AgentPublic/cnil huggingface dataset:
26. Il est précisé que les tâches indirectes ne font quant à elles pas l’objet d’un suivi aussi fin que les tâches directes.
27. La présente décision concerne les traitements ainsi décrits dans l’ensemble des entrepôts de la société où ils sont opérés en France, dès lors qu’il ressort des pièces du dossier qu’il s’agit de traitements définis pour toute la France. En revanche, les traitements de vidéoprotection également mis en cause ne sont relatifs qu’aux entrepôts de Lauwin-Planque et de Montélimar.
2. Sur la périodicité du traitement des indicateurs et leur accessibilité dans les outils
28. La formation restreinte note que, premièrement, les trois catégories d’indicateurs traités par la société (qualité, productivité, périodes d’inactivité) remontent en temps réel, pour chaque salarié, au sein des outils de suivi de l’activité à la disposition des supérieurs hiérarchiques. Ainsi, ces derniers ont accès, notamment et pour chaque salarié qu’ils supervisent, aux dernières erreurs commises, à l’heure de chaque scan effectué, au nombre d’articles traités au cours de la dernière heure, au détail du temps de travail du salarié sur un processus donné et à tout temps d’interruption de son scanner.
29. Deuxièmement, l’ensemble de ces indicateurs relatifs à l’activité de chaque salarié sont conservés dans les outils durant 31 jours et peuvent ainsi être consultés, aussi bien via les données brutes que sous forme de statistiques, par exemple sur une heure ou une demi-journée.
30. Troisièmement et enfin, des rapports de performance hebdomadaire sont établis pour chaque salarié sur la base des indicateurs collectés en continu. Ils contiennent des statistiques hebdomadaires, quotidiennes et horaires relatives au respect des procédures qualité et à la productivité ainsi que les données brutes relatives aux erreurs qualité. Enfin, les idle times, qui n’apparaissent pas dans ces rapports de performance, sont néanmoins comptabilisés chaque semaine et sont parfois à l’origine de l’envoi de courriers de sensibilisation.
31. Les outils de suivi de l’activité identifiés dans le cadre de la procédure sont les suivants :
- […] permet d’accéder aux indicateurs nominatifs de productivité des salariés, y compris le détail de son temps de travail sur un même process. […] permet également de suivre des indicateurs agrégés (productivité globale d’un site par type d’activité). Ces données sont accessibles en temps réel et sur les 31 derniers jours.
- […] est utilisé pour suivre les indicateurs de qualité nominatifs associés à la réalisation des tâches directes par les salariés. Il permet également d’accéder à des indicateurs de qualité agrégés (par catégorie d’erreur ou par poste, par exemple). Ces données sont accessibles en temps réel et sur les 31 derniers jours.
- […] permet de consulter le détail des tâches effectuées par l’employé (y compris ses temps d’inactivité). Ce détail est accessible en temps réel et sur les 31 derniers jours.
- […] est un outil de supervision du travail qui comprend notamment […], […] et […].
- […] fournit pour chaque salarié des statistiques de qualité et de productivité (par semaine, par jour ou par heure) et les données brutes concernant les erreurs qualité.
3. Sur les finalités des traitements d’indicateurs nominatifs
32. La société indique que les traitements d’indicateurs poursuivent des finalités d’assurance qualité et sécurité, de gestion des entrepôts et de leur charge de travail (y compris à des fins de réaffectation des salariés en temps réel), de planification du travail, d’évaluation des salariés, de coaching (ou support) et de formation individuelle ainsi que de gestion des obligations du salarié concernant le respect du temps de travail. Elle précise que les trois catégories d’indicateurs ne sont pas toutes traitées ensemble pour toutes les finalités.
33. Le rapporteur estime que plusieurs des finalités avancées par la société recouvrent des réalités très proches et, en conséquence, les regroupe en deux ensembles, à savoir, d’une part, la gestion des commandes en temps réel et, d’autre part, la planification du travail et l’évaluation des performances au sens large.
