AgentPublic/cnil huggingface dataset:
37. En second lieu, s’agissant de l’absence de mise en conformité dans le délai fixé par la mise en demeure, la formation restreinte note que deux lettres de la CNIL, adressées à la société dans le cadre de l’instruction de plaintes les 18 octobre 2013 et 2 juin 2016, lui a expressément rappelé la nécessité de mettre en place un dispositif de vidéosurveillance proportionné au regard des finalités mises en œuvre. Ces lettres indiquaient précisément que ce dispositif ne pouvait avoir pour effet de placer sous une surveillance constante un employé ou un groupe d’employés à leurs postes de travail, sauf circonstance exceptionnelle liée à la sensibilité du poste occupé. Malgré ces lettres et la mise en demeure de la Présidente de la CNIL du 26 juillet 2018, il ressort des constats effectués par la délégation de la Commission le 10 octobre 2018 que le dispositif de vidéosurveillance mis en place dans le bureau des traducteurs permettait toujours de filmer des salariés de manière constante et ce, contrairement aux affirmations de la société soutenant que les salariés n’étaient pas filmés en continu.
 
38. La formation restreinte relève, en outre, que si la société a pris une mesure le 15 octobre 2018 consistant en l’apposition de ruban adhésif sur la caméra, ce procédé sommaire ne permettait pas d’atteindre la conformité, puisqu’il ressort des pièces du dossier qu’au moins un salarié était encore filmé en continu à son poste de travail.
39. La formation restreinte retient ensuite que la société a procédé au retrait de la caméra litigieuse le 8 mars 2019, comme cela ressort du procès-verbal d’huissier de justice produit en défense. Elle constate que cette mise en conformité est intervenue tardivement, dans la mesure où ce n’est qu’à la notification du rapport que la société a pris des mesures permettant de ne plus filmer de manière permanente le poste de travail des salariés, alors que cela lui était demandé depuis le 18 octobre 2013.
 
40. La formation restreinte retient, en tout état de cause, que la société ne s’est pas mise en conformité à l’expiration du délai fixé dans la mise en demeure du 26 juillet 2018.
 
41. Sur la base de ces éléments, la formation restreinte considère que le manquement à l’article 5 1. c) du Règlement est constitué.
 
2. 
Sur le manquement à l’obligation d’informer les personnes
42. L’article 12 du Règlement dispose : 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique .
 
43. L’article 13 du Règlement prévoit que : 1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
a)
 l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
b) 
 le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale (…) ;
2. En plus des informations visées au paragraphe 1, le responsable de traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
b) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
d) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
e) des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;
f) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphe 1 et 4, et, au moins en pareil cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée (…).
 
44. La société a été mise en demeure de procéder à l’information des personnes dont les données étaient traitées, notamment s’agissant du dispositif de vidéosurveillance placé dans le bureau des traducteurs, conformément aux articles 12 et 13 précités, la mise en demeure citant différentes modalités d’information possibles.
 
45. A l’occasion du second contrôle du 10 octobre 2018, la délégation a constaté qu’aucune information formelle à destination des salariés, comportant les éléments prévus par l’article 13 du Règlement, n’avait été mise en œuvre. Elle a toutefois été informée que la société s’engageait à rédiger une note d’information à destination des salariés sur le dispositif de vidéosurveillance.
46. Le rapporteur reproche à la société de ne pas s’être conformée aux injonctions formulées dans la mise en demeure dans le délai imparti et de n’avoir initié des mesures relatives à l’information des salariés quant au dispositif de vidéosurveillance qu’à l’issue du second contrôle.
 
47. En défense, la société fait valoir, d’une part, que c’est en raison d’une confusion entre les régimes applicables aux dispositifs de vidéoprotection et de vidéosurveillance qu’elle a pu délivrer une information qui n’était pas satisfaisante au regard des dispositions de l’article 13 du Règlement et, d’autre part, que le dispositif de vidéosurveillance ayant été retiré, elle n’avait plus à effectuer d’information relative à la mise en place d’un tel dispositif.
 
48. La formation restreinte relève que la caméra ayant été retirée du bureau des traducteurs, la société n’a effectivement plus, à ce jour, à délivrer d’information aux salariés relative à ce dispositif. Elle relève toutefois que le retrait est intervenu tardivement, puisque c’est uniquement au stade de la procédure de sanction que la mesure a été prise, presque six mois après l’expiration du délai fixé dans la mise en demeure.
49. La formation restreinte considère en outre que, dès le contrôle sur place du 16 février 2018, le dirigeant de la société a été interrogé par la délégation sur la mise en place d’une information formelle à destination des salariés sur le dispositif de vidéosurveillance placé dans le bureau des traducteurs. La nécessité d’une information spécifique à destination des salariés a lui a donc été rappelée dès février 2018. La société a d’ailleurs été mise en demeure de dispenser une information à destination des salariés, conforme aux dispositions des articles 12 et 13 du Règlement.
 
50. Si la société a partiellement complété le panneau d’information présent dans le hall d’accueil dans le délai fixé par la mise en demeure, la formation restreinte relève qu’il s’agit d’un panneau relatif à la vidéoprotection, à destination des visiteurs, qui ne comporte pas les éléments visés à l’article 13 du Règlement. Les mesures d’information particulières, indiquées dans la mise en demeure, qui devaient être prises à destination des salariés n’avaient pas été réalisées puisque la formation restreinte note qu’au jour du second contrôle, le 10 octobre 2018, aucune information formelle à destination des salariés n’avait été mise en œuvre.
51. La formation restreinte relève que la société a établi, postérieurement à ce contrôle, comme elle l’avait indiqué à la délégation, une note d’information à destination des salariés qui reste toutefois incomplète au regard des exigences de l’article 13 du Règlement.
 
52. La société, malgré la bonne foi invoquée, disposait de toutes les informations requises quant aux éléments devant être portés à la connaissance des salariés. Elle n’était donc toujours pas en conformité à l’issue du délai de mise en demeure, ni lors du second contrôle réalisé le 10 octobre 2018.
 
53. Sur la base de ces éléments, la formation restreinte considère que le manquement aux articles 12 et 13 du Règlement est constitué.
 
3. Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données
 
54. Aux termes de l’article 32 du règlement (UE) n° 2016/679 du 27 avril 2016 :
 
(…) le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : 
a)
 la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans les délais appropriés en cas d’incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement
(…).
 
55. La société a été mise en demeure de remédier aux défauts de sécurité relatifs à l’accès aux postes informatiques des salariés afin qu’ils soient soumis à une authentification de chaque utilisateur. La mise en demeure a également enjoint à la société de mettre en place une politique de gestion des mots de passe contraignante au niveau du logiciel de consultation des images installé sur le poste informatique du dirigeant et au niveau des comptes Windows des salariés, ainsi que de mettre en œuvre des mesures permettant d’assurer la traçabilité des accès à la boîte de messagerie professionnelle générique et de supprimer les accès à cette boîte de messagerie pour les salariés quittant la société.
56. Par lettre du 10 septembre 2018, la société a confirmé que l’accès aux postes de travail des salariés et à la session Windows du poste du dirigeant se fait sans mot de passe. Elle a précisé que l’accès à la messagerie professionnelle générique pour les échanges avec les clients et la société s’effectuent au moyen d’une adresse de messagerie générique accessible par l’ensemble des salariés via un mot de passe partagé, composé de huit caractères.
 
57. Lors du contrôle du 10 octobre 2018, la délégation a confirmé les constats effectués lors du premier contrôle, à savoir que l’ensemble des salariés continuaient d’utiliser un identifiant et un mot de passe uniques et partagés pour accéder à la messagerie professionnelle et que les accès aux postes informatiques des salariés n’étaient toujours pas soumis à authentification. La société a néanmoins informé la délégation qu’elle envisageait de réunir les salariés afin de trouver une solution à la mise en œuvre d’une politique de gestion des mots de passe des postes informatiques compatible avec le fonctionnement de l’entreprise.
 
58. La délégation a constaté qu’au jour du contrôle du 10 octobre 2018, aucune politique de gestion des mots de passe contraignante n’avait été mise en place pour les postes informatiques et qu’aucune mesure n’avait été prise pour assurer la traçabilité à l’accès à la messagerie professionnelle.
59. Il était ainsi reproché à la société de ne pas s’être mise en conformité, s’agissant des mesures à prendre permettant d’assurer la sécurité et la confidentialité des données.
 
