Vidéosurveillance des salariés : proportionnalité, information et sécurité des données

La CNIL retient plusieurs manquements persistants malgré une mise en demeure. Sur le fondement de l’article 6, 3° de la loi n° 78-17 du 6 janvier 1978, les données doivent être adéquates, pertinentes et non excessives au regard des finalités poursuivies. La surveillance constante des postes de travail et le filmage des vestiaires, sanitaires et lieux de repos ne sont admissibles qu’en présence de justifications précises et proportionnées. L’exiguïté des locaux et la finalité légitime de sécurité ne suffisent pas à justifier ces atteintes.

L’article 6, 5° impose une durée de conservation limitée à ce qui est nécessaire. La conservation de dossiers professionnels de salariés ayant quitté l’entreprise depuis plus de cinq ans, sans obligation légale ou réglementaire, caractérise un manquement, les difficultés matérielles d’archivage ou de destruction étant inopérantes.

L’article 32 impose une information complète des personnes concernées sur le responsable du traitement, ses finalités, les destinataires et les droits exercés. Des contrats de travail incomplets et des panonceaux insuffisants ne satisfont pas cette obligation.

Enfin, l’article 34 impose des mesures adaptées de sécurité et de confidentialité. L’emploi d’un protocole non sécurisé, de mots de passe insuffisamment robustes et l’accès généralisé aux images, notamment par des tiers non habilités, caractérisent le manquement. En application de l’article 45, la CNIL prononce une sanction pécuniaire de 5 000 euros et rend sa décision publique.

⬇️Télécharger la décision version officielle

Après une mise en conformité partielle, des contrôles ont révélé la persistance de plusieurs manquements relatifs à la vidéosurveillance, à la géolocalisation et à la gestion des ressources humaines : surveillance de postes et lieux de repos, conservation de dossiers d’anciens salariés, information incomplète, accès insuffisamment sécurisé et habilitations maintenues. La formation restreinte a retenu le non-respect de la mise en demeure et prononcé une sanction de 5 000 euros avec publication.

La société X exploite des activités de commerce et de distribution par l’intermédiaire de filiales. À la suite d’une plainte, la CNIL a contrôlé les dispositifs de vidéosurveillance, de géolocalisation des véhicules et les traitements de gestion des ressources humaines.

Après une première mise en demeure, la société a annoncé une mise en conformité partielle. De nouveaux contrôles ont toutefois constaté la persistance de plusieurs manquements : surveillance de postes de travail et de lieux de repos, conservation de dossiers de salariés ayant quitté l’entreprise, information incomplète des salariés, accès insuffisamment sécurisé aux données et aux images, ainsi que maintien d’accès au profit de personnes non habilitées.

La société a présenté des observations écrites et orales, invoquant notamment la sécurité des personnes, l’exiguïté des locaux, ses ressources limitées et les défaillances de prestataires. La formation restreinte a néanmoins retenu le non-respect de la mise en demeure et des obligations légales, puis a prononcé une sanction pécuniaire de 5 000 euros et la publication de la décision.

• Vérifier l’adéquation, la pertinence et la proportionnalité des dispositifs
• Justifier toute surveillance constante par un risque particulier
• Limiter la conservation à la durée nécessaire aux finalités
• Informer précisément les salariés conformément à l’article 32
• Protéger les données par des mesures de sécurité adaptées
• Restreindre l’accès aux images aux seules personnes habilitées
• Exécuter intégralement les mesures prescrites par la mise en demeure

• Procès-verbaux des contrôles des 20 et 21 novembre 2013
• Constat du filmage des vestiaires, sanitaires et lieux de repos
• Constat de la surveillance constante de postes de travail
• Constat de conservation de dossiers professionnels anciens
• Constat des contrats et panonceaux d’information incomplets
• Constat des protocoles, mots de passe et accès non sécurisés

La société demeure responsable de la conformité des traitements déployés dans ses établissements, y compris lorsque les manquements résultent de prestataires ou de contraintes organisationnelles. La persistance des manquements après mise en demeure entraîne une sanction pécuniaire et la publicité de la décision.

• Retirer ou repositionner les caméras visant les zones protégées
• Supprimer les documents conservés sans justification légale
• Compléter l’information fournie aux salariés et aux personnes filmées
• Sécuriser les interfaces et renouveler les mots de passe
• Limiter les accès aux images aux personnes habilitées
• Anticiper le risque de sanction et de publication

À faire

• Cartographier les caméras et leurs champs de vision
• Justifier chaque surveillance constante par un risque particulier
• Définir et appliquer les durées de conservation
• Actualiser les notices d’information des salariés
• Restreindre et sécuriser les accès aux images

À éviter

• Filmer les vestiaires, sanitaires et lieux de repos
• Surveiller en permanence les postes de travail
• Conserver les dossiers sans obligation justificative
• Utiliser un protocole ou des mots de passe faibles
• Attribuer l’accès aux images à des tiers non habilités

La proportionnalité de la vidéosurveillance des salariés

La surveillance constante des postes de travail et le filmage des vestiaires, sanitaires ou lieux de repos ne sont proportionnés que s’ils reposent sur des justifications précises, tenant notamment à une situation ou un risque particulier. La finalité légitime de protection des biens et des personnes, ainsi que l’exiguïté des locaux, ne suffisent pas à justifier une atteinte disproportionnée à la vie privée. La décision applique l’article 6, 3° de la loi n° 78-17 du 6 janvier 1978.

Les obligations d’information des personnes concernées

L’article 32, I de la loi n° 78-17 impose une information portant notamment sur le responsable du traitement, sa finalité, les destinataires et les droits des personnes. Des contrats de travail ne comportant pas systématiquement cette information et des panonceaux incomplets ou insuffisants ne permettent pas de satisfaire à cette obligation. La persistance du manquement après la mise en demeure engage la responsabilité du responsable du traitement.

La sécurité et la confidentialité des données personnelles

L’article 34 de la loi n° 78-17 impose de prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. Un protocole non sécurisé, des mots de passe insuffisamment robustes ou non renouvelés et un accès généralisé aux images caractérisent un manquement. La défaillance d’un prestataire et l’absence de compétence technique interne ne justifient pas l’inaction du responsable du traitement.

Article 6, 3° de la loi n° 78-17 du 6 janvier 1978, Article 6, 5° de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978