Géolocalisation des salariés : sanction CNIL pour défaut de coopération et d’information

L’article 21, alinéa 2, de la loi n° 78-17 du 6 janvier 1978 impose aux responsables de traitements de coopérer avec la CNIL et de répondre aux demandes formulées dans le cadre de ses missions. Des réponses ponctuelles, parcellaires et tardives, malgré plusieurs relances et une mise en demeure, caractérisent un refus de coopération.

L’article 24 de la même loi permet un engagement de conformité à une norme simplifiée. Cet engagement oblige le responsable du traitement à respecter l’intégralité des exigences de la norme retenue. En l’espèce, l’information individuelle des salariés n’était que partielle : les caractéristiques complètes du dispositif de géolocalisation, notamment les catégories de données traitées et leur durée de conservation, n’avaient pas été communiquées.

La formation restreinte a tenu compte de la mise en conformité partielle intervenue après la mise en demeure pour réduire la sanction pécuniaire demandée. Elle a toutefois retenu la persistance des manquements et le refus manifeste de coopération pour prononcer une sanction de 3 000 euros et rendre la décision publique, sur le fondement des articles 45 et suivants de la loi n° 78-17.

⬇️Télécharger la décision version officielle

Le dispositif de géolocalisation de véhicules professionnels servait au contrôle des horaires, collectait la vitesse et ne permettait pas une désactivation suffisante lors des usages privés. Après des réponses incomplètes, une mise en demeure imposait plusieurs corrections. La société n’a fourni qu’une information partielle et annoncé une solution temporaire. La formation restreinte a retenu le défaut de coopération et le non-respect de l’engagement de conformité, puis prononcé une sanction de 3 000 euros.

La CNIL a été saisie de plaintes de salariés concernant un dispositif de géolocalisation installé dans plusieurs véhicules professionnels. Le dispositif était utilisé pour contrôler les horaires, sans possibilité suffisante de désactivation lors des usages privés, avec collecte de la vitesse et une confidentialité jugée insuffisante.

Après plusieurs demandes d’observations et relances, la société n’a fourni que des réponses ponctuelles et incomplètes. Une mise en demeure lui a imposé de permettre la désactivation du dispositif, de cesser certaines collectes, d’informer individuellement les salariés et de renforcer la sécurité des données.

La société a ensuite justifié une information individuelle partielle et annoncé une solution temporaire de désactivation, sans répondre à l’ensemble des demandes. La formation restreinte a retenu un défaut de coopération et le non-respect de l’engagement de conformité à la norme simplifiée applicable. Elle a prononcé une sanction pécuniaire de 3 000 euros et décidé la publication de la décision.

• Existence de demandes de coopération formulées dans le cadre des missions de la CNIL
• Réponses ponctuelles, parcellaires ou tardives du responsable du traitement
• Absence de respect complet d’une mise en demeure dans le délai imparti
• Engagement préalable de conformité à une norme simplifiée
• Information individuelle incomplète sur les caractéristiques du traitement
• Prise en compte de la mise en conformité partielle pour fixer la sanction

• Courriers de la CNIL et au moins six courriers de relance
• Mise en demeure adressée au responsable du traitement
• Réponses écrites demeurées ponctuelles et parcellaires
• Courrier de l’avocat annonçant une solution temporaire de désactivation
• Notes d’information individuelles produites après le rapport
• Liste des personnes autorisées et accords de confidentialité communiqués

Le responsable du traitement est sanctionné pour avoir persisté à répondre de manière incomplète et pour ne pas avoir exécuté intégralement la mise en demeure. La mise en conformité partielle réduit le montant de la sanction, mais ne neutralise ni le manquement à la coopération ni la publicité de la décision.

• Sanction pécuniaire limitée à 3 000 euros
• Publication de la décision de la CNIL
• Maintien de la responsabilité pour coopération insuffisante
• Obligation d’informer complètement les salariés concernés
• Nécessité de documenter chaque réponse aux demandes de la CNIL
• Prise en compte favorable des mesures correctrices effectivement justifiées

À faire

• Répondre intégralement aux demandes de la CNIL
• Respecter le délai fixé par la mise en demeure
• Informer individuellement les salariés concernés
• Détailler les données collectées et leur durée de conservation
• Conserver les justificatifs de mise en conformité

À éviter

• Répondre seulement à certaines demandes
• Laisser les courriers de relance sans réponse
• Présenter une information incomplète aux salariés
• Reporter la mise en conformité après le délai imparti
• Négliger la traçabilité des échanges avec la CNIL

L’obligation de coopération avec la CNIL

L’article 21, alinéa 2, de la loi n° 78-17 du 6 janvier 1978 impose aux responsables de traitements de ne pas s’opposer à l’action de la CNIL et de prendre les mesures utiles pour faciliter sa mission. La formation restreinte a retenu le manquement en raison de réponses ponctuelles, parcellaires et tardives, malgré de nombreuses relances et une mise en demeure restée partiellement inexécutée.

Les obligations liées à l’engagement de conformité

L’article 24 de la loi n° 78-17 permet de recourir à une norme simplifiée au moyen d’un engagement de conformité. Cet engagement porte sur l’intégralité de la norme. La société avait informé individuellement les salariés, mais sans leur communiquer toutes les caractéristiques du dispositif, notamment les catégories de données de localisation traitées et leur durée de conservation.

La prise en compte de la mise en conformité partielle

La formation restreinte a relevé que plusieurs manquements avaient été corrigés après la mise en demeure. Cette mise en conformité partielle a conduit à limiter la sanction pécuniaire à 3 000 euros. Le refus manifeste de coopération a néanmoins justifié le prononcé de la sanction et la publicité de la décision, conformément aux articles 45 et suivants de la loi n° 78-17.

Article 21, alinéa 2, de la loi n° 78-17 du 6 janvier 1978, Article 24 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978