AgentPublic/cnil huggingface dataset:
88. En l’espèce, la formation restreinte note que la société a indiqué lors des opérations de contrôle qu’elle n’avait réalisé aucune AIPD pour les " traitements RH " mis en œuvre, parmi lesquels figurent ceux mis en œuvre par le biais du logiciel TIME DOCTOR. Or, la formation restreinte relève que, comme exposé plus haut, la société opérait une surveillance, minute par minute, de l’activité de ses salariés, en situation de subordination, pouvant aboutir à une " régularisation de salaire ", quand bien même une seule aurait été effectuée. De plus, à supposer que les données issues du logiciel n’auraient in fine pas été exploitées par la société à des fins de mesure de la productivité des salariés, il n’en reste pas moins qu’elle a sciemment activé en amont, pour chaque salarié, l’option " screencast ", et paramétré les durées entre chaque capture d’écran, de sorte qu’elle ne s’est pas limitée à activer les seules options relatives au contrôle des horaires proposées par ce logiciel, mais a opéré volontairement un paramétrage différent, en activant des options complémentaires permettant de contrôler l’activité des salariés. Outre cette option, elle a également fait le choix d’activer l’option " time out ", pour décompter les " idle minutes ", matérialisées par l’absence de frappe sur un clavier ou de mouvement de souris pendant une durée, au cas par cas, entre trois et quinze minutes.
89. Ainsi, la formation restreinte considère que les traitements mis en œuvre via ce logiciel – et les options activées - excèdent la seule " gestion du personnel " et procèdent à une surveillance systématique des salariés. Elle rappelle qu’à la lumière des lignes directrices du groupe de travail " article 29 " concernant l’AIPD et la manière de déterminer si le traitement est " susceptible d’engendrer un risque élevé ", adoptées le 4 octobre 2017, la notion de personne vulnérable fait référence à un déséquilibre des pouvoirs qui existe entre les personnes concernées et le responsable du traitement, ce qui signifie que les premières peuvent se trouver dans l’incapacité de s’opposer aisément au traitement de leurs données ou d’exercer leurs droits. Les employés peuvent être dans ce cas. Or, la formation restreinte relève que les traitements effectués à travers le logiciel TIME DOCTOR portaient sur des salariés de la société qui entrent dans ce cas de figure visé par les lignes directrices du groupe de travail sus cité. Elle souligne que 60 % de ceux-ci étaient des alternants, dépendants de surcroît de leur employeur pour la validation de leur diplôme.
90. La formation restreinte estime que, dès lors qu’ils ne mettent pas en œuvre un simple contrôle des horaires ou des accès à l’instar d’une badgeuse (pouvant être électronique), les traitements opérés par le logiciel n’entrent pas dans le champ des types d’opération de traitement pour lesquels une AIPD n’est pas requise, listés dans la délibération n°2019-118 de la CNIL. Au contraire, la formation restreinte considère que les traitements opérés à travers le logiciel TIME DOCTOR, étaient susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Ils conduisaient à opérer une collecte de données à caractère personnel permettant une surveillance systématique des salariés, personnes vulnérables. La formation restreinte estime que ces traitements entrent dans le champ des types d’opération pour lesquels une AIPD doit être préalablement établie, listés par la CNIL dans sa délibération n° 2018-327.
91. Au regard de l’ensemble de ce qui précède, la formation restreinte considère que les traitements mis en œuvre via le logiciel TIME DOCTOR aux fins de contrôle du temps de travail et de la productivité des salariés, conduisaient la société à réaliser des traitements susceptibles d’engendrer un risque élevé pour les droits et libertés de ses salariés, au sens de l’article 35 du RGPD. 
92. Par conséquent, en ne réalisant pas une AIPD préalablement à la mise en œuvre de ce traitement, la société a commis un manquement à l’article 35 du RGPD.
