AgentPublic/cnil huggingface dataset:
22. La formation restreinte relève qu’en l’espèce, les manquements proposés par la rapporteure sont fondés sur les seules dispositions de l’article 6 du RGPD, à la lumière des dispositions de l’article L. 1121-1 du code du travail qui s’appliquent à la surveillance excessive dont ont fait l’objet les salariés de la société […]. 
23. La formation restreinte est donc compétente pour examiner le manquement à l’article 6 du RGPD à la lumière de l’article L. 1121-1 du code du travail.
B. Sur les manquements relatifs au dispositif de vidéosurveillance et au logiciel de mesure de l’activité des salariés
1. Sur le cadre applicable
24. En premier lieu, l’article 5, paragraphe 1, c) du RGPD prévoit que " [l]es données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ". Le considérant 39 du RGPD précise que " les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens ".
25. En second lieu, aux termes de l’article 6, paragraphe 1, f) du RGPD, " le traitement n’est licite que si, et dans la mesure où, au moins l’une des conditions suivantes est remplie : […] le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel […] ". 
26. Le considérant 47 du RGPD précise que " [l]es intérêts légitimes d'un responsable du traitement […] peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. […] En tout état de cause, l'existence d'un intérêt légitime devrait faire l'objet d'une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée […] ".
27. Ainsi, la base légale de l’intérêt légitime repose sur trois conditions : que l’intérêt poursuivi soit légitime, qu’il soit nécessaire de traiter les données à caractère personnel pour la réalisation de cet intérêt légitime et que le traitement ne heurte pas les droits et libertés fondamentaux des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. L’atteinte portée aux droits et libertés des salariés constitue l’élément essentiel à prendre en compte dans la mise en balance des intérêts, quand bien même il est également tenu compte d’autres éléments tels que la nature des données à caractère personnel en cause, la nature et les modalités du traitement, ainsi que les attentes raisonnables de la personne concernée (CJUE, 11 décembre 2019, Asociatja de Proprietari bloc M5A-ScaraA, aff. C-708/18 du 11 décembre 2019, § 40, § 56 et 58).
28. Enfin, le considérant 75 du RGPD apporte des précisions sur les risques pour les droits et libertés des personnes physiques pouvant être induits par certains traitements, dont le degré de gravité et de probabilité varie, et qui peuvent entraîner des dommages physiques, matériels ou un préjudice moral. Parmi ces risques, le considérant évoque en particulier ceux résultant de traitements qui visent des personnes physiques vulnérables et/ou portent sur un volume important de données.
29. La formation restreinte relève que, compte tenu de la nature des traitements en cause et leurs conditions de mise en œuvre, les fondements juridiques prévus par les dispositions de l’article 6.1 sous a), b), c), d) et e) du RGPD - liés à l’exécution du contrat, au consentement des personnes, au respect d’une obligation légale, à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique et à l’exécution d’une mission d’intérêt public - ne trouvent pas à s’appliquer en l’espèce, de sorte que seule la base légale liée aux intérêts légitimes poursuivis par le responsable de traitement, prévue par les dispositions de l’article 6.1 sous f), peut trouver à s’appliquer.
30. Elle relève que l’intérêt de la société, en tant qu’employeur, à prévenir les atteintes aux biens dans ses locaux, ainsi qu’à mesurer le temps de travail et à évaluer le travail de ses salariés, constitue un intérêt légitime au sens de l’article 6, paragraphe 1, f) du RGPD. Elle considère que cet intérêt est licite, qu’il est déterminé de façon suffisamment claire et précise et qu’il est, enfin, réel et présent pour la société. Néanmoins, la formation restreinte rappelle que, pour être admis comme base légale du traitement, celui-ci ne doit pas porter une atteinte disproportionnée aux droits et libertés des personnes, eu égard aux finalités poursuivies (CNIL, Sanction SAN-2023-021 du 27 décembre 2023).
