La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Bertrand du MARAIS, Mmes Laurence FRANCESCINI et Isabelle LATOURNARIE-WILLEMS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le  » Règlement  » ou  » RGPD « ) ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 modifiée « ), notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2022-160C du 29 septembre 2022, de la présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la Commission  » ou  » la CNIL « ) de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte ;

Vu les procès-verbaux n° 2022-160/1 et 2022-160/2 des 17 et 20 octobre 2022, notifiés à la société […] les 19 et 24 octobre 2022 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 5 mars 2024 ;

Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteur, notifié à la société […] le 31 mai 2024 ;

Vu les observations écrites de la société […] reçues le 16 juillet 2024 ;

Vu la réponse de la rapporteure notifiée à la société […] le 7 août 2024 ;

Vu les observations écrites de la société […] reçues le 23 septembre 2024 ;

Vu la clôture de l’instruction notifiée à la société […] le 11 octobre 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 14 novembre 2024 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 14 novembre 2024 :

– Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;

En qualité de représentants de la société […] :

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […] (ci-après  » la société « ), société par actions simplifiée dont le siège social est situé […], a un établissement secondaire situé […]. La société, qui exerce une activité d’agence immobilière, propose notamment à sa clientèle, majoritairement des acheteurs professionnels, d’identifier les biens immobiliers présentant la plus forte rentabilité.

2. En 2022, la société employait environ […] personnes, majoritairement des alternants. Pour la période du 1er avril 2020 au 31 décembre 2021, la société a réalisé un chiffre d’affaires de […] euros pour un résultat net de […] euros, puis, en 2022, un chiffre d’affaires de […] euros pour un résultat net de […] euros. En 2023, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros.

3. La société a mis en place le logiciel TIME DOCTOR (ci-après  » le logiciel « ) dans le cadre du télétravail de ses employés à compter du mois de septembre 2021, pour le suivi de leur activité, puis l’a désactivé le 17 octobre 2022. Installé sur les ordinateurs utilisés par les salariés non cadres de ses départements  » marketing/communication « ,  » chasse « ,  » gestion locative  » et  » tech « , les données qu’il collectait étaient consultables par les encadrants à travers une application web.

4. Le logiciel était installé sous deux versions, la première, dite  » interactive « , sur les ordinateurs personnels des employés, nécessitant une activation et une désactivation manuelle par ces derniers pendant leur temps de travail et de pause, et la seconde, dite  » silencieuse « , installée sur les ordinateurs fournis par la société, pour laquelle l’activation et la désactivation étaient automatiques lors du démarrage et de l’arrêt des ordinateurs.

5. La société a en outre mis en place au sein de son établissement secondaire, en juillet 2022, un dispositif vidéo composé de deux caméras, afin de prévenir les atteintes aux biens (vols).

6. Les 17 et 20 octobre 2022, une délégation de la CNIL a procédé à un contrôle dans les locaux de l’établissement secondaire de la société. Celui-ci avait pour but de vérifier le respect des dispositions de la loi Informatique et Libertés et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. Les procès-verbaux dressés à l’issue ont été notifiés à la société […] les 19 et 24 octobre 2022.

7. Entre octobre et décembre 2022, la société a fourni les éléments d’information complémentaires sollicités par la délégation lors des missions de contrôle.

II. Motifs de la décision

A. Sur les griefs de la société en lien avec la procédure

1) Sur l’absence de communication des plaintes

8. L’article 40. I. paragraphe 7 du décret n° 2019-536 du 29 mai 2019 énonce que  » lorsque la procédure a pour origine une réclamation ou une plainte, l’identité de son auteur n’est pas communiquée au mis en cause, à moins que cela soit indispensable à la cessation du ou des manquements constatés ou lorsque les éléments de preuve opposés au mis en cause pour l’établissement du ou des manquements allégués ont été fournis par l’auteur de la plainte ou de la réclamation « .

9. La société fait valoir que les plaintes ayant donné lieu au contrôle d’octobre 2022 ne lui ont pas été communiquées, en méconnaissance du principe du contradictoire et de l’article 6 de la convention européenne des droits de l’homme. Elle estime que la communication de ces plaintes lui aurait permis de prendre connaissance des griefs énoncés, de leur contexte et d’exercer ses droits.

10. La formation restreinte relève qu’il résulte des dispositions de l’article 40. I, paragraphe 7 du décret susvisé que lorsqu’une plainte est à l’origine d’une procédure de sanction, l’identité de son auteur n’est pas communiquée au mis en cause, sauf dans les cas explicitement prévus à cet article.

