Contrôle du télétravail : ce que la loi impose avant tout déploiement

Publié le 25 juillet 2026 · Phitalys

Un manager s'interroge sur la disponibilité réelle d'une équipe à distance, la direction veut objectiver le sujet, la DSI identifie un outil… et le déploiement se décide en quelques jours, sans vérification du cadre légal. C'est le scénario le plus risqué. Le contrôle du télétravail n'est pas interdit en France, mais il est strictement encadré : information préalable des salariés, consultation du CSE, proportionnalité, minimisation des données. Ignorer ces étapes fragilise le dispositif, abîme la confiance des équipes et expose l'entreprise. Voici ce que le droit impose — et ce qu'il recommande — avant d'activer quoi que ce soit.

Contrôle du télétravail : l'information préalable imposée par l'article L1222-4

Le Code du travail impose une règle simple : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L1222-4). Cette règle s'applique au télétravail comme au bureau, et elle conditionne tout le reste.

Concrètement, l'information doit intervenir avant l'activation du dispositif, pas après. Elle doit être précise : quel outil, quelles données collectées, pour quelles finalités, qui y accède, pendant combien de temps. Une note d'information individuelle, une charte annexée au règlement intérieur ou une mention dans l'accord de télétravail sont des supports classiques ; l'essentiel est que chaque salarié concerné soit effectivement informé avant la première collecte.

Un dispositif activé discrètement « pour voir » produit des données collectées de manière déloyale — et transforme le sujet en conflit avant même qu'il ait pu être discuté.

La consultation du CSE : un passage obligé (article L2312-38)

Deuxième exigence du Code du travail : le comité social et économique doit être informé et consulté avant la mise en œuvre de moyens ou de techniques permettant un contrôle de l'activité des salariés (article L2312-38). Là encore, le calendrier compte : la consultation précède la décision de mise en service, elle ne saurait la régulariser a posteriori.

Cette consultation n'est pas une simple formalité : c'est souvent elle qui améliore le paramétrage final — périmètre restreint, statistiques agrégées plutôt que suivi individuel, modules sensibles laissés désactivés. Un dispositif construit avec les représentants du personnel est mieux accepté — et bien plus solide en cas de contestation.

Proportionnalité, minimisation, AIPD : les principes portés par la CNIL

Au-delà du Code du travail, ces dispositifs relèvent en principe du RGPD, et la CNIL a précisé sa lecture pour la surveillance des salariés. Ses repères constants : le dispositif doit être proportionné à l'objectif poursuivi, limité aux données strictement nécessaires, et il ne doit pas placer les salariés sous surveillance permanente. La CNIL considère ainsi que les enregistreurs de frappe, les captures d'écran en continu ou la webcam imposée sont, dans la plupart des situations, disproportionnés.

La minimisation a une conséquence pratique : mesurer des volumes et des rythmes est bien moins intrusif que lire des contenus, et un dispositif qui ne touche jamais aux messages ni aux documents part avec une longueur d'avance en matière de proportionnalité.

Reste l'analyse d'impact (AIPD). La CNIL a inscrit la surveillance systématique de l'activité des salariés parmi les traitements pour lesquels une analyse d'impact est requise. En pratique, dès qu'un projet touche au contrôle de l'activité, il est prudent de mener une AIPD — ou, a minima, une analyse documentée qui démontre la proportionnalité, associe le DPO s'il existe et alimente le registre des traitements.

Loyauté de la preuve : un contrôle du télétravail irrégulier fragilise tout

Beaucoup d'employeurs envisagent ces outils comme des machines à preuves. C'est une erreur de perspective. La jurisprudence tend à apprécier avec prudence les éléments issus d'un dispositif que le salarié ne connaissait pas ou que le CSE n'a pas examiné. Même si les juges admettent désormais, dans certaines conditions strictes, des preuves obtenues de manière imparfaite, rien ne permet de garantir à l'avance qu'un élément donné sera retenu, ni qu'une sanction prise sur cette base sera jugée fondée.

