Surveillance des salariés : badgeuse, vidéosurveillance, logiciels… la CNIL rappelle les règles à respecter

• Dans une mise à jour publiée le 9 juillet 2026, la CNIL rappelle que le contrôle de l'activité professionnelle est strictement encadré par le droit du travail et la réglementation sur la protection des données personnelles.
• Les employeurs doivent trouver un équilibre entre leurs besoins d'organisation et le respect des droits fondamentaux des salariés.
• Pour les cabinets vétérinaires, les pharmacies d'officine ou encore les cabinets dentaires, où les outils numériques sont désormais omniprésents, ces rappels méritent une attention particulière.

L'employeur peut contrôler l'activité… mais pas surveiller en permanence

Le pouvoir de direction permet à un employeur de vérifier que le travail demandé est effectivement réalisé. Cela ne signifie pas qu'il puisse observer en continu chacun des gestes ou des actions de ses collaborateurs.

La CNIL rappelle que tout dispositif de contrôle doit répondre à trois exigences cumulatives. Si l'une d'entre elles fait défaut, le système peut être considéré comme illicite :

1. Une finalité légitime

L'employeur doit avoir un objectif précis et justifié. Il peut s'agir, par exemple, d'assurer la sécurité des personnes et des biens, de protéger des informations sensibles, de prévenir les fraudes ou de contrôler le respect des obligations professionnelles. En revanche, il ne peut pas mettre en place un dispositif dans le seul but de surveiller en permanence ses salariés.

2. Un dispositif nécessaire et proportionné

Les moyens utilisés doivent être adaptés à l'objectif poursuivi et ne pas aller au-delà de ce qui est nécessaire. La CNIL rappelle qu'il faut toujours privilégier la solution la moins intrusive. Par exemple, un contrôle ponctuel sera généralement préférable à une surveillance continue si cela permet d'atteindre le même résultat.

3. Une information préalable des salariés

Les salariés doivent être clairement informés avant la mise en place du dispositif. Cette information doit notamment préciser :

• l'existence du contrôle ;
• sa finalité ;
• les données collectées ;
• la durée de conservation des données ;
• les destinataires des informations ;
• les droits dont disposent les salariés (accès, rectification, opposition lorsque cela est possible, etc.).

Le dispositif doit être nécessaire et proportionné

Avant toute installation, l'employeur doit être capable de démontrer pourquoi le dispositif est nécessaire.

L'objectif peut être, par exemple :

• assurer la sécurité des personnes ou des biens ;
• organiser le temps de travail ;
• mesurer une activité pour piloter un service ;
• protéger des données sensibles ;
• répondre à une obligation réglementaire.

La CNIL insiste sur le principe de proportionnalité : les données collectées doivent être limitées à ce qui est réellement utile pour atteindre l'objectif poursuivi. Autrement dit, plus un dispositif est intrusif, plus l'employeur devra justifier son intérêt.

Une surveillance permanente est prohibée

La frontière est parfois ténue entre le suivi de l'activité et la surveillance permanente.

Pour la CNIL, un employeur ne peut pas placer un salarié sous observation constante, que celui-ci travaille dans les locaux de l'entreprise ou à distance.

Cette règle vaut notamment pour le télétravail, même s'il est rare dans les professions de santé, où certains logiciels permettent un suivi extrêmement précis des collaborateurs. L'autorité cite ainsi le cas des keyloggers, ces programmes capables d'enregistrer chaque frappe effectuée au clavier. Un tel dispositif est considéré comme manifestement disproportionné puisqu'il permet une surveillance continue du salarié.

Un outil ne peut pas servir à un autre objectif

Autre point régulièrement rappelé par la CNIL : un dispositif installé pour une finalité déterminée ne peut pas être détourné de son usage initial.

Par exemple, un système mis en place pour sécuriser les locaux ne peut pas devenir, sans information préalable, un outil destiné à évaluer les performances individuelles ou à contrôler les horaires.

Cette exigence découle du principe de limitation des finalités prévu par le RGPD.

L'employeur doit donc définir précisément l'objectif poursuivi dès la mise en place du dispositif et s'y tenir.

Consultation du CSE : une étape à ne pas négliger

Lorsque l'entreprise compte au moins 50 salariés, le comité social et économique (CSE) doit être consulté avant l'installation de certains dispositifs de contrôle.

Cette consultation concerne notamment :

• les systèmes de vidéosurveillance ;
• les badgeuses destinées au contrôle du temps de travail ;
• plus largement, les outils susceptibles d'avoir un impact sur les conditions de travail ou permettant de contrôler l'activité des salariés.

Les salariés doivent être informés en toute transparence

La transparence constitue une autre obligation incontournable.

Avant la mise en service d'un dispositif collectant des données personnelles, les salariés doivent être clairement informés. Cette information doit notamment préciser :

• la nature du dispositif ;
• sa finalité ;
• les catégories de données collectées ;
• la durée de conservation des informations ;
• les personnes pouvant y accéder ;
• les droits dont disposent les salariés concernant leurs données.

Quels risques pour l'employeur ?

Le non-respect de ces règles ne constitue pas une simple irrégularité administrative. Les conséquences peuvent être importantes.

Un dispositif jugé illicite peut conduire à :

• l'impossibilité d'utiliser les données collectées dans une procédure disciplinaire ;
• une intervention de la CNIL pouvant déboucher sur des mesures correctrices ou des sanctions ;
• des contestations devant le conseil de prud'hommes ;
• une atteinte à la confiance au sein des équipes, notamment lorsque les salariés découvrent un système de surveillance dont ils n'avaient pas connaissance.

Quels recours pour les salariés ?

• Lorsqu'un salarié estime qu'un dispositif de contrôle porte atteinte à ses droits, plusieurs interlocuteurs peuvent être saisis selon la nature de la situation.
• Il peut notamment déposer une plainte auprès de la CNIL lorsqu'il considère que ses données personnelles sont traitées de manière irrégulière.
• L'inspection du travail peut également être sollicitée, en particulier lorsque le dispositif de surveillance s'accompagne de conditions de travail dégradées ou de situations pouvant relever du harcèlement moral.
• Si des caméras filment des espaces ouverts au public, les services préfectoraux peuvent être compétents.
• Enfin, lorsqu'une infraction pénale est susceptible d'être caractérisée, le salarié peut saisir les services de police, de gendarmerie ou directement le procureur de la République.

Source : CNIL, Travail, ressources humaines : le contrôle de l'activité des personnes employées, mise à jour du 9 juillet 2026.