Chaque jour, des salariés consultent leurs réseaux sociaux, font un achat en ligne ou vérifient leur messagerie personnelle depuis leur poste de travail. Ce n’est pas un phénomène marginal.
L’usage internet salarié est une réalité quotidienne que le droit français encadre sans pour autant l’interdire formellement. Aucune loi spécifique ne régit ce sujet: on s’appuie sur les principes généraux de respect de la vie privée et des droits fondamentaux, ce qui laisse une marge d’interprétation réelle selon les situations.
Un usage imprudent peut d’ailleurs exposer l’entreprise à une cyberattaque aux conséquences bien plus lourdes qu’un simple avertissement.
Dans cet article, on fait le point sur les droits et les obligations du salarié en matière de sécurité informatique, ainsi que sur l’étendue du pouvoir de contrôle de l’employeur.
1. Usage internet salarié : ce que la loi présume par défaut
En matière d’usage internet salarié, toute connexion effectuée depuis un outil informatique mis à disposition par l’employeur est, par défaut, présumée avoir un caractère strictement professionnel. C’est un point que beaucoup ignorent.
La présomption professionnelle des connexions
Toute connexion effectuée depuis un outil informatique mis à disposition par l’employeur est, par défaut, présumée avoir un caractère strictement professionnel. C’est un point que beaucoup ignorent.
Concrètement, si un salarié consulte un site personnel depuis son ordinateur de bureau, il ne peut pas invoquer automatiquement la protection de sa vie privée pour s’opposer à tout contrôle. Cette présomption ne signifie pas que l’employeur peut fouiller librement l’historique de navigation. Elle signifie que la charge de la preuve s’inverse: c’est au salarié de démontrer qu’un fichier ou un dossier est personnel pour qu’il bénéficie d’une protection renforcée.
Existe-t-il une loi encadrant l’usage d’Internet par le salarié ?
L’utilisation d’internet au travail ne fait pas l’objet d’une réglementation spécifique en droit français. Il n’existe pas de législation spécifique dédiée à l’utilisation d’Internet sur le lieu de travail : ni droit général, ni interdiction générale d’un usage personnel.
On applique donc les grands principes: proportionnalité des contrôles, respect de la vie privée, information préalable des salariés. La CNIL recommande que les consultations personnelles restent ponctuelles et ne concernent pas des sites contraires à l’ordre public ou aux bonnes mœurs.
C’est la jurisprudence de la Cour de cassation qui trace, au cas par cas, la ligne de démarcation entre les usages tolérés et ceux qui peuvent être qualifiés de fautifs.
À défaut, l’employeur peut également encadrer l’usage des outils informatiques dans le règlement intérieur ou dans une charte informatique annexée à celui-ci, dont le salarié doit avoir connaissance.
2. Le salarié peut-il utiliser Internet à des fins personnelles ?
L’usage personnel toléré, mais pas garanti
Les employeurs font preuve d’une certaine tolérance face à un usage modéré d’internet à des fins personnelles.
Mais cette tolérance n’est pas un droit. Les textes sont clairs: les salariés ne sont pas obligés de bénéficier d’un accès illimité au web.
L’employeur peut restreindre, filtrer, voire bloquer certaines catégories de sites sans que cela constitue une faute de sa part. Une interdiction totale de toute navigation personnelle serait toutefois difficile à défendre juridiquement.
Les juges retiennent la faute grave, ou à tout le moins une cause réelle et sérieuse de licenciement, lorsque les connexions à des sites extraprofessionnels pendant le temps de travail sont fréquentes et prolongées (Cass. soc., 4 novembre 2020, n° 18-23.126).
À l’inverse, l’employeur qui ne rapporte pas la preuve précise de la fréquence et de la durée des connexions litigieuses ne peut valablement invoquer un usage abusif (Cass. soc., 29 mai 2024, n° 22-19.832).
Le critère déterminant n’est donc pas l’existence d’une connexion personnelle. Pourtant, sa fréquence, sa durée et son incidence sur l’exécution du contrat de travail et sur la sécurité du système d’information.
Quand la tolérance devient un problème
Des études estiment que les salariés passeraient en moyenne 1h15 par jour à surfer sur internet pour des raisons personnelles pendant leurs heures de travail. À ce niveau, la question n’est plus anecdotique. Un usage excessif peut constituer une faute, voire une faute grave dans les cas les plus flagrants.
La Cour de cassation a jugé que l’utilisation abusive de la connexion internet de l’entreprise à des fins privées, pour une durée totale d’environ 41 heures en un mois, constitue une faute grave justifiant un licenciement. Ce chiffre donne une indication concrète sur ce que les tribunaux considèrent comme excessif.
3. L’employeur a-t-il un droit de regard sur l’usage d’Internet de ses salariés ?
Les connexions établies par le salarié pendant son temps de travail sont présumées avoir un caractère professionnel.
