Exigences du RGPD pour la surveillance des employés

Notification obligatoire aux employés

La France applique des normes strictes de transparence. L’employeur doit informer les salariés avant le début de tout contrôle en précisant :

• but de la surveillance
• catégories de données collectées
• base juridique
• durée de conservation des données
• droits des salariés
• accès et destinataires des données

Une surveillance cachée ou silencieuse n’est pas autorisée, sauf dans de rares cas légalement justifiés impliquant une faute grave.

Consultation Avec Le Comité D'Entreprise (CSE)

Avant de déployer toute solution de veille, y compris des services comme CleverControl, les employeurs doivent consulter le Comité Social et Economique (CSE) comme l'exige le Code du Travail (Art. L2312-38). Cette consultation est obligatoire et doit avoir lieu avant la mise en œuvre.

Exigences de proportionnalité et de nécessité

La loi française impose que la surveillance soit :

• nécessaire à un objectif défini
• proportionné à cet objectif
• limité strictement à un usage professionnel
• limité aux heures de travail
• non intrusif et non continu sauf si cela est absolument nécessaire

Les méthodes de surveillance trop invasives (par exemple, surveillance 24 heures sur 24, capture d'écran aveugle ou enregistrement audio) sont généralement considérées comme excessives par la CNIL.

Exigence DPIA

Conformément à l'art. 35 et les lignes directrices de la CNIL, la surveillance des salariés nécessite toujours une Analyse d’Impact sur la Protection des Données (DPIA) avant déploiement. La DPIA doit évaluer :

• risques potentiels pour les employés
• proportionnalité du contrôle
• mesures d'atténuation
• règles de conservation
• solutions alternatives

Restrictions spécifiques de surveillance en vertu du droit français

Certaines activités de surveillance sont fortement restreintes :

• L'enregistrement audio est généralement interdit, sauf exceptions étroitement définies
• La surveillance est interdite dans les espaces privés (salles de repos, toilettes, espaces personnels)
• La surveillance ne doit pas s'étendre au-delà des heures de travail
• Les employeurs ne peuvent pas collecter de mots de passe personnels ou de communications privées
• L'utilisation des données biométriques est fortement réglementée et autorisée uniquement sous des conditions strictes.

Limites de conservation des données

La CNIL exige que les durées de conservation soient :

• minimal
• proportionné
• explicitement défini
• aligné sur l’objectif de surveillance déclaré

La conservation à long terme ou indéfinie n'est pas autorisée.

Transferts de données transfrontaliers

Si les données surveillées quittent l’UE, les employeurs doivent utiliser :

• une décision d'adéquation, ou
• Clauses contractuelles types (CCS), plus
• garanties supplémentaires requises par Schrems II

Le cryptage et les limitations d’accès sont recommandés lors de l’exportation de données en dehors de l’EEE.

Droits des employés en vertu du RGPD

Les employés surveillés avec des outils légaux ont le droit de :

• accéder à leurs données
• demander une correction ou une suppression (le cas échéant)
• restreindre ou s’opposer au traitement
• recevoir des informations sur le traitement automatisé
• déposer une réclamation auprès de la CNIL

Les employeurs doivent répondre aux demandes dans un délai d'un mois.

Obligations supplémentaires en matière de transparence et d’information sur les employés

L'Espagne exige une notification particulièrement détaillée et explicite aux salariés lorsque des outils de surveillance sont utilisés. En vertu du Statut des travailleurs espagnols (Estatuto de los Trabajadores, art. 20.3) et de la Ley Orgánica 3/2018 (LOPDGDD) :

• L'employeur doit expliquer clairement la portée, les méthodes et l'intensité de la surveillance.
• Les employés doivent être informés non seulement de la surveillance, mais également du fonctionnement du système de surveillance (par exemple, types de journaux, fréquence, décisions automatisées).

L'Espagne met davantage l'accent sur la spécificité et la granularité de la notification par rapport à la transparence standard du RGPD.

Restrictions de vidéosurveillance et de surveillance vidéo

LOPDGDD d'Espagne Art. 89 ajoute des règles strictes pour tout système capable de capturer des images ou des vidéos :

• La vidéosurveillance doit être proportionnée et strictement limitée aux zones de travail.
• Les caméras ne peuvent pas être installées dans les aires de repos, les salles de repos, les cantines ou les vestiaires.
• Si l’audio est capturé, la surveillance est considérée comme encore plus intrusive et généralement interdite à moins que cela ne soit justifié par de graves risques de sécurité.

Bien que cela concerne principalement la vidéosurveillance, les principes s'étendent également à tout outil de surveillance des employés capable de capturer des images ou du son.

Exigences de transparence dans la prise de décision automatisée

LOPDGDD renforce l’art RGPD. 22 en obligeant les employeurs à :

• Informez les employés de l’utilisation d’évaluations automatisées, d’algorithmes ou de notation.
• Expliquez comment la logique de décision automatisée affecte l'évaluation des performances ou le processus disciplinaire des employés.

Si les logiciels de surveillance contribuent à l’évaluation des performances, l’Espagne exige des informations supplémentaires, au-delà du RGPD standard.

Consultation du Comité d'Entreprise

Dans les établissements dotés d'un comité d'entreprise («representación legal de los trabajadores»), les employeurs doivent :

• Informer et consulter le conseil avant de mettre en place des systèmes de suivi.
• Fournissez au conseil des détails sur la technologie, la portée de la surveillance et la rétention.

Cette obligation reflète le système français mais est légèrement moins prescriptive.

Protections spéciales pour l'enregistrement audio

L'Espagne considère l'enregistrement audio comme particulièrement intrusif :

• La surveillance audio est interdite dans presque tous les cas.
• Autorisé uniquement pour des besoins de sécurité exceptionnels ou des enquêtes criminelles.

Si le logiciel dispose de fonctionnalités audio optionnelles, les employeurs espagnols doivent s'assurer qu'elles sont désactivées, sauf exception légale.

Autorisation ou accord préalable requis (règle italienne la plus importante)

L'Italie dispose de l'un des cadres les plus stricts d'Europe en matière de surveillance des employés.

Aux termes du Statuto dei Lavoratori, article 4 :

Les outils de surveillance ne peuvent être installés que lorsque l’une des conditions suivantes est remplie :

a) Un accord formel avec le Comité d'Entreprise (RSU/RSA)

OU

b) Autorisation de l'Inspection du Travail (Ispettorato Nazionale del Lavoro) s'il n'existe pas de comité d'entreprise.

Cela s'applique à tout système de surveillance capable de surveiller indirectement ou directement les travailleurs, y compris les logiciels tels que CleverControl.

Interdiction stricte de surveillance non autorisée

L'Italie interdit totalement la surveillance non autorisée en vertu de l'art. 4.

Même une surveillance temporaire ou d’investigation nécessite :

• autorisation préalable, ou
• intervention judiciaire (en cas d'enquête pénale).

L'Italie est plus stricte que la plupart des pays de l'UE sur ce point.

La collecte de données doit être indirecte (si possible)

Le Garante Privacy encourage les employeurs à éviter d’identifier les travailleurs individuels, sauf si cela est nécessaire.

Le suivi devrait idéalement collecter :

• des données agrégées, ou
• informations anonymisées/pseudonymisées

lorsque l’identification individuelle n’est pas indispensable.

Exigences supplémentaires en matière d'avis

Au-delà des exigences de transparence du RGPD, l’Italie exige :

• un avis écrit spécifique aux salariés
• affiché sur le lieu de travail ou accessible numériquement
• décrivant l'outil de surveillance, sa portée, sa conservation et son objectif
• rédigé de manière claire et précise (les déclarations génériques sont insuffisantes)

Cet avis est obligatoire même après accord du comité d'entreprise ou autorisation de l'inspecteur.

Limitation de l’objectif : la surveillance ne peut pas être utilisée pour certaines mesures disciplinaires

La jurisprudence italienne interdit aux employeurs d'utiliser les données collectées dans un but (par exemple, la sécurité) pour un autre (par exemple, la discipline), sauf indication expresse dans :

• l'accord/l'autorisation,
• l'avis du salarié.

Le changement d’objectif n’est pas autorisé.

L'enregistrement audio et vidéo est fortement restreint

Aux termes de l'article 4 :

• L'enregistrement audio sur les lieux de travail est presque entièrement interdit.
• La vidéosurveillance doit être explicitement prévue dans l’accord du comité d’entreprise ou dans l’autorisation des inspecteurs.
• Les caméras ne peuvent pas cibler les travailleurs individuellement à moins que cela ne soit justifié et autorisé.

