Protection des données des salariés : la CNIL sanctionne la surveillance disproportionnée par scanners

La formation restreinte retient que la société est responsable des traitements au sens de l’article 4, paragraphe 7, du RGPD, dès lors qu’elle détermine localement les finalités et les moyens du suivi de l’activité et de l’évaluation des salariés. La CNIL se reconnaît compétente sur le fondement de l’article 55, paragraphe 1, du RGPD, les traitements étant rattachés à un établissement français et ne présentant pas de caractère transfrontalier au sens de l’article 4, paragraphe 23.

La conservation et l’accès, pendant trente et un jours, aux données brutes et indicateurs détaillés de productivité, de qualité et d’inactivité méconnaissent le principe de minimisation de l’article 5, paragraphe 1, c), du RGPD. Les statistiques individuelles hebdomadaires suffisent à apprécier les performances et les besoins de formation. Le traitement des temps d’inactivité n’est pas nécessaire et porte une atteinte disproportionnée à la vie privée et aux conditions de travail, de sorte qu’il ne peut être fondé sur l’article 6, paragraphe 1, f).

La simple mise à disposition d’une politique de confidentialité sur l’intranet ne satisfait pas aux articles 12 et 13 du RGPD lorsque les intérimaires ne sont pas effectivement invités à en prendre connaissance avant la collecte. Les modifications annoncées par la société, non encore effectives, ne remédient pas aux manquements passés.

⬇️Télécharger la décision version officielle

Une société logistique suivait au moyen de scanners les opérations et la productivité des salariés et intérimaires, avec conservation des données pendant trente et un jours. La CNIL a examiné la licéité, la proportionnalité et l’information des personnes. Elle a constaté que les intérimaires n’étaient pas directement informés de la politique de confidentialité avant avril 2020.

Une société exploitant des centres logistiques employait des salariés permanents et des intérimaires. Elle utilisait des scanners pour suivre en continu les opérations de réception, rangement, prélèvement et emballage, en associant à chaque salarié des données de productivité, de qualité et d’inactivité.

Ces données, accessibles en temps réel aux supérieurs hiérarchiques et conservées pendant trente et un jours, servaient notamment à gérer les commandes, planifier le travail, évaluer les performances, organiser la formation et contrôler le temps de travail. Les temps d’inactivité pouvaient également donner lieu à des actions de sensibilisation.

À la suite de contrôles réalisés dans plusieurs entrepôts, la CNIL a examiné la responsabilité de la société, la licéité et la proportionnalité des traitements ainsi que l’information des intérimaires. Elle a constaté que ces derniers n’étaient pas directement informés de la politique de confidentialité avant avril 2020, celle-ci étant seulement disponible sur l’intranet sans incitation à la consulter.

• Déterminer précisément les finalités poursuivies par chaque traitement
• Vérifier que les données collectées sont nécessaires à ces finalités
• Privilégier des statistiques agrégées sur une période représentative
• Écarter les données brutes lorsqu’elles n’apportent aucune utilité supplémentaire
• Évaluer l’atteinte portée à la vie privée et aux conditions de travail
• Informer les personnes concernées avant ou au moment de la collecte

• Procès-verbaux des contrôles sur place réalisés dans les entrepôts
• Données brutes et indicateurs issus des scanners
• Accès des superviseurs aux données en temps réel et sur trente et un jours
• Rapports individuels hebdomadaires de qualité et de productivité
• Déclarations de la société sur le traitement des temps d’inactivité
• Politique de confidentialité seulement disponible sur l’intranet

La société doit limiter la profondeur d’accès et la granularité des données utilisées pour la gestion et l’évaluation des salariés. Les salariés et intérimaires bénéficient d’une réduction de la surveillance détaillée et d’une information plus directement accessible.

• Réduire la conservation des données détaillées
• Utiliser des statistiques hebdomadaires pour l’évaluation
• Exclure les temps d’inactivité non nécessaires
• Documenter la remise de l’information aux intérimaires
• Réexaminer les outils accessibles aux superviseurs

À faire

• Identifier chaque finalité du traitement
• Limiter les données aux éléments nécessaires
• Privilégier les statistiques hebdomadaires agrégées
• Informer directement les intérimaires avant la collecte
• Documenter les modalités d’information et les accès

À éviter

• Conserver trente et un jours de données détaillées sans justification
• Évaluer les salariés à partir des temps d’inactivité
• Donner un accès permanent aux données brutes
• Se limiter à une politique disponible sur l’intranet
• Présenter des changements futurs comme remédiant au passé

Le principe de minimisation des données appliqué au suivi des salariés

La conservation et l’utilisation de données brutes et statistiques très détaillées, accessibles sur trente et un jours, excèdent ce qui est nécessaire au regard des finalités poursuivies. Des statistiques individuelles hebdomadaires permettent déjà une évaluation fiable de la productivité, de la qualité et des besoins de formation. Le traitement méconnaît l’article 5, paragraphe 1, c), du RGPD.

La base légale des indicateurs d’inactivité des salariés

Le traitement des temps d’inactivité ne constitue pas une mesure nécessaire à l’évaluation ou à la formation, ces finalités pouvant être atteintes par des indicateurs agrégés de qualité et de productivité. Le cumul des interruptions supérieures à dix minutes porte en outre une atteinte excessive à la vie privée et aux conditions de travail. Il ne repose donc pas sur l’intérêt légitime prévu à l’article 6, paragraphe 1, f), du RGPD.

L’information préalable des intérimaires sur les traitements

La mise à disposition d’une politique de confidentialité sur l’intranet ne suffit pas lorsque les intérimaires travaillant en entrepôt ne sont pas invités à la consulter. L’information exigée par les articles 12 et 13 du RGPD doit être accessible au plus tard lors de la collecte et permettre concrètement aux personnes concernées d’en prendre connaissance.

Article 4, paragraphe 7, du RGPD, Article 4, paragraphe 23, du RGPD, Article 3 du RGPD, Article 5, paragraphe 1, c), du RGPD, Article 6, paragraphe 1, f), du RGPD, Article 12 du RGPD, Article 13 du RGPD, Article 13, paragraphe 1, du RGPD, Article 13, paragraphe 2, du RGPD, Article 55, paragraphe 1, du RGPD, Article 22 de la loi n° 78-17 du 6 janvier 1978, Articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978