La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;
Etant aussi présents M. Jean-François CARREZ, M. Jean-Marie COTTERET, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2013-005 du 4 avril 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X, notifiée par lettre recommandée avec accusé de réception à la société le même jour ;
Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, notifié par lettre recommandée avec accusé de réception à la société, le 25 juillet 2013 ;
Vu les autres pièces du dossier ;
Ayant entendu, lors de la séance de la formation restreinte du 7 novembre 2013 :
- M. Emmanuel de GIVRY, commissaire, en son rapport ;
- Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ;
La société X n'ayant pas comparu.
A adopté la décision dont la teneur suit :
I. FAITS ET PROCÉDURE
Le 19 juin 2012, la Commission Nationale de l'Informatique et des Libertés (ci-après la "Commission" ou la "CNIL") a été saisie d'une plainte enregistrée sous le numéro 12019381 émanant de plusieurs salariés de la société X (ci-après la "société") quant aux conditions de mise en œuvre du dispositif de vidéoprotection installé dans locaux de la société. Les modalités critiquées consistaient en l'installation de trois caméras dans les locaux sans qu'une information adéquate des personnels ait été réalisée.
Par courrier du 5 juillet 2012, la CNIL a rappelé à la société la réglementation concernant l'installation d'un dispositif de vidéosurveillance. Cette information a été réitérée par courrier du 28 août 2013. Par courrier en réponse du 17 septembre 2012, la société indiquait que la finalité du traitement était la lutte contre le vol et les intrusions. Elle a par ailleurs informé la Commission de la localisation des caméras, de la durée de conservation des enregistrements et du fait que les salariés avaient été informés par voie de l'affichage de la mention "local placé sous vidéosurveillance" à l'entrée du bâtiment et sur le panneau du personnel.
Par courrier du 17 octobre 2012, la Commission a demandé la communication du contenu de l'affichage et a invité la société à déclarer le traitement.
Cette demande a été réitérée les 12 novembre 2012 et 12 décembre 2012 sans qu'une réponse y soit apportée.
Le 4 avril 2013, la Présidente de la Commission par décision n°2013-005 a mis en demeure la société de produire les éléments demandés par courrier, de déclarer le traitement et de prendre toute mesure utile afin de ne pas s'opposer à l'action de la commission.
En l'absence de réponse à la mise en demeure dans le délai imparti, un courrier de relance a été adressé le 17 mai 2013 à la société, qui ne s'est pas manifestée.
Par décision du 18 juillet 2013, la Présidente de la Commission a désigné M. Emanuel de GIVRY, commissaire, membre de la CNIL, en qualité de rapporteur conformément aux articles 45 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi n°78-17 du 6 janvier 1978 modifiée, le rapporteur a établi un rapport détaillant ces manquements et demandant à la formation restreinte de la Commission de prononcer une sanction pécuniaire de dix mille euros (10 000 €) à son encontre, rendue publique. Le rapport a été notifié à la société par lettre recommandée avec accusé de réception, le 29 juillet 2013.
Aucune observation n'a été formulée par la société qui, régulièrement convoquée, n'a pas comparu.
II. MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement
Le chapitre IV de la loi n°78-17 du 6 janvier 1978 modifiée prévoit que tout responsable de traitement doit procéder à l'accomplissement de formalités préalablement à la mise en œuvre d'un traitement de données à caractère personnel. Les dispositifs de vidéosurveillance sont soumis à un régime de déclaration préalable à leur mise en œuvre.
Il est établi qu'il n'a été procédé à aucune déclaration du traitement préalablement à sa mise en œuvre et, en tout état de cause, pas au terme du délai fixé par la mise en demeure du 4 avril 2013.
La formation restreinte constate que la société s'est abstenue d'accomplir la formalité exigée par la loi et qu'au surplus elle n'a pas respecté les termes de la mise en demeure sur ce point ni d'ailleurs sur aucun autre.
Un tel défaut de déclaration constitue le manquement à une obligation légale prévue par le chapitre IV de la loi n°78-17 du 6 janvier 1978 modifiée.
2. Sur le manquement à l'obligation d'informer les personnes
L'article 32 de la loi du 6 janvier 1978 modifiée dispose que "la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ; 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 5° Des destinataires ou catégories de destinataires des données ; 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne".
L'article L.1222-4 du code du travail prévoit qu'"aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance".
La lecture conjointe de ces deux articles impose que les salariés soient informés tant de l'existence du dispositif de vidéosurveillance, que de leurs droits relativement à ce traitement.
Il est établi aux termes du courrier en réponse de la société que la seule information communiquée aux salariés résulte de l'affichage, en deux endroits, de la mention "local placé sous vidéosurveillance".
La formation restreinte estime, au regard des éléments communiqués par la société que ces deux affichages ne peuvent être regardés comme assurant une information suffisante des salariés quant à l'existence du traitement mis en œuvre.
Par ailleurs, la formation restreinte constate le caractère incomplet de l'information délivrée qui ne mentionne ni l'identité du responsable de traitement ; ni les modalités d'accès aux enregistrements.
La société a donc manqué à l'obligation d'information des personnes imposée par l'article 32° de la loi du 6 janvier 1978 modifiée et le code du travail conjointement.
3. Sur le manquement à l'obligation de répondre aux demandes de la CNIL
L'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que "Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche".
Aux termes de cette disposition, la société est tenue de coopérer avec les services de la Commission agissant dans le cadre de ses missions et, à ce titre, de répondre aux demandes dont elle fait l'objet dans le cadre de l'instruction de plaintes.
La Présidente de la Commission a enjoint la société de justifier auprès de la CNIL que l'ensemble des demandes formulées dans la mise en demeure a bien été respecté, dans le délai de quinze jours. Ces demandes visaient principalement à obtenir de la société qu'elle procède à la déclaration du traitement, qu'elle délivre une information complète et suffisamment visible à l'ensemble des salariés concernant le traitement mis en œuvre, qu'elle prenne toute mesure utile afin de ne pas s'opposer à l'action de la commission.
La Commission a adressé de nombreux courriers à la société, pour obtenir des éléments de réponse à la suite de la plainte formulée par les salariés de la société.
Pour autant, la formation restreinte constate que la société n'a répondu qu'à un courrier de la Commission et que sa réponse est restée insuffisante au regard des demandes formulées. De la même façon la société n'a pas apporté de réponse à la mise en demeure dans les délais impartis.
De ce fait, la formation restreinte considère que la société a clairement manifesté dans son refus de coopération en persistant à ne pas déférer à la mise en demeure qui lui enjoignait de ne pas s'opposer à l'action de la CNIL et à prendre toute mesure pour faciliter sa tâche.
La formation restreinte estime, dans ces conditions, que la société n'a pas respecté les termes de la mise en demeure sur ce point.
Sur les manquements constatés et la publicité de la décision
La société X n'a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 4 avril 2013. Elle ne s'est donc pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée, tout particulièrement les dispositions de l'article 21 qui imposait à la société de coopérer avec la Commission, ce qu'elle n'a pas fait.
La formation restreinte considère par conséquent qu'il y a lieu de prononcer une sanction pécuniaire de 10 000 € (dix mille euros) à son encontre.
En outre, en raison du refus manifeste de coopération de la société avec la Commission, la formation restreinte décide de rendre cette décision publique.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer une sanction pécuniaire de 10 000 euros (dix mille euros) à l'encontre de la société X ;
- De rendre publique sa décision.
La Présidente,
Claire DAVAL
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.