Tout outil doté de capacités audiovisuelles fait l’objet d’un examen approfondi.

La conservation des données doit être explicite et minimale

L'autorisation de l'Inspection du travail comprend généralement :

• durées de conservation maximales
• calendriers de suppression obligatoire
• limitations sur la conservation des journaux ou des captures d'écran

L'application des droits des employés est très stricte

Le Garante italien applique de manière agressive :

• accès aux données de surveillance
• droits de suppression et de rectification
• séparation stricte entre données privées et professionnelles
• interdictions de suivi excessif ou intrusif (par exemple, captures d'écran continues)

La codétermination du comité d'entreprise est obligatoire

L'Allemagne possède l'un des systèmes de codétermination les plus stricts d'Europe.

En vertu du BetrVG §87(1), la mise en œuvre de tout outil de surveillance des employés (y compris CleverControl) nécessite :

• codétermination et approbation du comité d'entreprise (Betriebsrat)
• le comité d'entreprise dispose d'un droit de veto
• la surveillance ne peut légalement pas commencer tant qu'un accord ("Betriebsvereinbarung") n'est pas conclu

Seuil élevé de « proportionnalité » et de « nécessité »

Les tribunaux allemands et les DPA appliquent des tests de proportionnalité plus stricts que la référence du RGPD.

Interprétations clés :

• Une surveillance continue est généralement jugée excessive
• La surveillance en dehors des heures de travail est strictement interdite

L'Allemagne considère la vie privée sur le lieu de travail comme un droit constitutionnel (articles 2 et 10), la barre est donc haute.

Des règles de surveillance extrêmement strictes

Selon la jurisprudence allemande et le BDSG :

• La surveillance sans base juridique appropriée est presque toujours illégale
• Autorisé uniquement dans des cas très précis de forte suspicion d'activité criminelle, et
• Seulement s'il n'existe aucun moyen plus doux
• Même dans ce cas, les mesures doivent être immédiatement levées une fois les soupçons résolus.

Dispositions spécifiques du BDSG pour les données des employés

Le BDSG §26 ajoute des exigences en plus du RGPD, notamment :

• Le contrôle ne peut être utilisé que s'il est "nécessaire à l'exécution de la relation de travail".
• Les intérêts des employeurs doivent être équilibrés avec les droits des employés
• Les employeurs doivent envisager des alternatives avant de procéder à la surveillance
• Les données sensibles nécessitent des protections renforcées explicites

Cette disposition restreint considérablement ce que les employeurs peuvent légalement faire.

Les exigences en matière de documentation sont plus lourdes

L'Allemagne attend une documentation interne détaillée, notamment :

• une évaluation d’impact du suivi dédiée (au-delà de la DPIA)
• Accords détaillés des comités d'entreprise
• documentation technique sur le fonctionnement de la surveillance
• règles d'accès claires basées sur les rôles
• pratiques strictes de minimisation des données

Les DPA allemandes demandent souvent ces documents lors des audits.

Les APD régionales peuvent imposer des interprétations plus strictes

L'Allemagne compte 16 autorités nationales chargées de la protection des données. Chacun peut interpréter différemment la surveillance du lieu de travail.

De nombreuses APD exigent :

• une justification plus solide de la télémétrie
• courtes périodes de conservation
• évaluations des risques supplémentaires
• consultation préalable pour les systèmes à haut risque

Réglementation explicite du contrôle dans le Code du travail

La Pologne dispose de dispositions directes et explicites dans le Code du travail sur le contrôle, qui vont au-delà du RGPD générique.

Le Code du travail réglemente en détail :

• Vidéosurveillance (CCTV)
• Surveillance des e-mails/de l’informatique
• Autres formes de surveillance affectant la vie privée des employés (par exemple contrôle d'accès, GPS dans certains cas)

Les employeurs utilisant des outils doivent s'assurer que leur configuration est compatible avec ces dispositions spécifiques du Code du travail, et pas seulement avec le RGPD.

Finalités légitimes strictement définies

Pour que la surveillance soit légale, la loi polonaise la lie explicitement à des objectifs spécifiques, tels que :

• assurer l’organisation du travail et la sécurité
• protection des biens
• contrôle de la production
• protéger les informations confidentielles

La surveillance ne peut pas être utilisée à des fins de surveillance illimitée et générale ou à des fins sans rapport avec ces objectifs légitimes.

De fortes obligations d’information des salariés dans le règlement intérieur

Au-delà de la transparence générale du RGPD, la loi polonaise exige que :

• le suivi doit être décrit dans des règlements internes (par exemple, règlements de travail / politiques sur le lieu de travail), et
• les employés doivent être informés par écrit avant le début du contrôle.

Les informations doivent couvrir au moins :

• type de surveillance (par exemple CCTV, e-mail/journaux)
• zones/appareils couverts
• but de la surveillance
• sa portée et ses méthodes
• durée de conservation

Limites des zones pouvant être surveillées

Le Code du travail accorde une protection particulière à certains espaces, à l'instar d'autres pays stricts de l'UE :

• la surveillance n'est pas autorisée dans des zones telles que les vestiaires, les zones sanitaires, les cantines ou les fumoirs
• les exceptions ne sont possibles que dans des conditions très strictes et avec des garanties supplémentaires (comme le masquage, le flou, les limites techniques)

Toute fonction du logiciel de surveillance des employés qui pourrait être utilisée pour la surveillance visuelle doit respecter ces interdictions géographiques.

Surveillance des e-mails et de l'informatique – Garanties supplémentaires

La Pologne réglemente explicitement la surveillance des e-mails et des communications électroniques des employés :

• Il doit être nécessaire pour assurer l'organisation du travail, la bonne utilisation des outils de travail ou la protection des informations.
• Il ne doit pas porter atteinte au secret des correspondances au-delà de ce qui est nécessaire à l'objet déclaré.
• La correspondance privée ne doit pas être systématiquement consultée ou traitée

Consultation / Information des représentants du personnel

Lorsqu’il existe des représentants des salariés ou des syndicats, les employeurs sont généralement censés :

• les informer et les consulter sur la mise en place de systèmes de surveillance
• présenter le règlement intérieur et la justification

C'est moins rigide que la codétermination à l'allemande, mais cela reste une exigence pratique importante en Pologne.

Forte concentration sur la proportionnalité et la nécessité sur le lieu de travail

ÚOOÚ souligne que la surveillance doit être exceptionnelle et non routinière. Les employeurs doivent justifier pourquoi des outils de surveillance sont nécessaires et pourquoi des alternatives moins invasives ne peuvent pas atteindre le même objectif.

Surveillance autorisée uniquement pour des raisons sérieuses et justifiées

Selon le Code du travail tchèque et les directives de l'ÚOOÚ, les raisons acceptables comprennent :

• protéger la propriété
• prévenir les incidents de sécurité
• assurer la sécurité des salariés
• protéger les informations sensibles ou confidentielles

La surveillance ne peut pas être utilisée pour suivre systématiquement les performances s’il existe des méthodes moins intrusives.

Exigences supplémentaires en matière de transparence

Au-delà du RGPD, la loi tchèque exige :

• information explicite, claire et compréhensible aux salariés
• spécification des outils utilisés, des données collectées et de la durée de conservation
• afficher ou fournir des règles écrites sur la surveillance

Les employeurs doivent également préciser quels types de comportements ou d’activités sont supervisés.

Les déclarations de surveillance larges ou vagues ne sont pas acceptables.

Surveillance des communications privées interdite

ÚOOÚ interdit explicitement aux employeurs de :

• accéder aux e-mails privés
• surveiller les messages personnels
• collecter des données qui appartiennent clairement à un usage privé (même sur les appareils de l'entreprise)

Si des outils tels que CleverControl enregistrent les canaux de communication, les employeurs tchèques doivent garantir que la surveillance reste strictement liée au travail.

Restriction sur la surveillance audio et vidéo

Le Code du travail tchèque prévoit des limitations strictes :

• L'enregistrement audio est presque toujours illégal sur le lieu de travail
• La vidéosurveillance doit être nécessaire et proportionnée
• Les caméras sont interdites dans les espaces tels que : vestiaires, aires de repos, équipements sociaux (toilettes, douches), salles de repos

La surveillance doit éviter de capturer les comportements privés.

