Comment une suite de productivit comme Office 365 offre des fonctionnalits qui permettent aux employeurs de surveiller les employs leur insu D'aprs Privacy International

Principaux rsultats

• Le travail domicile a favoris l'utilisation de logiciels de tlsurveillance pour contrler les employs.
• Il n'y a pas que les outils dvelopps spcifiquement pour la surveillance, les suites de productivit traditionnelles peuvent galement permettre un niveau de surveillance intrusif.
• Les tudiants de PI et de l'UCL se sont penchs sur Office 365 et ont dcouvert des fonctions qui permettent aux employeurs d'accder toutes les communications et activits sur les services Microsoft
• Ces fonctions peuvent tre utilises l'insu des employs et il semble y avoir un manque de transparence pour les utilisateurs en ce qui concerne les donnes collectes et leur finalit.

Imaginez que vos performances au travail soient values directement en fonction du nombre d'e-mails envoys, du temps pass diter un document, du temps pass en runion ou mme bouger votre souris. Cela peut sembler ridicule, mais c'est peut-tre exactement ce que fait votre patron. Il y a de plus en plus d'histoires de personnes convoques des runions pour justifier des lacunes dans leur travail et qui dcouvrent que leur patron les a regardes travailler leur insu.

La pandmie mondiale de Covid-19 a boulevers le contexte dans lequel beaucoup d'entre nous travaillent. Soudain, de nombreuses entreprises ont t contraintes de passer d'un lieu de travail physique au travail distance. Pour un certain nombre d'entre elles, cette transition s'est traduite par la crainte que les employs ne travaillent pas ou ne soient pas aussi performants qu'au bureau, ce quoi elles ont dcid de remdier par une surveillance accrue. En consquence, la demande d'outils de surveillance des employs a grimp en flche. En 2020, la demande mondiale de logiciels de surveillance des employs a augment de 108 % en avril et de 70 % en mai 2020 par rapport la priode prcdant la pandmie. Dans le mme temps, les requtes sur les moteurs de recherche concernant la question "Comment surveiller les employs travaillant domicile" ont augment de 1 705 % en avril et de 652 % en mai 2020 par rapport l'anne prcdente. L'organisation but non lucratif Coworker a rcemment publi un rapport intitul Little Tech, accompagn d'une base de donnes de 550 entreprises, dont 182 proposent un contrle des performances sur le lieu de travail, avec diverses fonctionnalits.

Ce rapport de Coworker illustre l'essor de l'offre de plateformes d'espace de travail en ligne et d'outils de surveillance rpondant cette demande accrue. Ces solutions trs intrusives sont en elles-mmes extrmement problmatiques, car elles permettent d'accder chaque frappe de clavier, chaque mouvement de souris et offrent parfois des fonctions telles que l'accs rgulier la webcam pour s'assurer que les employs sont devant leur ordinateur ou pour surveiller leur "attention" et leur "concentration". L'atteinte la vie prive qui en rsulte est bien plus intense que tout ce qui pourrait se produire dans un bureau physique et pntre directement dans l'espace priv des employs.

Pourtant, ces pratiques invasives ne sont pas uniquement facilites par le dploiement d'un logiciel ddi la surveillance des employs. Si vous pensez tre l'abri de ces pratiques parce que votre employeur ne dploie pas (encore) ce type d'outils, nous avons peut-tre une mauvaise nouvelle vous annoncer. De nombreuses "suites de productivit", disponibles depuis des annes et que vous connaissez peut-tre, ont galement commenc intgrer des fonctions discrtes et invasives qui rivalisent avec celles offertes par bossware.

Parmi ces "suites de productivit", on trouve le clbre paquet de productivit Microsoft 365 bas sur le cloud, qui offre une large gamme d'outils pour la collaboration et la communication en temps rel. Ce que l'on sait peut-tre moins, c'est qu'il permet votre patron de voir comment vous passez votre journe assis devant l'appareil de votre entreprise.

