AgentPublic/cnil huggingface dataset:
133. L’article 13 du RGPD prévoit également que le responsable de traitement fournit à la personne concernée par le traitement, au moment où les données à caractère personnel sont obtenues auprès d’elle, plusieurs informations listées au même article. Le Règlement ne prescrit pas la forme au moyen de laquelle ces informations doivent être fournies. En pratique, ces informations sont généralement regroupées au sein d’une politique de confidentialité.
134. Le rapporteur relève que, dans le cadre des échanges postérieurs aux contrôles sur place, la société a indiqué à la délégation que sa politique de confidentialité applicable en matière de ressources humaines, était à la disposition des intérimaires sur l’intranet. Le rapporteur considère que les intérimaires n’étaient pas correctement informés des traitements mis en œuvre à leur égard au moyen des scanners puisqu’ils ne se voyaient pas remettre directement ladite politique et qu’ils n’étaient pas non plus invités à en prendre connaissance d’une quelconque manière. Toutefois, il prend acte de ce que, depuis avril 2020, la société s’assure de l’information des intérimaires, en exigeant de la part des agences d’intérim la remise d’une politique additionnelle de confidentialité relative aux indicateurs de performance contre accusé de réception.
135. En défense, la société conteste le manquement. Elle fait notamment valoir que la fourniture de l’information aux intérimaires via l’intranet était suffisante et que la CNIL recommande elle-même le recours à l’intranet comme un moyen de communication valable. En tout état de cause, la société souligne qu’elle documente désormais la communication de l’information aux intérimaires et considère qu’à supposer le manquement établi, la formation restreinte devrait distinguer le montant de l’amende attribué à ce manquement du montant total et le diminuer pour tenir compte des améliorations adoptées.
136. La formation restreinte rappelle que la fourniture aux personnes concernées par le responsable de traitement des informations prévues à l’article 13 du RGPD doit être faite au plus tard au moment où leurs données à caractère personnel sont collectées, sous une forme qui soit accessible. Or, ainsi que l’a relevé le rapporteur, jusqu’en avril 2020, dans un contexte où les intérimaires ne se voyaient pas remettre la politique de confidentialité applicable en matière de ressources humaines et n’étaient pas davantage invités à en prendre connaissance sur l’intranet, cette seule mise à disposition de ce document sur l’intranet de la société ne permettait pas de satisfaire à ces obligations en s’assurant, notamment, que chaque intérimaire avait été mis en mesure de prendre connaissance de ce document préalablement à la collecte de ses données à caractère personnel.
137. La formation restreinte observe que les intérimaires se trouvent dans une situation identique à celle des employés vis-à-vis des traitements mis en œuvre à leur égard au moyen de scanners et doivent en être informés. S’agissant de l’argument selon lequel la CNIL recommanderait elle-même l’intranet comme un moyen de communication valable, la formation restreinte relève que la CNIL recommande que l’information soit faite " selon les modalités les plus appropriées en fonction de l’organisation et du fonctionnement de l’entreprise ". En l’occurrence, elle considère qu’une information sur l’intranet destinée à des salariés travaillant au quotidien dans des entrepôts et n’ayant pas vocation à travailler dans un bureau sur un ordinateur, sans aucune incitation à s’y rendre, ne constitue pas une modalité d’information satisfaisante.
138. Partant, la formation restreinte considère qu’un manquement aux articles 12 et 13 du RGPD est constitué pour la période antérieure au mois d’avril 2020.
F. Sur les manquements relatifs aux traitements de vidéosurveillance
1. Sur le manquement à l’obligation d’information des personnes
139. Aux termes de l’article 13 du RGPD, le responsable du traitement doit fournir à la personne concernée par le traitement plusieurs informations au plus tard au moment où les données sont obtenues directement auprès d’elles. Parmi ces informations, l’article 13. 1 du RGPD dispose que doivent être fournies " les coordonnées du délégué à la protection des données ". En outre, en vertu de l’article 13. 2 du RGPD, lorsque cela est nécessaire pour garantir un traitement équitable et transparent, doivent être indiqués " la durée de conservation des données " et " le droit d’introduire une réclamation auprès d’une autorité de contrôle ".
