Consultation du CSE avant de déployer un outil de capture d'écran

La revue de sécurité est passée, le DPO a donné son feu vert, les achats ont ramené le contrat à un montant raisonnable. Puis un élu du CSE demande si le nouvel outil de documentation enregistre ce que les salariés font à l'écran, et le pilote s'arrête quatre mois. Peu d'éditeurs écrivent sur le sujet : les acteurs dominants sont américains et leur marché domestique ne connaît pas d'équivalent.

Transparence : nous éditons Loopyback, un outil de documentation hébergé en Belgique, dont l'extension de navigateur capture clics et écrans quand l'utilisateur lance lui-même un enregistrement. C'est une règle que nous subissons. Ce texte n'est pas un conseil juridique : il sert à poser tôt les bonnes questions à votre conseil et à vos élus.

France : la séquence à respecter

L'intuition est que rien ne s'applique : le salarié appuie sur le bouton, filme son propre écran, le résultat est un mode d'emploi. Elle se heurte au texte, parce qu'en droit français le déclencheur n'est pas la surveillance mais la nouveauté technologique.

L'article L2312-8, II, 4° du Code du travail soumet à information et consultation du CSE « l'introduction de nouvelles technologies, tout aménagement important modifiant les conditions de santé et de sécurité ou les conditions de travail ». Un outil de capture d'écran y entre sans qu'il faille démontrer une intention de surveiller.

Le point que les projets ratent le plus est le calendrier. L'article L2312-14 énonce que « les décisions de l'employeur sont précédées de la consultation du comité social et économique ». La consultation précède la décision, pas le déploiement. Signer le contrat puis convoquer le CSE pour préparer la mise en service inverse la séquence : à la réunion, la décision est prise et l'avis porte sur un fait accompli.

Troisième texte, oublié parce qu'il est individuel et non collectif : l'article L1222-4, « aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance ». L'information du CSE ne remplace pas celle des salariés.

Le CSE est obligatoire dès onze salariés, mais les attributions consultatives de L2312-8 figurent dans la section relative aux entreprises d'au moins cinquante. Entre onze et cinquante, demandez à votre conseil ce qui reste dû plutôt que de supposer que rien ne l'est.

Deux risques sanctionnent l'oubli : le délit d'entrave, qui relève du pénal, et un risque probatoire, un dispositif non porté préalablement à la connaissance des salariés exposant l'employeur à voir les éléments recueillis écartés des débats.

Prévoyez enfin du temps : ordre du jour, documents en amont, réunion, délai d'examen, avis. Plusieurs semaines, pas une réunion.

Les autres pays, si le déploiement est européen

En Allemagne, le test du BAG, rappelé le 16 juillet 2024 (1 ABR 16/23), est l'aptitude objective du dispositif à collecter des informations sur le comportement ou la performance : l'intention de l'employeur est indifférente. Aux Pays-Bas, l'article 27(1)(l) vise de même les dispositifs « destinés à ou aptes à » observer présence, comportement ou performances. En Espagne, l'arrêt STS 225/2024 a annulé une extension du contrôle décidée sans les représentants du personnel.

Pour les lecteurs francophones de Belgique, c'est la CCT n° 39 qui s'applique, avec ses trois mois, et seulement en cas de conséquences collectives importantes. La CCT n° 81 vise les communications électroniques en réseau : son application à une capture locale est à faire trancher, pas une certitude. Ailleurs, la directive 2002/14/CE fixe le plancher, à partir de 50 salariés ou 20 par établissement.

« C'est le salarié qui déclenche » : est-ce que cela aide ?

Cela aide sur le résultat, pas sur la procédure. Aucune décision publiée ne traite de la capture déclenchée par le salarié et limitée à son propre écran : qui répond avec assurance extrapole. C'est un argument faible pour dire que rien n'est dû, un argument fort sur le contenu du cadre.

Ce n'est pas non plus un consentement au sens du RGPD. L'avis 2/2017 du groupe de l'article 29 est net : le salarié n'est presque jamais en situation de le donner, de le refuser ou de le retirer librement. Retenez l'article 6.1 f) avec une analyse de l'intérêt légitime écrite et datée.

