Christiane Féral-Schuhl (Avocate) : "Le chiffrement de son poste par le salarié sans autorisation constitue une faute grave"

Quelles sont les dernières évolutions de la législation et de la jurisprudence qui concernent le rôle du DSI ?

La jurisprudence a précisé les conditions d'utilisation par le salarié de l'outil de travail, ce qui recouvre l'ordinateur, l'accès Internet, etc. Les DSI sont souvent confrontés à la nécessite d'intervenir sur les postes ou la messagerie des salariés, par suite d'une absence, d'un départ, voire de soupçons ou de comportements indélicats au sein de l'entreprise. Confronté au principe du respect de la vie privée, les DSI s'interrogent souvent sur leur marge de manœuvre.

La Cour de cassation s'est prononcée sur cette question, dans un arrêt du 18 octobre 2006 de la Chambre Sociale. Elle s'est prononcée pour une présomption de caractère professionnel - sauf si le salarié les identifie comme étant personnels - des fichiers et dossiers créés par un salarié, au moyen de l'outil informatique mis à sa disposition par son employeur pour l'exécution de son travail.

Qu'en est-il de la marge de manœuvre du DSI en matière de contrôle de l'utilisation qui est faite de l'outil informatique ?

L'encadrement des conditions d'utilisation de l'outil informatique dans l'entreprise se fait souvent par la voie d'une charte internet. Cette dernière a parfois soulevé des interrogations quant à sa valeur juridique et son efficacité. Ici encore, la Chambre Sociale de la Cour de Cassation, dans un arrêt du 21 décembre 2006, apporte une réponse : elle reconnaît la valeur juridique de la charte informatique qui, avec le règlement intérieur, est un document opposable au salarié dont le non-respect permet de caractériser la faute grave.

Par ailleurs, un autre arrêt de la Chambre Sociale de la Cour de Cassation, en date du 10 octobre 2007, s'est prononcée sur les conditions d'utilisation du poste de travail par le salarié. La Haute Cour a considéré que les consultations de sites Internet non compatibles avec l'activité professionnelle réalisées par le salarié sur son lieu de travail et à partir de son ordinateur professionnel, révélées à l'occasion d'une intervention de maintenance de l'ordinateur et d'un examen du disque dur de celui-ci, peuvent justifier un licenciement pour faute grave.

Pour mémoire, il est sans doute utile de rappeler que l'employeur dispose du pouvoir de contrôle des outils informatiques mis à la disposition de ses employés. Pour autant, la mise en œuvre des dispositifs de contrôle doit respecter deux principes : le principe de proportionnalité et le principe de transparence - l'employé et le comité d'entreprise, s'il en existe un, doivent être informés préalablement.

Où en est-on sur le terrain de la valeur légale du document électronique ?

Dans ce domaine, on peut signaler une instruction fiscale du 11 janvier 2007 qui précise les modalités de conservation des factures créées électroniquement et transmises sur support papier à leurs clients. Sous réserve du respect des exigences de sécurité, les entreprises sont dispensées de conserver les doubles papiers des factures.

Par ailleurs, il faut également signaler un décret du 2 mai 2007 relatif aux moyens et prestations de cryptologie et un arrêté du 25 mai 2007 qui complètent le dispositif d'encadrement du régime de la cryptologie. Ils décrivent les procédures de déclaration et d'autorisation des moyens et prestations de cryptologie et précisent les cas de dispense de ces formalités.

Où en est la loi informatique et liberté ?

Un décret du 25 mars 2007 vient modifier un décret du 20 octobre 2005 qui avait été pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés [ndlr modifiée par la loi du 6 août 2004]. Pour l'essentiel, ce décret précise les modalités d'exercice des obligations d'information.

Celles-ci doivent ainsi être directement portées à la connaissance des personnes auprès desquelles les données sont collectées, sur le support de la collecte ou, à défaut, sur un document préalablement porté à la connaissance des personnes concernées en caractères lisibles. En cas de collecte orale des données, lecture des informations doit être faite à la personne concernée en lui indiquant qu'elle peut, sur simple demande, même exprimée oralement, les recevoir postérieurement par écrit.

Le décret précise en outre les modalités d'exercice des droits des personnes fichées. L'exercice de ce droit implique de fournir un justificatif de l'identité du demandeur. La réponse à une demande de rectification doit s'effectuer dans un délai de deux mois à compter de la réception de la demande.

S'agissant du droit d'opposition, l'intéressé doit pouvoir l'exercer avant la validation définitive de ses réponses et, en cas de collecte par voie orale, l'intéressé doit être mis en mesure de l'exercer avant la fin de la collecte des données le concernant.