Le système d’information de l’entreprise et le droit du travail

Présentation au sujet: "Le système d’information de l’entreprise et le droit du travail"— Transcription de la présentation:

1 Le système d’information de l’entreprise et le droit du travail

2 Evolution des techniques & du droit
: développement des systèmes macro-informatiques. Loi française de 1978 et Convention n° 108 du Conseil de l’Europe de 1981. Début des années 80 : développement de la micro-informatique. Directive européenne de 1995. Fin des années 90 : Internet et intégration des outils informatiques en réseaux. Nécessités de nouvelles régulations. CONSEQUENCES : UN DEPLACEMENT DES RISQUES DE LA CONSTITUTION DE GRANDS FICHIERS VERS LA PROBLEMATIQUE DE LA GESTION DES TRACES

3 Plan I.- II.- III.- IV.-

4 I.- Notions générales sur le système d’information de l’entreprise

5 I.- Notions générales sur le système d’information de l’entreprise
A) Qu’est-ce qu’un système d’information

6 « Un système d’information est un ensemble organisé de ressources : matériel, logiciel, personnel, données, procédures permettant d’acquérir, de traiter, de stocker, de communiquer des informations (sous forme de données, textes, images, sons, etc.) dans des organisations ». Robert Reix, Systèmes d’information et management des organisations, Vuibert, coll. Gestion, 2e éd., 1998, p. 75.

7 I.- Notions générales sur le système d’information de l’entreprise
A) Qu’est-ce qu’un système d’information 1) La structure du système

8 Le système d’information de l’entreprise (approche organisationnelle)
RESSOURCES COLLECTER l’information TRAVAIL DES SALARIES (spécialistes ou utilisateurs) P O U R TRAITER l’information MATERIEL (machines, supports, etc.) STOCKER l’information LOGICIELS & PROCEDURES (programmes, méthodes) DIFFUSER l’information DONNEES (textes, images, sons, etc.)

9 I.- Notions générales sur le système d’information de l’entreprise
A) Qu’est-ce qu’un système d’information 2) La finalité du système

10 Les principes qui gouvernent le droit de l’informatique
« L'informatique doit être au service de chaque citoyen. […] Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. » (Loi n°78-17 du 6 janvier 1978, art. 1)

11 Au plan social, le système d’information
Le S.I. de l’entreprise a pour finalité celle que l’on reconnaît à l’entreprise… Au plan économique, le système d’information doit favoriser l’expansion de l’entreprise Au plan social, le système d’information ne doit pas porter une atteinte injustifiée aux droits fondamentaux des salariés; doit contribuer aux développements des relations individuelles et collectives de travail.

12 I.- Notions générales sur le système d’information de l’entreprise
B) Les différentes informations traitées

13 I.- Notions générales sur le système d’information de l’entreprise
B) Les différentes informations traitées 1) Les informations inhérentes au système

14 Traçage inhérent au système d’information
Le traçage par logiciel de “ work-flow ” Le traçage par le logiciel de surveillance du réseau Le traçage par le logiciel de télémaintenance des postes de travail. Le traçage par le pare-feu de l’entreprise. Le traçage par les proxys. Le traçage par la messagerie. Le traçage par le poste de l’utilisateur.

15 La responsabilité de l’informaticien
Il est responsable pénalement (pour le juge pénal, l’ordre de l’employeur n’est ni une contrainte, ni un cas de force majeure). Il peut être responsable civilement : « le préposé condamné pénalement pour avoir intentionnellement commis, fût-ce sur l’ordre du commettant, une infraction portant préjudice à un tiers, engage sa responsabilité civile à l’égard de celui-ci » (Ass. pl. 14 déc. 2001, Cousin )

16 I.- Notions générales sur le système d’information de l’entreprise
B) Les différentes informations traitées 2) Les informations non inhérentes au système

17 Répertoire national d'identification des personnes physiques
Quelques traitements automatisés d’informations nominatives concernant le salarié Banque Banque Répertoire national d'identification des personnes physiques PAIE Enregistrement du n° de SS pour les opérations concernant les déclarations, les calculs de cotisations et de versements destinés aux organismes de protection sociale, de retraite et de prévoyance. PERSONNEL Retraite Licenciement Embauche