Faut-il une AIPD ?

Probablement, et c'est un cas limite. La liste de la CNIL vise la surveillance des salariés « de manière constante », la liste néerlandaise une surveillance à grande échelle et systématique, la liste allemande de la DSK un traitement « umfangreiche » des données de comportement. Une capture épisodique et déclenchée par l'utilisateur ne les satisfait probablement pas : l'exigence de constance rend l'obligation d'AIPD réellement discutable ici.

Mais au regard du WP248 rév. 01, l'outil coche le critère 7, les salariés étant nommés comme personnes vulnérables du fait du déséquilibre de pouvoir, et le critère 8, l'usage innovant d'une nouvelle technologie ; deux critères indiquent une AIPD. Faites-la, les procédures ci-dessus vous la réclameront. Notre article sur documenter ses procédures de sécurité sous NIS2 traite du problème voisin.

Ce qu'il faut remettre aux élus

Les dossiers qui passent vite portent les mêmes engagements : une finalité écrite, la capture servant à produire des instructions et non à évaluer la performance individuelle ; aucune agrégation entre salariés ; un démarrage sur action explicite, avec relecture et suppression avant partage ; le caviardage par défaut ; une durée de conservation avec règle de suppression ; la localisation des données et les sous-traitants, nommément.

Joignez le dossier factuel : flux du navigateur au serveur, pays d'hébergement, liste des accès, AIPD. Un hébergement en Belgique supprime le chapitre des transferts internationaux, mais n'exonère personne de la consultation.

Erreurs fréquentes

Ouvrir le sujet après la signature. La consultation précède la décision, pas le déploiement. Et un pilote de vingt personnes reste une introduction de la technologie.

S'appuyer sur le consentement des salariés. L'erreur la plus répandue, et celle qu'une autorité de contrôle repère le plus vite.

Supposer que le cadre allemand est stable. Le §26(1) BDSG est largement considéré comme inapplicable après l'arrêt CJUE C-34/21 (mars 2023), une loi sur les données des salariés a été abandonnée en 2024 puis remise en chantier, et l'arrêt C-65/23 (décembre 2024) soumet l'accord d'entreprise servant de base légale à un contrôle entier de la nécessité.

Découvrir l'hébergement trop tard. Des données en région américaine ajoutent un débat sur les transferts à un débat social. Notre comparatif des logiciels européens de SOP et de documentation liste les questions à poser.

Ce que Loopyback ne fait pas

Ni capture silencieuse, ni capture en arrière-plan. Un administrateur ne peut pas lancer un enregistrement sur l'écran d'un autre. Pas de suivi des temps d'inactivité, pas d'analyse d'activité, pas de tableau de bord par salarié. C'est un choix produit, et il nous coûte des affaires.

Nous ne fournissons pas de modèle d'accord relu par un avocat. Ce que nous savons faire : répondre par écrit à vos élus sur ce qui est capturé, quand, où c'est stocké, qui y accède.

FAQ

Nous avons 30 salariés en France. Sommes-nous concernés ?

Le CSE existe dès onze salariés, mais les attributions consultatives de L2312-8 relèvent de la section applicable aux entreprises d'au moins cinquante. Faites confirmer ce qui reste dû ; L1222-4 et les obligations RGPD s'appliquent quel que soit l'effectif.

Un outil hébergé dans l'Union évite-t-il la consultation ?

Non. La localisation des données relève de la protection des données, la consultation du droit du travail. Pour une petite structure, voir notre comparatif des logiciels de SOP pour petites équipes.

Et si nous ne documentons qu'un seul service ?

L'obligation s'attache à l'introduction de la technologie, pas à son ampleur, le seuil de la CCT n° 39 étant une exception partielle. Une limite de périmètre écrite est utile, mais rarement une raison de sauter la procédure.

---

Nous répondons par écrit au questionnaire de votre CSE avant tout engagement. Le plan gratuit suffit pour un pilote technique ; les offres payantes démarrent à 16 € par mois, et 24 € par utilisateur pour les équipes. Détails sur la page tarifs.