Amende de 175.000 € : pourquoi la CNIL ne baisse pas sa garde face aux atteintes disproportionnées à la vie privée des salariés

La Commission Nationale de l’Informatique et des Libertés continue d’exercer une surveillance stricte sur les pratiques des entreprises en matière de contrôle de leurs salariés. Une sanction de 175.000 € vient rappeler que la surveillance excessive des employés, qu’elle passe par la vidéosurveillance ou par des logiciels intrusifs, ne saurait s’exercer sans limites. Cette décision, qui fait écho à d’autres sanctions récentes prononcées par l’autorité, illustre la vigilance constante dont fait preuve la CNIL face aux atteintes disproportionnées à la vie privée des travailleurs.

Points clés

La CNIL maintient une surveillance stricte pour sanctionner les entreprises imposant des dispositifs de contrôle excessifs et disproportionnés à leurs salariés.
Les sanctions récentes visent notamment l’usage de logiciels surveillant les temps d’inactivité et la mise en place d’une vidéosurveillance captant en continu l’image et le son des employés.
Plusieurs entreprises ont été épinglées pour l’absence d’analyse d’impact relative à la protection des données, une étape obligatoire pour les traitements présentant des risques élevés.
Le non-respect du RGPD inclut fréquemment un défaut d’information des salariés et une méconnaissance de leurs droits d’accès et d’effacement de leurs données personnelles.
L’augmentation des plaintes déposées directement par les salariés démontre une vigilance accrue face aux pratiques intrusives dans le milieu professionnel.
Toute mesure de surveillance au travail doit impérativement respecter les principes de nécessité et de proportionnalité pour éviter des amendes pouvant être très lourdes.

Les raisons de la sanction infligée par la CNIL à la filiale

Une entreprise du secteur immobilier a fait l’objet d’une sanction de 40.000 euros prononcée le 19 décembre 2024, une décision qui vient s’ajouter à d’autres condamnations plus lourdes touchant des filiales de grands groupes ayant mis en place des systèmes de contrôle jugés disproportionnés. Dans cette affaire emblématique, la CNIL a examiné avec attention les dispositifs technologiques déployés par l’employeur pour surveiller l’activité de ses équipes. Un logiciel de surveillance comptabilisait systématiquement les temps d’inactivité des employés, générant des données précises sur leur productivité individuelle. Ce type de dispositif pose immédiatement question quant à sa proportionnalité, d’autant que les mesures similaires ont déjà valu des sanctions bien plus sévères par le passé, notamment une amende de 300.000 euros pour non-respect des droits des personnes concernées ou encore une pénalité de 500.000 euros liée à une violation de données de santé. Le montant record de 825 millions d’euros infligé à Uber illustre à quel point la CNIL peut se montrer intransigeante lorsque les manquements sont caractérisés.

Une surveillance disproportionnée des mouvements des salariés

Les investigations menées par la Commission ont révélé que les salariés étaient filmés en permanence pendant leurs heures de travail, un système de vidéosurveillance captant en continu à la fois les images et le son au sein des locaux professionnels. Cette captation ininterrompue ne se limitait pas aux seuls espaces communs ou aux zones sensibles de l’entreprise, mais s’étendait à l’ensemble des postes de travail, y compris pour les salariés exerçant en télétravail. Le contrôle des périodes d’inactivité s’accompagnait de captures d’écrans régulières, un procédé qui transforme le poste de travail en un espace sous surveillance constante. Cette approche va bien au-delà de ce que la réglementation autorise, la proportionnalité étant un principe cardinal du droit applicable en matière de contrôle de l’activité professionnelle.

Le non-respect du RGPD et des droits fondamentaux des employés

Plusieurs manquements ont été relevés par la CNIL lors de son contrôle, à commencer par l’abus caractérisé de la surveillance mise en place, l’absence de toute justification légale pour les données ainsi captées, et un défaut manifeste d’information des salariés concernant ces traitements. Point tout aussi préoccupant, aucune analyse d’impact relative à la protection des données n’avait été réalisée avant le déploiement de ces outils, une étape pourtant obligatoire dès lors qu’un traitement présente des risques élevés pour les droits et libertés des personnes concernées. Le montant de l’amende a été ajusté par la CNIL en fonction de la situation financière et de la taille de l’entreprise concernée, un mécanisme qui permet à la sanction de rester proportionnée tout en conservant un effet dissuasif suffisant.

