1. LES FAITS

Le 19 février 2004, plusieurs hommes d’une société de services informatiques accompagnés du Président du Conseil d’administration d’Electrabel et numéro deux de SUEZ pénètrent, en pleine nuit, dans les bureaux d’Electrabel à Bruxelles.

Officiellement, il s’agit d’« une mission de vérification de la sécurité du réseau informatique d’Electrabel, ainsi que d’investigations relatives à un ordinateur personnel, qui a été menée à la demande de la présidence dans un contexte de complète confidentialité » (Communiqué d’Electrabel, La Libre Belgique, 15 avril 2003, p. 3.).

Officieusement, il s’agissait de vérifier et de confirmer si un haut responsable du groupe n’aurait pas communiqué certaines informations confidentielles au groupe énergétique espagnol, Iberdrola (La Libre Belgique, 15 avril 2003, p. 2.)

Cette affaire nous amène à nous interroger sur les mesures qu’un employeur peut prendre pour protéger les données informatiques de son entreprise et sur les limites qui lui sont imposées tant par la loi que par la jurisprudence. Comment et dans quelles mesures un employeur peut-il limiter l’utilisation des ressources informatiques de son entreprise et donc, surveiller l’emploi qui en est fait ?


2. UNE SOCIETE PEUT-ELLE LEGALEMENT SURVEILLER L’UTILISATION PAR SES EMPLOYES DES RESSOURCES INFORMATIQUES DE L’ENTREPRISE ?

Pour une entreprise comme Electrabel, les nouvelles technologies posent certains problèmes en matière de sécurité puisque des informations sur toute la vie de l’entreprise, ses fichiers de personnel, la gestion des commandes, ses secrets de fabrique, etc. sont disponibles sur le réseau de l’entreprise.

L’organisation du contrôle de l’employeur doit s’effectuer en respectant un ensemble d’exigences légales qui constituent autant de balises que les entreprises doivent soigneusement coordonner. Le contrôle mis en place aura un double objectif. Il vise tout d’abord à permettre à l’entreprise de prévenir une utilisation non autorisée ou illicite de ses ressources informatiques. Il permettra ensuite de déterminer l’identité de l’auteur de l’acte litigieux.

En Belgique, pour qu’un employeur puisse invoquer une faute dans le chef d’un travailleur suite à l’utilisation des nouvelles technologies, il lui est nécessaire de prouver, par le biais d’un contrôle légitime, l’existence de cette faute (Voy. T. CLAEYS, « L’utilisation des nouvelles technologies et de l’e-mail durant le contrat de travail, la notion de faute et son évolution dans l’exécution du contrat de travail » in Le contrat de travail et la nouvelle économie, éd. Du jeune Barreau de Bruxelles, 2001, p. 257.). Toute la difficulté réside justement dans le caractère légitime de ce contrôle.

En effet, le contrôle de l’utilisation des outils de communication par les travailleurs est strictement délimité par le droit au respect de la vie privée du travailleur et par une jurisprudence, peu encline, à autoriser un contrôle de l’employeur sur l’intimé de la vie privée du travailleur.

Devant la confusion initiée par les pratiques des employeurs et par une jurisprudence divergente, les organismes représentatifs des travailleurs et des employeurs ont signé, le 26 avril 2002, une convention collective relative à la protection de la vie privée des travailleurs à l’égard du contrôle des données de communication électronique.

En vertu de cette convention , un contrôle sera considéré comme légitime s’il répond à des conditions de finalité, de proportionnalité et de transparence.

En vertu du principe de finalité, le contrôle doit répondre à une des finalités pour lesquelles le contrôle des communications électroniques est autorisé. On pense notamment aux faits illicites ou diffamatoires, aux comportements contraires aux bonnes mœurs, à la protection des intérêts économiques au sens large de l’entreprise, à la sécurité des systèmes informatiques de l’entreprise et au respect, de bonne foi, du règlement de l’entreprise sur l’utilisation du réseau informatique. Ces finalités doivent être définies de manière claires et précises par l’employeur.

Le principe de proportionnalité implique que le contrôle doit revêtir, dans toutes les hypothèses, un caractère adéquat, pertinent et non excessif au regard des finalités poursuivies. Seules les données nécessaires au contrôle peuvent être collectées, c’est-à-dire les données qui, comptent tenu de la finalité légitime poursuivie par le contrôle, entraînent l’ingérence la plus réduite dans la sphère privée du travailleur.

Finalement, la convention instaure des conditions strictes de procédure (principe de transparence). L’employeur qui souhaite installer un système de contrôle des données de communications électroniques en réseau doit procéder à une information collective (via le conseil d’entreprise) de la politique de contrôle, de la conservation ou non des données et du caractère permanent ou non du contrôle, et à une information individuelle portant sur l’utilisation autorisée des outils informatiques (droit, devoirs et interdictions éventuelles) et sur les sanctions en cas de manquement.

Une procédure d’évaluation régulière est également rendue obligatoire. La convention règle ensuite la manière dont les données recueillies peuvent être individualisées, c’est-à-dire attribuées à une personne identifiée. Elles le seront d’office dans les cas les plus graves (faits illicites, atteinte aux intérêts de l’entreprise et la protection du réseau informatique). Dans les autres cas, les travailleurs seront avertis que si l’anomalie détectée persiste, une individualisation aura lieu.

Enfin, cette convention n’a pas pour objet de réglementer l’usage des moyens de communications électroniques de l’entreprise mais bien de garantir la protection des données à caractère personnel qui transite par le réseau de l’entreprise.


3. CONCLUSION

Il n’existe donc pas, pour l’instant, de législation spécifique encadrant l’usage des technologies de l’information et de la communication au sein des entreprises. Ces différents usages sont fixés de façon indirecte par un ensemble de textes épars. Les conditions du contrôle qui sera exercé par l’employeur sur l’usage des outils informatiques par ses employés relèvent donc avant tout de la voie conventionnelle, notamment via des chartes d’utilisation de ces moyens informatiques.




Bertrand Geradin
Avocat au barreau de Bruxelles - HOCHE