Surveillance des employés aux Pays-Bas : que peuvent faire les employeurs ?

Aux Pays-Bas, en tant qu'employeur, vous ne pouvez surveiller vos employés que si vous avez un intérêt légitime spécifique, qu'aucune mesure moins intrusive n'est acceptable et que le personnel a été informé au préalable de la nature et des raisons de cette surveillance. Dans la plupart des cas, vous devez également obtenir l'accord préalable du comité d'entreprise (ondernemingsraad) conformément à l'article 27(1) de la loi sur les comités d'entreprise (WOR) ; un système de surveillance mis en place sans cet accord est nul si le comité d'entreprise en invoque la nullité.

Cet article explique quelles règles s'appliquent, pourquoi le consentement des employés constitue rarement une base légale, ce que vous devez documenter, comment le comité d'entreprise est impliqué et ce que les règles impliquent pour les caméras, le suivi, les courriels et le télétravail.

Quelles sont les règles qui régissent la surveillance des employés ?

Quatre ensembles de règles s'appliquent simultanément. Le RGPD (en néerlandais : AVG) régit tout traitement de données personnelles, et la loi de mise en œuvre du RGPD (Uitvoeringswet AVG, UAVG) ajoute les règles nationales et confère ses pouvoirs à l'Autorité néerlandaise de protection des données ( Autoriteit Persoonsgegevens ).

L'article 8 de la Convention européenne des droits de l'homme protège la vie privée, y compris les communications au travail. Aux termes de l'article 7:611 du Code civil néerlandais (BW), vous devez agir en bon employeur, et les tribunaux appliquent cette norme à toute surveillance disproportionnée dans le cadre de la relation de travail. Le droit pénal fixe les limites : l'article 139f du Code pénal néerlandais (Sr) érige en infraction le fait de prendre secrètement des images d'une personne à son domicile ou dans un autre lieu non public à l'aide d'un dispositif caché ; l'article 139a Sr érige également en infraction le fait d'écouter intentionnellement une conversation à laquelle on ne participe pas au moyen d'un dispositif technique.

Sur quel fondement juridique un employeur peut-il s'appuyer ?

En pratique, seul le fondement de l'intérêt légitime est valable. Le consentement des salariés est rarement valide, car la dépendance inhérente à la relation de travail fait qu'il est rarement donné librement ; un programme de surveillance fondé sur des formulaires de consentement signés est donc dénué de tout fondement.

La nécessité de l'exécution du contrat de travail est tout aussi ténue : le versement des salaires requiert une gestion administrative, et non l'enregistrement des frappes au clavier. Une obligation légale ne justifie l'enregistrement que dans la mesure où elle concerne, par exemple, le suivi du temps de travail.

Le test d'intérêt légitime comporte trois étapes à suivre et à consigner. Premièrement, définissez précisément l'intérêt, par exemple la prévention des vols dans un entrepôt spécifique. Deuxièmement, démontrez la nécessité de la mesure : celle-ci doit servir cet intérêt et aucune mesure moins contraignante n'est envisageable. Troisièmement, mettez en balance l'intérêt et le respect de la vie privée des employés, en tenant compte du caractère intrusif de la mesure, de sa durée et du nombre de personnes concernées. La plupart des programmes échouent car la première étape est négligée.

Que signifient concrètement les notions de nécessité et de proportionnalité ?

La surveillance continue est évaluée avec beaucoup plus de rigueur que les contrôles périodiques ou par échantillonnage. La surveillance ciblée d'un employé identifié, fondée sur un soupçon concret et pendant une période limitée, est plus facile à justifier qu'une surveillance généralisée de l'ensemble du personnel. Les données agrégées ou pseudonymisées constituent généralement l'alternative la plus souple à privilégier en premier lieu.

La surveillance peut ne pas s'étendre aux zones où les employés s'attendent à avoir leur vie privée, comme les toilettes, les vestiaires et les espaces de repos. Les données de santé constituent une catégorie particulière : un système de gestion des absences peut enregistrer les dates d'absence, mais un responsable ne peut pas consigner le motif médical.

Quelles informations doivent être communiquées aux employés avant le début de la surveillance ?

Les employés doivent être informés au préalable : des données collectées, de leur finalité, de leur fondement juridique, des personnes y ayant accès, de leur durée de conservation et de leurs droits. Ces informations doivent figurer dans un protocole de suivi écrit ou un code de conduite, et non dans une clause dissimulée au contrat.

