La Présidente de la Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles 121-2 et suivants, 131-13 et suivants, 226-16 et suivants et R. 625-10 et suivants ;
Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les décisions n° 2014-107C du 29 avril 2014, n° 2014-121C, n° 2014-124C et n° 2014-125C du 28 mai 2014 de la présidente de la Commission nationale de l'informatique et des libertés de procéder à une mission de contrôle auprès de la société X ;
Vu les procès-verbaux n° 2014-107, n° 2014-121, n° 2014-124 et n° 2014-125 ;
Constate les faits suivants :
La société X (ci-après la "société") a pour activité le commerce de détail d'ordinateurs, d'unités périphériques et de logiciels en magasin spécialisé. Elle compte 16 magasins en France et emploie environ 1000 salariés.
Au 30 septembre 2013, le chiffre d'affaires de la société s'élevait à environ 434 millions d'euros pour un résultat net de près de 3,8 millions d'euros selon les chiffres librement accessibles sur le site www.infogreffe.com.
Son siège social est situé [...].
La procédure de mise en demeure du 16 décembre 2013
Le 16 décembre 2013, la Présidente de la Commission nationale de l'informatique et des libertés (ci-après "CNIL" ou la "Commission") a mis en demeure la société X, dans un délai de deux mois, de mettre le dispositif de caméras de surveillance de son magasin Y OPERA (situé [...]) en conformité avec ses obligations légales.
Il est rappelé qu'un même dispositif de surveillance peut relever tant de la loi n° 78-17 du 6 janvier 1978 modifiée, pour les caméras de vidéosurveillance installées dans des lieux non accessibles au public (bureaux et espaces de stockage par exemple) que de la loi n° 95-73 du 21 janvier 1995, pour les caméras de vidéoprotection déployées dans des lieux ouverts au public (espaces de vente du magasin par exemple).
En l'espèce, et s'agissant des caméras installées dans des zones uniquement accessibles au personnel et relevant du dispositif de vidéosurveillance, il a notamment été enjoint à la société de :
- ne plus filmer de manière permanente les postes de travail des directeurs et des managers ainsi que l'espace de pause des salariés,
- procéder à l'information des salariés, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, de la mise en œuvre d'un dispositif de vidéosurveillance.
Par ailleurs, la mise en demeure a également traité de problématiques liées à l'accomplissement des formalités préalables, aux durées de conservation des images issues du dispositif de vidéosurveillance, à la sécurité et la confidentialité des données.
Par courrier du 14 février 2014, la société a informé la Commission de la mise en œuvre de différentes mesures de mise en conformité. Elle a notamment indiqué avoir réorienté les caméras litigieuses et avoir délivré aux personnes concernées une information complète sur le dispositif de vidéosurveillance par voie de panneaux d'affichage insérés dans les zones réservées aux salariés.
Le 15 mai 2014, un nouveau contrôle sur place a permis de confirmer ces affirmations justifiant la clôture de la procédure de mise en demeure par courrier du 26 août 2014.
Les contrôles opérés au sein d'autres magasins Y en mai et juin 2014
Concomitamment, des contrôles ont été effectués au sein d'autres Y situés sur le territoire national afin de vérifier si les correctifs apportés au traitement mis en œuvre au sein d'Y OPERA avaient été dupliqués au sein des autres magasins de la société.
Les 25 mai, 4, 5 et 6 juin 2014, des délégations de la CNIL se sont ainsi rendues dans les magasins implantés au Chesnay (Y de PARLY 2), à Rosny-Sous-Bois (Y de ROSNY 2), à Bordeaux (Y de Bordeaux) et à Paris (Y du Carrousel du Louvre).
Il a été indiqué aux agents contrôleurs que la société X était seule compétente pour décider de l'implantation de caméras au sein de ses magasins laquelle relève d'une politique nationale standardisée ne tenant pas compte des spécificités propres à chacun des magasins.
Lors de certains contrôles, il a également été relevé qu'aucune consigne particulière n'avait été récemment émise par le siège français s'agissant de la régularité de la mise en œuvre des dispositifs de vidéosurveillance.
Or, il ressort des constats opérés et de l'exploitation des pièces communiquées par les magasins que certaines caméras continuent à filmer directement des salariés et que l'information relative au dispositif de vidéosurveillance demeure lacunaire.
Sur la qualification de ces faits au regard de la loi du 6 janvier 1978
Un manquement à l'obligation de veiller à l'adéquation, à la pertinence et au caractère non excessif des données
Les délégations ont relevé, dans les Y du Carrousel du Louvre, de ROSNY 2 et de Bordeaux, que les caméras de vidéosurveillance installées dans les bureaux de la direction ne sont pas orientées uniquement vers les zones sensibles (porte d'accès ou coffre-fort) mais filment de manière directe et constante les postes de travail (annexe n°1).