Règles de surveillance strictes pour les enquêtes criminelles

Comme dans de nombreux États de l’UE, la Tchéquie interdit les surveillances non autorisées.

Ceci n'est autorisé que si :

• il existe des soupçons raisonnables d'une infraction criminelle
• la surveillance est temporaire
• il n'existe pas de méthode moins invasive
• il est conforme aux lois de procédure pénale

Consultation avec les représentants des salariés

Si une entreprise dispose de représentants des salariés ou d'un syndicat, la loi tchèque exige :

• information
• discussion
• consultation

avant d’introduire des systèmes de surveillance des lieux de travail.

Fort accent sur "l'équité" dans le cadre des directives de l'ICO

Le Bureau du commissaire à l'information (ICO) du Royaume-Uni ajoute une couche d'interprétation supplémentaire qui n'est pas présente dans le RGPD de l'UE :

Le suivi doit être équitable, qui s’évalue à travers :

• équilibre des intérêts
• caractère raisonnable
• transparence
• éviter toute intrusion injustifiée dans la vie privée

Le « test d’équité » est particulièrement mis en avant au Royaume-Uni.

Exigence d'une « évaluation des intérêts légitimes » (LIA) documentée

Alors que le RGPD encourage les LIA, le Royaume-Uni les considère effectivement comme obligatoires pour la surveillance des employés.

Les employeurs mettant en œuvre des outils devraient avoir :

• un LIA écrit
• y compris le but, la nécessité, les alternatives, la proportionnalité
• et mesures d’atténuation

ICO demande régulièrement des LIA lors des audits.

Attentes élevées en matière de consultation des employés

Contrairement à l'Allemagne ou à l'Espagne, le Royaume-Uni n'exige pas légalement l'approbation du comité d'entreprise, mais les directives de l'ICO prévoient :

• consultation ouverte avec les salariés ou leurs représentants
• discussion sur les raisons pour lesquelles la surveillance est nécessaire
• explication des risques et des mesures de protection

Fortes restrictions sur la surveillance « à usage privé »

Le Royaume-Uni accorde des protections spéciales aux communications privées ou à l'utilisation des appareils personnels des employés.

Les employeurs doivent s’assurer :

• les e-mails ou messages privés ne sont pas consultés ou lus
• tout contrôle de l'utilisation d'Internet exclut les contenus clairement privés
• La surveillance BYOD (appareil personnel) est extrêmement limitée

ICO donne la priorité au respect des attentes raisonnables en matière de confidentialité des employés.

Exigences particulières en matière de surveillance

Certaines surveillances à haut risque au Royaume-Uni ne sont autorisées que dans des circonstances exceptionnelles, conformément aux règles strictes de l'ICO :

• lorsqu'il existe des soupçons raisonnables d'activité criminelle
• la surveillance doit être ciblée et limitée dans le temps
• ne peut pas être utilisé pour l’évaluation générale des performances
• doit être approuvé au niveau de la haute direction
• doit s'arrêter une fois l'enquête terminée

Exigences supplémentaires pour la surveillance audio et vidéo

L'enregistrement audio sur le lieu de travail est considéré comme hautement intrusif en vertu de la loi britannique :

• généralement découragé
• autorisé uniquement avec une justification très solide
• l'enregistrement audio sans le consentement approprié est presque toujours illégal

La surveillance vidéo nécessite :

• avis visibles
• périodes de conservation définies
• justification de la capture d’employés identifiables

L’analyse d’impact sur la protection des données (DPIA) est fortement attendue

Bien que le RGPD britannique reflète le RGPD de l'UE, l'ICO est particulièrement stricte en ce qui concerne les DPIA pour :

• surveillance d'écran
• suivi de localisation

Le Royaume-Uni les considère par défaut comme à haut risque, et des DPIA sont attendues même si elles ne sont pas explicitement imposées par la loi.

Attention supplémentaire à la surveillance automatisée/algorithmique

L’ICO exige une transparence spécifique lorsque les outils de surveillance influencent :

• évaluation des performances
• notation du comportement
• décisions de gestion automatisées

Exigences explicites en vertu de la loi 190/2018 pour la surveillance des employés

La Roumanie est l'un des rares pays de l'UE doté d'une loi spéciale réglementant directement le contrôle des employés.

L'article 5 de la loi 190/2018 ajoute des conditions plus strictes que le RGPD, notamment :

• Le contrôle doit être strictement nécessaire à l’intérêt légitime de l’employeur
• Aucune autre méthode moins intrusive n'est disponible
• La surveillance doit être limitée en durée, en portée et en accès
• La surveillance ne doit pas « excéder ce qui est nécessaire » pour atteindre l'objectif déclaré

DPIA obligatoire pour la surveillance des employés

En vertu de la loi 190/2018, la Roumanie exige explicitement une évaluation d'impact sur la protection des données (DPIA) avant de déployer un système de surveillance des employés.

La DPIA doit inclure :

• justification de la nécessité
• évaluation de la proportionnalité
• risques pour les droits des salariés
• des mesures de protection pour réduire ces risques
• alternatives envisagées

Cette exigence est inscrite directement dans la loi roumaine.

Exigences strictes de transparence et d’information préalable

La loi roumaine exige que les salariés soient informés :

• à l'avance
• clairement et explicitement
• sur la nature, l'objectif, la durée, les méthodes et la portée de la surveillance

L'employeur doit justifier :

• pourquoi une surveillance est nécessaire
• combien de temps durera la surveillance
• comment les données collectées seront utilisées
• qui y aura accès

La surveillance doit être limitée à une durée maximale nécessaire

La loi 190/2018 exige que le contrôle :

• être limité dans le temps
• ne pas être constant ou indéfini
• s’arrêter une fois que l’objectif de surveillance a été atteint

Restrictions sur la surveillance des espaces privés et des communications privées

Semblable à d’autres États de l’UE, mais avec des interprétations plus fortes selon les directives de l’ANSPDCP :

• Pas de surveillance dans les espaces privés (salles de repos, toilettes, espaces sociaux)
• La surveillance doit éviter de collecter des communications privées
• Les employeurs doivent mettre en œuvre des contrôles techniques pour empêcher la capture accidentelle de contenu personnel

Fort accent sur les alternatives

La loi roumaine exige uniquement que l'employeur prouve qu'« il n'existe pas d'autres moyens moins intrusifs disponibles » pour atteindre le même objectif.

De nombreux pays de l’UE le sous-entendent, la Roumanie l’exige explicitement. Il s'agit d'un seuil élevé.

Considérations sur les droits collectifs du travail

S’il existe des syndicats ou des représentants des salariés, les employeurs doivent :

• informez-les
• discuter des plans de surveillance
• veiller au respect des conventions collectives

La « surveillance comportementale » autorisée uniquement avec une justification solide

La pratique hongroise est assez stricte en matière de contrôle du comportement et des performances des employés.

• Les outils de surveillance (y compris les logiciels comme CleverControl) ne peuvent être utilisés que si cela est strictement nécessaire pour protéger un intérêt légitime (propriété, sécurité, secrets commerciaux, etc.).
• La productivité pure ou le « contrôle général » sans risque concret sont souvent considérés comme disproportionnés.
• Les employeurs doivent être en mesure de prouver pourquoi chaque type spécifique de surveillance (par exemple, utilisation du site Web, captures d'écran, suivi des applications) est nécessaire.

Le test de nécessité/proportionnalité est appliqué de manière très stricte par le NAIH.

Politique interne écrite + obligations d'information individuelle

Au-delà de la transparence standard du RGPD, la pratique hongroise attend :

une politique interne écrite (par exemple, politique informatique/de surveillance) qui réglemente clairement :

• ce qui est surveillé
• sur quels appareils
• pendant quelle période
• avec quels moyens techniques
• dans quel but précis

des informations individuelles à chaque employé, et non une simple clause générique dans le contrat.

La surveillance de l’utilisation privée est fortement restreinte

Les autorités hongroises adoptent une position stricte concernant l'utilisation privée des outils de l'entreprise :

• Les employeurs peuvent restreindre ou interdire l'utilisation privée des appareils de l'entreprise, mais
• si l'usage privé est autorisé, l'accès systématique aux contenus privés (e-mails, messages, sites Internet clairement marqués comme privés) n'est pas autorisé.
• Même si l’utilisation privée est interdite, les employés conservent une attente résiduelle en matière de confidentialité, de sorte qu’une inspection approfondie du contenu est risquée.

Exigences strictes en matière d’avis de surveillance

Bien que le RGPD impose généralement des limites strictes aux contrôles exceptionnels, l’interprétation hongroise est extrêmement étroite :

• La surveillance des employés sans base légale appropriée est presque toujours considérée comme illégale.
• Cela peut être acceptable seulement dans de très rares cas impliquant des infractions pénales, et même dans ce cas, généralement mené par les forces de l'ordre et non par les employeurs.

La localisation et le suivi GPS sont considérés comme très intrusifs

Le NAIH considère la surveillance de localisation (GPS) comme particulièrement sensible :

• Le suivi constant et en direct des employés est considéré comme excessif, sauf pour des tâches très spécifiques (par exemple, certains transports, sécurité, services sur le terrain).
• Même dans ce cas, le suivi doit être limité au temps de travail et minimisé.

Norme de proportionnalité très stricte (pratique APD/GBA)

La Belgique applique un test de proportionnalité plus strict que la moyenne :

• La surveillance doit être manifestement la méthode la moins intrusive disponible.
• Les employeurs doivent démontrer un besoin spécifique et concret, et non une justification générale en matière de productivité.
• Une surveillance globale ou continue (par exemple, capture d'écran permanente) est souvent jugée excessive.

L'APD/GBA place la dignité et l'autonomie des employés comme valeurs fondamentales, ce qui rend la Belgique plus stricte que la plupart des États de l'UE.

Limites strictes de surveillance des employés

• Une surveillance sans base juridique appropriée n’est pratiquement jamais licite, même en cas de mauvaise conduite.
• Les décisions de l'APD/GBA rejettent systématiquement les outils intrusifs à moins qu'une activité criminelle immédiate et très grave ne soit impliquée, et même dans ce cas, sur une base temporaire.

Comité d'entreprise/consultation syndicale obligatoire lorsqu'elle est présente

Le droit du travail belge exige que :

S'il existe un comité d'entreprise, une délégation syndicale ou un comité pour la prévention et la protection au travail, les employeurs doivent les consulter avant de mettre en place des systèmes de contrôle.

Cela comprend :

• règles de surveillance
• moyens techniques
• fins
• périodes de conservation
• politiques d'utilisation

La Belgique n'est pas aussi rigide que l'Allemagne, mais la consultation est légalement obligatoire dans les organisations dotées d'organes représentatifs.

Restrictions sur la surveillance des e-mails et d'Internet

La Belgique applique des règles détaillées similaires aux pays de l’UE les plus stricts :

• Les employeurs doivent éviter de lire le contenu des communications personnelles.
• Même les communications professionnelles ne sont accessibles que pour des raisons légitimes et nécessaires.
• Si l’utilisation privée est autorisée, les outils de surveillance doivent être configurés pour éviter de collecter du contenu privé.

Surveillance audio et vidéo fortement circonscrite

La loi belge exige :

• Un très haut niveau de justification pour la capture audio ou vidéo
• Pas de surveillance dans les espaces privés ou semi-privés (salles de repos, toilettes, etc.)
• Signalisation claire et visible pour les caméras
• Un calendrier de conservation strict (souvent quelques jours ou semaines seulement)

La surveillance audio en particulier est fortement défavorisée et presque toujours illégale dans les environnements de bureau.

Attentes renforcées en matière d’AIPD

La Belgique considère de nombreux scénarios de surveillance des employés comme présumés à haut risque, exigeant :

• une AIPD complète
• documentation détaillée de la portée de la surveillance
• identification précise des alternatives
• mesures d'atténuation strictes

L'APD belge demande fréquemment des documents DPIA lors des audits.

Autorisation obligatoire de surveillance du comité d'entreprise (WOR)

Les Pays-Bas exigent strictement l’accord du comité d’entreprise avant de mettre en œuvre un système de surveillance des employés.

En vertu de l'article 27 du WOR :

• Les systèmes de surveillance affectant la vie privée des salariés ne peuvent être mis en place sans l’accord du comité d’entreprise
• Il ne s’agit pas seulement de consultation : le comité d’entreprise dispose de véritables droits de codécision
• Sans approbation, la surveillance est illégale

La DPA néerlandaise (AP) applique un test de proportionnalité très strict

L'AP est l'une des autorités de protection des données les plus strictes d'Europe.

Sa norme exige :

• La surveillance doit être le dernier recours, après avoir évalué toutes les alternatives moins intrusives.
• Même une surveillance justifiée doit être configurée pour être aussi minimale que possible.

Les employeurs doivent documenter en détail pourquoi une surveillance est nécessaire et comment des alternatives ont été envisagées.

Limites strictes dans des circonstances criminelles très rares

Les règles néerlandaises sont extrêmement strictes :

La surveillance sans base juridique appropriée est interdite dans presque toutes les situations.

Cela n'est autorisé que lorsque :

• il existe de sérieux soupçons d'un crime
• la surveillance est temporaire
• l'employeur ne peut pas obtenir le même résultat par d'autres moyens
• et seulement après avoir informé l'AP si un risque élevé est impliqué.

Forte protection des communications privées et de l’utilisation personnelle

Les Pays-Bas protègent fortement la vie privée des employés, même en ce qui concerne les actifs professionnels :

• Si l'utilisation privée des appareils de travail est autorisée (formellement ou informellement), les outils de surveillance doivent être configurés pour exclure le contenu privé.
• Lire des e-mails personnels, des discussions ou des messages privés est presque toujours illégal.
• La surveillance de l'utilisation d'Internet doit se concentrer sur les catégories et les modèles, et non sur le contenu privé.

Une séparation stricte des données privées et professionnelles est attendue.

Surveillance audio et vidéo hautement restreinte

L’AP considère la surveillance audio et vidéo comme très intrusive :

• L'enregistrement audio est presque toujours inadmissible.
• La surveillance vidéo doit être strictement justifiée et jamais continue.
• Les caméras ne peuvent pas filmer les employés sur leur espace de travail, sauf si cela est nécessaire pour des raisons sérieuses de sûreté/sécurité.
• La surveillance ne doit jamais capturer les zones de pause, les toilettes ou les espaces personnels.

Des attentes élevées en matière de documentation DPIA

L’AP s’attend à une AIPD complète pour :

• surveillance d'écran
• suivi de localisation
• toute surveillance continue ou basée sur le comportement

L’AIPD doit être détaillée, y compris les alternatives envisagées et les mesures d’atténuation.

Cogestion du comité d'entreprise pour les systèmes de surveillance

Dans les entreprises dotées d'un comité d'entreprise (Betriebsrat), l'Autriche exige un accord d'entreprise (Betriebsvereinbarung) pour tout système de contrôle du comportement ou des performances des salariés.

• Le comité d'entreprise a des droits de codétermination, pas seulement de consultation.
• Sans accord d'entreprise valide, l'introduction d'un système de contrôle peut être illégale et constituer également une violation du droit du travail.

Le « contrôle permanent » des comportements est fortement défavorisé

La pratique autrichienne considère que le suivi permanent et détaillé des performances/comportements est très problématique :

• Un suivi continu (par exemple, journaux d'activité détaillés, capture d'écran constante) est généralement considéré comme disproportionné.
• La surveillance doit être ciblée, limitée dans sa portée et dans le temps, et clairement justifiée.

Le DSB a tendance à appliquer une optique de proportionnalité stricte aux outils utilisés sur le lieu de travail.

Haute sensibilité autour de l'enregistrement audio et image

L'Autriche considère l'enregistrement audio et l'enregistrement d'images/vidéos sur le lieu de travail comme particulièrement intrusif :

• L'enregistrement audio n'est presque jamais acceptable dans les environnements de bureau normaux.
• La capture vidéo/écran doit être fortement justifiée (par exemple, environnements critiques pour la sécurité) et configurée selon la portée minimale nécessaire.
• Tout contrôle permettant d'observer les salariés à leur poste de travail sur de longues périodes fait l'objet d'un contrôle particulièrement strict.

Protection de la sphère privée même sur les appareils de travail

Même lorsque les appareils appartiennent à l’entreprise, le droit autrichien et la pratique du DSB soulignent :

• Respect de la sphère privée du salarié, notamment là où l'usage privé est toléré.
• Les outils de surveillance doivent être configurés pour éviter de lire des contenus clairement privés (e-mails personnels, chats privés, etc.).

