Surveillance des salariés : la CNIL sanctionne la vidéosurveillance continue et le suivi informatique disproportionné

La formation restreinte retient plusieurs manquements au RGPD concernant la surveillance des salariés. La captation continue des images et du son sur les postes de travail et les espaces de pause méconnaît le principe de minimisation prévu à l’article 5, paragraphe 1, c), du RGPD. La collecte permanente des temps d’inactivité, les captures d’écran et le suivi des sites consultés portent une atteinte disproportionnée aux droits des salariés et ne peuvent être fondés sur l’intérêt légitime de l’article 6, paragraphe 1, f), du RGPD, apprécié à la lumière de l’article L. 1121-1 du code du travail.

Le défaut d’information complète des salariés caractérise également des manquements aux articles 12 et 13 du RGPD. Des insuffisances de gestion des droits d’accès méconnaissent l’article 32. Enfin, le logiciel constituait un traitement susceptible d’engendrer un risque élevé pour les droits et libertés, imposant une analyse d’impact préalable au titre de l’article 35 du RGPD.

La CNIL peut engager directement une procédure de sanction sans avertissement ni mise en demeure préalable, sur le fondement de l’article 20 de la loi du 6 janvier 1978. Elle prononce une amende administrative de 40 000 euros, en application des critères de l’article 83 du RGPD, et ordonne une publicité anonymisée de la décision.

⬇️Télécharger la décision version officielle

Une agence immobilière utilisait un logiciel pour mesurer l’activité et la productivité de salariés non cadres, en enregistrant les périodes d’inactivité, des captures d’écran et les sites consultés. Deux caméras filmaient également en continu les salariés, y compris pendant leurs pauses, avec captation du son. La CNIL a relevé des manquements relatifs à la licéité, à l’information, à la sécurité et à l’analyse d’impact, puis prononcé une amende de 40 000 euros.

Une société exerçant une activité d’agence immobilière a déployé un logiciel de suivi de l’activité sur les ordinateurs de salariés non cadres, notamment pour mesurer le temps de travail et la productivité. Le logiciel comptabilisait les périodes d’inactivité, enregistrait régulièrement des captures d’écran et permettait de suivre les sites consultés. Une version silencieuse pouvait fonctionner automatiquement sur les ordinateurs fournis par l’employeur.

La société a également installé deux caméras dans un établissement secondaire pour prévenir les vols. Le dispositif filmait en continu les salariés, y compris pendant leurs pauses, et captait le son. Un contrôle de la CNIL a constaté ces traitements ainsi que des insuffisances relatives à l’information, à la sécurité et à l’analyse d’impact.

La CNIL retient des manquements aux articles 5, 6, 12, 13, 32 et 35 du RGPD. Elle prononce une amende de 40 000 euros et rend publique une décision ne désignant pas la société par son nom.

• Identifier un intérêt légitime réel, déterminé et licite
• Vérifier la nécessité du traitement au regard de la finalité poursuivie
• Mettre en balance les intérêts de l’employeur et les droits des salariés
• Limiter les données collectées à ce qui est strictement nécessaire
• Justifier toute surveillance permanente par des circonstances particulières
• Réaliser une AIPD avant tout traitement susceptible d’engendrer un risque élevé
• Garantir l’information et la sécurité des données traitées

• Procès-verbaux des contrôles réalisés dans les locaux de la société
• Constat de captation continue des images et du son
• Possibilité de consultation en temps réel via une application
• Paramétrage du logiciel avec suivi des périodes d’inactivité
• Fonction de captures régulières des écrans des salariés
• Éléments communiqués par la société lors de l’instruction

La société est sanctionnée pour avoir mis en œuvre des dispositifs de surveillance disproportionnés et insuffisamment encadrés. Les mesures correctrices ultérieures n’effacent pas les manquements passés, mais la publicité de la sanction est anonymisée compte tenu du nombre limité de personnes concernées.

• Amende administrative de 40 000 euros
• Retrait du logiciel et des caméras pris en compte
• Publicité de la décision sans identification nominale
• Constat maintenu des manquements antérieurs à la mise en conformité
• Renforcement nécessaire de l’information des salariés
• Évaluation préalable des risques et des habilitations d’accès

À faire

• Définir précisément chaque finalité de surveillance
• Vérifier la nécessité et la proportionnalité des outils
• Réaliser une AIPD avant tout suivi systématique
• Informer complètement les salariés selon les articles 12 et 13
• Contrôler régulièrement les droits d’accès et habilitations

À éviter

• Filmer continuellement les postes et espaces de pause
• Capturer le son en permanence sans circonstance exceptionnelle
• Enregistrer régulièrement les écrans des salariés
• Mesurer la productivité par les seules périodes d’inactivité
• Déployer un outil intrusif sans analyse d’impact préalable

La base légale de l’intérêt légitime

L’article 6, paragraphe 1, f), du RGPD impose que l’intérêt poursuivi soit légitime, que le traitement soit nécessaire et que les droits et libertés des personnes ne prévalent pas. La formation restreinte admet l’intérêt de mesurer le temps de travail et la productivité, mais écarte cette base lorsque les captures d’écran, le suivi d’activité et les périodes d’inactivité instaurent une surveillance disproportionnée, notamment à l’égard de salariés vulnérables.

La minimisation des dispositifs de surveillance

L’article 5, paragraphe 1, c), du RGPD exige des données adéquates, pertinentes et limitées au nécessaire. La captation continue des images et du son dans les espaces de travail et de pause excède la prévention des vols. En l’absence de circonstance particulière, la surveillance permanente et la captation sonore ne sont ni nécessaires ni proportionnées, même si les caméras sont ultérieurement retirées.

L’analyse d’impact relative aux traitements à risque élevé

L’article 35 du RGPD impose une AIPD lorsque le traitement est susceptible d’engendrer un risque élevé. La collecte systématique opérée par le logiciel, visant des salariés placés dans un lien de subordination, ne relève pas d’un simple contrôle des horaires ou des accès. La société devait donc réaliser l’analyse avant le déploiement du traitement.

Article 40, paragraphe 7, du décret n° 2019-536 du 29 mai 2019, Article 6 de la Convention européenne des droits de l’homme, Article 8, I, 2°, de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 5, paragraphe 1, c), du RGPD, Article 6, paragraphe 1, f), du RGPD, Article 12 du RGPD, Article 13 du RGPD, Article 32 du RGPD, Article 35 du RGPD, Article 83 du RGPD, Article L. 1121-1 du code du travail