TLDR — L’art. 26 al. 1 OLT 3 (RS 822.113, état le 1er octobre 2015) interdit « d’utiliser des systèmes de surveillance ou de contrôle destinés à surveiller le comportement des travailleurs à leur poste de travail ». Ce n’est pas une règle de dosage mais une interdiction de finalité : un journal d’accès à votre base de production est licite, un tableau de bord classant vos développeurs au nombre de commits par heure ne l’est pas — même si la machine appartient à l’entreprise. Le reste est cumulatif : intérêt légitime lié au contrat (art. 328b CO), licéité et proportionnalité (art. 6 LPD), information préalable écrite (art. 19 LPD), pas de surveillance permanente et individualisée, évaluation agrégée par défaut. Pour l’e-mail et la navigation, le PFPDT impose un escalier : mesures techniques d’abord, analyse anonyme ensuite, analyse nominative seulement sur soupçon concret d’abus ; enregistreurs de frappe et captures d’écran périodiques sont hors jeu. Le manquement intentionnel au devoir d’informer est puni, sur plainte, d’une amende jusqu’à 250 000 francs (art. 60 LPD). Trois documents suffisent : inventaire des collectes, directive informatique signée, politique de rétention.
Vous surveillez déjà — reste à savoir si c’est licite
Une entreprise numérique produit des données de surveillance sans l’avoir décidé, parce qu’elle fait son métier : journaux d’accès des serveurs, historique Git, temps passé dans les tickets, MDM sur les portables, filtrage web du pare-feu, enregistrement des appels du support, rapports d’activité de la suite bureautique.
Aucun n’a été acheté pour surveiller le personnel ; tous permettent de le faire. Le droit suisse ne regarde pas l’intention de l’acheteur, mais la finalité du dispositif tel qu’il est configuré et utilisé.
L’article qui prime tout : art. 26 OLT 3
La règle centrale n’est ni dans le CO ni dans la LPD, mais dans une ordonnance d’exécution de la loi sur le travail.
« 1 Il est interdit d’utiliser des systèmes de surveillance ou de contrôle destinés à surveiller le comportement des travailleurs à leur poste de travail.
2 Lorsque des systèmes de surveillance ou de contrôle sont nécessaires pour d’autres raisons, ils doivent notamment être conçus et disposés de façon à ne pas porter atteinte à la santé et à la liberté de mouvement des travailleurs. »
Art. 26 OLT 3, RS 822.113, état le 1er octobre 2015. Sa base légale est l’art. 6 LTr (RS 822.11, état le 1er septembre 2023), qui impose à l’employeur de prendre « toutes les mesures nécessaires pour protéger l’intégrité personnelle des travailleurs ».
Lisez l’alinéa 1 lentement : il ne dit pas que la surveillance du comportement doit être proportionnée, il dit qu’elle est interdite. L’alinéa 2 ne rouvre pas la porte, il vise les systèmes nécessaires pour d’autres raisons.
La LTr ne couvre pas toutes les catégories de personnel, mais cela change peu : l’art. 328 CO oblige de toute façon l’employeur à protéger la personnalité du travailleur, et la LPD s’applique sans condition de statut.
Comportement ou sécurité : la ligne qui décide
La ligne ne passe pas entre surveiller et ne pas surveiller, mais entre la surveillance du comportement et celle de la sécurité, de la performance technique ou de la production. La seconde est admissible si elle est proportionnée et annoncée ; la première, jamais.
| Dispositif | Finalité réelle | Régime |
|---|---|---|
| Journal d’accès au système de production | Sécurité, traçabilité des incidents | Admissible ; ouvert chaque lundi pour voir qui travaille tard, interdit |
| Historique Git, revue de code, métriques par dépôt | Traçabilité technique et qualité | Admissible |
| Tableau de bord classant les développeurs par commits par heure | Évaluation individualisée continue | Interdit |
| Temps passé dans les tickets, agrégé par équipe | Pilotage de la production | Admissible ; nominatif et permanent, interdit |
| MDM : chiffrement, effacement à distance, inventaire applicatif | Sécurité du parc et des données clients | Admissible ; la géolocalisation continue, non |
| Enregistrement des appels support, annoncé, limité, accès restreint | Qualité, formation, preuve | Admissible sous conditions |
Le même journal peut être licite un jour et illicite le lendemain : ce qui bascule n’est pas l’outil, mais l’usage.
