En clair
Ce que décide cette délibération, en clair
Une société a fait l'objet d'une mise en demeure (décision qui ordonne de corriger des manquements avant une éventuelle sanction) de la part de la Présidente de la CNIL le 5 novembre 2019, pour plusieurs manquements à la loi Informatique et Libertés. La question posée au bureau de la CNIL était de savoir s'il fallait rendre cette mise en demeure publique. Le bureau a décidé de la publier, en raison de la gravité des manquements constatés, notamment un système de vidéosurveillance utilisé pour localiser en permanence les salariés.
À retenir
- Les manquements retenus : vidéosurveillance utilisée pour localiser les salariés en continu, absence de mesures de sécurité pour l'accès aux flux vidéo, absence de registre des activités de traitement (document qui recense les traitements de données effectués), absence d'information des salariés sur la vidéosurveillance, et absence de contrat avec le prestataire informatique.
- La société devait cesser certains manquements sous un délai de 10 jours (vidéosurveillance et sécurité des flux) et d'autres sous un délai de deux mois (registre, information, contrat).
- Le bureau rappelle qu'un système de vidéosurveillance ne peut pas servir à localiser les salariés de façon permanente, sauf circonstances exceptionnelles : un tel usage porte atteinte à la liberté individuelle des salariés.
- La mise en demeure a été rendue publique, mais cela ne vaut pas sanction : si la société se conforme dans les délais, la procédure s'arrête là. Le nom de la société ne sera plus identifiable après un délai de deux ans à compter de la publication.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 22 novembre 2019 sous la présidence de Mme Marie-Laure DENIS ;
Étaient aussi présents Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur Éric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED 2019-025 du 5 novembre 2019 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante :
Par décision du 5 novembre 2019, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure la société x sise[…], de cesser :
- sous un délai de 10 jours à compter de la notification de la décision, les manquements relatifs à la mise en œuvre d’un dispositif de vidéosurveillance à des fins de localisation des salariés et à l’absence de mesures de sécurité pour l’accès aux flux vidéo des caméras ;
- sous un délai de deux mois à compter de la notification de la décision, les manquements relatifs à l’absence de registre des activités de traitement, à l’absence d’information des salariés sur la mise en œuvre d’un dispositif de vidéosurveillance et à l’absence de contrat avec la société de prestation informatique.
En application du dernier alinéa du II de l’article 20 de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 22 novembre 2019.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements constatés à savoir le caractère excessif du système de vidéosurveillance qui filme en continu des salariés à des fins de localisation, plaçant ainsi les salariés sous une surveillance constante, et ce y compris en vue d’une consultation des images à distance. Le bureau relève que l’information délivrée aux salariés à ce sujet est incomplète et inadaptée.
Le bureau souhaite rappeler aux professionnels le cadre juridique applicable aux dispositifs de vidéosurveillance qui ne peut conduire à localiser les salariés de manière permanente à des fins de surveillance, en dehors de toute circonstance exceptionnelle. Ces systèmes de vidéosurveillance, qui placent les salariés sous surveillance constante pour les localiser, sont excessifs et portent atteinte à la liberté individuelle des salariés.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no 2019-025 du 5 novembre 2019 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans les délais impartis. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Marie-Laure DENIS