Les technologies sont partie intégrante de la vie de l’entreprise. Toute mise en place d’un système lié aux nouvelles technologies et qui influe sur l’activité des salariés doit être soumise aux instances représentatives du personnel.
Les systèmes de caméras de vidéosurveillance des employés – qui filment un lieu fermé au public (lieux de stockage, zones dédiées au personnel, salles de coffres) et permettent l’enregistrement et la conservation des images sur support numérique – n’ont plus à être déclarés à la CNIL depuis le 25 mai 2018, date d’entrée en application du RGPD, ainsi que de l’entrée en vigueur de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles.
Toutes les infos dans notre article.
Obligation de déclaration à la CNIL de la vidéosurveillance par l’employeur
Les données relatives aux salariés sont, au sens de la loi, des données à caractère personnel. Or, avant le 25 mai 2018, tout traitement de données à caractère personnel devait faire l’objet d’une déclaration préalable à la CNIL. Il s’agissait par exemple du traitement de gestion des badges d’accès aux locaux, de la messagerie électronique, le cas échéant, la vidéosurveillance ou encore tout traitement ayant pour finalité le contrôle de l’activité des salariés.
Déclaration à la préfecture
Dans l’hypothèse où la vidéosurveillance enregistre des images portant sur la voie publique, une déclaration auprès de la préfecture doit être faite. Cette mesure est toujours applicable depuis l’entrée en vigueur du RGPD.
Déclaration à la CNIL
Où que soit située la caméra de vidéosurveillance, il convenait, avant le 25 mai 2018, de faire une déclaration à la CNIL.
Attention, le placement des caméras doit être conforme à la législation. À ce titre, concernant la proportionnalité du placement des caméras, il convient de rappeler qu’un système de vidéosurveillance doit permettre à l’employeur de veiller au bon fonctionnement de l’entreprise tout en respectant les droits des personnes qui y travaillent.
L’article L. 1121-1 du Code du travail rappelle que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. »
En conséquence, l’employeur ne peut pas disposer les caméras de surveillance où bon lui semble. Il convient de valider leur emplacement et leur disposition au regard du principe de proportionnalité. Pour ce faire, il est nécessaire de réaliser un audit de conformité des systèmes de vidéosurveillance afin de déterminer s’ils répondent à l’ensemble des exigences requises par la loi Informatique et libertés.
Risques en cas de non-déclaration de la vidéosurveillance à la CNIL
L’entreprise qui collectait des données lors de vidéosurveillance de ses salariés sans l’avoir préalablement déclaré à la CNIL risquait diverses sanctions.
Risque pénal
L’entreprise et son représentant légal étaient alors soumis à un risque de sanction pénale allant jusqu’à 5 ans de prison et 300 000 € d’amende.
Risque financier et en termes d’image
L’entreprise pouvait être condamnée par la CNIL à des amendes allant jusqu’à 150 000 € ou même à la publication (presse, site Internet) des manquements à la loi constatés au sein de l’entreprise.
Risque pour le dirigeant de voir reprocher une mauvaise gestion de l’entreprise
Il convient de préciser que des contrôles de la CNIL sont souvent initiés par une plainte d’un salarié de l’entreprise auprès de la CNIL.
Exemple : une déléguée syndicale avait adressé une plainte à la CNIL pour dénoncer deux caméras. L’une qui filme la badgeuse et l’autre le couloir menant à la salle de pause et au local syndical. La CNIL a contrôlé ce dispositif et a notamment rappelé à l’employeur le principe de proportionnalité. L’employeur a alors rapidement changé l’orientation de la première caméra et supprimé la seconde…
De nouvelles obligations qui remplacent la déclaration CNIL
Le RGPD met fin à l’obligation préalable de déclaration s’agissant de la mise en place de systèmes de vidéosurveillance des salariés. Cependant, les entreprises doivent procéder à la mise en place d’outils internes d’audit en contrepartie de cette suppression.
À la demande de la CNIL, chaque entreprise doit être en mesure de prouver la conformité du traitement des données au RGPD. Pour ce faire, l’entreprise doit :
- collecter des données personnelles strictement nécessaires à l’activité de l’entreprise ;
- obtenir le consentement des salariés de manière claire et simple ;
- tenir à jour un registre des traitements.
Les caméras thermiques dont l’usage est facultatif, qui n’enregistrent aucune données personnelles et qui ne délivrent d’information qu’à l’intéressé peuvent être installées sans tenir compte du règlement général pour la protection des données (CE, ord., 26 juin 2020, req. n° 441065).
Pour aller plus loin :
- Qu’est-ce que la CNIL ? Quelles sont ses missions ? Réponses dans notre article.
- Pour tout savoir sur la vidéosurveillance en entreprise, rendez-vous sur notre page dédiée.
- Notre article vous donne la définition des données personnelles : protection, recours, etc.