La seule stratégie robuste consiste donc à déployer un dispositif régulier dès l'origine — et à changer d'objectif : produire des repères datés et explicables qui ouvrent un dialogue équitable avec le salarié, plutôt que constituer des « dossiers ». Un signal discuté de manière contradictoire a souvent une explication légitime : incident technique, réunion tenue hors outil, contrainte personnelle déjà connue du manager.

Comment ça marche : des repères explicables, sans agent ni accès aux contenus

C'est le parti pris de l'analyse de présence Microsoft 365 proposée par Phitalys : aucun logiciel installé sur les postes, une lecture seule via l'API Graph avec consentement administrateur, et jamais d'accès au contenu des messages ou des documents.

Les signaux observés portent sur la fiabilité de la présence affichée : statuts Teams figés sans transition, cadence d'activité mécaniquement régulière — pouvant évoquer un simulateur d'activité de type mouse jiggler —, présence affichée sans aucune trace de production (aucun mail, aucun message, aucun document sur la période), réunions récurrentes où l'organisateur est seul, sans caméra ni micro, ou encore activité hors heures sans production associée. La sortie n'est jamais un verdict automatique : ce sont des repères datés et explicables, conçus pour être discutés, pas pour accuser.

La conformité est intégrée dès la conception : minimisation (des volumes, jamais le contenu), agrégats masqués par défaut dès que le groupe compte moins de cinq personnes, journal des accès nominatifs, et modules de détection désactivés par défaut — ils n'ont vocation à être activés qu'après l'information des salariés et la consultation du CSE. Le détail de ces garanties est présenté sur la page sécurité et conformité.

Check-list : déployer un contrôle du télétravail conforme en 6 étapes

1. Cadrer la finalité et tester la proportionnalité. Pourquoi ce dispositif, pour quel problème précis, et existe-t-il un moyen moins intrusif d'atteindre le même objectif ? Sans réponse claire, ne pas déployer.
2. Mener l'analyse d'impact et documenter. AIPD (ou analyse documentée), registre des traitements, durées de conservation, association du DPO.
3. Consulter le CSE avant toute mise en service. Présenter l'outil, son paramétrage réel et ses garanties, puis intégrer les ajustements issus de la consultation.
4. Informer préalablement chaque salarié. Note individuelle et support de référence (charte, accord de télétravail) précisant données, finalités, accès et durées, conformément à l'article L1222-4.
5. Paramétrer a minima. N'activer que les modules nécessaires, privilégier les agrégats, tracer les accès, exclure les contenus.
6. Organiser la gouvernance dans la durée. Qui accède aux repères, comment un signal est discuté avec le salarié — de manière contradictoire —, à quel rythme le dispositif est réévalué. Et faire valider l'ensemble par un conseil juridique au fait de votre contexte : accords collectifs, secteur et historique social appellent une analyse propre à chaque entreprise.

Mini-FAQ

Peut-on analyser la présence d'un salarié en télétravail à son insu ? Non. L'article L1222-4 du Code du travail interdit de collecter des informations concernant personnellement un salarié via un dispositif qui n'a pas été porté préalablement à sa connaissance. L'information préalable n'est pas une option.

Faut-il consulter le CSE même pour un outil « léger » ? Le texte vise les moyens et techniques permettant un contrôle de l'activité des salariés, sans exception liée à la légèreté de l'outil. En cas de doute, la prudence commande de consulter avant la mise en service.

Une AIPD est-elle toujours obligatoire ? Pas dans tous les cas, mais la CNIL range la surveillance systématique des salariés parmi les traitements nécessitant une analyse d'impact. Dans le doute, la mener reste le choix le plus sûr : elle documente la proportionnalité du dispositif.

---

Aucun article de blog ne remplace un avis juridique adapté à votre situation. Pour voir à quoi ressemblent des repères explicables et un paramétrage conforme par défaut, demandez une démonstration.