Les articles 6 et 7, paragraphe 1, sous b) et c), ainsi que directive 95/46, ne s’opposent pas à une réglementation nationale qui impose à l’employeur l’obligation de mettre à la disposition de l’autorité nationale compétente en matière de surveillance des conditions de travail le registre du temps de travail afin d’en permettre la consultation immédiate, pour autant que cette obligation soit nécessaire aux fins de l’exercice par cette autorité de ses missions de surveillance de l’application de la réglementation en matière de conditions de travail, notamment, en ce qui concerne le temps de travail.

La Suède a instauré un système de contrôle du personnel pour les titulaires de postes importants pour la sécurité nationale ou les candidats à de tels postes. Ce système consiste en la collecte d'informations tirées de registres de police. Une ordonnance détaille les conditions de collecte et contient des dispositions explicites et détaillées sur la nature des renseignements pouvant être communiqués (antécédents personnels ou politiques), les autorités destinataires, les circonstances de pareille communication et la procédure que le Conseil national de la police, organe compétent pour décider de la communication desdites informations, doit suivre avant de se décider.

La Cour EDH affirme que la mémorisation et la communication des données relatives à la vie privée, assorties du refus d'accorder au requérant la faculté de les réfuter, portent atteinte à son droit au respect de sa vie privée, garanti par l'article 8 paragraphe 1 de la conv. EDH.

Si la Cour EDH reconnaît que le système mis en place poursuit un but légitime, la protection de la sécurité nationale, elle recherche si cette ingérence est « prévue par la loi » et « nécessaire dans une société démocratique ».

L'expression « prévue par la loi », au sens du paragraphe 2 de l'article 8 (art. 8 - 2), veut d'abord que l'ingérence ait une base en droit interne, mais l'observation de celui‑ci ne suffit pas : la loi en cause doit être accessible à l'intéressé, qui en outre doit pouvoir en prévoir les conséquences pour lui (voir, mutatis mutandis, l'arrêt Malone du 2 août 1984, série A no 82, pp. 31 - 32, par. 66). En l'espèce, il existe des dispositions explicites et détaillées sur la nature des renseignements pouvant être communiqués, les autorités destinataires, les circonstances de pareille communication et la procédure que le Conseil national de la police doit suivre avant de s'y décider. Aussi, l'ingérence litigieuse était donc "prévue par la loi" au sens de l'article 8.

S'agissant du caractère « nécessaire dans une société démocratique », la notion de nécessité implique une ingérence fondée sur un besoin social impérieux, et notamment proportionnée au but légitime recherché. Les autorités nationales jouissent d'une marge d'appréciation dont l'ampleur dépend non seulement de la finalité, mais encore du caractère propre de l'ingérence. En l'occurrence, il échec de mettre en balance l'intérêt de l'État défendeur à protéger sa sécurité nationale avec la gravité de l'atteinte au droit du requérant au respect de sa vie privée.

La Cour admet, la marge dont l'État défendeur disposait pour apprécier en l'espèce le besoin social impérieux, et notamment pour choisir les moyens de sauvegarder la sécurité nationale, revêtait une grande ampleur. Néanmoins, la Cour doit se convaincre de l'existence de garanties adéquates et suffisantes contre les abus car un système de surveillance secrète destiné à protéger la sécurité nationale crée un risque de saper, voire de détruire, la démocratie au motif de la défendre (arrêt Klass et autres du 6 septembre 1978, série A no 28, pp. 23 - 24, paras. 49 - 50). La Cour conclut ainsi que les garanties dont s'entoure le système suédois de contrôle du personnel, par exemple la présence de parlementaires dans le Conseil national et le contrôle du ministre de la Justice, remplissent les exigences du paragraphe 2 de l'article 8. Vu sa grande marge d'appréciation, le gouvernement défendeur était en droit de considérer que les intérêts de la sécurité nationale prévalaient en l'occurrence sur les intérêts individuels du requérant. L'ingérence que M. Leander a subie ne saurait donc passer pour disproportionnée au but légitime poursuivi. La Cour EDH exclut la violation de l'article 8 CEDH.

