Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia - 293

Sur la nécessaire information
à délivrer aux salariés en
application des articles 12 et 13
du Règlement
L'un des principaux manquements
relevés à l'encontre de la société de
traduction résidait dans l'absence
d'information délivrée aux salariés
quant à l'existence de ce dispositif de
surveillance dans leur bureau, local
non accessible au public. En effet,
l'article 12 du Règlement (UE) 2016/679
impose au responsable de traitement de
mettre tout en œuvre pour délivrer aux
personnes concernées une information
claire, précise, transparente, aisément
accessible et compréhensible. L'article
13 du Règlement fixe, quant à lui,
l'ensemble des mentions d'information à délivrer aux personnes dont les
données sont traitées. Par ailleurs, les
dispositions du code du travail prévoient
qu'aucune information concernant
directement un salarié ne peut être
collectée par un dispositif qui n'a pas
été préalablement porté à sa connaissance (art. L1222-4 C. Trav.). En outre,
le comité d'entreprise (Comité social et
économique à partir du 1er janvier 2020
- art. L2312-38 C. Trav.) doit avoir été
informé et consulté avant la mise en
œuvre d'un tel dispositif.
A défaut d'informations valablement
communiquées aux intéressés, et de
consultation des instances représentatives du personnel, un tel dispositif
serait non conforme, donc illégal. Et un
licenciement fondé notamment sur des
données collectées grâce à un dispositif
non- conforme serait susceptible d'être
considéré comme sans cause réelle et
sérieuse (Soc. 10 janv. 2012, n°10-23.482)
(Soc. 3 nov. 2011, n°10-18.036) (Soc. 8
déc. 2009, n°08-17.191), avec toutes les
conséquences de droit qui s'y attachent.
L'intérêt pour l'employeur de respecter
cette obligation d'information n'est
donc plus à démontrer.
Dans la présente affaire, aucune
information formelle n'avait été
délivrée aux salariés, puisque l'entreprise s'était contentée de mettre en
place un grand panneau d'affichage
à l'entrée des locaux comportant des
informations sommaires telles que
le nom et le numéro de téléphone

du responsable. Or, les dispositions
de l'article 13 du Règlement précité
imposent que les informations suivantes
soient données aux salariés : finalité du
traitement, durée de conservation des
données, destinataires des données,
identité du responsable de traitement,
et modalités d'exercice des droits. Ce qui
n'est manifestement pas le cas.

En conséquence, un bon accompagnement en cas de contrôle de la Cnil
apparaît nécessaire et indispensable
afin de rapidement adopter un comportement adapté, et de pouvoir se montrer
réactif quant aux exigences formulées
par la Cnil dans ses mises en demeure
préalables à une éventuelle procédure
de sanction.

La société en cause a finalement pris la
décision en mars 2019, et ce dont elle a
pu justifier auprès de la Cnil, de supprimer la caméra présente dans le bureau
des salariés, de telle sorte qu'elle n'était
plus soumise à l'obligation d'information des salariés.
En toute hypothèse, et ce que n'a pas
manqué de relever l'autorité de contrôle,
la société n'a jamais cru devoir dispenser à ses salariés aucune information
conforme à la réglementation applicable
avant le retrait du dispositif, de telle sorte
que le manquement aux dispositions
des articles 12 et 13 du Règlement est
établi.

En conclusion, et s'il était encore
besoin de le rappeler, les systèmes de
vidéosurveillance des salariés méritent
une attention particulière et doivent
respecter un formalisme exigeant pour
être mis en œuvre en toute conformité. L'attention des responsables de
traitement, quelle que soit leur activité,
sera attirée sur l'impérieuse nécessité de se mettre en conformité d'une
manière générale vis-à-vis de ses
salariés  ; puisque la réglementation
applicable en matière de données à
caractère personnel s'impose également
et surtout dans la relation de travail.

Sur la personnalisation de la
peine prononcée par la Cnil
La Cnil a prononcé une amende de
20 000  € à l'encontre de la TPE, alors
que le rapporteur proposait initialement
une sanction à hauteur de 75 000  €,
eu égard à l'article 83 du Règlement
qui précise que les amendes administratives prononcées par les autorités
de contrôle doivent être «  effectives,
proportionnées et dissuasives  ». La
formation restreinte a donc considéré
que le quantum de la peine proposé
par le rapporteur était disproportionné
en application des critères fixés par
l'article 83 du Règlement, et notamment
des capacités financières de la société,
laquelle rencontrait de graves difficultés
financières depuis trois ans.
Cependant, les manquements constatés à un dispositif d'une particulière
sensibilité, l'absence de collaboration
de la société, les réponses en contradiction avec les constats faits par la Cnil à
l'occasion des contrôles, la tardiveté des
réactions de la société ont justifié qu'une
amende administrative soit prononcée
à son encontre à hauteur de 20 000  €,
et ce, bien qu'elle affiche depuis quelques
années un résultat négatif net.
EXPERTISES Septembre 2019

Il s'agit d'un premier chantier de
conformité à mettre en œuvre, si cela
n'était, naturellement, pas déjà fait. La
Cnil devrait, dans les prochains mois,
se montrer plus intransigeante quant au
respect et à la mise en œuvre des règles
issues du Règlement (UE) 2016/679.
En effet, la Cnil a annoncé, par l'intermédiaire de sa Présidente, Madame
Marie-Laure Denis, que l'année 2019
marquait l'achèvement de la période
de transition accordée aux entreprises
depuis le 25 mai 2018.
Elle envisage, ainsi, de renforcer ses
contrôles notamment quant à la réalisation d'études d'impact quand elles
s'imposent, l'établissement du registre
des traitements, la tenue d'un registre
des violations, et au respect du droit à la
portabilité.

Stéphane BAÏKOFF
Avocat
Kacertis Avocats

293
Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2019 - n°449 - Le mensuel du droit de l'informatique et du multimédia
