AgentPublic/cnil huggingface dataset:
22. Dans cet arrêt, et au regard des exigences nées du droit au respect de la vie privée, la CEDH a donc jugé que les principes établis par la Cour dans l’arrêt Bărbulescu c. Roumanie (CEDH, 5 septembre 2017, Bărbulescu c. Roumanie, requête n° 61496/08) sont transposables, mutatis mutandis, aux circonstances dans lesquelles un employeur peut mettre en place une mesure de vidéosurveillance sur le lieu de travail. Elle a également rappelé à cette occasion la nécessité de manier les critères ainsi mis en avant en tenant compte de la spécificité des relations de travail et du développement des nouvelles technologies, qui peut permettre des mesures de surveillance de plus en plus intrusives dans la vie privée des salariés. Dans ce contexte, pour s’assurer de la proportionnalité de mesures de vidéosurveillance sur le lieu de travail, la Cour a estimé que les juridictions nationales devaient tenir compte des facteurs suivants lorsqu’elles procèdent à la mise en balance des différents intérêts en jeu :
- L’employé a-t-il été informé de la possibilité que l’employeur prenne des mesures de vidéosurveillance ainsi que de la mise en place de telles mesures ?
- Quels ont été l’ampleur de la surveillance opérée par l’employeur et le degré d’intrusion dans la vie privée de l’employé ?
- L’employeur a-t-il justifié par des motifs légitimes le recours à la surveillance et l’ampleur de celle-ci ?
- Était-il possible de mettre en place un système de surveillance reposant sur des moyens et des mesures moins intrusifs ?
- Quelles ont été les conséquences de la surveillance pour l’employé qui en a fait l’objet ?
- L’employé s’est-il vu offrir des garanties adéquates, notamment lorsque les mesures de surveillance de l’employeur avaient un caractère intrusif ?
23. À la lumière de cette décision et des critères définis, si le recours à des caméras dissimulées peut être admis, cela ne peut être que dans des circonstances exceptionnelles et à condition de ménager un juste équilibre entre l’objectif poursuivi par le responsable de traitement et la protection de la vie privée des salariés. La conciliation proportionnée de ces objectifs implique, en principe, qu’un tel dispositif dissimulé devrait généralement rester temporaire.
24. La rapporteure observe que cinq caméras de vidéosurveillance prenant l’apparence de détecteurs de fumée ont été installées dans deux des réserves du magasin " La Samaritaine " en août 2023, en raison de l’augmentation des vols de marchandises dans ces réserves. Elle considère que le traitement de données permis par ces caméras constitue un traitement déloyal, faute pour la société de n’avoir apporté aucun élément permettant d’attester du caractère temporaire du dispositif, dans la mesure où ce n’est qu’à la faveur de sa découverte puis de son démontage par les salariés que le traitement de données à caractère personnel a été interrompu. Elle relève aussi que les caméras étaient dotées de micros, rendant ainsi le dispositif très intrusif vis-à-vis des salariés.
25. Elle considère enfin que le fait que, le dispositif n’avait pas été répertorié dans l’analyse d’impact sur la protection des données (ci-après " AIPD ") et que la déléguée à la protection des données n’avait pas été informée de son déploiement démontrent que la société a mis en œuvre le traitement en dehors de toutes considérations liées au respect du RGPD.
26. En défense, la société explique que les deux réserves en question étaient déjà équipées d’un dispositif de vidéosurveillance " classique ", composé de caméras visibles et dont les salariés avaient été informés. Toutefois, la recrudescence de vols commis entre le 14 et le 23 aout 2023 au sein de ces réserves a mis en avant l’inefficacité du dispositif de vidéosurveillance déjà existant. Elle précise que la décision d’installer ces caméras a été prise durant la période estivale où son prestataire habituel, en charge du dispositif de vidéosurveillance " classique ", n’était pas disponible dans les délais requis. Elle s’est donc tournée vers un autre prestataire.
