiques, qui interviennent dans
le domaine du droit social.
Le contrôle de l’activité du salarié est la première
justification généralement invoquée pour accéder à l’ordinateur. L’employeur
est en effet en droit de s’assurer que le travail pour lequel il rémunère le
salarié, en position de subordination, est réalisé. Avec les TIC, ce contrôle
prend la forme d’une cybersurveillance et le contremaître devient alors virtuel
( CNIL, 2001). En dehors des inquiétudes qu’elle suscite, cette surveillance
facilitée révèle le véritable objet du contrat de travail qui porte sur le
« corps productif du salarié » qui engage sa personne même dans la
relation de travail (Supiot, 2002).
A cette motivation s’ajoute le contrôle des flux
d’information à des fins de sécurité ainsi que les contrôles visant à prévenir
les fautes commises par les salariés dans l’usage d’Internet, fautes dont
l’employeur peut être amené à répondre en tant que commettant de ses salariés
(Sédaillan, 2002).
La volonté de maîtriser voire de s’approprier les
données constitue enfin un enjeu croissant dans un contexte où la propriété sur
le support semble s’étendre nécessairement à celle du contenu. L’employeur peut
chercher simplement à assurer le bon fonctionnement de l’entreprise en l’absence
d’un salarié. Mais ses motivations peuvent être plus ambitieuses s’il s’agit
véritablement de s’approprier les fruits d’un travail au-delà de la matière
couverte par le contrat.
L’exercice de ce droit est néanmoins subordonné au
respect de la vie personnelle dont l’existence dans l’entreprise a été
progressivement reconnue.
2.
Un espace
personnel
Donner un mot de passe au salarié constitue déjà une
reconnaissance implicite de l’existence de l’ordinateur en tant qu’espace
personnel. L’acceptation et la protection d’un espace privé voire personnel et
d’une vie privée sur le lieu et pendant le temps de travail est néanmoins un
apport jurisprudentiel récent. On sait désormais que la ligne de partage entre
lien de subordination et vie privée n’est plus tracée à la sortie des lieux de
travail et à l’expiration de l’horaire. Le célèbre arrêt Nikon a consacré par
ailleurs le principe du secret des correspondances dans le cadre des relations
de travail[3].
N’ayant pas le droit de prendre connaissance des messages personnels,
l’employeur ne pourra pas, s’il contourne cette interdiction, produire de tels
messages à titre de preuve d’agissements fautifs dans le cadre d’un
licenciement.
Présentée comme un progrès social porteur d’une
atténuation de la subordination, cette reconnaissance peut entraîner pourtant
des effets secondaires. L’utilisation personnelle de l’ordinateur a pour
contrepartie l’interpénétration de la sphère professionnelle et de la sphère
privée qui ne produit des effets bénéfiques que si elle repose sur un
équilibre, au demeurant difficile à trouver.
En témoignent les conditions de gestion de cet
espace personnel qui impliquent nécessairement un accès aux données du salarié,
ne serait-ce qu’à des fins de vérification de la qualification par ce dernier
de ses dossiers (personnels ou non personnels) ou de requalification en message
personnel d’un mail sur lequel ne figurait pas cette mention. En effet, on
préconise souvent de mettre en place un système où le salarié distingue ses
documents personnels et professionnels, qu’il s’agisse des mails ou des
fichiers, en créant un répertoire, en portant la mention
« personnel » sur le mail ou en ayant recours à un serveur externe de
messagerie (Forum des droits sur l’Internet, 2002).
Mais ce système, qui repose sur la confiance faite
au salarié censé exécuter le contrat de bonne foi, n’exclut pas tout contrôle
et en particulier celui portant sur le contenu de l’information. Certes, ce
n’est pas l’employeur lui-même qui s’acquitte de ces tâches et plus généralement
des opérations de contrôle. Celles-ci sont en effet dévolues à l’administrateur
réseau. Mais les risques ne sont pas pour autant maîtrisés car ce dernier
acquiert un pouvoir dans l’entreprise qu’aucune disposition instaurant un
secret professionnel ne peut véritablement limiter, sauf sa propre
responsabilité, au demeurant très lourde puisqu’elle est pénalement engagée
même si les ordres émanent de l’employeur. Le rôle de l’administrateur montre
bien que la subordination centrée fait place à un contrôle périphérique.