Les conditions cumulatives
Un système qui passe le test de la finalité doit encore franchir cinq conditions cumulatives ; en manquer une suffit à rendre le traitement illicite.
| Condition | Base | En pratique |
|---|---|---|
| Intérêt légitime lié au contrat | Art. 328b CO ; art. 31 LPD | « Ce serait bien de savoir » n’est pas un intérêt. |
| Licéité, bonne foi, proportionnalité | Art. 6 al. 1 et 2 LPD | La mesure technique préventive passe avant. |
| Transparence et annonce préalable | Art. 6 al. 3 et art. 19 LPD | Directive écrite, remise avant la mise en service. |
| Pas de surveillance permanente et individualisée | Art. 26 OLT 3 | Contrôles ponctuels et documentés. |
| Évaluation agrégée ou anonymisée par défaut | Proportionnalité ; guide PFPDT | On regarde l’équipe, pas la personne. |
Le PFPDT reproduit ainsi la règle du CO : l’employeur ne peut traiter des données concernant le travailleur « que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail » (art. 328b CO). C’est un filtre matériel, pas un filtre de consentement : un collaborateur qui accepte une surveillance excessive ne la rend pas licite.
Ce que la LPD ajoute — y compris l’obligation de journaliser
« 1 Tout traitement de données personnelles doit être licite.
2 Il doit être conforme aux principes de la bonne foi et de la proportionnalité. »
Art. 6 al. 1 et 2 LPD (RS 235.1, état le 1er septembre 2023). L’alinéa 3 ajoute que les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables : le collaborateur doit pouvoir déduire de ce qu’on lui a dit ce qui est mesuré. Vient le devoir d’informer : « Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non » (art. 19 al. 1 LPD). L’art. 25 LPD lui ouvre en outre un droit d’accès, en principe gratuit et dans les trente jours : un tableau de bord de productivité nominatif devient ce jour-là une pièce à produire.
Le paradoxe, c’est que la loi vous oblige parfois à journaliser : l’art. 4 OPDo (RS 235.11) impose aux responsables du traitement et sous-traitants privés de journaliser au moins l’enregistrement, la modification, la lecture, la communication, l’effacement et la destruction des données lorsqu’ils traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé. L’existence du journal est licite ; son détournement en outil de notation du personnel ne l’est pas.
Quand une surveillance déclenche une analyse d’impact
Art. 22 al. 1 LPD : « Lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, le responsable du traitement procède au préalable à une analyse d’impact relative à la protection des données personnelles. » L’alinéa 2 cite deux cas non exhaustifs : le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public.
Dans une PME numérique, l’analyse s’impose typiquement pour un outil qui évalue automatiquement les personnes et alimente une décision RH — profilage potentiellement à risque élevé au sens de l’art. 5 LPD —, pour un MDM produisant un historique des déplacements, ou pour toute analyse comportementale automatisée des journaux, y compris confiée à un modèle d’IA. Si un risque élevé subsiste malgré les mesures prévues, l’art. 23 LPD impose de consulter le PFPDT.
