La Cnil sanctionne le recours à la biométrie à des fins de contrôle des horaires de travail

PARIS, 12 octobre 2018 – Le 6 septembre 2018, la Cnil a prononcé une sanction de 10 000 € à l’encontre de la société Assistance centre d’appels, spécialisée dans la télésurveillance d’ascenseurs et de parkings, notamment pour avoir mis en œuvre illégalement un système biométrique afin de contrôler les horaires des salariés.

L’utilisation de tout dispositif biométrique à des fins de gestion des horaires des salariés est exclue, à moins de « démontrer qu’il existe des circonstances exceptionnelles fondées sur un impératif spécifique de sécurité ». C’est ce que rappelle la Commission nationale de l’informatique et des libertés (Cnil) dans cette décision. Dans celle-ci, la formation restreinte de commission condamne une société qui avait mis illégalement un système biométrique afin de contrôler les horaires des salariés.

Série de manquements à la loi Informatique et libertés

L’affaire remonte à juin 2015. Saisie d’une plainte relative à la mise en place d’un dispositif de vidéosurveillance dans les locaux de l’entreprise, la Cnil a effectué un contrôle au cours duquel elle a constaté une série de manquements de la société à la loi Informatique et libertés. Parmi eux, la mise en place d’un dispositif biométrique à des fins de contrôle des horaires des salariés, sans autorisation de la Cnil, la présence d’un dispositif d’enregistrement des appels téléphoniques sans information des salariés, ou encore l’absence de verrouillage automatique des sessions sur certains postes de travail.

Le 26 juillet 2017, la présidente de la Cnil a mis en demeure la société de se conformer à la loi Informatique et libertés. Elle lui demande, en autres, de ne « collecter et traiter que des données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs, en particulier cesser d’utiliser le dispositif biométrique de reconnaissance de l’empreinte digitale pour contrôler les horaires des salariés et supprimer toutes les données qui ont été collectées par un tel dispositif ».

En réponse, la société a indiqué dans différents courriers que le dispositif n’était plus opérationnel, que les données enregistrées étaient régulièrement effacées et qu’elle avait bien procédé à l’information des salariés s’agissant de l’enregistrement des appels. La Cnil a procédé à un nouveau contrôle le 29 mars 2018 afin de s’en assurer… et a découvert non seulement que le dispositif était toujours installé et que les traces de pointage par empreinte digitale enregistrées entre le 30 août 2011 et le 28 mars 2018 figuraient encore sur le logiciel, mais aussi que l’information fournie aux personnes concernées était insuffisante, erronée, ou tout simplement absente.

Publicité de la sanction

Suite à ces constats, la formation restreinte de la Cnil a sanctionné la société pour avoir manqué à ses obligations concernant le recueil et le traitement des données à caractère personnel. Une sanction pécuniaire d’un montant de 10 000 € a été prononcée à son encontre, soit 40 000 € de moins que ce que sollicitait le rapporteur à l’issue de son instruction. La Cnil indique avoir tenu compte de la mise en conformité partielle de la société et de sa situation financière.

En revanche, la société ayant persisté à ne pas tenir compte des mises en demeure de la commission, la formation restreinte a suivi les préconisations du rapporteur en rendant publique la décision, qui est non anonymisée durant deux années. C’est une véritable sanction pour la société Assistance centre d’appels qui risque d’être confrontée à des retombées en termes d’image et de réputation. Mais la Cnil explique qu’« en rendant publique sa décision, elle a souhaité rappeler aux employés leurs droits et aux employeurs leurs obligations notamment s’agissant de la biométrie sur les lieux de travail. Elle a également voulu insister sur l’importance de répondre aux mises en demeure de la Cnil et de mettre effectivement en œuvre les mesures requises ».