Vidéosurveillance dissimulée au travail : la CNIL sanctionne le défaut de loyauté, de minimisation et de notification

La CNIL retient un manquement aux articles 5-1-a) et 5-2 du RGPD : un dispositif de caméras dissimulées ne peut être admis qu’à titre exceptionnel, dans des conditions proportionnées, documentées et généralement temporaires. L’information relative à un dispositif classique ne suffit pas lorsque les salariés ne peuvent raisonnablement percevoir l’existence des nouvelles caméras. Le responsable du traitement doit pouvoir démontrer la conformité du traitement, notamment par son registre, son analyse d’impact et la consultation du délégué à la protection des données.

La captation sonore a également méconnu l’article 5-1-c) du RGPD. La finalité de test des angles de vue pouvait être atteinte par l’image seule ; l’enregistrement de conversations de salariés constituait donc une collecte excessive. Le responsable du traitement demeure responsable du choix du matériel fourni par un prestataire, conformément aux articles 5-2 et 24 du RGPD.

La perte de cartes SD contenant des images et des sons de salariés constituait une violation de données au sens de l’article 4.12 du RGPD. Compte tenu du risque pour les droits et libertés, cette violation devait être notifiée et documentée conformément à l’article 33, paragraphes 1 et 5. L’absence de consultation préalable du délégué à la protection des données a enfin caractérisé un manquement à l’article 38-1, éclairé par les missions prévues à l’article 39-1.

La CNIL a prononcé une amende de 100 000 euros, appréciée au regard de l’article 83 du RGPD, et a ordonné la publicité de la sanction sur le fondement des articles 20 et 22 de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Pour lutter contre des vols, la société a installé durant plusieurs semaines cinq caméras dissimulées dans des détecteurs de fumée, enregistrant des images et des conversations de salariés. Le dispositif n’avait pas été inscrit au registre des traitements ni intégré à l’analyse d’impact, et la déléguée à la protection des données n’en avait pas été informée. Après le démontage, la perte de deux cartes SD n’a pas été immédiatement notifiée ni documentée.

La société SAMARITAINE SAS exploitait un magasin accueillant de nombreux visiteurs et employant environ 640 salariés. Après une recrudescence de vols dans deux réserves, elle a fait installer, durant plusieurs semaines, cinq caméras prenant l’apparence de détecteurs de fumée. Ces appareils ont enregistré des images de salariés ainsi que des conversations, sans que le dispositif soit inscrit au registre des traitements ou dans l’analyse d’impact lors de son installation. La déléguée à la protection des données n’en a été informée qu’après le démontage des caméras par des salariés.

Deux cartes SD contenant les enregistrements ont été conservées par des salariés lors du démontage. La société n’a pas immédiatement notifié ni documenté cette perte auprès de la CNIL. La formation restreinte a retenu des manquements à la loyauté, à la responsabilité, à la minimisation des données, à la notification des violations et à l’association du délégué à la protection des données. Elle a écarté le grief relatif à la durée de conservation, faute de preuve de données personnelles dans les extraits anciens.

• Justifier de circonstances exceptionnelles autorisant des caméras non visibles
• Garantir un dispositif proportionné et généralement temporaire
• Documenter le traitement dans le registre et l’analyse d’impact
• Limiter les données collectées à celles nécessaires à la finalité
• Évaluer et notifier rapidement toute violation présentant un risque
• Associer le délégué à la protection des données en amont

• Procès-verbal du contrôle sur place
• Enregistrements comportant des images et des conversations de salariés
• Cartes SD conservées après le démontage des caméras
• Registre des traitements et analyse d’impact sans mention du dispositif
• Emballage et notice indiquant la présence d’un microphone
• Échanges établissant l’information tardive de la déléguée

La société doit assumer une amende de 100 000 euros et la publicité de la sanction, avec anonymisation de son nom après deux ans. Les responsables de traitements doivent encadrer tout dispositif de surveillance par une analyse préalable, une documentation complète et un contrôle effectif du matériel et des prestataires.

• Amende administrative de 100 000 euros
• Publication de la décision sur les sites de la CNIL et de Légifrance
• Anonymisation du nom de la société après deux ans
• Renforcement de la documentation des dispositifs de vidéosurveillance
• Notification et inscription au registre de toute violation à risque
• Consultation préalable du délégué à la protection des données

À faire

• Identifier toutes les fonctionnalités du matériel installé
• Documenter la finalité, la durée et la proportionnalité
• Mettre à jour le registre et l’analyse d’impact
• Consulter le délégué avant tout déploiement sensible
• Évaluer et notifier rapidement les violations de données

À éviter

• Installer des caméras dissimulées sans justification exceptionnelle
• Capturer le son sans nécessité démontrée
• Se fier uniquement aux informations du prestataire
• Laisser le dispositif absent du registre des traitements
• Attendre un contrôle pour documenter un incident

Les obligations de loyauté et de responsabilité applicables aux caméras dissimulées

La CNIL considère que des caméras non visibles ne peuvent être admises que dans des circonstances exceptionnelles, avec un juste équilibre entre l’objectif poursuivi et la vie privée des salariés. Le dispositif doit notamment être proportionné, généralement temporaire et documenté conformément aux articles 5-1-a) et 5-2 du RGPD. L’information sur un dispositif classique ne suffit pas lorsque les nouvelles caméras prennent l’apparence de détecteurs de fumée.

Le principe de minimisation appliqué à la captation sonore

Selon l’article 5-1-c) du RGPD, les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. La finalité consistant à tester des angles de vue pouvait être atteinte par l’image seule. L’enregistrement de conversations de salariés, dont certaines relevaient de leur vie privée, était donc excessif. Le responsable du traitement demeure responsable du matériel choisi par son prestataire, conformément aux articles 5-2 et 24 du RGPD.

La notification et la documentation des violations de données

La perte de contrôle de cartes SD contenant des images et des sons de salariés constituait une violation au sens de l’article 4.12 du RGPD. Cette violation était susceptible d’engendrer un risque pour les droits et libertés et devait être notifiée à la CNIL dans les meilleurs délais, au plus tard sous 72 heures lorsque les conditions étaient réunies, puis documentée conformément à l’article 33, paragraphes 1 et 5. La connaissance antérieure de la perte rendait le retard injustifié.

Article 4.12 du RGPD, Article 5-1-a) du RGPD, Article 5-1-c) du RGPD, Article 5-1-e) du RGPD, Article 5-2 du RGPD, Article 24 du RGPD, Article 33-1 du RGPD, Article 33-5 du RGPD, Article 38-1 du RGPD, Article 39-1 du RGPD, Article 83 du RGPD, Articles L. 251-1 et suivants du Code de la sécurité intérieure, Articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978