Avec l’apparition du nouveau métier de correspondant
à la protection des données, le rôle de l’administrateur pourrait
éventuellement être mieux encadré si la gestion du lien vie personnelle/vie
professionnelle entre dans les compétences du correspondant qui sont a priori
plutôt centrées sur la supervision des traitements de données personnelles mis
en œuvre.
Quels qu’ils soient, les accès ne peuvent s’exercer
sans un encadrement collectif. Le Code du travail contient plusieurs articles protecteurs
à l’égard du salarié, notamment l’article L. 121-8 selon lequel aucune
information concernant personnellement un salarié ne peut être collectée par un
dispositif qui n’a pas été porté préalablement à sa connaissance. Par ailleurs,
les instances représentatives du personnel doivent être consultées avant
l’introduction des traitements automatisés permettant un contrôle d’activité
(art. L. 432-2-1). Dans ce contexte, Chartes et codes de conduite sont vivement
encouragés, en particulier par la CNIL.
L’encadrement résultant des dispositions conjuguées
du Code du travail et du dispositif « informatique et libertés »
demeure néanmoins partiel. Il ne vise a priori que la protection des données
personnelles et de la vie privée du salarié et la cybersurveillance
« organisée », préservant voire renforçant le principe d’un accès aux
données professionnelles. Et l’on peut se demander alors si la véritable
contrepartie de la reconnaissance d’une sphère d’autonomie individuelle n’est
pas l’acceptation d’une emprise croissante de l’employeur sur l’esprit
productif cette fois du salarié, laquelle ne fait a priori pas l’objet d’un
encadrement.
Les composantes du patrimoine informationnel sont à
la fois des données et des flux. La principale difficulté en la matière
consiste à évaluer ce qui relève du patrimoine du salarié et ce qui entre dans
celui de l’entreprise.
1.
Le patrimoine
informationnel de l’entreprise
Les données professionnelles sont celles qui résultent
du travail effectué et celles sur lesquelles le salarié ne peut faire valoir un
droit de propriété.
Si la notion de données personnelles est clairement définie comme « toute information concernant une personne identifiée ou identifiable », la notion de données professionnelles n’en constitue pas pour autant son exact opposé dans la mesure où elle peut incorporer des éléments d’expression de la personne du salarié. En revanche, dès lors que la protection des données personnelles est assurée dans l’entreprise et plus largement celle de la vie personnelle du salarié, le droit d’accès de l’employeur aux données « professionnelles » semble acquis. Et la difficulté liée à la qualification juridique des données est alors gommée.
Pourtant, la donnée professionnelle est souvent chargée d’informations personnelles et/ou d’informations qui ne font pas l’objet du contrat de travail. Par exemple, les logiciels de travail de groupe « a priori inoffensifs », sauf s’ils sont détournés de leur objet à des fins de surveillance, donnent des informations précieuses sur la manière dont le salarié travaille et notamment sur son comportement face à la gestion d’une situation donnée (Bochurberg, Cornuaud, 2001). D’une façon générale, le travail en réseau confère un statut nouveau à la donnée, statut encore peu exploré par la doctrine juridique.
Parmi les données professionnelles, il conviendrait de distinguer celles qui constituent l’objet du contrat de travail et celles qui s’apparentent davantage à des données-moyen. L’accès à ces dernières permet à l’employeur de s’approprier un savoir-faire, des méthodes de travail, autant d’informations qu’il cherche à protéger par ailleurs et qui sont susceptibles de lui être fournies en plus des résultats légitimement attendus dans le cadre de la relation de travail.
L’employeur tenté d’utiliser des informations de ce type pourrait alors être sanctionné, par exemple sur le fondement d’une extension de la théorie des agissements parasitaires. Pour prévenir ces conflits, il est nécessaire de définir l’étendue du patrimoine informationnel du salarié.
