Vidéosurveillance au travail : la Cnil sanctionne une entreprise

En mars 2015, la Commission nationale de l’informatique et des libertés (Cnil) est saisie d’une plainte d’une salariée dénonçant l’installation à son insu d’un système de vidéosurveillance au-dessus de son poste de travail. La Cnil tente alors de prendre langue avec l’entreprise. En vain. En avril 2016, ses services de contrôle décident de se rendre dans les locaux de la société.

Plusieurs manquements

Constatant plusieurs manquements, la Cnil la met en demeure de mettre en conformité son dispositif de vidéosurveillance avec la loi Informatique et Libertés. Il lui est alors demandé : de ne collecter que des données non excessives et pertinentes, c’est-à-dire de ne pas placer les personnes travaillant pour la société sous une surveillance permanente ; de sécuriser l’accès au logiciel de visualisation des images (notamment en renforçant la sécurité des mots de passe) ; et d'effectuer une déclaration du dispositif auprès de la Cnil.
Si l'entreprise a bien déclaré le dispositif de vidéosurveillance, elle n’a en revanche apporté aucune réponse aux autres points de la mise en demeure, malgré un courrier de relance. D'où la procédure de sanction qui s'en est suivie. A cette occasion, la formation restreinte de la Cnil émet plusieurs constats.

Obligation de coopération

La société procédait à une collecte excessive de données, car il était toujours possible de visualiser en temps réel les images du dispositif de vidéosurveillance, la simple désactivation de l’option d’enregistrement n’étant pas suffisante. Autre reproche : la sécurité des données personnelles accessibles via le logiciel de visualisation des images n’était pas assurée faute de renforcement de la robustesse du mot de passe. Enfin, l'entreprise avait fait preuve d’un défaut manifeste de prise en compte des questions informatique et libertés et avait méconnu son obligation de coopération avec la Cnil.
Cerise sur le gâteau : la Cnil décide de rendre publique cette décision, pour "rappeler aux employés leurs droits et aux employeurs leurs obligations en matière de vidéosurveillance au travail", et pour insister "sur l’obligation, pour les responsables de traitement, de coopérer avec les services de la Commission".