AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n°2012-027 du 27 septembre 2012 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X, notifiée par lettre recommandée avec accusé de réception à la société le même jour; 
Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, notifié par lettre recommandée avec accusé de réception à la société, le 26 juillet 2013 ; 
Vu les autres pièces du dossier ; 
Ayant entendu, lors de la séance de la formation restreinte du 24 octobre 2013 :
- M. Emmanuel de GIVRY, commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ;- M. A, [...] de la société X ;
A adopté la décision dont la teneur suit : 
I. FAITS ET PROCÉDURE
Le 21 septembre 2011, la Commission nationale de l'informatique et des libertés (ci-après la "Commission") a été saisie d'une plainte émanant d'un salarié de la société X (ci-après la "société") quant aux conditions de mise en œuvre du dispositif de géolocalisation installés dans plusieurs véhicules conduits par les salariés de l'entreprise. Les modalités critiquées consistaient notamment en l'utilisation du dispositif à des fins de contrôle des horaires de certains salariés, l'impossibilité de le désactiver en dehors des heures de travail, la collecte de la vitesse du véhicule et une confidentialité relative des données collectées. 
Par courrier du 18 novembre 2011, la CNIL a informé la société de cette plainte et de la réglementation applicable à la mise en œuvre d'un dispositif de géolocalisation des véhicules d'entreprise, et demandait à la société de lui faire part de ses observations sous quinzaine. La société n'ayant pas répondu à ce courrier, deux courriers de relance lui ont ainsi été adressés les 12 décembre 2011 et 10 janvier 2012.
Les 10 et 30 janvier 2012, la CNIL a été destinataire de deux nouvelles plaintes, notamment d'un salarié de la société ayant fait l'objet d'une sanction pour non-respect des horaires contractuels de travail sur le fondement des rapports de géolocalisation. Informée, la société a indiqué à la Commission que les conditions de mise en œuvre du dispositif étaient conformes à ses directives et recommandations, et qu'elle ne visait en aucun cas à surveiller les salariés. 
Par courrier du 8 mars 2012, la Commission a rappelé à la société que la finalité de suivi de temps de travail ne pouvait être qu'accessoire au regard des quatre finalités principales visées dans la norme simplifiée n° 51 et que cette finalité n'avait pas été portée à la connaissance des salariés. Ce courrier invitait également la société à apporter des précisions sur le degré d'autonomie dont jouissent ses salariés dans l'organisation de leurs déplacements professionnels, sur les possibilités de désactivation du dispositif ainsi que sur la collecte de la vitesse du véhicule concerné.
Suite à de nouvelles relances, la société a répondu à la Commission, le 10 mai 2012. Les réponses apportées par la société n'étant pas satisfaisantes, la Commission a rappelé à celle-ci, le 29 juin 2012, que la finalité de contrôle du temps de travail n'avait pas été portée à la connaissance des salariés, et que ceux-ci devaient disposer de la faculté de désactiver le dispositif de géolocalisation du fait de la tolérance dont bénéficie les employés quant aux trajets domicile-travail effectués avec leurs véhicules de service. 
De nouveaux échanges de courriers ont eu lieu entre la société et la Commission jusqu'en novembre 2012, sans permettre à la Commission d'obtenir de réponse satisfaisante à ses interrogations. 
Au vu de ces faits, la Présidente de la Commission a mis la société en demeure, le 12 novembre 2012, de se conformer dans le délai d'un mois aux dispositions de la loi n°78-17 du 6 janvier 1978 modifiée en prenant un certain nombre de mesures, précisées dans la décision.
En l'absence de réponse à la mise en demeure dans le délai imparti, un courrier de relance a été adressé à la société le 24 décembre 2012. Le 17 janvier 2013, l'avocat de la société a informé la Commission que sa cliente s'était rapprochée de son prestataire pour qu'une solution de désactivation du dispositif de géolocalisation puisse être installée à moyen terme dans les véhicules, et que les salariés avaient par ailleurs été informés qu'une solution temporaire avait été mise en œuvre dans l'intervalle. 
Par courrier du 3 mai 2013, la Présidente a pris acte du caractère temporaire de cette solution et a invité la société à lui apporter des éléments de réponse sur tous les autres points visés dans la mise en demeure. Un courrier de relance a été adressé à la société le 14 juin 2013, celle-ci n'ayant pas répondu. 
La Présidente de la Commission, en l'absence de réponse à ce nouveau courrier, a décidé de désigner M. Emanuel de GIVRY, commissaire, membre de la CNIL, en qualité de rapporteur conformément aux articles 45 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi n°78-17 du 6 janvier 1978 modifiée, le rapporteur a établi un rapport détaillant ces manquements et demandant à la formation restreinte de la Commission de prononcer une sanction pécuniaire de dix mille euros (10 000 €) à son encontre, rendue publique. Le rapport a été notifié à la société par lettre recommandée avec accusé de réception, le 26 juillet 2013. 
En réaction à ce rapport, la société a indiqué à la formation restreinte la liste des personnes ayant accès au dispositif de géolocalisation, copie des accords de confidentialité signés par celles-ci ainsi que des notes d'information individuelles signées des techniciens ayant un système de géolocalisation dans leurs véhicules professionnels. 
La société a par ailleurs été représentée à la séance de la formation restreinte du 24 octobre 2013 par [...], M. A, qui y a alors formulé des observations orales. 
II. MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation de répondre aux demandes de la CNIL
L'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche . 
Aux termes de ces dispositions, la société est tenue de coopérer avec les services de la Commission agissant dans le cadre de ses missions et, à ce titre, de répondre aux demandes dont elle fait l'objet dans le cadre de l'instruction de plaintes.
La Présidente de la Commission a mis la société en demeure de justifier auprès de la CNIL que l'ensemble des demandes formulées dans la mise en demeure a bien été respecté, dans le délai d'un mois. Ces demandes visaient principalement à permettre aux employés de désactiver la fonction de géolocalisation lorsque les véhicules sont utilisés à des fins privées (temps de pause-déjeuner et trajet domicile-travail notamment), à enjoindre à la société de pas collecter ni d'enregistrer la vitesse instantanée et maximale du véhicule, de procéder à l'information des salariés concernés dans les conditions prévues par les textes applicables (finalités du dispositif, données de localisation traitées et durée de conservation des données notamment), ainsi que de prendre des mesures de sécurité adaptées permettant d'assurer la confidentialité des données de géolocalisation (mise en place d'un mot de passe complexe, traçabilité des accès par exemple).
La Commission a adressé de nombreux courriers à la société, que ce soit pour obtenir des éléments de réponse aux plaintes susvisées, à la mise en demeure du 12 novembre 2012, ou encore au rapport du rapporteur. L'envoi de ces courriers (dont pas moins de six courriers de relance) visait à mettre la société en mesure d'établir sa mise en conformité, et à éviter par conséquent que soit initiée une procédure de sanction à son encontre.
La société a soutenu à l'audience n'avoir fait montre d'aucun irrespect envers la Commission, ce dont témoignait précisément sa présence, et qu'elle n'avait pas pu toujours répondre dans les délais lui ayant été impartis du fait qu'il était tributaire de son conseil, auquel il ne pouvait imposer qu'il traite son dossier de façon prioritaire, ne disposant d'aucun moyen de pression en ce sens, notamment du fait de sa taille.
Pour autant, la formation restreinte constate que la société n'a répondu aux courriers de la Commission que de manière ponctuelle, alors que l'intervention de son conseil n'était pas toujours indispensable ; elle n'a pas davantage apporté de réponse à la mise en demeure dans les délais qui lui étaient impartis, et les réponses qu'elle a adressées à la Commission sont toujours demeurées parcellaires. 
De ce fait, la formation restreinte considère que la société a persévéré dans son refus de coopération en persistant à ne lui présenter que des informations incomplètes, ne répondant pas à l'ensemble des éléments demandés, pendant plus de deux ans. 
La formation restreinte estime, dans ces conditions, que la société n'a pas respecté les termes de la mise en demeure sur ce point. 
2. Sur le manquement à l'obligation de respecter les engagements pris lors de l'accomplissement des formalités préalables à la mise en œuvre d'un traitement
Le chapitre IV de la loi n°78-17 du 6 janvier 1978 modifiée prévoit que tout responsable de traitement doit procéder à l'accomplissement de formalités préalablement à la mise en œuvre d'un traitement de données à caractère personnel. L'article 24 de la loi prévoit par ailleurs un mécanisme de simplification des formalités déclaratives en prévoyant que les traitements qui entrent dans le cadre de normes simplifiées publiées par la Commission peuvent faire l'objet d'un engagement de conformité à cette norme.
La Commission a fait usage de cette faculté, le 16 mars 2006, en adoptant une norme simplifiée concernant les traitements automatisés de données à caractère personnel mis en œuvre par les organismes publics ou privés destinés à géolocaliser les véhicules utilisés par leurs employés (délibération n°2006-067 portant adoption de la norme simplifiée n° 51). 
La société a effectué un engagement de conformité à cette norme le 9 mai 2011 pour les traitements de géolocalisation qu'elle met en œuvre. Ce faisant, elle s'est engagée à en respecter l'intégralité des termes, y compris son article 6 qui prévoit que les employés concernés doivent être informés individuellement (...) des catégories de données de localisation traitées [et] de la durée de conservation des données de géolocalisation les concernant (...) .
La Présidente de la Commission a mis en demeure la société de respecter ces dispositions, celle-ci n'ayant jusqu'alors pas justifié avoir procédé d'une part à une information individuelle des personnes concernées, d'autre part à une information portant sur l'ensemble des caractéristiques du dispositif détaillés dans la norme. 
Sur ce point, la formation restreinte constate que la société s'est partiellement mise en conformité sur ce point postérieurement à la mise en demeure, puisqu'elle a justifié avoir procédé à une information individuelle de ses salariés quant à la mise en œuvre du dispositif. 
En revanche, elle constate que la société n'a pas informé ces salariés de l'intégralité des caractéristiques de ce dispositif, en dépit des multiples demandes dont elle a été destinataire à cet effet, la dernière étant en date du 3 mai 2013. 
La formation restreinte constate par conséquent que la société n'a pas respecté les termes de la mise en demeure sur ce point. 
Sur les manquements constatés et la publicité de la décision
La société X n'a pas respecté l'ensemble des termes de la mise en demeure de la Présidente de la Commission en date du 27 septembre 2012. De ce fait, elle ne s'est pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée, et tout particulièrement les dispositions de l'article 21 qui imposait à la société de coopérer avec la Commission, ce qu'elle n'a pas fait.
La formation restreinte considère par conséquent qu'il y a lieu de prononcer une sanction à son encontre.
En revanche, la société s'est mise en conformité sur plusieurs manquements lui ayant été reprochés dans la mise en demeure ; la formation restreinte décide donc de limiter le montant de la sanction pécuniaire à 3000 euros (trois mille euros).
En outre, en raison du refus manifeste de coopération de la société avec la Commission, la formation restreinte décide de rendre cette décision publique. 
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer une sanction pécuniaire de 3.000 euros (trois mille euros) à l'encontre de la société X ; 
- De rendre publique sa décision. 
 
La Présidente, 
 
Claire DAVAL 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents M. Jean-François CARREZ, M. Jean-Marie COTTERET, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2013-005 du 4 avril 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X, notifiée par lettre recommandée avec accusé de réception à la société le même jour ;
Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, notifié par lettre recommandée avec accusé de réception à la société, le 25 juillet 2013 ;
Vu les autres pièces du dossier ;
Ayant entendu, lors de la séance de la formation restreinte du 7 novembre 2013 :- M. Emmanuel de GIVRY, commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ;
La société X n'ayant pas comparu. 
A adopté la décision dont la teneur suit : 
I. FAITS ET PROCÉDURE
Le 19 juin 2012, la Commission Nationale de l'Informatique et des Libertés (ci-après la "Commission" ou la "CNIL") a été saisie d'une plainte enregistrée sous le numéro 12019381 émanant de plusieurs salariés de la société X (ci-après la "société") quant aux conditions de mise en œuvre du dispositif de vidéoprotection installé dans locaux de la société. Les modalités critiquées consistaient en l'installation de trois caméras dans les locaux sans qu'une information adéquate des personnels ait été réalisée. 
Par courrier du 5 juillet 2012, la CNIL a rappelé à la société la réglementation concernant l'installation d'un dispositif de vidéosurveillance. Cette information a été réitérée par courrier du 28 août 2013. Par courrier en réponse du 17 septembre 2012, la société indiquait que la finalité du traitement était la lutte contre le vol et les intrusions. Elle a par ailleurs informé la Commission de la localisation des caméras, de la durée de conservation des enregistrements et du fait que les salariés avaient été informés par voie de l'affichage de la mention "local placé sous vidéosurveillance" à l'entrée du bâtiment et sur le panneau du personnel.
Par courrier du 17 octobre 2012, la Commission a demandé la communication du contenu de l'affichage et a invité la société à déclarer le traitement. 
Cette demande a été réitérée les 12 novembre 2012 et 12 décembre 2012 sans qu'une réponse y soit apportée.
Le 4 avril 2013, la Présidente de la Commission par décision n°2013-005 a mis en demeure la société de produire les éléments demandés par courrier, de déclarer le traitement et de prendre toute mesure utile afin de ne pas s'opposer à l'action de la commission. 
