Surveillance constante des salariés : contrôle de proportionnalité et sécurité des données au regard du RGPD

La CNIL retient trois manquements au RGPD. D’abord, l’article 5, paragraphe 1, point c), impose que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire. La vidéosurveillance filmant en continu les postes de travail de salariés n’était justifiée par aucune circonstance exceptionnelle, aucun vol ou dégradation n’étant établi et des mesures alternatives n’ayant pas été envisagées. Le manquement est constitué malgré le retrait tardif de la caméra.

Ensuite, les articles 12 et 13 imposent une information claire, accessible et complète des personnes concernées, notamment sur le responsable du traitement, les finalités, les destinataires, la conservation et les droits. L’information fournie n’était pas conforme dans le délai de mise en demeure.

Enfin, l’article 32 exige des mesures techniques et organisationnelles adaptées au risque. L’absence d’authentification individuelle, l’utilisation d’identifiants partagés et l’absence de traçabilité de la messagerie caractérisaient une insuffisance de sécurité. La mise en place ultérieure de mots de passe individuels n’a pas effacé le manquement antérieur, tandis que l’absence de journalisation justifiait le maintien de l’injonction.

Sur le fondement de l’article 20-III de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la CNIL prononce une amende de 20 000 euros et une publication pendant un an. Une injonction, assortie d’une astreinte de 200 euros par jour, impose l’authentification individuelle et la journalisation des accès à la messagerie.

⬇️Télécharger la décision version officielle

Une caméra filmait en continu plusieurs postes de travail et une armoire contenant des documents professionnels, sans nécessité démontrée par des vols ou dégradations. Les salariés n’avaient pas reçu une information complète et les images étaient conservées trop longtemps. Les postes informatiques et la messagerie générique étaient accessibles au moyen d’identifiants partagés. Après mise en demeure, la caméra a été retirée et des mots de passe individuels instaurés, sans traçabilité des accès à la messagerie.

Une société de traduction avait installé trois caméras dans ses locaux, dont une dans le bureau des traducteurs. Cette caméra filmait en continu plusieurs postes de travail ainsi qu’une armoire contenant des documents professionnels. La société invoquait la sécurité des biens et des personnes, mais aucun vol ni aucune dégradation n’était établi.

Les contrôles ont également révélé l’absence d’information complète des salariés sur le dispositif et la conservation excessive des images. Les postes informatiques et une messagerie professionnelle générique étaient accessibles sans authentification individuelle, au moyen d’identifiants ou de mots de passe partagés.

Après une mise en demeure, la société a tardivement retiré la caméra et instauré des mots de passe individuels. Elle n’a toutefois pas assuré la traçabilité des accès à la messagerie. La CNIL a retenu plusieurs manquements au RGPD, prononcé une amende administrative et maintenu une injonction relative à la sécurité des accès.

• Vérifier que la vidéosurveillance est strictement nécessaire à sa finalité
• Écarter toute surveillance permanente dépourvue de circonstance exceptionnelle
• Rechercher des mesures alternatives moins attentatoires à la vie privée
• Fournir une information complète et accessible aux salariés
• Mettre en place une authentification individuelle des utilisateurs
• Assurer la journalisation des accès à la messagerie

• Procès-verbal du contrôle sur place du 16 février 2018
• Procès-verbal du second contrôle du 10 octobre 2018
• Photographie montrant une caméra encore orientée vers un poste
• Procès-verbal d’huissier établissant le retrait tardif de la caméra
• Courriers confirmant les accès sans mot de passe ou partagés

La société reste soumise à une injonction de sécuriser la messagerie professionnelle par des comptes individuels et une journalisation, sous astreinte. Les salariés bénéficient de la cessation de la surveillance permanente, tandis que la société supporte l’amende et la publication de la décision.

• Authentification individuelle obligatoire pour chaque utilisateur
• Journalisation des accès à la messagerie générique
• Maintien d’une astreinte de 200 euros par jour de retard
• Paiement d’une amende administrative de 20 000 euros
• Publication de la décision pendant un an

À faire

• Attribuer un compte individuel à chaque utilisateur
• Activer la journalisation des accès à la messagerie
• Révoquer les accès lors du départ d’un salarié
• Documenter les mesures techniques de sécurité
• Transmettre les justificatifs dans le délai imparti

À éviter

• Filmer continuellement les postes de travail
• Utiliser des identifiants ou mots de passe partagés
• Conserver les images au-delà de la durée nécessaire
• Se limiter à une information générale ou incomplète
• Attendre une procédure de sanction pour se conformer

Le principe de minimisation des données personnelles

L’article 5, paragraphe 1, point c), du RGPD impose de limiter les données à ce qui est nécessaire à la finalité poursuivie. La surveillance permanente de salariés n’est admissible que dans des circonstances exceptionnelles. La protection de documents confidentiels ne suffisait pas ici, en l’absence de vols ou dégradations et de recherche préalable de mesures alternatives. Le manquement persistait au terme de la mise en demeure, la caméra filmant encore un poste de travail.

Les obligations d’information des personnes concernées

Les articles 12 et 13 du RGPD imposent une information claire, accessible et complète, notamment sur l’identité du responsable, la finalité, les destinataires, la durée de conservation et les droits. Un panneau visible ne suffisait pas à établir une information conforme des salariés. Le retrait ultérieur de la caméra a supprimé l’obligation future, mais n’a pas effacé le manquement constitué pendant la période antérieure ni son absence de régularisation dans le délai imparti.

La sécurité et la traçabilité des accès informatiques

L’article 32 du RGPD exige des mesures adaptées au risque. L’absence d’authentification individuelle, les mots de passe partagés et l’absence de journalisation de la messagerie ne garantissaient ni la confidentialité ni l’identification des accès. La mise en place tardive de mots de passe individuels a été prise en compte, mais l’absence persistante de traçabilité justifiait le maintien de l’injonction assortie d’une astreinte.

Article 5, paragraphe 1, points c) et e), du règlement (UE) 2016/679, Articles 12 et 13 du règlement (UE) 2016/679, Article 32 du règlement (UE) 2016/679, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article L. 1121-1 du Code du travail, Article 20-III de la loi n° 78-17 du 6 janvier 1978, Article 83 du règlement (UE) 2016/679, Article 58, paragraphe 2, du règlement (UE) 2016/679