18 I.- Notions générales sur le système d’information de l’entreprise
B) Les différentes informations traitées 3) Le régime juridique applicable aux informations traitées

19

20 Règles générales en cas de traitement automatisé d’informations nominatives
* Ou acte réglementaire précédé d’un avis conforme de la C.N.I.L. (Art. 15) ou déclaration simplifiée de conformité (Art. 17)

21 Le gardien: la C.N.I.L.

22 Les travaux de la C.N.I.L. en matière de cybersurveillance des salariés

23 Qu’est-ce qu’un traitement automatisé d’informations nominatives
« Sont réputées nominatives au sens de la présente loi les informations qui permettent, sous quelque forme que ce soit, directement ou non, l'identification des personnes physiques auxquelles elles s'appliquent, que le traitement soit effectué par une personne physique ou par une personne morale. » (Art. 4). « Est dénommé traitement automatisé d'informations nominatives au sens de la présente loi tout ensemble d'opérations réalisées par des moyens automatiques, relatif à la collecte, l'enregistrement, l'élaboration, la modification, la conservation et la destruction d'informations nominatives ainsi que tout ensemble d'opérations de même nature se rapportant à l'exploitation de fichiers ou bases de données et notamment les interconnexions ou rapprochements, consultations ou communications d'informations nominatives. » (Art. 5).

24 Code du travail: articles 26 et 29 de la loi du 31 décembre 1992
Art. L 121-8 « Aucune information concernant personnellement un salarié ou un candidat à un emploi ne peut être collectée par un dispositif qui n'a pas été porté préalablement à la connaissance du salarié ou du candidat à un emploi » Art. L , al. 2 & 3 Le comité d’entreprise « est aussi informé préalablement à leur introduction dans l’entreprise, sur les traitements automatisés de gestion du personnel et sur toute modification de ceux-ci. » « Le comité d'entreprise est informé et consulté, préalablement à la décision de mise en cause dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. »

25 Un curieux bémol « le fait pour une banque de mettre en place un système d'exploitation intégrant un mode de traçage permettant d'identifier les consultants des comptes, ne peut être assimilé ni à la collecte d'une information personnelle au sens de l'article L du Code du travail » (Cass. soc. 18 juill. 2000).

26 Qu’est-ce qui, dans le système d’information, relève de la loi de 1978 et du Code du travail ?
Moyens automatiques de collecte… d’informations nominatives Logiciels d’exploitation de fichiers Bases de données Ex. dispositif de contrôle individuel destiné à produire, poste par poste, un relevé des durées de connexion ou des sites visités (C.N.I.L., Rapport 2002, p. 10) Ex. autocommutateur (Délibérations de la C.N.I.L. 18/09/84 & 20/12/94) Ex. personnel, paie (Délibérations de la C.N.I.L. 18/06/85, 02/03/93 & 18/01/02)

27 Régime du traçage selon la C.N.I.L.
L'emploi d’outils de mesure de la fréquence ou de la taille des fichiers transmis en pièce jointe au message électronique ou encore des outils d'archivage des messages échangés doit être porté à la connaissance des salariés ainsi que la durée de conservation du message « sauvegardé ». (Rapport 2002, p. 11).

28 Régime du traçage selon la C.N.I.L.
« Les fichiers de journalisation des connexions destinés à identifier et enregistrer toutes les connexions ou tentatives de connexion à un système automatisé d'informations constituent une mesure de sécurité […] n'ont pas pour vocation première le contrôle des utilisateurs. […] Ces fichiers de journalisation lorsqu'ils sont associés à un traitement automatisé d'informations nominatives n'ont pas, en tant que tels, à faire l'objet des formalités préalables auprès de la CNIL. Afin de garantir ou de renforcer l'obligation de sécurité, ils doivent être portés à la connaissance de la CNIL au titre des mesures de sécurités entourant le fonctionnement du traitement principal dont ils sont le corollaire. » (Rapport 2002, p. 11).

