Surveillance des salariés : la CNIL sanctionne une entreprise pour surveillance excessive

La surveillance des salariés est un sujet sensible, encadré par des règles précises pour protéger la vie privée au travail. Le 19 décembre 2024, la CNIL (Commission Nationale de l’Informatique et des Libertés) a infligé une amende de 40 000 euros à une société du secteur immobilier pour une surveillance jugée disproportionnée de ses employés.

Cet article analyse cette décision récente de la CNIL, en mettant en lumière ses implications juridiques et les enseignements essentiels que les entreprises peuvent en tirer pour se conformer aux exigences du RGPD.

Les faits : une surveillance jugée intrusive

Un logiciel de surveillance excessif

La société sanctionnée par la CNIL avait installé sur les ordinateurs de ses salariés un logiciel destiné à surveiller leur activité en télétravail. Ce logiciel comptabilisait les périodes d’« inactivité » (absence de mouvement de souris ou de frappe clavier de 3 à 15 minutes) et effectuait des captures d’écran régulières. Ces périodes d’inactivité pouvaient entraîner des retenues sur salaire, un procédé jugé non conforme par la CNIL.

Un système de vidéosurveillance permanent

En parallèle, la société utilisait un système de vidéosurveillance dans ses locaux. Ce système captait en continu des images et des sons, y compris dans les espaces de pause. Les images étaient consultables en temps réel via une application mobile, sans la présence de circonstances exceptionnelles pour justifier cette surveillance en continu. La CNIL a considéré que cela portait une atteinte excessive aux droits des salariés.

Les manquements sanctionnés par la CNIL

Surveillance excessive des salariés

La CNIL a estimé que les dispositifs mis en place constituaient une surveillance intrusive et disproportionnée, ne respectant pas le principe de minimisation des données (article 5.1.c du RGPD).

Manquement à l’information des salariés

Les salariés n’étaient pas suffisamment informés des dispositifs de surveillance. L’absence d’information écrite complète constitue un manquement aux articles 12 et 13 du RGPD.

Manquement relatif à la mise en oeuvre du logiciel de surveillance des postes de travail

La société a mis en place un logiciel de suivi de l’activité des salariés pour mesurer leur temps de travail et leur productivité. Ce logiciel mesurait nominativement les temps d’« inactivité » des salariés, définis par l’absence de mouvement de souris ou de frappe sur le clavier pendant 3 à 15 minutes. Ces périodes pouvaient entraîner des retenues sur salaire, ce qui est jugé disproportionné par la CNIL. En effet, des périodes sans activité sur l’ordinateur peuvent correspondre à du travail effectif, comme des réunions ou des appels téléphoniques.

De plus, le logiciel effectuait des captures régulières des écrans des salariés, à des intervalles de 3 à 15 minutes. Ce dispositif pouvait capturer des informations personnelles portant atteinte à la vie privée des salariés ainsi qu’à leurs droits fondamentaux et ne reposant sur aucune base légale.

Sécurité des données inadéquate

L’accès aux données de surveillance était partagé via un compte administrateur commun, compromettant la traçabilité et la sécurité, en violation de l’article 32 du RGPD.

Absence d’analyse d’impact sur la protection des données (AIPD)

La société n’avait pas réalisé d’AIPD, pourtant obligatoire pour des traitements susceptibles d’engendrer des risques élevés pour les droits et les libertés des salariés (article 35 du RGPD).

Quelles sont les conséquences et les enseignements pour les entreprises ?

Cette décision de la CNIL rappelle l’importance :

• de limiter la surveillance à ce qui est strictement nécessaire ;
• d’informer clairement les salariés sur les dispositifs en place ;
• d’assurer la sécurité des données collectées ;
• de réaliser des AIPD pour les traitements à risque pour les droits des salariés ;
• de garantir que les dispositifs de surveillance respectent les droits fondamentaux des salariés.

Résumé des points clés

• Sanction de 40 000 euros infligée à une entreprise du secteur immobilier pour surveillance disproportionnée.
• Manquements identifiés : surveillance intrusive, absence d’information des salariés, mise en œuvre excessive du logiciel de surveillance, sécurité des données insuffisante, absence d’AIPD.
• Leçons à retenir : importance de la transparence et de la proportionnalité des dispositifs de surveillance pour respecter les principes du RGPD.

Pour tous vos besoins juridiques, consultez notre annuaire d’avocats ou déposez votre demande directement et gratuitement en ligne sur notre page dédiée.