140. Le rapporteur relève qu’à la date des contrôles (en novembre 2019), les panneaux d’information relatifs à la mise en œuvre des dispositifs de vidéosurveillance, affichés dans les entrepôts de Lauwin-Planque et de Montélimar pour informer les salariés et les éventuels visiteurs, n’indiquaient ni les coordonnées du délégué à la protection des données, ni la durée de conservation des données, ni le droit d’introduire une réclamation auprès de la CNIL. Il note en outre que les informations manquantes n’étaient fournies sur aucun autre support ou document.
141. En défense, la société conteste avoir été en infraction à la date des contrôles. Elle fait valoir que plusieurs documents contenaient des informations relatives aux traitements de vidéosurveillance et que les panneaux affichés dans ses entrepôts étaient conformes aux recommandations de la CNIL de l’époque. Elle se prévaut en particulier d’un communiqué de la CNIL daté de 2015 (et disponible le 12 juin 2018 sur son site internet) et du fait que les lignes directrices du CEPD sur la vidéosurveillance n’ont été adoptées qu’au mois de janvier 2020, soit postérieurement aux contrôles. Elle précise que depuis l’adoption des lignes directrices du CEPD, les panneaux d’information et la notice d’information ont été mis à jour conformément aux lignes directrices précitées. Quoi qu’il en soit, elle indique avoir mis ses panneaux d’information en conformité en cours de procédure.
142. La formation restreinte relève qu’à la date des contrôles, soit au mois de novembre 2019, le RGPD était applicable depuis un an et demi et que son article 13 contenait les informations devant obligatoirement être fournies aux personnes concernées au moment de la collecte de leurs données à caractère personnel. Elle relève que les lignes directrices sur la transparence au sens du règlement (UE) 2016/679, adoptées le 29 novembre 2017 par le G29 qui prévoyaient la possibilité d’une approche à plusieurs niveaux pour la fourniture des informations obligatoires de l’article 13 du RGPD, soulignaient déjà leur égale importance et le fait qu’elles doivent être fournies à la personne concernée. La CNIL a communiqué au sujet de ces lignes directrices le 16 juillet 2019, en soulignant que " Prioriser ne signifie pas transmettre une information incomplète aux personnes concernées : il s’agit de mettre en avant les informations essentielles et d'offrir un accès simple et immédiat aux autres informations " (https://www.cnil.fr/fr/conformite-rgpd-information-des-personnes-et-transparence). En matière de vidéosurveillance, il est en effet habituel que les panneaux d’information, pour rester concis et compréhensibles, ne comprennent que les informations principales sur le traitement, mais c’est à condition qu’ils renvoient vers les documents contenant les informations complémentaires obligatoires.
143. La formation restreinte relève que le communiqué de la CNIL daté de 2015 n’avait pas encore été mis à jour moins de trois semaines après l’entrée en application du RGPD. S’agissant des lignes directrices du CEPD sur la vidéosurveillance, celles-ci ont certes formalisé la possibilité de fournir les informations obligatoires de l’article 13 du RGPD en deux étapes. Néanmoins, leur l’objet n’était pas de fixer de nouvelles obligations en la matière mais d’éclairer les acteurs sur la manière d’appliquer le RGPD dans le cadre des traitements de vidéosurveillance. Par suite, la société ne peut être exonérée de sa responsabilité.
