AgentPublic/cnil huggingface dataset:
C- Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données en application de l’article 5, paragraphe 1, c) du RGPD
35. L’article 5, paragraphe 1, c) du RGPD prévoit que les données à caractère personnel doivent être " adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ". Lorsque les données sont collectées sur le fondement de l’intérêt légitime, cette collecte ne doit en outre pas porter une atteinte disproportionnée à la vie privée, au regard des objectifs poursuivis par la société.
36. La rapporteure considère que la société a manqué au principe de minimisation s’agissant des données collectées par […] pour la finalité liée au contact des proches des salariés en cas d’urgence, dans la mesure où certaines données n’apparaissent pas pertinentes pour atteindre cet objectif.
37. En défense, la société soutient que dans la mesure où elle n’est pas responsable du traitement lié au formulaire litigieux, et que les informations renseignées dans le formulaire étaient destinées à la société mère pour contacter les proches des salariés en cas d’urgence, il ne saurait lui être reproché un manquement au principe de minimisation. La société indique ensuite avoir pris la décision de cesser la communication du formulaire aux salariés à la suite de la réception des premiers courriers de la CNIL.
38. La formation restreinte rappelle que l’appréciation du respect du principe de minimisation des données repose sur la stricte adéquation entre les données collectées et les raisons présidant à leur collecte. 
39. Elle considère que si la finalité visant à pouvoir contacter les proches d’un salarié en cas d’urgence est légitime, il n’en demeure pas moins qu’en transmettant le formulaire aux salariés, la société était responsable de la collecte des données de ces derniers et de leur transmission à la société-mère. En l’espèce, la société collecte des informations relatives à l’entourage des salariés (frères et sœurs, ascendants, descendants) telles que le nom, prénom, date et lieu de naissance, sexe, lien de parenté, numéro de téléphone, employeur, fonctions et situation maritale, conduisant à porter atteinte à la vie privée des salariés. 
40. A cet égard, la formation restreinte observe tout d’abord qu’il n’est pas nécessaire de collecter autant d’informations si l’objectif de cette collecte est simplement de disposer des coordonnées d’une personne à contacter. 
41. Ensuite, elle note que le formulaire propose de renseigner les informations relatives à plusieurs membres de la famille. Or, la formation restreinte observe qu’il n’est pas nécessaire à la société de collecter des données concernant autant de personnes différentes pour atteindre cette finalité.
42. Enfin, la formation restreinte considère que le nombre important et la variété des données à caractère personnel collectées n’est pas justifié au regard de la finalité de contact des proches en cas d’urgence et qu’il serait suffisant de renseigner le nom, le prénom, le lien de parenté et le numéro de téléphone du proche du salarié à contacter en cas d’urgence. 
43. La formation restreinte note par ailleurs que même si les données n’ont finalement pas été exploitées par la société, ces informations ont tout de même été collectées puisqu’elles étaient marquées d’un astérisque et donc obligatoirement renseignées par les salariés de la société. Or dès lors que la société a pris la décision de transmettre le formulaire établi par la société-mère à ses salariés, il était de sa responsabilité de vérifier la nature des informations demandées à ses salariés.
44. Il résulte de ce qui précède qu’en collectant des données qui n’étaient pas toutes nécessaires à l’accomplissement de la finalité annoncée, la société a manqué à son obligation au titre de l’article 5(1)(c) du RGPD.
D- Sur le manquement à l’interdiction de traiter des catégories particulières de données à caractère personnel en application de l’article 9 du RGPD
45. Aux termes de l’article 9 du RGPD, le traitement des données à caractère personnel qui révèle des données concernant l’origine ethnique, les opinions politiques, les convictions religieuses ou la santé d'une personne physique est interdit sauf s’il relève d’une des conditions prévues à l’article 9-2-a) à j) du RGPD.
46. Aux termes de l’article 4 (15) du RGPD, les " données concernant la santé " sont " les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique […] ".
47. En application de l’article 4 (11) du RGPD, la notion de " consentement " s’entend comme toute manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement.
48. La rapporteure relève que la traduction du formulaire communiqué le 25 septembre 2020 au soutien de la plainte initiale, a permis de révéler que certaines des données collectées auprès des salariés relèvent des catégories particulières visées à l’article 9 du RGPD. Or, la rapporteure considère que dès lors qu’il est obligatoire de remplir ces champs du formulaire pour pouvoir candidater en Chine, le consentement des salariés n’est pas librement donné, et qu’il n’est pas exclu que le refus d’un salarié de remplir ces champs l’empêche de candidater en Chine.