34. A cet égard, la formation restreinte note que le premier ensemble de finalités défini par le rapporteur, relatif à la gestion des commandes en temps réel dans l’entrepôt, regroupe les problématiques de gestion de l’inventaire (réception et entreposage) et des commandes (prélèvement, emballage, expédition) dans le respect des exigences de qualité et de sécurité. La société souligne que ces processus impliquent de repérer toute anomalie le plus vite possible, de donner des conseils et fournir un support en temps réel aux salariés (coaching) et parfois de les réaffecter en temps réel. Elle considère que ce regroupement des problématiques liées à la gestion en temps réel de l’inventaire, des commandes et, par extension, des salariés qui les traitent, est pertinent. Elle souligne enfin que si cette finalité a trait à la gestion en temps réel au cours du travail dans les entrepôts, elle s’appuie à la fois sur des données de temps réel, correspondant à la journée de travail en cours, et sur un historique de données passées de 31 jours.
35. La formation restreinte observe que le second ensemble de finalités regroupe l’ensemble des usages des données qui ne s’effectuent pas en temps réel au cours des processus de gestion de l’inventaire et des commandes. Il s’agit de tout ce qui a trait, d’une part, à la planification du travail ex ante, qui consiste notamment à décider des affectations des salariés pour une journée de travail en fonction de leurs performances passées, et, d’autre part, à l’évaluation des performances au sens large, ex post qui comprend le contrôle du temps de travail, l’évaluation hebdomadaire et la formation individuelle des salariés. Elle estime que le regroupement de ce second ensemble de finalités, qui utilisent toutes les données d’évaluation de la performance du salarié pour prendre des décisions qui ne concernent pas la gestion des processus opérationnel en temps réel, est pertinent pour l’examen du dossier. Elle relève en outre que ce second ensemble de finalités, par opposition au premier, repose principalement sur des données passées, hormis s’agissant de la finalité relative au contrôle du temps de travail, qui se fait tant pour le passé que par un accès en temps réel aux indicateurs traités.
36. Partant, la formation restreinte considère qu’il y a lieu de suivre le regroupement de finalités opéré par le rapporteur au sein des deux ensembles identifiés.
C. Sur la qualité de la société à l’égard des traitements en cause
37. Aux termes de l’article 4 (7) du RGPD, le responsable de traitement est défini comme " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ".
38. Le rapporteur considère que la société X agit en qualité de responsable des traitements en cause, en ce qu’elle détermine les finalités et les moyens des traitements des données de performance de ses salariés au moyen des scanners, de même que des traitements de vidéosurveillance.
39. La société partage l’analyse du rapporteur sur ce point.
40. La formation restreinte souligne que les traitements mis en œuvre par la société à des fins de suivi de l’activité et d’évaluation de la performance de ses salariés sont liés à la gestion des ressources humaines et sont ainsi, pour l’essentiel, réalisés pour le compte de ladite société en tant que bénéficiaire du travail fourni par ses salariés. La formation restreinte relève en outre que si les processus de gestion des salariés (recrutement, licenciement) reposent sur un cadre commun aux entités du groupe […], ceux-ci sont déclinés et opérés au niveau national et dans le respect de chaque législation nationale ; en outre, ceux-ci " font l’objet d’adaptations locales, décidées en autonomie par la société ". La formation restreinte considère dès lors que la société est autonome dans la gestion individuelle de ses salariés, tout comme elle est libre d’adapter localement les critères élaborés au niveau du groupe pour évaluer la performance des salariés travaillant dans ses entrepôts.
41. S’agissant des traitements de vidéosurveillance mis en œuvre par la société dans ses entrepôts de Lauwin-Planque et de Montélimar, la formation restreinte relève que le guide relatif au cadre juridique pour l’installation de caméras de vidéosurveillance dans les locaux du groupe […], établi pour la zone Europe et contenant des spécifications par pays, prévoit que chaque société du groupe décide, en tenant compte du cadre juridique, de l’installation de ces caméras de surveillance aux fins légitimes qu’elle détermine.
42. Il résulte de ce qui précède que la société X agit en qualité de responsable des traitements des données de suivi de l’activité et d’évaluation de la performance de ses salariés au moyen des scanners, de même que des traitements de vidéosurveillance.
