Sanction CNIL pour défaut de formalités, d’information, de sécurité et de coopération

La formation restreinte retient quatre manquements persistants aux obligations résultant de la loi n° 78-17 du 6 janvier 1978. Les traitements de données personnelles, notamment la vidéosurveillance et la biométrie, n’avaient pas fait l’objet des formalités préalables requises. La société n’avait pas non plus informé ses salariés conformément au I de l’article 32, ni assuré la sécurité des données au sens de l’article 34, le logiciel étant accessible sans identifiant ni mot de passe.

La société a également méconnu l’article 21, alinéa 2, en refusant ou en ne réclamant pas plusieurs courriers de la CNIL, puis en ne présentant ni observations écrites ni représentant à l’audience. Ces éléments caractérisent un refus persistant de coopération et l’inexécution de la mise en demeure.

Sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978, la formation restreinte prononce une sanction pécuniaire de 10 000 euros et rend la décision publique. La publicité est justifiée par la nécessité d’informer le public des conséquences d’un refus manifeste de coopération avec la Commission.

⬇️Télécharger la décision version officielle

Un contrôle autorisé avec le concours de la force publique a établi l’absence de déclaration du système de vidéosurveillance, de demande d’autorisation pour un dispositif biométrique, d’information des salariés et de mesures de sécurité suffisantes. La mise en demeure est restée inexécutée, la société n’ayant transmis ni observations ni comparution. La formation restreinte a prononcé une sanction pécuniaire et décidé la publicité de sa décision.

La CNIL a été saisie d’une plainte concernant un dispositif de vidéosurveillance installé dans des magasins de téléphonie exploités par deux sociétés dirigées par le même gérant. Malgré plusieurs demandes d’information, le responsable du traitement n’a pas répondu.

Après un contrôle initial empêché par le responsable des lieux, une ordonnance du juge des libertés et de la détention a autorisé un contrôle avec le concours de la force publique. Les procès-verbaux ont établi l’absence de déclaration du système de vidéosurveillance et de demande d’autorisation pour le dispositif biométrique, ainsi que l’absence d’information des salariés et de mesures de sécurité suffisantes.

Une mise en demeure est restée inexécutée. La société n’a ni adressé d’observations, ni comparu devant la formation restreinte. Celle-ci a prononcé une sanction pécuniaire et décidé la publicité de sa décision.

• Traitements de données personnelles soumis à des formalités préalables.
• Absence de déclaration de la vidéosurveillance.
• Absence d’autorisation préalable du dispositif biométrique.
• Information des salariés non justifiée.
• Mesures de sécurité insuffisantes pour protéger les images.
• Refus répété de répondre et de coopérer avec la CNIL.
• Inexécution de la mise en demeure au jour de l’audience.

• Procès-verbaux de contrôle sur place des 11 et 22 novembre 2012.
• Constat d’absence de déclaration du système de vidéosurveillance.
• Constat d’absence de demande d’autorisation du dispositif biométrique.
• Constat d’accès au logiciel sans identifiant ni mot de passe.
• Courriers recommandés retournés, refusés ou non réclamés.
• Absence d’observations écrites et de comparution à l’audience.

Le responsable du traitement supporte une sanction pécuniaire en raison de manquements persistants et d’un défaut de coopération. La publicité de la décision renforce la portée de la sanction et expose publiquement les conséquences du comportement constaté.

• Sanction pécuniaire de 10 000 euros.
• Publication de la décision.
• Maintien du constat d’inexécution de la mise en demeure.
• Prise en compte défavorable du refus de recevoir les courriers.
• Possibilité d’un recours devant le Conseil d’État dans les deux mois.

À faire

• Déclarer les traitements soumis à formalité préalable.
• Solliciter l’autorisation du dispositif biométrique.
• Informer les salariés sur la vidéosurveillance.
• Protéger l’accès au logiciel par identifiant et mot de passe.
• Répondre aux courriers et demandes de la CNIL.

À éviter

• Mettre en œuvre un traitement sans formalité préalable.
• Utiliser la biométrie sans autorisation requise.
• Laisser les images accessibles sans authentification.
• Refuser ou ne pas réclamer les courriers recommandés.
• S’abstenir de présenter des observations ou de comparaître.

Les formalités préalables des traitements de données

La loi n° 78-17 du 6 janvier 1978 impose les formalités préalables applicables aux traitements automatisés de données personnelles. La société n’avait déclaré ni le système de vidéosurveillance ni sollicité l’autorisation préalable du dispositif biométrique de contrôle d’accès. L’absence de régularisation au jour de l’audience caractérise l’inexécution de la mise en demeure.

Les obligations d’information et de sécurité des données

La société devait informer ses salariés conformément au I de l’article 32 de la loi du 6 janvier 1978. Elle devait également prendre les précautions utiles exigées par l’article 34 pour empêcher l’accès de tiers non autorisés. L’absence d’information établie et l’accès au logiciel de visualisation sans identifiant ni mot de passe ont justifié le constat des manquements.

L’obligation de coopération avec la CNIL

L’article 21, alinéa 2, impose aux utilisateurs de traitements de faciliter l’action de la Commission. Le refus ou la non-réclamation de plusieurs courriers, l’absence d’observations et la non-comparution ont été retenus comme un refus persistant de coopération, malgré la mise en demeure.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 21, alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Article 32, I de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978