Dans le cadre de rapports employeur/employé, le fait d'effectuer des recherches sur des personnes portant des données à caractère personnel telles qu'antécédents judiciaires, renseignements bancaires et téléphoniques, véhicules, propriétés, qualité de locataire ou de propriétaire, situation matrimoniale, santé, déplacements à l'étranger est susceptible de constituer un moyen de collecte déloyal dès lors que, issues de la capture et du recoupement d'informations diffusées sur des sites publics tels que sites web, annuaires, forums de discussion, réseaux sociaux, sites de presse régionale, ces données ont fait l'objet d'une utilisation sans rapport avec l'objet de leur mise en ligne et ont été recueillies à l'insu des personnes concernées, ainsi privées du droit d'opposition institué par la loi informatique et libertés.

En effet, le fait que les données à caractère personnel collectées en l'espèce par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte, dès lors qu'une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d'investigation dans leur vie privée, à l'insu de celles-ci, ne pouvait s'effectuer sans qu'elles en soient informées.

Le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée de sorte qu'un motif tiré de la vie personnelle du salarié ne peut justifier, en principe, un licenciement disciplinaire, sauf s'il constitue un manquement de l'intéressé à une obligation découlant de son contrat de travail. Doit être approuvé l'arrêt de la cour d'appel qui retient que employeur ne peut, pour procéder au licenciement d'un salarié, se fonder sur le contenu de messages, qui, même s'ils avaient été envoyés au moyen de la messagerie professionnelle, relèvent de la vie personnelle du salarié dès lors, d'une part, que ces messages s'inscrivaient dans le cadre d'échanges privés, à l'intérieur d'un groupe de personnes, et n'avaient pas vocation à devenir publics, d'autre part, que les opinions exprimées par la salariée n'avaient eu aucune incidence sur l'emploi ou ses relations de travail avec les usagers ou ses collègues et qu'il n'est pas établi qu'ils auraient été connus en dehors du cadre privé.

Il résulte du point (4) de l'introduction du RGPD que le droit à la protection des données à caractère personnel n'est pas un droit absolu et doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité, notamment le droit à un recours effectif et à accéder à un tribunal impartial. Selon l’article 145 du code de procédure civile, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé. Il résulte par ailleurs des articles 6 et 8 de la Convention européenne des droits de l’homme et des libertés fondamentales, l’article 9 du code civil et l’article 9 du code de procédure civile, que le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi. Il faut donc approuver l’arrêt qui ordonne à l’employeur de communiquer à une salariée les bulletins de salaire d’autres salariés occupant des postes de niveau comparable au sien avec occultation des données personnelles à l'exception des noms et prénoms, de la classification conventionnelle et de la rémunération, après avoir relevé que cette communication d’éléments portant atteinte à la vie personnelle d’autres salariés était indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi, soit la défense de l’intérêt légitime de la salariée à l'égalité de traitement entre hommes et femmes en matière d’emploi et de travail.

Aux termes de l'article L. 1121‑1 du Code du travail, nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché.

La cour d’appel a constaté que le salarié, qui exerçait seul son activité en cuisine, était soumis à la surveillance constante de la caméra qui y était installée. Elle en a déduit à bon droit que les enregistrements issus de ce dispositif de surveillance, dispositif, vidéosurveillance, salarié, contrôle des règles d'hygiène et de sécurité, disproportionné au but allégué par l’employeur de sécurité des personnes et des biens, n’étaient pas opposables au salarié et, par ces seuls motifs, légalement justifiait sa décision.

Il résulte des articles 6 de la loi n° 78‑17 du 6 janvier 1978 et L. 1121‑1 du code du travail que l'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, même moins efficace. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être considérés comme excessifs au sens du 3° de l'article 6 de la loi du 6 janvier 1978.

Est disproportionné et peut légalement faire l'objet d'une sanction un dispositif de vidéosurveillance plaçant sous surveillance permanente au moins un salarié. En l’espèce, la circonstance que la société ait voulu lutter contre des vols susceptibles d’être perpétrés par ses propres salariés ne permet pas de considérer que le dispositif était proportionné alors qu’en outre il était installé dans des locaux sécurisés, dont l’entrée ne peut s’effectuer qu’après autorisation et vérification d’identité.

Le fait pour une société de ne pas associer le délégué à la protection des données alors qu’elle s’apprête à déployer un traitement de données à caractère personnel particulièrement intrusif au moyen de caméras dissimulées dans des détecteurs de fumée est susceptible de constituer un manquement à l'article 38‑1 du RGPD.