60. Dans son mémoire du 11 avril 2019, la société fait valoir que chaque salarié dispose désormais d’un identifiant personnel et d’un mot de passe répondant aux recommandations de la CNIL, telles que définies dans sa délibération n° 2017-012 du 19 janvier 2017, comme cela ressort du procès-verbal d’huissier de justice du 10 avril 2019.
 
61. La formation restreinte relève que si la société s’est mise en conformité au cours de l’instruction, s’agissant de l’authentification de chaque utilisateur lors de l’accès aux postes informatiques des salariés et de la mise en œuvre d’une politique de mots de passe contraignante, elle ne l’avait pas fait à l’expiration du délai de mise en demeure, ni lors du second contrôle du 10 octobre 2018. Elle ne l’a fait que postérieurement à l’issue de l’engagement d’une procédure de sanction.
 
62. La formation restreinte constate, en outre, que la société n’a apporté aucune réponse s’agissant des mesures à mettre en œuvre afin d’assurer la traçabilité des accès à la boîte de messagerie professionnelle générique. Elle note cependant que la société s’engage à révoquer les accès en cas de départ définitif d’un salarié.
 
63. Sur la base de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l’article 32 du Règlement est constitué.
4. Sur la sanction et la publicité
64. L’article 20-III de la loi du 6 janvier 1978 modifiée dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…) 2° Une injonction de mettre en conformité le traitement avec les obligations résultant de la présente loi ou du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité (…), qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; (…) 7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du Parlement européen et du
Conseil du 27 avril 2016 précité, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83.
65. L’article 83 du RGPD prévoit :
66. En premier lieu, s’agissant de l’injonction de mettre en conformité le traitement avec les dispositions des articles 5 1 c), 12, 13 et 32 du Règlement, la formation restreinte relève que la société a procédé au retrait de la caméra placée dans le bureau des traducteurs. Elle considère dès lors qu’il n’y a plus lieu de maintenir l’injonction tendant à modifier le dispositif de vidéosurveillance afin que les salariés ne soient plus placés sous une surveillance constante.
 
67. La formation restreinte considère également que le dispositif de vidéosurveillance ayant été retiré, la société n’a plus à délivrer d’information relative à la mise en œuvre d’un tel dispositif. En conséquence, il n’y a plus lieu de maintenir l’injonction relative au manquement à l’obligation d’information des personnes concernées.
68. En revanche, la formation restreinte constate que la société n’a pas mis en place de mesures permettant d’assurer la traçabilité des accès individuels à la boîte de messagerie professionnelle partagée. En effet, afin d’assurer la sécurité et la confidentialité des données personnelles ou de déterminer l’origine d’un incident de sécurité, il convient de procéder à la détermination des personnes habilitées à accéder aux données et de tracer les actions effectuées sur le système informatique en vue notamment d’identifier les accès illicites et les risques d’atteinte à l’intégrité des données. Pour ce faire, il convient de s’assurer que les utilisateurs sont authentifiés au moyen de comptes individuels avant d’accéder aux données et que ces accès à la messagerie générique font l’objet d’une journalisation. 
 
69. Faute pour la société de s’être mise totalement en conformité sur ce manquement, il y a lieu de maintenir l’injonction.
 
70. En second lieu, la société soutient qu’une amende administrative de 75 000 euros serait disproportionnée compte tenu des critères fixés par l’article 83 du Règlement, de ses capacités financières et des sanctions précédemment prononcées par la formation restreinte. Elle met en avant les mesures prises pour atténuer le dommage subi par ses salariés, son degré de coopération avec la Commission, sa confusion entre les régimes de vidéoprotection et de vidéosurveillance et les graves difficultés financières qu’elle rencontre depuis trois ans.
71. Tout d’abord, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société pour les motifs suivants.
 
