Mail professionnel: Dans quels cas l'employeur peut-il y accéder?

Workshop La protection des données et les entreprises

Identifier les changements et mettre en œuvre les mesures nécessaires

Workshop pratique, 1 jour, Centre Patronal Prilly, Lausanne

Prochaine date: 04. novembre 2026

Bases juridiques et principes directeurs

Deux ensembles de normes sont au cœur du dispositif:

• Droit du travail (en particulier l'art. 328 CO: protection de la personnalité du travailleur) : l'employeur est tenu de respecter et de protéger la personnalité de ses collaborateurs. Cela inclut notamment le respect de leur vie privée et la protection contre des mesures de surveillance ou de contrôle inappropriées.
• Droit de la protection des données: les e-mails envoyés à une adresse professionnelle personnelle du salarié peuvent être clairement attribués à une personne spécifique et sont donc considérés comme des données à caractère personnel au sens de l'art. 5 let. a LPD. Cependant, des données à caractère personnel peuvent également être envoyées à des adresses professionnelles anonymes. Tout accès de l'employeur à ces données constitue alors un traitement de données dont la finalité doit être clairement définie et qui doit reposer une base juridique.

Les deux domaines normatifs suivent le même principe: l'employeur ne peut empiéter sur la sphère privée de ses collaborateurs – par exemple en accédant à leur compte de messagerie professionnel – que dans la mesure où cela est justifié par des intérêts opérationnels prépondérants, proportionné et nécessaire pour garantir le bon fonctionnement de l'entreprise. La proportionnalité est respectée lorsque l'ingérence est appropriée, nécessaire et raisonnable pour atteindre l'objectif poursuivi. Un intérêt prépondérant de l'entreprise peut notamment exister en cas d'absences prolongées sans remplacement efficace, d'incidents liés à la sécurité (p. ex. suspicion de comptes compromis) ou dans le cadre d'enquêtes relevant du droit du travail sur la base d'indices concrets de manquements aux obligations.

L'employeur doit en outre fournir des informations transparentes sur le but, l'étendue et les modalités des contrôles éventuels. 

Licéité de l’accès au mail professionnel

Lorsqu'on examine dans quelle mesure l'accès est autorisé, il convient de distinguer si l'utilisation privée du compte de messagerie électronique est interdite ou autorisée.

a. Utilisation privée interdite

Une interdiction d'utilisation à des fins privées n'est effective que si elle a été communiquée de manière claire et vérifiable (p. ex. par le biais d'un règlement informatique/relatif aux e-mails, d'un manuel du personnel, de formations). Outre l'interdiction elle-même, l'information a également pour but d'expliquer les contrôles autorisés et la procédure à suivre en cas d'absences. Les conséquences en cas d'infraction doivent également être définies.

Malgré l'interdiction d'utilisation, la protection de la personnalité des employés reste applicable conformément à l'art. 328 CO. Toute surveillance permanente ou ne reposant sur aucun soupçon est clairement prohibée. Même dans le cas d'une utilisation exclusivement professionnelle, l'accès au contenu des e-mails constitue une atteinte grave et n'est autorisé que pour des raisons légitimes, en l'absence de moyens moins intrusifs tels qu’une boîte mail commune ou un message d'absence automatique. Le principe de proportionnalité doit toujours être respecté. 

Les contrôles systématiques du contenu des e-mails sont exclus; en revanche, les évaluations anonymisées à court terme, les contrôles aléatoires en cas de motif concret et les mesures de sécurité techniquement nécessaires (filtres anti-spam, analyse des logiciels malveillants, DLP, analyses anonymisées ou ponctuelles des métadonnées) sont licites.

Les processus internes doivent définir clairement qui est habilité à ordonner l'accès, si la proportionnalité est congrue et documentée et comment éviter l'ouverture accidentelle de courriels privés.

b. Utilisation privée autorisée ou tolérée

Si l'utilisation privée du compte de messagerie professionnel est autorisée ou tolérée, la boîte mail est considérée, juridiquement parlant, comme à usage mixte. La protection de la personnalité et le secret des télécommunications (art. 13 Cst.) s'appliquent alors de manière particulièrement stricte, tant et si bien que l’employeur ne peut accéder à la boîte mail que dans des cas exceptionnels et strictement limités.