AgentPublic/cnil huggingface dataset:
57.D’autre part, La formation restreinte relève que la société X a manqué de diligence dans la correction de la vulnérabilité alors qu’en présence d’une violation de données, le RGPD impose une réaction rapide. Il est ainsi prévu au considérant 85 qu’ Une violation de données à caractère personnel risque, si l'on n'intervient pas à temps et de manière appropriée, de causer aux personnes physiques concernées des dommages physiques, matériels ou un préjudice moral […] . Quand bien même aucune personne physique n’a, à ce jour, rapporté avoir subi un dommage en raison de la violation de données, le manque de célérité de la société dans la correction de la vulnérabilité, pendant une durée d’au moins six mois, a eu pour effet de prolonger le risque qu’un tel dommage ne survienne.
Ensuite, la gravité des violations est également à apprécier au regard des catégories de données concernées. A cet égard, la formation restreinte rappelle que les données traitées par la société dans le cadre de la gestion des dossiers des candidats locataires contiennent des informations particulièrement précises sur certains aspects de leur vie privée. Dès lors qu’elle reçoit ce type de données, la société doit apporter une attention toute particulière à la préservation de leur confidentialité et à leurs modalités de conservation ; or elle n’a pas prévu de base intermédiaire et a conservé durant une durée manifestement excessive ces données.
59.La formation restreinte rappelle par ailleurs que le § 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. En l’espèce, dans la mesure où il est reproché à la société un manquement à l’article 5 du Règlement, lequel peut faire l’objet d’une amende pouvant s’élever jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, c’est ce montant maximum qu’il convient de prendre en considération.
60.Compte tenu de l’ensemble de ces éléments, la formation restreinte, tenant compte des critères fixés à l’article 83 du RGPD et de la situation financière de la société, estime qu’une amende administrative à hauteur de 400 000 euros est justifiée et proportionnée, ainsi qu’une sanction complémentaire de publicité pour les mêmes motifs.
 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de rejeter la demande de nullité soulevée par la société X ;
de rejeter la demande de la société X de ne pas prendre en considération les éléments issus de la procédure suivie contre la société Y ;
de prononcer à l’encontre de la société X
,
 une amende administrative d’un montant de 400 000 (quatre cent mille) euros ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
 
 
 
 
Alexandre LINDEN
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Anne DEBET et Mme Sylvie LEMMET, membres ;
 
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Vu la décision n° 2018-031C du 2 février 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification de l’ensemble des traitements de données à caractère personnel mis en œuvre par la société X ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 janvier 2019 ;
 
Vu le rapport de M. Éric PÉRÈS, commissaire rapporteur, du 11 février 2019 ;
 
Vu les observations écrites versées par la société X le 12 mars 2019;
 
Vu les observations en réponse du commissaire rapporteur du 26 mars 2019 ;
 
Vu les observations en réponse versées par la société X le 11 avril 2019 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
 
Vu les autres pièces du dossier ;
 
Étaient présents, lors de la séance de la formation restreinte du 18 avril 2019 :
- M. Éric PÉRÈS, commissaire, entendu en son rapport ;
 
- En qualité de représentant de la société X :
- […] ;
 
- En qualité de conseils de la société X :
[…].
 
La société ayant eu la parole en dernier ;
 
Après en avoir délibéré, a adopté la décision suivante :
 
I. 
Faits et procédure
 
1. La société X (ci-après la société ) est une société par actions simplifiée dont le siège est situé […]. Elle a pour activité la traduction assermentée et libre de documents (traduction juridique, financière, état civil). La société emploie neuf salariés et a réalisé un chiffre d’affaires de 885 739 euros en 2017 et un résultat net négatif de 110 844 euros.
2. Entre 2013 et 2015, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de quatre plaintes concernant la mise en place d’un dispositif de vidéosurveillance dans les locaux de la société. Dans le cadre de l’instruction de ces plaintes, la CNIL a, à deux reprises, par lettres des 18 octobre 2013 et 2 juin 2016, appelé l’attention de la société sur les règles encadrant la mise en place d’un dispositif de vidéosurveillance et de vidéoprotection et sur la nécessité que le dispositif ne porte pas une atteinte excessive au respect de la vie privée des employés sur le lieu de travail. La Commission a, en outre, demandé à la société de lui transmettre des éléments d’information complémentaires sur le dispositif mis en place. La société a confirmé, par lettres des 6 février 2014 et 1er juillet 2016, que ce dispositif se justifiait dans un souci de sécurité des biens et des personnes et qu’il n’était pas utilisé pour surveiller les activités du personnel.
 