11. La formation restreinte relève qu’en l’espèce, si des plaintes ont été à l’origine des opérations de contrôle de la CNIL, elles n’ont pas pour autant constitué des éléments de preuve sur lesquels repose l’établissement des manquements que la rapporteure a proposé à la formation restreinte de retenir, ceux-ci étant caractérisés au regard des éléments constatés dans les procès-verbaux de contrôle et des éléments communiqués par la société en réponse aux demandes faites par la délégation, comme cela ressort du rapport de sanction et des observations de la rapporteure. Les éléments de preuve opposés à la société pour l’établissement des manquements n’ont ainsi pas été fournis par les auteurs des plaintes. La formation restreinte relève que la communication de l’identité des plaignants n’était pas non plus indispensable à la cessation des manquements relevés.

12. Par conséquent, la formation restreinte considère que le principe du contradictoire et le respect des droits de la défense n’ont pas été méconnus.

2) Sur l’absence de mesure d’avertissement ou de mise en demeure prise à l’encontre de la société

13. La société fait valoir qu’elle a pleinement coopéré avec la CNIL qui aurait dû prononcer à son égard une mesure d’avertissement ou de mise en demeure, afin qu’elle puisse déterminer si les mesures ainsi mises en œuvre lui permettaient de garantir la conformité des traitements.

14. La formation restreinte rappelle que les dispositions de l’article 20, paragraphe IV de la loi Informatique et Libertés prévoient que la décision de saisir la formation restreinte relève des pouvoirs de la présidente de la CNIL, sans qu’une telle décision soit conditionnée au prononcé d’une mise en demeure préalable (CE, 10ème, 26 avril 2022, Optical Center, n° 449284, inédit). En outre, conformément à ce même article, une mesure d’avertissement ne peut être mise en œuvre que pour avertir un organisme que le traitement qu’il envisage est susceptible de méconnaître les textes applicables, à un stade où ce traitement n’est pas encore déployé, ce qui n’était pas le cas en l’espèce.

15. Compte tenu de ce qui précède, la formation restreinte considère qu’il ressort des dispositions de l’article 20 de la loi Informatique et Libertés que l’autorité de contrôle dispose d’un ensemble de mesures correctrices, adaptées selon les caractéristiques propres à chaque cas, qui peuvent être combinées entre elles et être précédées ou non d’une mise en demeure, les mesures correctrices pouvant être prises directement dans tous les cas (en ce sens, CNIL, FR, sanction n°SAN-2021-021 du 28 décembre 2021).

16. Par conséquent, la formation restreinte considère que la CNIL n’a pas méconnu l’étendue de sa compétence en engageant la présente procédure de sanction à l’encontre de la société, sans avertissement ou mise en demeure préalable.

3) Sur le cadre applicable aux manquements

17. Aux termes de l’article 8, 2° de la loi informatique et libertés, la CNIL  » veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France.  »

18. La société soutient que, la CNIL étant chargée de sanctionner un éventuel non-respect de ses obligations vis-à-vis du RGPD ou de la loi Informatique et Libertés, il n’entre pas dans ses compétences d’évaluer d’éventuels manquements au regard d’autres dispositions légales ou réglementaires applicables telles que le code du travail, ainsi qu’à la jurisprudence de la Cour de cassation et du Conseil d’Etat.

19. La formation restreinte rappelle que, en vertu de l’article 8, I, 2° de la loi informatique et libertés, la CNIL est compétente pour sanctionner tous manquements au regard notamment des dispositions du RGPD et de la loi Informatique et Libertés. A cet égard, l’article 16 de ladite loi confie à la formation restreinte la compétence pour sanctionner les responsables de traitement ou les sous-traitants qui ne respectent pas les obligations découlant du RGPD et de cette loi.

20. La formation restreinte relève avoir sanctionné, dans un précédent dossier, des manquements aux dispositions de l’article 6 du RGPD, dès lors que le traitement en cause porte une atteinte disproportionnée aux droits des salariés à la vie privée, à la protection de leurs données personnelles, à des conditions de travail qui respectent leur sécurité, leur santé et leur dignité, et en particulier au droit de ne pas faire l’objet d’une surveillance excessive en application de l’article L. 1121-1 du code du travail (CNIL, Sanction SAN-2023-021 du 27 décembre 2023).

21. En effet, pour se prévaloir de la base légale de l’intérêt légitime, le responsable de traitement doit opérer un contrôle de proportionnalité entre les intérêts poursuivis et l’atteinte portée aux droits et intérêts des personnes dont les données sont traitées ; ce contrôle s’effectue en tenant compte du cadre juridique spécifique applicable au traitement, en l’espèce le droit du travail. Un tel raisonnement, à la lumière des dispositions du code du travail, avait été antérieurement confirmé par le Conseil d’Etat (CE, 15 décembre 2017, 10ème et 9ème Ch. réunies, Société Odeolis, n°403776).

