Caméras, logiciels, badgeuses : quels moyens de surveillance doivent être présentés au CSE ?

L’essentiel à retenir

Tout dispositif permettant à l’employeur de contrôler l’activité de ses salariés — caméras, badgeuses, logiciels de suivi, géolocalisation de véhicules, outils de mesure de productivité — doit être présenté au CSE avant sa mise en œuvre, en application de l’article L2312-38 du Code du travail. La CNIL, dans une fiche pratique publiée le 9 juillet 2026, a consolidé sa doctrine autour de trois conditions cumulatives : une finalité légitime et un dispositif proportionné, l’information individuelle préalable de chaque salarié, et la consultation du CSE dans les structures de 50 salariés et plus. L’absence de l’une de ces trois conditions rend le dispositif illicite, quand bien même il serait par ailleurs parfaitement justifié sur le fond. Les conséquences concrètes de ce manquement sont doubles : une preuve obtenue par un moyen non déclaré au CSE est en principe écartée des débats devant le conseil de prud’hommes, et l’entreprise s’expose à une sanction de la CNIL pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Introduction

Vidéosurveillance, badgeuses, logiciels de suivi de la productivité, géolocalisation des véhicules de fonction : les outils permettant à l’employeur de contrôler l’activité de ses salariés se multiplient dans les entreprises. Face à cette diversité, une question revient sans cesse chez les élus du CSE : quels dispositifs doivent réellement leur être présentés avant leur mise en œuvre ?

La CNIL a profité de l’été 2026 pour clarifier sa doctrine sur ce sujet, en publiant le 9 juillet une fiche pratique qui consolide plusieurs années de délibérations et de sanctions. Le message qu’elle délivre est sans ambiguïté : l’employeur dispose bien d’un pouvoir de contrôle et de surveillance sur l’activité de son personnel, dans le cadre de son pouvoir de direction, mais ce pouvoir reste strictement encadré par des conditions cumulatives et non négociables, parmi lesquelles la consultation du CSE occupe une place centrale.

Cet article détaille précisément quels dispositifs relèvent de cette obligation, les conditions fixées par la CNIL, l’actualité jurisprudentielle récente sur ce sujet, et les questions que les élus doivent systématiquement poser à l’employeur lorsqu’un tel projet leur est présenté.

1. Le principe : l’article L2312-38, un texte au périmètre très large

Le fondement légal de cette obligation figure dans le Code du travail, avec une formulation volontairement large qui couvre potentiellement tout outil de contrôle de l’activité des salariés.

Un texte qui couvre tous les moyens ou techniques de contrôle. L’article L2312-38 du Code du travail impose l’information-consultation du CSE sur les moyens ou techniques permettant un contrôle de l’activité des salariés, avant toute décision de mise en œuvre dans l’entreprise. Cette obligation s’applique aux structures de 50 salariés et plus dotées d’un CSE.

Un périmètre qui ne se limite pas aux outils explicitement présentés comme de surveillance. Le texte couvre les logiciels de suivi d’activité, les systèmes de vidéosurveillance, les outils de géolocalisation, les dispositifs de contrôle d’accès. Il couvre aussi tout système informatique permettant de tracer l’activité d’un salarié — y compris les outils présentés comme des « outils de productivité » qui, en réalité, mesurent le temps passé par chaque utilisateur sur une tâche donnée.

Une portée qui dépasse le seul droit du travail. Au-delà du Code du travail, la CNIL rappelle que le comité social d’administration, territorial ou d’établissement joue le même rôle dans les organismes publics, ce qui témoigne d’une cohérence d’ensemble du cadre juridique applicable à ces dispositifs, quel que soit le secteur d’activité concerné.

2. Les trois conditions cumulatives fixées par la fiche CNIL du 9 juillet 2026

Cette obligation légale a été précisée et systématisée par une publication récente de la CNIL, qui en fait désormais une grille de lecture claire pour l’ensemble des dispositifs de surveillance.