Les obligations des entreprises en matière de protection des données au travail

Au-delà de ce cas particulier, la CNIL a prononcé 23 nouvelles sanctions depuis janvier 2026, pour un montant cumulé de 133.750 euros, preuve que la surveillance des pratiques des employeurs demeure une priorité constante de l’autorité de contrôle. Sur ces 23 décisions, 19 trouvent leur origine dans des plaintes déposées par des particuliers, ce qui témoigne d’une vigilance croissante des salariés eux-mêmes face aux atteintes potentielles à leurs données personnelles. Ces sanctions touchent des domaines variés allant de la vidéosurveillance aux cookies, en passant par le non-respect des droits d’accès et d’effacement, deux prérogatives fondamentales garanties par le règlement général sur la protection des données.

L’information des salariés sur les traitements de leurs données personnelles

L’obligation d’informer les salariés et le comité social et économique sur les dispositifs de surveillance mis en œuvre constitue un pilier incontournable de la conformité RGPD. Huit des sanctions récentes concernent précisément le non-respect des droits d’accès ou d’effacement, certains organismes n’ayant pas répondu à des demandes d’accès ou ayant tardé de manière significative à y répondre. Or, la coopération avec la CNIL est une obligation légale qui s’impose à tout responsable de traitement, et l’absence d’information constitue en elle-même une infraction pouvant être sanctionnée à hauteur de 1.500 euros par manquement constaté. Les droits des salariés en matière de consentement, d’accès et d’effacement de leurs données doivent être respectés scrupuleusement, sous peine de voir la responsabilité de l’employeur engagée devant l’autorité de contrôle.

Les limites à respecter dans la mise en place de dispositifs de vidéosurveillance

La mise en œuvre d’un système de vidéosurveillance, tout comme celle d’un logiciel de suivi de l’activité, doit répondre à des critères stricts de nécessité et de proportionnalité. Un dispositif ne saurait capter en continu l’image et le son des salariés sans justification légale précise, ni s’étendre à une surveillance permanente de leur productivité individuelle par le biais de captures d’écrans répétées. Les sanctions administratives peuvent atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial, tandis que les sanctions RGPD les plus lourdes grimpent jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial de l’entreprise fautive, des montants qui illustrent le sérieux avec lequel la Commission traite ces dossiers de surveillance des salariés.

Comment éviter les sanctions et assurer la conformité au RGPD

Face à ces risques juridiques et financiers considérables, les entreprises doivent engager sans délai une démarche structurée de mise en conformité. Cette démarche passe généralement par une vingtaine d’étapes clés, allant du recensement des traitements existants jusqu’à la nomination d’un délégué à la protection des données. D’autres sanctions viennent rappeler la diversité des risques encourus, comme cette entreprise condamnée à 500.000 euros pour démarchage téléphonique illégal ou cette autre pénalisée à 400.000 euros pour sécurité insuffisante des données, sans oublier les sanctions pénales pouvant atteindre 5 ans d’emprisonnement et 300.000 euros d’amende en cas de détournement caractérisé de données personnelles.

La mise en conformité des pratiques de surveillance avec le code civil

Le respect du droit à la vie privée, consacré par le code civil, impose aux employeurs de repenser en profondeur leurs dispositifs de contrôle. Toute mesure de surveillance doit reposer sur une base légale solide, être proportionnée à l’objectif poursuivi et faire l’objet d’une information claire auprès des personnes concernées. La procédure simplifiée, qui permet à la CNIL de sanctionner plus rapidement les manquements les moins graves avec des amendes ne pouvant dépasser 20.000 euros, démontre que même les infractions apparemment mineures font l’objet d’un traitement rigoureux. Plus de 750 entreprises ont ainsi été accompagnées en France et à l’international dans leurs démarches de mise en conformité, un chiffre qui témoigne de l’ampleur des enjeux liés à la protection des données personnelles au sein du monde professionnel.

Les bonnes pratiques pour concilier sécurité et respect de la vie privée

Concilier impératifs de sécurité et respect de la vie privée des salariés suppose de privilégier des solutions mesurées et transparentes. Il convient notamment de limiter la vidéosurveillance aux zones réellement sensibles, d’éviter tout logiciel de contrôle permanent de l’activité, et de solliciter systématiquement l’avis du CSE avant tout déploiement de nouveaux outils. Le recours à un délégué à la protection des données, choisi selon des critères précis, permet également d’anticiper les risques et d’assurer un suivi rigoureux des mesures de sécurité mises en place. Pour toute question relative à la mise en conformité RGPD, il est possible de contacter des cabinets spécialisés, joignables notamment au 01 77 62 82 03 ou par courriel à l’adresse [email protected], afin d’obtenir un accompagnement adapté à la situation spécifique de chaque structure.