Vidéosurveillance au travail : proportionnalité, information des salariés et sécurité des données

La CNIL sanctionne la société qui n’a que partiellement exécuté sa mise en demeure relative à un dispositif de vidéosurveillance. Sur le fondement des 1° et 2° de l’article 6 de la loi n° 78-17 du 6 janvier 1978, la collecte doit être loyale et licite, poursuivre une finalité déterminée, explicite et légitime, et rester proportionnée à l’objectif poursuivi. Le filmage continu de bureaux et de postes de travail fixes place les salariés sous une surveillance excessive au regard de la lutte contre le vol.

L’article 32 de la même loi impose d’informer les personnes concernées de la finalité du traitement, de ses destinataires et des modalités d’exercice des droits. Une mention générale dans les contrats de travail ou un courrier indiquant seulement l’existence de caméras ne satisfait pas ces exigences.

L’article 34 impose les précautions utiles pour empêcher l’accès de tiers non autorisés. La société a été regardée comme ayant satisfait à cette obligation après avoir produit des éléments établissant le verrouillage du local serveur et la restriction du visionnage par mot de passe aux personnes habilitées.

En application des articles 45 et suivants de la loi n° 78-17, une sanction pécuniaire de 10 000 euros a été prononcée et la décision rendue publique. La régularisation de certains manquements ne fait donc pas disparaître ceux qui persistent après la mise en demeure.

⬇️Télécharger la décision version officielle

La CNIL a relevé qu’un dispositif de vidéosurveillance installé dans plusieurs magasins filmait continuellement des bureaux, postes de travail, ateliers et espaces réservés au personnel. Le dispositif n’était pas déclaré et l’information était insuffisante. Malgré des mesures de régularisation, la surveillance demeurait disproportionnée et les accès insuffisamment sécurisés. Une sanction de 10 000 euros, accompagnée de la publication de la décision, a été prononcée.

Une société anonyme exploitait plusieurs magasins et un siège équipés de 23 caméras, dont les images étaient enregistrées pendant sept jours. Certaines caméras filmaient en continu des bureaux, des postes de travail fixes, des ateliers et des espaces réservés au personnel. Le dispositif n’avait pas fait l’objet d’une déclaration préalable et l’information des salariés et du public était insuffisante.

Lors d’un premier contrôle, un dirigeant avait interrompu les opérations de la CNIL. Un second contrôle, autorisé par ordonnance, a relevé des accès non sécurisés au logiciel de supervision et à des serveurs. Après une mise en demeure, la société a déclaré le dispositif, adressé des courriers à d’anciens salariés et produit des éléments relatifs au renforcement de la sécurité.

La CNIL a toutefois retenu la persistance d’une surveillance disproportionnée et d’une information incomplète. Elle a infligé une sanction pécuniaire de 10 000 euros et ordonné la publication de la décision.

• Finalité déterminée, explicite et légitime du traitement
• Nécessité et proportionnalité du dispositif au regard de la lutte contre le vol
• Prise en compte du nombre, de l’emplacement et de l’orientation des caméras
• Absence de surveillance constante des salariés
• Information complète sur la finalité, les destinataires et le droit d’accès
• Accès aux images réservé aux personnes habilitées

• Captures d’écran montrant le filmage continu de bureaux et postes fixes
• Constatations de la délégation sur les 23 caméras installées
• Constat d’accès sans mot de passe au logiciel de supervision
• Constat d’accès non verrouillé à deux serveurs informatiques
• Courriers et panneaux d’information produits lors de la séance

La société demeure sanctionnée pour la surveillance disproportionnée et l’information insuffisante, malgré la régularisation de la sécurité des données. Les personnes filmées bénéficient d’une information qui doit préciser les éléments exigés par l’article 32 de la loi n° 78-17.n

• Maintien d’une sanction pécuniaire de 10 000 euros
• Publication de la décision sur les sites de la CNIL et Légifrance
• Retrait ou réorientation des caméras filmant les postes fixes
• Réécriture des supports d’information des salariés et du public
• Restriction des accès aux images aux personnes habilitées

À faire

• Cartographier les zones filmées et les personnes concernées
• Vérifier la nécessité de chaque caméra au regard de la finalité
• Informer précisément sur finalité, destinataires et droit d’accès
• Protéger serveurs et logiciels par verrouillage et authentification
• Conserver les justificatifs de déclaration et de régularisation

À éviter

• Filmer continuellement les bureaux et postes de travail fixes
• Installer des caméras sans justification de sécurité
• Se limiter à une mention générale dans le contrat de travail
• Laisser un logiciel de supervision accessible sans mot de passe
• Autoriser l’accès aux images à des personnes non habilitées

La proportionnalité des dispositifs de vidéosurveillance au travail

nLa mise en œuvre doit être strictement nécessaire à l’objectif poursuivi. Le nombre, l’emplacement, l’orientation, les périodes de fonctionnement des caméras et la nature des tâches accomplies doivent être pris en compte. Le filmage continu de bureaux et de postes fixes plaçant les salariés sous surveillance constante est jugé excessif au regard de la lutte contre le vol, en méconnaissance des 1° et 2° de l’article 6 de la loi n° 78-17 du 6 janvier 1978.n

L’information des personnes filmées

nL’article 32 de la loi n° 78-17 impose notamment d’indiquer la finalité du traitement, les destinataires des images et les modalités d’exercice du droit d’accès. Une mention générale dans les contrats de travail ou un courrier indiquant seulement l’existence de caméras est insuffisant.n

La sécurité et la confidentialité des images

nL’article 34 de la loi n° 78-17 impose des précautions adaptées afin d’empêcher l’accès de tiers non autorisés. La société a été considérée comme ayant exécuté la mise en demeure sur ce point après avoir sécurisé le local serveur et limité le visionnage aux personnes habilitées au moyen d’un mot de passe.

Article 40 du Code de procédure pénale, Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978, Article 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 51 de la loi n° 78-17 du 6 janvier 1978, Articles 75 et 76 du décret n° 2005-1309 du 20 octobre 2005