AgentPublic/cnil huggingface dataset:
Elle retient que la société a ainsi indûment mis en place un traitement qu’elle savait illégal depuis la notification du refus, le 18 mai 2007, étant rappelé que le régime de demande d’autorisation s’applique aux traitements les plus sensibles en termes de risque d’atteinte aux droits et libertés protégés par la loi du 6 janvier 1978 modifiée. En outrepassant la décision de la Commission, la société a ainsi laissé fonctionner un traitement de nature à porter gravement atteinte à la vie privée des personnes concernées, et ce jusqu’au jour de son constat sur place par la Commission. 
En outre, elle constate que les deux dispositifs biométriques mis en cause visent à contrôler l’accès des personnes d’une part à un local informatique, et d’autre part la porte d’accès aux bureaux. La Commission s’interroge dès lors sur la pertinence de l’argument selon lequel l’installation de ces lecteurs biométriques aurait résulté des exigences de l’administration des Douanes et des assureurs de la société, dans la mesure où ces dispositifs ne viseraient dès lors pas à protéger des marchandises. En tout état de cause, il ne peut être pris appui sur ces exigences pour justifier de la mise en place d’un dispositif illégal, quand des dispositifs alternatifs, compatibles avec la doctrine de la Commission, auraient aussi bien permis de satisfaire à de telles obligations réglementaires et contractuelles.
Par ailleurs, la société indique qu’elle a pris des mesures de nature à se conformer aux décisions et constats de la Commission depuis son contrôle. 
Sur ce point, en premier lieu, la Commission prend acte du fait que la société M. a rédigé une note d’information  à destination de son personnel. Si la Commission considère ce premier élément comme satisfaisant, elle note toutefois qu’il ne ressort pas des écritures de la société que cette information a été effectivement communiquée aux personnes concernées.
En second lieu, la Commission prend également acte du fait que la société M. a effacé les données de passage du système de stockage. Si cet élément doit également être tenu pour satisfaisant, la Commission note toutefois que cette mesure ponctuelle et transitoire ne saurait équivaloir à la mise d’une politique de purge, assortie des procédures et moyens techniques correspondants, qui seraient seuls de nature à la mettre en mesure de satisfaire à ses obligations au regard de la loi du 6 janvier 1978 modifiée.
Dès lors, la Commission se doit de relever que, pour l’heure, elle ne dispose d’aucun élément concret susceptible de la faire conclure à la cessation des manquements constatés, et dès lors à modifier son appréciation sur les faits l’ayant conduit à faire examiner ce dossier par la formation restreinte.
C’est pourquoi, eu égard à la gravité des manquements constatés, au surplus réitérés lors de l’audience, la Commission ne saurait trouver aucune justification au maintien de cette situation, s’agissant en particulier de la mise en œuvre persistante d’un traitement ayant fait l’objet d’un refus d’autorisation de sa part.
PAR CES MOTIFS
Conformément au 1° du II de l’article 45 de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
D’ordonner l’interruption du traitement déclaré à la Commission sous le numéro.  pour une durée de trois mois à compter de la notification de la présente décision, délai durant lequel il lui appartiendra de se mettre en conformité avec les dispositions de la loi du 6 janvier 1978 modifiée.
La société M. dispose d’un délai de deux mois pour exercer un recours devant le Conseil d’Etat à l’encontre de la présente délibération.
A Paris, le
Le Président 
Alex TURK
(Saisine n°10004020 et demande d’avis n° 1420925)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville d’un projet de décret en Conseil d’Etat portant création d’un traitement de données à caractère personnel relatif au contrôle à titre expérimental des arrêts maladie des fonctionnaires et sur la mise en œuvre du dispositif ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale et notamment ses articles L. 315-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 27-I-1° ; 
Vu la loi n°84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l’Etat et notamment son article 2 ;
Vu la loi n°2009-1646 du 24 décembre 2009 de financement de la sécurité sociale pour 2010 et notamment son article 91 ;
Vu le décret n°86-442 du 14 mars 1986 relatif à la désignation des médecins agréés, à l'organisation des comités médicaux et des commissions de réforme, aux conditions d'aptitude physique pour l'admission aux emplois publics et au régime de congés de maladie des fonctionnaires
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Emet l’avis suivant :
L’article 91 de la loi n° 2009-1646 du 24 décembre 2009 de financement de la sécurité sociale pour 2010 prévoit de confier à titre expérimental pendant deux ans le contrôle des arrêts maladie des fonctionnaires aux caisses primaires d’assurance maladie (CPAM) et aux services du contrôle médical placés près d'elles.