L’inspection approfondie du contenu des communications est risquée et généralement excessive lorsque des options moins intrusives (métadonnées, catégories) existent.

Nécessité de politiques internes claires et de transparence

Au-delà de la transparence générique du RGPD, la pratique autrichienne attend :

des politiques internes / Betriebsvereinbarungen claires qui décrivent précisément :

• ce qui est surveillé
• quels outils sont utilisés
• finalités et base juridique
• périodes de conservation
• qui a accès

une information écrite aux employés, et non seulement une référence générale dans un contrat.

Ce cadre écrit est essentiel lors du déploiement d’outils de surveillance.

La surveillance ne doit pas « surcharger » ni « observer systématiquement » les employés

Le droit du travail suisse interdit le contrôle de :

• comportement des employés
• mouvement/activité
• observation continue
• suivi détaillé des performances

si cela entraîne des risques pour la santé, du stress, des pressions ou porte atteinte à la dignité des employés.

Obligation explicite d’éviter de surveiller la vie privée

Conformément aux principes du LFA et aux principes du travail suisses :

• Les outils ne doivent pas s’immiscer dans la sphère privée, même sur les appareils de l’entreprise.
• Si l’usage privé est autorisé (même occasionnellement), les employeurs doivent configurer des outils de surveillance pour éviter de capturer du contenu privé.

Cette attente est plus explicite et protectrice que celle de nombreux États de l’UE.

Forte exigence de transparence (clair, préavis)

La loi suisse impose aux collaborateurs de recevoir une information claire et préalable sur :

• ce qui est surveillé
• comment il est surveillé
• le but
• le type de données collectées
• durée de conservation
• règles d'accès

Les avis génériques ou vagues sont insuffisants.

La surveillance pour le contrôle des performances nécessite une justification supplémentaire

Selon le PFPDI :

• Un suivi évaluant la productivité ou le comportement n’est admissible que s’il est strictement nécessaire.
• Même dans ce cas, les données doivent être agrégées ou anonymisées autant que possible.
• L’identification directe des employés doit être évitée à moins qu’il n’existe aucune alternative.

Cela va au-delà du RGPD en imposant davantage de limites à l’évaluation des performances.

Interdiction stricte de surveillance

• forte suspicion d'activité criminelle
• mesures temporaires et ciblées
• évaluation de la proportionnalité
• généralement sous surveillance pénale

Les transferts de données transfrontaliers sont réglementés différemment du RGPD

La Suisse possède sa propre liste de « pays adéquats ».

Les transferts hors de Suisse nécessitent :

• décision d’adéquation, OU
• SCC suisses (pas les versions UE), OU
• garanties équivalentes

Les CCT suisses diffèrent légèrement des CCT de l’UE, les employeurs doivent donc utiliser la version correcte.

La présence du comité d'entreprise est rare mais la consultation est attendue là où elle existe

La Suisse n'exige pas par défaut les comités d'entreprise, mais :

• où existent des instances représentatives du personnel
• des consultations sont attendues avant d’introduire le suivi.

Proportionnalité stricte et approche de « dernier recours »

La DPA hellénique interprète la proportionnalité de manière très stricte :

• Les outils de surveillance des employés ne doivent être utilisés que s’il n’existe aucune alternative moins intrusive.
• Les employeurs doivent justifier pourquoi un contrôle est nécessaire et pourquoi des solutions plus douces sont insuffisantes.
• La productivité générale ou le suivi régulier des performances sont souvent considérés comme disproportionnés.

Une politique interne écrite est obligatoire

La loi grecque prévoit :

• une politique interne écrite de l'entreprise décrivant la surveillance
• détails sur l'objectif, la portée, la méthode et l'accès
• distinction claire entre les utilisations autorisées et interdites
• communication directe aux employés avant le début de la surveillance

Un avis de confidentialité générique RGPD ne suffit pas.

Interdiction explicite de surveiller les communications privées

La Grèce protège fortement la vie privée des salariés :

• Les e-mails privés, les discussions et les communications personnelles ne peuvent pas être consultés, surveillés ou examinés.
• Même sur les appareils d'entreprise, les employeurs doivent s'assurer que les outils de surveillance ne capturent pas de contenu privé.
• Si l’utilisation personnelle est autorisée, une surveillance plus approfondie est effectivement interdite.

La surveillance doit respecter les exigences des avis juridiques

La DPA grecque suit un point de vue extrêmement strict :

Une surveillance sans base juridique appropriée est presque toujours illégale.

Autorisé uniquement dans de rares cas de soupçons criminels graves, avec :

• stricte nécessité
• courte durée
• une documentation solide
• portée limitée

Les règles de vidéosurveillance sont très strictes (également appliquées à la surveillance numérique)

Bien que conçue pour la vidéosurveillance, la DPA grecque applique des normes similaires à tout système capable de surveiller ou d'enregistrer les employés :

• Ne doit pas surveiller les postes de travail en permanence.
• Ne doit pas cibler les employés individuellement, sauf en cas d'absolue nécessité.
• Ne doit pas couvrir les salles de pause, les cafétérias, les aires de repos ou les zones privées.
• Les enregistrements doivent avoir de courtes périodes de conservation.

DPIA attendue pour la plupart des contrôles des employés

La loi 4624/2019 et les directives HDPA considèrent la surveillance des employés comme à haut risque :

• DPIA est requis pour la plupart des implémentations
• Doit documenter les alternatives, les risques et les mesures d'atténuation
• La HDPA peut demander des preuves en cas d'inspections

Consultation avec les représentants des salariés

Lorsqu’il existe des syndicats, des comités d’entreprise ou des représentants du personnel :

• les employeurs doivent les consulter avant d’introduire un contrôle
• et discuter de la politique interne écrite

Interprétation stricte de la proportionnalité et de la nécessité

L’APD chypriote applique un test de proportionnalité strict, similaire à celui de la Grèce :

• La surveillance doit être clairement nécessaire pour atteindre un objectif spécifique et légitime.
• Des alternatives moins intrusives doivent être envisagées en premier.
• Une surveillance continue ou très intrusive (suivi constant, captures d’écran) est généralement défavorisée.

Les employeurs doivent être en mesure de justifier pourquoi la méthode de surveillance utilisée est requise.

Informations obligatoires et détaillées sur les employés

Chypre exige une notification plus explicite et détaillée que la transparence standard du RGPD :

Les salariés doivent être informés sur :

• but et nécessité du suivi
• outils spécifiques utilisés
• méthodes et fréquence de collecte de données
• qui a accès
• périodes de conservation
• droits et mécanismes de plainte

Un avis de confidentialité générique n’est pas considéré comme suffisant.

Interdiction de surveiller les espaces privés et les données personnelles

La DPA chypriote interdit expressément la surveillance :

• salles de pause
• TOILETTES
• salles à manger
• tout espace « privé » ou semi-privé
• discussions privées, messages personnels ou comptes de messagerie personnels
• contenu de navigation clairement privé

Si les employeurs autorisent une utilisation privée limitée des appareils, la surveillance doit exclure toute capture de contenu privé.

La surveillance doit respecter les exigences en matière de mentions légales, sauf en cas de suspicion criminelle

• Une surveillance exceptionnelle est illégale, sauf dans les cas graves de soupçons criminels.
• Même dans ce cas, elle doit être ciblée, limitée dans le temps et proportionnée.
• La surveillance de la productivité, des performances ou de la supervision de routine est totalement interdite lorsqu'elle ne dispose pas de la base légale et de la notification requise.

DPIA attendue pour la plupart des systèmes de surveillance des employés

Alors que le RGPD exige une DPIA pour les outils à haut risque, la DPA chypriote traite la surveillance des employés en général comme une catégorie à haut risque, ce qui signifie que les employeurs doivent :

• mener une DPIA avant le déploiement
• documenter les risques et les mesures d’atténuation
• justifier la nécessité
• évaluer des solutions alternatives
• fournir des preuves à la demande du DPA

Consultation avec les représentants des salariés

S’il existe des comités d’employés ou des syndicats :

• les employeurs doivent les consulter avant de déployer des systèmes de surveillance
• doit présenter la politique de surveillance et la justification

Il s’agit d’une attente légale dans les pratiques de travail chypriotes.

Exigence de transparence très forte (au-delà du RGPD)

Le Danemark est l'un des pays de l'UE les plus stricts en matière de transparence :

Les collaborateurs doivent être informés de manière claire, précise et individuelle de toute surveillance.

