SURVEILLANCE DES SALARIÉS: LA CNIL SANCTIONNE UN EMPLOYEUR POUR PRATIQUES EXCESSIVES!

Une décision de la CNIL du 19 décembre 2024 (n°SAN-2024-021) rappelle que la surveillance des salariés est soumise à des règles strictes. Dans cette affaire, la CNIL a infligé une amende de 40.000 euros à une société pour avoir mis en place un système de surveillance excessive de ses employés, combinant un logiciel de suivi d'activité et un dispositif de vidéosurveillance continue.

Des pratiques de surveillance abusives constatées par la CNIL

La société concernée avait installé sur les ordinateurs de ses salariés en télétravail un logiciel enregistrant automatiquement leurs périodes d'activité et d'inactivité, et effectuant des captures régulières de leurs écrans. Elle avait également mis en place un système de vidéosurveillance captant en permanence l'image et le son des salariés dans les locaux de l'entreprise.

A la suite de plaintes, la CNIL a mené une inspection et relevé plusieurs manquements majeurs aux règles de protection des données personnelles et des droits des salariés.

• Un dispositif de vidéosurveillance démesuré

Le système de vidéosurveillance mis en place, censé prévenir les vols, filmait en permanence les salariés dans leurs espaces de travail et de pause. L'employeur pouvait consulter ces images en temps réel via une application mobile.

Pour la CNIL, ce dispositif était problématique à plus d'un titre : Tout d'abord, l'entreprise ne pouvait pas prouver l'existence de circonstances exceptionnelles justifiant une surveillance permanente. Mais bien plus, cela constituait une atteinte disproportionnée à la vie privée des salariés. Enfin, le système enregistrait des informations allant bien au-delà de ce qui était nécessaire pour assurer la sécurité des locaux.

• Un logiciel de suivi du temps de travail intrusif

En parallèle, l'employeur utilisait un logiciel enregistrant chaque frappe de clavier et mouvement de souris pour déterminer le temps de travail effectif des salariés. Les périodes sans activité sur l'ordinateur, appelées "idle minutes", étaient décomptées et pouvaient entraîner des retenues sur salaire.

Une nouvelle fois, pour la CNIL un tel procédé était problématique : en effet, un tel dispositif de surveillance automatisée ne pouvait pas être fondé sur l'intérêt légitime de l'employeur, car il portait atteinte aux droits des salariés. Mais bien plus, le logiciel ne tenait pas compte des activités professionnelles non effectuées sur ordinateur (réunions, appels téléphoniques, etc.), contrairement à la définition du temps de travail effectif (article L. 3121-1 du Code du travail). Enfin, la CNIL a jugé que l'utilisation d'un logiciel enregistrant en continu les activités informatiques des salariés relevait d'une surveillance permanente non justifiée.

• L'évaluation de la performance des salariés par captation d'écran

Outre le suivi du temps de travail, le logiciel permettait de capturer régulièrement les écrans des salariés et d'enregistrer les sites internet consultés. Ces informations étaient analysées pour évaluer la productivité des salariés.

La CNIL a souligné que ce système pouvait capturer des données personnelles sensibles (messages privés, mots de passe, etc.) et l'entreprise disposait d'autres méthodes moins intrusives pour évaluer la performance des salariés (entretiens, évaluations de performance classiques).

Les sanctions de la CNIL

Compte tenu de la gravité des manquements constatés, la CNIL a prononcé les sanctions suivantes à l'encontre de la société employeur :

• Une amende administrative de 40.000 euros

• Une publication de la décision sur le site de la CNIL et Légifrance

La CNIL a justifié cette sanction par :

• La violation de plusieurs principes fondamentaux du RGPD (minimisation des données, information des salariés, sécurité des données...),

• L'atteinte excessive aux droits des salariés,

• L'absence de justification valable pour ces pratiques de surveillance.

La CNIL rappelle par cette décision que la surveillance des salariés doit être proportionnée aux objectifs poursuivis et respecter leurs droits fondamentaux. 

En particulier :

• La vidéosurveillance ne doit pas être permanente et ne doit capter ni l’image ni le son en continu sans justification impérative.

• Le suivi du temps de travail ne peut pas se faire par un dispositif de surveillance intrusive (keyloggers, captation d'écran...).

• L'évaluation de la productivité doit respecter la vie privée des salariés, en utilisant des méthodes moins intrusives.

• Les employeurs doivent informer les salariés de façon transparente sur les données collectées et leur finalité.

Cette décision s'inscrit dans une volonté de la CNIL de renforcer le contrôle des dispositifs de surveillance au travail et de garantir le respect des droits des salariés face aux nouvelles technologies de surveillance.