La CNIL ne baisse pas sa garde, et punit une filiale d’un grand groupe de 175.000 €, pour atteinte disproportionnée à la vie privée : comment les entreprises peuvent-elles se conformer ?

La Commission Nationale de l'Informatique et des Libertés continue d'exercer une vigilance constante sur les pratiques des entreprises françaises en matière de protection des données personnelles. Le 19 décembre 2024, une société du secteur immobilier a fait les frais de cette surveillance accrue, se voyant infliger une amende de 175.000 euros pour des manquements graves dans la gestion des dispositifs de contrôle de ses salariés. Cette décision rappelle avec force que la vie privée des employés demeure une priorité absolue pour le régulateur, même dans un contexte où les outils numériques de gestion du personnel se multiplient.

Sanction de 175.000 euros : les raisons de la condamnation par la CNIL

La CNIL veille à la protection des données personnelles depuis plus de 40 ans et n'a jamais autant intensifié ses contrôles qu'aujourd'hui. En 2025, l'institution prévoit d'ailleurs 323 contrôles répartis entre inspections sur place, vérifications en ligne et auditions, témoignant d'une approche particulièrement rigoureuse. Dans cette affaire précise, la société immobilière avait mis en place un logiciel de suivi permettant de capturer régulièrement les écrans des ordinateurs de ses salariés, associé à un système de vidéosurveillance captant en continu images et son. Ces dispositifs, bien qu'à première vue destinés à améliorer la productivité, se sont révélés disproportionnés au regard des droits fondamentaux des employés.

Les manquements identifiés dans la surveillance des salariés

Le logiciel installé mesurait le temps d'inactivité des salariés avec une précision troublante, détectant des pauses allant de 3 à 15 minutes. Cette surveillance excessive permettait potentiellement de capter des données personnelles et privées sans lien direct avec l'activité professionnelle. La CNIL a également reproché à l'entreprise un manquement à son obligation d'information des salariés concernant l'existence même de cette surveillance, ainsi qu'un défaut dans la sécurisation des données collectées. Ces éléments cumulés ont conduit à une sanction jugée proportionnée compte tenu de la gravité des manquements et de la taille de la structure concernée.

Le cadre juridique applicable à la vidéosurveillance en entreprise

La mise en œuvre d'un système de vidéosurveillance en milieu professionnel obéit à des règles strictes issues du RGPD. Toute captation d'images et de son doit être justifiée par un motif légitime, proportionné à l'objectif poursuivi. Dans le cas présent, la CNIL a estimé que le dispositif installé n'était pas justifié dans son ampleur, notamment parce qu'il captait en continu des éléments sonores qui n'avaient aucune utilité avérée pour la sécurité de l'établissement. Cette absence de justification constitue précisément le cœur du manquement relevé par les services de contrôle.

Les obligations des entreprises en matière de protection des données personnelles

Le règlement général sur la protection des données s'applique à toutes les entreprises traitant des données personnelles sur le territoire de l'union européenne. Une donnée personnelle se définit comme toute information permettant d'identifier une personne physique, qu'il s'agisse d'un nom, d'une adresse, d'un numéro de téléphone ou d'une adresse email. Les entreprises doivent garantir une transparence totale lors de la collecte de ces données et informer systématiquement les personnes concernées des finalités poursuivies.

Le respect du consentement et des droits des personnes concernées

Le consentement des salariés, lorsqu'il est requis, doit être libre, éclairé, spécifique et univoque avant tout traitement de données personnelles. Par ailleurs, les employés disposent de droits fondamentaux qu'aucune entreprise ne peut ignorer, notamment le droit d'accès à leurs propres données. Ce droit permet à tout salarié de demander communication des informations détenues à son sujet par son employeur, dans le but de vérifier, rectifier ou faire effacer des données inexactes. Cette communication doit être fournie gratuitement, sauf exceptions particulières, après vérification rigoureuse de l'identité du demandeur. Il convient toutefois de noter que ce droit d'accès ne couvre que les données personnelles proprement dites, et non l'ensemble des documents administratifs de l'entreprise.

La question des courriels professionnels illustre parfaitement la complexité de ces situations. Un salarié peut légitimement demander l'accès aux courriels dans lesquels il est mentionné, mais les correspondances strictement personnelles restent protégées par le secret des correspondances. La CNIL recommande d'ailleurs des durées de conservation précises pour ces échanges électroniques, afin d'éviter toute accumulation excessive de données sensibles.

L'analyse d'impact obligatoire pour les dispositifs de surveillance

Un des manquements majeurs relevés dans cette affaire concerne l'absence totale d'analyse d'impact relative à la protection des données. Cette analyse devient obligatoire dès lors qu'un traitement de données présente un risque élevé pour les droits et libertés des personnes concernées, ce qui était manifestement le cas ici compte tenu de l'ampleur de la surveillance mise en place. Cette étape préalable permet d'identifier les risques potentiels et de mettre en œuvre des mesures correctives avant même le déploiement du dispositif, évitant ainsi bien des désagréments juridiques ultérieurs.

Comment éviter les sanctions de la CNIL : actions concrètes pour les employeurs

Les conséquences financières d'un manquement au RGPD peuvent s'avérer particulièrement lourdes pour les entreprises. Les sanctions administratives peuvent atteindre jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel, un montant qui illustre la détermination du régulateur à faire respecter ces obligations. En 2025, la CNIL a d'ailleurs prononcé 83 sanctions pour un montant total avoisinant 486 millions d'euros, sans compter les 143 mises en demeure adressées à diverses organisations. D'autres entreprises ont récemment subi des sanctions comparables, comme celle condamnée à 500.000 euros pour démarchage téléphonique illégal ou celle sanctionnée à hauteur de 400.000 euros pour un manque de sécurité des données.

La formation des équipes sur les réglementations relatives aux données

La prévention passe avant tout par une sensibilisation approfondie des équipes dirigeantes et opérationnelles aux exigences du RGPD. Comprendre les subtilités de la proportionnalité des dispositifs de surveillance, maîtriser les obligations d'information des salariés et connaître les délais de conservation appropriés constituent des compétences indispensables pour tout responsable des ressources humaines ou de la sécurité informatique. Cette formation continue permet d'anticiper les évolutions réglementaires et d'ajuster les pratiques internes en conséquence.

L'accompagnement juridique pour la mise en conformité RGPD

Face à la complexité croissante de ces réglementations, de nombreuses entreprises choisissent de solliciter un accompagnement juridique spécialisé. Des cabinets d'avocats ont ainsi conseillé et défendu plus de 750 entreprises dans leur démarche de mise en conformité, proposant des méthodologies structurées en plusieurs étapes pour sécuriser l'ensemble des traitements de données. Cette expertise permet notamment de désigner un délégué à la protection des données pertinent, de réaliser les analyses d'impact nécessaires et de rédiger une documentation conforme aux exigences légales. Les organismes sanctionnés disposent par ailleurs d'un délai de deux mois pour former un recours devant le Conseil d'État, une option qui nécessite également une expertise juridique pointue pour être exercée efficacement.