Vidéosurveillance des salariés : sanction CNIL pour disproportion, défaut d’information et sécurité insuffisante

La formation restreinte retient trois manquements imputables au responsable de traitement. Le dispositif de vidéosurveillance, plaçant au moins un salarié sous surveillance permanente et constante sans risque particulier établi, méconnaît l’obligation de proportionnalité prévue par l’article 6, 3° de la loi du 6 janvier 1978 et l’article L1121-1 du code du travail.

L’absence d’information individuelle des salariés sur l’existence du dispositif et leurs droits constitue un manquement à l’article 32 de la loi du 6 janvier 1978 et à l’article L1222-4 du code du travail. L’information des candidats à l’emploi n’était pas systématiquement délivrée avant ou pendant les entretiens, contrairement à l’article L1121-9 du code du travail.

La sécurité des données n’était pas suffisamment assurée au sens de l’article 34 de la loi du 6 janvier 1978 : mots de passe courts, déductibles, inchangés et absence de politique de sécurité. La persistance des manquements malgré une mise en demeure justifie une sanction pécuniaire en application des articles 45-I-1° et 47 de cette loi. La sanction est rendue publique en raison de la nature et de la persistance des faits.

⬇️Télécharger la décision version officielle

Une société de conseil surveillait en permanence au moins un salarié au moyen de huit caméras installées dans ses locaux, sans justification particulière ni information individuelle suffisante. Les candidats à l’emploi n’étaient pas systématiquement informés. La CNIL a également relevé des mots de passe insuffisamment robustes et l’absence de politique de sécurité. Malgré la mise en demeure, plusieurs manquements subsistaient, la société n’ayant produit aucune observation ni comparu.

Un salarié d’une société de conseil en systèmes d’information a saisi la CNIL au sujet d’un dispositif de vidéosurveillance installé dans des locaux fermés au public. Le dispositif comportait huit caméras filmant notamment des bureaux et une salle de réunion.

Après plusieurs échanges, contrôles et une mise en demeure, la CNIL a constaté qu’au moins un salarié demeurait placé sous surveillance permanente, sans justification particulière. Les salariés n’avaient pas reçu d’information individuelle sur le dispositif et leurs droits. L’information des candidats à l’emploi n’était pas systématiquement délivrée dans les conditions requises.

Les contrôles ont également révélé des mots de passe courts, simples, déductibles et rarement renouvelés, ainsi que l’absence de politique de sécurité. Malgré les engagements pris et la mise en demeure, plusieurs manquements subsistaient. La société n’a transmis aucune observation écrite et ne s’est pas présentée à l’audience.

• Surveillance permanente d’au moins un salarié
• Absence de justification par un risque ou une situation particulière
• Défaut d’information préalable des salariés et candidats
• Mots de passe courts, déductibles et non renouvelés
• Absence de politique de sécurité des données
• Persistance des manquements malgré la mise en demeure

• Procès-verbal de contrôle du 15 octobre 2012
• Procès-verbal de contrôle du 11 décembre 2012
• Constat de surveillance permanente d’un salarié
• Constat d’absence d’information individuelle
• Constat de mots de passe courts et déductibles
• Constat d’absence de politique de sécurité

Le responsable de traitement est sanctionné pour trois manquements persistants relatifs à la vidéosurveillance, à l’information et à la sécurité. La sanction pécuniaire est rendue publique sur les sites de la CNIL et de Légifrance.

• Sanction pécuniaire fixée à 10 000 euros
• Publication de la décision sur deux sites
• Suppression ou réaménagement du dispositif disproportionné
• Information préalable des salariés et candidats
• Renforcement des mots de passe et de la politique de sécurité

À faire

• Évaluer la proportionnalité de chaque caméra
• Documenter les risques justifiant la vidéosurveillance
• Informer préalablement salariés et candidats
• Déployer des mots de passe robustes et renouvelés
• Formaliser une politique de sécurité

À éviter

• Maintenir une surveillance permanente sans justification
• Collecter des images sans information préalable
• Informer les candidats seulement après l’entretien
• Utiliser des mots de passe déductibles
• Ignorer une mise en demeure de mise en conformité

La proportionnalité des dispositifs de vidéosurveillance

Le 3° de l’article 6 de la loi du 6 janvier 1978 exige des données adéquates, pertinentes et non excessives au regard des finalités poursuivies. L’article L1121-1 du code du travail impose des restrictions justifiées par la tâche et proportionnées au but recherché. La surveillance permanente d’un salarié, sans situation ni risque particulier établi, est disproportionnée.

L’information préalable des personnes surveillées

L’article 32 de la loi du 6 janvier 1978 impose l’information sur le responsable, la finalité, les destinataires et les droits. L’article L1222-4 du code du travail interdit la collecte d’informations concernant un salarié par un dispositif non porté préalablement à sa connaissance. L’article L1121-9 étend des mesures similaires aux candidats à l’emploi.

La sécurité des données personnelles traitées

L’article 34 de la loi du 6 janvier 1978 impose les précautions utiles pour préserver la sécurité des données et empêcher les accès non autorisés. Des mots de passe courts, déductibles, inchangés et l’absence de politique de sécurité ne garantissent pas une protection suffisante et caractérisent le manquement.

Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 45-I-1° de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article L1121-1 du Code du travail, Article L1222-4 du Code du travail, Article L1121-9 du Code du travail