29 Régime du traçage selon la C.N.I.L.
«En revanche, la mise en œuvre d'un logiciel d'analyse des différents journaux (applicatifs et systèmes) permettant de collecter des informations individuelles poste par poste destiné à contrôler l'activité des utilisateurs, doit être déclaré à la CNIL. Dans tous les cas de figure, les utilisateurs doivent être informés de la mise en place des systèmes de journalisation et de la durée pendant laquelle les données de connexion permettant d'identifier le poste ou l'utilisateur s'étant connecté sont conservées ou sauvegardés » (Rapport 2002, p. 11).

30 Débat autour de la distinction opérée par la C.N.I.L.
Sont soumis à la loi du 6 janvier 1978, les dispositifs qui : permettent le traitement automatisé d’informations nominatives et ont pour objet de réaliser une surveillance de l’activité de l’utilisateur Sur quel fondement la C.N.I.L. ajoute-t-elle un critère subjectif au critère objectif posé par la loi? Sur quels textes la C.N.I.L. fonde-t-elle l’obligation d’informer et de consulter les institutions représentatives du personnel (Art. L , al. 3, C. trav. ?) et celle d’informer les utilisateurs (Art. L C. trav. ?). Mais dans ce cas ne s’agit-il pas d’informations nominatives?

31 De nouvelles armes pour lutter contre le « Léviathan informatique »

32 La réforme de la loi du 6/01/78
Les raisons de la réforme En raison de l’évolution technologique, des millions de fichiers d’entreprise échappent au contrôle de la C.N.I.L. Le droit français n’est pas en conformité avec le droit européen (Directive 95/46 du 24 octobre 1995). Ce dernier met sur un pied d’égalité les secteurs public et privé. Les objectifs de la réforme Extension au secteur privé de l’examen préalable par l’autorité de contrôle. Extension des pouvoirs de la C.N.I.L. en matière de contrôle a posteriori (pouvoirs d’investigations et d’intervention). Meilleure prise en compte des flux internationaux en matière de données personnelles.

33 La réforme de la loi du 6/01/78
Etat du projet de réforme (printemps 2002) Inspiration: Rapport au Premier ministre établi par la commission Braibant (1998). Maintien de la loi du 6 janvier 1978 en raison de son caractère symbolique. Quel que soit le collecteur de données personnelles, le principe est le régime de la déclaration préalable et l’exception le régime de l’autorisation préalable. Renforcement des pouvoirs de la C.N.I.L.: droit de visite, pouvoir de prononcer des avertissement, mises en demeure, injonctions et sanctions pécuniaires. Transferts de données hors de l'Union européenne ne peuvent avoir lieu que si les Etats non-membres assurent un niveau de protection « suffisant ».

34 Réforme du droit des télécommunications
L’article L du Code des Postes et Télécommunications prévoit que « les opérateurs de télécommunications […] sont tenus d'effacer ou de rendre anonyme toute donnée relative à une communication dès que celle-ci est achevée, sous réserve des dispositions des II, III et IV. » Cependant, ces dernières autorisent la conservations des données techniques pour les besoins de : la recherche, de la constatation et de la poursuite des infractions pénales ; la facturation et du paiement des prestations de télécommunications et ce jusqu'à la fin de la période au cours de laquelle la facture peut être également contestée ou des poursuites engagées pour en obtenir le paiement ;  la commercialisation des services de télécommunications de l’opération, à condition que l’usager y consente. Le projet de loi sur la société de l’information (LSI) Principe d’effacement: les opérateurs de télécommunications doivent effacer ou rendre anonymes, dès que la communication est terminée, toute donnée technique relative à cette communication. Mais il y a des exceptions: facturation et paiement (prescription d’un an); recherche des infractions pénales.

35 I.- Notions générales sur le système d’information de l’entreprise
C) La conservation des informations traitées

36 La notion d’archive « les archives sont l'ensemble des documents, quels que soient leur date, leur forme et leur support matériel, produits ou reçus par toute personne physique ou morale, et par tout service ou organisme public ou privé, dans l'exercice de leur activité » (loi n° du 3 janvier 1979, art. 1, al. 1).