2.
Le patrimoine
informationnel du salarié
Le patrimoine informationnel du salarié est a priori
constitué de données sur lesquelles il dispose d’un droit de propriété. C’est
le cas des œuvres puisque les droits d’auteur naissent sur la tête de la
personne qui crée l’œuvre, même dans le contexte d’une relation salariale. Ce
n’est qu’en matière de logiciels qu’il existe une présomption de cession des
droits patrimoniaux à l’employeur. Le droit d’accès de l’employeur rencontre
ici limite.
En effet, afin d’adapter le droit d’auteur ou le
copyright aux enjeux du numérique, le droit européen, tout comme le droit
américain[4],
prévoit des dispositions de protection juridique des mesures techniques que les
auteurs sont susceptibles d’utiliser pour contrôler l’accès à leurs œuvres.
L’auteur se voit ainsi, et de façon paradoxale (Buydens, Dussolier, 2001),
reconnaître une prérogative nouvelle qui n’entre pas dans le champ de la
protection traditionnellement offerte par le droit d’auteur. En effet, lire un
livre ou assister à une représentation théâtrale relèvent d’une liberté qui ne
nécessite aucune autorisation de l’auteur laquelle ne doit être sollicitée que
si on reproduit l’ouvrage ou si l’on représente la pièce.
Si les incidences économiques et juridiques de ce
nouveau régime, fondé sur la maîtrise de l’accès, ont été évaluées par la
doctrine (Blandin, 2002, Rochelandet, 2002), on peut également examiner ses
conséquences sur la relation de travail... Dans les cas où il n’y a pas cession
des droits, le salarié-auteur serait donc fondé à contrôler l’accès aux œuvres
se trouvant dans son ordinateur. Ceci peut concerner par exemple l’enseignant,
si l’on se réfère à la jurisprudence qui établit que seule sa production orale,
c’est à dire son cours, relève de son service tandis que sa production écrite
lui demeurerait propre.
Par extension, on peut se demander si la présence de
données personnelles dans un ordinateur aux côtés des données professionnelles
peut justifier une revendication de contrôle par le salarié de l’accès à son
ordinateur.
Une telle revendication serait vouée à l’échec si
elle était fondée sur la valeur patrimoniale de ces données dont l’individu
prétendrait être le propriétaire. Dans le cadre de la marchandisation de ce
type d’informations, il existe un courant favorable à cette approche. Mais
celui-ci est en contradiction avec le fondement de la protection des données.
En effet, c’est en faisant valoir un droit de la personnalité que le salarié
peut revendiquer la maîtrise sur ses données (Poullet,1991.
Le droit de la protection des données personnelles
évolue dans le sens d’un renforcement de la maîtrise des données par la
personne elle-même que traduit par exemple la généralisation de l’opt-in.
L’établissement d’une hiérarchie des données présentes dans un ordinateur
pourrait alors conduire à revendiquer un contrôle de l’accès à l’ordinateur
dans sa globalité.
Il s’agit néanmoins d’une position contestable même
si l’on se fonde sur le statut de droit fondamental conféré à la protection des
données personnelles pour faire échec au pouvoir de direction de l’entreprise.
Car cela revient à considérer que c’est la vie professionnelle qui a vocation à
s’intégrer dans la vie personnelle et non l’inverse. En contrepartie, le
salarié pourrait être obligé d’accepter que la sphère professionnelle empiète
sur sa sphère privée alors que le juge semble avoir refusé toute symétrie en
établissant, à propos du télétravail, que nul n’est tenu d’accepter de
travailler à domicile[5].
Ceci est corroboré par le fait que s’il existe une présomption, c’est bien
celle du caractère professionnel des données et de l’usage des outils de
travail, y compris Internet.
Quoi qu’il en soit, de l’analyse de la dimension
spatiale et matérielle de l’ordinateur, il ressort qu’il existe une
« troisième dimension », la dimension personnelle, qui permet de
poser la problématique de l’accès.