27. Elle a alors décidé d’installer de nouvelles caméras afin de couvrir plus efficacement la surface des réserves. Afin de s’assurer que les futures caméras permettraient de mieux sécuriser les marchandises, la société a décidé d’installer des caméras " test " pour mieux comprendre comment couvrir les angles morts du dispositif classique et pouvoir déterminer où placer, dans un second temps, des caméras pérennes, dans les mêmes conditions que celles du dispositif de vidéosurveillance actuel.
28. La société explique que l’objectif de ces caméras " test " n’était donc pas de surveiller les salariés, mais d’identifier où implanter les futures caméras. Elle précise que ces caméras " test " n’étaient d’ailleurs pas connectées au dispositif classique et que les images qu’elles captaient ne pouvaient pas être visionnées depuis le PC sécurité du magasin. En outre, elle observe qu’elle n’avait pas connaissance de ce que les caméras étaient dotées de micros et qu’en tout état de cause, elle n’a jamais été en possession des enregistrements en raison du démontage des caméras et de la subtilisation des cartes SD.
29. En séance, la société a expliqué que les caméras n’étaient pas dissimulées puisque disposées sur des murs nus. Elle a également précisé que la commande des caméras auprès du prestataire avait été faite uniquement à l’oral, sans bon de commande, et au vu de l’urgence survenant au cœur de l’été. Elle a également ajouté que les réserves ne constituent pas le lieu de travail des salariés, qui ne sont amenés à s’y rendre que ponctuellement.
30. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier que les caméras " test ", installées dans deux réserves durant plusieurs semaines, ont enregistré des images sur lesquelles apparaissent les salariés travaillant dans les réserves et ont capté le son. Elle note que les caméras ont été désinstallées par les salariés en septembre 2023.
31. À titre liminaire, elle souligne que le fait que les caméras test n’étaient pas reliées au dispositif classique n’a aucune conséquence sur la qualification de données à caractère personnel des données collectées.
32. En premier lieu, la formation restreinte relève que les caractéristiques techniques des caméras - fonctionnant sur batterie, simplement collées au mur et sans être reliées au dispositif de vidéosurveillance classique - tendent à corroborer les déclarations de la société selon lesquelles le dispositif en cause n’avait pas vocation à être pérenne. Elle note toutefois, qu’afin de garantir un juste équilibre entre la protection de la vie privée des salariés et l’objectif poursuivi par le responsable de traitement, ce dernier doit analyser la compatibilité du dispositif avec le RGPD et être en mesure d’en rendre compte, comme le prévoient les dispositions de l’article 5-2 du RGPD. Il doit ainsi, dans ce cadre, documenter les caractéristiques de déploiement de son dispositif, et pouvoir attester notamment de son caractère temporaire.
33. Or, la formation restreinte relève qu’en l’espèce, la documentation (registre des traitements et AIPD) mise en place par la société ne contient aucune trace du dispositif qui permettrait de confirmer les allégations de la société. Le traitement de données en lien avec le dispositif n’est pas mentionné dans son registre des traitements et ce n’est que le 22 décembre 2023, soit postérieurement à son installation et au contrôle, que le dispositif a été intégré à l’analyse d’impact établi par la société. Par ailleurs, la formation restreinte observe que la société n’a pas non plus tenu informée sa déléguée à la protection des données de l’installation du dispositif. La société ne dispose pas non plus d’éléments écrits (bon de commande par exemple) établissant le caractère temporaire du dispositif, tous les échanges entre la société et le prestataire relatifs à son déploiement étant intervenus par oral.
34. Elle considère ainsi que la mise en place de ce dispositif n’a pas été accompagnée de garanties appropriées permettant d’assurer la préservation d’un juste équilibre entre l’objectif poursuivi par le responsable de traitement et la protection de la vie privée des salariés et d’être en mesure d’en attester, comme les jurisprudences applicables en la matière invitent les organismes à le faire dans de tels cas.
35. En deuxième lieu, la formation restreinte considère que le fait que les salariés avaient été informés de la présence du dispositif de vidéosurveillance classique ne remet pas en cause ce qui précède. Au contraire, elle relève que, les caméras " test " prenant l’apparence de détecteurs de fumée, les salariés ne pouvaient raisonnablement pas s’attendre à ce qu’il s’agisse de nouvelles caméras et que le dispositif mis en place était, par suite, susceptible de les tromper.