37 L’archivage électronique
Combinaison des règles de la loi du 6 janvier 1978, de la loi du 3 janvier 1979 et du droit de la preuve I.- Conserver les documents en fonction des délais planchers et du principe de finalité Proxy Cache PAIE Journal COMPTABILITE Courriel PERSONNEL Par ex., le temps de la procédure d’embauche pour les candidats non retenus. Six mois (C.N.I.L., Rapport 2002, p. 17) Par ex., 5 ans (art. L 143-3, al. 4, C. trav.). Par ex., 10 ans (art. L C. com.). Pare-feu

38 L’archivage électronique
La preuve informatique en matière disciplinaire Début de téléchargements de MP3 Découverte de faute Poursuites Sanction 1/2/01 2/5/01 9/5/01 17/5/01 17/5/04 Durand Durand Durand Casier disciplinaire

39 L’archivage électronique
II.- Assurer la traçabilité des données archivées Comptabilité Personnel En cas de contestation, l’employeur doit pouvoir fournir les sources du logiciel d’authentification. PAIE

40 L’archivage électronique
III.- Assurer la sécurité des données archivées Comptabilité Personnel « Toute personne ordonnant ou effectuant un traitement d'informations nominatives s'engage de ce fait, vis-à-vis des personnes concernées, à prendre toutes précautions utiles afin de préserver la sécurité des informations […] » (Art. 29, L. 6 janvier 1978) PAIE

41 II.- L’organisation du système d’information par l’employeur

42 II.- L’organisation du système d’information par l’employeur
A) Les fondements de l’appropriation par l’employeur du système d’information de l’entreprise

43 L’employeur peut invoquer : Son droit de propriété
Les fondements de l’appropriation du système d’information par l’employeur L’employeur peut invoquer : Son droit de propriété Des droits contractuels La prévention de la responsabilité civile et pénale

44 II.- L’organisation du système d’information par l’employeur
B) La réglementation du système d’information de l’entreprise par l’employeur

45 La nécessité d’une charte d’usage des ressources informatiques (CURI)
Nécessité pour la bonne gestion de l’entreprise (par exemple, cas du salarié qui envoie à des milliers de collègues un courriel concernant un véhicule mal garé !). Nécessité pour l’adaptation des rapports collectifs de travail à la Société de l’information. Dans ton PC, des supports non autorisés, tu n’introduiras pas. De logiciels piratés, tu ne téléchargeras pas. Ton mot de passe, tu ne donneras pas. De fichiers nominatifs, tu ne créeras pas. Des virus, vers et chevaux de Troie, tu te protégeras.

46 De sites non autorisés, tu ne consulteras pas.
La CURI (version hard) INTERDICTIONS De sites non autorisés, tu ne consulteras pas. De courriels privés, tu t’abstiendras. Avec ton PC, tu ne joueras pas. …

47 Position de la C.N.I.L. « Une interdiction générale et absolue de toute utilisation d‘Internet à des fins autres que professionnelles ne paraît pas réaliste dans une société de l'information et de la communication. Un usage raisonnable, non susceptible d'amoindrir les conditions d'accès professionnel au réseau ne mettant pas en cause la productivité paraît généralement et socialement admis par la plupart des entreprises ou administrations. […] L'utilisation de la messagerie électronique professionnelle pour envoyer ou recevoir, dans des proportions raisonnables, un message à caractère personnel correspond à un usage généralement et socialement admis.» (Rapport 2002, p. 10 et 11).

48 La CURI (version soft) CYBERDIALOGUE
Intranet pour le comité d’entreprise. Intranet pour les délégués du personnel. Intranet pour le C.H.S.C.T. Intranet pour les syndicats. … Favoriser le travail collaboratif. Favoriser la mobilité interne. Améliorer la qualité. Formations à distance pour le personnel. Autorisation d’un usage modéré du courriel privé et du surf. CYBERDIALOGUE

49 Quid des interdictions que contient la CURI ?
Par exemple, l’interdiction faite aux salariés de laisser leur mail professionnel dans des forums de discussion. Il s’agit de discipline, donc de dispositions qui entrent dans le périmètre du règlement intérieur (Art. L C. trav.).