La qualification de l’ordinateur en tant qu’espace
ou en tant qu’objet révèle les tensions entre les principes du droit de travail
et ceux qui gouvernent le droit d’auteur et celui de la protection des données
personnelles et de la vie privée. Cloisonner les espaces ou classifier les
données revient à appréhender l’accès à l’ordinateur comme une question
nécessitant une régulation visant à assurer une proportionnalité entre les
droits du salarié et les intérêts de
l’entreprise. Mais cette logique conduit à « destructurer » la
machine alors qu’elle doit aussi être appréhendée dans sa globalité.
A cette fin, l’ordinateur
pourrait être qualifié de sujet ou du moins d’attribut du sujet. Cette
proposition paraît pertinente au regard non seulement des usages de
l’ordinateur mais aussi du statut du travailleur en tant que sujet de droit. Le
statut de l’ordinateur dans le cadre de la relation de travail peut en effet se
déduire du statut de la machine elle-même mais aussi et surtout du statut du
travailleur.
1. L’ordinateur,
expression d’une identité
Les théories de l’intelligence artificielle traitent
du statut de la machine par référence à l’homme. Comme elle, il serait composé
d’un support et d’un modèle informationnel (Breton, 1995). En reproduisant des
fonctions intellectuelles humaines, l’ordinateur apparaît dès lors comme un
reflet de l’esprit. Téléchargement de l’esprit, humanisation ou
personnalisation de l’ordinateur apparaissent comme autant de consécrations
possibles de cette approche. Les conséquences sur le plan juridique seraient la
création d’une nouvelle catégorie, la personne virtuelle, définie comme
« une ensemble de droits sur un profiling consenti de données ou
d’activités ». En tant que sujet de droit, celle-ci pourrait disposer d’un
patrimoine, être acteur d’actes juridiques, être protégée et responsable
(Bourcier, 2001). Et l’ordinateur serait son attribut voire son incarnation.
Pour autant, les enjeux de cette création ne
répondent pas nécessairement à ceux du contexte professionnel. En effet,
celle-ci se justifierait essentiellement par la volonté d’assurer une autonomie
plus grande par rapport à la personne physique. Or, en droit du travail,
l’émergence de la figure du travailleur en tant que sujet de droit s’inscrit
d’abord dans la reconnaissance de l’existence de son corps et de l’emprise que
la relation de travail implique sur lui. Le sujet s’oppose ici au travail
appréhendé comme une chose et non à lui-même comme dans les théories reposant
sur une dualité entre corps et esprit. Leur principale faiblesse au regard de
la problématique de la relation de travail réside en effet dans la destitution
du corps que sous-tend « l’hymne à l’esprit » (Le Breton, 1999).
Or, l’affirmation du travailleur en tant que sujet
passe en premier lieu par la protection de son corps (sécurité) puis par la
promotion de son identité (Supiot, 2002). C’est à ce titre que les droits du
salarié sur son œuvre sont reconnus (pratique de rémunération additionnelle),
et que des droits (mais pas nécessairement des droits de propriété) sur
certaines données professionnelles pourraient être octroyés. Ces droits
seraient susceptibles de s’étendre à la structure même de l’ordinateur en tant
qu’il constitue une base de données ou encore en tant qu’il est la mémoire du
travailleur.
Enfin, en appréhendant l’ordinateur comme un être
doté d’une vie propre, en raison notamment des flux informationnels qu’il
traite, on pourrait faire converger les deux dimensions du sujet et fonder une
revendication de contrôle individuel du salarié sur son ordinateur, expression
d’une identité individuelle voire collective dans le contexte d’un travail en
réseau. La question de la maîtrise de l’accès serait alors posée indépendamment
de celle de la propriété selon le paradigme de l’accès comme alternative à la
propriété.
2. Le contrôle individuel de l’accès
Un contrôle individuel des accès est indéniablement
difficile à mettre en œuvre, qu’il s’agisse d’un contrôle exclusif de celui de
l’employeur ou d’un contrôle partagé.