Une fiche pratique qui consolide la doctrine de la CNIL. La CNIL a publié le 9 juillet 2026 une fiche pratique qui consolide sa doctrine sur le contrôle de l’activité des salariés et des agents publics. Le message est net : un employeur peut surveiller l’exécution du travail, mais seulement à condition de remplir trois critères cumulatifs, sans quoi le dispositif devient illicite — badgeuse, keylogger ou logiciel de reporting compris.

Première condition : une finalité légitime et un dispositif proportionné. Conformément à l’article L1121-1 du Code du travail, l’employeur doit documenter l’objectif précis du contrôle et vérifier qu’aucun moyen moins intrusif ne permet de l’atteindre. La fiche CNIL exige une analyse de nécessité et de proportionnalité documentée, et non une simple justification orale présentée en réunion.

Deuxième condition : l’information individuelle préalable de chaque salarié. En application de l’article L1222-4 du Code du travail, le dispositif doit être porté à la connaissance des personnes concernées préalablement à sa mise en place, pour satisfaire aux obligations de loyauté et d’information qui incombent à l’employeur.

Troisième condition : la consultation préalable du CSE. Dans les structures de 50 salariés et plus, la consultation préalable des instances représentatives du personnel est requise. Installer une badgeuse ou des caméras sans consulter ces instances rend le dispositif illicite d’emblée, quand bien même il serait par ailleurs parfaitement proportionné : ici, la forme compte autant que le fond.

3. La vidéosurveillance : le dispositif le plus répandu et le plus contentieux

Parmi tous les dispositifs de surveillance, la vidéosurveillance reste, en pratique, celui qui génère le plus de contentieux et de manquements constatés.

Une installation licite mais strictement encadrée. Installer des caméras dans une entreprise est licite, mais strictement encadré. L’employeur doit poursuivre une finalité légitime (sécurité des biens et des personnes), ne filmer que les lieux justifiés, informer individuellement les salariés, consulter le CSE, afficher des panneaux d’information, limiter la conservation des images à un mois en principe, et ne jamais placer un salarié sous surveillance permanente.

Un dispositif fréquemment mal maîtrisé en pratique. La vidéosurveillance est le dispositif de surveillance le plus répandu et le plus contentieux en entreprise. C’est aussi le plus mal maîtrisé : caméras orientées vers les postes de travail, images conservées « pour l’année », aucune trace de consultation du CSE, salariés jamais informés autrement que par un vague autocollant apposé sur une porte d’entrée.

Une sanction significative en cas de dispositif disproportionné. Une délibération de la CNIL du 19 décembre 2024 a infligé une amende de 40 000 € à une société qui avait installé dans ses locaux un système de vidéosurveillance captant en continu les images et le son des salariés présents, pendant leur temps de travail comme pendant leurs pauses, illustrant concrètement les limites à ne pas franchir.

4. La badgeuse et le contrôle des horaires

Souvent perçue comme un outil anodin de gestion du temps de travail, la badgeuse est pourtant soumise exactement aux mêmes exigences que les dispositifs de surveillance les plus intrusifs.

Un traitement de données personnelles à part entière. Une badgeuse enregistre des données personnelles — les heures d’arrivée et de départ du salarié — et constitue à ce titre un moyen de contrôle de son activité, au même titre qu’un logiciel de suivi ou une caméra.

Les mêmes trois conditions à respecter. Elle doit donc respecter les trois conditions cumulatives : être justifiée par l’organisation du temps de travail, ce qui est généralement admis, avoir été soumise au CSE avant son installation, et avoir été portée à la connaissance des salariés avec ses finalités et ses durées de conservation.

Une mise en œuvre illicite expressément citée par la CNIL. La CNIL cite explicitement l’installation d’une badgeuse ou d’un système de vidéosurveillance sans consultation préalable du CSE, dans une entreprise de 50 salariés ou plus, comme exemple type de mise en œuvre illicite d’un dispositif de contrôle. Ce rappel illustre le fait que la simplicité apparente d’un outil ne l’exonère en rien du respect des obligations légales.