22. La formation restreinte relève qu’en l’espèce, les manquements proposés par la rapporteure sont fondés sur les seules dispositions de l’article 6 du RGPD, à la lumière des dispositions de l’article L. 1121-1 du code du travail qui s’appliquent à la surveillance excessive dont ont fait l’objet les salariés de la société […].

23. La formation restreinte est donc compétente pour examiner le manquement à l’article 6 du RGPD à la lumière de l’article L. 1121-1 du code du travail.

B. Sur les manquements relatifs au dispositif de vidéosurveillance et au logiciel de mesure de l’activité des salariés

1. Sur le cadre applicable

24. En premier lieu, l’article 5, paragraphe 1, c) du RGPD prévoit que  » [l]es données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « . Le considérant 39 du RGPD précise que  » les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens « .

25. En second lieu, aux termes de l’article 6, paragraphe 1, f) du RGPD,  » le traitement n’est licite que si, et dans la mesure où, au moins l’une des conditions suivantes est remplie : […] le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel […] « .

26. Le considérant 47 du RGPD précise que  » [l]es intérêts légitimes d’un responsable du traitement […] peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. […] En tout état de cause, l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée […] « .

27. Ainsi, la base légale de l’intérêt légitime repose sur trois conditions : que l’intérêt poursuivi soit légitime, qu’il soit nécessaire de traiter les données à caractère personnel pour la réalisation de cet intérêt légitime et que le traitement ne heurte pas les droits et libertés fondamentaux des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. L’atteinte portée aux droits et libertés des salariés constitue l’élément essentiel à prendre en compte dans la mise en balance des intérêts, quand bien même il est également tenu compte d’autres éléments tels que la nature des données à caractère personnel en cause, la nature et les modalités du traitement, ainsi que les attentes raisonnables de la personne concernée (CJUE, 11 décembre 2019, Asociatja de Proprietari bloc M5A-ScaraA, aff. C-708/18 du 11 décembre 2019, § 40, § 56 et 58).

28. Enfin, le considérant 75 du RGPD apporte des précisions sur les risques pour les droits et libertés des personnes physiques pouvant être induits par certains traitements, dont le degré de gravité et de probabilité varie, et qui peuvent entraîner des dommages physiques, matériels ou un préjudice moral. Parmi ces risques, le considérant évoque en particulier ceux résultant de traitements qui visent des personnes physiques vulnérables et/ou portent sur un volume important de données.

29. La formation restreinte relève que, compte tenu de la nature des traitements en cause et leurs conditions de mise en œuvre, les fondements juridiques prévus par les dispositions de l’article 6.1 sous a), b), c), d) et e) du RGPD – liés à l’exécution du contrat, au consentement des personnes, au respect d’une obligation légale, à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique et à l’exécution d’une mission d’intérêt public – ne trouvent pas à s’appliquer en l’espèce, de sorte que seule la base légale liée aux intérêts légitimes poursuivis par le responsable de traitement, prévue par les dispositions de l’article 6.1 sous f), peut trouver à s’appliquer.

30. Elle relève que l’intérêt de la société, en tant qu’employeur, à prévenir les atteintes aux biens dans ses locaux, ainsi qu’à mesurer le temps de travail et à évaluer le travail de ses salariés, constitue un intérêt légitime au sens de l’article 6, paragraphe 1, f) du RGPD. Elle considère que cet intérêt est licite, qu’il est déterminé de façon suffisamment claire et précise et qu’il est, enfin, réel et présent pour la société. Néanmoins, la formation restreinte rappelle que, pour être admis comme base légale du traitement, celui-ci ne doit pas porter une atteinte disproportionnée aux droits et libertés des personnes, eu égard aux finalités poursuivies (CNIL, Sanction SAN-2023-021 du 27 décembre 2023).

31. Par ailleurs, aux termes de l’article L. 1121-1 du code du travail :  » Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché « . Les droits et libertés protégés sont, en particulier, le droit à la vie privée et personnelle, la protection des données à caractère personnel, le droit à la protection de son intégrité physique et mentale. Il résulte d’une jurisprudence constante de la Cour de cassation que si l’employeur a le droit de surveiller ses salariés, il doit le faire par des moyens proportionnés aux objectifs poursuivis (Cass. Soc., 23 juin 2021, n° 19-13.856), l’utilisation d’un tel dispositif de surveillance n’étant licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace (Cass. Soc., 19 décembre 2018, n°17-14.631). Cette position est également confirmée par le Conseil d’Etat (CE, 15 décembre 2017, n°403776).