L’employeur peut donc les contrôler, y compris en l’absence du salarié, sans que celui-ci puisse s’y opposer.
Il en va de même pour les messages échangés au moyen de la messagerie électronique professionnelle mise à sa disposition : sauf identification contraire, ils bénéficient d’une présomption de caractère professionnel et peuvent être produits par l’employeur, y compris à l’appui d’une procédure disciplinaire (Cass. soc., 14 janvier 2026, n° 24-18.877).
4. Quelles sont les limites du pouvoir de contrôle de l’employeur ?
Restreindre et filtrer les accès
L’employeur peut restreindre et filtrer les accès : mise en place de dispositifs de filtrage de sites, d’outils de détection de virus, ou de logiciels limitant l’accès à certaines catégories de contenus. Ces mesures sont légales à condition que les salariés en soient informés au préalable — et que le CSE, lorsqu’il existe, ait été consulté avant leur mise en œuvre. Ignorer cette étape expose l’employeur à voir ses preuves écartées devant le juge.
Surveiller les connexions : les conditions à respecter
L’employeur peut également surveiller les connexions, mais à des conditions strictes : les salariés doivent être informés de l’existence de ces contrôles, de leur nature et de leur finalité. Un dispositif mis en place à leur insu ne peut pas servir de preuve recevable devant un tribunal. La charte informatique — intégrée au règlement intérieur ou annexée à celui-ci — est l’outil le plus adapté pour fixer ces règles : ce qui est autorisé, ce qui est interdit, et les conséquences d’un abus. Sans elle, l’employeur dispose de bien moins de leviers pour sanctionner efficacement.
La vie privée du salarié, une limite incontournable
Ce pouvoir de contrôle bute sur le droit au respect de la vie privée du salarié, garanti même sur le lieu et le temps de travail :
- les messages issus d’une messagerie électronique personnelle, distincte de la messagerie professionnelle, sont couverts par le secret des correspondances et échappent au contrôle de l’employeur ;
- les documents ou courriels expressément identifiés comme « personnels » par le salarié échappent à la consultation de l’employeur hors sa présence, y compris lorsqu’ils sont retrouvés sur le poste professionnel (Cass. soc., 9 octobre 2024, n° 23-14.465).
Le salarié ne peut toutefois pas identifier comme personnel l’intégralité de son disque dur, ni le crypter pour le rendre inaccessible à l’employeur. Il ne peut pas davantage revendiquer un caractère personnel pour la liste de ses favoris ou l’historique des sites les plus consultés.
Sanctionner : de l’avertissement au licenciement
Un usage personnel ponctuel ne justifie pas de mesure disciplinaire. Un comportement répété, documenté et disproportionné peut en revanche conduire à un avertissement, une mise à pied, ou un licenciement pour faute grave.
La procédure classique s’applique alors : convocation à un entretien préalable, respect des délais légaux, notification de la sanction. Et si l’employeur veut s’appuyer sur l’historique de navigation, encore faut-il que ce relevé ait été obtenu dans le respect de l’information préalable — un historique consulté à l’insu du salarié, sans charte informatique en vigueur, risque fort d’être écarté par le juge.
5. Quel rapport entre une cyberattaque et le salarié ?
Une cyberattaque est une atteinte malveillante portée à un système informatique. Elle prend le plus souvent la forme :
- d’un rançongiciel (« ransomware ») : un programme malveillant chiffre les données de l’entreprise et en bloque l’accès jusqu’au paiement d’une rançon ;
- d’un logiciel malveillant (virus, cheval de Troie…) destiné à paralyser le système, voler des données ou détruire des fichiers.
Le salarié est bien souvent le premier maillon exposé : un lien frauduleux ouvert par imprudence, une pièce jointe douteuse téléchargée, une connexion à un site prohibé peuvent suffire à compromettre l’ensemble du système d’information de l’entreprise.
Le salarié doit bénéficier d’une formation et faire preuve de vigilance afin d’éviter le risque de cyberattaque.
6. Cybersécurité: une obligation qui pèse sur l’employeur
La navigation personnelle n’est pas seulement une question de productivité. Chaque connexion à un site non maîtrisé représente un risque d’intrusion, de téléchargement de logiciel malveillant ou de fuite de données.
L’employeur est responsable de la sécurité des données personnelles stockées sur ses équipements, internes comme externes. En cas de cyberattaque liée à un comportement imprudent d’un salarié, la responsabilité de l’entreprise peut être engagée si aucune mesure préventive n’avait été mise en place.
Pour s’en prémunir, il peut mettre en place un filtrage des connexions et interdire l’accès à certains types de sites (jeux, sites réputés dangereux, réseaux sociaux…), à condition d’en informer les salariés, en général par le règlement intérieur ou la charte informatique.
En cas d’atteinte volontaire à son système de traitement informatisé, l’entreprise pourra aussi engager la responsabilité pénale de son salarié au visa des articles 323-1 et suivants du code pénal.