Les conclusions suivantes proviennent de l'enqute de PI sur la suite Office 365 ainsi que de la recherche mene par Demetris Demetriades, diplm en informatique de l'UCL, intitule "The rise of workplace surveillance technology in the coronavirus pandemic" (L'essor des technologies de surveillance du lieu de travail dans la pandmie de coronavirus).

Office 365 : Les fonctions de surveillance auxquelles vous ne vous attendiez pas

Chaque fois qu'un travailleur interagit avec Microsoft 365, il gnre des donnes qui peuvent tre transformes en mtriques. Ces donnes sont gnres par dfaut par des personnes qui font simplement leur travail quotidien : crire des documents, envoyer des e-mails, chatter sur Teams et participer des runions en utilisant la suite Office 365 (Microsoft Teams, Word, Excel, Outlook, etc.).

De l'autre ct du miroir, en utilisant cette suite, un administrateur est en mesure d'accder et de naviguer dans une varit de tableaux de bord qui sont automatiquement gnrs et peuvent tre extrmement rvlateurs.

L'une de ces fonctionnalits, le "Microsoft Office 365 Admin Center", espre informer les administrateurs sur la productivit et l'efficacit des employs au sein de leur entreprise. Sous le Centre d'administration, on trouve deux catgories de rapports d'analyse organisationnelle : Utilisation et Productivit.

Dans les rapports d'utilisation, les administrateurs trouveront des informations sur l'utilisation gnrale des services et des applications dans l'organisation ou sur le nombre d'utilisateurs accdant chaque application Office. Dans la catgorie Productivit, des donnes gnres peuvent tre trouves sur la performance de l'entreprise par rapport des entreprises similaires qui utilisent galement Office 365. Le rapport fournit des donnes quantitatives estimes et des statistiques drives du comportement des employs au sein d'une organisation, notamment la frquence et la dure d'utilisation d'une certaine application. Bien que ces rapports prsentent des donnes agrges, pour une petite organisation, ils peuvent ressembler des donnes fournies au niveau individuel, car avec un plus petit nombre d'employs, il peut tre plus facile pour les employeurs de dduire qui passe du temps faire quoi.

Le centre d'administration de Microsoft Teams est une autre source d'informations beaucoup plus granulaires sur les employs. De l, un administrateur peut slectionner des utilisateurs spcifiques et lire les mesures individuelles de chacun, notamment le temps pass sur les appels, le nombre de messages changs, le nombre de runions de groupe et de runions individuelles auxquelles ils ont particip, etc. En outre, les administrateurs ont galement accs l'appareil (ordinateur portable, tlphone) partir duquel un utilisateur s'est connect pour chaque action qu'il a effectue (participation une runion, envoi d'un message, etc.) Ces informations peuvent tre utilises pour dduire des informations ou poser des questions sur les raisons pour lesquelles un employ a utilis un appareil plutt qu'un autre. Par exemple, le fait qu'une personne se soit connecte sa runion matinale partir de son tlphone signifie-t-il qu'elle tait encore au lit ? Le systme ne peut pas fournir de rponse, mais il fournit des donnes qui permettent aux employeurs de s'attarder sur de telles penses et suspicions.

Deux des fonctionnalits les plus inquitantes d'Office 365 sont les outils de gouvernance de l'information et de gestion des risques, appels Audit et Recherche de contenu. Ces outils peuvent tre utiliss pour prsenter aux administrateurs une quantit d'informations dtailles assez inquitante. En introduisant simplement les bonnes requtes, les administrateurs peuvent avoir accs la lecture des courriels, des documents et des messages 1-1 des personnes sur Teams et partout ailleurs o il est possible d'agir.
La fonction d'audit, qui n'est pas active par dfaut, offre l'option supplmentaire de rechercher des utilisateurs individuels sur une priode donne et affiche toutes les activits imaginables menes par l'utilisateur sous forme de liste, jusqu' la suppression de courriels et au changement de mot de passe.
En combinant ces deux fonctions globales, les employeurs sont en mesure de dresser un portrait assez intime de chaque employ, jusque dans les moindres dtails. Cela inclut non seulement une liste de la plupart des actions qu'ils effectuent, mais aussi la possibilit d'accder clairement tout le contenu chang au sein de l'organisation et aux communications externes par le biais du courrier lectronique.