31. Par ailleurs, aux termes de l’article L. 1121-1 du code du travail : " Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ". Les droits et libertés protégés sont, en particulier, le droit à la vie privée et personnelle, la protection des données à caractère personnel, le droit à la protection de son intégrité physique et mentale. Il résulte d’une jurisprudence constante de la Cour de cassation que si l’employeur a le droit de surveiller ses salariés, il doit le faire par des moyens proportionnés aux objectifs poursuivis (Cass. Soc., 23 juin 2021, n° 19-13.856), l’utilisation d’un tel dispositif de surveillance n’étant licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace (Cass. Soc., 19 décembre 2018, n°17-14.631). Cette position est également confirmée par le Conseil d’Etat (CE, 15 décembre 2017, n°403776).
32. Ainsi, c’est à l’aune de ces principes qu’il convient d’apprécier la proportionnalité des dispositifs de vidéosurveillance et du logiciel TIME DOCTOR mis en œuvre pour les finalités recherchées, qui peuvent aboutir à une surveillance permanente disproportionnée des salariés et de leur activité.
2. Sur le manquement en lien avec le dispositif de vidéosurveillance
33. La rapporteure relève que la société a mis en œuvre un dispositif de vidéosurveillance à des fins de prévention des atteintes aux biens (vols) filmant des salariés et captant le son en continu, le dispositif étant visualisable en temps réel à travers une application mobile. La rapporteure considère qu’en l’absence de circonstances particulières le justifiant, un tel dispositif apparaît excessif au regard de sa finalité.
34. En défense, la société affirme, d’une part, que ce dispositif ne permettait pas de capter les conversations de manière intelligible et que la résolution des images ne permettait pas la lecture des informations affichées sur les postes des salariés présents dans le champ des caméras. Elle ajoute que l’accès aux images était restreint à trois associés et un encadrant et que ces captations n’étaient pas conservées. Elle fait valoir, d’autre part, que ce dispositif a été mis en place aux fins de sécuriser les locaux lorsqu’ils étaient vides et non de placer délibérément ses salariés sous surveillance permanente. Elle indique que ce dispositif avait été paramétré en " mode vie privée " lors de son installation, déclenchant un cache sur les objectifs des caméras pendant les horaires d’ouverture de l’établissement, mais que ce mode aurait été désactivé par erreur, ce qu’elle aurait constaté lors des opérations de contrôle. Elle affirme avoir immédiatement réactivé ce mode, impliquant une courte période de désactivation de celui-ci. La société indique avoir depuis procédé au retrait des caméras.
35. La formation restreinte rappelle que si l'employeur a un pouvoir de direction à l'égard des salariés qui l'autorise à les contrôler pendant leur temps et sur leur lieu de travail, les dispositifs de contrôle des salariés doivent respecter le RGPD. A cet égard, comme la formation restreinte a déjà eu l’occasion de le souligner, la surveillance des salariés à travers la mise en place d’un système de vidéosurveillance doit être adéquate, pertinente et limitée à ce qui est nécessaire et ne doit pas porter une atteinte excessive au respect de la vie privée des personnes filmées, eu égard aux conditions de mise en œuvre du dispositif concerné au regard de la finalité poursuivie, du nombre de caméras installées, de leur emplacement, de leur orientation, de leurs fonctionnalités, de leur période de fonctionnement et des caractéristiques propres à l’établissement concerné (CNIL, FR, sanction n° SAN-2019-006 du 13 juin 2019, point 33, publiée). Ainsi, une surveillance permanente des salariés ne peut intervenir que dans des circonstances exceptionnelles, lorsque le dispositif est justifié par une situation ou un risque particulier auquel sont exposées les personnes filmées tenant, par exemple, à la nature de la tâche à accomplir (CNIL, FR, 17 juillet 2014, Sanction, n° 2014-307, publiée ; et CNIL, FR, 14 octobre 2014, Sanction, n° 2014-051, publiée).
36. La formation restreinte rappelle qu’il ressort également de la jurisprudence de la Cour de cassation comme de celle du Conseil d’Etat qu’est " attentatoire à la vie personnelle du salarié, et disproportionné[e] au but allégué par l'employeur de sécurité des personnes et des biens ", la surveillance constante d’un salarié (Cass, soc., 23 juin 2021, n°19-13.856), telle que résultant d’un dispositif de vidéosurveillance les filmant de manière permanente (CE, 18 novembre 2015, Société PS Consulting, n° 371196, Rec.). La Cour de cassation considère également de manière constante que " le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée " (Cass. soc., 2 oct. 2001, Société Nikon France, no 99-42.942 ; Cass. soc., 9 sept. 2020, no 18-20.489) ".
37. La formation restreinte relève en outre que, pour être proportionné, un dispositif de vidéosurveillance ne doit pas, en principe, capter le son. La captation du son n’est admissible que dans des circonstances exceptionnelles dont l’employeur doit pouvoir justifier, et doit alors généralement ne pas être mise en œuvre en continu mais seulement lorsqu’un événement particulier se produit, telle une agression.
38. En l’espèce, la formation restreinte relève qu’il ressort des constatations de la délégation de contrôle que le dispositif de vidéosurveillance captait en continu les images en haute définition ainsi que le son d’espaces de travail des salariés, certains de ces espaces constituant également des espaces de repos. Deux caméras filmaient ainsi un ou plusieurs salariés en continu, pendant leur temps de travail comme pendant leur temps de pause. A cet égard, la formation restreinte note que la résolution des images issues de l’application, tel que cela ressort des constatations, était suffisante pour permettre, à tout le moins, d’observer les salariés en train de travailler.
39. En outre, la formation restreinte relève que, quand bien même le dispositif aurait été initialement paramétré par la société pour déclencher des caches sur les objectifs des caméras durant les heures de travail des employés, et qu’il aurait été désactivé par erreur, cette circonstance ne remet pas en cause l’existence du manquement, caractérisé sur la base des faits constatés lors des contrôles. Par ailleurs, si la société justifie avoir retiré son dispositif de vidéosurveillance en juillet 2024, il n’en reste pas moins que la présence de caméras filmant les salariés dans les conditions précitées, sans cache, a été constatée lors des contrôles réalisés en octobre 2022, ainsi que la possibilité de consulter en continu les images et le son à travers une application, ce qui n’est pas contesté par la société. Elle note que l’existence d’un " mode vie privée " n’a pas été constatée par la délégation de la CNIL et que la société n’en a pas fait mention lors des opérations de contrôle, mais uniquement en cours d’instruction, en réponse au rapport de sanction, sans préciser d’ailleurs la date à laquelle le " mode vie privée " aurait été désactivé par erreur.
40. La formation restreinte relève enfin que la société ne justifie pas d’une situation particulière ou d’un événement justifiant le recours à la captation permanente des images et du son dans le cadre d’un dispositif de vidéosurveillance à des fins de prévention des atteintes aux biens (vols).
41. Par conséquent, la formation restreinte considère que la captation d’images en continu des employés sur leur poste de travail, et pendant leurs temps de pause, ainsi que la captation en permanence du son, en l’absence de circonstances particulières justifiant la mise en œuvre d’un tel dispositif, ne sont ni adéquates, ni pertinentes, ni limitées à ce qui est nécessaire au regard des finalités poursuivies, et apparaissent dès lors excessives au regard de la finalité précitée. Elle considère en outre que si la société a justifié avoir retiré le dispositif de vidéosurveillance, le manquement à l’article 5, paragraphe 1, c) du RGPD est néanmoins constitué pour le passé.
3. Sur le manquement en lien avec le dispositif TIME DOCTOR
42. La rapporteure relève qu’il ressort des indications données par la société lors des opérations de contrôle que le logiciel TIME DOCTOR a été mis en œuvre par cette dernière non seulement à des fins de mesure du temps de travail des salariés, mais également à des fins d’évaluation de leur productivité. Ainsi, d’une part, ce logiciel comptabilisait les temps d’inactivité des salariés à travers leurs mouvements de souris et leur activité sur leurs claviers (" idle minutes "). D’autre part, il visait également à mesurer la productivité des salariés en procédant à des captures régulières de leurs écrans d’ordinateur (" screencast ") et en comptabilisant leur temps passé sur certains sites web préalablement paramétrés comme productifs ou non par la société. La rapporteure considère que ces traitements sont mis en œuvre de manière disproportionnée eu égard aux finalités poursuivies, de sorte qu’ils ne pouvaient reposer sur la base légale de l’intérêt légitime, en méconnaissance des dispositions de l’article 6 du RGPD.
43. En défense, la société fait valoir que le dispositif TIME DOCTOR n’outrepassait pas les attentes raisonnables des salariés, dès lors qu’ils étaient oralement informés du fonctionnement du logiciel et qu’ils disposaient de la faculté d’en refuser l’utilisation sans conséquence négative. La société indique que peu d’ordinateurs auraient été configurés avec la version " silencieuse " du logiciel, et que les salariés pouvaient aisément justifier, sur simple déclaration, leur temps de travail effectivement réalisé. La société soutient en outre que les données collectées par ce dispositif constituaient un simple indice pour la mesure du temps de travail des salariés, et n’étaient pas utilisées à des fins de surveillance permanente de ces derniers. Par ailleurs, s’il n’est pas contesté que le logiciel permettait le recours à la fonction " screencast " permettant d’effectuer des captures d’écran des ordinateurs des salariés, la société soutient que ces captures d’écran n’étaient pas consultées par les encadrants et que la liste de sites web consultés n’était pas utilisée pour évaluer la productivité des salariés. Elle indique enfin avoir entrepris la suppression des captures d’écran enregistrées dès les opérations de contrôle, n’avoir utilisé le logiciel que sur une période d’un an et deux mois, et l’avoir désinstallé ensuite. Elle ajoute procéder désormais à la " mesure de la performance " de ses salariés avec d’autres outils.
3.1. Sur la finalité de mesure du temps de travail
44. La formation restreinte rappelle, d’une part, que la CNIL considère les dispositifs de surveillance automatisée permanente des salariés, tels que la prise de captures d’écran du salarié à intervalles réguliers ou l’utilisation de " keyloggers " (enregistreurs de frappe / de surveillance de la fréquence des frappes de clavier et des clics de souris permettant d’enregistrer à distance toutes les actions accomplies sur un ordinateur) comme disproportionnés au regard des intérêts légitimes de l’employeur, sauf circonstances exceptionnelles (CNIL, mise en demeure n° MED 2023-102 du 17 novembre 2023, cf. Tables Informatique et Libertés (TIL) sur le site web de la CNIL). La formation restreinte a de même considéré, dans une décision de sanction récente portant sur un système de surveillance automatisée des salariés mesurant très précisément les interruptions d’activité de ces derniers, qu’un tel système " conduit à recenser informatiquement l’intégralité des temps d’interruption d’un salarié […] et à les cumuler sur la semaine, ce qui porte ainsi une atteinte excessive, notamment, au droit à la vie privée et personnelle du salarié ainsi qu’à son droit à des conditions de travail qui respectent sa santé et sa sécurité ". Il ne peut dès lors être mis en œuvre sur le fondement de l’intérêt légitime de l’employeur (CNIL, Sanction SAN-2023-021 du 27 décembre 2023).
45. D’autre part, en application de L.3121-1 du code du travail, la formation restreinte précise en outre que le temps de travail est défini comme " le temps pendant lequel le salarié est à la disposition de l’employeur et se conforme à ses directives sans pouvoir vaquer librement à des occupations personnelles ". Il résulte de ce qui précède que le temps de travail effectif ne se limite pas à la réalisation d’une action continue, circonscrite à une activité de frappe sur un clavier ou un mouvement de souris. Il s’analyse plus largement, comme un temps durant lequel le salarié est à la disposition de son employeur, pour agir selon ses directives, et sans que ce temps se limite nécessairement à la réalisation d’une tâche continue matérialisée par des actions faites sur ordinateur.
46. En l’espèce, la formation restreinte relève qu’il ressort tant des constatations de la délégation de contrôle que des éléments de réponse de la société, que le logiciel utilisé pour effectuer un décompte du temps de travail incluait une fonctionnalité " time out ", laquelle " permettait de soustraire les temps de pause des périodes de travail actives des salariés ". Cette fonctionnalité était ainsi utilisée pour mesurer nominativement les temps considérés par la société comme étant des temps " d’inactivité " des salariés, identifiés en fonction d’une durée préalablement paramétrée, entre trois et quinze minutes, au cours de laquelle le salarié n’avait effectué aucune frappe sur son clavier d’ordinateur ou aucun mouvement de souris (ce temps correspondant ainsi à des " idle minutes " - minutes d’inactivité). Sur cette base, le logiciel calculait le pourcentage de temps d’inactivité eu égard au temps de travail considéré comme effectif, en tenant compte des horaires d’activation et de désactivation du logiciel. Ce temps de travail effectif était ainsi considéré comme un temps pendant lequel le salarié était constamment en activité, qui se matérialisait à travers les mouvements effectués sur son ordinateur. Les temps " d’inactivité " comptabilisés, que la société considérait comme non travaillés, à défaut d’être justifiés par le salarié ou rattrapés, pouvaient faire l’objet d’une retenue sur salaire. La société demandait en effet à ses salariés de justifier de ces heures
comptabilisées comme non travaillées, a posteriori, lors du décompte précédant la paie. Pour les salariés ne pouvant en justifier, la société procédait à une retenue sur salaire.
47. Au vu de ces éléments, la formation restreinte relève que les traitements mis en œuvre via le dispositif TIME DOCTOR – dont la finalité poursuivie était, selon la société, le seul " décompte du temps de travail ", conduisaient à analyser et comptabiliser de manière automatisée, tout au long de la journée, chaque temps " d’inactivité " des salariés supérieur à une durée préalablement et individuellement déterminée pour chacun d’entre eux. La société précise que ce dispositif était utilisé en vue de réaliser un décompte journalier des heures de travail considérées comme effectives et celles jugées comme ne l’étant pas, ces dernières étant identifiées au travers de ces périodes d’absences de frappe sur un clavier ou de mouvement de la souris. Le logiciel permettait ainsi d’analyser toutes les actions – ou absences d’actions – effectuées par les salariés sur leur ordinateur et d’en conclure que certaines périodes correspondaient à du temps travaillé, et d’autres non.
48. Or, la formation restreinte relève tout d’abord que des périodes pendant lesquelles le salarié n’utilise pas son matériel informatique peuvent également correspondre à du temps de travail effectif au cours duquel il peut effectuer diverses tâches, dans le cadre de ses missions, comme par exemple des réunions, du travail manuel à la demande d’un responsable, ou encore des appels téléphoniques. Il ressort des éléments communiqués par la société que de telles tâches sont bien confiées à ses salariés. La formation restreinte rappelle en outre que, en application de l’article L. 3121-1 du code du travail précité.
49. En défense, la société met en avant le fait que ces temps d’inactivité pouvaient être justifiés par les salariés et que, en cas de justification satisfaisante, aucune retenue sur salaire n’était effectuée. La formation restreinte considère que cet argument, loin de constituer une garantie, illustre au contraire le fait que le décompte du temps de travail via ce dispositif, particulièrement intrusif, n’est pas révélateur et que son utilisation n’est pas adaptée à l’atteinte de la finalité poursuivie. Elle observe en outre que de telles justifications peuvent en pratique être difficiles à apporter par les salariés, compte tenu non seulement du temps écoulé depuis le décompte des périodes d’inactivité relevées par le logiciel, mais aussi du volume des temps comptabilisés dont il leur est demandé de justifier. La formation restreinte relève ainsi, à titre d’exemple, une demande de justification faite à un salarié portant sur quarante-trois heures à justifier au cours du moins précédent. Un tel dispositif, reposant en partie sur la possibilité pour les salariés de justifier de leurs actes a posteriori, lors du décompte précédant la paie, ne saurait constituer un système fiable de décompte des heures de travail.
50. Par conséquent, un tel dispositif de mesure du temps de travail, déduisant de ce décompte des temps " d’inactivité " identifiés en fonction des modalités décrites ci-dessus, ne constitue pas un élément de mesure fiable au sens des dispositions de l’article L.3171-4 du code du travail, qui requiert que " le décompte des heures de travail accomplies par chaque salarié, [dès lors qu’il] est assuré par un système d’enregistrement automatique, [soit] fiable et infalsifiable ".