Surveillance au travail : ce que nous apprend la décision du Conseil d'État dans l'affaire Amazon

En bref

• La décision du Conseil d’État du 23 décembre 2025 ne se résume pas à une réduction d’amende.

• Elle valide, sous conditions strictes, certains dispositifs de suivi algorithmique du travail.

• Elle ne banalise pas la surveillance : elle en resserre les exigences juridiques et opérationnelles. 

• La frontière entre optimisation et surveillance reste volontairement floue.

• Plus cette frontière est floue, plus la responsabilité de gouvernance de l’employeur est élevée

Une décision lue à travers le prisme de l’amende

La décision du Conseil d’État du 23 décembre 2025, ramenant l’amende infligée à Amazon France Logistique de 32 à 15 millions d’euros, a suscité de nombreux commentaires.

La plupart se sont focalisés sur le montant de la sanction.

C’est compréhensible, mais largement insuffisant.

Pour la première fois de manière aussi explicite, la plus haute juridiction administrative valide certains dispositifs de suivi algorithmique de l’activité des salariés, tout en rappelant avec force les exigences du RGPD.

Cette décision ne normalise pas la surveillance au travail.

Elle en redéfinit les contours, de façon plus exigeante qu’il n’y paraît à première lecture.

Ce que le Conseil d’État valide (et pourquoi)

Contrairement à la CNIL, le Conseil d’État considère que certains indicateurs de suivi mis en œuvre par Amazon peuvent, dans des conditions précises, reposer sur l’intérêt légitime de l’employeur.

Selon le juge, il ne s’agit pas d’un suivi généralisé ou continu de l’activité des salariés, mais de mécanismes ciblés visant à identifier des situations atypiques susceptibles de révéler des dysfonctionnements opérationnels.

Le Conseil d’État relève notamment que :

• le suivi n’est ni généralisé ni continu,

• les données ne sont pas collectées à un niveau de granularité extrême,

• les indicateurs servent avant tout à détecter des situations atypiques,

• et qu’ils ne produisent pas, à eux seuls, d’effets disciplinaires.

Sur cette base, le Conseil d’État estime que ces dispositifs n’imposent pas une contrainte excessive aux salariés et ne portent pas une atteinte disproportionnée à leur vie privée.

Point important : il ne s’agit pas de nier l’existence d’un contrôle, mais de considérer que, dans cette configuration précise, le niveau de contrainte reste en dessous du seuil juridiquement inacceptable.

Où s’arrête l’optimisation, où commence la surveillance ?

La question est légitime, et elle traverse tous les esprits :

Comment être certain que ces indicateurs ne servent pas, en réalité, à surveiller les salariés ?

La réponse du droit est volontairement inconfortable : on ne peut jamais en être sûr à 100 %.

Le droit ne cherche pas à éliminer toute forme de contrôle du travail ; ce serait irréaliste.

Il raisonne en termes de proportionnalité. La vraie question n’est donc pas :

« Y a-t-il une forme de surveillance ? »

Mais :

« Jusqu’où va-t-elle concrètement ? »

Le juge ne se contente ni de l’intention déclarée de l’employeur, ni des chartes internes.

Il analyse les effets réels du dispositif :

• son périmètre,

• sa fréquence,

• sa granularité,

• ses usages effectifs,

• et les décisions qu’il permet — ou non — de prendre.

Dans cette affaire, le Conseil d’État estime que la contrainte exercée est limitée, ciblée et non continue.

Une frontière volontairement floue et assumée par le droit

Cette décision ne trace pas une ligne claire et définitive entre ce qui serait acceptable et ce qui ne le serait pas.

Et ce flou est (en quelque sorte) volontaire.

Le RGPD privilégie une approche graduée plutôt qu’une règle rigide :

• parce que les contextes de travail sont très différents,

• parce que les technologies évoluent rapidement,

• parce qu’une règle trop précise serait vite obsolète ou contournée.

À la place, il impose :

• une obligation permanente de proportionnalité,

• une obligation de justification,

• une obligation de documentation,

• et une responsabilité continue de l’employeur.

Un dispositif peut être licite aujourd’hui et devenir illégal demain, sans changer de nom, simplement parce que son usage, son intensité ou sa finalité ont évolué.

Pourquoi Amazon reste sanctionné : la minimisation comme ligne rouge

Si le Conseil d’État valide certains dispositifs de suivi, il confirme en revanche le manquement au principe de minimisation des données.

Amazon conservait pendant 31 jours, de manière indifférenciée :

• l’ensemble des indicateurs de productivité,

• des données brutes individualisées,

• des rapports détaillés.

Les juges rappellent un point fondamental : c’est à l’entreprise de démontrer que la durée de conservation est nécessaire, et non à l’autorité de contrôle de prouver qu’une durée plus courte aurait suffi.

Autrement dit, un dispositif peut être proportionné dans son principe et devenir illégal dans sa mise en œuvre. La minimisation constitue, à ce titre, une ligne rouge opérationnelle.

Une décision moins permissive qu’il n’y paraît

À première lecture, la décision peut donner l’impression d’un assouplissement.

En réalité, c’est exactement l’inverse.

Elle confirme que la conformité :

• ne consiste pas à interdire toute innovation,

• mais à être capable d’expliquer, de documenter et d’assumer les arbitrages réalisés dans le temps. 

Plus la frontière est floue, plus la responsabilité de l’entreprise est lourde. Plus les outils sont puissants, plus la gouvernance doit être rigoureuse.

La véritable fragilité n’est pas d’avoir pris une décision imparfaite. C’est de ne pas pouvoir expliquer, plusieurs années plus tard, pourquoi et comment cette décision a été prise.

Gouvernance des usages : les questions que les entreprises doivent se poser

Cette décision invite les organisations à se poser, très concrètement, les questions suivantes :

• Quelle est la finalité réelle de chaque indicateur collecté ?

• À quelle fréquence ces données sont-elles produites et consultées ?

• Qui y a accès, et pour quelles décisions ?

• Quelle est la durée strictement nécessaire de conservation ?

• Serons-nous capables de justifier ce dispositif face à un régulateur dans 2 ou 3 ans ?

Ces questions ne relèvent pas uniquement de la conformité juridique. Elles relèvent de la gouvernance des usages.

Conclusion

Sur le plan juridique, la décision du Conseil d’État est cohérente avec les principes du RGPD. Elle ne légitime pas une surveillance généralisée, ne désavoue pas la CNIL sur le fond, et refuse une approche binaire et irréaliste de la surveillance au travail.

Elle rappelle une vérité parfois inconfortable pour les directions conformité : le risque zéro n’existe pas. La surveillance algorithmique n’est pas interdite, mais elle est conditionnelle, encadrée, et toujours susceptible d’être remise en cause.

En contrepartie, la décision place la barre très haut en matière de gouvernance, de traçabilité et de maîtrise des usages. Elle oblige les organisations à se poser une question simple, mais structurante : serons-nous capables d’expliquer et d’assumer ce dispositif dans la durée ?