36. En troisième lieu, la formation restreinte ne peut souscrire à l’argument de la société selon lequel les caméras " test " n’avaient pas pour objectif de surveiller les salariés. En effet, elle constate au contraire que, dans la mesure où l’objectif des caméras " test " était de s’assurer que les angles de vue des futures caméras permettent de détecter les vols, cela implique nécessairement que les caméras " test " ont été positionnées de manière à tenter de capter de façon suffisamment claire les faits et gestes des salariés travaillant dans les réserves.
37. En tout état de cause, la formation restreinte considère que quand bien même les caméras " test " n’auraient pas eu pour objectif premier de surveiller les salariés mais d’identifier les angles de vue pertinents pour installer de futures caméras à des fins de prévention des atteintes aux biens et personnes, cela est sans incidence sur le fait que le dispositif a effectivement conduit à ce que soient captées des images et des conversations de salariés, à leur insu.
38. La formation restreinte considère que ces faits constituent un manquement aux articles 5-1-a et 5-2 combinés du RGPD.
B. Sur le manquement à l’obligation de collecter des données adéquates, pertinentes et non excessives (article 5-1-c) du RGPD
39. En droit, l’article 5, paragraphe 1, point c) du RGPD prévoit que les données à caractère personnel doivent être " adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ".
40. Le responsable d’un traitement doit ainsi respecter le principe de minimisation en s’abstenant de collecter, conserver, ou plus généralement de traiter des données qui sont sans utilité pour atteindre les finalités poursuivies.
41. La Commission considère que pour être proportionné, un dispositif de vidéosurveillance ne doit pas, en principe, capter le son. La formation restreinte a ainsi rappelé récemment que " La captation du son n’est admissible que dans des circonstances exceptionnelles dont l’employeur doit pouvoir justifier, et doit alors généralement ne pas être mise en œuvre en continu mais seulement lorsqu’un événement particulier se produit " (CNIL, FR, 19 décembre 2024, Sanction n° SAN-2024-021, publiée, § 37).
42. La rapporteure relève que les caméras " test " étaient dotées de micros qui ont permis la captation de conservations entre les salariés relevant de la sphère personnelle. Elle considère que la société n'a pas fait état d’une situation particulière justifiant le recours à la captation du son dans les réserves de son magasin. Elle observe que l’emballage des caméras ainsi que leur notice d’utilisation faisaient explicitement état de la fonctionnalité de captation du son, ce que la société ne pouvait donc ignorer.
43. En défense, la société explique qu’elle n’avait pas connaissance de la captation du son par les caméras " test ". Elle précise que la décision d’installer ces caméras a été prise durant la période estivale où son prestataire habituel, en charge du dispositif de vidéosurveillance " classique ", n’était pas disponible dans les délais requis. Elle a donc fait appel à un autre prestataire, à qui elle a laissé le soin de choisir le modèle de caméra, sans le valider.
44. En l’espèce, la formation restreinte relève d’abord qu’il ressort des enregistrements transmis à la délégation de contrôle que ceux-ci comportaient à la fois des images et du son, sans que la société n’apporte de justification particulière.
45. Au contraire, au regard de la finalité annoncée par la société - qui indique que les caméras " test " ont été installées afin d’identifier les angles de prises de vues les plus adéquats pour de nouvelles caméras - la formation restreinte considère que la collecte du son n’était pas nécessaire à cette fin, cet objectif pouvant être atteint par le seul recours à l’enregistrement d’images.
46. La formation restreinte observe ensuite que la captation du son est susceptible d’engendrer la collecte de données relatives à la vie privée des salariés, contenues dans leurs conversations, ce qui a été le cas à l’espèce puisque l’un des enregistrements contient une conversation au cours de laquelle un salarié évoque son départ de la société.
47. La formation restreinte prend note des explications de la société relatives aux contraintes autour de l’installation des caméras " test " durant la période estivale. Elle considère néanmoins que les circonstances évoquées ne sauraient exonérer la société de ses responsabilités et qu’en application des principes de responsabilité énoncés aux articles 5-2 et 24 du RGPD, elle était justement tenue de s’assurer que le modèle de caméras mis en place n’aurait pas pour conséquence de procéder à un traitement de données à caractère personnel incompatible avec les textes applicables.
