Pour compléter le sujet et après renseignement auprès de ma juriste au boulot :
"« Le salarié a droit, même au temps et au lieu de travail, au respect de
sa vie privée ; celle-ci implique en particulier le secret de ses correspondances
; lemployeur ne peut dès lors, sans violation de cette
liberté fondamentale, prendre connaissance des messages personnels
émis par le salarié ou reçus par lui grâce à un outil informatique mis à
sa disposition pour son travail, et ceci même au cas où lemployeur
aurait interdit une utilisation non professionnelle de lordinateur. »
Chambre sociale de la Cour de cassation, arrêt du 2 octobre 2001."
Il doit de toute manière il y avoir information (mais ce n’est pas suffisant pour permettre de tout surveiller) :
"Lobligation dinformation préalable résulte de larticle L. 121-8 du Code du
travail (« Aucune information concernant personnellement un salarié ou un
candidat à un emploi ne peut être collectée par un dispositif qui na pas été
porté préalablement à la connaissance du salarié ou du candidat à
lemploi »)."
Si contrôle il y a et après consultation du comité d’entreprise :
"Lorsque lentreprise ou ladministration met en place un dispositif de
contrôle individuel destiné à produire, poste par poste, un relevé des
durées de connexion ou des sites visités, le traitement automatisé
dinformations nominatives ainsi mis en uvre doit être déclaré à la
CNIL."
Et concernant le caractère privé des mails :
"Il doit être généralement considéré quun message envoyé ou reçu
depuis le poste du travail mis à disposition par lentreprise ou ladministration
revêt un caractère professionnel, sauf indication manifeste
dans lobjet du message ou dans le nom du répertoire où il pourrait
avoir été archivé par son destinataire qui lui conférerait alors le caractère
et la nature dune correspondance privée protégée par le secret
des correspondances."
"Lorsque lentreprise ou ladministration met en place un dispositif de
contrôle individuel poste par poste du fonctionnement de la messagerie,
le traitement automatisé dinformations nominatives ainsi mis
en uvre doit être déclaré à la CNIL. La durée pendant laquelle les messages
sont conservés doit être précisée."
Pour finir les administrateurs :
"De même, les administrateurs de réseaux et systèmes, généralement
tenus au secret professionnel ou à une obligation de discrétion professionnelle,
ne doivent pas divulguer des informations quils auraient été
amenés à connaître dans le cadre de leurs fonctions, et en particulier
lorsque celles-ci sont couvertes par le secret des correspondances ou relèvent de la vie privée des utilisateurs et ne mettent en cause ni le
bon fonctionnement technique des applications, ni leur sécurité, ni
lintérêt de lentreprise. Ils ne sauraient non plus être contraints de le
faire, sauf disposition législative particulière en ce sens."
Source : La cybersurveillance des salariés, CNIL 2004 (format pdf)