La Commission a été saisie par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville, d’un projet de décret en Conseil d’Etat portant création d’un traitement de données à caractère personnel relatif à ce  contrôle et d’un dossier de formalités déposé par la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) pour la mise en œuvre du traitement.
Conformément à l’article 27-I 1° de la loi du 6 janvier 1978 modifiée, la Commission est saisie pour avis de ce projet de décret en Conseil d’Etat, dans le mesure où le traitement comporte le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (RNIPP) afin d’identifier les fonctionnaires concernées.
Cette expérimentation s'applique aux agents relevant de la fonction publique d’Etat dans les services déconcentrés situés dans le ressort des CPAM de Clermont-Ferrand, Lyon, Nice, Rennes, Strasbourg/Sélestat/Haguenau. Dans le ressort de la CPAM de Paris, elle s’applique aux seuls agents des services centraux des ministères économiques et financiers. 
Pour les arrêts prescrits à ces agents pour une durée inférieure à six mois consécutifs et n’ouvrant pas droit au régime des congés de longue maladie ou de longue durée, et lorsque ces arrêts sont au nombre de plus de 3 sur une période de 12 mois ou de plus de 45 jours, elle porte sur le bien-fondé de ces arrêts. Toutefois, pour les agents des services situés dans le ressort de la CPAM de Lyon, elle s’applique également  au contrôle de la présence au domicile pendant les heures de visite. 
Les modalités de mise en œuvre de l’expérimentation sont encadrées par une convention conclue entre le ministre chargé de la sécurité sociale, le ministre chargé de la fonction publique et le directeur général de la CNAMTS qui prévoit également les indicateurs de suivi de l'expérimentation.
La mise en place de ce dispositif nécessite la création d’un outil dénommé « ADTF » mis à la disposition des caisses, des services du contrôle médical et des administrations concernés par l’expérimentation pour enregistrer et échanger les données nécessaires au suivi et au contrôle des arrêts maladie.
Chaque fois que l’administration réceptionne un arrêt de travail, elle se connecte à l’outil partagé et saisit l’identité de la personne concernée et les caractéristiques de l’arrêt. 
La caisse et le service du contrôle médical du lieu d’activité du fonctionnaire sont informés du nouvel arrêt de travail. L’outil partagé calcule automatiquement le nombre d’arrêts sur les 12 derniers mois, afin de générer un message d’information auprès de la CPAM et du service du contrôle médical concernés portant sur le nombre de jours d’arrêt cumulés  des fonctionnaires qui arrivent à 45 jours consécutifs.
Le service du contrôle médical organise le contrôle de ces agents et rend un avis (avis favorable, défavorable, « avis technique impossible pour absence à convocation »).
S’agissant du contrôle de présence au domicile effectué par la CPAM de Lyon, l’avis rendu par le service du contrôle médical prend la forme suivante : présent au domicile, présent au domicile mais refuse le contrôle et la convocation, absent en dehors des horaires autorisés et convocation au service du contrôle médical.
La date et la nature de la mesure prise par l’administration à la suite  du contrôle sont renseignées dans l’outil : mise en demeure de reprendre les fonctions, interruption de la rémunération, retenue d’une partie de la rémunération, avertissement du fonctionnaire pour l’informer qu’il s’expose à un nouveau contrôle.
Les contestations et recours éventuels sont mentionnés dans l’outil.
Des statistiques agrégées sont réceptionnées par la CNAMTS puis transmises à la direction de la sécurité sociale et à la direction générale de l’administration et de la fonction publique responsables du suivi de l’expérimentation.
Les catégories de données traitées sont relatives à l’identité du fonctionnaire, son adresse, son NIR, au régime de l’arrêt de travail, aux informations permettant le suivi et le contrôle des arrêts ainsi qu’à l’évaluation du dispositif, au service dans lequel est affecté l’agent, à la date et à la nature du contrôle opéré, au résultat du contrôle, à la date et à la mesure prise par l’administration à la suite du contrôle, de la contestation ou du recours.