48. Elle note d’ailleurs sur ce point qu’il ressort des pièces du dossier que tant l’emballage des caméras que la notice d’utilisation mentionnent la présence d’un micro et la fonctionnalité d’écoute du modèle choisi par la prestataire. Or, quand bien même la société n’aurait pas choisi volontairement un modèle permettant la captation du son, elle disposait, avant l’installation, de tous les éléments lui permettant de savoir que le modèle comportait une fonctionnalité d’écoute.
49. La formation restreinte considère que ces faits constituent un manquement à l’article 5-1-c du RGPD. Les données issues du système de vidéosurveillance n’apparaissent ni adéquates, ni pertinentes, ni limitées à ce qui est nécessaire au regard de la finalité annoncée par la société (tests en vue de la prévention des vols) et l’enregistrement sonore des salariés apparaît dès lors excessif.
C. Sur le manquement à l’obligation de respecter la durée de conservation définie (article 5.1.e) du RGPD) 
50. En droit, l’article 5, paragraphe 1, point e) du RGPD dispose que " les données à caractère personnel doivent être […] conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ".
51. En vertu des dispositions précitées, il incombe au responsable de traitement de définir une durée de conservation en fonction de la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent en principe être supprimées, anonymisées ou faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire, notamment, pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Au-delà des durées de conservation des données versées en archives intermédiaires, les données à caractère personnel doivent, sauf exception, être supprimées ou anonymisées. L’obligation de supprimer les données à l’expiration d’une certaine durée constitue l’une des garanties fondamentales du régime de protection des données personnelles.
52. L’effectivité de la mise en œuvre d’une politique de durée de conservation des données est le pendant nécessaire de sa définition et permet d’assurer que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Cela permet notamment, de réduire les risques d’usage non autorisé des données en cause, par un salarié ou par un tiers.
53. La rapporteure souligne que si la société a défini une durée de conservation des images issues du dispositif de vidéosurveillance de 17 jours, le contrôle sur place effectué le 29 novembre 2023 a révélé la présence sur le poste de travail dédié à la vidéosurveillance d’extraits vidéo datant du 3 janvier 2022. Elle précise que la société n’a pas indiqué de finalité justifiant la conservation de ces images au-delà de la durée de 17 jours qu’elle avait définie.
54. En défense, la société explique que les extraits en question ne contenaient a priori pas de données à caractère personnel dans la mesure où il s’agissait de captations réalisées pour des raisons de maintenance des caméras, lorsque le magasin est fermé. Elle explique que les extraits en question ont été supprimés à la suite du contrôle.
55. La formation restreinte prend acte des explications fournies par la société. Elle considère que les pièces versées au dossier ne permettent pas d’établir la présence de données à caractère personnel dans les extraits en question.
56. Elle considère en conséquence que les éléments du dossier ne permettent pas de caractériser l’existence d’un manquement à l’article 5-1-e du RGPD.
D. Sur le manquement à l’obligation de communication à la CNIL d’une violation de données à caractère personnel (article 33 du RGPD)
57. En droit, l’article 33.1 du RGPD dispose qu’en cas de violation de données à caractère personnel, " le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ".
58. Le paragraphe 5 du même article prévoit quant à lui que " le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l’autorité de contrôle de vérifier le respect du présent article ".
59. Une violation de données à caractère personnel est définie à l’article 4.12 du RGPD de la façon suivante : " une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ".
60. En outre, les lignes directrices 9/2022 du comité européen de la protection des données (ci-après, " CEDP ") sur la notification de violations de données à caractère personnel en vertu du RGPD du 28 mars 2023 précisent au point 14 que " Pour ce qui est de la " perte " de données à caractère personnel, cela signifie que les données pourraient toujours exister, mais que le responsable du traitement a perdu tout contrôle ou tout accès à ces données, ou encore qu’il ne les a plus en sa possession. […] Il peut, par exemple, y avoir perte de données à caractère personnel lorsqu’un appareil contenant une copie de la base de données client d’un responsable du traitement est perdu ou volé ".