L'autorité de protection des données demandera généralement deux documents en premier lieu. Le registre des activités de traitement doit mentionner le dispositif de surveillance. Pour une surveillance systématique ou à grande échelle, une analyse d'impact relative à la protection des données (AIPD) est obligatoire avant la mise en service du système. Si l'AIPD révèle un risque résiduel élevé et irréductible, il est impératif de consulter l'autorité de protection des données avant toute mise en œuvre et d'impliquer le délégué à la protection des données dès le début.

Les employés doivent respecter une certaine confidentialité dans leurs communications sur le matériel de l'entreprise. Vous pouvez restreindre ou interdire l'utilisation privée, mais vous ne pouvez pas simplement lire des messages manifestement privés. Consultez notre article sur la possibilité pour votre employeur de lire vos courriels.

Quand le comité d'entreprise doit-il donner son accord ?

Conformément à l'article 27, paragraphe 1, du règlement WOR, l'accord du comité d'entreprise est requis pour toute réglementation relative au traitement et à la protection des données personnelles des salariés (alinéa k) et pour toute réglementation relative aux dispositifs destinés ou adaptés au contrôle de la présence, du comportement ou des performances (alinéa l). Les plans de caméras, les systèmes de suivi, les logiciels de surveillance et les protocoles internet et de messagerie électronique relèvent de l'un ou l'autre de ces points.

L'expression « adapté à » est importante : il n'est pas nécessaire d'avoir l'intention de contrôler les performances. Un système de sécurité susceptible de générer des données sur les comportements individuels requiert également le consentement. Conformément à l'article 27, paragraphe 5, du règlement WOR, une décision prise sans consentement est nulle si le comité d'entreprise en invoque la nullité par écrit dans un délai d'un mois à compter de la date à laquelle il a été informé de la décision ou de la découverte de son application. En cas de refus de consentement du comité d'entreprise, il est possible de saisir le tribunal d'instance (kantonrechter) en vertu de l'article 27, paragraphe 4, du règlement WOR ; cette autorisation n'est accordée que si le refus est injustifié ou si la décision est justifiée par des raisons impérieuses liées à l'activité de l'entreprise.

Quelles sont les règles concernant les caméras, le suivi, les e-mails et les logiciels ?

Chaque technique est testée selon les mêmes trois étapes, mais certains résultats sont prévisibles. Plus une mesure est continue et proche de la vie privée, plus elle est difficile à justifier.

• Caméras: Autorisé à des fins concrètes telles que la prévention du vol ou la garantie de la sécurité, avec une signalétique claire à l'entrée et dans les zones surveillées. Interdit dans les toilettes, les vestiaires et les aires de repos. Conserver les enregistrements vidéo pendant une courte période seulement, sauf en cas d'incident nécessitant leur conservation, et limiter et consigner l'accès. Voir notre article sur Vidéosurveillance sur le lieu de travail.
• Caméras cachées : Uniquement dans des cas exceptionnels : soupçon concret d’infraction grave, absence d’alternative réaliste, limité dans le temps et la portée, et annoncé à l’avance en termes généraux. La limite pénale de l’article 139f Sr s’applique toujours.
• Suivi des véhicules : Légal pour la planification d'itinéraires, la sécurité des véhicules ou une obligation d'immatriculation légale, si les employés en sont informés. Si l'usage privé est autorisé, le système doit permettre d'exclure les trajets privés.
• Courriel et internet : Surveillez les données de trafic (catégories de sites web, volumes) plutôt que le contenu. Ne consultez le contenu qu'en cas d'incident précis, avec une autorisation documentée et une procédure de mise à l'écart des messages privés.
• Logiciels de productivité : L’enregistrement des frappes au clavier, les captures d’écran régulières et les webcams toujours activées ne répondent généralement pas aux critères de nécessité.
• Médias sociaux: Le contrôle systématique des comptes privés des employés n'est pas autorisé ; la consultation d'une publication publique suite à un incident précis relève d'une question beaucoup plus restreinte.

Est-il possible de surveiller les employés qui travaillent à domicile ?

Les mêmes règles s'appliquent, mais le critère d'équilibre est plus strict car le lieu de travail est le domicile. La surveillance constante d'un télétravailleur par caméra ou webcam est disproportionnée en temps normal et affecte également les autres membres du foyer.

