Par une décision du 23 décembre 2025, le Conseil d’Etat a réformé la délibération de la formation restreinte en ramenant le montant de la sanction à 15 000 000 d’euros considérant que les traitements en temps réel des indicateurs dits « x « ,  » y  » et  » z  » ne traduisent pas de manquements aux dispositions du f) du 1. de l’article 6 du RGPD.

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Christine MAUGÜÉ et M. Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après  » le RGPD  » ou  » le Règlement « ) ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la saisine n° […] ;

Vu la décision n° 2019-187C du 26 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel mis en œuvre pour la société X (ci-après  » la société  » ou  » X « ) ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 28 janvier 2021 ;

Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, notifié à la société X le 4 avril 2022 ;

Vu les observations écrites versées par la société X le 20 juin 2022 ;

Vu l’audition de la société X en date du 9 novembre 2022 ;

Vu la réponse du rapporteur aux observations de la société, notifiée le 6 décembre 2022 à la société X ;

Vu les observations écrites versées par la société X le 23 mai 2023 ;

Vu la lettre du 22 septembre 2023, adressée par la société X au président de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 14 septembre 2023 :

– M. François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société X :

– […];

– […];

– […];

– […];

– […];

– […];

– […];

– […];

– […];

La société X ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X, société par actions simplifiée immatriculée au registre du commerce et des sociétés le 3 janvier 2000, est située […]. Son chiffre d’affaires s’élevait à 1,135 milliard d’euros en 2021, pour un résultat net de 58,9 millions d’euros.

2. La société X est directement détenue par la société […] située au Luxembourg, elle-même détenue à 100% par la société […], située aux Etats-Unis.

3. La société fournit des services de support logistique dans le cadre de son activité de distribution de colis en France. Elle gère ainsi des centres de distribution de grande taille en France, au sein desquels elle reçoit, stocke les articles et prépare les colis à livrer. En novembre 2019, la société comptait environ 6 200 employés en contrat à durée indéterminée. Pour l’année 2019, elle avait eu recours à 21 582 intérimaires.

4. En novembre 2019, en application de la décision n° 2019-187C de la présidente de la Commission du 26 septembre 2019, plusieurs missions de contrôle sur place ont été menées dans les locaux administratifs occupés par plusieurs entités françaises d’[…] et au sein de la société. Les deux premières missions de contrôle, menées les 5 et 6 novembre 2019, ont permis aux services de la CNIL d’appréhender les traitements de données à caractère personnel mis en œuvre par les entités du groupe […] en France à l’égard de ses salariés. Les trois dernières missions de contrôle des 13, 14 et 19 novembre 2019, réalisées au sein des entrepôts de Lauwin-Planque et de Montélimar, se sont concentrées sur les traitements mis en œuvre par la société X, à savoir, les traitements relatifs au suivi de l’activité des salariés ainsi que les dispositifs de vidéosurveillance mis en œuvre par la société. Ces missions ont donné lieu à l’établissement des procès-verbaux n° 2019-187.1, 2019-187.2, 2019-187.4, 2019-187.5 et 2019-187.6.

5. A la suite des contrôles sur place, une instruction écrite s’est poursuivie et de nombreux échanges ont eu lieu entre les services de la CNIL et la société du mois de novembre 2019 au mois de janvier 2021.

6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 28 janvier 2021, désigné M. François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi du 6 janvier 1978 modifiée  » ou  » la loi Informatique et Libertés « ).

7. À l’issue de son instruction, le rapporteur a, le 4 avril 2022, fait notifier à la société un rapport détaillant les manquements aux articles 5-1-a), 5-1-c), 6, 12, 13 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le Règlement  » ou le  » RGPD « ) qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

8. Le 20 juin 2022, la société a produit ses observations en réponse au rapport de sanction.

9. Le 9 novembre 2022, la société a été entendue à sa demande afin d’apporter des précisions sur les traitements de données mis en œuvre à l’égard de ses salariés. Cette audition a donné lieu à l’établissement d’un procès-verbal sur lequel la société a formulé des commentaires transmis à la Commission et au rapporteur le 14 novembre 2022. La société a également adressé au rapporteur, par courriel du 16 novembre 2022, des réponses aux questions listées dans le procès-verbal d’audition.

10. Le rapporteur a répondu aux observations de la société le 6 décembre 2022.

11. Le 23 mai 2023, la société a produit de nouvelles observations en réponse à celles du rapporteur.

12. Par courrier du 20 juillet 2023, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction.

13. Le 24 juillet 2023, le président de la formation restreinte a adressé à la société une convocation à la séance de la formation restreinte du 14 septembre 2023.

14. Le rapporteur et la société ont présenté des observations orales lors de cette séance.

II. Motifs de la décision

A. Sur le grief tiré de l’irrégularité de la tenue de la séance

15. Lors de l’audience devant la formation restreinte, le président de la formation restreinte a, en application de l’article 13 du règlement intérieur de la CNIL demandé l’audition d’un agent ayant participé aux contrôles. Tous les agents ayant participé aux contrôles ayant quitté les services de la Commission, la parole a été donnée à […], agent ayant participé à une partie des contrôles menés au sein de centres de distribution d’[…] en France.