7. Le télétravail change-t-il les règles applicables ?
Le télétravail complique l’équation. Le salarié est chez lui, sur son propre réseau ou sur le réseau de l’entreprise via VPN, et la frontière entre temps professionnel et personnel est encore plus floue.
TOUTEFOIS, il reste soumis aux mêmes obligations de sécurité que le salarié travaillant en présentiel.
L’employeur doit néanmoins l’informer des restrictions applicables à l’utilisation des équipements informatiques ou des services de communication électronique mis à sa disposition, ainsi que des sanctions encourues en cas de manquement.
8. Les bons réflexes du salarié pour éviter la faute et la sanction
Un usage internet salarié raisonnable repose sur un équilibre entre tolérance et responsabilité : quelques réflexes suffisent à éviter le faux pas.
- Utiliser Internet et la messagerie professionnelle avec modération pour un usage personnel, sans jamais compromettre la sécurité du réseau.
- Respecter les restrictions posées par le règlement intérieur ou la charte informatique de l’entreprise.
- Ne jamais ouvrir de lien ou de pièce jointe suspecte, principale porte d’entrée des rançongiciels et des malwares.
- Signaler sans délai à l’employeur toute anomalie constatée (ralentissement, message suspect, fichiers chiffrés).
Bien appliqués, ces réflexes suffisent dans l’immense majorité des cas à écarter tout risque disciplinaire — et à couper court à toute tentative de l’employeur d’invoquer un usage abusif.
9. Pourquoi un avocat est-il indispensable ?
Quand le litige dépasse le simple avertissement
Un conflit autour de l’usage internet au travail peut rapidement prendre une dimension pénale: téléchargement illicite, accès à des contenus prohibés, fuite de données confidentielles. Dans ces situations, ni l’employeur ni le salarié ne sont bien armés pour naviguer seuls entre droit du travail, droit pénal et réglementation numérique.
Un avocat peut vérifier la régularité de la collecte des preuves invoquées par l’employeur, la proportionnalité de la sanction, et relever une éventuelle atteinte à la vie privée du salarié ou un mode de preuve déloyal.
Pour l’entreprise victime d’une cyberattaque facilitée par un manquement d’un salarié, l’avocat accompagne la qualification des faits et l’engagement éventuel de la responsabilité civile ou pénale du salarié. Il sécurise également les démarches vis-à-vis de l’assureur et des autorités compétentes, telle que la CNIL.
Maître Djamel Belhaouci : défendre vos droits en droit de la cybersécurité
Confronté à une procédure liée à la sécurité informatique ? Maître Djamel Belhaouci, avocat au barreau de Marseille, met à votre service une double compétence en droit pénal et en cybersécurité pour défendre vos droits.
Pour les entreprises, il intervient dans la mise en place de chartes informatiques conformes, la gestion des incidents de cybersécurité impliquant un salarié et la sécurisation des relations avec les assureurs.
Contactez-nous pour un premier entretien confidentiel.
Cabinet Belhaouci Avocat
Marseille | contact@belhaouci.com | belhaouci.com
FAQ
Mon employeur peut-il lire mes e-mails professionnels sans mon accord ?
Oui, en principe. Les courriels envoyés ou reçus via la messagerie professionnelle sont présumés avoir un caractère professionnel et peuvent être consultés par l’employeur. Y compris hors la présence du salarié, sauf s’ils sont explicitement identifiés comme personnels.
Puis-je créer un dossier « personnel » pour protéger tous mes fichiers ?
Non. Seuls les fichiers individuellement identifiés comme personnels échappent au contrôle de l’employeur. Le salarié ne peut pas identifier l’intégralité de son disque dur comme personnel, ni le crypter pour le rendre inaccessible.
Une connexion personnelle occasionnelle peut-elle justifier un licenciement ?
Non, si elle reste raisonnable et n’entrave pas le travail ni la sécurité du réseau. En revanche, des connexions répétées ou prolongées à des sites extraprofessionnels peuvent être qualifiées de faute grave par les juges.
Le télétravailleur est-il soumis aux mêmes règles de sécurité que le salarié au bureau ?
Oui. Le télétravailleur a les mêmes obligations que le salarié en présentiel. L’employeur devant l’informer des restrictions applicables et des sanctions encourues en cas de non-respect.
Puis-je être tenu pour responsable si mon employeur subit une cyberattaque?
Oui, dans certaines hypothèses. Si le système informatique est compromis à la suite d’une connexion sciemment effectuée vers un site prohibé, l’employeur peut engager la responsabilité civile du salarié et prononcer une sanction disciplinaire.
L’employeur peut-il filtrer ou bloquer certains sites Internet ?
Oui, dans le cadre du règlement intérieur ou d’une charte informatique portée à la connaissance des salariés. L’employeur peut interdire l’accès à certains types de sites (jeux, réseaux sociaux, sites dangereux…).