49. En défense, la société précise que les salariés n’étaient pas dans l’obligation de remplir le formulaire qui était destiné aux salariés souhaitant candidater en Chine. Elle rappelle qu’elle a informé la CNIL dans un courrier du 9 septembre 2020, que " les données sont volontairement communiquées par les salariés ", et que " les salariés ont donné leurs consentements explicites au traitement de ces données à caractère personnel pour l’objective (sic) de postuler les postes internes du groupe ". De la même manière, la société note que lors de son contrôle sur place, la délégation de contrôle de la CNIL a été informée que " Les services des ressources humaines ont précisé aux salariés qu’il n’était pas obligatoire de répondre à ce formulaire sauf s’ils souhaitaient travailler en Chine ". La société considère ainsi que le manquement n’est pas caractérisé.
50. La formation restreinte note qu’il n’est pas contesté que les données à caractère personnel collectées par […] sont des données particulières au sens de l’article 9 du RGPD. La formation restreinte relève que les constatations effectuées par la délégation de la CNIL lors du contrôle et la traduction du formulaire en cause permettent de démontrer que la société collecte des catégories particulières de données à caractère personnel, dont certaines, précédées d’un astérisque, devaient obligatoirement être renseignées par les salariés. Il s’agit en particulier des informations relatives à l’appartenance ethnique des salariés (" minorité " dans le formulaire) et à leur affiliation politique.
51. Si la société soutient que le formulaire était facultatif et que les salariés ont donné leur consentement, la formation restreinte note que la société n’a produit aucun document permettant d’attester que le consentement des salariés aurait été recueilli pour collecter leurs données à caractère personnel dans le cadre dudit formulaire. La formation restreinte considère en outre, que dès lors qu’un salarié souhaitait candidater en Chine, il n’avait d’autre véritable choix que de remplir ce formulaire et en particulier de renseigner les données sensibles qui étaient marquées d’un astérisque.
52. Sur ce point, la formation restreinte souligne que les lignes directrices 5/2020 du CEPD adoptées le 4 mai 2020 sur le consentement précisent que : " Un déséquilibre des rapports de force peut également avoir lieu dans le cadre des relations de travail. Au vu de la dépendance résultant de la relation employeur/employé, il est peu probable que la personne concernée soit en mesure de refuser de donner son consentement à son employeur concernant le traitement de ses données sans craindre ou encourir des conséquences négatives suite à ce refus ".
53. La formation restreinte estime que le consentement des salariés ne pouvait pas être qualifié de libre, et ce d’autant moins s’agissant de salariés engagés dans une démarche de mobilité auprès de leur employeur. Les conditions prévues par l’article 4(11) du RGPD relatives au consentement ne sont par conséquent pas remplies.
54. La formation restreinte note enfin qu’aucun élément produit par la société ne permet de considérer que les autres dérogations à l’interdiction de traiter des catégories particulières de données à caractère personnel sont mobilisables en l’espèce en application de l’article 9-2 b) à j) du RGPD.
55. Il résulte de ce qui précède que la formation restreinte considère que le fait pour les salariés d’avoir rempli le formulaire en question, contenant des catégories particulières de données, ne saurait être assimilé à un consentement valable pouvant déroger à l’interdiction de traiter leurs données " sensibles ", comme prévu par l’article 9(2)(a) du RGPD. Les dérogations prévues à l’article 9-2-b) à j) du RGPD ne sont pas non plus mobilisables en l’espèce.
E- Sur le manquement à l’interdiction de collecter ou de traiter des données relatives aux infractions, aux condamnations et aux mesures de sûreté en application de l’article 10 du RGPD
56. Les dispositions de l’article 10 du RGPD, prévoient que le " traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées ".
57. L’article 777-3 du code de procédure pénale prévoit qu’" Aucun fichier ou traitement de données à caractère personnel détenu par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice ne pourra mentionner, hors les cas et dans les conditions prévus par la loi, des jugements ou arrêts de condamnation ".
58. La rapporteure relève qu’il ressort des constatations effectuées par la délégation de la CNIL lors du contrôle sur place du 21 octobre 2021 que des extraits du casier judiciaire, précisément le bulletin n°3, se trouvaient dans les dossiers individuels de salariés dont les contrats de travail sont en cours d’exécution. 
59. La rapporteure considère que s’agissant des salariés soumis à une procédure d’habilitation, ce sont les " services de police et de gendarmerie " qui consultent le casier judiciaire et non l’employeur, et que s’agissant des employés qui ne sont pas soumis à une procédure d’habilitation, l’employeur peut seulement consulter le casier judiciaire. 
60. En défense, la société soutient dans le cadre de ses observations que tous les salariés ne sont pas soumis à la procédure d’habilitation décrite, et que par conséquent, la société pouvait consulter les extraits du bulletin n°3 compte tenu de son " activité de fret aérien, de la réception des marchandises, de la manutention, et des salariés manipulant des objets de grande valeur ". Par ailleurs, la société ne conteste pas la conservation d’extraits du bulletin n°3 mais précise que leur conservation n’était pas systématique.
