18 Juin Système de vidéo surveillance trop intrusif
La formation restreinte de la CNIL a prononcé une sanction de 20 000 euros à l’encontre de la société UNIONTRAD COMPANY pour avoir mis en place un dispositif de vidéosurveillance qui plaçait ses salariés sous surveillance constante.
Elle a également prononcé une injonction afin que la société prenne des mesures pour assurer la traçabilité des accès à la messagerie professionnelle partagée.
La société UNIONTRAD COMPANY est une très petite entreprise (TPE) composée de neuf salariés et spécialisée dans la traduction.
Entre 2013 et 2017, la CNIL a reçu des plaintes de plusieurs salariés de la société qui étaient filmés à leur poste de travail. Elle a, à deux reprises, alerté la société sur les règles à respecter lors de l’installation de caméras sur le lieu de travail, en particulier, qu’il ne fallait pas filmer en continu les salariés et qu’une information sur la présence de caméras devait leur être donnée.
Un contrôle a été mené dans les locaux de la société en février 2018. Il a permis de constater que :
La caméra présente dans le bureau des six traducteurs les filmait à leur poste de travail sans interruption ;
Aucune information satisfaisante n’avait été délivrée aux salariés ;
Les postes informatiques n’étaient pas sécurisés par un mot de passe et les traducteurs accédaient à une messagerie professionnelle partagée avec un mot de passe unique.
En juillet 2018, la Présidente de la CNIL a mis en demeure la société de se mettre en conformité à la loi Informatique et Libertés, en lui demandant de :
- Déplacer la caméra pour ne plus filmer les salariés de manière constante ;
- Procéder à l’information des salariés sur la présence des caméras ;
- Mettre en œuvre des mesures de sécurité pour l’accès aux postes informatiques et pour la traçabilité des accès à la messagerie professionnelle.
(La mise en place d’une mesure de traçabilité des accès permet en effet de réaliser un historique des accès et actions effectués par les personnes qui se connectent à la boîte de messagerie et d’assurer ainsi la sécurité des données personnelles).
La formation restreinte de la CNIL a prononcé une amende administrative de 20 000 euros considérant que les manquements relevés par la Présidente persistaient. Elle a notamment pris en considération la taille et la situation financière de la société, qui a présenté un résultat net négatif sur l’année 2017, pour retenir une amende administrative dissuasive mais proportionnée.
Elle a également enjoint à la société d’assurer la traçabilité des accès à la messagerie professionnelle partagée et d’en justifier sous un délai de deux mois à compter de la notification de la délibération. A l’issue de ce délai, une astreinte de 200 euros par jour de retard est prévue à partir de la date de notification si la société ne s’est toujours pas mise en conformité.
En rendant publique sa décision, la formation restreinte rappelle la particulière sensibilité de la vidéosurveillance des salariés sur leur lieu de travail. Elle met aussi en avant l’importance de répondre aux mises en demeure de la CNIL. C’est le refus affiché par la société de prendre les mesures pour se mettre en conformité et ce, malgré l’accompagnement de la CNIL vers la conformité dont elle a bénéficié, qui a, en l’espèce, justifié qu’une procédure de sanction soit engagée.
Communiqué de la CNIL du 18 juin 2019.