72. La formation restreinte rappelle que les manquements aux articles 5 1 c), 12, 13 et 32 du Règlement ont persisté au-delà du délai imparti par la mise en demeure de la Présidente de la Commission et que ce n’est qu’à la notification du rapport de sanction que la société a pris des mesures pour se mettre partiellement en conformité. La société n’a ainsi, contrairement à ce qu’elle soutient, pas activement collaboré avec les services de la Commission jusqu’à l’engagement de la procédure de sanction.
73. Plus particulièrement, s’agissant du manquement relatif au dispositif de vidéosurveillance, la formation restreinte souligne que la société a placé sous une surveillance constante les traducteurs de la société pendant plusieurs années sans motif valable et sans qu’aucune mesure ne soit prise à cet égard à la suite des lettres adressées à la société par la CNIL en 2013 et 2016, du contrôle sur place du 16 février 2018, de la mise en demeure adressée à la société le 26 juillet 2018 et du second contrôle sur place réalisé le 10 octobre 2018. De surcroît, la formation restreinte relève que la société a apporté des réponses en contradiction avec les constats établis lors des opérations de contrôle. En tout cas, ce n’est qu’en mars 2019 que la société a procédé au retrait de la caméra litigieuse, une fois la procédure de sanction engagée. La société ne peut donc se prévaloir d’avoir mis en place des moyens visant à limiter l’atteinte subie par les salariés, dès lors que la caméra a été retirée très tardivement, plusieurs mois après l’expiration du délai de mise en demeure. Elle ne peut davantage se prévaloir d’une quelconque confusion du cadre légal applicable au vu des échanges qui ont eu lieu entre la société et les services de la Commission, lui enjoignant de cesser de placer ses salariés sous une surveillance constante.
74. En outre, la formation restreinte souligne la particulière sensibilité du dispositif de vidéosurveillance des salariés sur leur lieu de travail. Elle rappelle que le premier contrôle sur place de la CNIL a été décidé à la suite du dépôt de huit plaintes entre 2013 et 2017 relatives au dispositif de vidéosurveillance et que la finalité du traitement invoqué – la sécurité des biens s’agissant de la protection des documents confidentiels à traduire – ne requiert pas que les traducteurs assermentés soient filmés en continu. Une réorientation de la caméra ou la mise en place de masques dynamiques étaient par exemple possibles.
 
75. S’agissant du manquement relatif à l’information des personnes, la formation restreinte souligne que la société a été mise à même, grâce à l’injonction formulée dans la mise en demeure, de comprendre la nécessité d’informer les salariés sur la mise en place d’un dispositif de vidéosurveillance et des mentions requises qui y avaient été expressément énumérées. Toutefois, force est de constater qu’une information satisfaisante n’a pas été délivrée aux personnes dans le délai fixé par la mise en demeure.
76. S’agissant du manquement relatif à la sécurité et la confidentialité des données, la formation restreinte relève que la société n’a pas remédié à l’absence de sécurisation de l’accès aux postes informatiques des salariés à l’issue du délai fixé par la mise en demeure. Ce n’est que le 10 avril 2019, comme en atteste le procès-verbal d’huissier de justice produit par la société, que celle-ci s’est mise en conformité en mettant en place un identifiant personnel et un mot de passe pour chaque salarié pour l’accès aux postes informatiques ainsi qu’à la session Windows du dirigeant. La formation restreinte relève que les démarches entreprises par la société pour assurer la sécurité des données ont été réalisées tardivement.
 
77. Enfin, la société ne s’est pas mise en conformité, à la date de la présente délibération, afin d’assurer la traçabilité des accès individuels à la boîte de messagerie professionnelle générique.
78. Ensuite, la formation restreinte rappelle que le § 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce puisque trois manquements sont caractérisés, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement à l’article 5 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. A cet égard, si la société fait valoir, à titre de comparaison, le montant des sanctions pécuniaires précédemment prononcées par la formation restreinte, cela est sans incidence. Il s’agit de sanctions pécuniaires prononcées avant l’entrée en application du Règlement et pour certaines, avant la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique. Le plafond maximal du montant des sanctions était, dans le cas des décisions citées par la société, de 150 000 euros sous l’empire de la loi no 2011-334 du 29 mars 2011 puis de 3 millions d’euros sous l’empire de la loi pour une République numérique.