Les dispositifs de surveillance de l’entreprise
Un logiciel paramétré avait été mis en place sur les ordinateurs des télétravailleurs, qui avait pour but de vérifier le temps de travail en comptant les périodes dites d’« inactivité », c’est-à-dire si le salarié n’utilisait pas son clavier ou sa souris, alors qu’il passait forcément par d’autres formes de travail (réunions, téléphone, lecture d’un document…) et qui pouvait entrainer une retenue salariale. Le logiciel effectuait aussi des captures d’écran régulières (toutes les 3 à 15 minutes selon les salariés). Et il était sensé évaluer la performance et la productivité des salariés en se basant sur l’usage, pendant leur temps de travail, de sites ou de programmes jugés productifs ou non (les sites dits productifs étant déterminés par la société).
D’autre part, ceux qui étaient dans les locaux de l’entreprise étaient filmés, images et son, en continu, dans l’espace qui leur servait au travail comme aux temps de pause, avec consultation en temps réel par les encadrants sur leur portable, la justification étant d’éviter des vols.
Les motifs de la décision de la Cnil
La Cnil appuie ses motifs sur le RGPD (Règlement général sur la protection des données) pour identifier les manquements de l’entreprise.
L’intrusion d’un tel logiciel sur les ordinateurs constitue une atteinte aux droits fondamentaux des salariés et à leur vie privée : la comptabilisation du temps de travail n’était pas fiable, les captures d’écran pouvaient conduire à la captation d’éléments privés. Le tout ne reposant sur aucune base légale (RGPD article 6). La vidéosurveillance permanente, hors circonstances exceptionnelles, porte une atteinte excessive aux droits des salariés et est contraire au principe de la « minimisation des données » c’est-à-dire uniquement celles pertinentes et limitées aux nécessités (article 5.1.c du RGPD).
D’autre part, la Cnil souligne les manquements de l’entreprise aux obligations légales :
- Manquement à l’obligation d’information des salariés concernés par ces dispositifs : aucun écrit n’existait, ce qui ne permettait pas aux salariés d’accéder à l’information (RGPD articles 12 et 13).
- Manquement à l’obligation d’assurer la sécurité des données personnelles, en raison de l’existence uniquement d’un compte administrateur partagé pour accéder aux données du logiciel, avec le même mot de passe pour tous les administrateurs, et non individuel (RGPD article 32), donc sans traçabilité des usages.
- Manquement à l’obligation de faire une « analyse d’impact relative à la protection des données » (AIPD) pour les traitements réalisés par le logiciel de surveillance des postes de travail, en particulier sur le temps de travail, créant ainsi un risque important pour les droits et libertés des salariés (RGPD article 35).
En conclusion
L’entreprise a aussitôt retiré ses dispositifs de surveillance.
Cette décision est importante à connaitre pour veiller aux pratiques de surveillance des entreprises, intervenir quand il y a des dispositifs intrusifs non légaux et disproportionnés et qui au final constituent des atteintes aux droits fondamentaux des salariés.
À suivre de près dans les entreprises…
Sources