Dans une décision récente, la CNIL (Commission Nationale de l’Informatique et des Libertés) a mis en demeure la société Apple Retail France de mettre en conformité leurs dispositifs de vidéosurveillance, dans les magasins Apple, avec la législation française en la matière.
Rappelons que la CNIL est une autorité administrative indépendante qui exerce ses missions conformément à la Loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.
Cette loi constitue le fondement de la protection des données à caractère personnel dans les traitements informatiques et c’est sur cette même loi que la CNIL s’est basée pour rendre sa décision du 14 octobre 2014 à l’encontre d’Apple.
En l’espèce, la Commission relève deux manquements majeurs à la Loi.
1. Le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données.
L’article 6-3° de la loi du 6 janvier 1978 énonce que les données personnelles faisant l’objet d’un traitement doivent être « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ».
La surveillance permanente des salariés est attentatoire à leur vie privée mais cette atteinte peut être justifiée dans des circonstances exceptionnelles (article L.1121-1 du code du travail)
Dans le cas présent, des caméras étaient orientées vers des postes de travail ainsi que vers une partie de la salle de pause mise à disposition des salariés.
Mais dans les faits la CNIL estime que la surveillance est disproportionnée au regard de l’objectif de sécurité des biens et personnes de la société, étant donnée les autres mesures de sécurité déjà déployées.
2. Le manquement à l’obligation d’informer les personnes
L’article 32 de la Loi traite du droit de la personne auprès de laquelle ces données personnelles, la concernant, ont été recueillies d’être informée sur l’identité du responsable, du traitement, la finalité de ce traitement, les destinataires, leurs droits d’accès, de rectification et d’opposition aux données les concernant.
Précisons que l’article 90 du décret du 20 octobre 2005 modifié pris en application de la Loi du 6 janvier 1978 modifiée prévoit que l’information visée à l’article 32 doit être délivrée dans un document écrit.
La CNIL a estimé que dans les faits l’information délivrée aux salariés était lacunaire.
Enfin, soulignons que les articles 121-2, 131-13, 131-41 et R. 625-10 combinés du code pénal prévoient une amende pouvant atteindre 7500 euros comme sanction possible si la personne morale responsable d’un traitement de données personnelles manque à son obligation d’information de l’article 32 de la loi no 78-17 du 6 janvier 1978.
Qu’en est- il au Canada ?
Au niveau fédéral et dans le secteur privé; c’est la loi sur la protection des renseignements personnels et des documents technologiques (LPRPDE) qui s’applique.
Elle a pour objet de fixer des règles régissant la collecte, l’utilisation et la communication de renseignements personnels d’une manière qui tient compte de droits des individus à la vie privée (article 3)
Du côté de la jurisprudence, une des premières décisions à avoir interprété la législation fédérale relative à la protection de la vie privée dans un contexte d’emploi date de 2004, Eastmond v. Canadian Pacific Railway, 2004 FC 852.
Le juge y a élaboré un test, appliqué par les tribunaux québécois, afin de déterminer si la mesure de surveillance est légale :
- La présence de motifs raisonnables (réels et sérieux) ;
- La nécessité de la mesure de surveillance ;
- L’efficacité de la mesure de surveillance choisie ;
- La proportionnalité entre la violation de la vie privée occasionnée par la surveillance et les droits de l’employeur ;
- La possibilité d’utiliser des mesures alternatives moins intrusives à la vie privée de l’employé.
L’objectif de ce test est d’atteindre un juste équilibre entre les droits de l’employé (droit au respect de la vie privée, droit à des conditions de travail justes et raisonnables ) et les droits de l’employeur.
Le tribunal a ainsi considéré que les caméras étaient orientées vers des zones où les employés avaient peu d’attentes en matière de protection de la vie privée.
Nous remarquons que dans les deux législations citées précédemment, l’utilisation de caméras de surveillance sur le lieu de travail est acceptée mais qu’il est souvent question de l’orientation de ces dernières. En effet, même si la protection de la vie privée est au centre des préoccupations, ce droit n’est pas absolu sur le lieu de travail. On considère qu’il existe certaines zones où les employés sont censés avoir moins d’attentes en matière de protection de la vie privée.