AgentPublic/cnil huggingface dataset:
51. En outre, la formation restreinte estime que l’atteinte portée par le dispositif aux droits des salariés était, en tout état de cause disproportionnée. Elle relève que les traitements mis en œuvre via ce logiciel, excédant largement dans ses modalités de mise en œuvre le seul décompte du temps de travail, ne pouvaient entrer dans les attentes légitimes des salariés. En effet, si ces derniers pouvaient s’attendre à un décompte de leur temps de travail - notamment du fait de l’information orale fournie dont fait état en défense la société - ils ne pouvaient raisonnablement s’attendre, pour cette finalité, à une telle surveillance permanente par l’enregistrement, tout au long de la journée, à partir de leurs mouvements de frappe sur leur clavier ou de souris. La formation restreinte estime ainsi que les traitements mis en œuvre via le logiciel TIME DOCTOR constituent un dispositif de surveillance automatisée permanente des salariés, disproportionné au regard de la finalité de mesure du temps de travail, ne pouvant entrer dans leurs attentes raisonnables. La formation restreinte relève de surcroît que plus de la moitié des salariés concernés par l’installation du logiciel disposait d’un ordinateur professionnel, et était soumise à sa version " silencieuse ", ne leur permettant pas d’activer ou de désactiver le logiciel pendant les temps de pause, ajoutant au caractère disproportionné du dispositif TIME DOCTOR.
52. La formation restreinte relève que la société ne fait état d’aucune circonstance exceptionnelle pouvant justifier une telle mise sous surveillance permanente de ses salariés. Le télétravail ne saurait constituer une telle justification dans la mesure où des moyens alternatifs, moins intrusifs, peuvent être mis en place pour encadrer et contrôler le temps de travail et l’activité des salariés (tels qu’une badgeuse électronique, des plannings prévisionnels ou des échanges réguliers avec l’encadrant). 
53. Compte tenu de tout ce qui précède, la formation restreinte considère que l’utilisation de ce dispositif pour la mise en œuvre des traitements opérés par le logiciel TIME DOCTOR, n’est pas nécessaire pour l’atteinte de la finalité poursuivie et porte une atteinte disproportionnée à leurs droits au regard de l’intérêt légitime de mesure du temps de travail poursuivi par la société.
54. Par conséquent, la formation restreinte considère que les traitements des données à caractère personnel des salariés de la société par le logiciel TIME DOCTOR ne reposent sur aucune base juridique en méconnaissance de l’article 6 du RGPD.
3.2. Sur la finalité de mesure de la productivité des salariés
55. La formation restreinte relève que le logiciel permettait de mesurer la productivité des salariés, sur la base d’une liste de sites web et de programmes préalablement identifiés et paramétrés comme productifs ou non, eu égard à l’historique de sites et de programmes effectivement consultés par les salariés concernés et recensés par le logiciel. Le logiciel collectait ainsi, pour chaque salarié, des données relatives aux pages web visitées et aux applications utilisées avec la durée afférente, au temps passé sur des sites web jugés productifs et non productifs par la société, et au pourcentage du temps passé sur chacune de ces catégorises de sites web par rapport au temps de travail effectué. Le logiciel permettait en outre d’effectuer des captures régulières de l’écran (" screencast ") de l’ordinateur de chaque employé concerné, dont la récurrence était paramétrée au cas par cas par la direction, par intervalles d’une durée entre trois et quinze minutes. Par ailleurs, dans la version " silencieuse " du logiciel, le salarié ne pouvait pas désactiver cette fonction " screencast " durant ses temps de pause, puisqu’il n’était pas en mesure d’avoir connaissance du caractère actif ou non du logiciel lors de l’utilisation de son ordinateur.
