La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n°2012-027 du 27 septembre 2012 de la Présidente de la Commission nationale de l’informatique et des libertés mettant en demeure la société X, notifiée par lettre recommandée avec accusé de réception à la société le même jour;

Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, notifié par lettre recommandée avec accusé de réception à la société, le 26 juillet 2013 ;

Vu les autres pièces du dossier ;

Ayant entendu, lors de la séance de la formation restreinte du 24 octobre 2013 :

– M. Emmanuel de GIVRY, commissaire, en son rapport ; – Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ; – M. A, […] de la société X ;

A adopté la décision dont la teneur suit :

I. FAITS ET PROCÉDURE

Le 21 septembre 2011, la Commission nationale de l’informatique et des libertés (ci-après la « Commission ») a été saisie d’une plainte émanant d’un salarié de la société X (ci-après la « société ») quant aux conditions de mise en œuvre du dispositif de géolocalisation installés dans plusieurs véhicules conduits par les salariés de l’entreprise. Les modalités critiquées consistaient notamment en l’utilisation du dispositif à des fins de contrôle des horaires de certains salariés, l’impossibilité de le désactiver en dehors des heures de travail, la collecte de la vitesse du véhicule et une confidentialité relative des données collectées.

Par courrier du 18 novembre 2011, la CNIL a informé la société de cette plainte et de la réglementation applicable à la mise en œuvre d’un dispositif de géolocalisation des véhicules d’entreprise, et demandait à la société de lui faire part de ses observations sous quinzaine. La société n’ayant pas répondu à ce courrier, deux courriers de relance lui ont ainsi été adressés les 12 décembre 2011 et 10 janvier 2012.

Les 10 et 30 janvier 2012, la CNIL a été destinataire de deux nouvelles plaintes, notamment d’un salarié de la société ayant fait l’objet d’une sanction pour non-respect des horaires contractuels de travail sur le fondement des rapports de géolocalisation. Informée, la société a indiqué à la Commission que les conditions de mise en œuvre du dispositif étaient conformes à ses directives et recommandations, et qu’elle ne visait en aucun cas à surveiller les salariés.

Par courrier du 8 mars 2012, la Commission a rappelé à la société que la finalité de suivi de temps de travail ne pouvait être qu’accessoire au regard des quatre finalités principales visées dans la norme simplifiée n° 51 et que cette finalité n’avait pas été portée à la connaissance des salariés. Ce courrier invitait également la société à apporter des précisions sur le degré d’autonomie dont jouissent ses salariés dans l’organisation de leurs déplacements professionnels, sur les possibilités de désactivation du dispositif ainsi que sur la collecte de la vitesse du véhicule concerné.

Suite à de nouvelles relances, la société a répondu à la Commission, le 10 mai 2012. Les réponses apportées par la société n’étant pas satisfaisantes, la Commission a rappelé à celle-ci, le 29 juin 2012, que la finalité de contrôle du temps de travail n’avait pas été portée à la connaissance des salariés, et que ceux-ci devaient disposer de la faculté de désactiver le dispositif de géolocalisation du fait de la tolérance dont bénéficie les employés quant aux trajets domicile-travail effectués avec leurs véhicules de service.

De nouveaux échanges de courriers ont eu lieu entre la société et la Commission jusqu’en novembre 2012, sans permettre à la Commission d’obtenir de réponse satisfaisante à ses interrogations.

Au vu de ces faits, la Présidente de la Commission a mis la société en demeure, le 12 novembre 2012, de se conformer dans le délai d’un mois aux dispositions de la loi n°78-17 du 6 janvier 1978 modifiée en prenant un certain nombre de mesures, précisées dans la décision.