61. La formation restreinte note que s’agissant des salariés soumis à la procédure d’habilitation, l’article L. 6342-3 du Code des transports prévoit que les " services de police et de gendarmerie nationales " consultent le casier judiciaire des salariés dans le cadre d’une enquête administrative avant de délivrer l’habilitation nécessaire. L’article L. 6342-3 du Code des transports prévoit que " [l]a délivrance de cette habilitation est précédée d’une enquête administrative donnant lieu à consultation, le cas échéant, du bulletin n°2 du casier judiciaire et des traitements automatisés de données à caractère personnel gérés par les services de police et de gendarmerie nationales relevant des dispositions de l'article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'exception des fichiers d'identification ". Ainsi, l’employeur n’a pas à procéder à ces vérifications lorsque celles-ci sont assurées par une autorité habilitée. 
62. La formation restreinte considère ensuite, concernant les salariés qui ne sont pas soumis à la procédure d’habilitation, que si la société pouvait consulter les extraits de casiers judiciaires des salariés, elle n’était pas autorisée à les conserver. 
63. Il résulte de ce qui précède qu’en consultant et conservant des extraits de casiers judiciaires de ses salariés en dehors des cas prévus par la loi, la société a manqué à ses obligations au titre de l’article 10 du RGPD.
F- Sur le manquement à l’obligation de coopérer avec les services de la CNIL en application de l’article 31 du RGPD
64. L’article 31 du RGPD dispose que " le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions ".
65. La rapporteure relève que lorsque les services de la CNIL ont sollicité le 17 septembre 2020 auprès de la société l’envoi de la liste exhaustive des données collectées au moyen du formulaire, la société a transmis par courrier le 25 septembre 2020 un tableau présenté comme la liste demandée, ainsi que sa traduction en français. La rapporteure note toutefois que lorsque les services de la CNIL ont constaté que le tableau fourni comportait un nombre de lignes inférieur au formulaire original qui avait été transmis par le salarié à l’origine de la plainte, la CNIL a de nouveau sollicité une traduction du formulaire. La société a, le 4 novembre 2021, produit une nouvelle pièce présentée comme étant une traduction complète du formulaire qui comportait un nombre de lignes plus important que lors de la première communication mais qui ne correspondait toujours pas au nombre de lignes présentes dans le formulaire.
66. La rapporteure relève que dans les deux traductions produites par la société, les champs relatifs à l’origine ethnique, au groupe sanguin ou à l’affiliation politique n’apparaissent pas. La rapporteure estime que de tels agissements caractérisent un obstacle à l’exercice de la mission de contrôle de la CNIL.
67. En outre, la rapporteure relève que si la société a déclaré avoir cessé la collecte des données à caractère personnel des salariés après la réception du courrier de la CNIL, il ressort des pièces transmises par la société à la délégation de la CNIL que le formulaire a continué à être utilisé au moins jusqu’au 18 novembre 2020.
68. En défense, la société soutient avoir transmis le formulaire complet en langue chinoise dès le début de la procédure, accompagné d’un tableau en langue française reprenant non pas tous les champs du formulaire litigieux mais seulement les différentes catégories de données à caractère personnel qu’elle collectait pour son propre compte. La société reconnait ensuite avoir fourni à la CNIL une traduction incomplète du formulaire le 4 novembre 2021 mais soutient qu’il ne s’agit pas d’un défaut de coopération mais plutôt d’une " grossière négligence du traducteur " et d’un " manque de diligence " de la société qui " dispose de peu de ressources administratives et de personnel francophone ".
69. La société ajoute ensuite qu’elle a cessé l’envoi du formulaire aux salariés plusieurs semaines après la réception du courrier de la CNIL du 13 août 2020, ce qui explique l’envoi du formulaire aux salariés le 18 novembre 2020, et que cet envoi est une erreur imputable à une assistante du service des ressources humaines.
70. En premier lieu, la formation restreinte note que mis à part la traduction du formulaire, la société a produit tous les documents demandés par la CNIL. La formation restreinte prend ensuite acte de ce que la transmission par la société le 25 septembre 2020 d’un tableau en français qui ne correspondait pas à la traduction du formulaire peut être le fruit d’une incompréhension relative à la formulation de la demande faite par la CNIL à la société, de fournir " la liste exhaustive des données collectées auprès des salariés, en nous transmettant, le cas échéant, une copie du formulaire demandant ces données aux salariés ", qui ne faisait pas explicitement référence à la traduction du formulaire. En revanche, la société n’explique pas pourquoi la traduction du formulaire produite par la société à l’issue du contrôle était incomplète. En effet, la demande de pièces complémentaires issue du procès-verbal de contrôle du 21 octobre 2021 demandait en des termes non équivoques la communication de " la traduction complète du formulaire, y compris le contenu des listes déroulantes ", et le bordereau de pièces joint à la réponse de la société du 4 novembre 2021 présente la pièce n°2 comme étant la " Traduction française complète du formulaire ", et reprenant ainsi les termes de la demande de la CNIL, à l’exception de la référence aux menus déroulants. La formation restreinte considère ainsi que la société avait une parfaite compréhension de la demande formulée par la CNIL.
