Dans un communiqué du 7 novembre 2023, au regard de nombreuses plaintes reçues principalement sur la vidéosurveillance et la géolocalisation, la CNIL rappelle qu’elle prononcera régulièrement des sanctions dans le cadre de la procédure de sanction simplifiée. Communiqué CNIL 7 novembre 2023
Rappel des dispositifs
La vidéosurveillance
Qu’il s’agisse de surveiller les lieux accueillant la clientèle ou les locaux réservés aux salariés, la vidéosurveillance doit correspondre à un besoin précis. Les caméras sont installées à des fins de sécurité des biens et des personnes, à titre dissuasif, ou pour identifier les auteurs de vols ou d’agressions.
Des formalités administratives sont nécessaires en fonction des lieux : demande d’autorisation préfectorale. Il n’y a plus de déclaration préalable auprès de la CNIL.
♦ Lieux ouverts au public
Le lieu public ou ouvert au public : tout lieu du secteur public ou du secteur privé où le public peut accéder, notamment les entreprises des services de l’automobile.
Lorsque les caméras filment un lieu ouvert au public : les zones d’entrée et de sortie du public, les comptoirs, les caisses, seule l’autorisation préalable du préfet de département (ou du préfet de police à Paris) est requise (autorisation de 5 ans renouvelable), pour y installer un dispositif de vidéo surveillance, dès lors qu’aucune image n’est enregistrée ni conservée dans des traitements informatisés ou des fichiers structurés qui permettent d’identifier des personnes physiques.
Le formulaire de demande d’autorisation peut être téléchargé sur le site internet du ministère de l’intérieur. Il peut aussi être rempli en ligne.
♦ Lieux non ouverts au public
Il s’agit de lieux privés du secteur public ou du secteur privé, non ouvert au public qui ne peut donc pas y accéder, soit les locaux de travail.
Cela peut être la chaîne de montage d’une entreprise automobile, l’atelier de réparation, le parking du personnel, les bureaux des administratifs.
Lorsque les caméras filment un lieu non ouvert aux publics soit les locaux de travail : les bureaux du personnel, les lieux de stockage, la réserve, aucune formalité particulière n’est à remplir. Il suffit de respecter les règles prévues par le RGPD : système d’autocontrôle continu, tenue d’un registre des activités de traitement, désignation d’un délégué à la protection des données …
Le Règlement Général sur la Protection des Données (RGPD) est définie de la façon suivante : toute opération, ou ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission diffusion ou toute autre forme de mise à disposition, rapprochement ou interconnexion, verrouillage, effacement ou destruction…).
Sont visés : le registre unique, dossiers du personnel et logiciels de paye. Peu importe que ce traitement ne soit pas informatisé : un fichier de données tenu sur papier doit répondre aux exigences fixées par le RGPD (Règl. no 2016/679, 27 avr. 2016, art. 1er).
Plusieurs étapes doivent être respecter concernant le RGPD – Règlement général sur la protection des données
- L’entreprise désigne un délégué à la protection des données (DPO) ; communique à la Cnil les nom, prénom et coordonnées professionnelles du responsable du traitement ou de celles du sous-traitant ou le cas échéant, ceux de leur représentant, et ceux du DPO ;
- Dans les entreprises de 250 salariés et plus, la mise en place d’un registre des activités de traitements est obligatoire (Règl. no 2016/679, 27 avr. 2016, art. 30) ;
- Les entreprises de moins de 250 salariés ne doivent pas pour autant s’en dispenser : le RGPD impose en effet la mise en place d’un registre lorsque le traitement n’est pas occasionnel, ou s’il est susceptible de comporter un risque pour les droits et les libertés des personnes concernées, ou s’il porte sur des données sensibles.
- Vous trouverez sur le site de la CNIL un modèle de registre simplifié sous forme de tableur facilement utilisable par toutes les entreprises. Registre des activités de traitement.
