Cyberharcèlement professionnel : protéger les personnes visées

Deux obligations à ne pas confondre

Le cyberharcèlement d'un salarié, d'un cadre ou d'un dirigeant met en jeu deux registres que les entreprises confondent trop souvent au moment d'agir. Le premier est une obligation de protection de la personne, issue du droit du travail et de l'obligation de sécurité de l'employeur, qui s'impose indépendamment de toute conséquence sur l'image de l'organisation. Le second est une préoccupation d'image, qui ne concerne l'entreprise elle-même que lorsque l'attaque déborde sur sa réputation publique. Traiter le second en priorité, au motif qu'il est visible et mesurable, revient mécaniquement à mal exécuter le premier.

La distinction a des conséquences opérationnelles immédiates. La protection de la personne suppose d'agir même si l'attaque reste confidentielle, ne touche qu'un cercle restreint de collègues ou de proches, et ne menace en rien la marque employeur. L'image de l'entreprise, elle, ne devient un sujet de communication que si l'épisode s'étend au-delà de la personne visée — ce qui n'arrive pas toujours, et ne doit jamais être le déclencheur de la prise en charge humaine. Une organisation qui attend que le sujet devienne public pour s'en préoccuper a déjà manqué à son obligation de sécurité, avec des conséquences juridiques propres, indépendantes du sort de sa réputation.

Cette confusion se nourrit souvent d'une hiérarchisation implicite des urgences internes : le service communication ou juridique est sollicité avant les ressources humaines, parce que le risque d'image paraît plus tangible qu'une souffrance individuelle encore silencieuse. Inverser cet ordre suppose une gouvernance de crise qui place explicitement la personne au centre du dispositif, avec un chef de file clairement identifié — en général la direction des ressources humaines, appuyée par la médecine du travail — et non le service de communication, qui n'intervient qu'en second rideau si l'affaire prend une dimension publique.

Le cadre juridique de l'obligation de sécurité

L'obligation de sécurité de l'employeur, définie aux articles L. 4121-1 et suivants du code du travail, impose de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. La jurisprudence a progressivement étendu cette obligation aux situations de harcèlement moral ou sexuel se prolongeant ou trouvant leur origine sur les outils numériques, y compris lorsque les échanges litigieux se déroulent sur des messageries privées ou des réseaux sociaux personnels, dès lors qu'ils ont un lien avec le travail.

Cette obligation ne se limite pas à réagir après coup : elle implique une prévention active, documentée dans le document unique d'évaluation des risques professionnels (DUERP), qui doit désormais intégrer les risques psychosociaux liés à l'exposition numérique des salariés, en particulier pour les fonctions les plus exposées — porte-parole, service client, community management, encadrement visible sur les réseaux professionnels.

Le manquement à cette obligation expose l'employeur à une reconnaissance de faute inexcusable en cas d'accident du travail ou de maladie professionnelle reconnue, avec des conséquences indemnitaires substantielles, et à un contentieux prud'homal distinct de toute question de communication externe. Le Comité social et économique (CSE) dispose par ailleurs d'un droit d'alerte spécifique en cas d'atteinte à la santé physique ou mentale, qui peut être déclenché indépendamment de la volonté de la direction et conduire à une enquête paritaire.

Le service-public.fr rappelle que le harcèlement moral au travail se caractérise par des agissements répétés ayant pour objet ou pour effet une dégradation des conditions de travail susceptible de porter atteinte aux droits et à la dignité du salarié, d'altérer sa santé ou de compromettre son avenir professionnel. Cette définition s'applique sans restriction lorsque les agissements empruntent des canaux numériques, ce qui inclut les messageries internes, les réseaux sociaux professionnels et, sous condition de lien avec le travail, les espaces personnels.

Mettre en place un dispositif de signalement avant l'incident

La plupart des réponses tardives ou maladroites viennent de l'absence de dispositif préexistant : personne ne sait qui alerter, qui décide, ni ce qui peut être fait dans les premières heures. Un dispositif de signalement minimal répond à trois questions et doit être écrit, diffusé et connu de tous avant tout incident, faute de quoi il s'improvise le jour de la crise et perd le bénéfice de la rapidité, qui est le facteur le plus déterminant dans ce type de dossier.