50 Quid des « informations » que contient la CURI ?
Par exemple le rappel de droits - tel l’article L du Code du travail - ou d’obligations des salariés – comme par exemple, l’article L du Code de la propriété intellectuelle : « Toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l'auteur ou de ses ayants droit ou ayants cause est illicite. Il en est de même pour la traduction, l'adaptation ou la transformation, l'arrangement ou la reproduction par un art ou un procédé quelconque ». Ces informations, semble-t-il, n’ont pas leur place dans le règlement intérieur car les points sur lesquels le règlement intérieur informe les salariés sont limitatifs (droit de la défense, abus d’autorité en matière sexuelle, interdiction de toute pratique en matière de harcèlement moral).

51 Quid des « recommandations » que contient la CURI ?
Par exemple, chaque salarié est invité à veiller, lors de l’utilisation du système d’information, à préserver l’image commerciale de l’entreprise. Règle de déontologie? (CE 11 juin 1999, Chicard c/Ligue française de l'enseignement et de l'éducation permanente).

52 La nature juridique de la CURI
Si source unilatérale Si source bilatérale D E O N T O. R E G. I N. NATURE ? Accord d’entreprise ? Accord atypique? Contrat de travail ?

53 Le régime juridique de la CURI, charte déontologique
Au plan collectif Information et consultation du comité d’entreprise (art. L 432-1, al. 1, C. trav.). Délai d’examen suffisant et réponse motivée du chef d’entreprise (Art. L 431-5, al. 2, C. trav.). Au plan individuel Information des salariés (principe de loyauté: art. 1134, al. 3, C. civ., art. L C. trav.). Régime ?

54 L’utilisation du pouvoir disciplinaire en raison de l’usage (abusif ?)
du téléphone, du minitel, de la messagerie ou du netsurf

55 L’utilisation de l’action en responsabilité contre un (ancien) salarié
Responsabilité civile (TGI Lyon, 9 mai 2001, Sté Stage France c/ Duarte). Responsabilité pénale (CA Paris, 12e ch. B, 18 déc. 2001; TGI Lyon, 20 févr. 2001, Procureur de la République près le TGI de Lyon c/ Combe ).

56 Cons. prud’h. Paris 1er février 2000
Règlement intérieur « Interdiction de faire adresser de la correspondance privée à son adresse professionnelle » Albertine, je vous aime !

57 III.- Le salarié, utilisateur du système d’information de l’entreprise

58 III.- Le salarié, utilisateur du système d’information de l’entreprise
A) Les usages et tentations du système d’information

59 Le SI ? Certainement un outil de travail !
B L I G A T N ! ! ?

60 Le SI ? Exclusivement un outil de travail ?
Les tentations …

61 III.- Le salarié, utilisateur du système d’information de l’entreprise
B) La protection des salarié 1) La protection par la loi du 6 janvier 1978

62 La défense du salarié La réglementation du traitement automatisé des informations nominatives La protection de la vie privée Les garde-fous du Code du travail Le bouclier pénal

63 Règles générales en cas de traitement automatisé d’informations nominatives
* Ou acte réglementaire précédé d’un avis conforme de la C.N.I.L. (Art. 15) ou déclaration simplifiée de conformité (Art. 17)

64 Irrecevabilité de la preuve produite par l’employeur en raison de l’absence
de déclaration du dispositif (CA Paris, 7 mars 1997 ; CA Paris, 18e ch., 22 juin 2001). de finalité du traitement (CA Paris 31 mai 1995 : Liaisons soc. du 16 juin 1995). de fiabilité du dispositif (CA Aix-en-Provence, 4 janv. 1994).

65 III.- Le salarié, utilisateur du système d’information de l’entreprise
B) La protection du salarié 2) La protection de la vie privée

66 irrecevabilité de la preuve devant le juge civil !
Arrêt « Nikon » Perso ! irrecevabilité de la preuve devant le juge civil !