16. La société fait valoir qu’une irrégularité procédurale résulterait de l’audition d’un agent de la CNIL, interrogé sur des faits qu’il aurait pu observer dans le cadre de la série de contrôles effectuée en novembre 2019 au sein d’entités […] en France, dans la mesure où cet agent n’a pas participé aux contrôles menés au sein de la société X. Celle-ci relève que cet agent n’a participé qu’aux contrôles au sein des locaux administratifs occupés par plusieurs entités françaises d’[…] et dans l’entrepôt d’une autre société du groupe, […].

17. La formation restreinte relève que l’agent entendu, auditeur des systèmes d’information, a indiqué qu’il considérait que les outils et méthodes de suivi de l’activité des salariés au sein d’autres entités françaises d’[…] sont les mêmes qu’au sein de la société X. En outre, l’intervention de l’agent n’a pas apporté d’élément nouveau sur les traitements mis en œuvre dans des entrepôts et la présente décision n’est pas fondée sur un élément indiqué par cet agent.

18. Par suite, le grief tiré de l’irrégularité de la tenue de la séance doit, en tout état de cause, être écarté.

B. Sur la présentation des traitements mis en œuvre à l’aide des scanners et de leurs finalités

1. Sur le traitement d’indicateurs individuels relatifs à la qualité du travail, à la productivité et aux périodes d’inactivité

19. Les salariés travaillant au sein des entrepôts de la société sont chargés, d’une part, de réceptionner et stocker les articles provenant de fournisseurs (inventaire) et, d’autre part, de prélever et d’emballer ces articles, en vue de leur envoi aux clients dans le cadre de l’exécution de leurs commandes. Pour ce faire, ils sont affectés aux postes correspondant à l’activité concernée ( » réception « ,  » rangement « ,  » prélèvement  » et  » emballage « ). Ces postes correspondent en grande partie, selon la terminologie d’[…], à des  » processus directs  » ou  » tâches directes « , c’est-à-dire des tâches sur lesquelles le volume de production peut être mesuré au moyen de scanners dont sont munis les salariés. Les scanners sont de petits boîtiers dotés d’un écran permettant au salarié de s’identifier et de recevoir des consignes, ainsi que d’un lecteur à code-barres permettant de scanner les étiquettes des articles qu’il traite, ou encore des emplacements sur lesquels il range ou prélève les articles. Les salariés peuvent également être affectés à des  » tâches indirectes « , lesquelles ne sont pas ou pas entièrement réalisées au moyen des scanners (par exemple, le transport des bacs vers les zones de prélèvement, la recherche des erreurs de processus, ou la formation des nouveaux employés aux processus de base). Les salariés peuvent être amenés à occuper des postes distincts au cours d’une même journée de travail.

20. Au moyen des scanners, la société collecte en continu des données relatives à l’activité des salariés affectés à des tâches directes : les scans réalisés par chaque salarié permettent ainsi non seulement de suivre la bonne progression de chaque article tout au long des différentes étapes de préparation et de distribution, mais également de mesurer l’activité du salarié, en décomptant le nombre d’unités qu’il traite sur une période donnée, en comptabilisant les périodes de temps durant lesquelles il ne traite aucune unité et en analysant le niveau de qualité avec lequel ces unités sont traitées, au regard de critères détaillés. L’utilisation des scanners permet également de repérer des erreurs, ou des probabilités d’erreur.

21. L’ensemble de ces données d’activité collectées en continu au moyen des scanners sont associées à l’identité du salarié sous la forme d’indicateurs de productivité, de qualité et relatifs aux périodes d’inactivité. Une très grande partie de ces données constituent donc des données à caractère personnel. Ces indicateurs sont accessibles au sein d’outils informatiques de suivi de l’activité. Il résulte des pièces du dossier que le terme d’indicateur vise, dans la terminologie d’[…], différentes formes sous lesquelles les données apparaissent dans les outils : il recouvre ainsi les données brutes collectées et les statistiques qui en sont tirées en continu (selon les cas, horaires, journalières ou semi-journalières, hebdomadaires, par exemple : X produits traités sur la dernière heure ; X erreurs commises sur une demi-journée ; X erreurs commises sur une semaine). Par ailleurs, la société utilise également le terme d’indicateur pour désigner des types d’indicateurs spécifiques, divisés dans les trois catégories décrites ci-après.

22. La société utilise ainsi 43  » indicateurs qualité  » qui correspondent aux  » actions des salariés susceptibles d’engendrer des erreurs de qualité « , telles que la mise en stock d’un article à un autre emplacement que celui préconisé ou le scan trop rapide des articles. Ces indicateurs permettent de signaler des erreurs probables ou avérées du salarié dans le processus d’acheminement des articles.

23. La société produit également des indicateurs relatifs à la productivité de chaque salarié, qu’elle distingue des  » indicateurs qualité  » et qui comprennent notamment le nombre d’articles traités par heure, les derniers scans effectués et leur heure exacte, le type d’article, sa taille et sa quantité.