1. 01Qui reçoit le signalement — un canal identifié et distinct de la voie hiérarchique ordinaire lorsque l'auteur suspecté est un collègue, un supérieur ou un client, avec possibilité de signalement anonyme dans un premier temps.
2. 02Qui documente les faits — conservation méthodique des captures d'écran, horodatage, identifiants des comptes auteurs, sans attendre que la situation s'aggrave pour constituer un dossier exploitable devant une juridiction.
3. 03Qui décide de la suite — signalement à la plateforme concernée, dépôt de plainte, saisine du CSE et de son droit d'alerte, accompagnement psychologique via la médecine du travail, éventuelle communication interne.

Ce dispositif gagne à désigner nommément un référent harcèlement, obligatoire dans les entreprises d'au moins deux cent cinquante salariés au titre de la lutte contre le harcèlement sexuel et les agissements sexistes, dont le rôle peut utilement être étendu par la politique interne au cyberharcèlement au sens large. Dans les structures plus petites, ce rôle peut être confié à un membre du CSE ou à un prestataire externe spécialisé, à condition que son identité et ses coordonnées soient connues de tous, affichées et rappelées régulièrement, et non enfouies dans un règlement intérieur consulté une seule fois lors de l'embauche.

La documentation des faits mérite une attention particulière car elle conditionne toute la suite : une plainte ou une action prud'homale sans preuves matérielles solides échoue le plus souvent, quelle que soit la gravité réelle vécue par la personne. Le Protocole de diagnostic Oroosa recommande la constitution d'un dossier chronologique unique, alimenté au fil de l'eau, distinct des échanges informels entre collègues, et transmis systématiquement à un tiers de confiance — responsable RH ou avocat — pour éviter toute perte en cas de suppression des comptes par les auteurs eux-mêmes.

Signalement aux plateformes et dépôt de plainte : deux voies parallèles

Le signalement à la plateforme et le dépôt de plainte pénale répondent à des logiques différentes et gagnent à être menés simultanément plutôt que l'un après l'autre. Le signalement peut aboutir en quelques jours à un retrait de contenu ou une suspension de compte, sans établir aucune responsabilité ni identifier l'auteur. La plainte engage une procédure plus longue, mais seule elle permet d'identifier l'auteur, de qualifier juridiquement les faits et d'obtenir réparation pour la victime.

Le harcèlement moral en ligne, prévu à l'article 222-33-2-2 du code pénal, est aggravé lorsqu'il est commis via un service de communication au public en ligne ; la sanction est renforcée lorsque plusieurs personnes agissent de concert, ce qui couvre une part importante des attaques coordonnées observées en contexte professionnel, en particulier lorsqu'un collectif de collègues, de clients mécontents ou d'anciens salariés relaie les mêmes accusations. Cette qualification suppose des propos répétés visant la même personne, ce qui distingue le cyberharcèlement du dénigrement concurrentiel ou de la diffamation ponctuelle, qui portent sur un fait ou une réputation plutôt que sur une personne visée dans la durée.

Le dépôt de plainte peut s'effectuer au commissariat, à la gendarmerie, ou en ligne via le service de pré-plainte proposé par le ministère de l'Intérieur, ce qui permet à la victime de fixer un rendez-vous plutôt que d'attendre sur place. Il est utile, en parallèle, de signaler les contenus les plus graves sur la plateforme Pharos, dédiée au signalement des contenus illicites, qui transmet aux services compétents lorsque les faits relèvent d'une infraction pénale caractérisée.

L'accompagnement humain de la personne visée

Une réponse procédurale, aussi bien construite soit-elle, ne suffit pas si elle n'est pas accompagnée d'un soutien humain concret. La personne visée doit pouvoir accéder rapidement à un interlocuteur formé, disposer d'un aménagement temporaire de ses conditions de travail si elle le souhaite — télétravail, changement d'équipe, retrait temporaire des fonctions les plus exposées publiquement — sans que cet aménagement soit perçu ou présenté comme une sanction déguisée.

