On a appris récemment que les dirigeants d'entreprise contrôlaient de plus en plus souvent les activités sur ordinateur de leur personnel. Ainsi, dans un échantillon de 413 personnes, un patron sur trois contrôlerait les courriels des membres de son personnel, la moitié contrôlerait l'usage du web et cinq pour cent écouteraient même les conversations téléphoniques. Dans certains secteurs, le compte de courrier électronique d'un membre du personnel est lié à un alias, de sorte qu'un supérieur peut lire tous ses messages.

J'aimerais vous poser les questions suivantes :

1) Comment évaluez-vous cette information ? Estimez-vous souhaitable qu'un supérieur puisse contrôler, par exemple, les courriels ou l'utilisation du web d'un membre du personnel ? Considérez-vous que ce soit une violation de la vie privée ou trouvez-vous cela acceptable puisque ce contrôle se produit dans un cadre professionnel ? Trouvez-vous cela acceptable si le travailleur est clairement au courant qu'il peut être contrôlé ?

2) Y a-t-il déjà eu des plaintes de membres du personnels à propos de pareilles pratiques ? Des personnes se sont-elles donc déjà plaintes d'une violation de leur vie privé à cause de ces pratiques ? Pouvez-vous étayer votre réponse de données chiffrées pour autant que vous en dispossiez ?

3) Même si vous n'êtes au courant d'aucune pratique de contrôle de ce genre, savez-vous si le matériel ou le système informatique de votre Service public fédéral pourrait permettre de contrôler l'utilisation du web ? Les boîtes de courriels ou le trafic de courriels sont-ils surveillés ou activement contrôlés ? Pouvez-vous expliquer ce qu'il en est dans votre SPF ?

4) Est-il possible d'écouter les conversations téléphoniques ? Si c'est possible, pouvez-vous vous en expliquer ?

5) Vos travailleurs sont-ils informés sur les contrôles possibles et sur le respect de leur vie privée ? Savent-ils donc ce qui peut ou ne peut pas être contrôlé ? Pouvez-vous expliquer la situation ?

6) Un travailleur peut-il visiter tous les sites sur le web, ou certains sites sont-ils bloqués ? S'il y a blocage, pourquoi ? Pouvez-vous expliquer la situation  ?

7) Le résultat de pareils contrôles (courriels, internet, téléphone, etc.) peut-il être utilisés lors d'une évaluation des prestations d'un travailleur ? Pouvez-vous expliquer la situation ?

En ce qui concerne le Service public fédéral (SPF) Mobilité:

1. Les textes légaux ci-dessous expriment clairement quelle conduite nous devons adopter en tant qu’administration publique.

Le secret des communications téléphoniques et télégraphiques (auxquelles le courriel est assimilé) est protégé par la Loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques (dite loi Belgacom) et la loi du 30 juin 1994 (loi sur les écoutes téléphoniques).

2. Jusqu’à présent, nous n’avons encore reçu aucune plainte officielle en rapport avec une atteinte à la vie privée concernant les sujets mentionnés ci-dessus.

3. Il est techniquement possible de surveiller les habitudes de navigation sur internet et le trafic du courriel.

Le trafic du courriel et les habitudes de navigation font l’objet d’une surveillance globale active destinée à assurer le bon fonctionnement du réseau et à en assurer la sûreté, par exemple par des logiciels anti-virus ou des pare-feux (web application).

Le contenu des messages n’est pas activement contrôlé, sauf s’il est satisfait à l’une des trois conditions énoncées dans la loi Belgacom (article 109ter E).

4. Il est techniquement possible de mettre sur écoute ou d’enregistrer les communications téléphoniques.

Néanmoins, aucune communication téléphonique ne fait l’objet d’une écoute ni d’un enregistrement. Sauf s’il est satisfait à l’une des trois conditions énoncées dans la loi Belgacom (article 109ter E), il peut être envisagé d’y avoir recours. A ce jour, cela ne s’est pas produit.

5. Le règlement informatique approuvé par le Comité de direction informe les utilisateurs via l’intranet de la possibilité de tels contrôles (article 3 § 7 et article 11) et du respect de la législation sur le respect de la vie privée. (article 11).

6. Les sites internet sont catalogués selon leur contenu et le risque. Certains sites sont bloqués sur base du règlement informatique. Il s’agit en l’occurrence de sites internet à contenu raciste ou pornographique, de sites représentant un danger pour l’infrastructure informatique (virus, outils de hacking) ou de sites permettant d’éluder les droits d’auteur.