Le contrôle individuel apparaît a priori comme une
solution protectrice du salarié. Elle n’en est pas moins ambivalente. Dans le
contexte d’une individualisation des situations juridiques où le salarié
devient « l’artisan des différents aspects de sa vie
professionnelle » la protection de l’individu par le groupe diminue et
risque de conduire à un démantèlement des droits « enracinés dans le
collectif » (Supiot, 2002). C’est ainsi par exemple que l’on constate que
les TIC sont source de difficultés pour
les inspecteurs du travail dans l’accomplissement de leur mission (Benalcazar
de, 2003).
L’alternative serait un contrôle partagé. Mais s’il
devait y avoir un tel contrôle, encore faudrait-il définir le principe de
régulation des compétences respectives de l’employeur et du salarié. En
s’inspirant du principe européen de subsidiarité, on pourrait prévoir que le
contrôle se réalise au niveau le plus proche de l’utilisateur de l’ordinateur,
c’est-à-dire à celui du salarié. Ce n’est que lorsque les intérêts de
l’employeur sont menacés, a posteriori, que celui-ci serait alors fondé à
demander l’accès.
Les trois qualifications de l’ordinateur qui ont été
présentées posent les jalons d’une évolution vers une maîtrise croissante de
ses données par le salarié. La dimension spatiale permet d’abord d’identifier
les espaces où l’employeur n’a pas le droit d’accéder. Puis, se pose la
question de savoir à quelles données il peut accéder. Enfin, la référence au
sujet permet de proposer que le salarié soit le maître des accès.
Cette évolution constitue un progrès social allant
dans le sens d’une autonomisation, d’une responsabilisation voire d’une
émancipation du salarié. Mais comme dans tous les domaines où l’informatique
paraît, le risque est grand de voir se creuser un fossé entre les propriétaires
« virtuels » de leur outil de travail et ceux qui au contraire seront
contrôlés par un contremaître virtuel.
BIBLIOGRAPHIE
BELLEIL Arnaud, e-privacy,
Le marché des données personnelles : protection de la vie privée à l’âge d’Internet, Dunod, 2001.
BENALCAZAR DE Isabelle, Droit du travail et nouvelles technologies, Montchrestien, Ed.
Gualino, 2003.
BOCHUBERG Lionel, CORNUAUD Sébastien, Internet et la vie privée au bureau,
Delmas, 2001.
BOURCIER Danielle, « De l’intelligence
artificielle à la personne virtuelle : émergence d’une entité
juridique ? », Droit et Société,
49-2001, p. 847-871.
BRETON Philippe, A l’image de l’homme. Du Golem aux
créatures artificielles, Seuil, 1995.
BUYDENS M ; , DUSSOLIER S. « Les
exceptions au droit d’auteur dans l’environnement numérique : évolutions
dangereuses », Communication-commerce
électronique, sept. 2001.
CNIL, La
cybersurveillance des salariés dans l’entreprise, mars 2001.
FORUM DES DROITS SUR INTERNET, Relations de travail et Internet, septembre 2002.
LE BRETON David, L’adieu
au corps, Métailié, 1999.
POULLET Yves, « Le fondement du droit à la
protection des données nominatives : propriétés ou libertés ? »
in Nouvelles technologies et propriété,
MACKAAY E. (dir.), Litec, 1991.
RIFKIN Jeremy, L’âge de l’accès ; la révolution de la nouvelle économie, La découverte, 2000.
SEDAILLAN Valérie, « La responsabilité de
l’employeur en tant que fournisseur d’accès à Internet », Légicom, 2002/2, p. 47-56.
SUPIOT Alain, Critique
du droit du travail, PUF Quadridge, 2002.
[1] Cass. soc., 18 mars 2003, UMS.
[2] CA Paris, 11ème chambre A., 17 décembre 2001.
[3] Cass. soc, 2 octobre 2001, Nikon.
[4]Directive 2001/29/CE du Parlement européen et du Conseil sur l’harmonisation des droits d’auteur et des droits voisins dans la société de l’information, JOCE n° L 167 du 22 juin 2001, p. 10.
[5] Cass. soc., 2 octobre 2001, Abram.