Surveiller un téléphone, géolocaliser un proche ou filtrer les applications d’un enfant : ces pratiques sont de plus en plus répandues. Mais dès qu’une donnée personnelle est collectée — une position GPS, un historique de navigation, un message — le Règlement Général sur la Protection des Données (RGPD) entre en jeu. Comprendre ses principes vous permet d’agir efficacement, sans vous exposer à des sanctions.
Qu’est-ce que le RGPD en matière de surveillance ?
Le RGPD, entré en vigueur en mai 2018 dans toute l’Union européenne, encadre la collecte, le stockage et l’utilisation de toute donnée à caractère personnel. Une donnée est « personnelle » dès qu’elle permet d’identifier une personne, directement ou indirectement : une adresse IP, une position GPS, un identifiant d’appareil, un historique d’appels.
La surveillance numérique — qu’elle soit parentale, professionnelle ou familiale — est donc pleinement concernée par ce règlement.
Le principe de finalité
Toute collecte de données doit répondre à une finalité précise, légitime et explicite. On ne peut pas installer un logiciel de contrôle parental « au cas où » et l’utiliser ensuite pour d’autres usages. La finalité doit être définie avant la collecte.
Le principe de minimisation
Le RGPD impose de ne collecter que les données strictement nécessaires à l’objectif poursuivi. Si vous souhaitez uniquement savoir si votre enfant est bien arrivé à l’école, vous n’avez pas besoin d’accéder à ses messages privés.
Les bases légales : sur quoi fonder une surveillance ?
Le RGPD impose d’identifier une base légale avant tout traitement. Six bases existent ; deux sont particulièrement pertinentes dans un contexte de surveillance :
| Base légale | Contexte typique |
|---|---|
| Consentement | Localisation d’un conjoint adulte, partage de position en famille |
| Intérêt légitime | Sécurité d’un mineur sous autorité parentale |
| Obligation légale | Employeur tenu de surveiller un réseau pour la sécurité |
| Exécution d’un contrat | Télétravail avec charte informatique signée |
Le consentement doit être libre, éclairé, spécifique et révocable. Une case pré-cochée dans des conditions générales ne constitue pas un consentement valide.
Ce que dit la loi
L'article 226-1 du Code pénal punit d'un an d'emprisonnement et 45 000 € d'amende le fait de porter atteinte à l'intimité de la vie privée d'autrui en captant des paroles ou des images sans consentement. L'article 226-15 sanctionne spécifiquement l'interception de correspondances privées. Ces infractions s'appliquent indépendamment du RGPD et peuvent se cumuler.
Les droits des personnes surveillées
Toute personne dont les données sont collectées dispose de droits garantis par le RGPD :
Le droit à l’information
La personne surveillée doit être informée avant la mise en place du dispositif : qui collecte les données, dans quel but, combien de temps elles sont conservées, comment les exercer. Cette transparence est obligatoire, même dans un cadre familial.
Le droit d’accès et de rectification
Elle peut à tout moment demander à consulter les données collectées à son sujet et en demander la correction si elles sont inexactes.
Le droit à l’effacement
Appelé « droit à l’oubli », il permet de demander la suppression des données dans certains cas, notamment lorsque la finalité initiale n’existe plus.
Le droit d’opposition
Une personne peut s’opposer au traitement de ses données fondé sur l’intérêt légitime, sauf si l’organisme démontre des raisons impérieuses.
Cas parental : ce que le RGPD autorise
L’autorité parentale confère aux parents un cadre légal pour surveiller les usages numériques d’un mineur. Installer un logiciel de contrôle parental (Qustodio, Google Family Link, Apple Temps d’écran) sur l’appareil de son enfant est légalement possible, à condition de :
- Informer l’enfant de l’existence du dispositif (en adaptant l’explication à son âge)
- Limiter la surveillance aux données nécessaires à sa protection
- Réévaluer le dispositif à mesure que l’enfant grandit
À partir de 15 ans environ (seuil variable selon les situations), il est recommandé d’associer l’adolescent à la décision plutôt que d’imposer un contrôle total, à la fois sur le plan légal et éducatif.
Cas professionnel : employeur et salarié
Dans le cadre du travail, le RGPD s’articule avec le Code du travail et les lignes directrices de la CNIL. Un employeur peut surveiller l’usage des outils professionnels, mais doit :
- Informer préalablement les salariés et consulter le CSE
- Limiter la surveillance aux heures de travail
- Respecter la proportionnalité entre le dispositif et l’objectif
Pour une analyse complète du cadre professionnel, consultez nos articles sur la surveillance des téléphones professionnels et la géolocalisation des salariés.
Le rôle de la CNIL
La Commission Nationale de l’Informatique et des Libertés (CNIL) est l’autorité de contrôle française. Elle peut :
- Recevoir des plaintes de particuliers
- Mener des enquêtes et contrôles
- Prononcer des sanctions pouvant atteindre 4 % du chiffre d’affaires mondial pour les entreprises, ou des amendes significatives pour les particuliers en cas d’infraction grave
Vous pouvez déposer une plainte sur le site de la CNIL si vous estimez que vos données sont utilisées sans base légale valide.
Ce que le RGPD n’autorise pas
Quel que soit le contexte, le RGPD ne saurait justifier :
- L’installation d’un logiciel espion à l’insu d’un adulte, même un conjoint
- La collecte de données sans finalité définie
- La conservation illimitée de données de localisation ou de contenu
- Le contournement du droit à l’information
Attention
Même en tant que parent, vous ne pouvez pas surveiller le téléphone d'un enfant majeur (18 ans et plus) sans son consentement explicite, aussi bienveillante que soit votre intention.
En résumé
Le RGPD s’applique à toute forme de surveillance numérique dès lors qu’une donnée personnelle est collectée. Ses principes fondamentaux — finalité, minimisation, information, base légale — s’imposent aussi bien aux parents qu’aux employeurs. La CNIL veille au respect de ces règles et peut sanctionner les manquements. Avant de mettre en place un dispositif de surveillance, posez-vous trois questions : ai-je une base légale valide ? La personne concernée est-elle informée ? Est-ce vraiment nécessaire ? Si vous répondez oui aux trois, vous êtes dans le cadre légal.
