Collecte excessive des données personnelles : les mises en garde de la CNIL

Contrôle des horaires des salariés avec des "badgeuses photo" ou encore verbalisation par lecture automatisée des plaques d'immatriculation des véhicules. La CNIL vient de demander à un certain nombre d'organismes et de communes de se mettre en conformité avec la réglementation en vigueur.

Temps de lecture  3 minutes

Système de contrôle d'accès avec écran.
Ces "badgeuses photo" sur le lieu de travail, intégraient la prise d’une photo à chaque pointage du salarié. D'où la saisine, en 2018, de la CNIL par six requérants. © papi8888 - stock.adobe.com

Les plaintes déposées auprès de la Commission nationale de l'informatique et des libertés (CNIL) concernant la protection des données personnelles ont augmenté de 27% en 2019. Parmi les plaintes, 10,7% de celles reçues en 2019 sont en rapport avec la surveillance des employés sur leur lieu ou pendant leur temps de travail au moyen d'outils comme la vidéosurveillance, la géolocalisation ou encore les écoutes téléphoniques par exemple.

Dans ce contexte, la CNIL vient de mettre en demeure plusieurs organismes privés et publics leur demandant d’arrêter de prendre systématiquement en photo leurs employés lors de la vérification des temps de travail des salariés (communiqué de la CNIL du 27 août 2020).

Par ailleurs, dans un communiqué de la CNIL du 25 août 2020, la CNIL indique également avoir mis en demeure quatre communes, dont le nom n’est pas divulgué, afin qu'elles mettent fin à un système de verbalisation par lecture automatisée des plaques d’immatriculation (LAPI) des véhicules.

 

Pointage : une collecte des photos "excessive"

La CNIL avait été saisie en 2018 par six plaintes émanant d’agents publics et de salariés d’entreprises dénonçant la mise en place par leur employeur de "badgeuses photo" sur leur lieu de travail, qui intégraient donc la prise d’une photo à chaque pointage.

La CNIL considère que "la collecte obligatoire et systématique, deux à quatre fois par jour, de la photographie de l’employé à chacun de ses pointages apparaît excessive". Ces dispositifs posent question au regard du respect du Règlement général sur la protection des données (RGPD). La RGPD limite la collecte de données au strict nécessaire de la finalité recherchée.

Les organismes mis en demeure, qui ne sont pas nommés, ont trois mois pour modifier leurs dispositifs s’ils ne veulent pas s’exposer à une sanction pécuniaire.

Selon la CNIL, quand il s'agit de prévenir et d'empêcher la fraude sur le pointage des salariés, le renforcement du rôle du personnel encadrant devrait être privilégié par rapport à des dispositifs fonctionnant sur des technologies intrusives.

Les limites de la vidéo-verbalisation des plaques d'immatriculation

La CNIL rappelle qu’en l’état actuel de la réglementation (arrêté du 14 avril 2009), il est interdit pour les communes de recourir à des dispositifs de verbalisation automatisée reposant sur la photographie du véhicule et de sa plaque d’immatriculation pour la recherche et la constatation d’infractions.

Le recours à des dispositifs de type LAPI n'est autorisé que dans le cadre du contrôle du forfait de post-stationnement (qui remplace l'amende en cas de stationnement non payé) et non pour la recherche d'infractions.

La CNIL a donc adressé des mises en demeure à l'encontre des communes ne respectant pas ce cadre légal.