7. Non, dans la mesure où la législation ne le permet pas.

En vertu de la loi sur le respect de la vie privée, le service informatique ne communique aucune donnée sur les habitudes de navigation sur internet et téléphoniques d’un travailleur. Par conséquent, les chefs, le management, le service du personnel, etc. ne sont pas au courant des habitudes de navigation d’un travailleur via le service informatique. Il reste naturellement toujours possible qu’un chef effectue un contrôle visuel, par exemple en passant régulièrement auprès d’un subordonné afin de surveiller s’il fait effectivement son travail ou s’il navigue au contraire sur des sites non en rapport avec le travail, et de faire peser ses constatations lors de son évaluation . Ce type de contrôle n’est évidemment pas automatisé.

Pour ce qui concerne le SPF Santé Publique et Environnement:

1. Le SPF Santé publique, Sécurité de la Chaîne alimentaire et Environnement a décidé de protéger les données personnelles et les communications de ses agents.

En ce sens, le SPF autorise l’usage limité et raisonnable des systèmes d’information à des fins personnelles par les travailleurs, en toute intimité.

La décision est motivée par la législation et en particulier la jurisprudence de la Cour européenne des Droits de l’Homme.

La séparation des responsabilités entre le SPF et les agents respecte la législation « Vie privée » et applique, selon les avis de la Commission de protection de la vie privée, les principes de gestion des systèmes d’information énoncés dans la Convention collective de travail 81 :

• Les données et informations personnelles, ainsi que les communications personnelles sont tenues secrètes ;

• Le monitoring des systèmes est passif et a pour but de préserver la fonctionnalité des systèmes d’information ;

• Les agents sont avertis des fonctionnalités de monitoring ;

• Les pertes de performances ou de fonctionnalités sont traitées de façon collective dans un premier temps ;

• Les abus répétés et manifestes ne mènent à des sanctions qu’après deux avertissements et des entretiens avec le chef fonctionnel ;

• Les accès aux communications et informations professionnelles touchant des ressources personnelles suivent des procédures très strictes et sont contrôlés par le Service de prévention psychosociale et/ou le Conseiller en sécurité de l’Information.

Ces principes sont en particulier valables pour :

• Les communications téléphoniques ;

• L’usage du système de messagerie électronique ;

• La consultation de sites internet ;

• Le stockage de fichiers sur les disques réseau personnels.

2. Les plaintes peuvent être déposées, selon le contexte, auprès du :

• Service d’encadrement P&O (interactions hiérarchiques) ;

• Service de prévention psychosociale (plaintes en harcèlement) ;

• Conseiller en sécurité de l’information (incidents de sécurité).

Il semble qu’aucune plainte n’ait jamais été déposée, dans aucune de ces instances.

Au contraire, plusieurs plaintes de chefs fonctionnels ont porté sur l’impossibilité pour eux de disposer d’informations de service non accessibles en raison de l’absence des agents gestionnaires de ces dossiers. Ce sont ces demandes qui ont motivé la mise en place de procédures de consultation des espaces personnels.

3. Il n'existe aucun monitoring ou contrôle actif des boîtes à messages. Seules les boîtes à messages non gérées qui finissent par être saturées (et qui génèrent donc des messages d'erreur) font l'objet d'un suivi actif: le propriétaire ou son service sont contactés pour élucider la situation et y remédier.

Le backup des boîtes à messages n'est utilisé que pour garantir le service au collaborateur: il permet la récupération de messages perdus ou effacés par erreur.

Le suivi de l’utilisation et de l’occupation des disques en réseau personnels suivent la même logique.

Les accès à l’internet sont monitorés uniquement pour assurer la fonctionnalité des connexions au réseau.

4. La plupart des postes téléphoniques ne sont pas reliés à un système permettant l’écoute téléphonique. Dans ce cas, cette opération est techniquement impossible.

Seul un système permet des « fonctionnalités étendues ». Il est utilisé dans le cadre du Contact Center du SPF. L’écoute téléphonique dans le Contact Center fait partie d’une annexe spécifique du règlement de travail, dont les principales dispositions sont :

• L'écoute téléphonique à distance n'est possible que dans le cas de communications professionnelles et uniquement par le membre du personnel qui exerce une fonction de support vis-à-vis de l'opérateur. En pratique, l'écoute téléphonique est réservée aux chefs d'équipe (chefs fonctionnels).

• L'opérateur n'est pas averti au préalable du moment où le chef d'équipe écoute ses communications.

