La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mme Isabelle LATOURNARIE-WILLEMS, M. Bertrand du MARAIS et M. Didier KLING, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu le code de la sécurité intérieure ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2023-264C du 27 novembre 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés du 6 février 2025 portant désignation d’une rapporteure devant la formation restreinte ;

Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteure, du 13 mars 2025 ;

Vu les observations écrites versées par la société SAMARITAINE SAS le 14 avril 2025 ;

Vu la clôture de l’instruction, signifiée à la société SAMARITAINE SAS le 16 juin 2025.

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 3 juillet 2025 :

– Mme Sophie LAMBREMON, commissaire rapporteure, entendue en son rapport ;

En qualité de représentants de la société SAMARITAINE SAS:

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.

La société SAMARITAINE SAS ayant été informée, à titre conservatoire et au regard des implications encore incertaines de la jurisprudence du Conseil constitutionnel en cette matière, de son droit de garder le silence sur les faits qui lui était reprochés, et celle-ci ayant eu la parole en dernier ;

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

1. La société SAMARITAINE SAS (ci-après  » la société « ), anciennement DFS France SAS, est une société par actions simplifiée créée en 2011, sise 21 rue de la Monnaie à Paris (75001).

2. La société exploite le magasin  » La Samaritaine  » depuis 2021 et emploie environ 640 salariés. L’enseigne accueille environ 4 millions de visiteurs par an.

3. En 2023, le chiffre d’affaires de la société s’élevait à […] pour un résultat […].

4. Le 25 novembre 2023, un article de presse intitulé  » La Samaritaine a camouflé des caméras dans des détecteurs de fumée pour surveiller ses salariés  » faisait état de l’installation de  » caméras espion camouflées en détecteurs de fumée  » fin août 2023 dans les réserves du magasin.

5. Le 28 novembre 2023, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie d’une plainte d’un salarié dénonçant  » un système de vidéosurveillance dissimulé dans des faux détecteurs de fumée au sein des réserves « .

6. En application de la décision n° 2023-264C de la Présidente de la CNIL du 27 novembre 2023, une délégation de la Commission a procédé à un contrôle sur place le 29 novembre 2023 afin de vérifier le respect, par la société SAMARITAINE SAS, de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la  » loi Informatique et Libertés « ), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le  » RGPD « ) et des articles L. 251 1 et suivants du code de la sécurité intérieure.

7. Le procès-verbal n° 2023-264/1 dressé à l’issue du contrôle a été notifié à la société le 1er décembre 2023.

8. Les 8 décembre 2023 et 29 mars 2024, la société a transmis des éléments complémentaires à la délégation de contrôle.

9. Les 11 et 20 décembre 2023, deux auditions sur convocation ont été réalisées par la délégation de contrôle.

10. Les procès-verbaux n° 2023-264/2 et n° 2023-264/3 dressés à l’issue des auditions ont été notifiés à la société SAMARITAINE SAS le 21 décembre 2023.

11. Le 15 juillet 2024, un contrôle sur pièces a été effectué. La délégation de contrôle a sollicité des informations complémentaires auprès de la société SAMARITAINE SAS, du représentant du personnel et du sous-traitant en charge du dispositif de vidéosurveillance, la société […]. Les éléments sollicités ont été respectivement reçus le 29 juillet 2024, le 31 juillet 2024 et le 15 novembre 2024.

12. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 6 février 2025, désigné Mme Sophie LAMBREMON en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

13. Le 13 mars 2025, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5-1-a), 5-1-c), 5-1-e) 33-1, 33-5 et 38-1 du RGPD qu’elle estimait constitués en l’espèce. Son rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

14. Le 14 avril 2025, la société a produit des observations en réponse au rapport de sanction.

15. Le 16 juin 2025, la rapporteure a, en application de l’article 40-III du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après,  » le décret du 29 mai 2019 « ), informé la société que l’instruction était close.

16. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 3 juillet 2025.

17. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le manquement à l’obligation de traiter les données de manière loyale, licite et transparente des données et au principe de responsabilité, articles 5-1-a) et 5-2 du RGPD

18. En droit, aux termes de l’article 5-1-a) du RGPD,  » Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) « . L’article 5-2 prévoit que  » Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité) « .