67 III.- Le salarié, utilisateur du système d’information de l’entreprise
B) La protection du salarié 3) Les garde-fous du Code du travail

68 Exigence de finalité et proportionnalité (art. L 120-2).
Exigence de discussion (art. L 432-2). Exigence de loyauté (art. L 121-8).

69 III.- Le salarié, utilisateur du système d’information de l’entreprise
B) La protection du salarié 4) La protection du secret des correspondances et contre les interceptions

70 violation du secret des correspondances commise par un particulier (art. 226-15, al. 1, du C. pén.).
violation du secret des correspondances commise par une personne exerçant une fonction publique (art , al. 1, C. pén.) interception des correspondances émises par voie de télécommunications: par un particulier (art , al. 2, C. pén.) ou par une personne exerçant une fonction publique (art , al. 2, C. pén.; Trib. corr. Paris, 17e ch., 2 nov. 2000, Virieux et autres et CA Paris, 11e ch., sec. A, 17 déc. 2001).

71 IV.- Une ébauche de solutions apportées au conflit d’intérêts

72 Des pistes ? Pour assurer les droits de l’employeur
La présomption du caractère professionnel du courriel Le recours au juge (ordonnance sur requête) Pour protéger la vie privée du salarié La double boîte aux lettres Le compteur pour le surf Les cyberpauses Le vestiaire électronique ? Solutions de compromis Le délégué aux données Le bilan annuel « Informatique et libertés »

73 Tri des courriels en fonction de l’objet
Présomption du caractère professionnel du courriel arrivant Courriel personnel Ouverture par l’employeur

74 Double boîte aux lettres d’entreprise

75 Hubert d’Erceville, L’ durcit les relations sociales dans l’entreprise: 01 Informatique n° 1692 du 20 septembre 2002, p. 31

76 01 Informatique n° 1712 du 21 février 2003, p. 36.

77 Pour le surf Le compteur ?

78 De la pause à la Cyberpause Inconvénient ? Moment… Encombrement…

79 Pour le stockage L’employeur ne peut procéder à l’ouverture de l’armoire individuelle d’un salarié que dans les cas et aux conditions prévues par le règlement intérieur et en présence de l’intéressé ou celui-ci prévenu ; dès lors, c’est à tort que pour dire que le licenciement du salarié reposait sur une faute grave, l’arrêt retient qu’il résulte des attestations produites que des canettes de bière ont été trouvées dans l’armoire du salarié ; en effet, en statuant ainsi, sans rechercher quelles étaient les dispositions du règlement intérieur alors que la fouille, effectuée hors la présence de l’intéressé, n’était justifiée par aucun risque ou événement particulier, la cour d’appel a violé les textes précités (Cass. soc. 11 déc. 2002, Ratajczak c./ Bianchi).

80 Recours au juge Première étape: informer l’employeur
L’administrateur réseau communique à l’employeur les indices accumulés grâce à un contrôle statistique ou un filtrage par mots clés.

81 Recours au juge Seconde étape : solliciter une ordonnance sur requête (Art. 493 et 495 C. proc. civ.). Le recours au juge de la part de l’employeur se fonde sur l’avertissement donné par l’administrateur réseau et la révélation d’indices graves.

82 Recours au juge Troisième étape: autorisation de surveiller le salarié
Question que le juge doit se poser : les faits sont-ils suffisamment graves et préjudiciables à l’entreprise pour justifier la surveillance systématique et ciblée de messages électroniques par l’employeur afin qu’il puisse prendre toute disposition de nature à mettre un terme au trouble causé ?

83 Commissaire (ou délégué ?) aux données
Qui ? Salarié de l’entreprise ou profession libérale? Statut? Salarié protégé? Recours, rémunération si profession libérale? Missions : veiller à l'application de la loi, procéder à l'"examen préalable" des traitements qui y sont soumis, et d'assurer la publicité des traitements. Cf. C.N.I.L. Rapport 2002, p. 13

84 Bilan annuel « Informatique et libertés »