En l’absence de réponse à la mise en demeure dans le délai imparti, un courrier de relance a été adressé à la société le 24 décembre 2012. Le 17 janvier 2013, l’avocat de la société a informé la Commission que sa cliente s’était rapprochée de son prestataire pour qu’une solution de désactivation du dispositif de géolocalisation puisse être installée à moyen terme dans les véhicules, et que les salariés avaient par ailleurs été informés qu’une solution temporaire avait été mise en œuvre dans l’intervalle.

Par courrier du 3 mai 2013, la Présidente a pris acte du caractère temporaire de cette solution et a invité la société à lui apporter des éléments de réponse sur tous les autres points visés dans la mise en demeure. Un courrier de relance a été adressé à la société le 14 juin 2013, celle-ci n’ayant pas répondu.

La Présidente de la Commission, en l’absence de réponse à ce nouveau courrier, a décidé de désigner M. Emanuel de GIVRY, commissaire, membre de la CNIL, en qualité de rapporteur conformément aux articles 45 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée.

A l’issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi n°78-17 du 6 janvier 1978 modifiée, le rapporteur a établi un rapport détaillant ces manquements et demandant à la formation restreinte de la Commission de prononcer une sanction pécuniaire de dix mille euros (10 000 €) à son encontre, rendue publique. Le rapport a été notifié à la société par lettre recommandée avec accusé de réception, le 26 juillet 2013.

En réaction à ce rapport, la société a indiqué à la formation restreinte la liste des personnes ayant accès au dispositif de géolocalisation, copie des accords de confidentialité signés par celles-ci ainsi que des notes d’information individuelles signées des techniciens ayant un système de géolocalisation dans leurs véhicules professionnels.

La société a par ailleurs été représentée à la séance de la formation restreinte du 24 octobre 2013 par […], M. A, qui y a alors formulé des observations orales.

II. MOTIFS DE LA DÉCISION

1. Sur le manquement à l’obligation de répondre aux demandes de la CNIL L’article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que Les ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .

Aux termes de ces dispositions, la société est tenue de coopérer avec les services de la Commission agissant dans le cadre de ses missions et, à ce titre, de répondre aux demandes dont elle fait l’objet dans le cadre de l’instruction de plaintes.

La Présidente de la Commission a mis la société en demeure de justifier auprès de la CNIL que l’ensemble des demandes formulées dans la mise en demeure a bien été respecté, dans le délai d’un mois. Ces demandes visaient principalement à permettre aux employés de désactiver la fonction de géolocalisation lorsque les véhicules sont utilisés à des fins privées (temps de pause-déjeuner et trajet domicile-travail notamment), à enjoindre à la société de pas collecter ni d’enregistrer la vitesse instantanée et maximale du véhicule, de procéder à l’information des salariés concernés dans les conditions prévues par les textes applicables (finalités du dispositif, données de localisation traitées et durée de conservation des données notamment), ainsi que de prendre des mesures de sécurité adaptées permettant d’assurer la confidentialité des données de géolocalisation (mise en place d’un mot de passe complexe, traçabilité des accès par exemple).

La Commission a adressé de nombreux courriers à la société, que ce soit pour obtenir des éléments de réponse aux plaintes susvisées, à la mise en demeure du 12 novembre 2012, ou encore au rapport du rapporteur. L’envoi de ces courriers (dont pas moins de six courriers de relance) visait à mettre la société en mesure d’établir sa mise en conformité, et à éviter par conséquent que soit initiée une procédure de sanction à son encontre.

La société a soutenu à l’audience n’avoir fait montre d’aucun irrespect envers la Commission, ce dont témoignait précisément sa présence, et qu’elle n’avait pas pu toujours répondre dans les délais lui ayant été impartis du fait qu’il était tributaire de son conseil, auquel il ne pouvait imposer qu’il traite son dossier de façon prioritaire, ne disposant d’aucun moyen de pression en ce sens, notamment du fait de sa taille.