3. Malgré les rappels explicites du cadre légal applicable aux dispositifs de vidéosurveillance, quatre nouvelles plaintes ont été adressées à la CNIL en 2017, soulignant la présence de caméras dans l’espace de travail des salariés, les plaçant sous surveillance constante.
4. En application de la décision n° 2018-031C de la Présidente de la Commission du 2 février 2018, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société le 16 février 2018.
 
5. Au cours du contrôle, la délégation a constaté la présence de trois caméras dans les locaux de la société dont une caméra installée dans le bureau des traducteurs, non accessible au public. Cette caméra filmait six postes de travail et une armoire contenant des documents de travail de l’entreprise.
 
6. La délégation a relevé que le dispositif de vidéosurveillance n’a fait l’objet d’aucune information formelle à destination des salariés. Elle a observé que la caméra installée dans le bureau des traducteurs permettait de visualiser en continu les postes de travail. L’opération de contrôle a également permis d’établir que la durée de conservation des images excédait celle nécessaire à la finalité indiquée par la société et que par ailleurs, les mesures mises en place par la société pour l’accès aux postes informatiques et à la boîte de messagerie professionnelle ne permettaient pas d’assurer la sécurité et la confidentialité des données.
 
7. Le procès-verbal n° 2018-031 dressé à l’issue du contrôle sur place a été notifié à la société par lettre du 20 février 2018.
 
8. Des éléments complémentaires ont été fournis par la société par lettre du 12 mars 2018 et courriel du 22 mars 2018.
9. Au vu des manquements relevés après prise en compte des éléments complémentaires fournis, la Présidente de la CNIL a mis en demeure la société, par décision n° 2018-029 du 26 juillet 2018, dans un délai de deux mois, de :
 
- 
 modifier le dispositif de vidéosurveillance afin qu’il soit proportionné au regard de la finalité poursuivie, conformément aux dispositions désormais applicables du c) de l’article 5 du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données, et en particulier :
o 
cesser de placer les salariés sous surveillance constante
, par exemple, en réorientant ou en déplaçant les caméras ou encore en procédant à la mise en œuvre de masques dynamiques lors de la visualisation des images, notamment concernant la caméra située dans le bureau des traducteurs ;
 
- 
mettre en œuvre une politique de durée de conservation
des données à caractère personnel qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, conformément aux dispositions du e) de l’article 5 du Règlement précité désormais applicable, en particulier, ne pas conserver les enregistrements des images du dispositif de vidéosurveillance au-delà d’une période de quinze jours ;
 
- 
procéder à l’information des personnes dont les données sont traitées, notamment s’agissant du dispositif de vidéosurveillance, conformément aux dispositions des articles 12 et 13 du Règlement (UE) 2016/679 désormais applicable, et en particulier :
o informer toute personne, par exemple par l’apposition de panneaux, de la mise en œuvre d’un système de vidéosurveillance, en précisant la finalité du traitement, la durée de conservation et les personnes destinataires des données, l’identité du responsable du traitement et les modalités d’exercice des droits ;
 
- 
prendre toute mesure, pour l’ensemble des traitements de données à caractère personnel mis en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès en application de l’article 32 du Règlement (UE) 2016/679 désormais applicable, notamment :
 
o 
veiller à ce que l’accès aux postes informatiques des salariés 
soit soumis à une authentification de chaque utilisateur,
 par exemple via un identifiant et un mot de passe individuels ;
 
o 
mettre en œuvre une politique de gestion des mots de passe contraignante, 
tant au niveau du logiciel de consultation des images installé sur le poste informatique du dirigeant que des comptes Windows des salariés, selon l’une des modalités suivantes :
§ les mots de passe sont composés d’au minimum douze caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
§ les mots de passe sont composés d’au moins huit caractères, contenant trois des quatre catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme la temporisation d’accès au compte après plusieurs échecs, (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum dix) ;
§ un stockage des mots de passe sous une forme hachée (par exemple, à l’aide de l’algorithme SHA256 avec l’utilisation d’un sel) ; 
dans tous les cas, les mots de passe doivent faire l’objet d’un renouvellement régulier ;
 
o 
mettre en œuvre des mesures permettant d’assurer la traçabilité des accès à la boîte de messagerie utilisée,
 par exemple en mettant en œuvre pour chaque employé des accès individualisés et en supprimant les accès à la boîte de messagerie pour les salariés quittant la société 
.
 