24. La société traite enfin des indicateurs destinés à contrôler les interruptions des salariés durant leur temps de travail sur les tâches directes. Ainsi, le fait qu’aucune donnée n’est reçue par le scanner durant un certain temps est matérialisé par différents  » indicateurs  » dans les outils. En particulier, l’indicateur  » Inferred time  » (temps inféré d’inactivité d’un scanner), collecté par défaut après dix minutes consécutives d’inactivité d’un scanner, peut correspondre à plusieurs situations, dont l’ » idle time « , qui est une période d’inactivité dépourvue de justification apparente. Un autre indicateur enregistre tout  » temps de latence inférieur à dix minutes à des moments critiques de la journée « , soit en début et fin de session de travail ainsi qu’avant et après les pauses.

25. A noter que si la société désigne l’ensemble des données sous le terme  » d’indicateur « , la formation restreinte distinguera parfois, dans la présente décision, les données brutes et les autres indicateurs, statistiques, qui sont calculées à partir de ces données brutes.

26. Il est précisé que les tâches indirectes ne font quant à elles pas l’objet d’un suivi aussi fin que les tâches directes.

27. La présente décision concerne les traitements ainsi décrits dans l’ensemble des entrepôts de la société où ils sont opérés en France, dès lors qu’il ressort des pièces du dossier qu’il s’agit de traitements définis pour toute la France. En revanche, les traitements de vidéoprotection également mis en cause ne sont relatifs qu’aux entrepôts de Lauwin-Planque et de Montélimar.

2. Sur la périodicité du traitement des indicateurs et leur accessibilité dans les outils

28. La formation restreinte note que, premièrement, les trois catégories d’indicateurs traités par la société (qualité, productivité, périodes d’inactivité) remontent en temps réel, pour chaque salarié, au sein des outils de suivi de l’activité à la disposition des supérieurs hiérarchiques. Ainsi, ces derniers ont accès, notamment et pour chaque salarié qu’ils supervisent, aux dernières erreurs commises, à l’heure de chaque scan effectué, au nombre d’articles traités au cours de la dernière heure, au détail du temps de travail du salarié sur un processus donné et à tout temps d’interruption de son scanner.

29. Deuxièmement, l’ensemble de ces indicateurs relatifs à l’activité de chaque salarié sont conservés dans les outils durant 31 jours et peuvent ainsi être consultés, aussi bien via les données brutes que sous forme de statistiques, par exemple sur une heure ou une demi-journée.

30. Troisièmement et enfin, des rapports de performance hebdomadaire sont établis pour chaque salarié sur la base des indicateurs collectés en continu. Ils contiennent des statistiques hebdomadaires, quotidiennes et horaires relatives au respect des procédures qualité et à la productivité ainsi que les données brutes relatives aux erreurs qualité. Enfin, les idle times, qui n’apparaissent pas dans ces rapports de performance, sont néanmoins comptabilisés chaque semaine et sont parfois à l’origine de l’envoi de courriers de sensibilisation.

31. Les outils de suivi de l’activité identifiés dans le cadre de la procédure sont les suivants :

– […] permet d’accéder aux indicateurs nominatifs de productivité des salariés, y compris le détail de son temps de travail sur un même process. […] permet également de suivre des indicateurs agrégés (productivité globale d’un site par type d’activité). Ces données sont accessibles en temps réel et sur les 31 derniers jours.

– […] est utilisé pour suivre les indicateurs de qualité nominatifs associés à la réalisation des tâches directes par les salariés. Il permet également d’accéder à des indicateurs de qualité agrégés (par catégorie d’erreur ou par poste, par exemple). Ces données sont accessibles en temps réel et sur les 31 derniers jours.

– […] permet de consulter le détail des tâches effectuées par l’employé (y compris ses temps d’inactivité). Ce détail est accessible en temps réel et sur les 31 derniers jours.

– […] est un outil de supervision du travail qui comprend notamment […], […] et […].

– […] fournit pour chaque salarié des statistiques de qualité et de productivité (par semaine, par jour ou par heure) et les données brutes concernant les erreurs qualité.

3. Sur les finalités des traitements d’indicateurs nominatifs

32. La société indique que les traitements d’indicateurs poursuivent des finalités d’assurance qualité et sécurité, de gestion des entrepôts et de leur charge de travail (y compris à des fins de réaffectation des salariés en temps réel), de planification du travail, d’évaluation des salariés, de coaching (ou support) et de formation individuelle ainsi que de gestion des obligations du salarié concernant le respect du temps de travail. Elle précise que les trois catégories d’indicateurs ne sont pas toutes traitées ensemble pour toutes les finalités.

33. Le rapporteur estime que plusieurs des finalités avancées par la société recouvrent des réalités très proches et, en conséquence, les regroupe en deux ensembles, à savoir, d’une part, la gestion des commandes en temps réel et, d’autre part, la planification du travail et l’évaluation des performances au sens large.

