On a appris récemment que les dirigeants d'entreprise contrôlaient de plus en plus souvent les activités sur ordinateur de leur personnel. Ainsi, dans un échantillon de 413 personnes, un patron sur trois contrôlerait les courriels des membres de son personnel, la moitié contrôlerait l'usage du web et cinq pour cent écouteraient même les conversations téléphoniques. Dans certains secteurs, le compte de courrier électronique d'un membre du personnel est lié à un alias, de sorte qu'un supérieur peut lire tous ses messages.

J'aimerais vous poser les questions suivantes :

1) Comment évaluez-vous cette information ? Estimez-vous souhaitable qu'un supérieur puisse contrôler, par exemple, les courriels ou l'utilisation du web d'un membre du personnel ? Considérez-vous que ce soit une violation de la vie privée ou trouvez-vous cela acceptable puisque ce contrôle se produit dans un cadre professionnel ? Trouvez-vous cela acceptable si le travailleur est clairement au courant qu'il peut être contrôlé ?

2) Y a-t-il déjà eu des plaintes de membres du personnels à propos de pareilles pratiques ? Des personnes se sont-elles donc déjà plaintes d'une violation de leur vie privé à cause de ces pratiques ? Pouvez-vous étayer votre réponse de données chiffrées pour autant que vous en dispossiez ?

3) Même si vous n'êtes au courant d'aucune pratique de contrôle de ce genre, savez-vous si le matériel ou le système informatique de votre Service public fédéral pourrait permettre de contrôler l'utilisation du web ? Les boîtes de courriels ou le trafic de courriels sont-ils surveillés ou activement contrôlés ? Pouvez-vous expliquer ce qu'il en est dans votre SPF ?

4) Est-il possible d'écouter les conversations téléphoniques ? Si c'est possible, pouvez-vous vous en expliquer ?

5) Vos travailleurs sont-ils informés sur les contrôles possibles et sur le respect de leur vie privée ? Savent-ils donc ce qui peut ou ne peut pas être contrôlé ? Pouvez-vous expliquer la situation ?

6) Un travailleur peut-il visiter tous les sites sur le web, ou certains sites sont-ils bloqués ? S'il y a blocage, pourquoi ? Pouvez-vous expliquer la situation  ?

7) Le résultat de pareils contrôles (courriels, internet, téléphone, etc.) peut-il être utilisés lors d'une évaluation des prestations d'un travailleur ? Pouvez-vous expliquer la situation ?

1. Voir les réponses aux questions suivantes.

2. Il n’y a pas encore eu de plainte.

3. Aucun contrôle individuel n’est effectué sur le comportement de navigation; seul un monitoring technique est réalisé pour suivre la disponibilité des services de navigation internet. Aucun contrôle individuel n’est effectué sur le contenu des messageries ni sur le trafic de messages : seul un monitoring technique est réalisé pour suivre la disponibilité des services de messagerie.

4. Il n’est pas possible d’écouter les conversations téléphoniques.

5. Actuellement, il n’existe pas de communication générale à ce sujet; s’il y a des questions en la matière, on répond qu’il n’existe pas de contrôle individuel et qu’il existe seulement un monitoring technique (voir plus haut).

Un code de bonne conduite est en préparation, dans lequel les règles en la matière sont précisées.

6. Un employé ne peut pas consulter n’importe quel site internet. Certaines catégories de sites sont bloquées, à savoir :

• les sites comportant un risque pour la sécurité (malware).

• les sites à contenu pornographique.

• les sites de jeux.

7. Aucun contrôle de ce type n’est utilisé pour évaluer les prestations d’un employé.

1) Le Service public fédéral (SPF) Santé publique, Sécurité de la Chaîne alimentaire et Environnement a décidé de protéger les données personnelles et les communications de ses agents.

En ce sens, le SPF autorise l’usage limité et raisonnable des systèmes d’information à des fins personnelles par les travailleurs, en toute intimité.

La décision est motivée par la législation et en particulier la jurisprudence de la Cour européenne des Droits de l’Homme.

La séparation des responsabilités entre le SPF et les agents respecte la législation « Vie privée » et applique, selon les avis de la Commission de protection de la vie privée, les principes de gestion des systèmes d’information énoncés dans la Convention collective de travail 81 :

• Les données et informations personnelles, ainsi que les communications personnelles sont tenues secrètes ;

• Le monitoring des systèmes est passif et a pour but de préserver la fonctionnalité des systèmes d’information ;

• Les agents sont avertis des fonctionnalités de monitoring ;

• Les pertes de performances ou de fonctionnalités sont traitées de façon collective dans un premier temps ;

• Les abus répétés et manifestes ne mènent à des sanctions qu’après deux avertissements et des entretiens avec le chef fonctionnel ;

• Les accès aux communications et informations professionnelles touchant des ressources personnelles suivent des procédures très strictes et sont contrôlés par le Service de prévention psychosociale et/ou le Conseiller en sécurité de l’Information.

Ces principes sont en particulier valables pour :

• Les communications téléphoniques ;

• L’usage du système de messagerie électronique ;

• La consultation de sites internet ;

• Le stockage de fichiers sur les disques réseau personnels.

2) Les plaintes peuvent être déposées, selon le contexte, auprès du :

• Service d’encadrement P&O (interactions hiérarchiques) ;

• Service de prévention psychosociale (plaintes en harcèlement) ;

• Conseiller en sécurité de l’information (incidents de sécurité).

Il semble qu’aucune plainte n’ait jamais été déposée en la matière.

Au contraire, plusieurs plaintes de chefs fonctionnels ont porté sur l’impossibilité pour eux de disposer d’informations de service non accessibles en raison de l’absence des agents gestionnaires de ces dossiers. Ce sont ces demandes qui ont motivé la mise en place de procédures de consultation des espaces personnels.

