La vidéosurveillance sous contrôle

La mise en place d'une vidéosurveillance dans l'entreprise suppose que le dispositif soit proportionné au but recherché, que les salariés soient au préalable et individuellement informés, que les données collectées soient sécurisées. Si l'employeur considère avoir rempli ces obligations, il doit être en mesure de le prouver aux instances qui lui demanderont.
Les employeurs disposent aujourd'hui d'une panoplie d'outils discrets et performants pour contrôler l'activité des salariés dans l'entreprise. Tous ces outils offrent à l'employeur des possibilités de conserver de multiples traces des agissements du salarié, dont ils peuvent se servir par la suite pour brimer et licencier.

Pour contrer ces risques de malveillance, l'employeur doit déclarer le dispositif de surveillance à la Commission nationale de l'informatique et des libertés (Cnil). Cette dernière, tout comme les juridictions judiciaires fixent les limites à l'utilisation par l'employeur des dispositifs de surveillance. Si l'employeur ne respecte pas ces obligations, il ne peut se prévaloir des informations recueillies.
Un système consistant à mettre sous vidéosurveillance des salariés est un exemple de dispositif très règlementé comme en atteste cette nouvelle décision que nous commentons ici (Cons. État. 18 nov. ; 2 015, n° 371196, Sté PS Consulting).

Contexte et rappel des faits
Dans cette affaire, les faits sont les suivants : un employeur décide de mettre en place un dispositif de vidéosurveillance dans son entreprise. Un salarié porte alors plainte auprès de la Cnil en estimant que les salariés n'avaient pas été préalablement informés de sa mise en place et que ce dispositif était abusif et disproportionné au regard du but recherché par l'entreprise. Par ailleurs, la Cnil estime que la facilité avec laquelle les vidéos étaient accessibles constitue un manquement de la société aux mesures de sécurité qui lui incombent.
Après enquête, les faits sont avérés et la Cnil condamne l'employeur au paiement de 10 000 €, car « la volonté de la direction de lutter contre des vols susceptibles d'être perpétrés par ses propres salariés » ne suffit pas à étayer les préoccupations de sécurité alléguées. Insatisfait l'employeur conteste devant le Conseil d'État la décision prise par la Cnil. Le Conseil d'État valide de son côté la sanction à l'encontre de l'employeur. C'est une première.

Craindre des vols ne justifie pas toujours la vidéosurveillance
La Cnil dans ces décisions rappelle souvent les termes de l'article L. 1121-1 du Code du travail « nul ne peut apporter aux droits des personnes et libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionné au but recherché ».
La Cnil doit, lors de son contrôle, vérifier que ce que déclare l'employeur est bien conforme à l'article 6, 3° de la loi 78-17 du 6 janvier 1978 « informatique et libertés » (modifiée par la loi du 26 janvier 2016). La collecte des informations doit être adéquate, pertinente, et non excessive au regard du but recherché.

Dans notre affaire, pas moins de 8 caméras ont été postées dans l'entreprise, lesquelles filment en permanence certains salariés. Pourquoi mettre en place un dispositif de vidéosurveillance de telle ampleur ? C'est la question à laquelle l'employeur devait répondre. Il considérait nécessaire la mise en place du dispositif pour protéger les biens et les personnes d'éventuels vols commis dans les locaux.
Or, le Conseil d'État retoque l'employeur, car ce dernier n'apporte aucune preuve de ce qu'il avance. De ce fait rien ne justifie que des salariés soient en permanence sous vidéosurveillance. D'autant que, comme le constate le Conseil d'État, l'entreprise dispose d'ores et déjà d'une sécurité générale suffisante à l'entrée et à la sortie des salariés.

Obligation d'information des salariés
Au moment de la mise en place des caméras, l'employeur avait procédé à un affichage à l'entrée des locaux permettant d'informer aussi bien les salariés de l'entreprise que les personnes extérieures venant dans l'entreprise.

Or, selon le Conseil d'État, les obligations mises à la charge de l'employeur sont plus strictes. Si affichage il y a, celui-ci doit contenir un certain nombre de mentions obligatoires auxquelles l'employeur n'avait pas pensé dans cette affaire, notamment : l'identité du responsable, la finalité poursuivie par le système de surveillance, les personnes destinataires des vidéos, les droits des salariés ou des personnes visées par les vidéos (Art. 32 de la loi « informatique et libertés »).

Même lorsque l'affichage est conforme, il ne dispense pas l'employeur d'une information préalable et individuelle des salariés (Art. L. 1222-4 du Code du travail) ainsi que des personnes candidates à un poste et venant de l'extérieur (Art.L.1221-9 du Code du travail). L'employeur qui estime avoir rempli ces obligations doit pouvoir en rapporter la preuve, ce qui n'était évidemment pas le cas dans cette affaire.

Et après, comment les vidéos collectées sont-elles conservées ?
Comme nous venons de le voir, la mise en place d'un dispositif de vidéosurveillance est très encadrée. Mais les obligations de l'employeur vont parfois au-delà. Comme le constate la Cnil dans notre affaire, l'accès à l'ordinateur du responsable de la collecte était très peu sécurisé. En effet, il suffisait d'insérer le prénom de ce même responsable pour pouvoir visionner les vidéos.
Or, l'article 34 de la loi « informatique et libertés » impose au responsable de prendre toutes les précautions utiles pour préserver la sécurité des données, pour empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y accèdent.
«