Les données sont conservées pendant toute la durée de l’expérimentation et l’année qui suit la fin de l’expérimentation. En cas de contentieux, les informations sont conservées jusqu’à une décision de justice devenue définitive. 
Les destinataires des données sont les agents individuellement habilités par les employeurs, par les caisses et les services du contrôle médical.
Il conviendrait d’indiquer à l’article 3 du projet de décret que les agents habilités par les employeurs sont ceux chargés de la gestion des ressources humaines et pour les caisses et les services du contrôle médical les agents chargés du suivi des dossiers.
S’agissant des mesures de sécurité mises en œuvre, la Commission note que l’application est hébergée au centre d’exploitation national de Valenciennes. L’accès à l’outil est tracé et s’effectue avec une carte à puce pour les agents de l’assurance maladie et avec un identifiant et un mot de passe d’au moins 8 caractères pour les agents habilités par les employeurs. 
Au sein de l’assurance maladie, les agents se connectent à un réseau privé interne. Les échanges d’informations avec les organismes extérieurs sont chiffrés ainsi que les sauvegardes des données.
L’information des personnes se fera par diffusion, à l’initiative des préfets des départements concernés, d’une note à l’ensemble des agents des services déconcentrés. Il conviendrait de prévoir une mesure analogue pour les agents des services centraux de Paris. La Commission prend acte que lorsqu’un agent envoie à son employeur un 3ème arrêt maladie en 12 mois, l’administration lui envoie un courrier l’informant d’un contrôle dans l’hypothèse d’un 4ème arrêt de travail.
Les droits d’accès et de rectification s’exercent auprès de l’administration employeur du fonctionnaire. 
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de M. Alex TURK ; 
Etant aussi présents M. Emmanuel de GIVRY, vice-président délégué, Mme Isabelle FALQUE-PIERROTIN, vice-présidente, Mme Claire DAVAL, M. Sébastien HUYGHE et M. Jean-Marie COTTERET, membres ; 
Vula Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vule décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
Vu le rapport de M. CARREZ, commissaire rapporteur, remis en mains propres à la société X… le1er avril 2010 ; 
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 22 avril 2010 :
M. Jean-François CARREZ, commissaire, en son rapport ;
Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Mme Y…, directrice technique, représentante de la société X…, en la défense de cette dernière ;
Madame Y… ayant pris la parole en dernier.
Faits et procédure
A. Faits
La société X… (ci-après « la société ») a pour principale activité le transport de marchandises par camions. Elle compte 200 salariés répartis sur trois sites. Etablie à B. (93), elle dispose d’une agence principale à M. (77) et d’une agence secondaire à C. (01).
La saisine de la CNIL en date du 24 juin 2009
La Commission nationale de l’informatique et des libertés (ci-après « la CNIL » ou « la Commission ») a été saisie le 24 juin 2009 d’une plainte d’un salarié de la société, relative à la mise en œuvre en 2006 d’un dispositif de vidéosurveillance sur le lieu de travail (PL n° …). Le plaignant reprochait notamment à la société de n’avoir pas effectué de formalités préalables auprès de la CNIL concernant ce dispositif, de n’avoir pas informé les institutions représentatives du personnel et de n’avoir mis en place aucun support d’information sur la vidéosurveillance.
A la demande du comité d’entreprise de la société, celle-ci a effectivement mis en place un système de vidéosurveillance sur le site de M. L’installation de ce dispositif répondait à des actes de dégradation et de vols commis sur ce site. Le dispositif installé vise le local de repos des salariés (concernés par les dégradations et le vol précités), ainsi que le parking et un bureau de travail. La société n’a procédé à aucune formalité préalable concernant ce dispositif installé en 2006.
Le 4 mai 2009, la direction départementale du travail de Seine-Saint-Denis a demandé à la société de l’informer sur les formalités accomplies auprès de la CNIL concernant le dispositif de vidéosurveillance ainsi que sur la consultation préalable des institutions représentatives du personnel. 