61. La rapporteure rappelle qu’à l’occasion du démontage des caméras " test " par les salariés entre les 13 et 14 septembre 2023, ces derniers ont conservé deux cartes SD contenant les enregistrements réalisés par le dispositif, ce qui caractérise une violation de données à caractère personnel. Elle relève qu’au jour du contrôle effectué le 29 novembre 2023, ces faits n’avaient fait l’objet d’aucune notification à la CNIL, ni d’inscription par la société au sein du registre des violations de données.
62. En défense, la société explique que ce n’est qu’à l’occasion des échanges intervenus avec la délégation de contrôle de la CNIL qu’elle a été en mesure d’apprécier que le fait que deux cartes SD aient été subtilisées par des salariés constituait une violation de données à caractère personnel. Elle explique avoir procédé à la notification auprès de la CNIL le 2 décembre 2023, soit dans le délai de 72 heures après avoir qualifié l’incident.
63. En l’espèce, la formation restreinte relève tout d’abord que la qualification de violation de données à caractère personnel des faits en cause ne présentait pas la moindre ambiguïté. En effet, la perte de contrôle par le responsable de traitement d’un matériel contenant des données à caractère personnel est explicitement citée comme exemple d’événement devant être qualifié de violation de données à caractère personnel par l’article 4-12 du RGPD et est utilisée comme illustration dans les lignes directrices du CEPD précitées ou encore dans les communications publiques de la CNIL en lien avec la sécurité des données, par exemple au sein de la page " Perte ou vol de matériel informatique nomade : les bons réflexes à avoir ! " publiée sur le site web de la CNIL le 14 septembre 2022.
64. La formation retreinte considère par ailleurs que compte tenu de la présence sur les cartes SD d’enregistrements vidéo et sonores concernant des salariés, la violation en question était susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, rendant ainsi obligatoire sa notification à l’autorité de contrôle.
65. Elle relève ensuite qu’il ressort des pièces du dossier que la société a eu connaissance du fait que les cartes SD des caméras " test " avaient été retirées entre le 13 et le 14 septembre 2023, quelques jours après le vol, soit avant le contrôle de la délégation de la CNIL du 29 novembre 2023. Cela n’est d’ailleurs pas contesté par la société en défense.
66. Compte tenu de ces éléments, la formation restreinte considère que la société n’apporte aucun élément de nature à justifier le retard pris dans la notification de la violation de données à la CNIL ni dans son inscription au sein d’un registre.
67. La formation restreinte considère que l’absence de notification de violation de données à la CNIL et de documentation au sein du registre des violation de données de la société constituent un manquement à l’article 33, paragraphe 1 et paragraphe 5, du RGPD.
E. Sur le manquement à l’obligation d’associer le délégué à la protection des données aux questions relatives à la protection des données à caractère personnel (article 38.1 du RGPD)
68. En droit, aux termes de l’article 38, paragraphe 1, du RGPD, " le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel ".
69. L’article 39, paragraphe 1, du RGPD prévoit parmi les missions du délégué à la protection des données celles d’" informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent […] " et de " contrôler le respect du présent règlement ".
70. Dans ses lignes directrices du 13 décembre 2016 révisées le 5 avril 2017, concernant les délégués à la protection des données, le groupe de travail de l’article 29 (dit " G29 ", devenu le " CEPD ") souligne qu’" il est essentiel que le DPD, ou son équipe, soit associé dès le stade le plus précoce possible à toutes les questions relatives à la protection des données […]l’information et la consultation du DPD dès le début permettront de faciliter le respect du RGPD et d’encourager une approche fondée sur la protection des données dès la conception; il devrait donc s’agir d’une procédure habituelle au sein de la gouvernance de l’organisme. "
71. La rapporteure relève que la déléguée à la protection des données a été informée de l’existence du dispositif des caméras " test " seulement le 2 octobre 2023, soit après que le dispositif a été installé puis démonté, ce qui ne lui a pas permis d’exercer ses missions de conseil auprès du responsable de traitement.