34. A cet égard, la formation restreinte note que le premier ensemble de finalités défini par le rapporteur, relatif à la gestion des commandes en temps réel dans l’entrepôt, regroupe les problématiques de gestion de l’inventaire (réception et entreposage) et des commandes (prélèvement, emballage, expédition) dans le respect des exigences de qualité et de sécurité. La société souligne que ces processus impliquent de repérer toute anomalie le plus vite possible, de donner des conseils et fournir un support en temps réel aux salariés (coaching) et parfois de les réaffecter en temps réel. Elle considère que ce regroupement des problématiques liées à la gestion en temps réel de l’inventaire, des commandes et, par extension, des salariés qui les traitent, est pertinent. Elle souligne enfin que si cette finalité a trait à la gestion en temps réel au cours du travail dans les entrepôts, elle s’appuie à la fois sur des données de temps réel, correspondant à la journée de travail en cours, et sur un historique de données passées de 31 jours.

35. La formation restreinte observe que le second ensemble de finalités regroupe l’ensemble des usages des données qui ne s’effectuent pas en temps réel au cours des processus de gestion de l’inventaire et des commandes. Il s’agit de tout ce qui a trait, d’une part, à la planification du travail ex ante, qui consiste notamment à décider des affectations des salariés pour une journée de travail en fonction de leurs performances passées, et, d’autre part, à l’évaluation des performances au sens large, ex post qui comprend le contrôle du temps de travail, l’évaluation hebdomadaire et la formation individuelle des salariés. Elle estime que le regroupement de ce second ensemble de finalités, qui utilisent toutes les données d’évaluation de la performance du salarié pour prendre des décisions qui ne concernent pas la gestion des processus opérationnel en temps réel, est pertinent pour l’examen du dossier. Elle relève en outre que ce second ensemble de finalités, par opposition au premier, repose principalement sur des données passées, hormis s’agissant de la finalité relative au contrôle du temps de travail, qui se fait tant pour le passé que par un accès en temps réel aux indicateurs traités.

36. Partant, la formation restreinte considère qu’il y a lieu de suivre le regroupement de finalités opéré par le rapporteur au sein des deux ensembles identifiés.

C. Sur la qualité de la société à l’égard des traitements en cause

37. Aux termes de l’article 4 (7) du RGPD, le responsable de traitement est défini comme  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

38. Le rapporteur considère que la société X agit en qualité de responsable des traitements en cause, en ce qu’elle détermine les finalités et les moyens des traitements des données de performance de ses salariés au moyen des scanners, de même que des traitements de vidéosurveillance.

39. La société partage l’analyse du rapporteur sur ce point.

40. La formation restreinte souligne que les traitements mis en œuvre par la société à des fins de suivi de l’activité et d’évaluation de la performance de ses salariés sont liés à la gestion des ressources humaines et sont ainsi, pour l’essentiel, réalisés pour le compte de ladite société en tant que bénéficiaire du travail fourni par ses salariés. La formation restreinte relève en outre que si les processus de gestion des salariés (recrutement, licenciement) reposent sur un cadre commun aux entités du groupe […], ceux-ci sont déclinés et opérés au niveau national et dans le respect de chaque législation nationale ; en outre, ceux-ci  » font l’objet d’adaptations locales, décidées en autonomie par la société « . La formation restreinte considère dès lors que la société est autonome dans la gestion individuelle de ses salariés, tout comme elle est libre d’adapter localement les critères élaborés au niveau du groupe pour évaluer la performance des salariés travaillant dans ses entrepôts.

41. S’agissant des traitements de vidéosurveillance mis en œuvre par la société dans ses entrepôts de Lauwin-Planque et de Montélimar, la formation restreinte relève que le guide relatif au cadre juridique pour l’installation de caméras de vidéosurveillance dans les locaux du groupe […], établi pour la zone Europe et contenant des spécifications par pays, prévoit que chaque société du groupe décide, en tenant compte du cadre juridique, de l’installation de ces caméras de surveillance aux fins légitimes qu’elle détermine.

42. Il résulte de ce qui précède que la société X agit en qualité de responsable des traitements des données de suivi de l’activité et d’évaluation de la performance de ses salariés au moyen des scanners, de même que des traitements de vidéosurveillance.

43. Il appartient dès lors à la formation restreinte d’examiner, au regard de cette qualité, les griefs formulés par le rapporteur à l’encontre de la société.

D. Sur la compétence de la CNIL

44. Aux termes de l’article 55.1 du RGPD,  » [c]haque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’État membre dont elle relève « .

45. L’article 4 (23) définit le traitement transfrontalier comme :

 » a) un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’établissements dans plusieurs Etats membres d’un responsable du traitement ou d’un sous-traitant lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs Etats membres ; ou

b) un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’un établissement unique d’un responsable de traitement ou d’un sous-traitant, mais qui affecte sensiblement ou est susceptible d’affecter sensiblement des personnes concernées dans plusieurs Etats membres « .

46. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler les opérations de traitement en cause, lesquelles ne présentent pas de caractère transfrontalier au sens de l’article 4 (23) du RGPD précité.

47. En application de l’article 55.1 du RGPD, la formation restreinte considère que la CNIL est compétente pour engager une procédure de sanction concernant les traitements de données à caractère personnel mis en œuvre par la société relevant du champ du RGPD, sous réserve que ces traitements se rattachent à sa compétence territoriale.