10. Cette décision a été notifiée à la société le 30 juillet 2018.
11. La société a, par lettre datée du 10 septembre 2018, répondu à la mise en demeure sur les différents manquements qui lui étaient reprochés. Elle a indiqué à la Commission que la caméra installée dans le bureau des traducteurs ne permettait plus de visualiser que deux salariés sans que les postes de travail soient filmés en continu. Elle a précisé que la durée de stockage des images avait été modifiée et fixée à quinze jours, les images étant détruites automatiquement passé ce délai. Néanmoins, elle a confirmé que l’accès aux postes de travail des salariés se faisait sans mot de passe afin que chaque salarié puisse avoir accès aux fichiers des projets des autres salariés en cas d’absence. Elle a également confirmé que la session Windows du poste du dirigeant était accessible sans mot de passe, afin notamment que le comptable ou le chef de projets puisse y avoir accès. De même, elle a indiqué que les échanges entre la société et ses clients s’effectuent au moyen d’une adresse de messagerie générique accessible par l’ensemble des salariés au moyen d’un mot de passe partagé de huit caractères. S’agissant de l’information des salariés sur l’existence des caméras, la société a affirmé que cette installation était très visible et qu’un grand panneau était affiché à l’entrée des locaux, comportant le nom et le numéro de téléphone du responsable.
12. Dans la mesure où les justificatifs produits par la société apparaissaient insuffisants, où ses affirmations contredisaient les constatations effectuées lors du contrôle sur place du 16 février 2018 et où elle avait manifesté son intention de ne pas prendre de mesures permettant d’assurer la sécurité des données, une délégation de la CNIL a procédé à une nouvelle mission de contrôle sur place le 10 octobre 2018, sur la base de la décision de la Présidente de la CNIL n° 2018-031C précitée.
 
13. Lors de cette mission, la délégation a constaté que la caméra présente dans le bureau des salariés filmait de manière constante des salariés, sans modification depuis le contrôle initial du 16 février 2018. Elle a également constaté qu’aucune information matérialisée à destination des salariés n’avait été effectuée, précisant notamment la finalité du traitement, la durée de conservation, les personnes destinataires des données, l’identité du responsable de traitement et les modalités d’exercice des droits. La délégation a enfin constaté qu’aucune politique de gestion des mots de passe n’avait été mise en œuvre s’agissant de l’accès aux postes informatiques des salariés ou à la messagerie électronique de la société.
 
14. Le procès-verbal n° 2018-031-2 du 10 octobre 2018 a été notifié à la société le 19 octobre 2018.
15. À la suite du contrôle sur place, la société a spontanément informé la CNIL, par lettre du 15 octobre 2018, qu’elle avait procédé à l’obstruction partielle de la caméra filmant le bureau des traducteurs, avec du ruban adhésif, et qu’elle avait redirigé la caméra vers l’armoire comportant les documents (bons de commande et traductions assermentées) à protéger. Elle a également indiqué avoir établi une note d’information à destination du personnel relative à l’installation de caméras dans les locaux. La société a affirmé avoir créé des mots de passe sur tous les postes informatiques respectant le nombre et les catégories de caractère recommandés.
 
16. Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 29 janvier 2019, sur le fondement de l’article 47 de la loi du 6 janvier 1978 modifiée dans sa version applicable au jour de la désignation.
 
17. À l’issue de son instruction, le rapporteur a fait notifier par porteur à la société X, le 12 février 2019, un rapport détaillant les manquements au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données (ci-après le Règlement ) qu’il estimait constitués en l’espèce.
18. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5 1. c), 12, 13 et 32 du Règlement, assortie d’une astreinte de 1 000 euros par jour de retard à l’issue d’un délai de deux jours suivant la notification de la délibération de la formation restreinte ainsi qu’une amende administrative d’un montant de soixante-quinze mille (75 000) euros qui serait rendue publique. Il proposait également que cette décision soit rendue publique et anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
 
19. Était également jointe au rapport une convocation à la séance de la formation restreinte du 18 avril 2019 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites.
 
20. Le 8 mars 2019, la société a formulé une demande de huis-clos en raison de la confidentialité liée à son activité de traduction. Le président de la formation restreinte a rejeté sa demande par lettre du 21 mars 2019.
 
21. Le 12 mars 2019, la société, par l’intermédiaire de son conseil, a produit des observations. Le rapporteur y a répondu le 26 mars 2019.
 
22. Le 11 avril 2019, la société a produit de nouvelles observations en réponse à celles du rapporteur.
23. Lors de la séance de la formation restreinte du 18 avril 2019, la société a renouvelé sa demande de huis clos, à l’égard de laquelle le président de la formation restreinte a confirmé son refus d’y faire droit, considérant qu’aucun risque d’atteinte à l’ordre public ou à la protection de secrets protégés par la loi n’était caractérisé. L’ensemble des observations présentées au cours de l’instruction ont été réitérées oralement par le rapporteur et la société. Au vu des éléments apportés par la société, le rapporteur a décidé de baisser le montant initialement proposé pour l’amende administrative et proposé un montant de 50 000 euros.
 
