L'autorité a infligé une amende de 200 000 euros à SAF Logistics, filiale française de fret du groupe chinois Sinotrans pour collecte excessive de données auprès de ses salariés, avoir porté atteinte à leur vie privée et son manque de coopération avec la CNIL.

Après plus de trois ans d'enquête, la CNIL a rendu publique sa décision [PDF] de sanctionner d'une amende de 200 000 euros l'entreprise de fret aérien en provenance de Chine et à destination de l'Europe SAF Logistics.

Finalement, la CNIL a retenu quatre infractions au RGPD : manquement à la minimisation des données, à l'interdiction de traiter des données sensibles, à l’interdiction de collecter ou de traiter des données relatives aux infractions, aux condamnations et aux mesures de sûreté et enfin à l'obligation de collaboration.

En 2020, cette entreprise basée à la Défense, mais qui faisait partie du groupe Sinotrans, intégré lui-même dans China Merchants Group propriété de l'État chinois, a été accusée dans deux plaintes déposées à la CNIL d'avoir demandé à l’ensemble de son personnel de remplir un formulaire rédigé en chinois dans lequel leur étaient demandées « de nombreuses informations relatives à leur vie privée, notamment l’ethnie, l’affiliation à un parti politique, leur situation familiale ainsi que le nom de leurs parents, de leurs éventuels frères, sœurs et enfants ». Ce formulaire a été envoyé lors de la mise en place de la procédure d'un recrutement interne pour un poste en Chine au sein de sa maison mère chinoise Sinotrans.

La CNIL ajoute dans sa décision que, depuis qu'elle a été saisie, Sinotrans a cédé ses parts en juillet 2022 à la société de droit polonais SCM PAL, « elle-même propriété d’une société chinoise, basée à Hong-Kong ».

La CNIL précise dans sa délibération que la plupart des salariés de SAF Logistics « sont des ressortissants chinois résidant et travaillant en France et dont les contrats de travail sont soumis à la loi française ».

« Base de talents interne »

L'enquête de la CNIL a pu vérifier que, dans ce formulaire qui alimentait, selon SAF Logistics, une « base de talents interne », « la société collecte des catégories particulières de données à caractère personnel, dont certaines, précédées d’un astérisque, devaient obligatoirement être renseignées par les salariés. Il s’agit en particulier des informations relatives à l’appartenance ethnique des salariés ("minorité" dans le formulaire) et à leur affiliation politique ».

Dans sa délibération, la CNIL explique que l'entreprise a soutenu que ce formulaire « était facultatif et que les salariés ont donné leur consentement ». SAF Logistics affirme que c'est suite à la demande d'un salarié souhaitant travailler en Chine qu'elle a fait suivre le formulaire et qu'elle s'était limitée à diffuser le formulaire à une vingtaine de salariés. Elle a même, selon l'autorité, expliqué en séance que c’est le salarié souhaitant partir en Chine qui aurait transmis le formulaire à ses collègues. Mais la CNIL a constaté que « cet argument contredit les écritures de la société » et que c'est bien la société qui l'a transmis à ses salariés via la messagerie WeChat.

Lors de son enquête, l'autorité a aussi pu trouver dans les dossiers de SAF Logistics concernant certains salariés le bulletin n°3 de leur casier judiciaire. Or, pour les salariés soumis à une procédure d’habilitation, ce sont les gendarmes et policiers qui sont chargés de consulter le casier judiciaire avant de délivrer l’habilitation nécessaire. Pour les autres salariés, l'entreprise pouvait consulter leur casier, mais pas le conserver.

Traduction tronquée

Enfin, l'autorité explique que SAF Logistics n'a pas coopéré. C'est peu de le dire.

En effet, alors que la CNIL lui avait demandé de lui fournir la traduction du formulaire en question, elle s'est rendu compte que « le tableau fourni comportait un nombre de lignes inférieur au formulaire original qui avait été transmis par le salarié à l’origine de la plainte ».

La CNIL lui a donc demandé de lui transmettre une traduction complète et l'a, en parallèle, envoyé à un traducteur externe. Bien lui en a pris, puisqu'en comparant la deuxième version de SAF Logistics avec celle traduite en externe, il manquait encore « les champs litigieux à renseigner tels que l’origine ethnique et l’appartenance à un parti politique ».

Elle a aussi pu constater que SAF Logistics a continué à envoyer le formulaire sur WeChat plus de trois mois après la réception du premier courrier de la CNIL.

Comme habituellement pour ce genre de décisions, l'entreprise peut faire un recours devant le Conseil d'État dans un délai de deux mois à compter de la notification.