32. Ainsi, c’est à l’aune de ces principes qu’il convient d’apprécier la proportionnalité des dispositifs de vidéosurveillance et du logiciel TIME DOCTOR mis en œuvre pour les finalités recherchées, qui peuvent aboutir à une surveillance permanente disproportionnée des salariés et de leur activité.

2. Sur le manquement en lien avec le dispositif de vidéosurveillance

33. La rapporteure relève que la société a mis en œuvre un dispositif de vidéosurveillance à des fins de prévention des atteintes aux biens (vols) filmant des salariés et captant le son en continu, le dispositif étant visualisable en temps réel à travers une application mobile. La rapporteure considère qu’en l’absence de circonstances particulières le justifiant, un tel dispositif apparaît excessif au regard de sa finalité.

34. En défense, la société affirme, d’une part, que ce dispositif ne permettait pas de capter les conversations de manière intelligible et que la résolution des images ne permettait pas la lecture des informations affichées sur les postes des salariés présents dans le champ des caméras. Elle ajoute que l’accès aux images était restreint à trois associés et un encadrant et que ces captations n’étaient pas conservées. Elle fait valoir, d’autre part, que ce dispositif a été mis en place aux fins de sécuriser les locaux lorsqu’ils étaient vides et non de placer délibérément ses salariés sous surveillance permanente. Elle indique que ce dispositif avait été paramétré en  » mode vie privée  » lors de son installation, déclenchant un cache sur les objectifs des caméras pendant les horaires d’ouverture de l’établissement, mais que ce mode aurait été désactivé par erreur, ce qu’elle aurait constaté lors des opérations de contrôle. Elle affirme avoir immédiatement réactivé ce mode, impliquant une courte période de désactivation de celui-ci. La société indique avoir depuis procédé au retrait des caméras.

35. La formation restreinte rappelle que si l’employeur a un pouvoir de direction à l’égard des salariés qui l’autorise à les contrôler pendant leur temps et sur leur lieu de travail, les dispositifs de contrôle des salariés doivent respecter le RGPD. A cet égard, comme la formation restreinte a déjà eu l’occasion de le souligner, la surveillance des salariés à travers la mise en place d’un système de vidéosurveillance doit être adéquate, pertinente et limitée à ce qui est nécessaire et ne doit pas porter une atteinte excessive au respect de la vie privée des personnes filmées, eu égard aux conditions de mise en œuvre du dispositif concerné au regard de la finalité poursuivie, du nombre de caméras installées, de leur emplacement, de leur orientation, de leurs fonctionnalités, de leur période de fonctionnement et des caractéristiques propres à l’établissement concerné (CNIL, FR, sanction n° SAN-2019-006 du 13 juin 2019, point 33, publiée). Ainsi, une surveillance permanente des salariés ne peut intervenir que dans des circonstances exceptionnelles, lorsque le dispositif est justifié par une situation ou un risque particulier auquel sont exposées les personnes filmées tenant, par exemple, à la nature de la tâche à accomplir (CNIL, FR, 17 juillet 2014, Sanction, n° 2014-307, publiée ; et CNIL, FR, 14 octobre 2014, Sanction, n° 2014-051, publiée).

36. La formation restreinte rappelle qu’il ressort également de la jurisprudence de la Cour de cassation comme de celle du Conseil d’Etat qu’est  » attentatoire à la vie personnelle du salarié, et disproportionné[e] au but allégué par l’employeur de sécurité des personnes et des biens « , la surveillance constante d’un salarié (Cass, soc., 23 juin 2021, n°19-13.856), telle que résultant d’un dispositif de vidéosurveillance les filmant de manière permanente (CE, 18 novembre 2015, Société PS Consulting, n° 371196, Rec.). La Cour de cassation considère également de manière constante que  » le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée  » (Cass. soc., 2 oct. 2001, Société Nikon France, no 99-42.942 ; Cass. soc., 9 sept. 2020, no 18-20.489) « .

37. La formation restreinte relève en outre que, pour être proportionné, un dispositif de vidéosurveillance ne doit pas, en principe, capter le son. La captation du son n’est admissible que dans des circonstances exceptionnelles dont l’employeur doit pouvoir justifier, et doit alors généralement ne pas être mise en œuvre en continu mais seulement lorsqu’un événement particulier se produit, telle une agression.

38. En l’espèce, la formation restreinte relève qu’il ressort des constatations de la délégation de contrôle que le dispositif de vidéosurveillance captait en continu les images en haute définition ainsi que le son d’espaces de travail des salariés, certains de ces espaces constituant également des espaces de repos. Deux caméras filmaient ainsi un ou plusieurs salariés en continu, pendant leur temps de travail comme pendant leur temps de pause. A cet égard, la formation restreinte note que la résolution des images issues de l’application, tel que cela ressort des constatations, était suffisante pour permettre, à tout le moins, d’observer les salariés en train de travailler.