L’employeur doit décrire explicitement :

• quels outils de surveillance sont utilisés
• quelles données sont collectées
• à quelle fréquence les données sont collectées
• qui a accès
• périodes de conservation

La DPA danoise a sanctionné des entreprises pour manque de détails dans les avis de surveillance des employés.

La surveillance doit être strictement nécessaire (test de proportionnalité amélioré)

La loi danoise et les directives Datatilsynet exigent que la surveillance soit :

• nécessaire
• proportionné
• pertinent pour la tâche du poste

La DPA constate régulièrement des violations lorsque les employeurs utilisent :

• surveillance continue de l'écran
• suivi Internet excessif

Interdiction explicite de la surveillance non autorisée

Le Danemark interdit la surveillance non autorisée, sauf dans des contextes d'enquête criminelle extrêmement spécifiques, et même dans ce cas :

• l'employeur doit avoir de très bonnes raisons
• la surveillance doit être temporaire
• seulement pour un soupçon clairement défini

Les représentants des salariés doivent être informés

Lorsqu’un lieu de travail dispose de représentants du personnel ou d’un comité de coopération :

• ils doivent être informés et impliqués dans les discussions sur le suivi
• même s'il n'est pas aussi strict que l'Allemagne ou les Pays-Bas, le Danemark s'attend à un dialogue interne documenté
• la représentation des salariés doit recevoir toutes les informations pertinentes avant son déploiement

Datatilsynet encourage fortement une telle consultation.

Règles strictes sur la surveillance des e-mails et d'Internet

La pratique danoise impose des normes plus élevées en matière de surveillance des communications numériques :

• La lecture du contenu des emails des salariés n’est autorisée que dans des situations exceptionnelles.
• Les employeurs doivent éviter de capturer ou de lire les communications personnelles, même si elles sont envoyées depuis des appareils de travail.
• Le suivi sur Internet doit se concentrer sur des catégories ou des modèles, et non sur le contenu d'une page spécifique.

Enregistrement d'écran

Datatilsynet traite :

• capture d'écran continue

comme très intrusif et rarement licite, sauf si cela est strictement requis à des fins de sécurité ou de conformité.

Une DPIA est fortement recommandée (et effectivement attendue) pour de telles fonctionnalités.

Périodes de conservation courtes et claires

La DPA danoise exige :

• des durées de conservation courtes et bien définies pour le suivi des données
• suppression régulière
• des politiques de rétention facilement accessibles aux employés

Norme extrêmement élevée en matière de transparence et de prévisibilité

La Suède a l’une des attentes de transparence les plus strictes de l’UE.

IMY exige que les employeurs informent clairement les employés sur :

• raisons de surveiller
• outils exacts utilisés
• données collectées et "à quelle fréquence"
• périodes de conservation
• qui accède aux informations
• si le suivi affecte l'évaluation du travail

Les informations génériques ne suffisent pas, l’avis doit être concret, spécifique et prévisible.

La surveillance ne doit pas affecter la « dignité des employés »

Conformément aux principes suédois du travail et aux pratiques de l'IMY :

• La surveillance ne doit pas porter atteinte à la dignité, à l'autonomie ou à la confiance des employés.
• Les systèmes qui créent de la pression, du stress ou un sentiment de surveillance constante peuvent être considérés comme illégaux.

Fortes restrictions sur la surveillance des e-mails, d'Internet et des communications

Les directives suédoises considèrent la surveillance des communications numériques comme hautement intrusive :

• L'accès au contenu des e-mails n'est autorisé que dans des cas spécifiques et exceptionnels (par exemple, gestion des absences, incidents de sécurité).
• La surveillance des communications privées est strictement interdite.
• Même la collecte de métadonnées doit être limitée à ce qui est nécessaire.

Les outils de surveillance doivent être configurés pour éviter de capturer des messages personnels ou du matériel clairement privé.

Surveillance d'écran

IMY considère :

• captures d'écran fréquentes
• surveillance sur écran en direct

être des formes de surveillance très intrusives.

Périodes de conservation courtes et minimisation stricte des données

La Suède exige des employeurs qu’ils :

• définir des périodes de conservation courtes
• supprimer régulièrement les données de surveillance
• appliquer un contrôle d'accès strict
• stocker uniquement le minimum d’informations nécessaires.

Obligations de consultation par le biais de la représentation des travailleurs

Si un lieu de travail a une représentation syndicale ou un comité de travailleurs local :

• les employeurs doivent les informer ou les consulter avant d’introduire des systèmes de contrôle
• fournir de la documentation et une justification
• permettre un dialogue sur la proportionnalité et la nécessité.

Forte importance accordée à « l'équité » et aux attentes des employés en matière de confidentialité

L'Irlande suit le RGPD mais accorde une importance particulière à l'équité :

• La surveillance doit être clairement prévisible pour les employés.
• Les employeurs doivent évaluer les attentes raisonnables des employés en matière de vie privée dans toute situation donnée.
• Une surveillance surprise ou une surveillance au-delà de ce que les employés prévoient raisonnablement peuvent être illégales, même si elles sont transparentes sur papier.

Exigences de transparence détaillées et spécifiques

La DPC attend des avis très explicites et détaillés des employés, notamment :

• description technique de ce que l'outil de surveillance enregistre réellement
• fréquence de surveillance
• si des analyses automatisées sont utilisées
• qui dans l'organisation examine les données
• si la surveillance peut influencer les décisions disciplinaires ou de performance

Interdiction d’une surveillance disproportionnée ou continue

Les directives du DPC sont strictes en matière de surveillance excessive :

• le suivi continu ou en temps réel (écrans, méthodes de type surveillance) est normalement excessif
• la surveillance doit être minimale, nécessaire et justifiée
• une activité qui semble « surveiller tout ce qu'un employé fait » est considérée comme une violation des droits du travail irlandais

Des règles strictes en cas de suspicion criminelle

• il existe de sérieux soupçons d'activité criminelle
• la surveillance est ciblée et à court terme
• aucune alternative raisonnable n'existe
• la haute direction l'autorise
• le but est strictement d'enquête

La surveillance des communications privées est strictement interdite

Même sur les appareils de l’entreprise, les employeurs ne doivent pas :

• accéder aux emails privés
• lire des messages personnels
• collecter du contenu de navigation clairement privé

DPIA est requis pour la plupart des contrôles des employés

La DPC considère par défaut que la surveillance des employés est à haut risque, ce qui signifie :

• Les DPIA doivent être complétées avant la mise en œuvre
• les risques et les alternatives doivent être pleinement évalués
• Des documents DPIA peuvent être demandés lors des inspections

Consultation avec les représentants des salariés, le cas échéant

Bien qu'elle ne soit pas aussi stricte que le système de codétermination allemand, la pratique irlandaise sur le lieu de travail prévoit :

• consultation des syndicats ou des comités d'employés
• divulgation des plans de surveillance et des résultats de l’AIPD
• dialogue interne sur la nécessité, la proportionnalité et les garanties

Cette attente découle des principes des relations de travail plutôt que d’un mandat légal strict.

Interdiction absolue de la vidéosurveillance non autorisée

Le Portugal interdit strictement :

• caméras non autorisées
• surveillance vidéo non autorisée
• observation non autorisée des employés

Tout contrôle visuel doit être visible, déclaré et justifié. Une surveillance visuelle non autorisée n’est jamais autorisée.

Fortes restrictions sur la surveillance des e-mails et de l'informatique

Le Portugal applique des normes plus strictes que le RGPD pour la surveillance des communications numériques :

• Une surveillance permanente ou systématique des e-mails des employés n'est pas autorisée.
• La surveillance doit être occasionnelle, ciblée et liée à des risques légitimes et spécifiques.
• Les employeurs doivent avoir des règles internes claires décrivant l'utilisation privée, les limites et les pratiques de surveillance.
• La surveillance doit toujours suivre une approche la moins intrusive.