144. En l’espèce, la formation restreinte relève, ainsi que l’a souligné le rapporteur, que plusieurs informations exigées par l’article 13 du RGPD, telles que l’indication de la durée de conservation des données, du droit d’effectuer une réclamation auprès de la CNIL et des coordonnées du délégué à la protection des données, n’étaient fournies par la société ni sur les panneaux eux-mêmes, ni sur aucun autre support ou document. Tout d’abord, elle note que la politique de confidentialité applicable en matière de ressources humaines se bornait à mentionner l’existence de traitements de vidéosurveillance impliquant le traitement de données de sécurité et d’images. Le règlement intérieur, affiché au sein de l’entrepôt concerné, indiquait quant à lui, dans une section consacrée aux " entrées et sorties " du site, que " les salariés doivent se soumettre aux mesures de contrôle des entrées et sorties " du site, au nombre desquelles figure la vidéosurveillance. Enfin, le livret d’accueil se bornait à informer le salarié de l’existence d’un dispositif de vidéosurveillance pour sa propre sécurité et celle des biens, et du fait que chaque sortie fait l’objet d’un contrôle. Par ailleurs, la formation restreinte relève qu’il ne ressortait d’aucun des éléments du dossier qu’une information complémentaire aux panneaux d’information était remise – ou tenue à la disposition des visiteurs extérieurs. Quant au guide d’installation de la vidéosurveillance, mentionné par la société dans ses
observations, la formation restreinte observe que le contenu de ce document, rédigé en anglais, est relatif à la procédure interne d’installation et d’utilisation de la vidéosurveillance et qu’il n’est manifestement pas destiné aux salariés.
145. Dès lors, la formation restreinte considère que la société a manqué à son obligation de fournir les coordonnées du délégué à la protection des données, en méconnaissance de l’article 13. 1 du RGPD. En outre, la société a également manqué à l’article 13. 2 du même règlement en n’informant pas les personnes concernées de la durée de conservation des données et de leur droit d’introduire une réclamation devant la CNIL, informations qui étaient pourtant nécessaires pour garantir un traitement équitable et transparent, s’agissant de traitements conduisant à filmer en permanence des salariés sur leur lieu de travail.
146. La formation restreinte relève que dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec l’article 13 du RGPD, ce qui ne remet pas en cause le fait que le manquement est constitué pour le passé.
2. Sur les manquements à l’obligation d’assurer la sécurité des données à caractère personnel
147. Aux termes de l’article 32 du RGPD, " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; […] ".
148. Le rapporteur relève, d’une part, que le compte d’accès au logiciel de vidéosurveillance qui gère les deux tiers des caméras installées sur le site de Montélimar était commun à l’ensemble des personnes habilitées à accéder aux images de vidéosurveillance et, d’autre part, que le mot de passe associé à ce compte était constitué de douze caractères, comportant uniquement des lettres minuscules et des chiffres et qu’il était donc insuffisamment robuste.
149. En défense, la société ne conteste pas le manquement. Elle fait toutefois valoir qu’il résulte de mauvaises pratiques isolées, qu’elle impute au fournisseur du logiciel. S’agissant en particulier du partage des comptes, la société soutient dans ses dernières observations qu’il relèverait de l’une des situations exceptionnelles dans lesquelles un partage serait autorisé par la CNIL et l’Agence nationale de la sécurité des systèmes d’information (" ANSSI "), à savoir celle dans laquelle son fournisseur aurait mal configuré le logiciel et rendu le partage inévitable. S’agissant du mot de passe d’accès au logiciel, elle ajoute que son insuffisante robustesse aurait été compensée par d’autres mesures, telles que l’authentification Windows préalable pour accéder au logiciel de vidéosurveillance.
150. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures.
151. En premier lieu, s’agissant du partage des comptes, la formation restreinte rappelle que l’interdiction des comptes partagés figure parmi les précautions indispensables afin de garantir une traçabilité effective des accès et des actions effectuées dans un système d’information. La formation restreinte rappelle également à titre d’éclairage que la CNIL précisait déjà, à l’époque des contrôles, les bonnes pratiques en la matière. Ainsi, dans l’édition 2018 de son guide relatif à la sécurité des données personnelles, la CNIL relevait au titre des précautions élémentaires à prendre à des fins d’authentification des utilisateurs, le fait de " Définir un identifiant unique par utilisateur et interdire les comptes partagés entre plusieurs utilisateurs " (https://www.cnil.fr/sites/cnil/files/atoms/files/cnil_guide_securite_personnelle.pdf). Cette exigence était rappelée à plusieurs étapes du guide, en particulier dans les sections relatives à la façon de garantir une bonne gestion des habilitations et la sécurisation des serveurs.