La médecine du travail doit être associée dès les premiers signalements sérieux, et pas seulement en cas d'arrêt de travail déjà prononcé. Un accompagnement psychologique proposé en amont, via le service de santé au travail ou un dispositif d'écoute externalisé, réduit sensiblement le risque de dégradation durable de l'état de santé et facilite la constitution d'un dossier médical cohérent si une reconnaissance ultérieure de maladie professionnelle devait être recherchée.

L'entreprise doit également anticiper la question du maintien ou du retrait de la visibilité publique de la personne concernée : retirer d'autorité un porte-parole de la scène publique peut être vécu comme une double peine, alors qu'un maintien forcé expose à une aggravation de l'attaque. Ce choix doit être fait avec la personne, jamais à sa place, et réévalué régulièrement selon l'évolution de la situation.

Quand l'attaque déborde sur l'image de l'entreprise

Certaines campagnes ne visent pas seulement une personne : elles cherchent à discréditer l'entreprise à travers elle, en laissant entendre qu'elle tolère, ignore ou provoque la situation. C'est à ce stade que le sujet devient réputationnel au sens plein, et qu'il rejoint la logique d'une gestion de crise numérique.

La réponse publique, si elle est nécessaire, doit rester factuelle sur ce que l'entreprise a fait — signalement effectué, plainte déposée, soutien apporté à la personne — sans jamais commenter le fond des accusations personnelles portées contre le salarié, qui ne relèvent pas de l'entreprise mais de la personne elle-même et de ses conseils. Confondre les deux niveaux de communication expose l'entreprise à instrumentaliser la victime dans sa propre défense d'image, ce qui aggrave le préjudice moral déjà subi et peut être retenu contre elle devant les prud'hommes.

La communication interne mérite un soin distinct de la communication externe : les collègues de la personne visée ont besoin d'un message clair sur la position de l'entreprise, sans qu'il soit nécessaire de détailler publiquement les faits. Un silence prolongé de la direction est souvent interprété, à tort ou à raison, comme un désintérêt, ce qui fragilise la confiance collective bien au-delà du cas individuel traité.

Panorama des voies de recours selon la gravité

Chiffres clés observés en mission

3

questions structurantes d'un dispositif de signalement interne, selon le Protocole de diagnostic Oroosa

250

salariés : seuil légal imposant la désignation d'un référent harcèlement

2

voies parallèles à engager sans délai : signalement plateforme et dépôt de plainte

1

principe directeur : la protection de la personne précède toujours la défense de l'image

Prévenir plutôt que réagir

La prévention repose sur une combinaison de mesures organisationnelles, techniques et culturelles, à intégrer bien avant qu'un incident ne survienne. Elle suppose une reconnaissance explicite, au niveau de la direction, que l'exposition numérique fait désormais partie des risques professionnels ordinaires pour certaines fonctions, au même titre que d'autres risques psychosociaux déjà pris en charge.

• Sensibiliser les équipes exposées (porte-parole, community managers, cadres visibles, service client) aux formes que prend le harcèlement coordonné et aux réflexes de documentation à adopter dès les premiers signes.
• Sécuriser les comptes professionnels et personnels des personnes les plus exposées, avec authentification renforcée et paramètres de confidentialité revus régulièrement.
• Intégrer le risque de cyberharcèlement dans la cartographie des risques réputationnels de l'entreprise, avec des seuils d'alerte définis à l'avance et un DUERP actualisé.
• Prévoir un budget et un contact juridique déjà identifiés, pour ne pas chercher un avocat compétent en urgence au moment où le temps compte le plus.
• Former les managers de proximité à repérer les signaux faibles de détresse chez un collaborateur exposé, avant que la situation ne se traduise par un arrêt de travail.

Cette préparation rejoint les principes généraux de la veille e-réputation : une organisation qui surveille méthodiquement ce qui se dit sur ses collaborateurs les plus exposés détecte une campagne à ses premières heures, quand elle est encore la plus facile à documenter et à contenir.

Ce qu'il faut faire, ce qu'il faut éviter

Check-list d'activation du dispositif