La Samaritaine : 100 000 euros d’amende pour des caméras et micros dissimulés aux salariés

La CNIL vient d’infliger une amende de 100 000 euros aux grands magasins La Samaritaine. En effet, l’entreprise, détenue par LVMH, avait installé en 2023 des détecteurs camouflant des caméras dans les espaces pour le personnel du magasin. Ces faits avaient été révélés par Mediapart.

L’autorité explique dans sa décision s’être saisie de l’affaire après la publication de cet article et le dépôt d’une plainte trois jours après, d’un salarié dénonçant « un système de vidéosurveillance dissimulé dans des faux détecteurs de fumée au sein des réserves ».

Elle y estime qu’ « en principe […] les obligations de transparence ou le droit d’accès du RGPD n’impliquent pas l’affichage ou la communication d’un plan comprenant les emplacements exacts des caméras ». Mais elle ajoute que c’est « à condition que l’information donne des indications suffisantes sur la zone soumise à vidéoprotection/surveillance ».

« Toutefois, pour satisfaire à l’exigence de loyauté posée par l’article 5-1-a) du RGPD, la CNIL estime qu’en principe, les caméras composant le dispositif doivent être visibles, non dissimulées », explique-t-elle. Si ce principe peut avoir des exceptions (comme la suspicion de vols de marchandises par le personnel), « cela ne peut être que dans des circonstances exceptionnelles et à condition de ménager un juste équilibre entre l’objectif poursuivi par le responsable de traitement et la protection de la vie privée des salariés ».

Dans ce dossier, la CNIL a considéré « que le traitement de données permis par ces caméras constitu[ait] un traitement déloyal, faute pour la société de n’avoir apporté aucun élément permettant d’attester du caractère temporaire du dispositif, dans la mesure où ce n’est qu’à la faveur de sa découverte puis de son démontage par les salariés que le traitement de données à caractère personnel a été interrompu ».

Elle ajoute aussi que « les caméras étaient dotées de micros, rendant ainsi le dispositif très intrusif vis-à-vis des salariés ».

La CNIL considère que l’enregistrement sonore des salariés était excessif, ce qui constitue un manquement au principe de minimisation du RGPD (article 5-1-c).

Enfin, elle fait remarquer que le dispositif « n’avait pas été répertorié dans l’analyse d’impact sur la protection des données et que la déléguée à la protection des données n’avait pas été informée de son déploiement ». Ce qui démontre « que la société a mis en œuvre le traitement en dehors de toutes considérations liées au respect du RGPD ».

Pour ces différents manquements au RGPD, la CNIL a décidé de prononcer cette amende de 100 000 euros ainsi que de rendre publique cette délibération. Comme habituellement, La Samaritaine peut faire un recours devant le Conseil d’État dans un délai de deux mois.