152. En l’espèce, une telle absence de traçabilité des accès rend beaucoup plus difficile l'imputabilité d'une action sur le système informatique et complique le travail d’investigation en cas d’accès frauduleux, de détérioration ou de suppression des images. S’agissant de l’argument de la société relatif à l’inévitabilité du partage, la formation restreinte note que ce partage ne relève pas d’une impossibilité technique mais d’un problème de configuration du logiciel et qu’il appartenait à la société de faire modifier celle-ci par le fournisseur.
153. Il en résulte que ces faits constituent un manquement à l’article 32 du RGPD.
154. En second lieu, s’agissant du mot de passe d’accès au logiciel de vidéosurveillance, la formation restreinte considère que des règles de complexité des mots de passe trop permissives, qui autorisent l’utilisation de mots de passe insuffisamment robustes, peuvent conduire à des attaques par des tiers non autorisés, telles que des attaques par "force brute" ou "par dictionnaire", qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent.
155. La formation restreinte relève, à cet égard, que la nécessité d’un mot de passe fort est recommandée tant par l’ANSSI que par la Commission dans sa délibération n° 2017-012 du 19 janvier 2017, exigence confirmée dans sa délibération n° 2022-100 du 21 juillet 2022. En particulier, elle rappelle que dans la délibération n° 2017-012, la CNIL recommandait, en l’absence de mesure de blocage, que le mot de passe soit composé de douze caractères au minimum et contienne quatre séries de caractères (minuscules, majuscules, chiffres et caractères spéciaux). Lorsqu’une mesure de restriction d’accès au compte était prévue, la CNIL recommandait que le mot de passe soit composé de huit caractères au minimum et comporte trois des quatre séries de caractères ci-dessus rappelées.
156. La formation restreinte souligne qu’elle a, depuis plusieurs années, adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traitées. Les délibérations n° SAN-2019-006 du 13 juin 2019, n° SAN-2019-007 du 18 juillet 2019 et n° SAN-2022-018 du 8 septembre 2022 visent notamment l’insuffisante robustesse des mots de passe.
157. En l’espèce, la formation restreinte considère que dans la mesure où le mot de passe d’accès au logiciel de vidéosurveillance ne comporte que deux séries de caractères et où aucune mesure de sécurité complémentaire telle qu’une temporisation d’accès au compte après plusieurs échecs n’est mise en place, il ne permet pas d’assurer un niveau de sécurité et de confidentialité suffisant des images de vidéosurveillance.
158. Enfin, la formation restreinte relève que contrairement à ce que fait valoir la société, l’authentification des personnes habilitées à un compte individuel Windows préalablement à leur connexion au logiciel de vidéosurveillance n’était pas suffisante pour compenser les vulnérabilités résultant de l’accès à ce logiciel à partir d’un compte partagé et à l’aide d’un mot de passe insuffisamment robuste. A cet égard, la formation restreinte relève que le logiciel de vidéosurveillance est accessible à partir de sept ordinateurs et que vingt-deux personnes sont habilitées à y accéder. Elle considère ainsi que le partage du mot de passe d’accès au logiciel, au demeurant insuffisamment robuste, entre toutes ces personnes, a augmenté le risque de sa compromission et altéré la traçabilité des accès aux images du dispositif vidéo. En effet, le fait que tous les utilisateurs du dispositif soient identifiés au moyen d’un même identifiant rend l’imputabilité des actions dans le logiciel peu ou pas exploitable. Dès lors, l’authentification préalable au moyen d’un compte Windows n’était pas de nature à pallier les risques résultant de la conjugaison des carences en termes de sécurité liées au partage du compte d’accès au logiciel de vidéosurveillance et à l’utilisation d’un mot de passe trop faible pour se connecter à ce compte partagé, accessible à de nombreuses personnes et à partir de plusieurs ordinateurs.
159. En conséquence, la formation restreinte considère que ces faits constituent également un manquement aux obligations qui découlent de l’article 32 du RGPD.
160. Elle relève que dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations de l’article 32 du RGPD, lesquelles ne sauraient toutefois l’exonérer de sa responsabilité pour le passé.
