Décision
Le 19 décembre 2024, la CNIL a infligé une amende de 40 000 euros à une entreprise du secteur immobilier pour surveillance abusive de ses salariés. L’entreprise effectuait une surveillance permanente et disproportionnée des salariés et de leur activité via notamment des caméras de surveillance et un logiciel de contrôle des ordinateurs (Délibération SAN–2024–021 du 19 décembre 2024).
Commentaire
Cette captation permanente ne reposait sur aucune nécessité impérieuse et était excessive au regard de la finalité, notamment au regard du principe de minimisation des données (article 5 du RGPD).
De plus, un logiciel de surveillance installé sur les postes professionnels des salariés en télétravail enregistrait en permanence leur activité, évaluait leur productivité et détectait les périodes d’inactivité (absence d’interaction avec le clavier ou la souris entre trois et quinze minutes) pouvant entraîner des retenues sur salaire. Or, ces périodes pouvaient correspondre à du travail effectif (réunions, appels, lecture de documents, etc.), rendant le dispositif inadapté et contraire aux principes de proportionnalité et de licéité du traitement des données (article 6 du RGPD).
Ce logiciel réalisait également des captures d’écran régulières, risquant d’enregistrer des informations personnelles (courriels privés, mots de passe), constituant ainsi une atteinte disproportionnée à la vie privée des salariés. La CNIL a d’ailleurs précisé à ce sujet que des moyens alternatifs et moins intrusifs peuvent être mis en place pour encadrer et contrôler le temps de travail et l’activité des salariés.
La CNIL a aussi constaté un manquement à l’obligation d’information (articles 12 et 13 du RGPD) : l’entreprise n’a pas satisfait à son obligation de fournir une information complète, transparente et aisément accessible aux personnes concernées par les dispositifs de surveillance. L’information orale invoquée ne répondait pas aux exigences de transparence et de traçabilité du RGPD.
En matière de sécurité des données (article 32 du RGPD), la CNIL a relevé l’utilisation d’un compte administrateur partagé pour consulter les données du logiciel mesurant le temps de travail et la productivité des salariés, sans système de connexion individualisée. Cette pratique empêchait donc toute traçabilité des accès et augmentait les risques de violations de données.
Enfin, l’entreprise n’avait pas réalisé d’analyse d’impact relative à la protection des données (AIPD), bien que le traitement impliquât un risque élevé pour les droits et libertés des salariés rendant obligatoire cette mesure (article 35 du RGPD).
La sanction de 40 000 euros prononcée par la CNIL a été décidée au regard de la gravité des manquements, tout en prenant en compte la situation financière de l’entreprise et sa taille réduite. La délibération de la sanction a été publiée pour sensibiliser les entreprises à ces enjeux, mais sans nommer la société concernée, compte tenu du fait que la société a immédiatement enlevé le logiciel de surveillance.
Cette décision illustre la volonté de la CNIL de sanctionner fermement les atteintes aux droits des salariés en matière de protection de la vie privée. Elle rappelle aux employeurs que tout dispositif de contrôle doit respecter les principes de proportionnalité, de transparence et de minimisation des données. Ce type de sanction n’est pas isolé : la CNIL a déjà condamné plusieurs entreprises pour des pratiques similaires, notamment Amazon France Logistique en 2023 (32 millions d’euros d’amende), Boulanger en 2022 (500 000 euros) et une PME de nettoyage en 2021 (60 000 euros).