48. A cet égard, la formation restreinte relève tout d’abord que les traitements de données à caractère personnel des salariés sont effectués dans le cadre des activités d’un établissement d’un responsable de traitement sur le territoire de l’UE au sens de l’article 3 du RGPD. En effet, les traitements des données à caractère personnel des salariés sont mis en œuvre dans le cadre des activités de la société X, qui a son siège social en France.

49. Ensuite, la formation restreinte relève que les traitements en cause sont effectués dans le cadre des activités de la société X et qu’ils affectent ou sont susceptibles d’affecter exclusivement les salariés travaillant dans les entrepôts de la société situés en France. Partant, ils ne présentent pas de caractère transfrontalier au sens de l’article 4 (23) du RGPD et la procédure de coopération entre autorités de contrôle prévue au chapitre VII du RGPD n’a donc pas vocation à s’appliquer en l’espèce.

50. Cette analyse n’est pas contestée par la société.

51. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler les opérations de traitements en cause.

E. Sur les manquements relatifs aux traitements des données de suivi de l’activité et d’évaluation de la performance des salariés

1. Sur le cadre juridique applicable

52. En premier lieu, l’article 5. 1. c) du RGPD dispose que les données à caractère personnel doivent être  » adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « . Il résulte de ces dispositions qu’il est illégal de traiter des données personnelles des salariés pour certaines finalités si celles-ci peuvent être atteintes sans y avoir recours.

53. En second lieu, d’une part, aux termes de l’article 6. 1. f) du RGPD,  » le traitement n’est licite que si, et dans la mesure où, au moins l’une des conditions suivantes est remplie : (…) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel […] « .

54. Le considérant 47 du RGPD précise que  » [l]es intérêts légitimes d’un responsable du traitement […] peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. […] En tout état de cause, l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée. […]  »

55. Dans son avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE, adopté le 9 avril 2014, le groupe de travail de l’article 29 (dit  » G29 « , devenu le Comité européen de la protection des données – CEPD) a souligné qu’il convenait de donner une interprétation large aux notions d’ » intérêts  » et de  » droits « , en ce sens que  » tous les intérêts pertinents de la personne concernée devraient être pris en compte « . Le G29 a également précisé que lors de l’évaluation de l’incidence du traitement,  » en plus des conséquences négatives qui peuvent être spécifiquement prévues, il faut aussi tenir compte des répercussions morales, comme l’irritation, la crainte et le désarroi qui peuvent résulter de la perte du contrôle exercé par la personne concernée sur ses informations à caractère personnel, ou de la découverte d’une utilisation abusive […] de ces informations […]. […] Le terme  » incidence « , tel qu’il est employé dans le présent avis, couvre toutes les conséquences possibles (potentielles ou effectives) du traitement de données « .

56. Enfin, le considérant 75 du RGPD apporte des précisions sur les risques pour les droits et libertés des personnes physiques pouvant être induits par certains traitements, dont le degré de gravité et de probabilité varie, et qui peuvent entraîner des dommages physiques, matériels ou un préjudice moral. Parmi ces risques, le considérant évoque en particulier ceux résultant de traitements qui visent des personnes physiques vulnérables et/ou portent sur un volume important de données.

[… passage central omis : décision trop longue pour une cellule …]

118. En défense, la société affirme que la proposition du rapporteur de se fonder sur des statistiques individuelles hebdomadaires de qualité et de productivité rendrait impossible des évaluations fiables des salariés. Elle soutient que l’accès au détail brut des erreurs de qualité et à leur cause serait nécessaire, de même que l’accès à des données de productivité par jour et par heure, afin de permettre au salarié et à son supérieur hiérarchique d’identifier de fines variations et d’échanger sur des bases permettant une évaluation fiable. Dans ses dernières observations, la société précise qu’elle accède également aux indicateurs détaillés des 31 derniers jours à des fins d’évaluation des salariés, mais réaffirme qu’elle ne traite pas l’idle time à cette fin et que les conclusions du rapporteur sur ce point doivent être écartées. S’agissant plus spécifiquement des besoins en formation, la société fait valoir que les indicateurs détaillés des 31 derniers jours sont nécessaires, notamment en ce qu’ils permettent de suivre la courbe d’apprentissage des employés en cours de formation depuis le début et de décider si celle-ci doit ou non se poursuivre. Après avoir effectué des déclarations contradictoires s’agissant du traitement des idle times à des fins de formation, la société a finalement indiqué, lors de la séance devant la formation restreinte, que ces indicateurs n’étaient en principe pas traités dans ce cadre mais pouvaient l’être dans des cas particuliers.