5. Géolocalisation, logiciels de suivi et keyloggers

Au-delà des dispositifs les plus visibles, d’autres outils, parfois moins immédiatement identifiables comme des moyens de surveillance, relèvent exactement du même régime juridique.

La géolocalisation des véhicules de fonction. Un véhicule géolocalisé en permanence, y compris pendant les pauses et en dehors du service, sans information préalable du salarié et sans possibilité de couper le signal en dehors du temps de travail, se trouve à l’opposé du schéma validé par la CNIL : finalité détournée, information manquante, proportionnalité douteuse.

Une jurisprudence récente sur le contrôle de la productivité. Le Conseil d’État, dans une décision du 23 décembre 2025 (n° 492830, affaire Amazon France Logistique), a renforcé le contrôle exercé sur la proportionnalité des dispositifs de suivi de la productivité des salariés, marquant une vigilance accrue des juridictions administratives sur ce type d’outils, particulièrement répandus dans les secteurs de la logistique et de l’entreposage.

L’exemple d’un dispositif cumulant plusieurs manquements. Dans une affaire sanctionnée par la CNIL (délibération SAN-2024-021), un logiciel enregistrait chaque frappe clavier (keylogger), des captures d’écran survenaient toutes les quelques minutes, une vidéosurveillance captait le son en continu, le tout déployé sans information préalable des salariés ni analyse d’impact sur la protection des données, avec des comptes administrateurs partagés sans traçabilité des accès. Chacun de ces éléments, pris isolément, pourrait déjà poser un problème de proportionnalité ; cumulés, ils ont constitué un système que la CNIL a jugé excessif.

Une analyse d’impact obligatoire pour les dispositifs les plus intrusifs. Pour les traitements les plus intrusifs — biométrie, surveillance étendue —, une analyse d’impact relative à la protection des données (AIPD) reste par ailleurs obligatoire, en complément des trois conditions cumulatives déjà évoquées.

6. Les conséquences d’un défaut de consultation

Le non-respect de ces obligations expose l’entreprise à un double risque, distinct mais cumulatif : un risque devant les juridictions prud’homales, et un risque devant l’autorité de protection des données.

Une preuve en principe écartée des débats. Une preuve obtenue par un dispositif non déclaré au CSE ou dont les salariés n’étaient pas informés est écartée des débats : l’employeur qui pensait détenir la preuve d’un vol ou d’une faute se retrouve démuni, et le licenciement fondé sur cette preuve peut être jugé sans cause réelle et sérieuse.

Une exception encadrée pour la preuve déloyale. La Cour de cassation, réunie en Assemblée plénière le 22 décembre 2023 (n° 20-20.648), a néanmoins admis qu’une preuve obtenue de façon déloyale puisse, à titre exceptionnel, être retenue par le juge, à condition qu’elle soit indispensable à l’exercice du droit à la preuve, et que l’atteinte portée aux droits du salarié soit strictement proportionnée au but poursuivi. Cette exception reste d’application stricte et ne dispense jamais l’employeur de respecter, en amont, ses obligations de consultation et d’information.

Une sanction administrative pouvant atteindre 4 % du chiffre d’affaires mondial. Côté CNIL, la vidéosurveillance ou tout autre dispositif disproportionné ou non transparent fait l’objet de mises en demeure et de sanctions régulières ; les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, en application de l’article 83 du RGPD.

7. Les questions à poser en séance de CSE

Face à la présentation d’un projet de déploiement d’un outil de surveillance, les élus disposent d’un droit d’interrogation précis, qu’il convient d’exercer méthodiquement.

Un droit d’interroger l’employeur sur trois points clés. En séance, le CSE est en droit d’interroger l’employeur sur la finalité du dispositif, sur sa proportionnalité, et sur sa conformité au RGPD. Si l’employeur ne peut pas répondre précisément à ces trois questions, le CSE a des raisons de rendre un avis défavorable — et de le motiver au procès-verbal.