19. Le considérant 60 du RGPD précise que  » tout traitement de données à caractère personnel devrait être licite et loyal. Le fait que des données à caractère personnel concernant des personnes physiques sont collectées, utilisées, consultées ou traitées d’une autre manière et la mesure dans laquelle ces données sont ou seront traitées devraient être transparents à l’égard des personnes physiques concernées « . Il indique également que  » le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées « .

20. S’agissant d’un dispositif de vidéoprotection ou de vidéosurveillance, la CNIL estime en principe que les obligations de transparence ou le droit d’accès du RGPD n’impliquent pas l’affichage ou la communication d’un plan comprenant les emplacements exacts des caméras (CNIL, P, 29 mai 2024, Rejet, Commune de X, 27412, non publié, aux tables Informatique et Libertés), à condition que l’information donne des indications suffisantes sur la zone soumise à vidéoprotection/surveillance. Toutefois, pour satisfaire à l’exigence de loyauté posée par l’article 5-1-a) du RGPD, la CNIL estime qu’en principe, les caméras composant le dispositif doivent être visibles, non dissimulées. Pour autant, comme cela a été admis par la jurisprudence, dans des circonstances exceptionnelles et sous certaines conditions, dont il faut pouvoir justifier, le responsable de traitement peut installer des caméras non visibles par les salariés

21. Dans une affaire de licenciement de membres du personnel d’un supermarché pour vols de marchandises découverts grâce à des caméras de vidéosurveillance dont certaines étaient dissimulées, la Cour européenne des droits de l’homme a jugé que,  » si elle ne saurait accepter que, de manière générale, le moindre soupçon que des détournements ou d’autres irrégularités aient été commis par des employés puisse justifier la mise en place d’une vidéosurveillance secrète par l’employeur, l’existence de soupçons raisonnables que des irrégularités graves avaient été commises et l’ampleur des manques constatés en l’espèce peuvent apparaître comme des justifications sérieuses. Cela est d’autant plus vrai dans une situation où le bon fonctionnement d’une entreprise est mis à mal par des soupçons d’irrégularités commises non par un seul employé mais par l’action concertée de plusieurs employés, dans la mesure où cette situation a pu créer un climat général de méfiance dans l’entreprise  » (CEDH, Grande Chambre, 17 octobre 2019, Lopez Ribalda et autres c. Espagne, requêtes n° 1874/13 et 8567/13, pt 134).

22. Dans cet arrêt, et au regard des exigences nées du droit au respect de la vie privée, la CEDH a donc jugé que les principes établis par la Cour dans l’arrêt Bărbulescu c. Roumanie (CEDH, 5 septembre 2017, Bărbulescu c. Roumanie, requête n° 61496/08) sont transposables, mutatis mutandis, aux circonstances dans lesquelles un employeur peut mettre en place une mesure de vidéosurveillance sur le lieu de travail. Elle a également rappelé à cette occasion la nécessité de manier les critères ainsi mis en avant en tenant compte de la spécificité des relations de travail et du développement des nouvelles technologies, qui peut permettre des mesures de surveillance de plus en plus intrusives dans la vie privée des salariés. Dans ce contexte, pour s’assurer de la proportionnalité de mesures de vidéosurveillance sur le lieu de travail, la Cour a estimé que les juridictions nationales devaient tenir compte des facteurs suivants lorsqu’elles procèdent à la mise en balance des différents intérêts en jeu :

– L’employé a-t-il été informé de la possibilité que l’employeur prenne des mesures de vidéosurveillance ainsi que de la mise en place de telles mesures ?

– Quels ont été l’ampleur de la surveillance opérée par l’employeur et le degré d’intrusion dans la vie privée de l’employé ?

– L’employeur a-t-il justifié par des motifs légitimes le recours à la surveillance et l’ampleur de celle-ci ?

– Était-il possible de mettre en place un système de surveillance reposant sur des moyens et des mesures moins intrusifs ?

– Quelles ont été les conséquences de la surveillance pour l’employé qui en a fait l’objet ?

– L’employé s’est-il vu offrir des garanties adéquates, notamment lorsque les mesures de surveillance de l’employeur avaient un caractère intrusif ?

23. À la lumière de cette décision et des critères définis, si le recours à des caméras dissimulées peut être admis, cela ne peut être que dans des circonstances exceptionnelles et à condition de ménager un juste équilibre entre l’objectif poursuivi par le responsable de traitement et la protection de la vie privée des salariés. La conciliation proportionnée de ces objectifs implique, en principe, qu’un tel dispositif dissimulé devrait généralement rester temporaire.