III. Sur les mesures correctrices
93. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
94. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
1. Sur le prononcé d’une amende administrative
95. En défense, la société fait valoir que l’utilisation du logiciel, faite dans l’urgence et dans une période de désorganisation de la société, aurait été partielle, limitée dans le temps et sans conséquence négative pour les salariés. Elle indique que "les traitements [et les manquements associés], limités dans le temps et partiels, n’ont pas fait échec au droit à la protection des données personnelles des salariés, ni à la possibilité d’exercer leurs droits ", compte tenu des informations dont ils disposaient dans le règlement intérieur et leurs contrats de travail. La société soutient que tant le dispositif de vidéosurveillance que le dispositif TIME DOCTOR avaient été mis en place uniquement pour la gestion et l’encadrement des salariés en période de crise, eu égard aux contraintes du télétravail, et que les traitements effectués à travers ces dispositifs étaient " secondaires à son activité ". Elle soutient en outre que doit être prise en considération sa réactivité, dès les opérations de contrôle, pour se mettre en conformité avec les dispositions du RGPD, ainsi que sa coopération avec les services de la CNIL. Enfin, elle considère que " l’absence de mise en demeure préalable doit conduire à reconsidérer le montant de l’amende administrative prévu […] ".
96. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes. 
97. En outre, la formation restreinte rappelle que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C-683/21). 
98. La formation restreinte considère qu’en l’espèce, les manquements commis par la société révèlent, pour certains, une intentionnalité, et pour d’autres une négligence de sa part.
99. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu’elles ont subi. 
100. La formation restreinte relève que la société a manqué à plusieurs principes fondamentaux du RGPD, visant à garantir la licéité des traitements mis en œuvre, leur transparence à l’égard des personnes concernées, ainsi qu’à sécuriser les données à caractère personnel traitées. Elle considère que les manquements constatés sont particulièrement graves au vu de l’atteinte portée aux droits et libertés fondamentaux des salariés.
101. S’agissant du caractère disproportionné des dispositifs mis en œuvre par la société eu égard aux finalités poursuivies, la formation restreinte considère, d’une part, que la captation permanente des images et du son sur les lieux de travail et de pause des salariés, ne répondait pas aux exigences de minimisation des données et, d’autre part, que les traitements effectués à travers le logiciel TIME DOCTOR relatifs au contrôle de l’activité des salariés, comptabilisant constamment les " idle minutes " et prenant des captures d’écran à intervalles réguliers et rapprochés, s’apparentaient à une surveillance permanente des employés. La formation restreinte considère qu’eu égard aux finalités de mesure du temps de travail et de la productivité des salariés, ces traitements disproportionnés ne pouvaient être fondés sur la base de l’intérêt légitime, de sorte que la société ne disposait pas d’une base légale valable en méconnaissance de l’article 6 du RGPD. Cette surveillance est aggravée lorsque le logiciel est installé sous sa version " silencieuse ", sans possibilité de le désactiver. Ces traitements concernaient de surcroît des employés, personnes vulnérables, dont 60 % étaient des alternants particulièrement dépendants de leur employeur pour la validation de leur diplôme.
102. S’agissant du manquement à l’information et à la transparence, les salariés qui ne disposaient pas d’une information complète relative aux traitements de leurs données à caractère personnel par le logiciel TIME DOCTOR, en méconnaissance des exigences des articles 12 et 13 du RGPD. De même, l’affichage relatif au système de vidéosurveillance mis en place ne comportait pas les informations requises, ni ne renvoyait à un autre document les contenant.
103. S’agissant du manquement relatif à la sécurité des données, la formation restreinte souligne qu’il met en lumière des défaillances dans la gestion des droits d’accès et des habilitations, qui constituent pourtant des sujets élémentaires de la sécurité des systèmes d’information.
104. S’agissant enfin du manquement à l’obligation de réaliser une AIPD, la formation restreinte considère qu’au regard de la vulnérabilité des personnes concernées du fait du lien de subordination avec le responsable de traitement, ainsi que de la surveillance systématique mise en place, la réalisation d’une AIPD aurait permis à la société de constater que les traitements effectués à travers le logiciel TIME DOCTOR étaient susceptibles de présenter un risque élevé pour les droits et libertés des salariés, et lui aurait permis de renoncer à leur mise en œuvre, a minima selon les modalités contrôlées par la CNIL.
