Quelques enseignements de la CNIL

NYPD ? LAPD ? Non ! RGPD !

Toute personne ayant voulu accéder à un site internet connait le RGPD. Au-delà de la règlementation des cookies, le fameux règlement européen a pris une place importante dans les relations de travail, très friandes de données personnelles et de dispositifs de contrôle. Toute surveillance automatisée doit ainsi respecter ses préceptes sous peine de s’exposer au courroux de la CNIL.

La collecte et le traitement d’une donnée personnelle, quelle qu’elle soit, nécessitent un motif. Le règlement liste à ce titre plusieurs situations permettant de recourir au traitement de données, par exemple si ces données sont nécessaires à l’exécution d’un contrat, en cas d’exécution d’une mission d’intérêt public, ou si le collecteur justifie d’un intérêt légitime. Les données ne peuvent être collectées qu’en vue de l’accomplissement de cette finalité.

Pour ceux qui ignorent l’activité de la société tancée par la CNIL, l’affaire en question concerne le secteur de la logistique. L’entrepôt objet du contrôle était équipé d’un très élaboré système de suivi du personnel, les salariés étant pourvus de scanners permettant de suivre en temps réel leur activité. Ces outils, outre transmettre des instructions, permettaient de scanner chaque article récupéré et rangé par les employés, dans les rayons ou sur les voies d’expédition.

La société défendait ce système par des nécessités de traçabilité de le marchandise, ainsi que d’optimisation du fonctionnement de planification, et de suivi du temps de travail. En réalité, comme la CNIL l’a relevé, pas moins de 43 indicateurs étaient mesurés pour vérifier la qualité du travail des salariés.

Selon la CNIL, la mise en œuvre d’un tel système de surveillance ne peut être fondé que si l’employeur justifie d’un intérêt légitime.

L’intérêt légitime suppose que le collecteur de donnée justifie d’une nécessité de collecter des données. Dans le cas d’une entreprise, l’optimisation de son fonctionnement, le suivi de la chaine de production, et même la sécurité du personnel, peuvent permettre de mettre en place un système de surveillance. Cependant, l’article 6 du RGPD le précise, lorsqu'il est fondé sur l'intérêt légitime, un tel mécanisme ne doit pas porter atteinte aux droits fondamentaux des salariés.

Ce qu’il ne faut pas faire

La CNIL, en synthétisant à l’extrême, va vérifier dans un premier temps le motif de recours au traitement des données personnelles. S’il est fondé sur l’intérêt légitime du collecteur, elle va dans un second temps contrôler si ce traitement ne porte pas atteinte aux droits fondamentaux des personnes dont les données sont collectées et traitées.

Dans le cadre de l’affaire AMAZON, la société ne se contentait pas de recueillir des données relatives au cheminement des marchandises. Plusieurs systèmes d’alertes avaient été mis en place, notamment si des interruptions d’activités de plus de dix minutes intervenaient au début, à la fin d’une journée de travail ou à proximité d’une pause (appelés aussi "moments critiques de la journée". En outre, le système permettait de suivre la vitesse de succession des tâches accomplies par chaque salarié. Un indicateur signalait ainsi tout laps de temps inférieur à 1,25 secondes entre deux articles déposés, un temps inférieur faisant apparaitre les salariés en erreur, un mauvais rangement étant présumé.

La CNIL procède ainsi à un contrôle de proportionnalité : les moyens de surveillance mis en place sont-ils nécessaires au regard des finalités poursuivies par la société, et ne sont-ils pas excessifs au regard des droits et libertés des salariés. En l’occurrence, la CNIL vérifie l’atteinte qu’ils portent au droit à la vie privée des employés de l’entrepôt et à leur droit à la sécurité.

Elle juge dans sa décision que ces moyens de surveillance sont excessifs, le temps de travail pouvant être suivi par un simple système de pointage. De plus, les données recueillies dépassent largement ce qui est nécessaire pour un suivi efficace du travail et du fonctionnement de l’entrepôt.

Très clairement, vérifier si les salariés étaient actifs à l’approche de la fin de journée ou d’une pause, ou s’assurer qu’ils mettaient plus ou moins d’une seconde vingt-cinq à passer à la tâche suivante, porte atteinte à leur santé au regard de la pression qu’une telle surveillance permanente fait peser sur eux. La société ne se contente pas de contrôler leur activité, elle s’assure qu’ils consacrent bien chaque seconde (littéralement) de leur temps de travail effectif à travailler, et qu'ils le fassent bien. Le caractère permanent de la surveillance constitue ainsi un excès et une intrusion dans leur vie privée, qui existe également sur le lieu de travail. On a le droit de rêvasser, même quand un acheteur attend ses derniers écouteurs avant la fin de journée…

Pour ceux qui n’ont pas 32 millions d’euros sous la main

Pour les investisseurs venant d’un pays où l’on peut être condamné à des millions de dollars de dommages et intérêts lorsqu’un de vos clients se brûle avec le café que vous lui avez servi, la France semble être un paradis judiciaire. Ici, un mort sur un chantier n’est puni que par une amende dont le montant est à peine moins élevé qu’une voiture neuve. De quoi faire rêver.

Forcément, le montant des condamnations prononcés par la CNIL impressionne. C’est que la CNIL est une Autorité Administrative Indépendante, dont les amendes sont calculées en tenant compte tant de l’importance de la violation commise que du chiffre d’affaires réalisés par le coupable. Cette décision fait l’objet d’un recours devant le Conseil d’Etat, il est donc un peu tôt pour dire le montant final de l’addition pour Amazon.

Un enseignement élémentaire peut être tiré de la décision : ne collecter que ce qui est strictement nécessaire pour assurer le bon fonctionnement de l’entreprise. La surveillance et le suivi ne doivent pas se transformer en flicage !

Que les élus de CSE ayant des sueurs froides en demandant à leurs collègues un certificat de scolarité pour leur donner le bon d’achat de la rentrée, qu’ils se rassurent. Tant que les demandes sont mesurées et justifiées, le budget du CSE n’est pas encore mis en danger par un contrôle de la CNIL.