56. La formation restreinte souligne, d’une part, qu’un tel dispositif présente un caractère, si ce n’est permanent, quasi-permanent, compte tenu de la récurrence des captures d’écran, qui constitue ainsi une surveillance particulièrement intrusive des salariés. Elle relève, d’autre part, que la mise en œuvre de ce logiciel peut conduire à la captation d’éléments d’ordre privé (courriels personnels, conversations de messageries instantanées ou de mots de passe confidentiels), ce qui renforce encore le caractère intrusif du dispositif utilisé pour évaluer la productivité des salariés. Ce dispositif porte dès lors une atteinte disproportionnée à la vie privée des salariés.
57. La formation restreinte relève en outre que des moyens alternatifs moins intrusifs sont par ailleurs utilisés par la société afin d’évaluer la productivité des employés. Il ressort en effet des constatations effectuées lors des opérations de contrôle que, interrogée sur les modalités de mesure de la performance de ses salariés, la société a indiqué utiliser, pour le département " chasse ", un outil statistique développé en interne, permettant de déterminer sur la base de différents critères le nombre de biens gérés par le salarié et de faire des comparaisons au sein de l’équipe, pour le département commercial, un outil de gestion de la relation clients pour déterminer le chiffre d’affaires réalisé par chaque salarié et, pour les départements pour lesquels la productivité du travail est plus difficilement quantifiable, une évaluation par les encadrants, lors d’entretiens, de la réalisation du travail effectué. 
58. S’agissant de l’argument mis en avant par la société en défense, selon lequel elle n’aurait, in fine, pas utilisé les données collectées par le logiciel à des fins de mesure de la productivité de ses employés, il n’en demeure pas moins qu’elle a paramétré en amont le logiciel afin qu’il collecte ces mesures pour cette finalité, peu importe son choix ultérieur de ne pas les utiliser. En outre, la collecte et la conservation de données qui n’ont pas d’utilité avérée est contraire au principe de finalité prévu par l’article 5 du RGPD et dès lors illicite.
59. Par conséquent, la formation restreinte considère que les traitements de ces données étaient disproportionnés au regard des intérêts et droits fondamentaux des salariés, en particulier de leur droit à la protection de leur vie privée et personnelle, de sorte que les traitements de leurs données à caractère personnel effectués par ce logiciel ne reposaient sur aucune base juridique. Elle considère en outre que si la société a justifié avoir retiré le dispositif TIME DOCTOR, le manquement à l’article 6 du RGPD est néanmoins constitué pour le passé.
C. Sur le manquement à l’obligation d’information des personnes
60. L’article 12 du RGPD prévoit que " le responsable de traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible ". Il ajoute que l’information des personnes s’effectue par écrit et que celle-ci peut être délivrée oralement dans l’hypothèse où une telle demande est effectuée par la personne concernée.
61. A titre d’éclairage, les lignes directrices du groupe de travail " article 29 " concernant la transparence au sens du règlement (UE) 2016/679, adoptées le 11 avril 2018, WP260 rev. 01, énoncent que " le responsable du traitement devrait […] veiller à conserver une trace écrite, et s’assurer qu’il est en mesure de [le] prouver (aux fins de la conformité à l’exigence de responsabilité), de : i) la demande d’informations par voie orale, ii) la méthode par laquelle l’identité de la personne concernée a été vérifiée […] et iii) du fait que les informations ont été transmises à la personne concernée ".
62. L’article 13 du RGPD dresse la liste des informations devant être fournies à la personne concernée lorsque les données à caractère personnel sont collectées directement auprès d’elle. Ces informations portent notamment sur l’identité du responsable de traitement et ses coordonnées, les finalités du traitement mis en œuvre, sa base juridique, les destinataires ou les catégories de destinataires des données, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données vers un pays tiers. L’article impose également au responsable de traitement, lorsque cela apparaît nécessaire pour garantir "un traitement équitable et transparent " des données personnelles en l’espèce, d’informer les personnes sur la durée de conservation des données, l’existence des différents droits dont bénéficient les personnes, l’existence du droit de retirer son consentement à tout moment et le droit d’introduire une réclamation auprès d’une autorité de contrôle. 