43. Il appartient dès lors à la formation restreinte d’examiner, au regard de cette qualité, les griefs formulés par le rapporteur à l’encontre de la société.
D. Sur la compétence de la CNIL
44. Aux termes de l’article 55.1 du RGPD, " [c]haque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l'État membre dont elle relève ".
45. L’article 4 (23) définit le traitement transfrontalier comme :
" a) un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’établissements dans plusieurs Etats membres d’un responsable du traitement ou d’un sous-traitant lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs Etats membres ; ou
b) un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’un établissement unique d’un responsable de traitement ou d’un sous-traitant, mais qui affecte sensiblement ou est susceptible d’affecter sensiblement des personnes concernées dans plusieurs Etats membres ".
46. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler les opérations de traitement en cause, lesquelles ne présentent pas de caractère transfrontalier au sens de l’article 4 (23) du RGPD précité.
47. En application de l’article 55.1 du RGPD, la formation restreinte considère que la CNIL est compétente pour engager une procédure de sanction concernant les traitements de données à caractère personnel mis en œuvre par la société relevant du champ du RGPD, sous réserve que ces traitements se rattachent à sa compétence territoriale.
48. A cet égard, la formation restreinte relève tout d’abord que les traitements de données à caractère personnel des salariés sont effectués dans le cadre des activités d’un établissement d’un responsable de traitement sur le territoire de l’UE au sens de l’article 3 du RGPD. En effet, les traitements des données à caractère personnel des salariés sont mis en œuvre dans le cadre des activités de la société X, qui a son siège social en France.
49. Ensuite, la formation restreinte relève que les traitements en cause sont effectués dans le cadre des activités de la société X et qu’ils affectent ou sont susceptibles d’affecter exclusivement les salariés travaillant dans les entrepôts de la société situés en France. Partant, ils ne présentent pas de caractère transfrontalier au sens de l’article 4 (23) du RGPD et la procédure de coopération entre autorités de contrôle prévue au chapitre VII du RGPD n’a donc pas vocation à s’appliquer en l’espèce.
50. Cette analyse n’est pas contestée par la société.
51. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler les opérations de traitements en cause.
E. Sur les manquements relatifs aux traitements des données de suivi de l’activité et d’évaluation de la performance des salariés
1. Sur le cadre juridique applicable
52. En premier lieu, l’article 5. 1. c) du RGPD dispose que les données à caractère personnel doivent être " adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ". Il résulte de ces dispositions qu’il est illégal de traiter des données personnelles des salariés pour certaines finalités si celles-ci peuvent être atteintes sans y avoir recours.
53. En second lieu, d’une part, aux termes de l’article 6. 1. f) du RGPD, " le traitement n’est licite que si, et dans la mesure où, au moins l’une des conditions suivantes est remplie : (…) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel […] ".
54. Le considérant 47 du RGPD précise que " [l]es intérêts légitimes d'un responsable du traitement […] peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. […] En tout état de cause, l'existence d'un intérêt légitime devrait faire l'objet d'une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée. […] "
55. Dans son avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE, adopté le 9 avril 2014, le groupe de travail de l’article 29 (dit " G29 ", devenu le Comité européen de la protection des données - CEPD) a souligné qu’il convenait de donner une interprétation large aux notions d’" intérêts " et de " droits ", en ce sens que " tous les intérêts pertinents de la personne concernée devraient être pris en compte ". Le G29 a également précisé que lors de l’évaluation de l’incidence du traitement, " en plus des conséquences négatives qui peuvent être spécifiquement prévues, il faut aussi tenir compte des répercussions morales, comme l’irritation, la crainte et le désarroi qui peuvent résulter de la perte du contrôle exercé par la personne concernée sur ses informations à caractère personnel, ou de la découverte d’une utilisation abusive […] de ces informations […]. […] Le terme " incidence ", tel qu’il est employé dans le présent avis, couvre toutes les conséquences possibles (potentielles ou effectives) du traitement de données ".
56. Enfin, le considérant 75 du RGPD apporte des précisions sur les risques pour les droits et libertés des personnes physiques pouvant être induits par certains traitements, dont le degré de gravité et de probabilité varie, et qui peuvent entraîner des dommages physiques, matériels ou un préjudice moral. Parmi ces risques, le considérant évoque en particulier ceux résultant de traitements qui visent des personnes physiques vulnérables et/ou portent sur un volume important de données.
57. La formation restreinte relève que compte tenu de la nature des traitements en cause, les fondements juridiques prévus par les dispositions de l’article 6.1 b), c), d) et e) du RGPD et liés à l’exécution d’un contrat, au respect d’une obligation légale, à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique et à l’exécution d’une mission d’intérêt public ne trouvent pas à s’appliquer. Il appartient dès lors à la formation restreinte d’examiner si la société peut se prévaloir de son intérêt légitime pour procéder aux traitements en cause, cette base juridique étant la seule susceptible d’être mobilisée.
58. Aux termes de l’article L. 1121-1 du code du travail : " Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ". Les droits et libertés protégés sont, en particulier, le droit à la vie privée et personnelle, la protection des données à caractère personnel, le droit à la protection de son intégrité physique et mentale. Il résulte d’une jurisprudence constante de la Cour de cassation que si l’employeur a le droit de surveiller ses salariés, il doit le faire par des moyens proportionnés aux objectifs poursuivis (voir par exemple Cass. Soc., 23 juin 2021, n° 19-13.856).
59. Il résulte de l’ensemble des dispositions précitées que les traitements de données personnelles tels que ceux mis en œuvre à l’égard des salariés ou intérimaires de la société dans le cadre de la gestion de ses centres de distribution ne peuvent reposer, pour l’application de l’article 6 du RGPD, que sur la base légale de l’intérêt légitime, à condition de ne pas porter une atteinte disproportionnée aux droits, libertés et intérêts des salariés.
2. Sur les manquements en lien avec la finalité de gestion des stocks et commandes en temps réel dans l’entrepôt : réception des articles, stockage de l’inventaire, préparation des commandes, expédition des colis, incluant le coaching aux salariés et leur réaffectation
60. A titre liminaire, la formation restreinte relève que la société fait valoir qu’elle gère des processus d’une extrême complexité puisque, pour offrir à chacun de ses clients une expérience d’achat optimale, elle réceptionne, contrôle la qualité, range, prélève, emballe, trie prépare et expédie environ […] et employant un grand nombre de salariés (4372 salariés employés sur le site de Lauwin-Planque en 2019). La préparation et l’expédition journalière de ces millions d’articles de nature diverse doivent être effectués dans les délais correspondant aux attentes des clients de la société et, s’agissant des clients […] Prime, au service qu’ils ont spécifiquement payé, par exemple une livraison dans la journée. La société fait valoir que ses salariés sont au cœur de ces opérations et que les traitements automatisés dans ses centres de distribution sont donc indispensables pour accompagner leur travail, de manière à contrôler les stocks et les colis traités, garantir la sécurité, la qualité et l’efficacité des opérations tant au niveau individuel que collectif. Ils sont, selon la société, également conçus pour garantir que le flux opérationnel est maintenu à un rythme approprié.
61. Dans les entrepôts d’[…], les objets ne sont pas classés mais rangés au fil de l’eau sur les étagères, là où il y a des places disponibles, ce qui rend crucial que chaque manipulation de chaque objet soit tracée dans le système d’information des entrepôts au moyen des scanners. La société a souligné que la moindre erreur pouvait avoir des conséquences importantes sur le suivi des commandes, la qualité du service rendu et potentiellement, sur la sécurité des salariés. Il est donc nécessaire de repérer et pouvoir réagir en temps réel à la moindre erreur ou aux écarts par rapport aux objectifs.
62. La formation restreinte ne remet pas en cause le fait que le service rendu par […] à ses clients entraîne des contraintes exceptionnelles, en raison des volumes traités et des objectifs de courts délais de livraison, ce qui rend nécessaire un suivi très précis, en temps réel, de toutes les manipulations des objets dans l’entrepôt et de la situation de chaque poste de travail, donc de chaque salarié. Ce suivi entraîne le traitement d’un très grand nombre de données, dont beaucoup de données personnelles en temps réel, chaque fois que le colis est manipulé par un salarié dans le cadre des tâches directes.
