Vidéosurveillance au travail : surveillance permanente, sécurité des images et coopération avec la CNIL

La formation restreinte retient trois manquements à la loi du 6 janvier 1978 modifiée. Sur le fondement de l’article 6-3°, les données doivent être adéquates, pertinentes et non excessives au regard de leur finalité. Un dispositif qui n’enregistre qu’en dehors des horaires de travail peut néanmoins instaurer une surveillance permanente s’il reste activé en visualisation pendant la journée et accessible à distance.

L’article 34 impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. L’utilisation d’un identifiant administrateur et d’un mot de passe de six caractères, non renouvelé, caractérise l’insuffisance de sécurisation au regard des mesures exigées.

L’article 21 impose aux détenteurs ou utilisateurs de traitements de faciliter l’action de la CNIL. L’absence de réponse à sept courriers sur une période d’un an et demi constitue un manquement autonome, non justifié par une réponse ultérieure au rapport de sanction.

La persistance des manquements malgré une mise en demeure et les diligences de la CNIL justifie une sanction pécuniaire de 1 000 euros ainsi que la publicité de la décision. La déclaration du dispositif, effectuée après la mise en demeure, ne suffit pas à établir la mise en conformité des autres obligations.

⬇️Télécharger la décision version officielle

Une caméra installée au-dessus du poste d’une salariée pouvait être consultée en temps réel depuis le téléphone du gérant. La CNIL a également relevé un mot de passe de six caractères et l’absence de preuve de correction des manquements malgré une mise en demeure. La société n’ayant pas répondu aux relances, des manquements relatifs à la proportionnalité, à la sécurité et à la coopération ont été retenus, avec une sanction de 1 000 euros publiée.

Une salariée a saisi la CNIL en dénonçant l’installation, à son insu, d’une caméra au-dessus de son poste de travail dans une société d’étanchéification. Après plusieurs demandes restées sans réponse, un contrôle sur place a révélé que le dispositif pouvait être consulté en temps réel depuis le téléphone du gérant et que l’accès au logiciel reposait sur un identifiant administrateur et un mot de passe de six caractères.

La CNIL a mis en demeure la société de déclarer la caméra, de limiter la surveillance et de renforcer la politique de mots de passe. La société a effectué la déclaration, mais n’a fourni aucune preuve de correction des autres manquements et n’a pas répondu aux courriers de relance.

La formation restreinte a retenu des manquements relatifs à la proportionnalité des données, à leur sécurité et à l’obligation de répondre à la CNIL. Elle a prononcé une sanction de 1 000 euros et rendu la décision publique.

• Finalité de vidéosurveillance et données adéquates, pertinentes et non excessives.
• Absence de surveillance permanente des personnes pendant les horaires de travail.
• Accès aux images protégé contre les tiers non autorisés.
• Politique de mots de passe robuste et renouvelée régulièrement.
• Réponse effective aux demandes et courriers de la CNIL.
• Mise en œuvre réelle des mesures exigées par la mise en demeure.

• Procès-verbal du contrôle sur place du 14 avril 2016.
• Constat d’un accès aux images en temps réel depuis le téléphone du gérant.
• Paramétrages montrant une visualisation active pendant les horaires de travail.
• Constat d’un identifiant administrateur et d’un mot de passe de six caractères.
• Absence de réponse aux sept courriers adressés par la CNIL.

La société demeure sanctionnée malgré la déclaration ultérieure de la caméra, faute d’avoir corrigé la surveillance permanente, la sécurité des accès et son silence envers la CNIL. La décision est rendue publique en raison de la persistance des manquements.

• Sanction pécuniaire de 1 000 euros pour la société.
• Publication de la décision pendant la période prévue.
• Limitation effective de la visualisation aux finalités légitimes.
• Renforcement et renouvellement régulier des mots de passe.
• Réponse documentée à toute demande de la CNIL.

À faire

• Déclarer le dispositif de vidéosurveillance à la CNIL.
• Limiter la visualisation aux finalités et horaires justifiés.
• Bloquer l’accès distant non nécessaire aux images.
• Imposer des mots de passe robustes et renouvelés.
• Répondre et conserver les justificatifs transmis à la CNIL.

À éviter

• Maintenir une caméra active au-dessus d’un poste de travail.
• Confondre absence d’enregistrement et absence de surveillance.
• Utiliser un identifiant administrateur partagé.
• Conserver un mot de passe court et inchangé.
• Laisser sans réponse les courriers de la CNIL.

Le principe de proportionnalité des données de vidéosurveillance

L’article 6-3° de la loi du 6 janvier 1978 modifiée exige des données adéquates, pertinentes et non excessives au regard de leur finalité. La formation restreinte retient une surveillance permanente dès lors que la caméra, bien que paramétrée pour enregistrer hors des horaires de travail, reste activée en visualisation durant la journée et accessible à distance.

La sécurité des accès aux images personnelles

L’article 34 de la loi du 6 janvier 1978 modifiée impose les précautions utiles pour empêcher l’accès de tiers non autorisés. L’accès aux images au moyen d’un identifiant administrateur et d’un mot de passe de six caractères, non renouvelé, ne répond pas aux mesures de sécurité exigées dans la mise en demeure.

L’obligation de coopération avec la CNIL

Selon l’article 21 de la loi du 6 janvier 1978 modifiée, les utilisateurs de traitements doivent prendre toutes mesures utiles pour faciliter l’action de la Commission. L’absence de réponse à sept courriers pendant un an et demi constitue un manquement, malgré les éléments transmis seulement après la notification du rapport de sanction.

Article 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 6-3° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978