Le 22 juin 2009, la société a effectué une déclaration auprès de la CNIL concernant le système de vidéosurveillance mis en œuvre depuis 2006 sur le site de M. (déclaration n° …). La déclaration mentionne une finalité de sécurité du personnel, du parc et du matériel roulant et indique une durée de conservation des données d’un mois. 
L’instruction de la plainte
Par un courrier du 26 juin 2009, la Commission a interrogé la société sur le dispositif mis en œuvre. Elle a notamment attiré son attention sur l’obligation de limiter le dispositif à une finalité de sécurité des biens ou des personnes, de consulter les institutions représentatives du personnel, d’informer individuellement les salariés concernés, d’assurer la sécurité et la confidentialité des images enregistrées ainsi que de limiter la durée de conservation à une durée maximum d’un mois. 
Par un courrier du 1er juillet 2009, la société a indiqué que la caméra installée dans la salle de repos de ses salariés n’enregistrait pas le son. Elle a précisé que cette caméra avait été installée à la demande du comité d’entreprise.
Elle a par ailleurs confirmé que les caméras installées dans le bureau d’exploitation filmaient les salariés de manière continue et indiqué que le comité d’entreprise en avait été informé lors de l’assemblée des représentants du personnel du 31 octobre 2006. Elle a précisé que des affichettes d’information sur le dispositif de vidéosurveillance étaient apposées dans les lieux concernés. 
Le 17 novembre 2009, la Commission a adressé à la société un courrier lui rappelant le caractère a priori disproportionné de la mise sous surveillance d’un employé déterminé ou d’un groupe d’employés, au regard de la finalité de lutte contre des dégradations matérielles. Elle a par ailleurs demandé à la société de préciser les personnes ayant accès aux images. 
Par un courrier du 11 décembre 2009, la société a indiqué que les caméras n’enregistreraient à l’avenir des images qu’entre 21h à 7h du matin du lundi au jeudi et du vendredi à 21h jusqu’au lundi à 7h du matin, afin d’assurer la sécurité des salariés « isolés » la nuit et le week-end. Elle a précisé que les images pouvaient être visionnées au niveau du poste de gardiennage de l’agence de M. ainsi que par la direction, au siège de B.
La société a également précisé que la caméra visionnant la salle de repos des salariés ne permettrait plus, prochainement, d’enregistrer des images et que seul le poste de gardiennage de l’agence de M. permettrait de visualiser les images en temps réel. La direction ne pourrait plus y accéder depuis le siège social. 
Enfin, elle a indiqué qu’elle remplaçait la mention de ses affichettes d’information sur l’existence du dispositif de vidéosurveillance par la mention préconisée par la CNIL. 
Les contrôles sur place diligentés par la Commission le 2 mars 2010
En application de la décision n° 2010-036C du 19 février 2010 du président de la Commission, une délégation de la CNIL a procédé à un contrôle sur place auprès de la société le 2 mars 2010, successivement dans les locaux de l’agence principale à M. puis dans les locaux du siège social à B. Ce contrôle avait notamment pour objet de vérifier les conditions de mise en œuvre du système de vidéosurveillance installé en 2006, et la mise en œuvre des engagements pris par la société dans son courrier en date du 11 décembre 2009. 
* Les constats effectués à l’agence principale de M.
La délégation a constaté la présence de quatre caméras dans ces lieux. Deux caméras filment le bureau « exploitation », comprenant des postes de travail de salariés, et deux caméras sont installées sur le parking de la société.
La société a indiqué que la finalité du dispositif était de protéger les salariés travaillant la nuit et le week-end, ainsi que de sécuriser l’accès au bureau. Cependant, lors de ce contrôle, la délégation de la CNIL a  constaté que les caméras fonctionnaient en permanence, et non seulement la nuit.
La délégation a également constaté que, telles qu’orientées, les deux caméras situées dans le bureau « exploitation » filmaient l’ensemble des postes de travail des salariés de ce bureau.
Elle a par ailleurs relevé qu’aucune note d’information individuelle n’avait été communiquée aux salariés et que les affichettes consistaient en un simple autocollant comportant le dessin d’une caméra et le mot « vidéo ». 
