La Commission Nationale de l'Informatique et des Libertés (CNIL) rappelle les conditions de licéité encadrant la mise en place par un employeur de dispositifs de contrôle de l’activité de son personnel.
Un tel dispositif doit respecter trois conditions cumulatives pour être licite. Premièrement, il doit être justifié par la nature de la tâche et proportionné au but recherché, sans porter une atteinte excessive à la vie privée des employés, qui subsiste sur le lieu de travail. Une surveillance constante est jugée excessive, sauf exceptions spécifiques. Par exemple, un enregistreur de frappe clavier ("keylogger") est considéré comme disproportionné, tandis qu'un suivi trimestriel de la productivité est acceptable. Le dispositif ne doit pas avoir un objectif dissimulé.
Deuxièmement, les instances représentatives du personnel, comme le comité social et économique (CSE) pour les entreprises de 50 salariés et plus, doivent être consultées préalablement. Troisièmement, les personnes concernées doivent être informées avant la mise en œuvre du système. L'employeur est tenu de documenter sa démarche de conformité, notamment l'analyse de proportionnalité et les mesures d'information. En cas de non-respect, les employés peuvent saisir la CNIL, l'inspection du travail, la préfecture pour les caméras dans les lieux ouverts au public, ou les autorités judiciaires.