24. La rapporteure observe que cinq caméras de vidéosurveillance prenant l’apparence de détecteurs de fumée ont été installées dans deux des réserves du magasin  » La Samaritaine  » en août 2023, en raison de l’augmentation des vols de marchandises dans ces réserves. Elle considère que le traitement de données permis par ces caméras constitue un traitement déloyal, faute pour la société de n’avoir apporté aucun élément permettant d’attester du caractère temporaire du dispositif, dans la mesure où ce n’est qu’à la faveur de sa découverte puis de son démontage par les salariés que le traitement de données à caractère personnel a été interrompu. Elle relève aussi que les caméras étaient dotées de micros, rendant ainsi le dispositif très intrusif vis-à-vis des salariés.

25. Elle considère enfin que le fait que, le dispositif n’avait pas été répertorié dans l’analyse d’impact sur la protection des données (ci-après  » AIPD « ) et que la déléguée à la protection des données n’avait pas été informée de son déploiement démontrent que la société a mis en œuvre le traitement en dehors de toutes considérations liées au respect du RGPD.

26. En défense, la société explique que les deux réserves en question étaient déjà équipées d’un dispositif de vidéosurveillance  » classique « , composé de caméras visibles et dont les salariés avaient été informés. Toutefois, la recrudescence de vols commis entre le 14 et le 23 aout 2023 au sein de ces réserves a mis en avant l’inefficacité du dispositif de vidéosurveillance déjà existant. Elle précise que la décision d’installer ces caméras a été prise durant la période estivale où son prestataire habituel, en charge du dispositif de vidéosurveillance  » classique « , n’était pas disponible dans les délais requis. Elle s’est donc tournée vers un autre prestataire.

27. Elle a alors décidé d’installer de nouvelles caméras afin de couvrir plus efficacement la surface des réserves. Afin de s’assurer que les futures caméras permettraient de mieux sécuriser les marchandises, la société a décidé d’installer des caméras  » test  » pour mieux comprendre comment couvrir les angles morts du dispositif classique et pouvoir déterminer où placer, dans un second temps, des caméras pérennes, dans les mêmes conditions que celles du dispositif de vidéosurveillance actuel.

28. La société explique que l’objectif de ces caméras  » test  » n’était donc pas de surveiller les salariés, mais d’identifier où implanter les futures caméras. Elle précise que ces caméras  » test  » n’étaient d’ailleurs pas connectées au dispositif classique et que les images qu’elles captaient ne pouvaient pas être visionnées depuis le PC sécurité du magasin. En outre, elle observe qu’elle n’avait pas connaissance de ce que les caméras étaient dotées de micros et qu’en tout état de cause, elle n’a jamais été en possession des enregistrements en raison du démontage des caméras et de la subtilisation des cartes SD.

29. En séance, la société a expliqué que les caméras n’étaient pas dissimulées puisque disposées sur des murs nus. Elle a également précisé que la commande des caméras auprès du prestataire avait été faite uniquement à l’oral, sans bon de commande, et au vu de l’urgence survenant au cœur de l’été. Elle a également ajouté que les réserves ne constituent pas le lieu de travail des salariés, qui ne sont amenés à s’y rendre que ponctuellement.

30. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier que les caméras  » test « , installées dans deux réserves durant plusieurs semaines, ont enregistré des images sur lesquelles apparaissent les salariés travaillant dans les réserves et ont capté le son. Elle note que les caméras ont été désinstallées par les salariés en septembre 2023.

31. À titre liminaire, elle souligne que le fait que les caméras test n’étaient pas reliées au dispositif classique n’a aucune conséquence sur la qualification de données à caractère personnel des données collectées.

32. En premier lieu, la formation restreinte relève que les caractéristiques techniques des caméras – fonctionnant sur batterie, simplement collées au mur et sans être reliées au dispositif de vidéosurveillance classique – tendent à corroborer les déclarations de la société selon lesquelles le dispositif en cause n’avait pas vocation à être pérenne. Elle note toutefois, qu’afin de garantir un juste équilibre entre la protection de la vie privée des salariés et l’objectif poursuivi par le responsable de traitement, ce dernier doit analyser la compatibilité du dispositif avec le RGPD et être en mesure d’en rendre compte, comme le prévoient les dispositions de l’article 5-2 du RGPD. Il doit ainsi, dans ce cadre, documenter les caractéristiques de déploiement de son dispositif, et pouvoir attester notamment de son caractère temporaire.