Trois personnes ont accès aux images transmises par le dispositif de vidéosurveillance : 
Le gardien du site de M. qui dispose d’une console, située dans le poste de gardiennage, qui permet de visualiser et d’enregistrer les images transmises par les caméras, 
Le président de la société, qui peut accéder aux images depuis son bureau à B., les données étant également enregistrées sur un serveur au siège social, 
Enfin, la directrice technique de la société, qui peut visualiser les images par le biais d’un navigateur internet.
Les images transmises par les caméras du bureau « exploitation » peuvent en effet être visualisées à distance en temps réel, depuis le réseau local de la société. L’accès, qui nécessite simplement la saisie de l’adresse IP de la caméra dans le navigateur internet, n’est pas limité par la saisie d’un identifiant et d’un mot de passe. 
La délégation, qui a accédé à la console du poste de gardiennage, a constaté que la société conservait des enregistrements vidéo datant du 25 décembre 2009, soit de plus de deux mois. La société a en revanche précisé que depuis le début de l’année, les images des caméras du bureau « exploitation » n’étaient plus enregistrées sur le serveur situé à B. 
Au terme du contrôle, la directrice technique de la société s’est engagée à modifier les paramètres de son dispositif de vidéosurveillance de manière à masquer les zones correspondant aux postes de travail des salariés du bureau « exploitation ».
* Les constats effectués au siège social de B.
La délégation a constaté dans ces lieux la présence d’un poste informatique dédié à la vidéosurveillance dans le bureau du président de la société. Un logiciel installé sur ce poste informatique permet de gérer le dispositif de vidéosurveillance et d’accéder aux images. Aucune authentification n’est nécessaire pour accéder au système d’exploitation et au logiciel de gestion de la vidéosurveillance.
La délégation a également constaté qu’au moment du contrôle, la fonction « enregistrement » des deux caméras installées dans le bureau « exploitation » de M. était désactivée et qu’aucun enregistrement d’images captées par ces deux caméras n’apparaissait sur le serveur de B. 
Toutefois, après avoir exécuté un logiciel de récupération de données à partir d’une clé USB, sans installation sur le poste informatique dédié à la vidéosurveillance, la délégation a constaté que des fichiers émanant des caméras précitées avaient été effacés. En particulier, elle a constaté l’effacement d’un enregistrement vidéo datant du jour même à 10h25, soit 25 minutes après le début du contrôle sur le site de M. 
La délégation a ainsi non seulement pu constater que les enregistrements d’images n’avaient pas cessé au début de l’année, mais aussi que la société avait effacé des enregistrements en cours de contrôle. 
Les éléments communiqués par la société à la suite du contrôle
A la suite du contrôle, par un courrier du 12 mars 2010, la société a indiqué à la Commission avoir mis en place, sur le poste informatique dédié à la vidéosurveillance dans le bureau de son président, à B, des carrés noirs masquant l’image des salariés à leurs postes de travail. Elle a communiqué des images prises depuis les deux caméras installées dans le bureau « exploitation », comportant de tels carrés, et indiqué qu’elle reprenait l’enregistrement des images captées par ces deux caméras.
Elle a précisé que la console du poste de gardiennage de M. ne permettait pas d’insérer de tels masques et qu’elle avait donc débranché les caméras de la console, dans l’attente du remplacement de la console.
B. Procédure
A la suite de ce contrôle, il a été décidé d’engager une procédure sur le fondement du 1° du II de l’article 45 de la loi du 6 janvier 1978 modifiée. 
A cette fin, le rapport de M. Jean-François CARREZ, rapporteur, proposant à la formation restreinte de la CNIL de prononcer une mesure d’interruption du traitement de vidéosurveillance mis en œuvre, a été remis en mains propres à la société le 1er avril 2010. 
Le 1° du II de l’article 45 de la loi du 6 janvier 1978 modifiée dispose : 
« En cas d’urgence, lorsque la mise en œuvre d’un traitement ou l’exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l’article 1er, la Commission peut, après une procédure contradictoire : 
1° Décider l’interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n’est pas au nombre de ceux qui sont mentionnés au I de l’article 26 ou de ceux mentionnés à l’article 27 mis en œuvre par l’Etat ».
La société X… étant une société de droit privé, les exceptions précitées ne lui sont pas applicables. La Commission est dès lors fondée à envisager de lui appliquer la mesure d’interruption prévue à l’article ci-dessus.