Surveillance excessive des salariés : Sanctions de la CNIL et Délibération SAN-2024-021 du 19 décembre 2024

La surveillance des salariés, au cœur de la transformation numérique des entreprises, pose aujourd’hui d’importantes questions quant au respect de la vie privée et des droits fondamentaux. Le 19 décembre 2024, la CNIL a marqué un tournant en sanctionnant une société pour surveillance disproportionnée. À travers la Délibération SAN-2024-021, l’autorité de contrôle a infligé une amende de 40 000 euros pour manquements aux dispositions du RGPD, notamment en ce qui concerne la collecte excessive de données, la captation d’images et de sons en continu, ainsi que l’utilisation d’un logiciel de suivi (TIME DOCTOR) pour mesurer le temps d’inactivité et la productivité des salariés. Cet article revient sur les faits, les motifs de la sanction et les enseignements à tirer pour les entreprises.

Un Dispositif de Surveillance Intrusif et Problématique

Des Pratiques de Contrôle Excessives

La société sanctionnée a déployé un dispositif de surveillance jugé excessif par la CNIL. Concrètement, elle utilisait :

• Un logiciel de suivi (TIME DOCTOR) : Ce logiciel comptabilisait les périodes d’inactivité des salariés en détectant l’absence de frappes sur le clavier ou de mouvements de souris sur une durée comprise entre 3 et 15 minutes. Ces "idle minutes" étaient utilisées pour déduire des retenues sur salaire si elles n’étaient pas justifiées par le salarié.
• Des captures d’écran régulières : Le logiciel effectuait des captures d’écran à intervalles rapprochés, avec l’option "screencast" activée en permanence, même en version "silencieuse" sur les ordinateurs professionnels. Ce paramétrage permettait de surveiller en détail l’activité numérique des employés.
• Un système de vidéosurveillance continu : En parallèle, la société filmait en continu ses salariés, captant non seulement les images mais aussi le son, dans des espaces de travail et des zones de pause. Cette captation permanente était réalisée sans dispositif de « cache » ou limitation adaptée aux horaires, portant ainsi atteinte à l’intimité des salariés.

Un Cadre d’Information Insuffisant

Outre la collecte massive de données, la société a failli à informer correctement ses salariés :

• Manque d’information écrite : Les documents internes, contrats de travail et autres supports n’expliquaient pas de manière complète et accessible les modalités du traitement des données par le logiciel TIME DOCTOR.
• Absence d’analyse d’impact : La société n’a pas réalisé d’Analyse d’Impact Relative à la Protection des Données (AIPD) pour évaluer le risque élevé induit par ces dispositifs de surveillance.

Les Motifs de la Sanction de la CNIL

Non-Respect des Principes du RGPD

La Délibération SAN-2024-021 met en évidence plusieurs manquements aux articles essentiels du RGPD :

• Article 5 (Minimisation des données) : Le dispositif collectait des informations au-delà de ce qui était strictement nécessaire à la mesure du temps de travail.
• Article 6 (Licéité du traitement) : L’usage de ces outils ne reposait que sur l’intérêt légitime de l’employeur, sans contrepartie suffisante pour protéger les droits des salariés, notamment au regard du droit au respect de la vie privée prévu par l’article L.1121-1 du Code du travail.
• Articles 12 et 13 (Information et transparence) : Les salariés n’ont pas reçu d’information complète, claire et accessible sur les traitements mis en œuvre.
• Article 32 (Sécurité des données) : Des défaillances dans la gestion des accès, comme le partage du compte administrateur du logiciel, ont compromis la traçabilité et la sécurité des données collectées.
• Article 35 (AIPD) : L’absence d’analyse d’impact a été considérée comme un manquement grave, particulièrement en raison du risque élevé pour les droits et libertés des personnes surveillées.

Une Surveillance Disproportionnée

La CNIL a relevé que le dispositif de vidéosurveillance, couplé à l’utilisation intensive du logiciel TIME DOCTOR, constituait une surveillance systématique et quasi-permanente. Cette surveillance, qui s’étendait aussi bien aux temps de travail qu’aux moments de pause, n’était pas justifiée par des circonstances exceptionnelles et dépassait largement la finalité déclarée de contrôle du temps de travail.

Enjeux et Conséquences pour les Entreprises

Des Sanctions Financières et Réputationales

La sanction de 40 000 euros imposée par la CNIL rappelle que la protection des données personnelles est un impératif juridique. Outre l’impact financier, une telle sanction peut ternir la réputation de l’entreprise, notamment dans un contexte où la transparence et le respect de la vie privée sont des critères essentiels pour les partenaires et les employés.

Bonnes Pratiques à Adopter

Pour éviter de telles sanctions, il est recommandé aux entreprises de :

• Réviser leurs dispositifs de surveillance pour s’assurer qu’ils sont proportionnés aux objectifs visés.
• Fournir une information complète et écrite aux salariés, précisant notamment les finalités des traitements, la durée de conservation des données et les droits dont ils disposent.
• Réaliser une AIPD avant la mise en œuvre de tout nouveau dispositif de surveillance susceptible d’engendrer un risque élevé pour les droits et libertés des salariés.
• Mettre en place des mesures de sécurité renforcées, notamment en utilisant des comptes individuels pour l’accès aux systèmes de suivi et en assurant une traçabilité rigoureuse des accès.

Conclusion

La Délibération SAN-2024-021 du 19 décembre 2024 est un signal fort envoyé par la CNIL : la surveillance excessive des salariés, notamment via des dispositifs intrusifs comme le logiciel TIME DOCTOR et une vidéosurveillance continue, ne peut être tolérée. L’amende de 40 000 euros infligée à la société sanctionnée met en lumière les risques juridiques et réputationnels encourus en cas de non-respect des principes du RGPD.

Les entreprises se doivent de trouver un équilibre entre la nécessité de contrôler l’activité professionnelle et le respect de la vie privée des salariés. La mise en œuvre de dispositifs de surveillance doit être strictement encadrée, transparente et proportionnée aux objectifs légitimes poursuivis. En adoptant des pratiques responsables et en informant correctement leurs salariés, les entreprises pourront non seulement se conformer à la réglementation, mais également instaurer un climat de confiance propice à une meilleure performance collective.

Source : Basé sur l’analyse détaillée de la Délibération CNIL SAN-2024-021 du 19 décembre 2024 et les recommandations issues des publications de la CNIL.