39. En outre, la formation restreinte relève que, quand bien même le dispositif aurait été initialement paramétré par la société pour déclencher des caches sur les objectifs des caméras durant les heures de travail des employés, et qu’il aurait été désactivé par erreur, cette circonstance ne remet pas en cause l’existence du manquement, caractérisé sur la base des faits constatés lors des contrôles. Par ailleurs, si la société justifie avoir retiré son dispositif de vidéosurveillance en juillet 2024, il n’en reste pas moins que la présence de caméras filmant les salariés dans les conditions précitées, sans cache, a été constatée lors des contrôles réalisés en octobre 2022, ainsi que la possibilité de consulter en continu les images et le son à travers une application, ce qui n’est pas contesté par la société. Elle note que l’existence d’un  » mode vie privée  » n’a pas été constatée par la délégation de la CNIL et que la société n’en a pas fait mention lors des opérations de contrôle, mais uniquement en cours d’instruction, en réponse au rapport de sanction, sans préciser d’ailleurs la date à laquelle le  » mode vie privée  » aurait été désactivé par erreur.

40. La formation restreinte relève enfin que la société ne justifie pas d’une situation particulière ou d’un événement justifiant le recours à la captation permanente des images et du son dans le cadre d’un dispositif de vidéosurveillance à des fins de prévention des atteintes aux biens (vols).

41. Par conséquent, la formation restreinte considère que la captation d’images en continu des employés sur leur poste de travail, et pendant leurs temps de pause, ainsi que la captation en permanence du son, en l’absence de circonstances particulières justifiant la mise en œuvre d’un tel dispositif, ne sont ni adéquates, ni pertinentes, ni limitées à ce qui est nécessaire au regard des finalités poursuivies, et apparaissent dès lors excessives au regard de la finalité précitée. Elle considère en outre que si la société a justifié avoir retiré le dispositif de vidéosurveillance, le manquement à l’article 5, paragraphe 1, c) du RGPD est néanmoins constitué pour le passé.

3. Sur le manquement en lien avec le dispositif TIME DOCTOR

42. La rapporteure relève qu’il ressort des indications données par la société lors des opérations de contrôle que le logiciel TIME DOCTOR a été mis en œuvre par cette dernière non seulement à des fins de mesure du temps de travail des salariés, mais également à des fins d’évaluation de leur productivité. Ainsi, d’une part, ce logiciel comptabilisait les temps d’inactivité des salariés à travers leurs mouvements de souris et leur activité sur leurs claviers ( » idle minutes « ). D’autre part, il visait également à mesurer la productivité des salariés en procédant à des captures régulières de leurs écrans d’ordinateur ( » screencast « ) et en comptabilisant leur temps passé sur certains sites web préalablement paramétrés comme productifs ou non par la société. La rapporteure considère que ces traitements sont mis en œuvre de manière disproportionnée eu égard aux finalités poursuivies, de sorte qu’ils ne pouvaient reposer sur la base légale de l’intérêt légitime, en méconnaissance des dispositions de l’article 6 du RGPD.

43. En défense, la société fait valoir que le dispositif TIME DOCTOR n’outrepassait pas les attentes raisonnables des salariés, dès lors qu’ils étaient oralement informés du fonctionnement du logiciel et qu’ils disposaient de la faculté d’en refuser l’utilisation sans conséquence négative. La société indique que peu d’ordinateurs auraient été configurés avec la version  » silencieuse  » du logiciel, et que les salariés pouvaient aisément justifier, sur simple déclaration, leur temps de travail effectivement réalisé. La société soutient en outre que les données collectées par ce dispositif constituaient un simple indice pour la mesure du temps de travail des salariés, et n’étaient pas utilisées à des fins de surveillance permanente de ces derniers. Par ailleurs, s’il n’est pas contesté que le logiciel permettait le recours à la fonction  » screencast  » permettant d’effectuer des captures d’écran des ordinateurs des salariés, la société soutient que ces captures d’écran n’étaient pas consultées par les encadrants et que la liste de sites web consultés n’était pas utilisée pour évaluer la productivité des salariés. Elle indique enfin avoir entrepris la suppression des captures d’écran enregistrées dès les opérations de contrôle, n’avoir utilisé le logiciel que sur une période d’un an et deux mois, et l’avoir désinstallé ensuite. Elle ajoute procéder désormais à la  » mesure de la performance  » de ses salariés avec d’autres outils.

