L'outil de surveillance des employés de Meta : quand cela devient un risque au regard du RGPD
La technologie permet désormais aux entreprises de suivre plus facilement la manière dont leurs employés occupent leur temps, les applications qu’ils utilisent, la fréquence à laquelle ils tapent au clavier, voire les mouvements de leur souris. C’est précisément pour répondre à la question de savoir où s’arrête la surveillance légitime et où commence la surveillance intrusive que le RGPD a été conçu, mais il n’est pas toujours facile de déterminer ce qu’exigent réellement les règles en pratique.
Un récent reportage de Reuters sur “l’Initiative de capacité des modèles interne de Meta” a remis ces questions sur le devant de la scène. Cet outil enregistrerait des données comportementales détaillées sur la manière dont les employés travaillent sur leurs différents appareils, en capturant leur activité sur les applications et les sites web afin de contribuer à l’entraînement des systèmes d’IA internes.
Suite à d’importantes préoccupations internes, Meta a depuis révisé son approche en matière de surveillance de l’activité des employés. L’initiative proposée par l’entreprise, destinée à collecter des données sur l’utilisation des ordinateurs par les employés afin de contribuer à l’entraînement de modèles d’IA, a suscité des critiques de la part du personnel concernant le respect de la vie privée, la transparence et son impact potentiel sur les conditions de travail.
En réponse, Meta a mis en place des garanties supplémentaires, notamment la possibilité pour les employés de suspendre temporairement la collecte de données et de demander à être exemptés de cette participation. L’entreprise a également répondu aux inquiétudes concernant l’impact de l’outil sur les performances des appareils et l’utilisation d’Internet. Ces changements interviennent dans un contexte de malaise général parmi les employés face à l’importance croissante accordée par l’entreprise à l’IA et aux réductions d’effectifs en cours. Meta affirme toutefois qu’elle reste déterminée à protéger la vie privée tout en donnant aux employés un plus grand contrôle sur la manière et le moment où les données sont collectées.
La question fondamentale que cela soulève est celle que tout employeur utilisant un logiciel de surveillance devrait se poser : vos pratiques sont-elles conformes à la législation sur la protection des données ?
Que dit le RGPD concernant la surveillance des salariés ?
En bref, la surveillance des salariés n’est pas interdite, mais elle est strictement réglementée. En vertu du RGPD britannique et de la loi de 2018 sur la protection des données, toute collecte de données à caractère personnel concernant les salariés, y compris les données comportementales, de productivité ou de localisation, doit respecter les principes fondamentaux de la protection des données.
L’ICO a publié des lignes directrices sur la surveillance des salariés qui précisent que les employeurs doivent disposer d’une base légale pour toute surveillance qu’ils mettent en œuvre, doivent faire preuve de transparence envers leur personnel quant aux éléments surveillés et aux raisons de cette surveillance, et doivent s’assurer que celle-ci est proportionnée à l’objectif légitime poursuivi. Surveiller tout et tout le temps simplement parce que la technologie le permet ne répond pas aux exigences légales.
Qu’est-ce qui rend la surveillance des salariés licite ?
Pour la plupart des employeurs, la base légale la plus probable pour la surveillance réside dans les intérêts légitimes, ce qui signifie qu’il existe une raison commerciale valable justifiant la surveillance, qui soit proportionnée à l’impact sur les salariés. Cela peut inclure la surveillance du trafic de courriels à des fins de sécurité ou l’enregistrement des appels pour l’assurance qualité. Ce que cela ne couvre probablement pas, c’est une surveillance omniprésente et continue de la manière dont un salarié travaille à un niveau très détaillé, en particulier lorsque ces données sont ensuite utilisées pour entraîner un modèle d’IA à des fins dont les salariés n’ont jamais été informés.
La transparence est une obligation fondamentale. Les salariés doivent être informés, en termes clairs et accessibles, des données collectées, de leur utilisation, de leur durée de conservation et des personnes y ayant accès. Ces informations doivent figurer dans le contrat de travail, le règlement intérieur ou une politique dédiée à la surveillance. Les directives de l’ICO sur les pratiques en matière d’emploi détaillent ces obligations et méritent d’être examinées attentivement si votre organisation utilise un logiciel de surveillance, quelle qu’en soit la forme.