105. En deuxième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa b) relatif à l’intentionnalité ou non des manquements commis.
106. La formation restreinte considère que, s’agissant du logiciel TIME DOCTOR, en activant sciemment et en amont l’option " time out ", ayant permis la collecte des données à caractère personnels de ses salariés à travers le décompte de leurs " idle minutes " aux fins de mesure du temps de travail, ainsi que l’option " screencast " aux fins de mesure de la productivité des salariés, ayant permis la collecte des données correspondantes selon des modalités de durée et de récurrence qu’elle a volontairement et préalablement paramétrées, la société révèle une intentionnalité dans le manquement qu’elle a commis.
107. En outre, la mise sous surveillance permanente des salariés, effectuée à travers le dispositif de vidéosurveillance, particulièrement intrusive et attentatoire à leur vie privée, révèle, à tout le moins, une négligence de la part de la société.
108. Par ailleurs, la formation restreinte reconnait que la société n’a pas délibérément commis le manquement à l’information des personnes concernées, à la sécurité des données, ainsi qu’à son obligation de réaliser une AIPD. La formation restreinte considère néanmoins que ces manquements résultent de sa propre négligence, aggravée d’une part par le fait que des mesures de sécurité élémentaires auraient permis de sécuriser le compte administrateur du logiciel, qui donnait accès à des données dont les traitements portaient atteinte à la vie privée des salariés, et d’autre part par l’intentionnalité de la société dans le placement sous surveillance permanente des salariés à travers le logiciel TIME DOCTOR, lequel était susceptible de présenter un risque élevé pour les droits et libertés de ces derniers. 
109. En troisième lieu, la formation restreinte souligne la réactivité de la société qui a désinstallé le logiciel TIME DOCTOR dès la suite des opérations de contrôle. La formation restreinte relève néanmoins que la société, qui met en avant la suppression des caméras de vidéosurveillance, ne justifie leur désinstallation qu’à compter de juillet 2024, soit un an et neuf mois après les contrôles. De même, la société justifie avoir communiqué une notice d’information complète au titre des articles 12 et 13 du RGPD à ses salariés également en juillet 2024. En tout état de cause, les manquements sont constitués pour les faits passés et constatés.
110. En quatrième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa f) relatif au degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs, la société ayant promptement communiqué les éléments sollicités par la délégation de contrôle de la CNIL. 
111. En conséquence, au vu de l’ensemble de ce qui précède, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre des manquements en cause.
2. Sur le montant de l’amende administrative
112. En défense, la société soutient que le montant de l’amende serait disproportionné compte tenu de sa taille limitée, du fait que les traitements en cause n’ont entraîné selon elle aucun avantage économique et du fait que les résultats financiers pris en considération ne reflèteraient pas sa situation financière réelle.
113. La formation restreinte relève d’abord que les manquements relatifs aux articles 5, paragraphe 1, c), 6, 12, 13 et 32 du RGPD sont des manquements à des principes clés du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu. Elle rappelle que les amendes administratives doivent être dissuasives et proportionnées. 
114. La formation restreinte rappelle que l’article 83 du RGPD pour déterminer le montant de l’amende, fait référence à un montant (jusqu’à 20 000 000 d’euros) ou, dans le cas d'une entreprise, à un pourcentage du chiffre d’affaires annuel (jusqu’à 4%). Si l’avantage économique qu’a pu retirer un responsable de traitement de la mise en œuvre des traitements ayant entraîné le manquement peut être pris en considération dans la détermination du montant de l’amende, il n’en constitue pas pour autant une condition.
115. En outre, la formation restreinte relève que dans le cadre de la prise en compte de l’activité de la société et de sa situation financière pour la détermination de l’amende, la société ne communique aucun élément qui démontrerait une baisse de son chiffre d’affaires ou de son résultat net, mais qu’au contraire, ceux-ci sont en augmentation entre l’exercice de 2020-2021 et l’exercice de 2022. A cet égard, la société […] a réalisé, pour la période du 1er avril 2020 au 31 décembre 2021, un chiffre d’affaires net de […] euros, pour un résultat net de […] euros et, pour l’année 2022, un chiffre d’affaires de […] euros pour un résultat net de […] euros. En 2023, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros. Selon les informations fournies par la société, celle-ci a indiqué un chiffre d’affaires prévisionnel pour 2024 de l’ordre de […] euros avec un résultat net déficitaire de plus de […] euros.