1. Sur le logiciel TIME DOCTOR
63. La rapporteure relève que, si l’usage d’un dispositif de décompte des heures de travail peut être admis, à l’instar d’un contrôle par pointeuse à badge, dès lors qu’il respecte le principe de minimisation des données, il doit cependant faire l’objet d’une information des personnes concernées respectant les dispositions des articles 12 et 13 du RGPD. Elle ajoute que l’information écrite délivrée par la société à ses employés sur le traitement opéré par le logiciel pour contrôler leur temps de travail n’était pas complète, au sens de l’article 13 du RGPD, et que l’information orale dont la société fait état, fût-elle complète, ne remplit pas les conditions prévues par les dispositions de l’article 12 du RGPD.
64. En défense, la société fait valoir que, pour la version " silencieuse " (dont l’activation/désactivation étaient automatiques lors du démarrage/arrêt des ordinateurs), les salariés étaient informés oralement, lors de la remise du matériel informatique, de l’installation du logiciel et de leur possibilité de la refuser, ainsi que de son fonctionnement et de ses finalités. Pour la version " interactive " (nécessitant une activation/désactivation manuelle pendant leurs temps de travail et de pause), outre une information orale lors de leur entrée dans l’entreprise, les salariés alternants étaient invités, par email de la société, à procéder à son installation et à le lui confirmer. En outre, elle fait valoir que tous les salariés, quelle que soit la version du logiciel, disposaient d’une information supplémentaire par le règlement intérieur, la charte informatique, ainsi qu’une clause dans leurs contrats de travail et qu’elle a communiqué, suite aux opérations de contrôle, à l’ensemble des salariés, une notice d’information détaillée afin de se conformer à ses obligations en matière d’information.
65. La formation restreinte relève, s’agissant de l’information écrite fournie aux salariés, que font défaut dans le règlement intérieur, accompagné de la charte informatique, la durée de conservation des données collectées via le logiciel, le droit d’accès à ces données, ainsi que le droit à leur rectification ou à leur effacement, le droit à la limitation des traitements ou de s’y opposer, le droit à la portabilité des données, ou encore le droit d’introduire une réclamation auprès d’une autorité de contrôle. 
66. Font défaut dans les contrats de travail communiqués par la société les mentions relatives au droit à la limitation des traitements ou de s’y opposer, au droit à la portabilité des données, ou encore au droit d’introduire une réclamation auprès d’une autorité de contrôle, mentions qui apparaissent en l’espèce nécessaires au caractère équitable des traitements. La formation restreinte relève en outre qu’aucune des mentions précitées ne figure dans les contrats d’alternance.
67. Compte tenu de ce qui précède, la formation restreinte relève que l’information écrite fournie aux salariés, relative aux traitements effectués aux fins de mesure du temps de travail, n’était pas complète au sens de l’article 13 du Règlement puisque les informations relatives aux droits des personnes concernées ne sont pas fournies.
68. S’agissant de l’information orale fournie aux salariés, la formation restreinte relève que, si l’article 12 du RGPD prévoit que les informations requises peuvent être délivrées à l’oral, c’est à la condition que leur fourniture selon ces modalités ait été demandée par la personne concernée, ce dont la société ne justifie pas.
69. En outre, à la lumière des lignes directrices précitées, la formation restreinte considère qu’en l’absence de conservation par la société d’une trace écrite de l’information orale fournie, le caractère complet de l’information n’est pas établi. La formation restreinte considère en outre que, dans de telles circonstances, une simple information orale, même complète, ne permet pas, par nature, de garantir son accessibilité dans le temps pour les salariés qui souhaiteraient s’y référer ultérieurement, de sorte qu’elle ne remplit pas les conditions d’accessibilité prévues par les dispositions de l’article 12 du RGPD.
70. Par conséquent, la formation restreinte considère que la société n’a pas satisfait à son obligation de fournir une information complète, transparente et aisément accessible aux personnes concernées en méconnaissance des articles 12 et 13 du RGPD. En outre, si la société justifie avoir communiqué une notice d’information détaillée – en juillet 2024, soit au cours de la procédure de sanction, postérieurement au retrait du dispositif TIME DOCTOR - et avoir déployé une adresse de contact à destination de ses salariés, le manquement aux articles 12 et 13 du RGPD est néanmoins constitué pour le passé.
2. Sur le dispositif de vidéosurveillance
71. La rapporteure relève que l’information fournie aux salariés relative au dispositif de vidéosurveillance n’était pas conforme aux dispositions des articles 12 et 13 du RGPD. 
72. En défense, la société soutient que ce dispositif, désormais désinstallé, avait initialement été paramétré pour déclencher des caches sur les objectifs des caméras durant les horaires de travail, à des fins de détection des intrusions. Elle soutient que, dans ces circonstances, seuls des panneaux sur les portes d’entrée des locaux, informant uniquement de la présence du dispositif, étaient nécessaires.
73. La formation restreinte relève qu’aucune information écrite ni orale n’avait été réalisée auprès des salariés relativement au dispositif de vidéosurveillance. L’unique signalétique affichée consistait en un panonceau présent sur la porte de service, sur lequel figurait un pictogramme de caméra, ainsi que la mention " espace sous vidéo surveillance ", sans autre précision. La formation restreinte relève que l’affichage constaté au jour des contrôles ne comporte pas les mentions obligatoires exigées par le RGPD, ni ne renvoie à un document d’information de second niveau qui contiendrait les informations manquantes. Or, la délégation de CNIL a constaté la présence de deux caméras actives lors des opérations de contrôle, captant les images et le son en continu, et filmant les salariés sur des zones de travail et de repos, sans qu’aucun cache ne se déclenche durant les horaires de travail des salariés. 
74. Par conséquent, la formation restreinte considère que la société a commis un manquement aux articles 12 et 13 du RGPD. En outre, si la société justifie avoir désinstallé les caméras en juillet 2024, le manquement aux articles 12 et 13 du RGPD est néanmoins constitué pour le passé.
D. Sur le manquement à l’obligation d’assurer la sécurité des données
75. Aux termes de l’article 32, paragraphe 1 du RGPD, " compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
76. Au titre des mesures élémentaires de sécurité, il est en principe nécessaire que l’accès à un système d’information contenant des données à caractère personnel qui n’ont pas vocation à être publiées se fasse à travers un compte individuel, auquel l’utilisateur se connecte par un identifiant et un facteur d’authentification propres. En effet, seuls les comptes individuels permettent une bonne traçabilité des accès et des actions effectués sur le système. Les comptes partagés rendent beaucoup plus difficile l’imputabilité d’une action et compliquent le travail d’investigation en cas d’incident de sécurité ou de violation de données. 
77. Par ailleurs, s’agissant des mots de passe, conformément aux règles élémentaires relatives à la sécurité des systèmes d’information, un mot de passe doit, pour être efficace, demeurer secret et individuel. Or, lorsqu’un compte est partagé entre plusieurs personnes, cette règle n’est plus respectée.
78. La rapporteure relève que le compte administrateur du logiciel, permettant d’accéder aux données collectées dans le cadre de la mesure du temps de travail et de la productivité des salariés, était partagé par plusieurs utilisateurs, impliquant l’usage d’un même mot de passe, en méconnaissance des dispositions de l’article 32 du RGPD.
79. En défense, la société fait valoir la cessation de l’utilisation du logiciel depuis les opérations de contrôle et la suppression du compte partagé associé. Elle soutient avoir depuis mis en place des mesures afin de respecter les recommandations de l’ANSSI en matière de sécurité des systèmes d’information, de sorte que le manquement relevé par la rapporteure et sa portée seraient partiels.
80. En l’espèce, la formation restreinte relève qu’un encadrant et trois associés de la société étaient habilités à accéder aux données nominatives relatives à l’activité des salariés issues du logiciel TIME DOCTOR en utilisant le compte administrateur de l’un d’eux.
81. La formation restreinte considère que cette pratique ne permet pas, sans mesure complémentaire, de réidentifier les auteurs des opérations effectuées dans le système, tracées au sein des fichiers journaux, dès lors qu’il pourrait s’agir de l’un ou l’autre des utilisateurs. Cette entrave à l’imputabilité d’une action est d’autant plus dommageable quand il s’agit d’un compte administrateur, de tels comptes disposant de droits plus étendus sur les données à caractère personnel traitées par le système, ce qui en fait des cibles privilégiées d’attaque informatique et rend nécessaire de pouvoir détecter rapidement et efficacement une violation de données réalisées par l’un d’entre eux. L’exigence d’individualisation des comptes administrateurs présente ainsi une acuité particulière. À défaut, et en particulier lorsque des systèmes ou des équipements ne permettent pas de disposer de plusieurs comptes d’administration, des mesures complémentaires doivent être mises en œuvre pour assurer l’imputabilité des actions (ex. : bastion, main courante…) et assurer la protection du secret.
82. Par conséquent, ces mesures ayant fait défaut en l’espèce, la formation restreinte considère que la société a méconnu les dispositions de l’article 32 du RGPD. Si la société a justifié, au cours de la procédure de sanction, avoir supprimé ce compte et avoir pris des mesures pour se conformer aux recommandations de l’ANSSI, le manquement à l’article 32 du RGPD est néanmoins caractérisé pour le passé.
E. Sur le manquement à l’obligation d’effectuer une analyse d’impact relative à la protection des données
83. Aux termes de l’article 35, paragraphe 1 du RGPD, " lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel ".
84. Le considérant 84 du RGPD précise qu’" afin de mieux garantir le respect du présent règlement lorsque les opérations de traitement sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement devrait assumer la responsabilité d'effectuer une analyse d'impact relative à la protection des données pour évaluer, en particulier, l'origine, la nature, la particularité et la gravité de ce risque. Il convient de tenir compte du résultat de cette analyse pour déterminer les mesures appropriées à prendre afin de démontrer que le traitement des données à caractère personnel respecte le présent règlement. Lorsqu'il ressort de l'analyse d'impact relative à la protection des données que les opérations de traitement des données comportent un risque élevé que le responsable du traitement ne peut atténuer en prenant des mesures appropriées compte tenu des techniques disponibles et des coûts liés à leur mise en œuvre, il convient que l'autorité de contrôle soit consultée avant que le traitement n'ait lieu. " 
85. En outre, la CNIL a établi, en application de l’article 35 du RGPD, une liste, dans sa délibération n° 2018-327 du 11 octobre 2018, qui détermine les types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise, dont les traitements ayant pour finalité de surveiller de manière constante l’activité des employés.
86. La rapporteure relève que la société a mis en œuvre un logiciel, procédant à des traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, sans avoir préalablement réalisé une analyse d’impact relative à la protection des données (ci-après " AIPD "), en méconnaissance des dispositions de l’article 35 du RGPD.
87. En défense, la société soutient que, les salariés pouvant justifier les heures comptabilisées comme temps d’inactivité, et l’utilisation du logiciel n’ayant pas abouti à des sanctions à leur encontre hormis un cas isolé, les traitements des données à caractère personnel effectués à travers le logiciel ne poursuivaient pas une finalité de surveillance systématique des salariés mais constituaient un simple indice de mesure de leur temps de travail. Elle considère par conséquent que, parmi les deux critères précités requis dans les lignes directrices du groupe de travail " article 29 ", fait défaut celui de la collecte de données dans le cadre d’une surveillance systématique, de sorte que ces traitements n’impliquaient pas un risque élevé pour leurs droits et libertés, excluant la nécessité d’une AIPD préalable. La société fait en outre référence à la délibération de la CNIL n° 2019-118 du 12 septembre 2019, qui établit une liste des types d'opérations de traitement pour lesquelles une AIPD n’est pas requise, et considère entrer dans le champ des " traitements mis en œuvre aux seules fins de gestion de contrôle d’accès physiques et des horaires pour le calcul du temps de travail pour les organismes employant moins de 250 personnes " figurant dans cette liste.