Il est également établi que certaines caméras filment tout ou partie des postes de travail (postes informatiques et tables de diagnostic technique) installés dans les ateliers de réparations (au sein des Y du Carrousel du Louvre, ROSNY 2 et Bordeaux - annexe n°1), les espaces de circulation (au sein d'Y du Carrousel du Louvre - annexe n°1) et les zones de stockage des marchandises (au sein des Y du Carrousel du Louvre et ROSNY 2 - annexe n°1) de certains Y.
Enfin, il a été constaté qu'une caméra permet de filmer une partie de la salle de pause mise à disposition des salariés ainsi que les vestiaires. Sur ce dernier point, la délégation a été informée que cet espace avait vocation à être réaménagé (Y de Bordeaux - annexe n°1).
Au sein de chacun des magasins contrôlés, les délégations ont constaté la mise en œuvre de nombreuses mesures de sécurité physique et logique empêchant que des tiers aient accès aux locaux réservés au personnel (portes blindées coupe-feu, code d'accès, badges, alarmes sur détection de mouvement, identifiant et mot de passe pour accéder aux images et aux enregistrements issues des dispositifs...).
Si la surveillance de zones sensibles est justifiée par des impératifs de sécurité, le placement sous surveillance permanente de salariés, attentatoire à leur vie privée, ne peut toutefois intervenir que dans des circonstances exceptionnelles tenant, par exemple, à la nature de la tâche à accomplir au sens de l'article L.1121-1 du code du travail.
En l'espèce, la surveillance opérée, qui s'ajoute aux mesures de sécurité déjà déployées, est disproportionnée au regard de la finalité de prévention des atteintes aux personnes et aux biens.
Dès lors, les faits constatés constituent un manquement à l'article 6-3° de loi Informatique et Liberté selon lequel les données à caractère personnel faisant l'objet d'un traitement doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Un manquement à l'obligation d'informer les personnes
Il ressort des constats opérés et de l'exploitation des pièces communiquées par les magasins que les salariés sont informés de la mise en œuvre de dispositifs de vidéosurveillance par le règlement intérieur, dont ils reçoivent copie lors de leur embauche.
Ce dernier précise en effet en son article 2.5 la finalité poursuivie par le dispositif, à savoir la protection du personnel, du matériel et des biens, les principales zones dans lesquelles la surveillance est opérée et l'existence d'une déclaration du traitement auprès de la CNIL.
Dans certains magasins (Y du Carrousel du Louvre, PARLY 2 et Bordeaux), cette information est complétée par un affichage peu visible des salariés et situé exclusivement en zone ouverte au public faisant état du droit d'accès des personnes aux images les concernant en renvoyant, pour deux magasins, à la loi du 6 janvier 1978 modifiée (Y du Carrousel du Louvre et PARLY 2).
Par ailleurs, il a été indiqué aux délégations de contrôle qu'une information spécifique au dispositif de vidéosurveillance était dispensée oralement lors de l'embauche des salariés.
L'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée impose au responsable du traitement de fournir à la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations sur l'identité du responsable du traitement, la finalité de ce traitement, les destinataires, leurs droits d'accès, de rectification et, le cas échéant, d'opposition aux données les concernant.
De plus, l'article 90 du décret du 20 octobre 2005 modifié pris en application de la loi du 6 janvier 1978 modifiée prévoit, sauf collecte à distance, que l'information visée à l'article 32 précité doit être délivrée dans un document écrit.
En l'espèce, l'information délivrée par la société est lacunaire. En effet, dans l'un des magasins aucune référence n'est faite quant à l'existence et aux modalités d'exercice des droits que détiennent les salariés à l'égard du traitement de vidéosurveillance (Y de ROSNY 2), dans d'autres cette mention est insuffisamment lisible et complète du fait de la taille ou de l'emplacement des affiches (Y du Carrousel du Louvre, de Bordeaux et de Parly 2).
Ces faits constituent un manquement à l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée précitée.
Il est également rappelé qu'en application des articles 121-2, 131-13, 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d'un traitement de ne pas informer, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d'une peine d'amende pouvant atteindre 7 500 euros.
En conséquence, la Présidente met en demeure la société X, sise [...], sous un délai de deux (2) mois à compter de la notification de la présente décision et pour l'ensemble des magasins Y implantés sur le territoire français, de :
- veiller à ce que la mise en œuvre de chaque dispositif de vidéosurveillance ne soit pas disproportionnée au regard de sa finalité, en particulier ne pas placer les salariés sous surveillance permanente pendant leurs heures de travail effectif comme sur leur temps de pause, en adoptant, par exemple, des mesures de masquage ou de repositionnement des caméras, sauf à justifier de circonstances propres à la nature de la tâche à accomplir ;
- procéder à l'information des salariés, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, de la mise en œuvre d'un dispositif de vidéosurveillance, par exemple, par le biais d'un affichage complet diffusé au sein des locaux réservés au personnel faisant notamment état du droit d'accès ;
- justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l'issue de ce délai, si la société X s'est conformée à la présente mise en demeure, il sera considéré que la procédure est close et il lui sera adressé un courrier en ce sens.
À l'inverse, s'il est constaté que la société X ne s'est pas conformée à la présente mise en demeure, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente,
Isabelle FALQUE-PIERROTIN