Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia - 292

D

O

C

T

R

I

N

E

par rapport à celle constatée par la
Commission en février 2018.
La Cnil a donc désigné au sein de la
formation restreinte un rapporteur
qui a, selon rapport du 12 février 2019,
repris l'ensemble des manquements
au Règlement (UE) 2016/679 relevés à
l'encontre de la société de traduction,
et proposé à la Cnil de prononcer une
amende de 75 000 €, rendue publique.
La séance de la formation restreinte
de la Cnil s'est tenue le 18 avril 2019,
séance au cours de laquelle la société
de traduction a pu faire valoir ses
arguments.
A l'issue de la procédure, la Cnil a
prononcé une amende de 20 000  € à
l'encontre de la société, ainsi qu'une
injonction d'avoir à se conformer à
l'article 32 du Règlement, et ce, sous
astreinte de 200 € par jour.
Cette décision rappelle les règles et
bonnes pratiques à respecter s'agissant
de la « vidéosurveillance » des salariés,
et apporte quelques enseignements à
la lumière du Règlement (UE) 2016/679.

Sur le respect du principe de
minimisation des données fixé
à l'article 5.1c) du Règlement
L'article 5.1 c) du Règlement précise
que «  Les données doivent être [...]
adéquates, pertinentes et limitées à ce
qui est nécessaire au regard des finalités pour lesquelles elles sont traitées
(minimisation des données). »
La Cnil a rappelé dans cette décision
le principe selon lequel «  l'utilisation
d'un dispositif de vidéosurveillance
conduisant à placer des salariés sous
une surveillance permanente n'apparaît pas justifiée et doit être considérée
comme manifestement excessive et
disproportionnée au regard de la finalité
déclarée ». Or, la finalité poursuivie par
la société de traduction était d'assurer
la sécurité des personnes et des biens /
documents de l'entreprise.
La collecte de données doit, comme le
rappelle la Cnil, être proportionnée à
la finalité, de telle sorte que le dispositif mis en place doit être strictement
nécessaire à l'objectif poursuivi.

292

Dans la présente affaire, les agents de
la Cnil avaient constaté que la caméra
placée dans le bureau des traducteurs
était orientée de telle sorte que tous les
salariés étaient surveillés de manière
continue. Au cours des années 20162017, la Cnil avait sollicité de l'entreprise
qu'elle modifie ce dispositif, considérant
qu'il était ainsi trop attentatoire à la vie
privée des salariés.
La société de traduction avait affirmé
avoir fait le nécessaire pour se mettre
en conformité. Toutefois, au cours
du second contrôle en octobre 2018,
les agents de la Cnil avaient pu se
convaincre de l'absence de conformité
du dispositif puisque malgré la pose
de ruban adhésif sur la caméra, un
salarié au moins était filmé de manière
constante. La Cnil a donc pu considérer
que les dispositions de l'article 5.1 c) du
Règlement n'étaient pas respectées.
Il ressort de cette décision que la proportionnalité du dispositif est appréciée par
la Cnil selon les éléments suivants  : le
nombre de personnels visés, l'emplacement du dispositif de surveillance,
son orientation, les périodes de mise en
fonctionnement de la caméra, la nature
des tâches confiées aux salariés concernés. En outre, il nous semble important
de préciser qu'un système permettant
la captation du son en parallèle de
la captation d'images sera considéré par l'autorité de contrôle comme
particulièrement intrusif et sera quasisystématiquement qualifié de dispositif
disproportionné.
Il nous apparaît, en toute hypothèse,
que le critère principal réside dans
l'orientation de la caméra sur un ou
plusieurs salariés, et ce de manière
continue puisque, selon la Cnil dans
cette décision, le principe en matière
de vidéosurveillance est le suivant : « Si
la surveillance de zones sensibles peut
être justifiée par des impératifs de
sécurité, le placement sous surveillance
permanente de salariés, attentatoire
à leur vie privée, ne peut toutefois
intervenir que dans des circonstances
exceptionnelles tenant, par exemple, à la
nature de la tâche à accomplir. »
Cette position de
celle déjà adoptée
une décision à la
en octobre 2018,

la Cnil renvoie à
récemment, dans
faveur de laquelle,
elle avait mis en

EXPERTISES Septembre 2019

demeure le directeur d'une école privée
d'enseignement supérieur de mettre
son système de vidéosurveillance en
conformité, puisque les étudiants et
salariés faisaient l'objet d'une surveillance généralisée et permanente
dans l'établissement. (Cnil, déc.
N°MED-2018-041, 8 oct.2018). Doit-on
y voir la volonté de l'autorité de contrôle
de s'intéresser plus précisément à ces
dispositifs ?
Enfin, la Cnil précise ses recommandations quant à la durée de conservation des images issues d'un tel
dispositif de vidéosurveillance. En
effet, elle considère, si l'on s'en tient aux
informations présentes sur son site la
conservation des images ne doit pas
dépasser un mois. Cependant, le plus
souvent, quelques jours suffisent au
responsable de traitement pour réaliser
les vérifications qui s'imposeraient dans
l'hypothèse d'un incident.
Dans la présente affaire, la Cnil a jugé,
par une appréciation in concreto de la
situation, que les images ne pouvaient
être conservées au-delà d'un délai
de 15 jours, compte tenu de la finalité du traitement destiné à assurer la
sécurité des personnes et des biens.
En conséquence, il apparaît nécessaire
pour tout responsable de traitement de
limiter au maximum la durée de conservation de telles images, sauf justification
particulière.
Par ailleurs, il nous semble que cette
décision est aussi l'occasion de
rappeler que l'usage de tels dispositifs de vidéosurveillance ayant pour
finalité de «  surveiller de manière
constante l'activité des salariés  »,
tels que vidéosurveillance portant
sur les employés manipulant de
l'argent ou encore vidéosurveillance
d'un entrepôt stockant des biens de
valeur au sein duquel travaillent des
manutentionnaires, n'est pas interdit
et nécessite la réalisation d'une étude
d'impact (Délibération n°2018-327 du
11 octobre 2018). Tel n'était pas le cas
dans la présente situation puisque la
société avait cantonné le recours au
dispositif de surveillance à la sécurité
des personnes et des biens. Une étude
d'impact sur la vie privée ne s'imposait
donc pas en application de l'article 35 du
Règlement (UE) 2016/679.
Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia
