AgentPublic/cnil huggingface dataset:
Modalités de rémunération des membres de la commission
Article 78
Principes
Sans préjudice des indemnités forfaitaires, prévues par l'article 5 du décret n° 2020-173 du 27 février 2020 et l'arrêté du 27 février 2020 pris pour son application, qui sont allouées à certains membres de la commission en raison de leurs fonctions, des indemnités à la vacation peuvent être versées aux membres de la commission en application de l'article 6 du même décret, à l'exception de son président et des députés et sénateurs nommés en cette qualité, dans les conditions fixées aux articles 79 à 87 du présent règlement intérieur.
Article 79
Indemnités à la vacation allouées au titre de la participation aux séances de la formation plénière de la commission
Le montant des indemnités allouées aux membres de la commission est fixé à 250 euros par participation effective à toute séance de la formation plénière de la commission.
Le nombre maximal de séances indemnisées par membre à ce titre est fixé à cinquante par année civile.
Article 80
Indemnités à la vacation allouées au titre de la présentation des dossiers devant la formation plénière de la commission
Le montant unitaire des vacations allouées aux membres de la commission au titre de la préparation et de la présentation des dossiers devant la formation plénière de la commission est fixé à 50 euros.
Le fait de préparer et rapporter devant la formation plénière de la commission une délibération ne présentant pas de difficulté technique ou juridique particulière, au sens de l'article 17 du présent règlement intérieur, correspond à deux vacations (100 euros). Le nombre maximal de dossiers indemnisés par membre à ce titre est fixé à soixante-dix par année civile. Cette indemnité comprend tout le travail exercé sur le dossier, y compris les éventuelles réunions avec les services ou les administrations.
Le montant des indemnités allouées aux membres de la commission au titre de la préparation et de la présentation orale d'une délibération ou d'un dossier faisant l'objet d'un rapport écrit à la formation plénière de la commission est fixé à neuf vacations (450 euros). En cas de complexité particulière, ce montant est porté à treize vacations (650 euros). Le nombre maximal de délibérations ou dossiers donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est fixé à quarante.
Lorsque la conduite d'un dossier, notamment l'adoption de lignes directrices ou de recommandations en application de l'article 8 de la loi du 6 janvier 1978 s'étend sur un temps particulièrement long et implique, par exemple, l'organisation et le suivi d'une concertation, l'indemnisation allouée aux membres de la commission au titre de la conduite de ce type de dossier au long cours peut prendre deux formes, selon la décision du président :
- soit chaque séance de travail avec les services ou les tiers et chaque rapport écrit en séance plénière font l'objet d'une indemnisation d'un montant fixé respectivement à deux vacations (100 euros) et sept vacations (350 euros). Le nombre maximal de dossiers au long cours donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est alors fixé à dix et le nombre maximal de séances de travail nécessaires au traitement de ce type de dossier à quarante ;
- soit le président de la Commission décide de confier une mission particulière à un commissaire sur plusieurs mois. Cette mission fait l'objet d'une rémunération mensuelle qui est déterminée en fonction de la charge de travail liée à la mission. La rémunération mensuelle ne peut excéder trente vacations (1 500 euros). Si la mission donne lieu à des présentations en séance plénière, celles-ci ne font pas l'objet d'une rémunération spécifique.
Article 81
Indemnités à la vacation allouées au titre de la participation aux séances de la formation restreinte de la commission
Le montant des indemnités allouées aux membres de la commission est fixé à 250 euros par participation effective à toute séance publique de la formation restreinte de la commission et au délibéré qui s'ensuit.
Le montant des indemnités allouées aux membres de la commission pour l'examen de dossiers en délibéré sans tenue d'une séance publique (notamment les examens de suite d'injonction ou les examens de projets de décision transmis par le Comité européen de la protection des données en application des articles 63 et suivants du règlement général sur la protection des données (n° 2016/679 du 27 avril 2016) est fixé à 50 euros par dossier examiné pour chacun des membres assistant à la séance.
Le nombre maximal de séances indemnisées par membre est fixé à cinquante par année civile.
Article 82
Indemnités à la vacation allouées au titre de la présidence des séances de la formation restreinte en cas d'absence du président
Le montant des indemnités allouées au vice-président de la formation restreinte est fixé à 400 euros par présidence effective, en cas d'absence ou d'empêchement du président de cette formation, d'une séance de la formation restreinte de la commission. Cette indemnité n'est pas cumulable avec celle mentionnée à l'article précédent.
Le nombre maximal de séances indemnisées à ce titre est fixé à vingt par année civile.
Article 83
Indemnités à la vacation allouées au titre de la présentation des dossiers devant la formation restreinte de la commission
Le montant unitaire des vacations allouées aux membres de la commission au titre de la préparation et de la présentation des dossiers devant la formation restreinte de la commission est fixé à 50 euros.
Le fait de rédiger un rapport proposant le prononcé d'une sanction, les mémoires de réponse dans le cadre de la procédure contradictoire, et de présenter oralement un dossier faisant l'objet d'un rapport écrit à la formation restreinte de la commission est rémunéré, pour l'ensemble de l'instruction et la participation à la séance publique, par treize vacations (650 euros). En cas de complexité particulière, ce taux est porté à vingt vacations (1 000 euros). Le nombre maximal de délibérations ou dossiers donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est fixé à quarante.
Article 84
Indemnités à la vacation allouées au titre des investigations menées dans le cadre de l'exercice des droits des personnes auprès de la commission
Le montant des indemnités allouées aux membres de la commission au titre des investigations hors des locaux de la commission, dans le cadre de l'exercice des droits des personnes auprès de la commission, est fixé à 250 euros par demi-journée d'investigation.
Le nombre maximal de demi-journées indemnisées par membre à ce titre est fixé à trente par année civile.
Article 85
Indemnités à la vacation allouées au titre des déplacements à l'étranger
Le montant des vacations allouées aux membres de la commission pour se déplacer à l'étranger et participer aux travaux liés à l'activité européenne ou internationale de la commission à l'étranger est fixé à 250 euros par demi-journée.
La participation effective à distance à ces travaux donne lieu au versement de la même indemnité lorsqu'ils sont assimilables à une séance de la commission.
Le nombre maximal de vacations indemnisées par membre à ce titre est fixé à cent par année civile.
Article 86
Indemnités à la vacation allouées au titre de la participation aux travaux d'une instance ou d'un organisme administratif
Le montant des indemnités allouées aux membres de la commission au titre de leur participation aux travaux d'une instance ou d'un organisme administratif est fixé à 250 euros par séance de travail effective, dès lors que la participation du membre de la commission concerné résulte de la loi ou d'un acte réglementaire publié au Journal officiel et qu'elle ne fait pas l'objet d'une indemnité versée par l'instance ou l'organisme administratifs concernés.
Le nombre maximal de vacations indemnisées par membre à ce titre est fixé à quinze par année civile.
Article 87
Indemnités à la vacation allouées au titre de la participation à un colloque, conférence ou séminaire
Le fait pour un membre de la Commission de participer, à la demande du président, à un colloque, une conférence, un séminaire ou une autre manifestation de même nature, pour y faire des interventions ou participer à des tables rondes, peut faire l'objet d'une indemnité d'un montant de 250 euros, lorsque la manifestation se déroule en dehors de l'Ile-de-France.
Article 88
Indemnités à la vacation allouées au titre des autres activités
Le montant des indemnités allouées aux membres de la commission pour leur participation à toute autre séance de travail, y compris à distance, à la demande de la commission ou nécessaire aux travaux effectués pour elle, est fixé à 100 euros par séance.
Le nombre maximal de séances de travail indemnisées par membre à ce titre est fixé à quatre-vingt par année civile.
Article 2
La présidente et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun en ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
Par une décision du 23 décembre 2025, le Conseil d’Etat a réformé la délibération de la formation restreinte en ramenant le montant de la sanction à 15 000 000 d’euros considérant que les traitements en temps réel des indicateurs dits "x ", " y " et " z " ne traduisent pas de manquements aux dispositions du f) du 1. de l’article 6 du RGPD.
 
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Christine MAUGÜÉ et M. Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après " le RGPD " ou " le Règlement ") ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la saisine n° […] ;
Vu la décision n° 2019-187C du 26 septembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel mis en œuvre pour la société X (ci-après " la société " ou " X ") ou pour son compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 28 janvier 2021 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, notifié à la société X le 4 avril 2022 ;
Vu les observations écrites versées par la société X le 20 juin 2022 ;
Vu l’audition de la société X en date du 9 novembre 2022 ;
Vu la réponse du rapporteur aux observations de la société, notifiée le 6 décembre 2022 à la société X ;
Vu les observations écrites versées par la société X le 23 mai 2023 ;
Vu la lettre du 22 septembre 2023, adressée par la société X au président de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 14 septembre 2023 :
- M. François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
- […];
- […];
- […];
- […];
- […];
- […];
- […];
- […];
- […];
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société X, société par actions simplifiée immatriculée au registre du commerce et des sociétés le 3 janvier 2000, est située […]. Son chiffre d’affaires s’élevait à 1,135 milliard d’euros en 2021, pour un résultat net de 58,9 millions d’euros.
2. La société X est directement détenue par la société […] située au Luxembourg, elle-même détenue à 100% par la société […], située aux Etats-Unis.
3. La société fournit des services de support logistique dans le cadre de son activité de distribution de colis en France. Elle gère ainsi des centres de distribution de grande taille en France, au sein desquels elle reçoit, stocke les articles et prépare les colis à livrer. En novembre 2019, la société comptait environ 6 200 employés en contrat à durée indéterminée. Pour l’année 2019, elle avait eu recours à 21 582 intérimaires.
4. En novembre 2019, en application de la décision n° 2019-187C de la présidente de la Commission du 26 septembre 2019, plusieurs missions de contrôle sur place ont été menées dans les locaux administratifs occupés par plusieurs entités françaises d’[…] et au sein de la société. Les deux premières missions de contrôle, menées les 5 et 6 novembre 2019, ont permis aux services de la CNIL d’appréhender les traitements de données à caractère personnel mis en œuvre par les entités du groupe […] en France à l’égard de ses salariés. Les trois dernières missions de contrôle des 13, 14 et 19 novembre 2019, réalisées au sein des entrepôts de Lauwin-Planque et de Montélimar, se sont concentrées sur les traitements mis en œuvre par la société X, à savoir, les traitements relatifs au suivi de l’activité des salariés ainsi que les dispositifs de vidéosurveillance mis en œuvre par la société. Ces missions ont donné lieu à l’établissement des procès-verbaux n° 2019-187.1, 2019-187.2, 2019-187.4, 2019-187.5 et 2019-187.6.
5. A la suite des contrôles sur place, une instruction écrite s’est poursuivie et de nombreux échanges ont eu lieu entre les services de la CNIL et la société du mois de novembre 2019 au mois de janvier 2021.
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 28 janvier 2021, désigné M. François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou " la loi Informatique et Libertés ").
7. À l’issue de son instruction, le rapporteur a, le 4 avril 2022, fait notifier à la société un rapport détaillant les manquements aux articles 5-1-a), 5-1-c), 6, 12, 13 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou le " RGPD ") qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
8. Le 20 juin 2022, la société a produit ses observations en réponse au rapport de sanction.
9. Le 9 novembre 2022, la société a été entendue à sa demande afin d’apporter des précisions sur les traitements de données mis en œuvre à l’égard de ses salariés. Cette audition a donné lieu à l’établissement d’un procès-verbal sur lequel la société a formulé des commentaires transmis à la Commission et au rapporteur le 14 novembre 2022. La société a également adressé au rapporteur, par courriel du 16 novembre 2022, des réponses aux questions listées dans le procès-verbal d’audition.
10. Le rapporteur a répondu aux observations de la société le 6 décembre 2022.
11. Le 23 mai 2023, la société a produit de nouvelles observations en réponse à celles du rapporteur.
12. Par courrier du 20 juillet 2023, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction.
13. Le 24 juillet 2023, le président de la formation restreinte a adressé à la société une convocation à la séance de la formation restreinte du 14 septembre 2023.
14. Le rapporteur et la société ont présenté des observations orales lors de cette séance.  
II. Motifs de la décision
A. Sur le grief tiré de l’irrégularité de la tenue de la séance
15. Lors de l’audience devant la formation restreinte, le président de la formation restreinte a, en application de l’article 13 du règlement intérieur de la CNIL demandé l’audition d’un agent ayant participé aux contrôles. Tous les agents ayant participé aux contrôles ayant quitté les services de la Commission, la parole a été donnée à […], agent ayant participé à une partie des contrôles menés au sein de centres de distribution d’[…] en France.
16. La société fait valoir qu’une irrégularité procédurale résulterait de l’audition d’un agent de la CNIL, interrogé sur des faits qu’il aurait pu observer dans le cadre de la série de contrôles effectuée en novembre 2019 au sein d’entités […] en France, dans la mesure où cet agent n’a pas participé aux contrôles menés au sein de la société X. Celle-ci relève que cet agent n’a participé qu’aux contrôles au sein des locaux administratifs occupés par plusieurs entités françaises d’[…] et dans l’entrepôt d’une autre société du groupe, […].
17. La formation restreinte relève que l’agent entendu, auditeur des systèmes d’information, a indiqué qu’il considérait que les outils et méthodes de suivi de l’activité des salariés au sein d’autres entités françaises d’[…] sont les mêmes qu’au sein de la société X. En outre, l’intervention de l’agent n’a pas apporté d’élément nouveau sur les traitements mis en œuvre dans des entrepôts et la présente décision n’est pas fondée sur un élément indiqué par cet agent.
18. Par suite, le grief tiré de l’irrégularité de la tenue de la séance doit, en tout état de cause, être écarté.
B. Sur la présentation des traitements mis en œuvre à l’aide des scanners et de leurs finalités
1. Sur le traitement d’indicateurs individuels relatifs à la qualité du travail, à la productivité et aux périodes d’inactivité
19. Les salariés travaillant au sein des entrepôts de la société sont chargés, d’une part, de réceptionner et stocker les articles provenant de fournisseurs (inventaire) et, d’autre part, de prélever et d’emballer ces articles, en vue de leur envoi aux clients dans le cadre de l’exécution de leurs commandes. Pour ce faire, ils sont affectés aux postes correspondant à l’activité concernée (" réception ", " rangement ", " prélèvement " et " emballage "). Ces postes correspondent en grande partie, selon la terminologie d’[…], à des " processus directs " ou " tâches directes ", c’est-à-dire des tâches sur lesquelles le volume de production peut être mesuré au moyen de scanners dont sont munis les salariés. Les scanners sont de petits boîtiers dotés d’un écran permettant au salarié de s’identifier et de recevoir des consignes, ainsi que d’un lecteur à code-barres permettant de scanner les étiquettes des articles qu’il traite, ou encore des emplacements sur lesquels il range ou prélève les articles. Les salariés peuvent également être affectés à des " tâches indirectes ", lesquelles ne sont pas ou pas entièrement réalisées au moyen des scanners (par exemple, le transport des bacs vers les zones de prélèvement, la recherche des erreurs de processus, ou la formation des nouveaux employés aux processus de base). Les salariés peuvent être amenés à occuper des postes distincts au cours d’une même journée de travail.
20. Au moyen des scanners, la société collecte en continu des données relatives à l’activité des salariés affectés à des tâches directes : les scans réalisés par chaque salarié permettent ainsi non seulement de suivre la bonne progression de chaque article tout au long des différentes étapes de préparation et de distribution, mais également de mesurer l’activité du salarié, en décomptant le nombre d’unités qu’il traite sur une période donnée, en comptabilisant les périodes de temps durant lesquelles il ne traite aucune unité et en analysant le niveau de qualité avec lequel ces unités sont traitées, au regard de critères détaillés. L’utilisation des scanners permet également de repérer des erreurs, ou des probabilités d’erreur.
21. L’ensemble de ces données d’activité collectées en continu au moyen des scanners sont associées à l’identité du salarié sous la forme d’indicateurs de productivité, de qualité et relatifs aux périodes d’inactivité. Une très grande partie de ces données constituent donc des données à caractère personnel. Ces indicateurs sont accessibles au sein d’outils informatiques de suivi de l’activité. Il résulte des pièces du dossier que le terme d’indicateur vise, dans la terminologie d’[…], différentes formes sous lesquelles les données apparaissent dans les outils : il recouvre ainsi les données brutes collectées et les statistiques qui en sont tirées en continu (selon les cas, horaires, journalières ou semi-journalières, hebdomadaires, par exemple : X produits traités sur la dernière heure ; X erreurs commises sur une demi-journée ; X erreurs commises sur une semaine). Par ailleurs, la société utilise également le terme d’indicateur pour désigner des types d’indicateurs spécifiques, divisés dans les trois catégories décrites ci-après.
22. La société utilise ainsi 43 " indicateurs qualité " qui correspondent aux " actions des salariés susceptibles d’engendrer des erreurs de qualité ", telles que la mise en stock d’un article à un autre emplacement que celui préconisé ou le scan trop rapide des articles. Ces indicateurs permettent de signaler des erreurs probables ou avérées du salarié dans le processus d’acheminement des articles.
23. La société produit également des indicateurs relatifs à la productivité de chaque salarié, qu’elle distingue des " indicateurs qualité " et qui comprennent notamment le nombre d’articles traités par heure, les derniers scans effectués et leur heure exacte, le type d'article, sa taille et sa quantité.
24. La société traite enfin des indicateurs destinés à contrôler les interruptions des salariés durant leur temps de travail sur les tâches directes. Ainsi, le fait qu’aucune donnée n’est reçue par le scanner durant un certain temps est matérialisé par différents " indicateurs " dans les outils. En particulier, l’indicateur " Inferred time " (temps inféré d’inactivité d’un scanner), collecté par défaut après dix minutes consécutives d’inactivité d’un scanner, peut correspondre à plusieurs situations, dont l’" idle time ", qui est une période d’inactivité dépourvue de justification apparente. Un autre indicateur enregistre tout " temps de latence inférieur à dix minutes à des moments critiques de la journée ", soit en début et fin de session de travail ainsi qu’avant et après les pauses.
25. A noter que si la société désigne l’ensemble des données sous le terme " d’indicateur ", la formation restreinte distinguera parfois, dans la présente décision, les données brutes et les autres indicateurs, statistiques, qui sont calculées à partir de ces données brutes.