Dispositif géolocalisant les véhicules professionnels en permanence, afin de lutter contre le vol du véhicule et de sa cargaison, ainsi que pour permettre d'optimiser les tournées de livraison. La CNIL considère de façon constante que l'enregistrement en continu des données de système de géolocalisation d'un véhicule professionnel, sans possibilité pour les salariés de ne pas être géolocalisé en dehors de leurs horaires de travail, porte en principe une atteinte excessive à la liberté d'aller et venir et au droit à la vie privée des salariés. La commission recommande ainsi que les employés puissent avoir la possibilité de désactiver la fonction de géolocalisation des véhicules pendant leurs temps de pause ou à l'issue de leur temps de travail lorsque ces véhicules peuvent être utilisés à des fins privées durant ces périodes. Cette possibilité de désactivation n'empêche pas la société de réactiver le dispositif à distance, comme cela est parfois possible, s'il a pour finalité de lutter contre le vol du véhicule.

Cas d'un système automatisé de gestion d'un très grand nombre de marchandises dans un entrepôt au moyen de scanners permettant de suivre toutes les manipulations des objets et les principales actions des salariés. Les données brutes des scanners sont conservées et permettent l'établissement d'un très grand nombre d'indicateurs individuels de qualité, de productivité et de temps de travail.

1) a) Lorsqu'un service rendu à des clients entraîne des contraintes exceptionnelles, en raison de volumes importants et de courts délais de livraison, un suivi très précis en temps réel de toutes les manipulations des objets dans un entrepôt et de la situation de chaque poste de travail, donc de chaque salarié, peut s'avérer nécessaire. Néanmoins, ce type de suivi entraîne le traitement d'un très grand nombre de données, dont beaucoup de données personnelles en temps réel, chaque fois qu'un colis est manipulé par un salarié dans le cadre de tâches directes. Aussi, si le traitement en temps réel par une société de données brutes et indicateurs pour la bonne gestion de stocks et de commandes ne saurait être remis en cause de façon générale, les indicateurs mobilisés dans ce cadre, sur le fondement de l'intérêt légitime de l'employeur, doivent répondre aux exigences de nécessité et de proportionnalité de l'article 6 du RGPD.

b) i) La collecte de données pour mesurer la rapidité d'exécution des actions d'un salarié lors de la réalisation de certaines tâches, en associant un indicateur d'erreur chaque fois que cette rapidité est inférieure à une certaine durée de l'ordre de la seconde, au motif que cette rapidité est en principe incompatible avec la bonne exécution desdites tâches, est de nature à exercer sur lui une surveillance continue. Ce type d'indicateur est intrusif et peut avoir des répercussions morales négatives sur les salariés. Une telle précision dans la surveillance dépasse les attentes raisonnables des salariés, qui peuvent s'attendre à une certaine surveillance de leur travail, mais pas à ce que leurs actions fassent l'objet d'une évaluation informatique à un rythme de l'ordre de la seconde. Par conséquent, le traitement de cet indicateur excède ce qui est admissible pour servir les intérêts légitimes de l'entreprise en matière de qualité et de sécurité dans ses entrepôts, car il porte atteinte de manière excessive aux droits et intérêts des salariés, notamment à leur vie privée et personnelle, ainsi qu'à leur droit à des conditions de travail respectueuses de leur santé et de leur sécurité. Absence de base légale du traitement.

ii) De façon similaire, la collecte d'un indicateur signalant les temps d'inactivité et de latence de chaque salarié supérieurs à dix minutes à tout moment de la journée présente un caractère intrusif important, car elle contraint en pratique le salarié à pouvoir justifier de tout temps considéré comme non productif. Le traitement de cet indicateur peut avoir des répercussions négatives sur le salarié en raison du suivi continu qu'il permet des temps très courts considérés comme non productifs. Un tel traitement, pour des finalités de gestion d'un entrepôt, d'exécution des commandes et de fourniture de conseils aux salariés, est disproportionné par rapport aux intérêts et droits fondamentaux des salariés, notamment leur droit à la protection de leur vie privée et personnelle ainsi qu'à des conditions de travail respectueuses de leur santé et de leur sécurité. La base légale de l'intérêt légitime ne peut donc être retenue.

iii) Il en va de même de la collecte d'un indicateur signalant les temps d'inactivité et de latence inférieurs à dix minutes de chaque salarié à certains moments de la journée (en particulier avant et après les pauses), laquelle est disproportionnée au regard des finalités de gestion d'un entrepôt, d'exécution des commandes et de fourniture de conseils aux salariés. La base légale de l'intérêt légitime ne peut donc être retenue.