71. En deuxième lieu, la formation restreinte note que dans le document présenté par la société comme une traduction des listes déroulantes du formulaire dans son courrier du 4 novembre 2021, les mentions litigieuses sont omises. Comme l’a relevé la rapporteure, le nombre de lignes du document présenté comme une traduction du formulaire et produit par la société était largement inférieur au nombre de lignes du formulaire en langue chinoise. La CNIL a en effet constaté que le formulaire original comporte 89 lignes à compléter, tandis que la deuxième traduction du formulaire produite par la société comporte 50 lignes.
72. La formation restreinte note qu’après avoir demandé à la société de lui transmettre la traduction complète du formulaire, les services de la CNIL ont eu recours à un traducteur externe pour faire traduire le formulaire. Ils ont ainsi constaté que les traductions produites par la société avaient omis les champs litigieux à renseigner tels que l’origine ethnique et l’appartenance à un parti politique. La formation restreinte en conclut ainsi que la société a sciemment retiré les références aux données sensibles des versions traduites des formulaires, ce qui traduit une volonté de ne pas coopérer avec les services de la CNIL et de chercher à empêcher la CNIL d’exercer ses pouvoirs de contrôle. Par ailleurs, la société, qui ne conteste pas que la traduction fournie était incomplète, se contente d’indiquer qu’il s’agit d’une " grossière négligence du traducteur ", sans expliquer pour quelle raison seuls les champs contenant des données particulières étaient omis. Cet argument n’est en tout état de cause pas recevable dès lors que la société est responsable des pièces qu’elle transmet à la CNIL et qu’il lui incombait de vérifier que les traductions produites étaient complètes, comme annoncé dans le bordereau de pièces.
73. En troisième lieu, la formation restreinte constate que la société n’a pas cessé l’envoi du formulaire aux salariés après la réception du courrier de la CNIL du 13 août 2020 comme elle l’avait pourtant affirmé. En effet, il ressort des constations de la CNIL que des formulaires ont été envoyés aux salariés le 18 novembre 2020 par l’intermédiaire de la messagerie " WeChat ", soit plus de trois mois après ledit courrier. Ainsi, elle n’a pas fourni d’informations fiables à la délégation de contrôle.
74. En conséquence, la formation restreinte relève que les déclarations de la société sont contredites par les constatations de la CNIL, ce qui traduit une volonté manifeste de la société de ne pas coopérer avec les services de la CNIL, et une intention de chercher à empêcher la CNIL d’exercer ses pouvoirs de contrôle.
75. Dans ces conditions, la formation restreinte considère que la société a méconnu l’obligation prévue par l’article 31 du RGPD.
III. Sur les mesures correctrices et leur publicité
76. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
77. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende. 
A. Sur le prononcé d’une amende administrative et son montant
a. Sur le prononcé d’une amende administrative
78. La société considère que l’amende administrative proposée est disproportionnée par rapport aux manquement allégués, en raison du nombre de personnes concernées, de l’absence de tout bénéfice tiré du manquement et de la cessation de l’envoi du formulaire par la société.
79. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes affectées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle et dans certain cas, le niveau de dommage subi par les personnes.
80. S’agissant du manquement au principe de minimisation des données à caractère personnel, la formation restreinte relève que ce manquement conduit à porter atteinte à la vie privée des salariés et de tiers, en permettant la collecte d’informations relatives aux membres de leur famille. 
81. S’agissant du manquement à l’obligation de recueillir le consentement des personnes concernées au traitement de données sensibles, la formation restreinte relève que le consentement des salariés n’a pas été obtenu de manière libre dès lors que certaines informations devaient obligatoirement être renseignées et que la société n’a pas produit d’élément permettant de constater que le consentement des salariés avait été obtenu pour le recueil de leurs données à caractère personnel pour la finalité de candidater en Chine, ni que les autres exceptions prévues à l’article 9-2 b) à j) du RGPD étaient mobilisables.
82. S’agissant du manquement à l’interdiction de collecter ou de traiter des données relatives aux infraction, aux condamnations et aux mesures de sûreté, la formation restreinte considère que le fait pour la société de conserver des extraits de casiers judiciaires des salariés est particulièrement intrusif et peut révéler des informations sur ces derniers dont la société n’est pas autorisée à avoir connaissance.