Gérer une crise informatique en respectant les droits des salariés
Naviguer entre urgence et respect de la vie privée
Une crise informatique requiert une attention particulière pour éviter de tomber dans la précipitation. L’employeur doit suivre des règles et prendre des précautions pour respecter les droits des salariés, notamment en ce qui concerne leur vie privée.
La résolution d’un incident informatique peut impliquer l’intervention des équipes techniques sur l’ordinateur de certains employés pour identifier l’origine du problème. À ce stade, un salarié dont l’ordinateur est concerné n’est pas forcément fautif. Par exemple, un tiers aurait pu accéder illégalement à l’ordinateur.
Il est important de différencier les investigations menées pour résoudre techniquement la crise de celles visant à recueillir des preuves contre un salarié. Cet article ne traitera pas de l’utilisation des preuves recueillies pour établir la responsabilité du salarié dans le cadre d’une sanction ou d’un litige prud’homal.
Dans une situation de crise informatique, l’employeur peut-il vérifier le contenu de l’ordinateur professionnel d’un salarié et/ou le confier aux équipes techniques pour enquête ?
I- Les règles à respecter avant d’investiguer sur l’ordinateur d’un salarié
L’examen de l’ordinateur professionnel d’un salarié devrait être effectué en collaboration avec les juristes, les responsables des ressources humaines, le DPO et les équipes techniques pour éviter les erreurs en situation de crise.
La nécessité d’un motif légitime et proportionné
En droit, l’employeur doit avoir un motif légitime pour contrôler l’ordinateur d’un salarié. Le contrôle doit être justifié et proportionné. La simple curiosité de l’employeur ne constitue pas un motif légitime.
Assurer la sécurité du réseau informatique, notamment lors d’une crise informatique, semble être un motif légitime.
En conclusion : la nécessité de résoudre un incident informatique en situation de crise est proportionnée et constitue un motif légitime pour l’employeur d’accéder au contenu de l’ordinateur.
La vérification préalable de la charte informatique/règlement intérieur/notes et procédures d’entreprise
La CNIL recommande que les modalités d’accès aux données stockées sur l’environnement informatique d’un salarié soient définies en concertation et communiquées aux salariés. Il est nécessaire de vérifier si cette situation a été réglée en amont par une charte ou des notes internes.
Si l’entreprise en possède une, la charte informatique peut prévoir des procédures spécifiques pour accéder au contenu des disques durs des salariés.
Il est important de vérifier la charte informatique, si l’entreprise en possède une. Sinon, c’est une opportunité d’amélioration pour l’entreprise, en y intégrant des dispositions spécifiques pour les situations de crise informatique.
L’autorisation du salarié n’est pas requise pour l’investigation de l’ordinateur
L’accord du salarié n’est pas nécessaire pour accéder à son ordinateur professionnel. Il en va de même pour les périphériques connectés considérés comme professionnels (par exemple, une clé USB).
Une convocation du salarié non obligatoire en cas d’urgence extrême
La présence du salarié n’est pas requise en cas d’urgence, c’est-à-dire lorsqu’il y a un « risque ou événement particulier ». Cependant, cette urgence pourrait être remise en question ultérieurement. Par conséquent, il est préférable d’attendre la présence du salarié ou, au moins, de l’informer lorsque cela est possible.
II – L’investigation de l’ordinateur d’un salarié par les équipes techniques et/ou l’employeur
Lorsque les vérifications nécessaires ont été effectuées et le cadre légal établi, les investigations peuvent commencer. Selon la situation, il peut être judicieux d’investiguer en présence d’au moins deux personnes (RH, DPO, expert mandaté, etc.).
De plus, si l’employeur ou l’équipe technique a besoin d’un mot de passe pour accéder à l’ordinateur du salarié, ce dernier doit le communiquer.
Une prudence requise pendant l’investigation sur l’ordinateur du salarié
-
La distinction impérative entre les fichiers/courriels personnels et professionnels du salarié
Les messages reçus ou envoyés sur la messagerie professionnelle sont, en principe, de nature professionnelle. L’employeur est donc en droit de les consulter en l’absence du salarié. De plus, les dossiers et fichiers créés par le salarié sur l’ordinateur, mis à disposition par l’employeur, sont également présumés avoir un caractère professionnel.
Cependant, si un fichier/dossier ou l’objet d’un mail indique la mention « Personnel » ou « Privé », l’employeur ne doit pas y accéder, car il doit respecter le secret des correspondances.
Toutefois, en cas de risque ou événement particulier, la jurisprudence maintient la possibilité pour l’employeur de consulter ces documents. On peut supposer que cela s’applique également dans le cas d’une gestion de crise informatique, mais aucune jurisprudence ne le confirme à ce jour. De plus, le règlement intérieur peut contenir des dispositions restreignant le pouvoir de consultation de l’employeur, en le soumettant à d’autres conditions comme la présence nécessaire du salarié.
Il est également possible pour l’employeur de réaliser une copie intégrale du disque dur du salarié en son absence. Le disque pourra être confié à un expert mandaté, qui exclura de son rapport les documents identifiés comme personnels. Lorsque la conservation des preuves est nécessaire, il est recommandé de faire appel à un huissier qui pourra réaliser un constat et être accompagné de l’expert en question.
-
Le rôle de l’administrateur réseau
Lorsque l’objectif de sécurité du réseau informatique l’exige, l’administrateur réseau peut consulter tous les mails des salariés, sans distinction de leur nature personnelle/privée. Cependant, il ne peut pas en divulguer le contenu à l’employeur. Il s’agit donc d’un moyen d’investigation possible pour résoudre techniquement la crise et non pour collecter des preuves contre le salarié.
Toutefois, la CNIL précise que cet accès « ne peut être justifié que dans les cas où le bon fonctionnement des systèmes informatiques ne pourrait être assuré par d’autres moyens moins intrusifs ».
-
La présomption du caractère professionnel des données de connexion
Les données de connexion du salarié (historique, favoris, etc.) sont présumées avoir un caractère professionnel lorsqu’elles ont été établies grâce à l’outil informatique mis à sa disposition par son employeur pour l’exécution de son contrat de travail. L’employeur peut ainsi les consulter, sans que la présence du salarié ne soit requise.
Le rappel du devoir de confidentialité de l’administrateur réseau
La cour d’appel de Paris, le 17 décembre 2001, a précisé que : « Il est dans la fonction des administrateurs de réseaux d’assurer le fonctionnement normal de ceux-ci ainsi que leur sécurité, ce qui entraîne, entre autres, qu’ils aient accès aux messageries et à leur contenu, ne serait-ce que pour les débloquer ou éviter des démarches hostiles ».
L’administrateur réseau est ainsi tenu au secret professionnel, notamment lorsqu’il est susceptible de prendre connaissance, volontairement ou non, de correspondances privées ou de fichiers personnels des salariés.
Cette obligation de confidentialité peut être rappelée dans la charte informatique de l’entreprise ainsi que dans le contrat de travail de l’administrateur réseau.
En conclusion, les investigations sur l’ordinateur d’un salarié doivent être menées avec une attention particulière. Elles ne doivent pas être précipitées afin de veiller au respect des droits du salarié. Le recours à un avocat spécialisé et à un spécialiste de la gestion de crise peut également s’avérer judicieux.