33. Or, la formation restreinte relève qu’en l’espèce, la documentation (registre des traitements et AIPD) mise en place par la société ne contient aucune trace du dispositif qui permettrait de confirmer les allégations de la société. Le traitement de données en lien avec le dispositif n’est pas mentionné dans son registre des traitements et ce n’est que le 22 décembre 2023, soit postérieurement à son installation et au contrôle, que le dispositif a été intégré à l’analyse d’impact établi par la société. Par ailleurs, la formation restreinte observe que la société n’a pas non plus tenu informée sa déléguée à la protection des données de l’installation du dispositif. La société ne dispose pas non plus d’éléments écrits (bon de commande par exemple) établissant le caractère temporaire du dispositif, tous les échanges entre la société et le prestataire relatifs à son déploiement étant intervenus par oral.

34. Elle considère ainsi que la mise en place de ce dispositif n’a pas été accompagnée de garanties appropriées permettant d’assurer la préservation d’un juste équilibre entre l’objectif poursuivi par le responsable de traitement et la protection de la vie privée des salariés et d’être en mesure d’en attester, comme les jurisprudences applicables en la matière invitent les organismes à le faire dans de tels cas.

35. En deuxième lieu, la formation restreinte considère que le fait que les salariés avaient été informés de la présence du dispositif de vidéosurveillance classique ne remet pas en cause ce qui précède. Au contraire, elle relève que, les caméras  » test  » prenant l’apparence de détecteurs de fumée, les salariés ne pouvaient raisonnablement pas s’attendre à ce qu’il s’agisse de nouvelles caméras et que le dispositif mis en place était, par suite, susceptible de les tromper.

36. En troisième lieu, la formation restreinte ne peut souscrire à l’argument de la société selon lequel les caméras  » test  » n’avaient pas pour objectif de surveiller les salariés. En effet, elle constate au contraire que, dans la mesure où l’objectif des caméras  » test  » était de s’assurer que les angles de vue des futures caméras permettent de détecter les vols, cela implique nécessairement que les caméras  » test  » ont été positionnées de manière à tenter de capter de façon suffisamment claire les faits et gestes des salariés travaillant dans les réserves.

37. En tout état de cause, la formation restreinte considère que quand bien même les caméras  » test  » n’auraient pas eu pour objectif premier de surveiller les salariés mais d’identifier les angles de vue pertinents pour installer de futures caméras à des fins de prévention des atteintes aux biens et personnes, cela est sans incidence sur le fait que le dispositif a effectivement conduit à ce que soient captées des images et des conversations de salariés, à leur insu.

38. La formation restreinte considère que ces faits constituent un manquement aux articles 5-1-a et 5-2 combinés du RGPD.

B. Sur le manquement à l’obligation de collecter des données adéquates, pertinentes et non excessives (article 5-1-c) du RGPD

39. En droit, l’article 5, paragraphe 1, point c) du RGPD prévoit que les données à caractère personnel doivent être  » adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « .

40. Le responsable d’un traitement doit ainsi respecter le principe de minimisation en s’abstenant de collecter, conserver, ou plus généralement de traiter des données qui sont sans utilité pour atteindre les finalités poursuivies.

41. La Commission considère que pour être proportionné, un dispositif de vidéosurveillance ne doit pas, en principe, capter le son. La formation restreinte a ainsi rappelé récemment que  » La captation du son n’est admissible que dans des circonstances exceptionnelles dont l’employeur doit pouvoir justifier, et doit alors généralement ne pas être mise en œuvre en continu mais seulement lorsqu’un événement particulier se produit  » (CNIL, FR, 19 décembre 2024, Sanction n° SAN-2024-021, publiée, § 37).

42. La rapporteure relève que les caméras  » test  » étaient dotées de micros qui ont permis la captation de conservations entre les salariés relevant de la sphère personnelle. Elle considère que la société n’a pas fait état d’une situation particulière justifiant le recours à la captation du son dans les réserves de son magasin. Elle observe que l’emballage des caméras ainsi que leur notice d’utilisation faisaient explicitement état de la fonctionnalité de captation du son, ce que la société ne pouvait donc ignorer.