 
II. 
Motifs de la décision
 
1. Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
 
24. L’article 5 1. c) du Règlement dispose que les données à caractère personnel doivent être  adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) .
25. La société a été mise en demeure par décision datée du 26 juillet 2018 et notifiée le 30 juillet 2018, dans un délai de deux mois, de modifier le dispositif de vidéosurveillance afin qu’il soit proportionné au regard de la finalité poursuivie. Il lui était en particulier demandé de cesser de placer les salariés sous surveillance constante, par exemple en réorientant ou en déplaçant les caméras ou encore en procédant à la mise en œuvre de masques dynamiques lors de la visualisation des images, concernant la caméra située dans le bureau des traducteurs.
 
26. La société a, dans sa lettre de réponse du 10 septembre 2018, affirmé que la caméra litigieuse ne permettait de visualiser que deux personnes partiellement et qu’elle ne permettait pas de filmer de manière continue le poste de travail de salariés.
27. La délégation a constaté, lors du second contrôle réalisé le 10 octobre 2018, que le dispositif de vidéosurveillance installé dans le bureau des traducteurs ne présentait aucune modification depuis le contrôle initial du 16 février 2018 et qu’il permettait toujours une surveillance constante et permanente des six salariés.
28. Par lettre du 15 octobre 2018, la société a informé la Commission avoir procédé à l’obstruction partielle de la caméra avec du ruban adhésif et redirigé la caméra vers l’armoire contenant les documents à protéger. La photographie produite établissant que la caméra était toujours orientée sur au moins un poste de travail, le rapporteur a considéré que la société ne s’était pas mise en conformité à l’issue du délai imparti dans la mise en demeure.
 
29. Dans son mémoire du 12 mars 2019, la société a indiqué en défense avoir procédé au retrait de la caméra, comme l’établit le procès-verbal d’huissier de justice du 8 mars 2019 et avoir de bonne foi appliqué le régime de la vidéoprotection à la caméra installée dans le bureau des traducteurs au lieu de celui applicable à la vidéosurveillance.
 
30. En premier lieu, s’agissant de la proportionnalité du dispositif de vidéosurveillance, la formation restreinte relève que la société a indiqué avoir mis en place un tel dispositif pour assurer la sécurité des personnes et des biens. Trois caméras sont installées dans les locaux de la société, dont une dans le bureau des traducteurs, non accessible au public, qui filme en continu les salariés présents et l’armoire contenant les documents à traduire.
31. La formation restreinte considère que la mise en œuvre d’un système de vidéosurveillance doit obligatoirement respecter le principe de proportionnalité et que la collecte de données personnelles réalisées via ce dispositif doit être strictement nécessaire à l’objectif poursuivi.
 
32. En effet, l’article 5 1. c) du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données pose le principe de minimisation des données, c’est-à-dire que les données à caractère personnel collectées doivent être limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
 
33. A cet égard, dès lors qu’un dispositif de vidéosurveillance est susceptible de viser des membres du personnel, le nombre, l’emplacement, l’orientation, les périodes de fonctionnement des caméras ou la nature des tâches accomplies par les personnes concernées, sont autant d’éléments à prendre en compte lors de l’installation du système.
34. Il en résulte que, si la surveillance de zones sensibles peut être justifiée par des impératifs de sécurité, le placement sous surveillance permanente de salariés, attentatoire à leur vie privée, ne peut toutefois intervenir que dans des circonstances exceptionnelles tenant, par exemple, à la nature de la tâche à accomplir. Il en est ainsi lorsqu’un employé manipule des objets de grande valeur ou lorsque le responsable de traitement est à même de justifier de vols ou de dégradations commises sur ces zones. Au demeurant, l’article L. 1121-1 du code du travail prévoit que Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché .
35. En l’espèce, la formation restreinte relève qu’aucune circonstance exceptionnelle justifiant de placer les traducteurs, qui sont des traducteurs assermentés, sous surveillance permanente n’est démontrée par la société. Cette dernière invoque la nécessité de protéger les documents traduits. Pour autant, si la nature des documents peut justifier la mise en place de mesures particulières de protection, il convient d’envisager, préalablement à l’utilisation d’un dispositif de vidéosurveillance conduisant à filmer de manière constante les salariés, des procédés alternatifs tels que la sécurisation des accès sur le lieu de travail. Or de tels procédés alternatifs n’ont pas été envisagés par la société, qui ne fait d’ailleurs pas état de vols ou de dégradations survenus dans ses locaux, susceptibles de justifier la mise en place d’un tel dispositif.
 
36. Dans ces conditions, l’utilisation d’un dispositif de vidéosurveillance conduisant à placer des salariés sous une surveillance permanente n’apparaît pas justifiée et doit être considérée comme manifestement disproportionnée et excessive au regard de la finalité déclarée.