La proportionnalité revêt également une importance capitale. Le niveau de surveillance ne doit pas dépasser ce qui est nécessaire pour atteindre l’objectif déclaré. La collecte de données comportementales détaillées sur chaque application utilisée par un salarié, chaque site web qu’il consulte et chaque mouvement de souris qu’il effectue a peu de chances de satisfaire au critère de proportionnalité, à moins qu’il n’existe une justification très spécifique et impérieuse.
Pourquoi la surveillance basée sur l’IA soulève des préoccupations particulières
Lorsque les données de surveillance sont utilisées pour entraîner des modèles d’IA, les risques liés au RGPD se multiplient. La minimisation des données, l’un des principes fondamentaux du RGPD britannique, exige que vous ne collectiez que ce qui est véritablement nécessaire. L’utilisation de données comportementales générales sur les employés comme matériel d’entraînement pour un système d’IA introduit une finalité secondaire à laquelle les employés n’ont presque certainement pas consenti et dont ils n’ont peut-être même pas conscience.
Les recommandations de l’ICO sur l’IA et la protection des données précisent comment le RGPD s’applique lorsque des données à caractère personnel sont utilisées dans des systèmes d’IA, y compris les obligations en matière d’équité, de transparence et de responsabilité. Ces principes se traduisent par des exigences pratiques concernant les données que vous pouvez utiliser, la manière dont vous expliquez les systèmes d’IA aux personnes concernées et la façon dont vous documentez votre prise de décision.
Lorsque la surveillance permet de recueillir des données sensibles, telles que des indicateurs de santé ou des profils psychologiques déduits du comportement, les exigences légales sont encore plus strictes. Les données de catégorie particulière nécessitent un consentement explicite ou une autre base juridique spécifique, et les risques liés à une erreur dans ce domaine sont considérables.
Ce que cela signifie pour les employeurs dès à présent
Si votre entreprise utilise un logiciel de surveillance, quel qu’il soit, c’est le moment idéal pour le réexaminer. Vérifiez si le personnel a été clairement informé, si la surveillance est réellement nécessaire à la finalité déclarée, et si des données sont transmises à des prestataires tiers spécialisés en IA ou utilisées à des fins autres que celles pour lesquelles elles ont été initialement collectées. Si vos employés sont basés dans l’UE, ou si votre organisation traite des données concernant des personnes résidant dans l’UE, les obligations du RGPD de l’UE s’appliquent parallèlement aux exigences britanniques.
Une analyse d’impact relative à la protection des données (AIPD) peut être requise avant la mise en place de nouveaux systèmes de surveillance, en particulier ceux impliquant l’IA ou l’analyse automatisée du comportement des employés. Une DPIA est un examen structuré des risques liés à la vie privée associés à une nouvelle activité de traitement, et les recommandations de l’ICO sur les DPIA expliquent quand elle est obligatoire et comment la mener à bien.
Que faire si vous êtes un salarié et que vous avez des inquiétudes ?
Si vous estimez que votre employeur vous surveille d’une manière qui va au-delà de ce qui vous a été annoncé, ou d’une manière qui vous semble disproportionnée ou intrusive, vous disposez de droits. Vous pouvez déposer une demande d’accès aux données pour savoir quelles données à caractère personnel votre employeur détient à votre sujet. Vous pouvez également déposer une plainte auprès de l’ICO si vous estimez que votre employeur enfreint la législation sur la protection des données.
La surveillance peut constituer un outil légitime dans certaines circonstances, mais elle nécessite de la prudence, de la clarté et un fondement juridique approprié. Les employeurs qui la considèrent comme une pratique par défaut plutôt que comme un choix justifié s’exposent non seulement à un contrôle réglementaire, mais aussi à une atteinte réelle à la confiance qui permet le bon fonctionnement des lieux de travail.
Que vous soyez un employeur préoccupé par vos pratiques de surveillance ou un salarié ayant des questions sur vos droits, solliciter l’avis d’un juriste spécialisé constitue une démarche pratique et utile. La législation sur la protection des données dans ce domaine est nuancée, et les conséquences d’une erreur peuvent être graves.
Comment Gerrish Legal peut vous aider?
Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle.
Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations.
Article de Nathalie Pouderoux, Consultante pour Gerrish Legal