119. La formation restreinte ne remet pas en cause la faculté de procéder à des évaluations individuelles régulières, notamment afin d’identifier d’éventuels axes d’amélioration ou des besoins de formation, en s’appuyant pour ce faire sur des données individuelles. Toutefois, à l’instar du rapporteur, elle considère non nécessaires et, à tout le moins, disproportionnées la conservation et l’utilisation de données aussi fines et riches que les données brutes remontées par les scanners et les données statistiques, y compris sur de courtes périodes (une heure) et sur une profondeur de 31 jours. A cet égard, la formation restreinte relève que la société dispose déjà de statistiques individuelles de qualité et de productivité hebdomadaires permettant d’apprécier, d’une part, la productivité d’un salarié, au moyen de la comptabilisation du nombre total d’articles traités sur la semaine sur les différents processus (avec des sous-distinctions, par type d’article traité par exemple) au regard du temps travaillé et, d’autre part, la qualité de son travail, via des indicateurs présentant une incidence élevée pour un salarié sur une semaine donnée. Quant à l’intérêt allégué par la société de consigner le détail brut de chaque erreur qualité pour en identifier les causes, la formation restreinte note que lors de la séance, la société a confirmé qu’elle procédait déjà à l’établissement de statistiques individuelles hebdomadaires relatives aux causes des erreurs signalées par les scanners. La formation restreinte considère donc que de telles statistiques sont suffisantes pour identifier une éventuelle récurrence dans les causes des erreurs commises par un salarié sur une semaine. Partant, ces données statistiques suffisent pour réaliser une appréciation fiable et objective des performances du salarié sur la semaine. De même, elle considère, à l’instar du rapporteur, que l’identification de besoins en formation peut se fonder sur des données agrégées sur des périodes de temps permettant de fournir un aperçu représentatif du travail du salarié, par exemple sur une semaine, et que l’accès à l’intégralité des données brutes et statistiques, de qualité et de productivité, des 31 derniers jours de chaque salarié n’est donc pas nécessaire. S’agissant de la nécessité invoquée par la société de suivre la courbe de progression d’un salarié, la formation restreinte relève que plusieurs erreurs qualité de même type ou ayant la même cause, commises au cours de la semaine précédente sur un processus par un salarié en cours de formation ou récemment formé sur ce processus, sont suffisantes pour déterminer si la formation doit être poursuivie ou complétée. Elle observe que la société n’a pas précisé la durée moyenne des formations mais considère que, quelle que soit cette durée (quelques heures, jours ou semaines), l’évaluation hebdomadaire est l’occasion d’examiner si la formation pratique a été suffisante. En tout état de cause, la formation restreinte estime qu’une telle quantité de données brutes et d’indicateurs n’est pas nécessaire pour assurer le suivi de la progression d’un salarié durant toute sa période de formation.

120. Enfin, la formation restreinte constate que les idle times sont, de fait, traités à des fins d’évaluation des salariés puisqu’ils sont comptabilisés chaque semaine et sont parfois à l’origine de l’envoi de courriers de sensibilisation. De même, elle estime que compte tenu des explications équivoques fournies par la société lors de la séance devant la formation restreinte au sujet du traitement des idle times à des fins de formation individuelle – la société a indiqué qu’elle ne les traitait pas en principe pour cette finalité mais qu’ils pouvaient l’être pour des cas particuliers – il y a lieu de considérer que ces indicateurs sont bien traités dans ce cadre. Or, tout d’abord, la formation restreinte considère que le traitement de données à caractère personnel strictement nécessaires à des fins d’évaluation et de formation individuelle des salariés constitue un intérêt légitime de la société. Néanmoins, la formation restreinte relève, d’une part, que le traitement des idle times n’est pas nécessaire à ces fins, puisque tant la réalisation d’une évaluation fiable de la performance du salarié que l’identification d’un éventuel besoin de formation du salarié sur un processus mal maîtrisé sont déjà permises par le traitement des indicateurs pertinents de productivité et de qualité agrégés sur la semaine, comme relevé ci-dessus. D’autre part et en tout état de cause, la formation restreinte observe que le traitement des idle times dans ce cadre conduit à recenser informatiquement l’intégralité des temps d’interruption d’un salarié supérieurs à dix minutes sur des tâches directes et à les cumuler sur la semaine, ce qui porte ainsi une atteinte excessive, notamment, au droit à la vie privée et personnelle du salarié ainsi qu’à son droit à des conditions de travail qui respectent sa santé et sa sécurité.

121. Partant, la formation restreinte considère qu’en évaluant ses salariés sur la base de l’intégralité des données brutes et statistiques de productivité et de qualité des 31 derniers jours accédés par les superviseurs ainsi que, s’agissant de la finalité d’évaluation, sur la base des données très fines contenues dans les rapports de performance hebdomadaire, la société a manqué à ses obligations au titre du principe de minimisation de l’article 5. 1. c) du RGPD et, en tout état de cause, porté une atteinte disproportionnée aux droits du salarié contraire à l’article 6 du RGPD. En outre, le traitement des idle times pour ces finalités porte une atteinte disproportionnée aux droits et intérêts des salariés et ne repose donc sur aucune base juridique, en méconnaissance de l’article 6 du RGPD.