III. Sur la mesure correctrice et sa publicité
161. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
162. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
163. Le rapporteur propose de prononcer une amende publique à l’encontre de la société. Il estime qu’il y a lieu de déterminer le montant maximal d’amende par référence au chiffre d’affaires de l’entreprise au sens d’unité économique formée par la société et […].com Inc.
164. En défense, la société soutient que l’amende proposée est illégale. Faisant valoir qu’elle est le seul responsable de traitement identifié en l’espèce, elle considère que le montant de l’amende doit être déterminé sur la base de son chiffre d’affaires et non sur celle du chiffre d’affaires d’[…].com Inc., dans la mesure où les manquements n’ont pas été imputés préalablement à l’unité économique qu’elle forme avec […].com Inc. En tout état de cause, la société fait valoir que l’amende proposée est disproportionnée par rapport aux manquements allégués ainsi qu’à sa conduite, puisqu’elle estime avoir pleinement coopéré avec les services de la CNIL et adopté des mesures de mise en conformité.
165. La formation restreinte rappelle tout d’abord qu’elle doit tenir compte, pour décider s’il y a lieu de prononcer une amende administrative, des critères précisés à l’article 83 du RGPD.
166. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité des manquements constatés en lien avec les traitements de données mis en œuvre à des fins de suivi de l’activité et d’évaluation de la performance des salariés, compte tenu de la portée des traitements et du nombre de personnes concernées par ces derniers.
167. La formation restreinte considère que les traitements de données des salariés à des fins de suivi de l’activité et d’évaluation de la performance sont tellement précis qu’ils provoquent un changement d’échelle par rapport aux méthodes de suivi d’activité classiques. Elle estime que ces traitements, qui permettent un contrôle extrêmement précis des salariés, pour chaque action réalisée sur les tâches directes, maintiennent les salariés sous une surveillance constante pour toutes les tâches effectuées avec des scanners et créent ainsi une pression permanente.
168. Les manquements aux principes de minimisation et à l’obligation de disposer d’une base juridique se traduisent donc par des traitements quasi continus et massifs d’indicateurs relatifs à toutes les tâches directes et à la performance des salariés, qui aboutissent à une surveillance informatique disproportionnée de leur activité. Elle rappelle que ces traitements permettent d’évaluer le salarié travaillant sur des tâches directes au moyen de la consultation détaillée des données dans les outils, afin de maintenir une certaine cadence et qualité de son activité. Elle souligne que des courriers de sensibilisation peuvent être envoyés à la suite d’une ou deux erreurs de qualité seulement, constatées sur une semaine, ou d’une baisse de productivité dans certains cas inférieure à 10 % et note que sur certains postes, une " sous-performance " constatée sur une seule journée peut donner lieu à la mise en place d’un coaching. Partant, elle considère que ces traitements de données à caractère personnel induisent une pression démesurée sur les travailleurs, portant une atteinte disproportionnée à leurs droits et libertés au regard des objectifs économiques et commerciaux de la société.
169. S’agissant du manquement à l’obligation d’information des intérimaires (jusqu’en avril 2020) la formation restreinte relève qu’il présente également une gravité particulière, dans la mesure où la société ne s’assurait pas que les intérimaires, qui se trouvent souvent dans des situations professionnelles précaires, étaient mis en mesure de prendre connaissance des informations relatives aux traitements de données mis en œuvre à leur égard au moyen des scanners.
170. En deuxième lieu, la formation restreinte considère que la société a fait preuve de négligence grave s’agissant de principes fondamentaux du RGPD puisque les manquements constitués portent sur le principe de minimisation des données, l’obligation de disposer d’une base juridique, l’obligation d’informer les personnes concernées des traitements de leurs données à caractère personnel. S’agissant spécifiquement des traitements de vidéosurveillance, la formation restreinte considère que le manquement à la sécurité résultant du partage du compte d’accès au logiciel de vidéosurveillance et de l’insuffisante robustesse du mot de passe d’accès à ce compte témoigne d’une négligence certaine dans la mise en œuvre de principes élémentaires du RGPD destinés à assurer la sécurité des données à caractère personnel traitées.