43. En défense, la société explique qu’elle n’avait pas connaissance de la captation du son par les caméras  » test « . Elle précise que la décision d’installer ces caméras a été prise durant la période estivale où son prestataire habituel, en charge du dispositif de vidéosurveillance  » classique « , n’était pas disponible dans les délais requis. Elle a donc fait appel à un autre prestataire, à qui elle a laissé le soin de choisir le modèle de caméra, sans le valider.

44. En l’espèce, la formation restreinte relève d’abord qu’il ressort des enregistrements transmis à la délégation de contrôle que ceux-ci comportaient à la fois des images et du son, sans que la société n’apporte de justification particulière.

45. Au contraire, au regard de la finalité annoncée par la société – qui indique que les caméras  » test  » ont été installées afin d’identifier les angles de prises de vues les plus adéquats pour de nouvelles caméras – la formation restreinte considère que la collecte du son n’était pas nécessaire à cette fin, cet objectif pouvant être atteint par le seul recours à l’enregistrement d’images.

46. La formation restreinte observe ensuite que la captation du son est susceptible d’engendrer la collecte de données relatives à la vie privée des salariés, contenues dans leurs conversations, ce qui a été le cas à l’espèce puisque l’un des enregistrements contient une conversation au cours de laquelle un salarié évoque son départ de la société.

47. La formation restreinte prend note des explications de la société relatives aux contraintes autour de l’installation des caméras  » test  » durant la période estivale. Elle considère néanmoins que les circonstances évoquées ne sauraient exonérer la société de ses responsabilités et qu’en application des principes de responsabilité énoncés aux articles 5-2 et 24 du RGPD, elle était justement tenue de s’assurer que le modèle de caméras mis en place n’aurait pas pour conséquence de procéder à un traitement de données à caractère personnel incompatible avec les textes applicables.

48. Elle note d’ailleurs sur ce point qu’il ressort des pièces du dossier que tant l’emballage des caméras que la notice d’utilisation mentionnent la présence d’un micro et la fonctionnalité d’écoute du modèle choisi par la prestataire. Or, quand bien même la société n’aurait pas choisi volontairement un modèle permettant la captation du son, elle disposait, avant l’installation, de tous les éléments lui permettant de savoir que le modèle comportait une fonctionnalité d’écoute.

49. La formation restreinte considère que ces faits constituent un manquement à l’article 5-1-c du RGPD. Les données issues du système de vidéosurveillance n’apparaissent ni adéquates, ni pertinentes, ni limitées à ce qui est nécessaire au regard de la finalité annoncée par la société (tests en vue de la prévention des vols) et l’enregistrement sonore des salariés apparaît dès lors excessif.

C. Sur le manquement à l’obligation de respecter la durée de conservation définie (article 5.1.e) du RGPD)

50. En droit, l’article 5, paragraphe 1, point e) du RGPD dispose que  » les données à caractère personnel doivent être […] conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées « .

51. En vertu des dispositions précitées, il incombe au responsable de traitement de définir une durée de conservation en fonction de la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent en principe être supprimées, anonymisées ou faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire, notamment, pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Au-delà des durées de conservation des données versées en archives intermédiaires, les données à caractère personnel doivent, sauf exception, être supprimées ou anonymisées. L’obligation de supprimer les données à l’expiration d’une certaine durée constitue l’une des garanties fondamentales du régime de protection des données personnelles.

52. L’effectivité de la mise en œuvre d’une politique de durée de conservation des données est le pendant nécessaire de sa définition et permet d’assurer que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Cela permet notamment, de réduire les risques d’usage non autorisé des données en cause, par un salarié ou par un tiers.

53. La rapporteure souligne que si la société a défini une durée de conservation des images issues du dispositif de vidéosurveillance de 17 jours, le contrôle sur place effectué le 29 novembre 2023 a révélé la présence sur le poste de travail dédié à la vidéosurveillance d’extraits vidéo datant du 3 janvier 2022. Elle précise que la société n’a pas indiqué de finalité justifiant la conservation de ces images au-delà de la durée de 17 jours qu’elle avait définie.

