Patron incognito : la CNIL sanctionne une caméra cachée

Quand l’employeur aime regarder les salariés travailler

Ça a dû étonner les salariés, ce soudain engouement du patron pour la sécurité incendie. On se demande bien ce qu'ils ont pensé en voyant ces multiples détecteurs de fumée collés dans la précipitation sur le mur de la réserve du magasin. Ils ont en tout cas bien intrigué un des employés, qui est allé voir de plus près les mystérieux objets, et y a trouvé des caméras cachées.

On l’oublie, mais sur toutes les questions liées aux données personnelles à la surveillance, il est possible de saisir la CNIL (même si elle ne répond pas toujours). En l’occurrence, la question a été jugée suffisamment sérieuse pour qu’une enquête soit menée. Si la Cour de cassation s’est déjà penchée sur la vidéosurveillance et les modes de contrôle clandestins, la CNIL s’intéresse à la surveillance sous l’angle du fameux RGPD. Elle a ainsi la possibilité de sanctionner les employeurs qui ne respecteraient son contenu.

Lorsqu’elle mène l’enquête, la CNIL vérifie point par point que les systèmes de surveillance, et plus généralement traitant des données personnelles, sont en adéquation avec le RGPD. La surveillance, et notamment la vidéosurveillance, constitue une collecte de données. La donnée personnelle se définit comme un élément permettant d’identifier une personne. C’est clairement le cas lorsque son visage est filmé.

Il se trouve que plusieurs principes du RGPD s’appliquent à la surveillance des salariés, notamment :

• l’obligation de collecter des données adéquates, pertinentes et non excessives au regard de la finalité recherchée. Toute collecte d’informations ou de données doit avoir un motif, ou finalité : surveiller qui entre dans l’entreprise, protéger un local des vols, contrôler les horaires… Ainsi, l’employeur doit mettre en place des moyens de surveillance adaptés à l’objectif poursuivi, inutile de transformer l’entreprise en fort Knox si les risques de vol et d’agression du personnel sont limités, et en informer les salariés. L’idée générale est que la surveillance est intrusive (les salariés ont le droit à la vie privée, même sur leur lieu de travail). Elle doit donc être justifiée, et limitée à ce qui est nécessaire pour la défense des intérêts de l’entreprise.
• le principe de loyauté, qui impose d’informer préalablement les salariés des données collectées.

Caméra cachée au bureau

Un des principaux griefs formulés par la CNIL concernait tout d’abord l’information des salariés sur les moyens de surveillance mis en place. Beaucoup diront que le principe d’un mode de surveillance est justement de ne pas être détecté pour être sûr de piéger les personnes ne respectant pas les règles, mais il ne faut pas oublier que nous sommes ici sur un lieu de travail. Les salariés l’arpentent régulièrement et y mènent leur vie de tous les jours, ce qui justifie qu’ils soient au courant du fait d’être ou non surveillé. On sait tous que l’on ne comporte pas exactement de la même manière lorsqu’une caméra est en face de soi. Même sur le lieu de travail, les salariés ont le droit à une vie privée, et de pouvoir râler sur le patron (ou le DRH, ou la cantine, ou les uniformes qui grattent...) dans un coin de la remise sans être écoutés. Un système de vidéosurveillance clandestin pourrait permettre de révéler des faits destinés à demeurer secret, et de nature à nuire aux salariés comme, par exemple, qu'un salarié a rencontré un membre du CSE, ou que plusieurs syndicalistes se sont réunis.  Le principe n’est, en revanche, pas exactement le même concernant un lieu où l’accès est (en principe) interdit aux salariés.

Il est possible d’installer un moyen de surveillance clandestin uniquement dans certains cas de figure. La CNIL rappelle ainsi que cela est possible uniquement en présence de soupçons d’irrégularités graves (type vols nombreux et de fortes valeurs), qui imposeraient qu’un mode de surveillance discret soit mis en place pour être sûr d’attraper les voleurs. Surveiller une réserve, même si quelques menus vols y surviennent, ne constitue pas une raison suffisante.

L’employeur a bien tenté de défendre qu’il s’agissait d’une installation provisoire, installée dans l’urgence, et uniquement destinée à étudier les meilleurs points de vue pour de futures caméras. Cette installation avait été effectuée dans l’urgence pour faire face à une vague de vols sur une période de quinze jours, que les caméras déjà en place n’avaient pu déceler. La CNIL n’a visiblement pas considéré ces justifications comme pertinentes. En effet, quand bien même le dispositif était provisoire, cela n’exonère pas l’employeur de s’assurer que celui-ci ne portait pas une atteinte excessives aux droits des salariés. Provisoire ne veut pas dire indolore pour les libertés fondamentales (on se souvient des critiques sur l'état d'urgence).

