[Le point sur...] Cyber-flânerie : de l'art d'utiliser internet pour un usage personnel un peu trop souvent au travail

Qui n'a jamais consulté ses comptes à son travail, modifié un statut Facebook ou réservé un billet de train/avion pour un week-end en utilisant son ordinateur professionnel à son travail. De nombreux salariés pratiquent ainsi la cyber-flânerie (1). Mais, si l'employeur fait preuve la plupart de temps de tolérance quant à l'usage personnel de l'ordinateur par son salarié, certains abus sont sanctionnés. Un arrêt de la Chambre sociale de la Cour de cassation du 26 février 2013 illustre parfaitement une utilisation abusive d'internet par un salarié. En effet, une salariée avait été licenciée pour faute grave après s'être connectée pendant son temps de travail à des sites extraprofessionnels plus de 10 000 fois sur une période de 18 jours. Le salariée avait notamment "flâné" sur des sites de voyage, de tourisme, de comparaison de prix, de marques de prêt-à-porter, de sorties et événements régionaux ainsi que sur des réseaux sociaux et sur un site de magazine féminin. A quel moment le salarié passe-t-il d'une utilisation d'internet tolérée à une utilisation abusive ? A l'ère des smartphones, comment l'employeur peut-il surveiller les connexions internet de ses salariés ? I - L'utilisation d'internet par le salarié

• Un principe : les connexions au travail sont présumées avoir un caractère professionnel

Rappelons, d'abord, un principe de base : l'ordinateur est mis à disposition par l'employeur pour l'exécution du travail du salarié. C'est donc un outil professionnel. Ainsi, les fichiers ou documents du salarié, situés dans son bureau ou sur son outil informatique mis à sa disposition par l'entreprise, sont présumés avoir un caractère professionnel, sauf si le salarié les identifie comme personnels, de sorte que l'employeur ne peut y avoir accès hors sa présence (2), la seule dénomination "mes documents" donnée à un fichier ne lui conférant pas un caractère personnel (3). La Chambre sociale précise qu'une clé USB, dès lors qu'elle est connectée à un outil informatique mis à la disposition du salarié par l'employeur pour l'exécution du contrat de travail, étant présumée utilisée à des fins professionnelles, l'employeur peut avoir accès aux fichiers non identifiés comme personnels qu'elle contient, hors la présence du salarié (4). Crypter, dès lors, son poste informatique pour en empêcher la consultation par l'employeur est constitutif d'une faute grave (5).

L'ordinateur étant un outil professionnel, les connexions établies par un salarié sur des sites internet pendant son temps de travail grâce à l'outil informatique mis à sa disposition par son employeur pour l'exécution de son travail sont présumées avoir un caractère professionnel pour la Cour de cassation (6), de sorte que l'employeur peut les rechercher aux fins de les identifier, hors de sa présence. La Haute juridiction précise, par ailleurs, que l'inscription d'un site sur la liste des "favoris" de l'ordinateur ne lui confie aucun caractère personnel (7).

• Le contrôle par l'employeur des connexions internet

La Cnil rappelle que l'employeur peut fixer les conditions et limites de l'utilisation d'internet. Ces limites ne constituent pas, en soi, une atteinte à la vie privée des salariés (8). L'employeur peut ainsi mettre en place des dispositifs de filtrage de sites non autorisés. "Aucune disposition légale n'interdit évidemment à l'employeur d'en fixer les conditions et limites, lesquelles ne constituent pas, en soi, des atteintes à la vie privée des salariés ou agents publics" (9). Le contenu du filtrage est libre, l'employeur pouvant interdire l'accès à des sites à caractère pornographique, pédophile, d'incitation à la haine raciale, mais aussi bien interdire la consultation de sites de réseaux sociaux (Facebook), de vidéos (Youtube), de ventes (Cdiscount, Leboncoin). Aucune disposition légale n'interdit évidemment à l'employeur d'en fixer les conditions et limites, lesquelles ne constituent pas, en soi, des atteintes à la vie privée des salariés ou agents publics.

L'employeur peut également installer des modalités de contrôle de l'utilisation d'internet. Le comité d'entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés (C. trav. art. L. 2323-32 N° Lexbase : L2810H9X). Les salariés doivent être également informés de la mise en place d'un tel système et de la durée pendant laquelle les données sont conservées ou sauvegardées (10).