3.1. Sur la finalité de mesure du temps de travail

[… passage central omis : décision trop longue pour une cellule …]

89. Ainsi, la formation restreinte considère que les traitements mis en œuvre via ce logiciel – et les options activées – excèdent la seule  » gestion du personnel  » et procèdent à une surveillance systématique des salariés. Elle rappelle qu’à la lumière des lignes directrices du groupe de travail  » article 29  » concernant l’AIPD et la manière de déterminer si le traitement est  » susceptible d’engendrer un risque élevé « , adoptées le 4 octobre 2017, la notion de personne vulnérable fait référence à un déséquilibre des pouvoirs qui existe entre les personnes concernées et le responsable du traitement, ce qui signifie que les premières peuvent se trouver dans l’incapacité de s’opposer aisément au traitement de leurs données ou d’exercer leurs droits. Les employés peuvent être dans ce cas. Or, la formation restreinte relève que les traitements effectués à travers le logiciel TIME DOCTOR portaient sur des salariés de la société qui entrent dans ce cas de figure visé par les lignes directrices du groupe de travail sus cité. Elle souligne que 60 % de ceux-ci étaient des alternants, dépendants de surcroît de leur employeur pour la validation de leur diplôme.

90. La formation restreinte estime que, dès lors qu’ils ne mettent pas en œuvre un simple contrôle des horaires ou des accès à l’instar d’une badgeuse (pouvant être électronique), les traitements opérés par le logiciel n’entrent pas dans le champ des types d’opération de traitement pour lesquels une AIPD n’est pas requise, listés dans la délibération n°2019-118 de la CNIL. Au contraire, la formation restreinte considère que les traitements opérés à travers le logiciel TIME DOCTOR, étaient susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Ils conduisaient à opérer une collecte de données à caractère personnel permettant une surveillance systématique des salariés, personnes vulnérables. La formation restreinte estime que ces traitements entrent dans le champ des types d’opération pour lesquels une AIPD doit être préalablement établie, listés par la CNIL dans sa délibération n° 2018-327.

91. Au regard de l’ensemble de ce qui précède, la formation restreinte considère que les traitements mis en œuvre via le logiciel TIME DOCTOR aux fins de contrôle du temps de travail et de la productivité des salariés, conduisaient la société à réaliser des traitements susceptibles d’engendrer un risque élevé pour les droits et libertés de ses salariés, au sens de l’article 35 du RGPD.

92. Par conséquent, en ne réalisant pas une AIPD préalablement à la mise en œuvre de ce traitement, la société a commis un manquement à l’article 35 du RGPD.

III. Sur les mesures correctrices

93. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que :  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 « .

94. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit quant à lui que :  » Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives « , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

A. Sur le prononcé d’une amende administrative et son montant

1. Sur le prononcé d’une amende administrative

95. En défense, la société fait valoir que l’utilisation du logiciel, faite dans l’urgence et dans une période de désorganisation de la société, aurait été partielle, limitée dans le temps et sans conséquence négative pour les salariés. Elle indique que « les traitements [et les manquements associés], limités dans le temps et partiels, n’ont pas fait échec au droit à la protection des données personnelles des salariés, ni à la possibilité d’exercer leurs droits « , compte tenu des informations dont ils disposaient dans le règlement intérieur et leurs contrats de travail. La société soutient que tant le dispositif de vidéosurveillance que le dispositif TIME DOCTOR avaient été mis en place uniquement pour la gestion et l’encadrement des salariés en période de crise, eu égard aux contraintes du télétravail, et que les traitements effectués à travers ces dispositifs étaient  » secondaires à son activité « . Elle soutient en outre que doit être prise en considération sa réactivité, dès les opérations de contrôle, pour se mettre en conformité avec les dispositions du RGPD, ainsi que sa coopération avec les services de la CNIL. Enfin, elle considère que  » l’absence de mise en demeure préalable doit conduire à reconsidérer le montant de l’amende administrative prévu […] « .

96. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.

97. En outre, la formation restreinte rappelle que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C-683/21).

98. La formation restreinte considère qu’en l’espèce, les manquements commis par la société révèlent, pour certains, une intentionnalité, et pour d’autres une négligence de sa part.

99. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu’elles ont subi.

100. La formation restreinte relève que la société a manqué à plusieurs principes fondamentaux du RGPD, visant à garantir la licéité des traitements mis en œuvre, leur transparence à l’égard des personnes concernées, ainsi qu’à sécuriser les données à caractère personnel traitées. Elle considère que les manquements constatés sont particulièrement graves au vu de l’atteinte portée aux droits et libertés fondamentaux des salariés.

