La Commission nationale de l’informatique et des libertés (CNIL) vient d’adresser une mise en demeure à un supermarché E. Leclerc ayant mis en place des dispositifs de surveillance des salariés particulièrement intrusifs. La société se servait de lecteurs d’empreintes digitales et de caméras de vidéosurveillance pour contrôler les horaires de ses salariés, de façon disproportionnée aux yeux de la gardienne des données personnelles. Explications.

Capture via Google Street View.

C’est un avertissement très sérieux qui vient d’être adressé à la société exploitant le centre commercial E. Leclerc de Saint-Médard-en-Jalles (Gironde). Dans une délibération en date du 15 janvier dernier (PDF), et rendue publique hier par l’institution, la CNIL a en effet laissé un délai de deux mois à cette entreprise pour se mettre en règle suite à la constatation de nombreux manquements à la loi « Informatique et Libertés ». Dans le collimateur de la gardienne des données personnelles : deux dispositifs installés depuis plusieurs années, l’un reposant sur de la biométrie, l’autre sur de la vidéosurveillance.

Tout d’abord, la CNIL s’est penchée - suite à une plainte - sur des appareils de lecture d’empreintes digitales installés en 2004, et dont l’objectif était de contrôler l’accès à certaines pièces (zones sensibles où est entreposé le matériel électronique, les parfums...) et les horaires de travail des salariés. Différents problèmes ont finalement été mis à l’index par l’autorité administrative. Premièrement, l’employeur n’avait pas effectué les formalités administratives adéquates auprès de la gardienne des données personnelles. Il devra donc se mettre en règle sur ce point.

Des dispositifs biométriques pour contrôler le temps de travail des salariés

Deuxièmement, c’est la finalité de ce dispositif qui a fait tiquer la CNIL. Cette dernière explique en effet que « les dispositifs biométriques ne peuvent être mis en place afin de gérer les horaires et le temps de présence des employés ». Seule dérogation à la règle : si des « circonstances exceptionnelles liées à des impératifs de sécurité » le justifient. Sauf qu’ici, ce n’était pas le cas. Ceci a donc conduit l’institution à demander à ce que les lecteurs d’empreintes digitales ne soient plus utilisés pour contrôler les horaires et le temps de présence des salariés.

Troisièmement, la CNIL s’est aperçue que l’employeur conservait les empreintes digitales de ses anciens salariés pendant un peu trop longtemps... L’autorité administrative a ainsi retrouvé des données personnelles d’une employée partie en juin 2009. Sur ce point, le responsable du centre commercial a ainsi été invité à « ne pas conserver les empreintes digitales des salariés au-delà du temps strictement nécessaire à la finalité du dispositif, notamment en supprimant les données des salariés dès qu’ils ne sont plus habilités à pénétrer dans les zones dont le dispositif contrôle l’accès ».

De la vidéosurveillance des postes de travail et de l'accès aux salles de pause

Le deuxième dispositif litigieux avait trait à la vidéosurveillance, puisque 139 caméras étaient installées dans l’enceinte du centre commercial, pour la plupart au sein d’espaces ouverts au public (rayons de l’hypermarché, parking réservé à la clientèle,...). Ici, les problèmes étaient similaires. Premièrement, il s’est avéré « qu’aucune formalité déclarative » n’avait été effectuée. L’entreprise devra donc se mettre en règle sur ce point.

Deuxièmement, la CNIL a constaté qu’une partie des caméras servait à filmer « des postes de travail ainsi que l’accès aux salles de pause des salariés ». Ainsi, les temps de pause des employés pouvaient être surveillés et potentiellement contrôlés. D'autre part, les boulangers du magasin étaient par exemple surveillés « de manière constante » dans leur travail. Mais l’autorité administrative a demandé à ce que des aménagements soient effectués... Et pour cause : la Commission explique « qu’un dispositif permettant de filmer en continu les postes de travail de certains salariés ne peut être mis en œuvre qu’en présence de circonstances particulières liées à la prévention des atteintes aux biens et aux personnes ». Or ici, ce n’était pas le cas. Le dispositif relatif à la salle de pause est même décrit comme « excessif et non pertinent ». L’entreprise devra donc réorienter les caméras litigieuses ou masquer les zones concernées.

Enfin, il y avait un souci avec une caméra installée au sein d’un local dédié aux interpellations, puisque « aucune information [n’était] fournie aux personnes quant à l’existence de cet enregistrement visuel et sonore ». Sur ce point, l’entreprise a été sommée d’informer les personnes de l’existence de ce dispositif - tout du moins si elle ne veut pas s’exposer à de véritables sanctions. La CNIL a en effet laissé un délai de deux mois au responsable de cet hypermarché pour qu’il corrige tous les différents manquements constatés. Passé ce délai, l’autorité administrative pourrait engager une procédure de sanction.

Il n’en demeure pas moins que l’autorité administrative insiste au cours de sa délibération sur les différentes sanctions encourues au niveau pénal par l’entreprise. S’appuyant sur les problèmes de conservation des empreintes digitales de certains salariés par exemple, la CNIL rappelle « qu’en application des articles 121 - 2, 131 - 37, 131 - 38 et 226 - 20 du Code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi (...) est puni de 1 500 000 € d’amende ».