Surveillance sur le lieu de travail au Luxembourg

1. La surveillance comme traitement de données : le changement de paradigme de 2018

Avant 2018, tout dispositif de surveillance des salariés devait faire l'objet d'une autorisation préalable de la CNPD. Depuis l'entrée en vigueur du RGPD, ce régime a été supprimé et remplacé par un système fondé sur la responsabilisation de l'employeur (accountability).

Concrètement, l'employeur peut mettre en place un dispositif de surveillance sans autorisation administrative préalable, à condition de :

• Identifier une base légale valide au sens de l'article 6 RGPD.
• Respecter l'obligation d'information préalable prévue à l'article L.261-1 du Code du travail.
• Appliquer le principe de proportionnalité et de minimisation des données.
• Tenir un registre des activités de traitement documentant le dispositif.

2. La base légale : ce qui fonde réellement la surveillance

L'article L.261-1, §1 du Code du travail renvoie aux bases de licéité de l'article 6 du RGPD. En pratique, dans une relation de travail, les fondements pertinents sont les suivants :

Les bases habituellement retenues

• Intérêt légitime de l'employeur (art. 6-1-f RGPD) : protection des biens de l'entreprise, sécurité des installations, prévention des fraudes internes, respect des règles d'utilisation des outils informatiques. C'est le fondement le plus couramment invoqué — sous réserve que l'intérêt de l'employeur ne soit pas supplanté par les droits fondamentaux du salarié.
• Obligation légale (art. 6-1-c RGPD) : lorsqu'une réglementation sectorielle impose elle-même une traçabilité (secteur financier, santé, transports).
• Exécution du contrat (art. 6-1-b RGPD) : dans des cas limités où la surveillance est inhérente aux conditions du contrat (ex. : téléopérateurs dont les appels font l'objet d'écoutes à des fins de formation, prévues contractuellement).

3. L'information préalable obligatoire (art. L.261-1, §2)

Avant toute mise en place d'un dispositif de surveillance, l'employeur doit informer :

• Le comité mixte ou, à défaut, la délégation du personnel ou, à défaut encore, l'ITM (pour les contrats de droit privé).
• Les organismes de représentation du personnel compétents pour les régimes statutaires.

Cette information doit être détaillée et mentionner au minimum :

• La finalité du traitement (pour quel objectif précis la surveillance est-elle mise en place).
• Les modalités de mise en œuvre (type de dispositif, périmètre, accès aux données).
• La durée de conservation des données ou les critères permettant de la déterminer.
• Un engagement formel de non-réutilisation des données à d'autres fins que celles déclarées.
• Les droits RGPD des salariés : droit d'accès, de rectification, de limitation du traitement, et droit de réclamation auprès de la CNPD.

4. Le principe de proportionnalité : condition sine qua non

Même lorsque la base légale est valide et que l'information a été donnée, la surveillance n'est licite que si le dispositif est strictement nécessaire et proportionné à l'objectif poursuivi. Ce principe découle de l'article 5-1-c RGPD (minimisation des données) et conditionne directement la valeur probante des éléments recueillis.

Quatre critères permettent d'évaluer la proportionnalité :

1. Le dispositif doit être nécessaire : l'objectif ne peut pas être atteint par un moyen moins intrusif.
2. Il doit être adéquat : les données collectées doivent être utiles à la finalité déclarée.
3. Il doit être limité : pas de collecte au-delà de ce qui est strictement nécessaire (durée, étendue, fréquence).
4. Il ne doit pas instaurer une surveillance permanente ou systématique sans justification précise.

5. Droits des salariés et recours

Avis de la CNPD sur la conformité du dispositif (art. L.261-1, §4)

Dans les 15 jours suivant l'information préalable, la délégation du personnel ou les salariés concernés peuvent solliciter l'avis de la CNPD sur la conformité du dispositif envisagé. Cette saisine produit un effet suspensif d'un mois : l'employeur ne peut pas déployer le dispositif pendant ce délai.

Il ne s'agit pas d'une autorisation administrative mais d'un mécanisme de consultation permettant à la CNPD d'examiner le dispositif et, le cas échéant, d'alerter sur une non-conformité avant sa mise en œuvre.

Droit de réclamation individuel (art. L.261-1, §5)

Tout salarié peut à tout moment introduire une réclamation individuelle auprès de la CNPD s'il estime que le traitement de ses données personnelles dans le cadre d'un dispositif de surveillance viole le RGPD ou l'article L.261-1.

Droits RGPD individuels

Indépendamment de la procédure spécifique L.261-1, chaque salarié dispose des droits RGPD suivants à l'égard de son employeur :

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation que des données le concernant sont traitées et en recevoir une copie.
• Droit de rectification (art. 16 RGPD) : faire corriger des données inexactes.
• Droit à la limitation (art. 18 RGPD) : faire suspendre temporairement le traitement en cas de contestation.
• Droit d'opposition (art. 21 RGPD) : s'opposer à un traitement fondé sur l'intérêt légitime, sous réserve des motifs légitimes impérieux de l'employeur.

6. Cas particuliers

Surveillance pour des besoins spécifiques (art. L.261-1, §3)

Des règles spécifiques s'appliquent lorsque la surveillance est directement justifiée par l'un des objets suivants :

• Sécurité et santé des salariés (art. L.211-8) : dispositifs de surveillance intégrés aux obligations de prévention des risques professionnels.
• Contrôle de la production ou des prestations (art. L.414-9) : uniquement si c'est le seul moyen de déterminer le salaire exact du salarié.
• Organisation du travail en horaire mobile (art. L.423-1) : badgeuses et systèmes d'enregistrement du temps de travail.

Codécision dans les entreprises d'au moins 150 salariés (art. L.414-9)

Dans les entreprises occupant au moins 150 salariés, l'introduction de certaines installations techniques destinées à contrôler le comportement ou les performances des salariés relève du régime de codécision avec la délégation du personnel prévu par l'article L.414-9. La décision doit dans ce cas être prise d'un commun accord entre l'employeur et la délégation.

7. Valeur probante des données issues d'une surveillance

La légalité du dispositif conditionne directement l'utilisation des données recueillies dans le cadre d'une procédure disciplinaire ou d'un contentieux prud'homal.

La jurisprudence luxembourgeoise apprécie au cas par cas la recevabilité de ces preuves. Le juge examine notamment :

• Le respect des obligations d'information préalable au sens de l'art. L.261-1.
• La finalité déclarée : les données ont-elles été utilisées pour l'objectif annoncé, ou détournées à d'autres fins ?
• Le caractère proportionné du dispositif dans les circonstances concrètes de l'espèce.