3.3. Sur les effets des changements annoncés par la société s’agissant des finalités de planification du travail et d’évaluation des salariés

122. La formation restreinte rappelle que dans ses dernières observations, la société a annoncé la réduction de 31 à 7 jours de la période passée durant laquelle les données de productivité et de qualité des salariés seront accessibles aux superviseurs dans les outils. Au-delà, les données seront agrégées sur la semaine, ainsi que la société l’a précisé lors de la séance. En outre, la société a annoncé l’augmentation à 30 minutes du seuil d’enregistrement de l’inferred time et le report de son apparition dans les outils de deux heures.

123. La formation restreinte rappelle que ces changements, positifs mais annoncés tardivement, ne sont pas encore effectifs au jour de la séance et qu’ils ne remédient en tout état de cause pas aux manquements constitués pour le passé.

4. Sur le caractère disproportionné de la conservation de l’ensemble des données à caractère personnel relatives aux  » tâches directes  » effectuées par les salariés sur 31 jours, au regard de l’ensemble des finalités poursuivies

124. Les indicateurs dont le traitement est examiné dans cette sous-partie sont, pour chaque salarié :

 les données brutes et statistiques de qualité et de productivité des 31 derniers jours ;

 les idle times comptabilisés chaque semaine.

125. Après avoir examiné les différents usages qui sont faits des données à caractère personnel des salariés, la formation restreinte estime opportun, comme l’y invite le rapporteur, de considérer globalement le fait que la société conserve en permanence une masse considérable de données à caractère personnel sur ses employés, pour les différentes finalités mentionnées.

126. La formation restreinte rappelle que la société conserve, pour chaque salarié, l’ensemble des données brutes et des indicateurs correspondant aux tâches directes relevées par les scanners, sur une profondeur de 31 jours. Par ailleurs, toutes les finalités avancées par la société correspondent, abstraitement, à ses intérêts légitimes. Cependant, il résulte de ce qui a été exposé ci-dessus que la formation restreinte estime qu’une telle masse de données, aussi précise et détaillant chaque action (et inaction) des salariés pour les tâches directes effectuées durant 31 jours, n’est pas nécessaire pour atteindre les différentes finalités, qu’il s’agisse de planifier le travail dans les entrepôts ou d’évaluer les performances des salariés. De même, pour la gestion en temps réel des processus de stockage des objets, de gestion de l’inventaire et d’expédition des commandes, il n’apparaît pas nécessaire de conserver une telle masse de données sur les 31 jours précédents pour prendre les décisions permettant la gestion opérationnelle de l’entrepôt et la résolution des éventuelles difficultés.

127. En outre, la conservation d’une telle masse de données sur les salariés des entrepôts présente un caractère particulièrement intrusif. Ainsi que le rapporteur le relève, les outils informatiques de la société permettent la consultation par les supérieurs hiérarchiques de l’intégralité des données d’activité et de performance détaillées collectées et conservées pour chaque, y compris le détail du temps de travail au sein d’un même processus, avec une profondeur de 31 jours.

128. Ensuite, la formation restreinte relève que selon la société, les traitements de données en cause ne concerneraient que l’exécution des tâches directes et les tâches indirectes représenteraient 43 % des tâches effectuées dans les entrepôts. A supposer exact ce chiffre – il ne ressort pas des pièces du dossier -, force est de constater que la société stocke des données relatives à un nombre considérable d’actions effectuées par les salariés des entrepôts durant leurs heures de travail. En outre, la formation restreinte souligne que, sans être de même nature que celui des tâches directes, un suivi des tâches indirectes est également permis au moyen des données remontées des scanners. En particulier, à l’instar du temps passé sur une tâche directe, le temps passé sur une tâche indirecte est comptabilisé dans l’outil de suivi du temps de travail et s’y intègre. Il est ainsi permis au superviseur qui consulte les outils de suivi de l’activité de savoir à quel moment exact et pour quelle durée un salarié a travaillé sur des tâches indirectes.

129. Enfin, la formation restreinte note que ces traitements excèdent les attentes raisonnables des salariés, puisque s’ils peuvent s’attendre à un certain suivi de leurs tâches au quotidien afin d’assurer une gestion fluide de l’entrepôt, ils ne sauraient en revanche s’attendre à voir l’intégralité de leurs actions consignées dans des outils informatiques et consultables dans leurs moindres détails sur une profondeur des 31 derniers jours, que ce soit pour suivre l’inventaire et les commandes, leur temps de travail, décider d’un coaching ou d’une réaffectation, les former ou les évaluer.

130. Au regard de l’ensemble de ces éléments, la formation restreinte considère que la conservation et l’accès à une telle quantité de données par salarié sur les 31 derniers jours constitue une forme de surveillance informatique disproportionnée des salariés, qui apparaît excessive au regard des intérêts économiques et commerciaux poursuivis par la société à travers ces traitements. En effet, la formation restreinte considère que de tels traitements portent une atteinte disproportionnée à la protection de la vie privée et personnelle des salariés ainsi qu’à leur droit à des conditions de travail qui respectent leur santé et leur sécurité.