Politique de surveillance et d'utilisation obligatoire

La pratique portugaise nécessite une politique interne détaillée expliquant :

• quelle surveillance a lieu
• quels outils sont utilisés
• la portée et le but
• comment les données sont collectées et stockées
• si l'utilisation privée des appareils est autorisée
• des garanties protégeant la vie privée des employés

Restrictions de travail à distance (très important au Portugal)

Le Portugal a introduit certaines des règles de surveillance du travail à distance les plus strictes de l'UE :

• Les employeurs ne peuvent pas surveiller les employés travaillant à domicile à l’aide d’outils de surveillance, de suivi comportemental ou de surveillance intrusive.
• Les employeurs ne peuvent pas contacter les travailleurs en dehors des heures de travail (« droit à la déconnexion »).
• La surveillance du travail à distance doit être minimale, justifiée et ne doit pas empiéter sur l’environnement du domicile privé.

Interprétation stricte de la nécessité et de la proportionnalité

Les autorités portugaises appliquent :

• stricte nécessité (surveillance uniquement en cas d'absolue nécessité)
• proportionnalité stricte (données minimales, durée minimale)
• pertinence stricte (pas de surveillance à usage général).

La surveillance doit être clairement liée à la sécurité, à la conformité ou à la protection des actifs, et non au contrôle général de la productivité.

Des exigences de transparence très strictes

La Slovaquie va au-delà du RGPD en exigeant :

des informations claires, écrites et détaillées avant le début de toute surveillance

les informations doivent indiquer explicitement :

• l'outil utilisé
• le but exact
• données collectées
• durée de conservation
• fréquence de surveillance
• méthodes et technologies utilisées

La DPA slovaque pénalise fréquemment les employeurs pour des avis de contrôle vagues ou incomplets.

La surveillance doit être strictement nécessaire et proportionnée

La Slovaquie interprète strictement la nécessité et la proportionnalité :

• la surveillance doit être liée à un objectif spécifique et justifié (par exemple, sûreté, sécurité, protection des actifs)
• la surveillance générale de la productivité est considérée comme excessive
• une surveillance continue ou globale (captures d'écran, enregistrement constant) est probablement disproportionnée

La pratique réglementaire slovaque favorise généralement le droit à la vie privée des employés dans les cas limites.

Limites strictes de surveillance dans les affaires pénales

La loi slovaque autorise une surveillance exceptionnelle du lieu de travail uniquement si :

• il existe de sérieux soupçons d'une infraction pénale
• la surveillance est limitée dans le temps et ciblée
• aucune alternative n'existe
• et il respecte les procédures pénales.

Limitations strictes sur la surveillance visuelle et audio

La Slovaquie impose des contrôles stricts sur toute forme de surveillance visuelle ou audio :

• Pas de surveillance dans les espaces privés ou semi-privés
• L'enregistrement audio est presque toujours illégal
• La capture d’écran ou vidéo doit être extrêmement limitée en termes de portée et de durée
• L'enregistrement des flux de travail ou des bureaux pour une surveillance continue est généralement considéré comme excessif

Surveillance des communications fortement restreinte

Selon la pratique slovaque :

• les employeurs ne doivent pas accéder aux courriels privés ou aux messages personnels
• même la surveillance du contenu des e-mails professionnels doit répondre à une stricte nécessité
• si l'utilisation privée est autorisée sur les appareils de l'entreprise, des formes de surveillance plus intrusives ne peuvent pas être utilisées

La surveillance doit se concentrer sur les métadonnées et les modèles, et non sur le contenu des communications privées.

Consultation avec les représentants des salariés

S’il existe des instances syndicales ou des conseils d’employés :

• les employeurs doivent les consulter avant d’introduire un contrôle
• doit expliquer la nécessité, la portée et les processus
• doit fournir de la documentation et un règlement intérieur

DPIA attendue pour la surveillance des employés

Bien que cela ne soit pas toujours expressément mandaté, l'APD slovaque attend une évaluation d'impact sur la protection des données (AIPD) pour :

• surveillance d'écran
• suivi du comportement
• surveillance par caméra ou audio
• toute supervision continue ou automatisée

Forte importance accordée à la transparence et à la notification écrite

Malte suit le RGPD mais met fortement l'accent sur la communication écrite et explicite aux employés.

Avant tout contrôle, l’employeur doit fournir :

• une explication écrite claire de ce qui est surveillé
• pourquoi la surveillance est nécessaire
• quels outils sont utilisés
• comment les données sont collectées et stockées
• qui y aura accès
• périodes de conservation définies

Nécessité et proportionnalité strictement appliquées

Selon la pratique IDPC :

• la surveillance doit être strictement nécessaire à une finalité légitime et précise
• les employeurs doivent justifier pourquoi des alternatives moins intrusives ne peuvent pas atteindre le même objectif
• une surveillance continue ou trop large (écrans, caméra, micro) est souvent considérée comme excessive

Surveillance des communications privées interdite

Malte protège fortement la vie privée des employés, même sur les appareils appartenant à l'entreprise :

• accéder à des e-mails ou à des messages privés est illégal
• la surveillance doit être configurée de manière à ce que le contenu clairement privé ne soit pas capturé
• les employeurs doivent assurer la séparation entre les données professionnelles et personnelles sur les appareils où l'utilisation privée est autorisée

Limites strictes de surveillance dans les affaires pénales graves

Une surveillance exceptionnelle est interdite sauf si :

• il existe de fortes suspicions d'activités criminelles
• la surveillance est temporaire et ciblée
• aucune alternative n'existe
• un avis juridique ou la participation des forces de l’ordre soutiennent la mesure

Restrictions sur la surveillance vidéo, d'écran et audio

Malte applique une protection renforcée à la surveillance qui peut capturer le comportement des employés de manière visuelle ou sonore :

• l'enregistrement audio est presque toujours illégal
• la vidéo ou la capture d'écran doit être très limitée, nécessaire et justifiée
• la surveillance ne peut pas avoir lieu dans : les zones de repos, les salles à manger, les salles de bains, tout espace considéré comme privé

DPIA attendue pour la plupart des contrôles des employés

Bien que cela ne soit pas toujours obligatoire en vertu du RGPD, à Malte, l'IDPC attend fortement des DPIA pour :

• surveillance d'écran
• journalisation des actions des employés
• suivi de localisation
• surveillance systématique ou automatisée

Une DPIA aide à démontrer la conformité et est souvent demandée par l’IDPC dans le cadre d’audits ou de plaintes.

Consultation avec les représentants des salariés

Lorsqu’il existe des comités d’employés ou des syndicats :

• les employeurs doivent les informer et les consulter
• expliquer le but, la nécessité et les garanties
• discuter des politiques de surveillance interne

Protection constitutionnelle de l’image, du son et de la vidéo

En vertu de la Constitution bulgare, nul ne peut être filmé, enregistré ou soumis à des actes similaires à son insu ou contre son objection expresse, sauf dans les cas prévus par la loi.

Cela signifie :

• toute surveillance visuelle ou audio des salariés (CCTV, enregistrement d'écran, audio) est traitée comme hautement intrusive
• la surveillance doit être clairement communiquée et justifiée
• la capture d'image/audio forcée ou « silencieuse » est particulièrement problématique.

La vidéosurveillance ne peut pas être réutilisée pour évaluer les performances ou les bonus

La CPDP bulgare a explicitement déclaré que :

• le traitement ultérieur des enregistrements de vidéosurveillance ou vidéo (avec ou sans son) pour évaluer les performances individuelles ou déterminer les primes est inadmissible
• une telle utilisation est considérée comme incompatible avec l'objectif initial de sécurité et viole la limitation de l'objectif du RGPD.

Forte protection de la dignité des salariés par le Code du travail

Le Code du travail oblige les employeurs à protéger la dignité et les droits fondamentaux des salariés tout au long de la relation de travail.

En pratique, cela signifie :

• la surveillance ne doit pas être oppressive, constante ou humiliante
• La « sursurveillance » qui crée une pression psychologique est probablement illégale.

La barre haute en matière de proportionnalité et de nécessité

La CPDP et la pratique bulgare exigent que :

• la surveillance est nécessaire à une finalité concrète et légitime (sécurité, protection des biens, conformité)
• des alternatives moins intrusives doivent être envisagées en premier
• une surveillance comportementale continue ou à grande échelle est généralement défavorisée.

La surveillance audio + vidéo avec son est particulièrement risquée

L’autorité a spécifiquement critiqué l’utilisation de la vidéo avec audio pour évaluer les performances du personnel, la jugeant incompatible avec le RGPD.

Tout déploiement de logiciel de surveillance des employés en Bulgarie doit donc éviter :

• enregistrement audio complètement
• enregistrement d’écran ou vidéo utilisé comme outil d’évaluation continue.