116. Dès lors, au regard de la responsabilité de la société […], de ses capacités financières et des critères pertinents de l’article 83 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant de […] euros, au regard des manquements constitués aux articles 5, paragraphe 1 c), 6, 12, 13, 32 et 35 du RGPD, apparaît justifiée.
B. Sur la publicité de la sanction
117. En défense, la société soutient que la publicité de la sanction n’est pas justifiée. Elle considère notamment que cette publicité ne serait pas opportune dès lors que les dispositifs en cause ont été désactivés, que les salariés ont fait l’objet d’une information exhaustive sur les traitements dont ils font l’objet et les droits qu’ils peuvent exercer, et qu’elle a spontanément collaboré avec la CNIL et déployé des mesures de mise en conformité. La société fait en outre valoir le nombre limité des personnes concernées, sa " situation […] sur le marché [qui] ne justifie pas une publicité qui pourrait avoir des effets pédagogiques ou illustratifs ", ainsi que le fait qu’elle n’aurait retiré aucun bénéfice, ni tout autre avantage, de la mise en œuvre des dispositifs en cause, de sorte que la publicité présenterait pour elle des effets disproportionnés.
118. La formation restreinte considère que ni le caractère passé des manquements, ni les mesures de mise en conformité prises par la société, fussent-elles rapides, ne remettent en cause le caractère justifié d’une publicité de la décision au regard de la gravité des manquements et du fait qu’ils portent sur la surveillance de salariés. Une telle publicité permet d'informer toute personne susceptible d’être soumise à la mesure de son temps de travail et au contrôle de sa productivité à travers de tels logiciels. De même, cette publicité permet d’informer toute personne soumise à la mise en œuvre d’un dispositif de vidéosurveillance sur son lieu de travail des droits dont elle dispose. Néanmoins, la formation restreinte considère que, compte tenu du nombre limité des personnes concernées eu égard à la taille réduite de la société, laquelle a de surcroît indiqué en cours d’instruction avoir, depuis les opérations de contrôle, réduit sa masse salariale, et du retrait immédiat du logiciel par cette dernière lors de ces contrôles, une publicité de la décision sans que la société y soit nommément identifiée, est suffisante à cette fin.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
• prononcer à l’encontre de la société […] une amende administrative d’un montant de quarante mille euros (40 000 €) pour manquements aux articles 5, paragraphe 1 c), 6, 12, 13, 32 et 35 du RGPD ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui n’identifiera pas nommément la société dès la publication.
Le président
 Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Après avoir entendu le rapport M. Claude Castellucia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement
Formule les observations suivantes :
De nombreux acteurs ont fait part, à la Commission nationale de l’informatique et des libertés (CNIL), de questionnements concernant l’application du règlement général sur la protection des données (RGPD) à l’intelligence artificielle (IA), en particulier depuis l’émergence de systèmes d’IA génératives.
La CNIL adopte une deuxième recommandation sur l’application du RGPD au développement des systèmes d’intelligence artificielle.
Cette deuxième recommandation est composée de deux fiches pratiques :
Informer les personnes concernées.
Respecter et faciliter l’exercice des droits des personnes concernées.
Elle sera complétée ultérieurement d’autres fiches pratiques.
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée.
Article 2 : La présente délibération sera publiée au Journal officiel de la République française. 
La présidente,
M.-L. Denis
 
Annexe 
Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante :
https://www.cnil.fr/fr/les-fiches-pratiques-ia
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g, 10, 11 et 19  ;
Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement ,
Décide :
Article 1
Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 :
M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction des contrôles et des sanctions.
M. Thibaud ANTIGNAC, adjoint au chef du service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle.
Mme Tess d'ARMAGNAC, juriste au service des contrôles à la direction des contrôles et des sanctions.
M. Mehdi ARFAOUI, sociologue du numérique au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle.