Protection des données biométriques, information des personnes et sécurité des traitements : sanction CNIL

La formation restreinte retient trois manquements persistants après mise en demeure : collecte excessive de données biométriques, défaut d’information des salariés et interlocuteurs, et insuffisance des mesures de sécurité. Le 3° de l’article 6 de la loi du 6 janvier 1978 impose des données adéquates, pertinentes et non excessives. L’utilisation de la biométrie pour contrôler les horaires exigeait la démonstration de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité, qui n’a pas été rapportée.

L’article 32 imposait une information complète sur le responsable du traitement, les finalités, la durée de conservation et les droits des personnes, notamment le droit d’opposition. La société demeurait responsable de cette information même lorsque l’enregistrement était techniquement géré par un prestataire.

Au titre de l’article 34, elle devait prendre toutes précautions utiles pour garantir la sécurité et la confidentialité des données. La faiblesse des mots de passe, l’absence de verrouillage automatique et l’accès étendu aux enregistrements caractérisaient le manquement. Les mesures correctrices tardives ou insuffisamment justifiées n’ont pas effacé les manquements constatés dans le délai imparti.

Sur le fondement des articles 45 et 47, la formation restreinte a prononcé une sanction pécuniaire de 10 000 euros, en tenant compte de la gravité, de la nature biométrique des données, de la persistance des manquements, de la conformité partielle et de la situation financière. La décision a également été rendue publique.

⬇️Télécharger la décision version officielle

Une société de télésurveillance utilisait un dispositif biométrique pour contrôler les horaires de ses salariés et enregistrait des communications sans information complète. La CNIL a aussi relevé des mots de passe insuffisamment robustes, l’absence de verrouillage automatique, une conservation excessive et une information incomplète sur les droits. Les mesures correctrices étant incomplètes ou insuffisamment justifiées, une sanction de 10 000 euros a été prononcée et publiée.

Une société de télésurveillance employant notamment des téléopérateurs utilisait un dispositif biométrique pour contrôler les horaires de ses salariés, sans autorisation. Elle enregistrait également des communications téléphoniques sans assurer une information complète des salariés et des interlocuteurs.

Un premier contrôle a révélé des mots de passe insuffisamment robustes et l’absence de verrouillage automatique de certains postes. Après une mise en demeure, un second contrôle a établi que le dispositif biométrique restait installé, que des données étaient conservées pendant plusieurs années, que l’information sur les droits des personnes était incomplète et que les appels sortants n’étaient pas correctement signalés.

La société a ensuite annoncé plusieurs mesures correctrices, mais celles-ci n’étaient pas entièrement mises en œuvre ou suffisamment justifiées dans le délai imparti. La CNIL a retenu des manquements relatifs à la minimisation des données, à l’information et à la sécurité, puis a prononcé une sanction pécuniaire de 10 000 euros ainsi que la publication de la décision.

• Finalité de contrôle des horaires reposant sur un dispositif biométrique.
• Absence de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité.
• Conservation persistante des données biométriques après la mise en demeure.
• Information incomplète sur les droits des salariés et interlocuteurs.
• Messages d’information tronqués ou inexistants selon les appels.
• Mots de passe insuffisamment robustes et absence de verrouillage automatique.
• Absence de preuve d’une mise en conformité effective dans le délai.

• Procès-verbal du contrôle du 3 novembre 2016.
• Procès-verbal du contrôle du 29 mars 2018.
• Traces de pointage biométrique conservées jusqu’au 28 mars 2018.
• Note d’information destinée aux salariés, dépourvue de leurs droits.
• Constat d’accès aux enregistrements par l’ensemble des téléopérateurs.

La société est sanctionnée pour ne pas avoir exécuté complètement la mise en demeure dans le délai fixé. La sanction tient compte de la persistance des manquements, de la nature biométrique des données, de la conformité partielle et de la situation financière ; la décision est en outre rendue publique.n

• Exclusion de la biométrie pour le contrôle des horaires sans justification exceptionnelle.
• Information complète des salariés et interlocuteurs sur les enregistrements.
• Contrôle des prestataires chargés techniquement des traitements.
• Renforcement des mots de passe et du verrouillage automatique.
• Conservation des preuves de mise en conformité et transmission à la CNIL.

À faire

• Désinstaller tout dispositif biométrique non justifié par une sécurité spécifique.
• Purger les données collectées en méconnaissance des exigences applicables.
• Compléter les notices avec finalités, conservation et droits.
• Tester les messages d’information entrants et sortants.
• Documenter les mots de passe robustes et verrouillages automatiques.

À éviter

• Conserver un boîtier biométrique après une mise en demeure.
• Confier l’information aux personnes au seul prestataire technique.
• Utiliser des mots de passe courts ou exclusivement numériques.
• Laisser les sessions ouvertes lors d’une absence prolongée.
• Déclarer une conformité sans produire de justificatifs vérifiables.

La minimisation des données biométriques

nLe 3° de l’article 6 de la loi du 6 janvier 1978 exige des données adéquates, pertinentes et non excessives. La biométrie utilisée pour contrôler les horaires des salariés n’était admissible qu’en présence de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité. La société n’en justifiait aucune et avait conservé les données malgré la mise en demeure.n

L’information des personnes concernées

nL’article 32 de la loi du 6 janvier 1978 impose une information complète, notamment sur le responsable du traitement, la finalité, la conservation et les droits des personnes. Une note destinée aux salariés omettait leurs droits, le message entrant pouvait être tronqué et aucune information n’était délivrée pour les appels sortants. Le recours à un prestataire ne transférait pas la responsabilité de la société.n

La sécurité des données personnelles

nL’article 34 de la loi du 6 janvier 1978 impose des précautions adaptées aux risques. La formation restreinte a retenu des mots de passe insuffisamment robustes, l’absence de verrouillage automatique et l’accès étendu aux enregistrements. La société ne prouvait pas la mise en place effective de mesures conformes dans le délai fixé.

Article 6, 3° de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978