101. S’agissant du caractère disproportionné des dispositifs mis en œuvre par la société eu égard aux finalités poursuivies, la formation restreinte considère, d’une part, que la captation permanente des images et du son sur les lieux de travail et de pause des salariés, ne répondait pas aux exigences de minimisation des données et, d’autre part, que les traitements effectués à travers le logiciel TIME DOCTOR relatifs au contrôle de l’activité des salariés, comptabilisant constamment les  » idle minutes  » et prenant des captures d’écran à intervalles réguliers et rapprochés, s’apparentaient à une surveillance permanente des employés. La formation restreinte considère qu’eu égard aux finalités de mesure du temps de travail et de la productivité des salariés, ces traitements disproportionnés ne pouvaient être fondés sur la base de l’intérêt légitime, de sorte que la société ne disposait pas d’une base légale valable en méconnaissance de l’article 6 du RGPD. Cette surveillance est aggravée lorsque le logiciel est installé sous sa version  » silencieuse « , sans possibilité de le désactiver. Ces traitements concernaient de surcroît des employés, personnes vulnérables, dont 60 % étaient des alternants particulièrement dépendants de leur employeur pour la validation de leur diplôme.

102. S’agissant du manquement à l’information et à la transparence, les salariés qui ne disposaient pas d’une information complète relative aux traitements de leurs données à caractère personnel par le logiciel TIME DOCTOR, en méconnaissance des exigences des articles 12 et 13 du RGPD. De même, l’affichage relatif au système de vidéosurveillance mis en place ne comportait pas les informations requises, ni ne renvoyait à un autre document les contenant.

103. S’agissant du manquement relatif à la sécurité des données, la formation restreinte souligne qu’il met en lumière des défaillances dans la gestion des droits d’accès et des habilitations, qui constituent pourtant des sujets élémentaires de la sécurité des systèmes d’information.

104. S’agissant enfin du manquement à l’obligation de réaliser une AIPD, la formation restreinte considère qu’au regard de la vulnérabilité des personnes concernées du fait du lien de subordination avec le responsable de traitement, ainsi que de la surveillance systématique mise en place, la réalisation d’une AIPD aurait permis à la société de constater que les traitements effectués à travers le logiciel TIME DOCTOR étaient susceptibles de présenter un risque élevé pour les droits et libertés des salariés, et lui aurait permis de renoncer à leur mise en œuvre, a minima selon les modalités contrôlées par la CNIL.

105. En deuxième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa b) relatif à l’intentionnalité ou non des manquements commis.

106. La formation restreinte considère que, s’agissant du logiciel TIME DOCTOR, en activant sciemment et en amont l’option  » time out « , ayant permis la collecte des données à caractère personnels de ses salariés à travers le décompte de leurs  » idle minutes  » aux fins de mesure du temps de travail, ainsi que l’option  » screencast  » aux fins de mesure de la productivité des salariés, ayant permis la collecte des données correspondantes selon des modalités de durée et de récurrence qu’elle a volontairement et préalablement paramétrées, la société révèle une intentionnalité dans le manquement qu’elle a commis.

107. En outre, la mise sous surveillance permanente des salariés, effectuée à travers le dispositif de vidéosurveillance, particulièrement intrusive et attentatoire à leur vie privée, révèle, à tout le moins, une négligence de la part de la société.

108. Par ailleurs, la formation restreinte reconnait que la société n’a pas délibérément commis le manquement à l’information des personnes concernées, à la sécurité des données, ainsi qu’à son obligation de réaliser une AIPD. La formation restreinte considère néanmoins que ces manquements résultent de sa propre négligence, aggravée d’une part par le fait que des mesures de sécurité élémentaires auraient permis de sécuriser le compte administrateur du logiciel, qui donnait accès à des données dont les traitements portaient atteinte à la vie privée des salariés, et d’autre part par l’intentionnalité de la société dans le placement sous surveillance permanente des salariés à travers le logiciel TIME DOCTOR, lequel était susceptible de présenter un risque élevé pour les droits et libertés de ces derniers.

109. En troisième lieu, la formation restreinte souligne la réactivité de la société qui a désinstallé le logiciel TIME DOCTOR dès la suite des opérations de contrôle. La formation restreinte relève néanmoins que la société, qui met en avant la suppression des caméras de vidéosurveillance, ne justifie leur désinstallation qu’à compter de juillet 2024, soit un an et neuf mois après les contrôles. De même, la société justifie avoir communiqué une notice d’information complète au titre des articles 12 et 13 du RGPD à ses salariés également en juillet 2024. En tout état de cause, les manquements sont constitués pour les faits passés et constatés.

110. En quatrième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa f) relatif au degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs, la société ayant promptement communiqué les éléments sollicités par la délégation de contrôle de la CNIL.