E-mail et navigation : l’escalier du PFPDT
Le guide du PFPDT sur la surveillance de l’utilisation d’Internet et du courrier électronique au poste de travail date de septembre 2013 — donc de l’ancienne LPD —, mais sa logique reste la position publiée de l’autorité. C’est un escalier : on ne monte une marche que si la précédente n’a pas suffi.
| Marche | Ce qui est permis | Condition d’accès |
|---|---|---|
| 1. Mesures techniques préventives | Pare-feu, antivirus, authentification, quotas, filtrage par catégories | Point de départ obligé |
| 2. Règlement d’utilisation écrit | Usage privé, séparation privé / professionnel, absences et départs | Préalable à toute analyse |
| 3. Analyse anonyme | Statistiques globales, volumes, catégories de sites | Sans soupçon |
| 4. Analyse pseudonyme | Sondages par critère, personnes sous pseudonyme | Sans soupçon concret |
| 5. Avertissement | Rappel général au personnel ou au service concerné | Dès qu’une analyse non nominale révèle un problème |
| 6. Analyse nominative | Identification directe d’un collaborateur | Soupçon concret d’abus, ou abus établi par une analyse non nominale |
Le guide formule la dernière marche ainsi : une analyse nominale « ne peut être effectuée qu’à condition qu’il y ait pour le moins un soupçon concret d’abus ou qu’une analyse non nominale se rapportant aux personnes ait montré qu’un abus a été commis ». L’interdiction cède dans ce cas, et seulement dans ce cas.
Télétravail : ce qui change, ce qui ne change pas
Ce qui ne change pas : l’art. 26 OLT 3 suit le poste de travail où qu’il se trouve. Un dispositif illicite au bureau ne le devient pas moins parce que le collaborateur est chez lui.
Ce qui change joue contre l’employeur : le domicile est une sphère privée renforcée, et tout dispositif qui capte l’environnement capte des tiers sans lien contractuel avec vous. Trois pratiques sont à écarter : enregistreurs de frappe, captures d’écran périodiques, webcam ouverte en permanence. Le PFPDT est explicite sur les premiers : « En raison de l’atteinte massive aux droits de la personnalité du collaborateur qu’ils constituent, de tels programmes de surveillance ne peuvent être utilisés que moyennant une ordonnance judiciaire. » La réponse au télétravail n’est pas technique mais contractuelle : des livrables, des délais, des points réguliers.
« Le matériel est à nous, donc on peut tout regarder »
C’est la croyance la plus répandue, et elle est fausse. La propriété du portable règle une question de droit des choses ; elle ne règle rien en droit du travail ni en protection des données. L’art. 26 OLT 3 ne dit pas un mot du propriétaire de l’équipement : il vise le poste de travail. L’art. 328b CO limite les données traitables, quel que soit le support.
Deux corollaires sous-estimés. Si vous tolérez un usage privé — et beaucoup le tolèrent de fait, ne serait-ce que sur la messagerie d’équipe —, cette tolérance crée des contenus que vous n’avez pas le droit de lire librement ; le PFPDT rappelle que la lecture de correspondances privées peut relever du droit pénal (art. 179quater et 179novies CP). Et interdire tout usage privé ne vous délivre pas : cela facilite l’analyse des journaux, sans dispenser de l’annonce préalable ni de la proportionnalité.
L’inverse est vrai aussi : qu’un collaborateur utilise son propre matériel ne vous empêche pas d’imposer chiffrement, séparation des données professionnelles et effacement à distance du conteneur d’entreprise. Ce sont des mesures de sécurité, pas de surveillance.
Ce qui doit être écrit
La directive informatique repose sur le droit de l’employeur de donner des instructions (art. 321d CO) et c’est elle qui rend licite une partie de ce que vous faites déjà. Elle doit annoncer, avant la mise en service :
- les systèmes produisant des données rattachables à une personne — journaux, MDM, filtrage, tickets, téléphonie, outils de collaboration ;
- pour chacun, la finalité exacte — sécurité, production, obligation légale — jamais le contrôle du personnel ;
- les catégories de données, la durée de conservation et la règle de purge ;
- qui peut consulter quoi — l’accès nominatif à quatre yeux au minimum ;
- ce qui déclenche une analyse nominative, qui la décide et qui la documente ;
- ce qui est autorisé en matière d’usage privé ;
- le droit d’accès de l’art. 25 LPD et le point de contact interne.