54. En défense, la société explique que les extraits en question ne contenaient a priori pas de données à caractère personnel dans la mesure où il s’agissait de captations réalisées pour des raisons de maintenance des caméras, lorsque le magasin est fermé. Elle explique que les extraits en question ont été supprimés à la suite du contrôle.

55. La formation restreinte prend acte des explications fournies par la société. Elle considère que les pièces versées au dossier ne permettent pas d’établir la présence de données à caractère personnel dans les extraits en question.

56. Elle considère en conséquence que les éléments du dossier ne permettent pas de caractériser l’existence d’un manquement à l’article 5-1-e du RGPD.

D. Sur le manquement à l’obligation de communication à la CNIL d’une violation de données à caractère personnel (article 33 du RGPD)

57. En droit, l’article 33.1 du RGPD dispose qu’en cas de violation de données à caractère personnel,  » le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques « .

58. Le paragraphe 5 du même article prévoit quant à lui que  » le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l’autorité de contrôle de vérifier le respect du présent article « .

59. Une violation de données à caractère personnel est définie à l’article 4.12 du RGPD de la façon suivante :  » une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données « .

60. En outre, les lignes directrices 9/2022 du comité européen de la protection des données (ci-après,  » CEDP « ) sur la notification de violations de données à caractère personnel en vertu du RGPD du 28 mars 2023 précisent au point 14 que  » Pour ce qui est de la  » perte  » de données à caractère personnel, cela signifie que les données pourraient toujours exister, mais que le responsable du traitement a perdu tout contrôle ou tout accès à ces données, ou encore qu’il ne les a plus en sa possession. […] Il peut, par exemple, y avoir perte de données à caractère personnel lorsqu’un appareil contenant une copie de la base de données client d’un responsable du traitement est perdu ou volé « .

61. La rapporteure rappelle qu’à l’occasion du démontage des caméras  » test  » par les salariés entre les 13 et 14 septembre 2023, ces derniers ont conservé deux cartes SD contenant les enregistrements réalisés par le dispositif, ce qui caractérise une violation de données à caractère personnel. Elle relève qu’au jour du contrôle effectué le 29 novembre 2023, ces faits n’avaient fait l’objet d’aucune notification à la CNIL, ni d’inscription par la société au sein du registre des violations de données.

62. En défense, la société explique que ce n’est qu’à l’occasion des échanges intervenus avec la délégation de contrôle de la CNIL qu’elle a été en mesure d’apprécier que le fait que deux cartes SD aient été subtilisées par des salariés constituait une violation de données à caractère personnel. Elle explique avoir procédé à la notification auprès de la CNIL le 2 décembre 2023, soit dans le délai de 72 heures après avoir qualifié l’incident.

63. En l’espèce, la formation restreinte relève tout d’abord que la qualification de violation de données à caractère personnel des faits en cause ne présentait pas la moindre ambiguïté. En effet, la perte de contrôle par le responsable de traitement d’un matériel contenant des données à caractère personnel est explicitement citée comme exemple d’événement devant être qualifié de violation de données à caractère personnel par l’article 4-12 du RGPD et est utilisée comme illustration dans les lignes directrices du CEPD précitées ou encore dans les communications publiques de la CNIL en lien avec la sécurité des données, par exemple au sein de la page  » Perte ou vol de matériel informatique nomade : les bons réflexes à avoir !  » publiée sur le site web de la CNIL le 14 septembre 2022.

64. La formation retreinte considère par ailleurs que compte tenu de la présence sur les cartes SD d’enregistrements vidéo et sonores concernant des salariés, la violation en question était susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, rendant ainsi obligatoire sa notification à l’autorité de contrôle.

65. Elle relève ensuite qu’il ressort des pièces du dossier que la société a eu connaissance du fait que les cartes SD des caméras  » test  » avaient été retirées entre le 13 et le 14 septembre 2023, quelques jours après le vol, soit avant le contrôle de la délégation de la CNIL du 29 novembre 2023. Cela n’est d’ailleurs pas contesté par la société en défense.

66. Compte tenu de ces éléments, la formation restreinte considère que la société n’apporte aucun élément de nature à justifier le retard pris dans la notification de la violation de données à la CNIL ni dans son inscription au sein d’un registre.

67. La formation restreinte considère que l’absence de notification de violation de données à la CNIL et de documentation au sein du registre des violation de données de la société constituent un manquem