Lorsque l'entreprise ou l'administration met en place un dispositif de contrôle individuel des salariés destiné à produire un relevé des connexions ou des sites visités, poste par poste, le traitement ainsi mis en oeuvre doit être déclaré à la Cnil (déclaration normale) sauf si un correspondant informatique et libertés a été désigné, auquel cas aucune déclaration n'est nécessaire (11). La Cnil est vigilante sur les dispositifs de contrôle de l'activité des salariés. Récemment, elle a rappellé que l'utilisation de dispositifs de cybersurveillance appelés Keylogger ne peut pas être faite dans un contexte professionnel, à l'exception d'impératifs forts de sécurité, et d'une information spécifique des personnes concernées. Les keyloggers sont des dispositifs de surveillance, parfois téléchargeables gratuitement depuis le web, qui se lancent automatiquement à chaque démarrage de la session de l'utilisateur, à son insu. Une fois lancés, ils permettent, selon les versions, d'enregistrer toutes les actions effectuées par les salariés sur leur poste informatique sans que ceux-ci s'en aperçoivent. Toute frappe saisie sur le clavier ou tout écran consulté est enregistré avec un horodatage. Des alertes peuvent être automatiquement envoyées à la personne ayant installé le dispositif lorsque le salarié ainsi surveillé saisit sur son clavier un mot prédéterminé. La Cnil a jugé que ces dispositifs étaient particulièrement intrusifs(12).

II - L'utilisation abusive d'internet par le salarié

Dans l'arrêt étudié, la salariée s'était connectée pendant son temps de travail à de très nombreuses reprises à de nombreux sites extraprofessionnels tels que des sites de voyage ou de tourisme, de comparaison de prix, de marques de prêt-à-porter, de sorties et événements régionaux ainsi qu'à des réseaux sociaux et à un site de magasine féminin. Ces connexions s'établissaient à plus de 10 000 fois sur une période de dix-huit jours, exclusion faite des connexions à Google, aux pages jaunes qui présentaient ou étaient susceptibles de présenter un caractère professionnel. La cour d'appel (CA Douai, 30 septembre 2011, n° 10/02857 N° Lexbase : A2784H4U) avait estimé qu'une telle utilisation d'internet par la salariée pendant son temps de travail présentait de toute évidence un caractère plus qu'excessif et particulièrement abusif et rendait impossible la poursuite du contrat de travail. Malgré l'absence de définition précise du poste de la salariée, moyen soulevé par cette dernière, la Haute juridiction rejette le pourvoi.

Cette solution n'est pas sans rappelée un précédent arrêt du 18 mars 2009 où la Chambre sociale avait admis que l'usage par un salarié de la connexion internet de l'entreprise à des fins non professionnelles pour une durée totale d'environ 41 heures durant un mois était constitutif d'une faute grave (13).

Les juridictions du fond ont rendu, récemment, quelques arrêts sur cette question avec quelques solutions parfois divergentes.

Pour la cour d'appel de Nîmes, dans un arrêt du 2 avril 2013 (CA Nîmes, 2 avril 2013, n° 12/02146 N° Lexbase : A3316KBG), des connexions pour un total de 8 heures et 36 minutes sur une période de moins de deux mois constituent une utilisation abusive d'internet par le salarié pendant ses horaires de travail, même si les durées reprochées par l'employeur et annoncées dans la lettre de licenciement apparaissent excessives. La cour d'appel a tenu compte dans son raisonnement des sites visités, relatifs à la presse nationale et sportive, à la réglementation de la chasse, à des sites renvoyant à des vidéos pornographiques. La sévérité de la cour d'appel peut s'expliquer par le fait, que selon cette dernière, la durée de 8 heures et 36 minutes est une durée minimale. En effet, les données relatives à certaines journées sont parcellaires, l'expert expliquant dans son rapport qu'au delà d'une dizaine de jours, le volume des informations se dégrade considérablement et que seules les données relatives à l'accès aux sites sont conservées, de sorte que la reconstitution du temps de navigation effectif est incomplète. Par ailleurs, la cour d'appel déduit de la durée des connexions, la pause méridienne de 13 heures à 14 heures ainsi que la durée de connexion à des sites pouvant avoir un lien avec l'activité professionnelle du salarié. Enfin, la cour d'appel souligne que le temps passé par l'utilisateur à visionner les vidéos auxquelles le salarié a accédé n'a pu être déterminé.

La cour d'appel de Paris, dans un arrêt du 19 janvier 2012 (CA Paris, Pôle 6, 5ème ch., 19 janvier 2012, n° 10/04071 N° Lexbase : A9326IAN), estime que la consommation numérique d'un salarié sur son ordinateur professionnel s'élevant à 97 Mo et à 195 Mo sur deux jours représente plus que l'ensemble de tous les salariés et constitue un usage anormal des possibilités offertes par l'outil informatique confié par l'employeur. Cet usage est de nature à nuire au bon fonctionnement du système et irrespectueux de la charte informatique signée par le salarié.