L’entreprise défendait également que d’autres caméras, bien visibles pour le coup, étaient présentes. Les salariés savaient donc qu’ils étaient potentiellement filmés, d’autant qu’un panneau le précisait à l’entrée. Argument également rejeté, les salariés étant susceptibles d’être trompés par les caméras cachées.

L’employeur vous voit, il vous écoute aussi

Deuxième problème soulevé par la CNIL, la proportionnalité. On le rappelle, les moyens de surveillance déployés doivent être adaptés au but recherché. Installer des caméras pour prévenir les vols peut sembler adapté. En revanche, enregistrer les conversations peut sembler superflu. C’est pourtant ce que pouvaient faire les détecteurs de fumée installés (qui savent faire tellement de choses qu’on se demande s’ils peuvent aussi détecter un incendie…). La CNIL relève donc le problème, tant l’enregistrement d’une conversation est une chose sensible. On imagine sans mal ce que l’employeur pourrait faire d’une conversation dont l’auteur ignore qu’il est enregistré, qu’elle porte sur l’employeur, la DRH, l’organisation d’une grève, ou même tout autre sujet touchant à la vie privée (imaginons un salarié révélant avoir pris sa carte dans un syndicat, ou une employée révélant sa grossesse).

Le cas illustre parfaitement cette subtile balance devant être effectuée entre les intérêts de l’entreprise, et l’atteinte portée à l’intimité des salariés. Cette dernière doit être précisément limitée à ce qui est nécessaire pour poursuivre le but de l’employeur. On peut filmer un lieu occupés par des salariés pour s’assurer qu’aucun vol n’ait lieu, mais ont ne peut pas collecter d’informations supplémentaires et inutiles pour cet objectifs comme des conversations privées.

Ne pas oublier le DPO (et le CSE)

DPO, AIPD, RGPD… L’Europe aime les sigles. Pour contrôler les moyens de surveillance mis en place, il faut les référencer. Tenir à jour à jour une liste permet de s’assurer que chaque dispositif recueillant des données et informations soient collectées fasse l’objet d’une réflexion et d’une analyse préalable, et cela permet aussi d’éviter les initiatives prises isolément et considération pour le RGPD (type un chef de site installant sur un coup de tête une caméra cachée dans la réserve…).

Tous les moyens de contrôle, de surveillance, et plus généralement permettant de collecter des données personnelles, doivent figurer dans un registre des activités de traitement, obligatoirement mis en place par l’employeur, même s’ils sont destinés à être cachés. En outre, l’employeur doit associer à la démarche le fameux Délégué à la Protection des Données (le DPO^TM), qui est supposé conseiller l’employeur sur toutes les questions liées aux données personnelles et, quand le dispositif revêt un caractère sensible, réaliser préalablement une étude d’impact (aussi appelée AIPD, analyse d’impact relative à la protection des données). Aucune de ces démarches n’a été effectuée dans le cas présent. Comme la CNIL le relève, suivre ces règles aurait permis à l’entreprise de se rendre compte que son moyen de surveillance n’était pas conforme au RGPD.

Et quid du CSE ? La CNIL ne s’y intéresse pas, car son rôle ne relève pas du RGPD. Cependant, l’article L. 2312-37 du Code du travail impose à l’employeur de consulter le comité avant la mise en œuvre de tout moyen de contrôle de l’activité des salariés. Si la méthode de contrôle a vocation à être clandestine, l’employeur peut théoriquement se baser sur l’obligation de confidentialité des élus pour qu’ils restent dans la confidence. Toutefois, si les élus constatent que le contrôle risque d’être manifestement disproportionné, et donc illicite, ils peuvent à loisir saisir la CNIL.

Pay, Name, and Shame

La CNIL constitue un moyen de recours efficace, puisqu’elle peut adresser des mises en demeures à l’employeur, et surtout, des amendes. Elle est ainsi une alternative au juge, que les élus sont parfois réticents à saisir. Dans l’affaire, l’amende était tout de même de 100 000 euros, un montant sûrement dissuasif au regard des vols que l’employeur voulait prévenir (même si le magasin n’est pas donné). Surtout, la CNIL n’hésite pas à publier ses décisions, en affichant le nom du coupable, une version plus civilisée mais tout aussi pédagogique de cette ancienne pratique consistant à accrocher les brigands à l’entrée des villes.

Ce qu’il faut retenir de cette affaire est que la CNIL peut s’avérer un interlocuteur précieux lorsque les représentants du personnel constatent un moyen de surveillance non-conforme aux règles du RGPD. 

Pour lire la décision (et connaitre l’heureux élu) : c'est ICI