L'audit et la recherche de contenu sont proposs par Microsoft pour permettre aux employeurs de reprer les comportements problmatiques ou les violations potentielles des contrats de travail ou des politiques de l'entreprise, notamment le harclement, la divulgation de secrets commerciaux, etc. Mais la nature globale de ces outils ne s'accompagne d'aucune mesure de protection des employs. Il n'y a pas de limites l'utilisation de ces fonctions par les employeurs et aucune invite active n'informe les travailleurs si elles sont actives. Ce manque de transparence et ces limitations du ct des employs signifient qu'ils peuvent tre potentiellement mal utiliss et transforms en machine de surveillance sans que les employs en soient pleinement conscients. En effet, si Microsoft mentionne qu'Office 365 peut tre utilis par une organisation pour "accder vos donnes et les traiter [...], y compris [...] le contenu de vos communications et de vos fichiers", cette information est enfouie dans sa politique de confidentialit et a peu de chances d'tre remarque par les employs qui n'ont souvent pas d'autre choix que de consentir l'utilisation du logiciel utilis par leur entreprise.

Du ct des employs, il ne leur reste plus qu' poursuivre leurs activits quotidiennes sans savoir si leur patron utilise ces fonctions pour les espionner ou non. En effet, Office 365 n'informe pas les utilisateurs lorsqu'un administrateur active la fonction "Audit" mentionne ci-dessus ou lorsque des tableaux de bord sont gnrs, et ne divulgue en aucun cas les fonctions actives lorsqu'un employ rejoint Office 365 pour la premire fois. L'opacit pour les employs est totale.

En pratique, cela signifie que si un employeur ne divulgue pas clairement quelles sont les fonctionnalits actives, les employs n'ont aucun moyen de savoir si chacune de leurs interactions avec Office 365 est surveille et transforme en mesures de performance ou mme si leurs communications sont lues par quelqu'un.

Hacking de la productivit - Ces mesures ont-elles seulement une signification ?

En fin de compte, ces tableaux de bord et ces fonctions de surveillance visent recueillir des donnes sur notre exprience humaine au travail, en nous transformant tous en points de donnes et en relguant notre individualit l'arrire-plan. Un employeur pourrait se fier ces mesures au point d'oublier qu'il y a une personne relle derrire elles.

D'autre part, les indicateurs sont gnrs par le comportement des travailleurs, ce qui signifie que les travailleurs peuvent galement choisir de manipuler les donnes leur avantage, ce qui, en soi, sape la validit de ces indicateurs jusqu' la moelle. Par exemple, personne n'empche un travailleur de s'envoyer automatiquement des courriels ou d'organiser de "fausses" runions avec des collgues partageant les mmes ides afin d'augmenter ses statistiques de performance. Cela a un impact sur les indicateurs gnrs tels que la productivit, o il est clair que le comportement modifi d'un employ peut donner une entreprise une meilleure note qu' une autre sans raison valable.

L'objectif final de ces fonctionnalits est d'augmenter la "productivit mesurable", mais il semble contre-productif de faire en sorte que les employs se soucient davantage de travailler pour obtenir des statistiques agrables que pour accomplir leur travail - ou leur productivit relle.

Ce qui a t fait par Microsoft et ce qui manque

Les capacits de surveillance et les implications de certains de ces outils en matire de protection de la vie prive ne sont pas nouvelles pour Microsoft qui, en 2020, a apport quelques modifications son score de productivit en vue d'amliorer les pratiques en matire de protection de la vie prive. la suite de ces changements, le score de productivit a cess d'inclure les noms des individus, pour ne s'appuyer que sur des donnes agrges au niveau de l'organisation.

