Si un dispositif biométrique par reconnaissance digitale est, par nature, illégal, sauf circonstances exceptionnelles liées à des impératifs de sécurité, lorsqu'il vise à contrôler les horaires des salariés, la licéité d'un système de vidéosurveillance des salariés, lorsqu'il vise le même objet, est simplement soumis à un contrôle de sa proportion au regard de la finalité poursuivie. C'est ce que décide la CNIL dans sa décision en date du 15 janvier 2014 (décision CNIL n° 2014-001, du 15 janvier 2014
N° Lexbase : X4504AMR ; lire le
communiqué de presse du 3 février 2014).
Au sein d'un centre commercial, avaient été mis en place, d'une part, un dispositif biométrique, par empreinte digitale, officiellement destiné à contrôler les horaires des salariés et, d'autre part, des caméras de vidéosurveillance, installées pour certaines à l'entrée des locaux de la salle de pause, officieusement utilisées pour décompter le temps de travail des salariés. Ces deux dispositifs ont été contrôlés par la CNIL à la suite d'une plainte.
Rappelant que le dispositif biométrique doit faire l'objet d'une autorisation préalable ou d'un engagement de conformité à l'autorisation unique n° 008 (voir délibération CNIL n° 2006-102, du 27 avril 2006
N° Lexbase : X6937ADB), ce dont s'était abstenue l'entreprise en l'espèce, la CNIL décide surtout que la société ne pouvait utiliser le dispositif pour contrôler les horaires des salariés en l'absence de circonstances exceptionnelles relatives à des impératifs de sécurité.
Dans la droite ligne de ses décisions précédentes, la CNIL, s'agissant des caméras de surveillance, a décidé que le dispositif était disproportionné au regard de la finalité poursuivie, "
la volonté d'éviter des interprétations malheureuses et des malentendus", affichée par l'employeur, ne pouvant légitimer sa mise en place. Elle a aussi constaté que le dispositif de vidéosurveillance n'avait, ni fait l'objet d'une déclaration appropriée à la CNIL, ni été portée à la connaissance des salariés concernées.
La CNIL a donc mis en demeure la société de se mettre en conformité avec la loi "
Informatique et libertés" du 6 janvier 1978 (
N° Lexbase : L0722GTW) sous un délai de deux mois, afin de faire cesser les atteintes aux droits de ses salariés, tout en précisant que cette décision ne revêtait pas le caractère d'une sanction. Simple avertissement donc, sous réserve pour l'employeur de se conformer aux exigences de la CNIL dans le délai imparti.
© Reproduction interdite, sauf autorisation écrite préalable