Le placement des caméras
Le nombre, l’emplacement, l’orientation, les fonctionnalités et les périodes de fonctionnement des caméras est important au regard du respect de la vie privée des salariés et du caractère proportionné du dispositif que vous voulez mettre en place.
Des caméras peuvent être installées aux entrées et sorties des bâtiments, au niveau des issues de secours, des voies de circulation (couloirs des bâtiments…) et des entrepôts de marchandise, à condition que cette installation soit motivée par des raisons de sécurité concernant les personnes et les biens., avec un objectif, qui doit être légal et légitime.
Par exemple, des caméras peuvent être installées sur un lieu de travail à des fins de sécurité des biens et des personnes, à titre dissuasif ou pour identifier les auteurs de vols, de dégradations ou d’agressions.
Mais, elles ne doivent pas filmer les salariés sur leur poste de travail, sauf circonstances particulières : salarié qui travaille sur une machine dangereuse ou à un guichet où l’argent est manipulé (dans ce cas, les caméras doivent être orientées de la façon la moins intrusive possible, comme filmer la caisse plutôt que le salarié). Il en est de même pour les locaux des représentants du personnel ou les locaux syndicaux.
Sachez que d’une façon générale, la Cnil considère que le fait de filmer en continu le poste de travail d’un salarié est disproportionné, sauf circonstance particulière. Elle précise que, tant la prévention des accidents du travail que la constitution d’une preuve, ne justifient pas la mise en œuvre de la vidéosurveillance en continu des postes de travail.
Pas de caméras dans les zones de pause ou de repos du personnel, ni les douches, les vestiaires, les toilettes.
Informations
Les personnes concernées (employés et clients) doivent être informées, de l’utilisation d’un dispositif de vidéosurveillance au moyen de panneaux affichés en permanence, de façon visible dans les lieux concernés qui comportent a minima, outre le pictogramme d’une caméra indiquant que le lieu est placé sous vidéoprotection, les visiteurs doivent également être informés :
- Des finalités du traitement installé ;
- De la durée de conservation des enregistrements : c’est l’employeur qui définit la durée de conservation des images issues des caméras. La durée de conservation doit être en lien avec l’objectif poursuivi par les caméras : souvent un mois ;
- Du nom ou la qualité et le numéro de téléphone du responsable/du délégué à la protection des données (DPO) ;
- L’existence de droits « Informatique et Libertés » ;
- Le droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), en précisant ses coordonnées ;
- La base légale du traitement ;
- Les destinataires des données personnelles, y compris ceux établis hors UE ;
- Et, s’il y en a, les informations complémentaires devant être portées à l’attention de la personne ( prise de décision automatisée, profilage …).
Seules les cinq premières informations susvisées doivent être affichées en permanence et de façon lisible dans les lieux concernés.
Les salariés doivent être informés individuellement : voir modèle dans la rubrique documents complémentaire
Notez le : vous n’êtes pas tenu d’informer les salariés de la mise en place d’un système de vidéosurveillance dans des entrepôts si aucun salarié n’y travaille.
Vous devez consulter les représentants du personnel avant la mise en place du dispositif, puis informer individuellement chaque salarié avant l’installation de caméras.
Qui est habilité à visionner les images ?
Seules certaines personnes peuvent visionner les images, et les salariés doivent savoir lesquelles. Il peut s’agir par exemple du responsable de sécurité ou d’une société prestataire. Chaque salarié a également le droit de visionner les enregistrements sur lesquels il figure.
Pouvez vous utiliser la vidéosurveillance comme moyen de preuve ?
Si vous respecter le RGPD, la vie privée du salarié, les règles en matière de consultation des images enregistrées, que vous avez eu l’autorisation préfectorale nécessaire et que vous avez respecté l’information des différents acteurs (salariés/CSE), il vous est possible de produire les images issues du dispositif de vidéosurveillance à l’appui d’une sanction disciplinaire, d’un licenciement ou d’une action pénale.
Notez que : vous n’avez pas besoin d’informer les salariés de la présence d’un système de vidéosurveillance lorsqu’il est installé dans des locaux dans lesquels les salariés ne travaillent pas ou auxquels ils n’ont pas accès. Dans ce cas vous pourrez opposer aux salariés les preuves recueillies par ce moyen et ce sans information préalable.
La géolocalisation
L’installation d’un dispositif de géolocalisation dans les véhicules utilisés par les employés est possible dans certains cas bien définis, mais attention vous ne pouvez pas tout faire.
- Utilisation d’un GPS / GSM
Vous pouvez avoir un ou des abonnements, via internet, qui vous permettent de localiser les véhicules professionnels. Si vous êtes abonnés aux services de géolocalisation des véhicules vous disposez d’un accès direct aux données de géolocalisation en vous connectant via internet et vous pouvez être informé du trajet effectué, des temps d’arrêt, de l’heure de départ et d’arrivée et de la vitesse des véhicules utilisés par leurs salariés.
Le dispositif de contrôle des salariés pour être légal, doit respecter certaines conditions : respect du RGPD, collecte des données pour des finalités déterminées, information des salariés et du CSE, droit d’opposition des salariés, sécurité des données …
Notez que cette géolocalisation doit être distinguée de la mise en œuvre des appareils de contrôle dans le domaine du transport par route (chronotachygraphes).
- Durée de conservation des données
En principe, les informations obtenues par la géolocalisation ne doivent pas être conservées plus de deux mois. Toutefois, elles peuvent être conservées un an lorsqu’elles sont utilisées pour optimiser les tournées ou à des fins de preuve des interventions effectuées, lorsqu’il n’est pas possible de rapporter cette preuve par un autre moyen. Enfin, elles peuvent être conservées cinq ans lorsqu’elles sont utilisées pour le suivi du temps de travail.
- Concernant le RGPD
Si vous utilisez le dispositif de contrôle GPS ou GSM, comme il est susceptible de porter atteinte à la liberté d’aller et de venir et à la vie privée des salariés car il permet de connaître avec précision les itinéraires des conducteurs des véhicules, cela relève d’un traitement de données à caractère personnel, et il faut respecter les obligations issues notamment du RGPD : système d’autocontrôle continu, tenue d’un registre des activités de traitement, désignation d’un délégué à la protection des données.
Par ailleurs, les traitements issus des dispositifs de géolocalisation des véhicules ne peuvent être mis en œuvre que pour certaines finalités : le respect d’une obligation légale ou réglementaire, en raison du type de transport ou de la nature des biens transportés.
- On peut trouver le suivi et la facturation d’une prestation de transport de marchandises ou d’une prestation de services directement liée à l’utilisation du véhicule ainsi que la justification d’une prestation auprès d’un client ou d’un donneur d’ordre (comme les ambulances dans le cadre de la dématérialisation de la facturation de l’assurance maladie) ;
- La sûreté ou la sécurité de l’employé ;
- Une meilleure allocation des moyens pour des prestations à accomplir en des lieux dispersés, notamment pour des interventions d’urgence ;
- Le contrôle du respect des règles d’utilisation du véhicule définies par le responsable de traitement, sous réserve de ne pas collecter une donnée de localisation en dehors du temps de travail du conducteur.
Le traitement peut avoir pour finalité accessoire le suivi du temps de travail, lorsque ce suivi ne peut être réalisé par un autre moyen, sous réserve notamment de ne pas collecter ou traiter de données de localisation en dehors du temps de travail des employés concernés.
Pour la jurisprudence : la cour de cassation rappelle le principe posé par l’article L. 1121-1 du code du travail, et estime que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen et n’est pas justifiée lorsque le salarié dispose d’une liberté dans l’organisation de son travail ».
Dans une affaire soumise à la Cour de cassation, le dispositif avait été mis en place par une entreprise pour suivre les mouvements de ses salariés électriciens intervenant à l’extérieur. Donc, la finalité principale déclarée à la Cnil était le suivi effectif des véhicules et des facturations ainsi qu’une évaluation de la rentabilité des chantiers ; le contrôle du temps de travail des salariés n’était qu’une finalité accessoire. Il n’y avait donc pas lieu, selon la Cour, de vérifier que la géolocalisation était le seul moyen de remplir chacun des objectifs. Cass. soc., 20 déc. 2017, n° 16-12.569.
Dans son communiqué, la CNIL indique clairement que l’enregistrement en continu des données, sans possibilité pour les salariés d’arrêter ou de suspendre le dispositif sur les temps de pause est, sauf justification particulière, une atteinte excessive à la liberté d’aller et venir et au droit à la vie privée des salariés.
- Les utilisations à exclure
Un dispositif de géolocalisation installé dans un véhicule mis à la disposition d’un employé ne peut pas être utilisé :
- Pour contrôler le respect des limitations de vitesse ;
- Pour contrôler un employé en permanence ;
- En particulier, il ne peut pas être utilisé :
- dans le véhicule d’un employé disposant d’une liberté dans l’organisation de ses déplacements (par exemple : VRP, salarié en forfait jours) ;
- pour suivre les déplacements des représentants du personnel dans le cadre de leur mandat ;
- pour collecter la localisation en dehors du temps de travail (trajet domicile travail, temps de pause …), y compris pour lutter contre le vol ou vérifier le respect des conditions d’utilisation du véhicule ;
- pour calculer le temps de travail des employés alors qu’un autre dispositif existe déjà.
- Sur l’utilisation d’un chronotachygraphe
En principe, lorsqu’une déclaration préalable auprès de la Cnil était obligatoire, les informations recueillies au moyen d’un dispositif non déclaré ne pouvaient fonder une sanction disciplinaire.
La Cour avait cependant apporté une exception à ce principe s’agissant de l’utilisation d’un chronotachygraphe dont la mise en place est rendue obligatoire pour l’employeur par une réglementation spécifique encadrant par ailleurs strictement sa mise en œuvre. En effet, la réglementation européenne impose l’installation de tachygraphes dans les véhicules de transport de voyageurs de plus de 9 personnes, ainsi que dans les véhicules de transport de marchandises de plus de 3,5 tonnes.
Il faut respecter : l’information fournie aux personnes concernées comme le conducteur, cela devrait être mentionné dans son contrat de travail ou par la remise de supports de communication adaptés, ou par une mention affichée dans l’habitable du véhicule.
Concernant les droits des personnes concernées : il faut permettre au conducteur d’accéder à ses données lorsque celui-ci en fait la demande. Il peut obtenir une copie des données téléchargées depuis la carte conducteur et les versions imprimées de cette copie. L’employeur doit conserver les données (feuilles d’enregistrement et données imprimées) pendant au moins un an après leur utilisation, puis les archiver. L’employeur doit garantir que seules les personnes habilitées peuvent accéder aux données collectées par l’appareil de contrôle et prémunir le système contre toutes modifications de ces données.
Voir le modèle d’information du salarié dans la rubrique documents complémentaires.
Enfin, comme pour les lieux publics, un panneau doit signaler l’existence de la vidéosurveillance au sein de l’entreprise et préciser comment on peut exercer son droit d’accès aux enregistrements.
*********************************
MODELE D’AFFICHAGE (panneau d’information) :
Mise en place d’un système de vidéosurveillance
Nous vous informons que cet établissement est placé sous vidéosurveillance pour la sécurité des personnes et des biens.
Les images sont conservées pendant un mois et peuvent être visionnées, en cas d’incident, par le personnel habilité de la société et par les forces de l’ordre.
Pour tout renseignement, adressez vous au service …… ou à …… (identifiez la personne ou le service compétent) auprès duquel vous pouvez également exercer votre droit d’accès aux images qui vous concernent, conformément à la loi n° 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004.
Vous trouverez également des modèles de courrier et informations sur le site de la CNIL Information vidéo surveillance – Vidéo surveillance – Géolocalisation des salariés
