Actualités

❌ Amende de 40 000 € pour une société immobilière

La CNIL a sanctionné une entreprise pour avoir installé un logiciel de surveillance sur les ordinateurs de ses salariés afin de contrôler leurs horaires de travail et évaluer leurs performances.
📄 Source : SAN 2024-021

⏳ Surveillance abusive des horaires de travail

📌 Détection automatique d’inactivité :
• Le logiciel détectait une inactivité clavier/souris de 3 à 15 minutes
• Ces périodes étaient enregistrées et pouvaient entraîner des retenues sur salaire
• Ces temps d'inaction pouvaient inclure des réunions, appels ou tâches professionnelles hors écran

📊 Surveillance de la performance des employés

📌 Analyse du comportement numérique :
• Le logiciel analysait les sites et applications utilisés, en les classant comme productifs ou non-productifs
• 📸 Des captures d’écran automatiques (screencasts) étaient prises toutes les 3 à 15 minutes selon les paramètres définis

🔐 Manquement à la sécurité des données (article 32 RGPD)

⚠️ Défauts de sécurité :
• Un compte administrateur unique partagé, empêchant la traçabilité des accès et actions
• Risque majeur en cas de fuite ou incident de sécurité

📹 Surveillance excessive des salariés

📌 Système de vidéosurveillance inapproprié :
• Deux caméras filmaient en continu, y compris dans les salles de pause
• 🎤 Enregistrement audio et vidéo 24h/24, dépassant les besoins liés à la sécurité

⚖️ Absence d’analyse d’impact relative à la protection des données (AIPD - article 35 RGPD)

📌 Pas d’AIPD réalisée :
• Le logiciel de surveillance permettait un contrôle systématique, représentant un risque élevé pour les droits et libertés des employés
• L’entreprise aurait dû réaliser une AIPD avant le déploiement

🚨 Principales violations du RGPD :

📌 Article 5.1.c – Minimisation des données
📌 Article 6 – Licéité du traitement
📌 Article 12 – Transparence et droits des personnes
📌 Article 13 – Information des personnes concernées
📌 Article 32 – Sécurité des données

📢 Conclusion

✅ Cette sanction rappelle que la surveillance des employés doit respecter le RGPD et être proportionnée aux objectifs légitimes de l’entreprise.
✅ La cybersurveillance excessive est interdite, et toute entreprise doit assurer la sécurité des données collectées.