Pour autant, la formation restreinte constate que la société n’a répondu aux courriers de la Commission que de manière ponctuelle, alors que l’intervention de son conseil n’était pas toujours indispensable ; elle n’a pas davantage apporté de réponse à la mise en demeure dans les délais qui lui étaient impartis, et les réponses qu’elle a adressées à la Commission sont toujours demeurées parcellaires.

De ce fait, la formation restreinte considère que la société a persévéré dans son refus de coopération en persistant à ne lui présenter que des informations incomplètes, ne répondant pas à l’ensemble des éléments demandés, pendant plus de deux ans.

La formation restreinte estime, dans ces conditions, que la société n’a pas respecté les termes de la mise en demeure sur ce point.

2. Sur le manquement à l’obligation de respecter les engagements pris lors de l’accomplissement des formalités préalables à la mise en œuvre d’un traitement

Le chapitre IV de la loi n°78-17 du 6 janvier 1978 modifiée prévoit que tout responsable de traitement doit procéder à l’accomplissement de formalités préalablement à la mise en œuvre d’un traitement de données à caractère personnel. L’article 24 de la loi prévoit par ailleurs un mécanisme de simplification des formalités déclaratives en prévoyant que les traitements qui entrent dans le cadre de normes simplifiées publiées par la Commission peuvent faire l’objet d’un engagement de conformité à cette norme.

La Commission a fait usage de cette faculté, le 16 mars 2006, en adoptant une norme simplifiée concernant les traitements automatisés de données à caractère personnel mis en œuvre par les organismes publics ou privés destinés à géolocaliser les véhicules utilisés par leurs employés (délibération n°2006-067 portant adoption de la norme simplifiée n° 51).

La société a effectué un engagement de conformité à cette norme le 9 mai 2011 pour les traitements de géolocalisation qu’elle met en œuvre. Ce faisant, elle s’est engagée à en respecter l’intégralité des termes, y compris son article 6 qui prévoit que les employés concernés doivent être informés individuellement (…) des catégories de données de localisation traitées [et] de la durée de conservation des données de géolocalisation les concernant (…) .

La Présidente de la Commission a mis en demeure la société de respecter ces dispositions, celle-ci n’ayant jusqu’alors pas justifié avoir procédé d’une part à une information individuelle des personnes concernées, d’autre part à une information portant sur l’ensemble des caractéristiques du dispositif détaillés dans la norme.

Sur ce point, la formation restreinte constate que la société s’est partiellement mise en conformité sur ce point postérieurement à la mise en demeure, puisqu’elle a justifié avoir procédé à une information individuelle de ses salariés quant à la mise en œuvre du dispositif.

En revanche, elle constate que la société n’a pas informé ces salariés de l’intégralité des caractéristiques de ce dispositif, en dépit des multiples demandes dont elle a été destinataire à cet effet, la dernière étant en date du 3 mai 2013.

La formation restreinte constate par conséquent que la société n’a pas respecté les termes de la mise en demeure sur ce point.

Sur les manquements constatés et la publicité de la décision

La société X n’a pas respecté l’ensemble des termes de la mise en demeure de la Présidente de la Commission en date du 27 septembre 2012. De ce fait, elle ne s’est pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée, et tout particulièrement les dispositions de l’article 21 qui imposait à la société de coopérer avec la Commission, ce qu’elle n’a pas fait.

La formation restreinte considère par conséquent qu’il y a lieu de prononcer une sanction à son encontre.

En revanche, la société s’est mise en conformité sur plusieurs manquements lui ayant été reprochés dans la mise en demeure ; la formation restreinte décide donc de limiter le montant de la sanction pécuniaire à 3000 euros (trois mille euros).

En outre, en raison du refus manifeste de coopération de la société avec la Commission, la formation restreinte décide de rendre cette décision publique.

PAR CES MOTIFS

Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :

– De prononcer une sanction pécuniaire de 3.000 euros (trois mille euros) à l’encontre de la société X ;

– De rendre publique sa décision.

La Présidente,

Claire DAVAL

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.