En revanche, d'autres cours d'appel adoptent des solutions moins sévères à l'encontre des salariés. Dans un arrêt du 15 janvier 2013 (CA Bordeaux, 15 janvier 2013, n° 11 /02062 N° Lexbase : A1778I3A), la cour d'appel de Bordeaux a jugé qu'était dépourvu de cause réelle et sérieuse le licenciement d'une salariée pour son usage personnel d'internet pendant son temps de travail. La cour a jugé que, si l'outil de contrôle manuel utilisé par l'employeur était en l'espèce loyal, une heure par semaine de consultation par la salariée de sites sans lien direct avec son activité professionnelle ne paraissait pas abusive. Le licenciement a été jugé disproportionné en raison du caractère jusqu'alors exemplaire de la salariée, dont les agissements n'ont par ailleurs affecté ni la sécurité, ni la confidentialité de l'entreprise.

En 2011, la cour d'appel de Paris (CA Paris, Pôle 6, 3ème ch., 15 novembre 2011, n° 09/09398 N° Lexbase : A7859H3H) avait estimé que la consultation occasionnelle de sites internet à caractère pornographique par un médecin salarié sur le lieu de travail ne justifiait pas un licenciement pour faute grave motivé par le souci de respecter la dignité et d'assurer la sécurité des patients.

Dans le prolongement de ces arrêts, il semble, que plus que le nombres de pages consultés ou le type de sites consultés, la notion de temps passé sur les sites internet à "cyber-flâner" rêvet une plus grande importance. Comme l'énonce la cour d'appel de Paris, dans un arrêt du février 2013 (CA Paris, Pôle 6, 6ème ch., 6 février 2013, n° 11 /03458 N° Lexbase : A4163I7C), la production d'un listing des sites internet dont la consultation est imputée au salarié ne suffit pas pour caractériser une insuffisance professionnelle, la preuve du temps passé par le salarié hors du champ professionnel n'étant pas rapportée.

---

(1) Lire l'article d'E. Fayner, Cyber-flânerie : j'avoue, je surfe perso au bureau, sur le site internet Rue 89.com.
(2) Cass. soc., 18 octobre 2006 , n° 04-48.025, F-P+B (N° Lexbase : A9621DRR) et n° 04-47.400, FS-P+B (N° Lexbase : A9616DRL) ; v . les obs. de S. Tournaux, La consultation des documents de nature professionnelle du salarié, Lexbase Hebdo n° 234 du 1 novembre 2006 - édition sociale ([LXB=N4508ALK ]). V. l'article de L. Casaux-Labrunée, Vie privée des salariés et vie de l'entreprise, Dr. soc., 2012, p. 331.
(3) Cass. soc., 10 mai 2012, n° 11-13.884, FS-P+B (N° Lexbase : A1376ILK), v. les obs. de L. Casaux-Labrunée, "Mes documents" ... ne sont pas personnels !, Lexbase Hebdo n° 486 du 24 mai 2012 - édition sociale ([LXB=N2082BTB ]). Par ailleurs, un répertoire nommé "JM", selon les initiales du prénom du salarié, ne revêt pas un caractère personnel (Cass. soc., 22 octobre 2009, n° 07-43.877, FS -P+B N° Lexbase : A2618EMW).
(4) Cass. soc., 12 février 2013, n° 11-28.649, FS-P+B (N° Lexbase : A0485I8H), v. les obs. de S. Tournaux, La consultation des fichiers contenus dans la clé USB du salarié, Lexbase Hebdo n° 518 du 28 février 2013 - édition sociale (N° Lexbase : N5976BTI).
(5) Cass. soc., 18 octobre 2006, n° 04-48.025, F-P+B , préc..
(6) Cass. soc., 9 juillet 2008, n° 06-45.800, F-P (N° Lexbase : A6205D9P), v . les obs. de Ch. Radé, Les connexions internet du salarié au travail sont présumées avoir un caractère professionnel, Lexbase Hebdo n° 518 du 28 février 2013 - édition sociale (N° Lexbase : N6956BGQ).
(7) Cass. soc., 9 février 2010, n° 08-45.253, F-D (N° Lexbase : A0467ES4).
(8) Rapport Cnil, La cybersurveillance des salariés sur les lieux de travail, 5 février 2002.
(9) Rapport Cnil, La cybersurveillance des salariés sur les lieux de travail, préc..
(10) Rapport Cnil, La cybersurveillance des salariés sur les lieux de travail, préc..
(11) Loi n° 2004-801 du 6 août 2004, relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (N° Lexbase : L0722GTW) ; sur l'instauration d'un correspondant à la protection des données personnelles dans l'entreprise, cf. l’Ouvrage "Droit du travail" (N° Lexbase : E2626ETG).
(12) Communiqué du 20 mars 2013 . Lire (N° Lexbase : N6397BT4).
(13) Cass. soc., 18 mars 2009, n ° 07-44.247, F-D (N° Lexbase : A0825EEB).

© Reproduction interdite, sauf autorisation écrite préalable