Informations sur les employés et documentation interne

Au-delà de la transparence générale du RGPD, la pratique bulgare attend :

• des politiques internes claires décrivant la surveillance
• avis spécifique aux salariés (outils, finalités, portée, conservation)
• périodes de stockage documentées et règles de suppression pour la surveillance des données.

Règles de confidentialité extrêmement strictes sur le lieu de travail

La Norvège possède certaines des protections de la vie privée des employés les plus solides d'Europe.

La loi sur l’environnement de travail exige que toutes les formes de contrôle :

• doit avoir un objectif clair et nécessaire
• doit être proportionné
• doit avoir une portée limitée
• ne doit pas exercer de pression ou de stress excessif sur l'employé
• doit tenir compte de la dignité et de l'autonomie du travailleur

Consultation obligatoire des représentants des salariés

Si le lieu de travail dispose d'une représentation syndicale ou d'un comité de l'environnement de travail, l'employeur doit :

• les consulter avant d’introduire toute surveillance
• fournir de la documentation sur l'objectif, la portée, les outils et la conservation
• discuter de solutions alternatives et de proportionnalité

Interdiction stricte de surveillance

La loi norvégienne autorise une surveillance exceptionnelle des employés uniquement dans de très rares situations pénales graves.

Une surveillance exceptionnelle ne peut avoir lieu que lorsque :

• il existe des soupçons évidents d'activité criminelle
• il est étroitement ciblé et limité dans le temps
• toutes les options moins intrusives sont épuisées

Règles spéciales pour la surveillance des e-mails, d'Internet et de l'informatique

La Norvège a des exigences détaillées en matière de surveillance des communications électroniques :

• les employeurs ne peuvent accéder aux comptes de messagerie professionnels que dans des conditions spécifiques et documentées
• les communications privées ne doivent jamais être consultées
• même les e-mails professionnels ne peuvent être ouverts que pour des raisons limitées et nécessaires
• la surveillance doit éviter de capturer du contenu privé
• la surveillance d'Internet doit se concentrer sur les catégories, et non sur le contenu ou les détails personnels

Surveillance audio et vidéo hautement restreinte

Datatilsynet considère la surveillance audiovisuelle comme hautement intrusive :

• l'enregistrement audio sur les lieux de travail n'est presque jamais autorisé
• les caméras ne peuvent pas être utilisées pour observer les employés en continu
• la surveillance vidéo doit être limitée, ciblée et totalement transparente

DPIA requise pour la plupart des systèmes de surveillance des employés

La Norvège considère la surveillance des employés comme une activité à haut risque.

Une analyse d’impact sur la protection des données doit être réalisée lorsque le contrôle implique :

• écrans
• journalisation comportementale
• audio/vidéo
• suivi de localisation
• évaluation automatisée

Règles très strictes en matière de conservation et d'accès aux données

Les régulateurs norvégiens exigent :

• périodes de conservation minimales
• routines de suppression documentées
• contrôle d'accès strict (très peu de personnes peuvent consulter les données)
• justification claire pour chaque catégorie de données stockées

Codétermination et consultation des employés

En Serbie, les employeurs doivent consulter :

• représentants des salariés ou syndicats s'ils existent, avant de mettre en place tout système de contrôle, y compris des systèmes comme CleverControl.
• Le processus de consultation doit inclure la fourniture d’informations détaillées sur l’objectif, la portée et les méthodes de surveillance.
• La surveillance ne doit pas être imposée unilatéralement sans dialogue préalable.

Restrictions plus strictes sur la surveillance audio et vidéo

La Serbie considère la surveillance audio et vidéo comme hautement sensible :

• La surveillance audio est presque toujours interdite, sauf si elle est nécessaire dans un but légitime très spécifique (par exemple, une enquête criminelle).
• La surveillance vidéo est autorisée mais doit être proportionnée et ne doit pas être utilisée pour l’évaluation des performances.

La surveillance doit être justifiée par un objectif spécifique et légitime

Le PDP de Serbie met fortement l'accent sur la nécessité et la proportionnalité :

• La surveillance n'est autorisée que si elle est nécessaire à un objectif légitime (par exemple, protéger la propriété, assurer la sécurité).
• La surveillance doit être proportionnelle à l'objectif légitime.
• Les employeurs doivent démontrer qu’il n’existe pas de moyens moins intrusifs pour atteindre le même objectif.

Cela signifie qu'un contrôle général (par exemple, le suivi de la productivité des employés) sans objectif clair et impérieux serait considéré comme illégal en Serbie.

Restrictions de conservation des données

La loi serbe suit de près le principe de conservation du RGPD, mais avec des limitations plus explicites sur les périodes de conservation :

• Les données collectées grâce à la surveillance ne doivent pas être conservées plus longtemps que nécessaire aux fins pour lesquelles elles ont été collectées.
• Les employeurs doivent établir des politiques claires de conservation des données et mettre en œuvre la suppression automatique ou l'anonymisation après une période spécifiée.

DPIA (Data Protection Impact Assessment) requise pour la plupart des contrôles

En Serbie, la surveillance des employés est considérée comme un traitement à haut risque :

• Une DPIA est obligatoire pour les outils qui impliquent la surveillance du comportement, des performances, de l'emplacement ou des communications des employés.
• Les employeurs doivent évaluer l'impact de la surveillance, identifier les risques potentiels pour la vie privée des employés et atténuer ces risques.

Accent accru sur la confidentialité des employés sur le lieu de travail

Le droit du travail serbe accorde une grande importance à la vie privée et à la dignité des employés, exigeant :

• les systèmes de surveillance doivent être utilisés d'une manière qui ne porte pas atteinte à la dignité de l'employé ni n'interfère avec sa vie privée.
• Les employeurs doivent veiller à ce que les attentes raisonnables des employés en matière de vie privée soient respectées, en particulier dans les domaines non liés au travail.

Forte importance accordée au consentement des employés à la surveillance

La Lettonie interprète les dispositions de consentement du RGPD plus strictement que les autres pays de l'UE :

• Le consentement doit être explicite et librement donné s’il constitue la base du contrôle des employés (par exemple, pour l’accès à des données privées ou le suivi des performances).
• Les employeurs ne peuvent pas se fier uniquement au consentement dans les relations de travail en raison du déséquilibre des pouvoirs. En Lettonie, le consentement explicite n'est généralement pas considéré comme une base juridique valable pour une surveillance de routine, sauf s'il s'agit de choix personnels, comme la surveillance des actifs de l'entreprise (par exemple, véhicules, équipements).

Interdiction de surveillance

La Lettonie respecte les limites strictes du RGPD en matière de surveillance des employés :

• Le contrôle doit être ouvert et transparent, et les employés doivent être pleinement informés avant qu'il ne commence.
• Une surveillance exceptionnelle est interdite, sauf dans des cas très précis impliquant des enquêtes criminelles ou des violations graves, et même dans ce cas, elle nécessite une justification légale appropriée.

Test strict de nécessité et de proportionnalité

La Lettonie applique un test de stricte nécessité et de proportionnalité pour le contrôle :

• Les employeurs doivent justifier pourquoi la surveillance est nécessaire à un objectif commercial spécifique et légitime (par exemple, sécurité, prévention de la fraude).
• Le contrôle doit être proportionné à l’objectif poursuivi et ne doit pas aller au-delà de ce qui est strictement nécessaire.
• Un contrôle continu ou une surveillance excessive des employés (par exemple, suivi de la productivité ou des comportements individuels) peut être considéré comme disproportionné.

Restrictions sur la surveillance des communications privées

La Lettonie impose des restrictions strictes en matière de surveillance des communications privées :

• Les employeurs ne sont pas autorisés à surveiller les courriels privés ou les communications personnelles, sauf en cas de nécessité commerciale claire et justifiée (par exemple, prévenir la fraude ou assurer la sécurité liée au travail).
• La surveillance des appareils personnels est strictement réglementée et les employeurs doivent veiller à ce que les communications privées ne soient pas capturées.

Forte protection des droits des employés

Le droit du travail letton comprend des dispositions spécifiques protégeant les droits des employés liés au contrôle, notamment :

• Droit des salariés d’accéder aux données collectées les concernant grâce à la surveillance.
• Les employés peuvent demander la correction ou la suppression de toute donnée personnelle incorrecte ou non pertinente.
• Les collaborateurs doivent être informés de la durée de conservation de leurs données et de qui y a accès.