111. En conséquence, au vu de l’ensemble de ce qui précède, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre des manquements en cause.

2. Sur le montant de l’amende administrative

112. En défense, la société soutient que le montant de l’amende serait disproportionné compte tenu de sa taille limitée, du fait que les traitements en cause n’ont entraîné selon elle aucun avantage économique et du fait que les résultats financiers pris en considération ne reflèteraient pas sa situation financière réelle.

113. La formation restreinte relève d’abord que les manquements relatifs aux articles 5, paragraphe 1, c), 6, 12, 13 et 32 du RGPD sont des manquements à des principes clés du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu. Elle rappelle que les amendes administratives doivent être dissuasives et proportionnées.

114. La formation restreinte rappelle que l’article 83 du RGPD pour déterminer le montant de l’amende, fait référence à un montant (jusqu’à 20 000 000 d’euros) ou, dans le cas d’une entreprise, à un pourcentage du chiffre d’affaires annuel (jusqu’à 4%). Si l’avantage économique qu’a pu retirer un responsable de traitement de la mise en œuvre des traitements ayant entraîné le manquement peut être pris en considération dans la détermination du montant de l’amende, il n’en constitue pas pour autant une condition.

115. En outre, la formation restreinte relève que dans le cadre de la prise en compte de l’activité de la société et de sa situation financière pour la détermination de l’amende, la société ne communique aucun élément qui démontrerait une baisse de son chiffre d’affaires ou de son résultat net, mais qu’au contraire, ceux-ci sont en augmentation entre l’exercice de 2020-2021 et l’exercice de 2022. A cet égard, la société […] a réalisé, pour la période du 1er avril 2020 au 31 décembre 2021, un chiffre d’affaires net de […] euros, pour un résultat net de […] euros et, pour l’année 2022, un chiffre d’affaires de […] euros pour un résultat net de […] euros. En 2023, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros. Selon les informations fournies par la société, celle-ci a indiqué un chiffre d’affaires prévisionnel pour 2024 de l’ordre de […] euros avec un résultat net déficitaire de plus de […] euros.

116. Dès lors, au regard de la responsabilité de la société […], de ses capacités financières et des critères pertinents de l’article 83 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant de […] euros, au regard des manquements constitués aux articles 5, paragraphe 1 c), 6, 12, 13, 32 et 35 du RGPD, apparaît justifiée.

B. Sur la publicité de la sanction

117. En défense, la société soutient que la publicité de la sanction n’est pas justifiée. Elle considère notamment que cette publicité ne serait pas opportune dès lors que les dispositifs en cause ont été désactivés, que les salariés ont fait l’objet d’une information exhaustive sur les traitements dont ils font l’objet et les droits qu’ils peuvent exercer, et qu’elle a spontanément collaboré avec la CNIL et déployé des mesures de mise en conformité. La société fait en outre valoir le nombre limité des personnes concernées, sa  » situation […] sur le marché [qui] ne justifie pas une publicité qui pourrait avoir des effets pédagogiques ou illustratifs « , ainsi que le fait qu’elle n’aurait retiré aucun bénéfice, ni tout autre avantage, de la mise en œuvre des dispositifs en cause, de sorte que la publicité présenterait pour elle des effets disproportionnés.

118. La formation restreinte considère que ni le caractère passé des manquements, ni les mesures de mise en conformité prises par la société, fussent-elles rapides, ne remettent en cause le caractère justifié d’une publicité de la décision au regard de la gravité des manquements et du fait qu’ils portent sur la surveillance de salariés. Une telle publicité permet d’informer toute personne susceptible d’être soumise à la mesure de son temps de travail et au contrôle de sa productivité à travers de tels logiciels. De même, cette publicité permet d’informer toute personne soumise à la mise en œuvre d’un dispositif de vidéosurveillance sur son lieu de travail des droits dont elle dispose. Néanmoins, la formation restreinte considère que, compte tenu du nombre limité des personnes concernées eu égard à la taille réduite de la société, laquelle a de surcroît indiqué en cours d’instruction avoir, depuis les opérations de contrôle, réduit sa masse salariale, et du retrait immédiat du logiciel par cette dernière lors de ces contrôles, une publicité de la décision sans que la société y soit nommément identifiée, est suffisante à cette fin.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

• prononcer à l’encontre de la société […] une amende administrative d’un montant de quarante mille euros (40 000 €) pour manquements aux articles 5, paragraphe 1 c), 6, 12, 13, 32 et 35 du RGPD ;

• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui n’identifiera pas nommément la société dès la publication.

Le président

Philippe-Pierre CABOURDIN

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.