Mesurez la productivité et la disponibilité convenue plutôt que l'activité, limitez l'enregistrement des données aux heures de travail convenues et précisez dans la politique ce qui est enregistré sur les appareils de l'entreprise. Consultez notre article sur le télétravail.

Que peuvent faire les employés contre une surveillance illégale ?

Les salariés peuvent demander l'accès à leurs données personnelles, notamment les journaux d'activité, les images de caméras et les rapports de surveillance ; l'employeur est tenu de répondre dans un délai d'un mois. Ils peuvent demander la rectification de ces données, s'opposer à leur traitement fondé sur l'intérêt légitime, déposer une plainte auprès de l'autorité de protection des données et réclamer des dommages et intérêts pour préjudice matériel et moral.

La conséquence la plus grave se manifeste généralement dans le cadre du litige prud'homal. La procédure civile néerlandaise n'exclut pas automatiquement les preuves obtenues illégalement, mais le tribunal peut en imposer les conséquences, telles qu'une indemnité plus élevée pour le salarié ou la constatation d'une faute grave de l'employeur. Un employeur qui effectue une surveillance sans fondement légitime peut perdre un procès en licenciement qu'il aurait autrement gagné ; voir notre note sur le licenciement pour faute grave fondé sur des données de surveillance en violation du RGPD.

Que devez-vous vérifier en tant qu'employeur ?

• Définissez en une phrase le problème concret que la surveillance doit résoudre.
• Expliquez pourquoi une mesure moins intrusive ne fonctionnerait pas.
• Réalisez une analyse d'impact relative à la protection des données (AIPD) pour une surveillance systématique ou à grande échelle avant la mise en service du système.
• Demander l’accord du comité d’entreprise conformément à l’article 27(1)(k) et (l) du WOR avant l’achat et la mise en œuvre.
• Publiez un protocole de surveillance lisible et ajoutez le traitement à votre registre.
• Limitez l'accès aux rôles désignés, définissez des périodes de conservation courtes et évaluez le système après la première période.

Que devez-vous vérifier en tant qu'employé ?

• Demandez le protocole de surveillance et vérifiez si vous avez été informé avant le début de la surveillance.
• Demandez au comité d'entreprise s'il a approuvé ce système.
• Demandez l'accès aux données vous concernant, telles que les journaux d'activité et les images de la caméra.
• Si des preuves de surveillance sont utilisées contre vous, vérifiez si l'employeur avait un intérêt concret et s'il a d'abord essayé des mesures moins contraignantes.
• Notez que le comité d’entreprise ne peut invoquer la nullité que dans un délai d’un mois en vertu de l’article 27(5) WOR.

Que pouvons-nous faire pour vous en matière de surveillance des employés ?

Nos avocats spécialisés en droit du travail collaborent avec nos avocats spécialisés en protection de la vie privée pour la surveillance des dossiers.

• Nous évaluons si une mesure de surveillance prévue satisfait au critère d'intérêt légitime.
• Nous rédigeons le protocole de surveillance, l'analyse d'impact relative à la protection des données (AIPD) et l'accord de traitement avec le fournisseur.
• Nous préparons la demande d'autorisation à soumettre au comité d'entreprise, ou la demande d'autorisation supplétive à soumettre au tribunal d'instance.
• Nous conseillons les comités d'entreprise sur une demande d'autorisation ou sur l'invocation de la nullité.
• Nous évaluons les preuves de surveillance dans le cadre d'une procédure de licenciement, que ce soit pour l'employeur ou l'employé.

Résumé

• Le contrôle nécessite un intérêt légitime concret, une nécessité et une proportionnalité ; le consentement des employés est rarement suffisant.
• Informer le personnel à l'avance par le biais d'un protocole écrit et réaliser une analyse d'impact relative à la protection des données (AIPD) pour un suivi systématique.
• L'accord du comité d'entreprise en vertu de l'article 27(1) du WOR est requis pour la plupart des systèmes de surveillance ; sans lui, la décision peut être déclarée nulle.
• Le tournage clandestin dans un lieu non public et l'écoute clandestine sont des infractions pénales en vertu des articles 139f et 139a Sr.
• Une surveillance illégale peut compromettre une procédure de licenciement.

Foire aux questions