Le 28 novembre 2023, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie d’une plainte d’un salarié
Le salarié dénonçait " un système de vidéosurveillance dissimulé dans des faux détecteurs de fumée au sein des réserves ".
En application de la décision n° 2023-264C de la Présidente de la CNIL du 27 novembre 2023, une délégation de la Commission a procédé à un contrôle sur place le 29 novembre 2023 afin de vérifier le respect, par la société SAMARITAINE SAS, de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés "), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD ") et des articles L. 251 1 et suivants du code de la sécurité intérieure.
Le procès-verbal n° 2023-264/1 dressé à l’issue du contrôle a été notifié à la société le 1er décembre 2023.
Les 8 décembre 2023 et 29 mars 2024, la société a transmis des éléments complémentaires à la délégation de contrôle.
Les 11 et 20 décembre 2023, deux auditions sur convocation ont été réalisées par la délégation de contrôle.
***
La CNIL conclut que ces faits constituent un manquement aux articles 5-1-a et 5-2 combinés du RGPD.
La formation restreinte de la CNIL considère que la société n’apporte aucun élément de nature à justifier le retard pris dans la notification de la violation de données à la CNIL ni dans son inscription au sein d’un registre.
La formation restreinte considère que l’absence de notification de violation de données à la CNIL et de documentation au sein du registre des violation de données de la société constituent un manquement à l’article 33, paragraphe 1 et paragraphe 5, du RGPD.
La formation restreinte considère que l’absence de notification de violation de données à la CNIL et de documentation au sein du registre des violation de données de la société constituent un manquement à l’article 33, paragraphe 1 et paragraphe 5, du RGPD.
Au regard des éléments du dossier, la formation restreinte considère que la société a mis en place un dispositif susceptible de tromper les salariés. Outre le fait que les caméras - captant le son - prenaient l’apparence de détecteurs de fumée, la société n’a pas documenté l’installation du dispositif, réalisée au mois d’août, et n’a pas associé la déléguée à la protection de données à son déploiement, laquelle aurait d’ailleurs sinon, selon ses déclarations, alerté la société sur le fait que le dispositif n’était pas conforme au cadre prévu par le RGPD.
Pour lire l’intégralité de la brève, cliquez sur le lien ci-dessous
Frédéric CHHUM
CHHUM AVOCATS (Paris, Nantes, Lille)
e-mail: chhum@chhum-avocats.com
https://www.instagram.com/fredericchhum/?hl=fr
.Paris: 34 rue Petrelle 75009 Paris tel: 0142560300
.Nantes: 41, Quai de la Fosse 44000 Nantes tel: 0228442644
Pas de contribution, soyez le premier