131. En conclusion, si la formation restreinte ne remet pas en cause, sauf pour trois des indicateurs, la collecte et l’utilisation des données en temps réel pour la gestion quotidienne et opérationnelle des inventaires et des livraisons d’[…], elle considère globalement non nécessaire et disproportionné le fait de conserver l’ensemble de ces données sur 31 jours, dès lors que, selon son analyse précédemment développée, cette conservation ne s’est révélée nécessaire au regard d’aucune des finalités avancées par la société. Ces traitements sont effectués en méconnaissance des articles 5.1.c) et 6 du RGPD, puisqu’ils méconnaissent le principe de minimisation et excèdent ce qu’autorise la poursuite de l’intérêt légitime de la société. La formation restreinte précise qu’elle ne retient pas ici un manquement autonome, mais tire les conclusions générales de l’analyse des traitements finalité par finalité.

5. Sur le manquement à l’obligation d’information des intérimaires

132. Aux termes de l’article 12 du RGPD,  » le responsable de traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible « .

133. L’article 13 du RGPD prévoit également que le responsable de traitement fournit à la personne concernée par le traitement, au moment où les données à caractère personnel sont obtenues auprès d’elle, plusieurs informations listées au même article. Le Règlement ne prescrit pas la forme au moyen de laquelle ces informations doivent être fournies. En pratique, ces informations sont généralement regroupées au sein d’une politique de confidentialité.

134. Le rapporteur relève que, dans le cadre des échanges postérieurs aux contrôles sur place, la société a indiqué à la délégation que sa politique de confidentialité applicable en matière de ressources humaines, était à la disposition des intérimaires sur l’intranet. Le rapporteur considère que les intérimaires n’étaient pas correctement informés des traitements mis en œuvre à leur égard au moyen des scanners puisqu’ils ne se voyaient pas remettre directement ladite politique et qu’ils n’étaient pas non plus invités à en prendre connaissance d’une quelconque manière. Toutefois, il prend acte de ce que, depuis avril 2020, la société s’assure de l’information des intérimaires, en exigeant de la part des agences d’intérim la remise d’une politique additionnelle de confidentialité relative aux indicateurs de performance contre accusé de réception.

135. En défense, la société conteste le manquement. Elle fait notamment valoir que la fourniture de l’information aux intérimaires via l’intranet était suffisante et que la CNIL recommande elle-même le recours à l’intranet comme un moyen de communication valable. En tout état de cause, la société souligne qu’elle documente désormais la communication de l’information aux intérimaires et considère qu’à supposer le manquement établi, la formation restreinte devrait distinguer le montant de l’amende attribué à ce manquement du montant total et le diminuer pour tenir compte des améliorations adoptées.

136. La formation restreinte rappelle que la fourniture aux personnes concernées par le responsable de traitement des informations prévues à l’article 13 du RGPD doit être faite au plus tard au moment où leurs données à caractère personnel sont collectées, sous une forme qui soit accessible. Or, ainsi que l’a relevé le rapporteur, jusqu’en avril 2020, dans un contexte où les intérimaires ne se voyaient pas remettre la politique de confidentialité applicable en matière de ressources humaines et n’étaient pas davantage invités à en prendre connaissance sur l’intranet, cette seule mise à disposition de ce document sur l’intranet de la société ne permettait pas de satisfaire à ces obligations en s’assurant, notamment, que chaque intérimaire avait été mis en mesure de prendre connaissance de ce document préalablement à la collecte de ses données à caractère personnel.

137. La formation restreinte observe que les intérimaires se trouvent dans une situation identique à celle des employés vis-à-vis des traitements mis en œuvre à leur égard au moyen de scanners et doivent en être informés. S’agissant de l’argument selon lequel la CNIL recommanderait elle-même l’intranet comme un moyen de communication valable, la formation restreinte relève que la CNIL recommande que l’information soit faite  » selon les modalités les plus appropriées en fonction de l’organisation et du fonctionnement de l’entreprise « . En l’occurrence, elle considère qu’une information sur l’intranet destinée à des salariés travaillant au quotidien dans des entrepôts et n’ayant pas vocation à travailler dans un bureau sur un ordinateur, sans aucune incitation à s’y rendre, ne constitue pas une modalité d’information satisfaisante.

138. Partant, la formation restreinte considère qu’un manquement aux articles 12 et 13 du RGPD est constitué pour la période antérieure au mois d’avril 2020.

F. Sur les manquements relatifs aux traitements de vidéosurveillance

1. Sur le manquement à l’obligation d’information des personnes

139. Aux termes de l’article 13 du RGPD, le responsable du traitement doit fournir à la personne concernée par le traitement plusieurs informations au plus tard au moment où les données sont obtenues directement auprès d’elles. Parmi ces informations, l’article 13. 1 du RGPD dispose que doivent être fournies  » les coordonnées du délégué à la protection des données « . En outre, en vertu de l’article 13. 2 du RGPD, lorsque cela est nécessaire pour garantir un traitement équitable et transparent, doivent être indiqués  » la durée de conservation des données  » et  » le droit d’introduire une réclamation auprès d’une autorité de contrôle « .

140. Le rapporteur relève qu’à la date des contrôles (en novembre 2019), les panneaux d’information relatifs à la mise en œuvre des dispositifs d