Microsoft indique clairement dans sa dclaration de confidentialit qu'elle n'est pas responsable des pratiques de confidentialit ou de scurit de ses clients - les employeurs - mais nous pensons que Microsoft pourrait s'engager offrir davantage pour protger les employs contre l'espionnage :

• Introduire un cran ou un tableau de bord ddi aux membres de l'organisation, rpertoriant toutes les fonctions de productivit et de scurit actives et dsactives, y compris des informations sur les donnes collectes et les conditions de fonctionnement de ces fonctions. Cet cran doit galement inclure la politique de confidentialit de Microsoft et de l'organisation.
• Cet cran ou tableau de bord doit tre bien visible pour les nouveaux utilisateurs qui se connectent pour la premire fois et facilement accessible pour les utilisateurs qui reviennent.
• Notifier les membres de l'organisation lorsque les fonctions d'audit et de recherche de contenu sont actives
• Notifier les utilisateurs d'Office 365 si un administrateur de compte dsactive l'option permettant de masquer les noms d'utilisateur afin de gnrer des rapports qui ne sont pas anonymes ("Afficher les noms d'utilisateur, de groupe et de site masqus dans tous les rapports").

La transparence est essentielle, et son absence peut facilement roder la confiance des employs envers leurs employeurs, ce qui entranera probablement une baisse de la productivit relle et une augmentation des dmissions. L'tre humain est fait pour se sentir mal l'aise lorsqu'il est surveill et l'augmentation de la surveillance du personnel par les employeurs au cours de la Covid-19 a galement eu un effet profondment ngatif sur la sant mentale des travailleurs. Aprs de longues annes de lutte pour les droits des travailleurs, une pandmie mondiale nous a pousss vers ce nouveau domaine de surveillance que nous devons maintenant repousser et partir duquel nous devons rtablir la confiance.

Nous avons contact Microsoft pour lui faire part de nos conclusions et recommandations, ce quoi un porte-parole a rpondu comme suit :

*"Nous ne croyons pas l'utilisation de la technologie pour espionner les employs. Les informations bases sur les donnes sont depuis longtemps un lment essentiel de la manire dont les professionnels de l'informatique dploient et grent les solutions, fournissent des services, rpondent aux exigences rglementaires et rsolvent les problmes au sein de leur organisation."

"Bien que le client soit le propritaire de ses donnes, Microsoft fournit par dfaut des restrictions et des contrles aux organisations pour limiter l'accs aux informations sensibles."

• "La plupart des outils d'analyse de Microsoft 365 qui fournissent des informations sur l'adoption et l'utilisation le font au niveau agrg - travers des groupes ou des organisations entires. Ces outils sont un lment important pour aider les organisations fonctionner efficacement et tirer le meilleur parti de leur investissement."
• "Dans certains cas, les professionnels de l'informatique ont besoin d'informations sur les utilisateurs pour accomplir leur travail, qu'il s'agisse de suivre l'attribution des licences ou d'identifier et de rsoudre les problmes. L'accs ces rapports est limit quelques fonctions informatiques. En outre, Microsoft prend gnralement la dcision de masquer les informations relatives aux utilisateurs, aux groupes et aux sites par dfaut. La rvlation d'informations identifiables sur les utilisateurs est un vnement consign dans le journal d'audit du centre de conformit Microsoft 365."
• "Nos normes en matire d'informations agrges, de contrles d'accs restreints bass sur les rles, de masquage ou de "pseudonymisation" des informations des utilisateurs par dfaut, et le fait de faire de la rvlation d'informations personnelles un vnement vrifiable sont largement cohrentes dans l'ensemble de la suite Microsoft 365."

"Le travail hybride est mieux ralis et gr grce une communication, un apprentissage et une empathie solides, au-del des seules mesures technologiques. Nous nous engageons donner nos clients les outils et les informations ncessaires pour prendre des dcisions claires sur la faon dont les donnes sont perues et utilises. Au fur et mesure que nos produits et services voluent, nous sommes l'coute de nos clients et mettons jour les fonctionnalits pour reflter leurs commentaires et leurs besoins."