63. Suivant en cela la position du rapporteur, la formation restreinte ne remet donc pas en cause de façon générale le traitement en temps réel par la société des données brutes et indicateurs décrits ci-dessus pour la bonne gestion des stocks et des commandes. Elle estime en revanche, ainsi qu’il sera développé ci-dessous, que certains des indicateurs utilisés méconnaissent le RGPD, ainsi que le fait de conserver 31 jours l’ensemble des données remontées par les scanners et d’utiliser cet ensemble de données et tous les indicateurs qui en sont extraits.
64. Les analyses développées dans la présente décision portent à la fois sur les salariés et les intérimaires, même si par commodité de langage, il ne sera souvent fait référence qu’aux salariés.
2.1. Sur l’illicéité du traitement de trois indicateurs pour la gestion des stocks et commandes
65. Le rapporteur reproche à la société de procéder au traitement des indicateurs Stow Machine Gun, des idle times et des temps de latence inférieurs à dix minutes et ainsi de méconnaître l’article 6 du RGPD, dès lors qu’il porte une atteinte disproportionnée aux droits des salariés à la vie privée, à la protection de leurs données personnelles, à des conditions de travail qui respectent leur sécurité, leur santé et leur dignité, et en particulier au droit de ne pas faire l’objet d’une surveillance excessive en application de l’article L. 1121-1 du code du travail.
2.1.1. Sur le traitement de la donnée brute de qualité liée à la vitesse d’exécution d’une tâche (indicateur Stow Machine Gun)
66. L’indicateur dont le traitement est examiné dans cette sous-partie est la donnée brute de qualité correspondant à l’indicateur Stow Machine Gun, rattachée à chaque salarié affecté à une tâche directe et accessible en temps réel dans l’outil de suivi des erreurs qualité […].
67. Le rapporteur observe que, parmi les 43 indicateurs qualité traités par la société, figure l’indicateur Stow Machine Gun, qui signale " le rangement d’un article dans les (sic)1,25 seconde du rangement de l’article précédent ". Le rapporteur relève que cet indicateur lié à la vitesse d’exécution d’une tâche est collecté en temps réel pour chaque salarié dans l’outil de suivi des erreurs qualité. Or, il considère que le traitement de cette donnée est disproportionné puisqu’il conduit à une surveillance informatique excessive du salarié au regard des objectifs poursuivis.
68. En défense, la société fait valoir que le traitement de cet indicateur repose sur son intérêt légitime à assurer la sécurité et la qualité dans ses entrepôts. Elle indique que le processus de rangement des articles nécessite la réalisation de plusieurs actions par le salarié (scan de l’article, scan de l’emplacement…) et que si un intervalle aussi court que 1,25 seconde est atteint lors du rangement successif de plusieurs articles, ceci signalerait quasi systématiquement une erreur de qualité, de nature à créer un risque pour la sécurité ou des erreurs d’inventaire.
69. A cet égard, la formation restreinte relève que l'intérêt de la société, en tant qu'employeur, à assurer la qualité et la sécurité de ses processus dans ses centres logistiques, à la fois pour le client et le salarié, constitue un intérêt légitime au sens de l'article 6.1. f) du RGPD.
70. En l’occurrence, la formation restreinte ne conteste pas que l’indicateur Stow Machine Gun permet de s’assurer que des successions de scans trop rapides n’engendrent pas d’erreur.
71. Pour autant, l’intérêt de la société à assurer la sécurité et la qualité dans ses centres logistiques doit être mis en balance avec les intérêts ou les libertés et droits fondamentaux des personnes concernées, compte tenu de leurs attentes raisonnables, fondées sur leur relation avec le responsable du traitement, conformément à l’article 6.1.f) du RGPD, lu à la lumière du considérant 47 et de l’avis précité sur la notion d’intérêt légitime.