Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2016 - n°410 - 64

doctrine

Vidéosurveillance

Un cadre strict à respecter
Par une décision du 18 novembre 2015, le Conseil
d'Etat a confirmé les sanctions prononcées par la
Cnil concernant la mise en œuvre d'un dispositif de
vidéosurveillance non proportionné aux finalités
poursuivies, ne respectant pas les obligations
d'information des personnes et de sécurité des
données.

L

a préoccupation légitime
de
protéger
l'entreprise
contre des actes malveillants
amène de plus en plus d'employeurs à s'équiper en dispositifs de
vidéosurveillance.
Sur le plan juridique, cette pratique
doit être rigoureusement encadrée
afin d'éviter une condamnation de
la Cnil qui, comme ici, se traduit par
une sanction pécuniaire, mais aussi et
surtout par une publicité préjudiciable
à l'image de l'entreprise. La société PS Consulting en a fait les frais, à
l'issue d'une procédure initiée par la
Cnil (1). En confirmant les sanctions
prononcées par la Commission à l'encontre de l'entreprise, le Conseil d'Etat
apporte des éclairages utiles et - pour
certains - inédits, tant sur la régularité
de la procédure préalable se déroulant devant l'autorité de contrôle que
sur le fond (2).
Les faits à l'origine de cette décision
étaient classiques : PS Consulting
(organisme de formation), avait mis
en place un dispositif de vidéosurveillance composé de 8 caméras
filmant des bureaux et des salles
de réunion de l'entreprise. Saisie le
15 décembre 2010 d'une plainte par un
salarié de l'entreprise, la Commission
nationale de l'Informatique et des
libertés (Cnil), après avoir rappelé à
cette dernière ses obligations découlant de la loi n° 78-17 du 6 janvier 1978,
a diligenté un premier contrôle sur
place le 2 février 2012, qui révélait :

64

■ d'une part, que le dispositif de
vidéosurveillance aboutissait à une
mise sous surveillance constante
de certains salariés, sans information individuelle et préalable de ces
derniers ;
■ d'autre part, que l'entreprise
n'avait pas mis en œuvre une
politique de sécurité, notamment
en n'ayant pas imposé des mots de
passe robustes et régulièrement
renouvelés, et ce pour l'ensemble de
son système d'informations.
Suite à une mise en demeure, adressée le 13 avril 2012 par la présidente
de la Cnil, suivie de nouvelles opérations de contrôle effectuées ultérieurement ayant relevé la persistance des
manquements, la formation restreinte
de la Commission convoquait l'entreprise à une séance contradictoire
à laquelle cette dernière ne s'est pas
présentée, ni n'a produit d'observations écrites. Par délibération n°2013139 du 30 mai 2013 (rendue publique),
l'entreprise a été condamnée à une
sanction pécuniaire de 10 000 euros.
Ayant saisi le Conseil d'Etat, PS
Consulting soutenait deux séries
d'arguments à l'encontre de la décision rendue par la Cnil : sa régularité et son bien-fondé. Dans sa décision rendue le 18 novembre 2015,
le Conseil d'Etat rejette l'ensemble
des arguments et demandes de PS
Consulting. Les motifs adoptés par les
hauts magistrats, dans cette décision,

EXPERTISES FÉVRIER 2016

apportent un enseignement précieux
sur les principes que les entreprises
doivent respecter pour s'assurer de
la régularité de leurs dispositifs de
vidéosurveillance.

DES PRECISIONS UTILES
SUR LA REGULARITE
DE LA PROCEDURE
DEVANT LA CNIL
L'habilitation des agents
chargés des contrôles sur
place vaut pour un nombre
illimité de contrôles
En application des articles 11, f) et 44
de la loi de 1978, la Cnil avait habilité
les agents affectés à cette affaire - par
voie de délibération - à effectuer l'opération de contrôle sur place menée le
13 avril 2012. Pour les deux opérations
subséquentes de contrôle (réalisées
en octobre et décembre 2012), aucune
délibération complémentaire n'avait
renouvelé les pouvoirs donnés aux
agents concernés. C'est ce que critiquait PS Consulting en soutenant que
les agents auraient alors « irrégulièrement procédé aux contrôles sur place
des 15 octobre et 11 décembre 2012 ».
Le Conseil d'État rejette cet argument,
considérant que les dispositions de la
loi de 1978 permettent à la Cnil d'habiliter ses agents « sans que le nombre
des opérations de contrôle soit limité ». C'est une précision intéressante
et inédite.
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2016 - n°410