Vérifier l’existence d’une analyse de nécessité documentée. Les élus peuvent demander à consulter l’analyse de nécessité et de proportionnalité exigée par la fiche CNIL, ainsi que, le cas échéant, l’analyse d’impact (AIPD) réalisée pour les dispositifs les plus intrusifs, plutôt que de se contenter d’une présentation orale en réunion.

S’assurer de l’information individuelle effective des salariés. Il est utile de vérifier concrètement les modalités prévues pour informer chaque salarié individuellement du dispositif (note de service, mention au contrat, affichage), et non de se satisfaire d’une simple mention générale dans le règlement intérieur, insuffisante au regard des exigences de la CNIL.

Documenter systématiquement le déroulement de la consultation. Un déploiement sans consultation préalable fragilise l’ensemble de la procédure : les élus ont donc tout intérêt à conserver une trace précise de leurs questions, des réponses obtenues, et de l’avis rendu, afin de pouvoir, le cas échéant, appuyer une action ultérieure devant le conseil de prud’hommes ou une saisine de la CNIL.

Résumé

Tout dispositif de surveillance permettant de contrôler l’activité des salariés — caméras, badgeuses, logiciels de suivi, géolocalisation, outils de productivité — doit être présenté au CSE avant sa mise en œuvre, en application de l’article L2312-38 du Code du travail. La fiche pratique CNIL du 9 juillet 2026 a consolidé cette obligation autour de trois conditions cumulatives : une finalité légitime et proportionnée, une information individuelle préalable de chaque salarié, et la consultation du CSE dans les structures de 50 salariés et plus. L’absence de l’une de ces conditions rend le dispositif illicite, expose l’entreprise à des sanctions pouvant atteindre 4 % du chiffre d’affaires mondial, et prive en principe l’employeur de la possibilité d’utiliser les preuves ainsi recueillies devant le conseil de prud’hommes, sauf exception strictement encadrée par la jurisprudence.

Pour les élus du CSE, l’enjeu consiste à systématiser leurs questions sur la finalité, la proportionnalité et la conformité RGPD de chaque dispositif présenté, à exiger une documentation écrite plutôt que des explications orales, et à conserver une trace précise de chaque consultation, afin de sécuriser tant les droits des salariés que la solidité juridique des décisions prises par l’entreprise.

Textes de référence

• Article L2312-38 du Code du travail : information-consultation du CSE sur les moyens de contrôle de l’activité des salariés
• Article L1121-1 du Code du travail : principe de proportionnalité des restrictions aux droits et libertés du salarié
• Article L1222-4 du Code du travail : information préalable individuelle du salarié
• Article 83 du RGPD : sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial
• CNIL, fiche pratique du 9 juillet 2026 : « Travail, ressources humaines : le contrôle de l’activité des personnes employées »
• CNIL, délibération SAN-2024-021 et délibération du 19 décembre 2024 : sanctions pour dispositifs de surveillance disproportionnés
• Cass., Assemblée plénière, 22 décembre 2023, n° 20-20.648 : admissibilité encadrée de la preuve déloyale
• Conseil d’État, 23 décembre 2025, n° 492830 : contrôle de la proportionnalité des dispositifs de suivi de la productivité

Sources : CNIL — travail, ressources humaines, le contrôle de l’activité des personnes employées (9 juillet 2026) ; Leto Legal — contrôle des salariés, les 3 conditions CNIL pour un dispositif conforme au RGPD (août 2026) ; Normazur — cybersurveillance des salariés, le cadre légal CNIL (juillet 2026) ; Clubic — vidéosurveillance, badgeuse et géolocalisation, ce que votre employeur a le droit de faire selon la CNIL (juillet 2026) ; Kohen Avocats — logiciel de suivi, GPS, badgeuse, quand le contrôle de votre activité devient excessif (septembre 2026) ; Mostosi Avocat — surveillance des salariés, limites CNIL (avril 2026) ; Atoopv — surveillance des salariés, quand la CNIL sanctionne, le CSE aurait dû être consulté (juin 2026) ; Données Personnelles — vidéosurveillance entreprise RGPD, règles 2026 (juillet 2026).