Remettez-la contre signature ou accusé de réception, et datez-la. Sans preuve de remise, la transparence n’est pas établie.
Une surveillance non annoncée coûte sur trois plans. Le manquement intentionnel au devoir d’informer de l’art. 19 LPD est puni, sur plainte, d’une amende jusqu’à 250 000 francs (art. 60 LPD), qui frappe la personne physique responsable ; l’entreprise ne peut être poursuivie à sa place que si l’amende envisagée ne dépasse pas 50 000 francs et que l’identification des responsables exigerait des mesures d’instruction disproportionnées (art. 64 LPD). Sur le plan civil, le traitement illicite est une atteinte à la personnalité (art. 30 et 31 LPD) et une violation de l’art. 328 CO. Enfin, et c’est ce qui fait le plus mal : une preuve obtenue par une surveillance illicite risque de ne pas être exploitable dans le litige que vous vouliez gagner.
Trois choses à faire ce mois-ci
- L’inventaire des collectes, deux heures avec votre responsable technique. Une ligne par système : données, finalité, durée, qui peut lire, est-ce annoncé. Vous trouverez au moins un système que personne n’avait recensé.
- La directive informatique, datée et signée. Trois pages suffisent. Si un système de l’inventaire ne peut y être décrit sans gêne, c’est qu’il ne devrait pas exister sous cette forme : reconfigurez-le en agrégé, ou coupez-le.
- La rétention et l’agrégation par défaut. Fixez une durée par type de journal et automatisez la purge — l’art. 6 al. 4 LPD impose de détruire ou d’anonymiser ce qui n’est plus nécessaire. Réglez vos tableaux de bord sur l’équipe : ce seul paramétrage règle la majorité des cas litigieux.
Sources primaires
- OLT 3 du 18 août 1993, RS 822.113 — art. 26, état le 1er octobre 2015 (Fedlex).
- Loi sur le travail (LTr), RS 822.11 — art. 6, état le 1er septembre 2023 (Fedlex).
- LPD du 25 septembre 2020, RS 235.1 — art. 5, 6, 19, 22, 23, 25, 30, 31, 60 et 64, état le 1er septembre 2023 (Fedlex).
- OPDo du 31 août 2022, RS 235.11 — art. 1, 4 et 5, état le 1er septembre 2023 (Fedlex).
- Code des obligations, RS 220 — art. 321d, 328 et 328b.
- PFPDT, Guide relatif à la surveillance de l’utilisation d’Internet et du courrier électronique au poste de travail, septembre 2013 ; page « Moyens techniques de surveillance sur le lieu de travail ».
- SECO, Commentaire de l’OLT 3, art. 26 « Surveillance des travailleurs » ; brochure sur la surveillance technique au poste de travail.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. État des textes consultés au 25 août 2026 : OLT 3 état le 1er octobre 2015 ; LTr, LPD et OPDo état le 1er septembre 2023. N’ont pas pu être vérifiés : le texte consolidé du CO sur Fedlex, dont le volume dépasse ce que notre outil de consultation restitue — les libellés des art. 321d, 328 et 328b CO cités ici proviennent de leur reproduction par le PFPDT et le SECO ; la jurisprudence du Tribunal fédéral sur l’exploitabilité des preuves issues d’une surveillance illicite, dont l’issue dépend d’une pesée des intérêts au cas par cas ; l’existence d’une version du guide du PFPDT postérieure au 1er septembre 2023, que nous n’avons pas trouvée ; le champ d’application personnel de la LTr (art. 2 et 3). Avant de déployer un dispositif de surveillance, de licencier sur la base de journaux ou de produire de telles pièces en procédure, faites relire votre directive par un mandataire qualifié, ou adressez-vous au PFPDT ou à l’inspection cantonale du travail.