3) Il n'existe aucun monitoring ou contrôle actif des boîtes à messages. Seules les boîtes à messages non gérées qui finissent par être saturées (et qui génèrent donc des messages d'erreur) font l'objet d'un suivi actif: le propriétaire ou son service sont contactés pour élucider la situation et y remédier.

Le backup des boîtes à messages n'est utilisé que pour garantir le service au collaborateur: il permet la récupération de messages perdus ou effacés par erreur.

Le suivi de l’utilisation et de l’occupation des disques en réseau personnels suivent la même logique.

Les accès à l’internet sont monitorés uniquement pour assurer la fonctionnalité des connexions au réseau.

4) La plupart des postes téléphoniques ne sont pas reliés à un système permettant l’écoute téléphonique. Dans ce cas, cette opération est techniquement impossible.

Seul un système permet des « fonctionnalités étendues ». Il est utilisé dans le cadre du Contact Center du SPF. L’écoute téléphonique dans le Contact Center fait partie d’une annexe spécifique du règlement de travail, dont les principales dispositions sont :

• L'écoute téléphonique à distance n'est possible que dans le cas de communications professionnelles et uniquement par le membre du personnel qui exerce une fonction de support vis-à-vis de l'opérateur. En pratique, l'écoute téléphonique est réservée aux chefs d'équipe (chefs fonctionnels).

• L'opérateur n'est pas averti au préalable du moment où le chef d'équipe écoute ses communications.

• L'écoute téléphonique à distance est uniquement possible dans le cadre du coaching et les résultats ne peuvent en aucun cas être utilisés pour l'évaluation de l'opérateur.

• Après chaque session d'écoute téléphonique, le coach donne un feedback à l'opérateur au plus tard le lendemain de la session d'écoute.

• L'écoute des communications professionnelles de l'opérateur n'est possible qu'avec l'accord exprès écrit de l'opérateur. Celui-ci a le droit de refuser l'écoute téléphonique. Il peut aussi en tout temps retirer l'accord donné. Ce retrait doit également être acté par écrit.

• Si, en dépit de l'autorisation expresse de l'opérateur et du client, la communication évolue vers une sphère rigoureusement privée sans qu'il subsiste quoi que ce soit de la relation professionnelle engagée, le coach qui pratique l'écoute a l'obligation de mettre immédiatement fin à celle-ci.

• Outre l'écoute téléphonique à distance, les chefs d'équipe sont également autorisés à pratiquer l'écoute aux côtés de l'opérateur. Puisque l'opérateur sait que ses communications sont écoutées, les résultats de ces sessions d'écoute peuvent, quant à elles, être utilisées lors de l'évaluation.

5) Les utilisateurs sont prévenus de l’existence d’un système de monitoring sur :

• les accès à internet via un message automatique apparaissant tous les 30 jours ; l’utilisateur doit accepter explicitement ce contrôle pour avoir accès aux sites externes au SPF ;

• l’utilisation de la messagerie électronique à chaque fois qu’il y a surcharge des boîtes à courrier ;

• le stockage de fichiers sur les disques personnels lors de la tentative de sauvegarde de fichiers de types interdits ou lorsque les serveurs sont surchargés.

Il existe une police de sécurité validée par le Comité de direction et le Comité de concertation de base qui réglemente l’usage des systèmes internet et mail.

6) L'accès aux sites internet est filtré au moyen d'un proxy BlueCoat. Ce proxy permet de bloquer ou d'autoriser l'accès à certains sites web. Il permet notamment de filtrer la source (la personne qui surfe), la destination (les sites web sur lesquels il est permis de surfer) et le moment (quand il est permis de surfer sur quels sites). Toutes les demandes d'accès web qui franchissent le proxy sont enregistrées dans un journal et ces données de journal sont envoyées vers un « BlueCoat Reporter ».

Le « BlueCoat Reporter » enregistre les demandes d'accès web dans une base de données. Le « BlueCoat Reporter » peut ainsi générer toutes sortes de statistiques et créer des rapports, tels que:

• la navigation web par utilisateur;

• la navigation web par catégorie;

• la bande passante utilisée;

• les alertes de sécurité liées à la navigation web (sites web bloqués, menaces potentielles).

Il n'existe aucun rapport systématique à ce sujet. Si cela est jugé utile, un rapport peut être délivré à la demande du Président du Comité de direction (ou de son remplaçant).

L'appareillage utilisé est le suivant:

• Proxy: 2 équipements BlueCoat ProxySG Model 810-5

• Reporter: 1 serveur Windows pourvu du logiciel BlueCoat Reporter

L'accès à certains sites web est bloqué pour les travailleurs. BlueCoat classe tous les sites web en diverses catégories prédéfinies. À la demande du Comité de direction et avec son accord, les sites bloqués relèvent de catégories telles que:

• Adult/Mature Content

• Pornography

• Gambling

• Games

• Malicious Sources

• Phishing

7) Les évaluations se font sur la base de la réalisation des objectifs de prestations, et donc ne peuvent prendre en compte que des données et informations de nature professionnelle.

Dans la plupart des cas, les informations pertinentes pour l’évaluation sont indépendantes de l’utilisation des systèmes d’information, mais dans certaines fonctions (agent du Contact Center, responsable communication,…) des données liées à l’utilisation des systèmes de communication et les contenus publiés peuvent être utilisés.

En aucun cas le chef fonctionnel ne peut utiliser de données ou d’informations personnelles, ni limiter arbitrairement les accès et libertés des agents évalués. Sa responsabilité est engagée si des abus sont constatés dans le cadre de l’évaluation