En l'absence de réponse à la mise en demeure dans le délai imparti, un courrier de relance a été adressé le 17 mai 2013 à la société, qui ne s'est pas manifestée. 
Par décision du 18 juillet 2013, la Présidente de la Commission a désigné M. Emanuel de GIVRY, commissaire, membre de la CNIL, en qualité de rapporteur conformément aux articles 45 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi n°78-17 du 6 janvier 1978 modifiée, le rapporteur a établi un rapport détaillant ces manquements et demandant à la formation restreinte de la Commission de prononcer une sanction pécuniaire de dix mille euros (10 000 €) à son encontre, rendue publique. Le rapport a été notifié à la société par lettre recommandée avec accusé de réception, le 29 juillet 2013.
Aucune observation n'a été formulée par la société qui, régulièrement convoquée, n'a pas comparu. 
II. MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement
Le chapitre IV de la loi n°78-17 du 6 janvier 1978 modifiée prévoit que tout responsable de traitement doit procéder à l'accomplissement de formalités préalablement à la mise en œuvre d'un traitement de données à caractère personnel. Les dispositifs de vidéosurveillance sont soumis à un régime de déclaration préalable à leur mise en œuvre. 
Il est établi qu'il n'a été procédé à aucune déclaration du traitement préalablement à sa mise en œuvre et, en tout état de cause, pas au terme du délai fixé par la mise en demeure du 4 avril 2013. 
La formation restreinte constate que la société s'est abstenue d'accomplir la formalité exigée par la loi et qu'au surplus elle n'a pas respecté les termes de la mise en demeure sur ce point ni d'ailleurs sur aucun autre.
Un tel défaut de déclaration constitue le manquement à une obligation légale prévue par le chapitre IV de la loi n°78-17 du 6 janvier 1978 modifiée.
2. Sur le manquement à l'obligation d'informer les personnes
L'article 32 de la loi du 6 janvier 1978 modifiée dispose que "la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ; 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 5° Des destinataires ou catégories de destinataires des données ; 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne".
L'article L.1222-4 du code du travail prévoit qu'"aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance".
La lecture conjointe de ces deux articles impose que les salariés soient informés tant de l'existence du dispositif de vidéosurveillance, que de leurs droits relativement à ce traitement. 
Il est établi aux termes du courrier en réponse de la société que la seule information communiquée aux salariés résulte de l'affichage, en deux endroits, de la mention "local placé sous vidéosurveillance".
La formation restreinte estime, au regard des éléments communiqués par la société que ces deux affichages ne peuvent être regardés comme assurant une information suffisante des salariés quant à l'existence du traitement mis en œuvre. 
Par ailleurs, la formation restreinte constate le caractère incomplet de l'information délivrée qui ne mentionne ni l'identité du responsable de traitement ; ni les modalités d'accès aux enregistrements. 
La société a donc manqué à l'obligation d'information des personnes imposée par l'article 32° de la loi du 6 janvier 1978 modifiée et le code du travail conjointement. 
3. Sur le manquement à l'obligation de répondre aux demandes de la CNIL
L'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que "Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche". 
Aux termes de cette disposition, la société est tenue de coopérer avec les services de la Commission agissant dans le cadre de ses missions et, à ce titre, de répondre aux demandes dont elle fait l'objet dans le cadre de l'instruction de plaintes.
La Présidente de la Commission a enjoint la société de justifier auprès de la CNIL que l'ensemble des demandes formulées dans la mise en demeure a bien été respecté, dans le délai de quinze jours. Ces demandes visaient principalement à obtenir de la société qu'elle procède à la déclaration du traitement, qu'elle délivre une information complète et suffisamment visible à l'ensemble des salariés concernant le traitement mis en œuvre, qu'elle prenne toute mesure utile afin de ne pas s'opposer à l'action de la commission.
La Commission a adressé de nombreux courriers à la société, pour obtenir des éléments de réponse à la suite de la plainte formulée par les salariés de la société.
Pour autant, la formation restreinte constate que la société n'a répondu qu'à un courrier de la Commission et que sa réponse est restée insuffisante au regard des demandes formulées. De la même façon la société n'a pas apporté de réponse à la mise en demeure dans les délais impartis.
De ce fait, la formation restreinte considère que la société a clairement manifesté dans son refus de coopération en persistant à ne pas déférer à la mise en demeure qui lui enjoignait de ne pas s'opposer à l'action de la CNIL et à prendre toute mesure pour faciliter sa tâche. 
La formation restreinte estime, dans ces conditions, que la société n'a pas respecté les termes de la mise en demeure sur ce point.
Sur les manquements constatés et la publicité de la décision