Mise en demeure publique d’une célèbre enseigne high-tech par la CNIL pour défaut de conformité de son système de vidéosurveillance à la loi « Informatique et Libertés »

Décision de la Présidente de la CNIL du 14 octobre 2014

La filiale française d’une célèbre enseigne américaine de produits technologiques s’est vue mettre en demeure publiquement le 14 octobre 2014 par la CNIL de mettre en conformité tous ses systèmes de vidéosurveillance en place dans ses magasins situés sur le territoire français.

La société avait déjà fait l’objet d’une mise en demeure visant son dispositif de vidéosurveillance des salariés installé dans l’un de ses magasins phares à Paris. Cette mise en demeure enjoignait la société d’informer les salariés de la mise en œuvre du dispositif de vidéosurveillance et de ne plus filmer de manière permanente l’espace pause des salariés et les postes de travail des directeurs et managers.

Après mise en conformité confirmée par un contrôle de la CNIL sur place, la clôture de la procédure de mise en demeure avait été notifiée par courrier.

Néanmoins, des contrôles ultérieurs de la CNIL dans d’autres magasins de l’enseigne en France ont révélé la présence de certaines caméras toujours orientées directement vers les salariés à leur poste de travail sans justification particulière et un défaut d’information des salariés. La CNIL a ainsi décidé de mettre en demeure publiquement la filiale française.

Plus spécifiquement, dans sa décision publique, la CNIL reproche à la société un « manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données » au sens de l’article 6-3e de la loi « Informatique et Libertés ».

Il a en effet été relevé que les caméras dans les bureaux de la Direction de trois des quatre magasins contrôlés ne filmaient pas que les zones sensibles mais également les postes de travail de manière directe et constante. Ces mêmes magasins possèdent également des caméras filmant tout ou partie des postes de travail dans les ateliers de réparation, espaces de circulation et/ou de stockage des marchandises, ainsi qu’une caméra filmant une partie de la salle de pause et des vestiaires des salariés.

La CNIL rappelle qu’est justifiée par des impératifs de sécurité la surveillance des zones sensibles mais que la surveillance permanente des salariés est attentatoire à leur vie privée et ne peut être justifiée que par des circonstances exceptionnelles non réunies en l’espèce. De plus, ce système de vidéosurveillance s’ajoute à un dispositif de sécurité déjà très important au sein des magasins (portes blindées, codes d’accès, alarmes, etc) et revêt donc selon la CNIL un caractère disproportionné au regard de la finalité de prévention des atteintes aux personnes et aux biens.

La CNIL retient également le « manquement à l’obligation d’informer les personnes » au sens de l’article 32 de la loi « Informatique et Libertés ». En l’espèce, les salariés étaient informés du système de vidéosurveillance et de sa finalité par le biais du règlement intérieur dont ils reçoivent copie à leur embauche, complété pour trois des quatre magasins contrôlés par un affichage en magasin faisant état du droit d’accès aux images. Selon la société, les salariés étaient également informés du dispositif oralement lors de leur embauche.

Néanmoins, la CNIL applique strictement l’article 32 susmentionné exigeant que soient fournies aux personnes dont les données personnelles sont recueillies « des informations sur l’identité du responsable du traitement, la finalité de ce traitement, les destinataires, leurs droits d’accès, de rectification, et le cas échéant, d’opposition aux données les concernant ». Son décret d’application prévoit la délivrance de ces informations dans un document écrit. Or, en l’espèce, l’information délivrée est jugée lacunaire car la mention de l’existence et des modalités d’exercice des droits des salariés à l’égard du dispositif de vidéosurveillance est soit absente soit insuffisamment lisible et complète du fait de la taille ou l’emplacement des affiches.

La CNIL rappelle que le défaut de conformité à cet article 32 est puni pénalement d’une amende.

La société dispose désormais d’un délai de deux mois à compter de la notification de cette mise en demeure pour se mettre en conformité avec la loi « Informatique et Libertés » (et en informer la CNIL), c’est-à-dire supprimer la surveillance permanente des salariés pendant leur temps de travail effectif mais aussi durant leur temps de pause, par exemple en masquant ou repositionnant des caméras mais également pour informer les salariés dans des conditions conformes à la loi.

S’il s’agit d’une solution classique rappelant les règles applicables en matière de dispositif de vidéosurveillance, la CNIL a souhaité ici marquer les esprits en rendant publique la mise en demeure de cette célèbre enseigne… Publicité que la CNIL justifie par la nature des manquements mais surtout par la nécessité d’informer les quelques 1 000 salariés de la société de leurs droits ainsi que les employeurs de façon générale sur les conditions de mise en place d’un tel dispositif.

La CNIL rappelle néanmoins que la mise en demeure ne constitue pas en soi une sanction, si la société se conforme à la loi dans le délai de deux mois. Ce n’est qu’en cas de persistance des manquements relevés dans la mise en demeure que la CNIL pourrait infliger une sanction (éventuellement pécuniaire) comme elle a pu le faire récemment par une délibération du
17 juillet 2014 dans une hypothèse très similaire où la société n’avait pas informé correctement ses salariés du dispositif de vidéosurveillance et où les caméras filmaient de manière permanente les lieux de travail et de repos des salariés.

Camille RYCKAERT

Téléchargez cet article au format .pdf