• L'écoute téléphonique à distance est uniquement possible dans le cadre du coaching et les résultats ne peuvent en aucun cas être utilisés pour l'évaluation de l'opérateur.

• Après chaque session d'écoute téléphonique, le coach donne un feedback à l'opérateur au plus tard le lendemain de la session d'écoute.

• L'écoute des communications professionnelles de l'opérateur n'est possible qu'avec l'accord exprès écrit de l'opérateur. Celui-ci a le droit de refuser l'écoute téléphonique. Il peut aussi en tout temps retirer l'accord donné. Ce retrait doit également être acté par écrit.

• Si, en dépit de l'autorisation expresse de l'opérateur et du client, la communication évolue vers une sphère rigoureusement privée sans qu'il subsiste quoi que ce soit de la relation professionnelle engagée, le coach qui pratique l'écoute a l'obligation de mettre immédiatement fin à celle-ci.

• Outre l'écouté téléphonique à distance, les chefs d'équipe sont également autorisés à pratiquer l'écoute aux côtés de l'opérateur. Puisque l'opérateur sait que ses communications sont écoutées, les résultats de ces sessions d'écoute peuvent, quant à elles, être utilisées lors de l'évaluation.

5. Les utilisateurs sont prévenus de l’existence d’un système de monitoring sur :

• les accès à internet via un message automatique apparaissant tous les trente jours ; l’utilisateur doit accepter explicitement ce contrôle pour avoir accès aux sites externes au SPF ;

• l’utilisation de la messagerie électronique à chaque fois qu’il y a surcharge des boîtes à courrier ;

• le stockage de fichiers sur les disques personnels lors de la tentative de sauvegarde de fichiers de types interdits ou lorsque les serveurs sont surchargés.

Il existe une police de sécurité validée par le Comité de direction et le Comité de concertation de base qui réglemente l’usage des systèmes internet et mail.

6. L'accès aux sites internet est filtré au moyen d'un proxy BlueCoat. Ce proxy permet de bloquer ou d'autoriser l'accès à certains sites web. Il permet notamment de filtrer la source (la personne qui surfe), la destination (les sites web sur lesquels il est permis de surfer) et le moment (quand il est permis de surfer sur quels sites). Toutes les demandes d'accès web qui franchissent le proxy sont enregistrées dans un journal et ces données de journal sont envoyées vers un "BlueCoat Reporter".

Le « BlueCoat Reporter » enregistre les demandes d'accès web dans une base de données. Le « BlueCoat Reporter » peut ainsi générer toutes sortes de statistiques et créer des rapports, tels que:

• la navigation web par utilisateur;

• la navigation web par catégorie;

• la bande passante utilisée;

• les alertes de sécurité liées à la navigation web (sites web bloqués, menaces potentielles).

Il n'existe aucun rapport systématique à ce sujet. Si cela est jugé utile, un rapport peut être délivré à la demande du Président du Comité de direction (ou de son remplaçant).

L'appareillage utilisé est le suivant:

• Proxy: deux équipements BlueCoat ProxySG Model 810-5

• Reporter: un serveur Windows pourvu du logiciel BlueCoat Reporter

L'accès à certains sites web est bloqué pour les travailleurs. BlueCoat classe tous les sites web en diverses catégories prédéfinies. À la demande du Comité de direction et avec son accord, les sites bloqués relèvent de catégories telles que:

• Adult/Mature Content

• Pornography

• Gambling

• Games

• Malicious Sources

• Phishing

7. Les évaluations se font sur base de la réalisation des objectifs de prestations, et donc ne peuvent prendre en compte que des données et informations de nature professionnelle.

Dans la plupart des cas, les informations pertinentes pour l’évaluation sont indépendantes de l’utilisation des systèmes d’information, mais dans certaines fonctions (agent du Contact Center, responsable communication,…) des données liées à l’utilisation des systèmes de communication et les contenus publiés peuvent être utilisés.

En aucun cas le chef fonctionnel ne peut utiliser de données ou d’informations personnelles, ni limiter arbitrairement les accès et libertés des agents évalués. Sa responsabilité est engagée si des abus sont constatés dans le cadre de l’évaluation.

Pour ce qui concerne le SPF Économie :

Mon collègue Monsieur Johan Vande Lanotte, ministre de l'Économie, des Consommateurs et de la Mer du Nord, a répondu aux mêmes questions dans sa réponse à la question parlementaire n° 5-8825.