2) La conservation et l'utilisation, pour chaque salarié, de données aussi fines et riches que l'intégralité des données brutes remontées par les scanners, ainsi que l'ensemble des nombreux indicateurs associés mesurant diverses variables, y compris sur de courtes périodes (une heure), sur une profondeur de 31 jours, pour des finalités d'évaluations individuelles régulières des salariés et, s'agissant de la plupart de ces données, pour des finalités d'organisation du travail dans les entrepôts, ne sont ni nécessaires ni proportionnées, notamment dès lors que la société peut atteindre ces finalités sans conserver l'intégralité des données brutes sur 31 jours et en ayant recours à des statistiques individuelles de qualité et de productivité, par exemple hebdomadaires. La conservation et l'utilisation de l'ensemble de ces données méconnaît le principe de minimisation de l'article 5.1.c) du RGPD et, en tout état de cause, porte une atteinte disproportionnée aux droits du salarié contraire à l'article 6 du RGPD.

Si le télétravail ne constitue qu’une modalité d’organisation du travail et que l’employeur conserve, au même titre que lorsque le travail est effectué dans les locaux de la société, le pouvoir d’encadrer et de contrôler l’exécution des tâches confiées à son salarié, la jurisprudence a en revanche rappelé de manière constante que ce pouvoir ne saurait être exercé de manière excessive. L’employeur doit donc toujours justifier que les dispositifs mis en œuvre sont proportionnés à l’objectif poursuivi et ne portent pas une atteinte excessive au respect des droits et libertés des salariés, particulièrement le droit au respect de leur vie privée.

À cet égard, la CNIL considère de manière constante qu’une surveillance automatisée permanente des salariés est excessive, sauf dans des cas exceptionnels dûment justifiés au regard de la nature de la tâche. Il en est de même dans le cadre du télétravail. La Commission considère ainsi que la surveillance constante ou quasi-constante au moyen de dispositifs vidéo, le partage permanent de l’écran ou l’utilisation d’enregistreurs de frappe (ou keyloggers), la surveillance de la fréquence des frappes de clavier et des clics de souris ou la prise de captures d’écran à intervalles réguliers, constituent des procédés particulièrement intrusifs et s’analysent en une surveillance permanente et disproportionnée des activités des salariés, y compris, en ce qu’ils peuvent conduire à la captation d’éléments d’ordre privé (courriels personnels, conversations de messageries instantanées ou de mots de passe confidentiels). Le recours à de tels dispositifs est susceptible de constituer un manquement à l’article 5‑1‑c du RGPD.

Le traitement de données à caractère personnel sur lequel repose un dispositif de Contrôle des horaires de travail, fondé sur l'intérêt légitime, doit respecter le principe de minimisation des données fixé à l'article 5‑1‑c du RGPD. Il ne doit, en outre, pas porter une atteinte disproportionnée à la vie personnelle des salariés, en application de l'article 6‑1‑f du RGPD et de l'article L. 1121‑1 du code du travail.

1) La CNIL estime en principe adéquat le recours à des « badgeuses », qui enregistrent l'identifiant ou le nom rattaché au badge associés au jour et à l'heure de pointage de la personne utilisant le badge. Ces dispositifs prévoient parfois un mécanisme d'authentification des salariés par un numéro d’identification personnel – NIP (ou Personal Identification Number – PIN). De tels systèmes permettent en principe d’assurer un contrôle satisfaisant des horaires de travail des salariés.

2) En revanche, la CNIL estime en principe que le recours à des photographies systématiques au moment de la prise de poste constitue une méconnaissance du principe de minimisation, dès lors que les badgeuses sans photographie suffisent généralement à atteindre les objectifs fixés. Cela est disproportionné, car la lutte contre la fraude peut en principe être détectée par d’autres moyens, notamment par l’action du personnel encadrant qui doit s’assurer du respect des consignes par les salariés. Il n’en va autrement que lorsque la société fait valoir des circonstances particulières justifiant le recours à un contrôle par photographie, telles que des difficultés spécifiques de contrôles des salariés ayant badgé ou des cas de fraude massive.

1) a) La mise en œuvre d’un vidéosurveillance de salariés n’est licite qu’à condition de ne collecter que les données nécessaires à l’objectif poursuivi et de ne pas porter une atteinte disproportionnée aux droits et libertés de ceux‑ci, ainsi que conformément à l’article L. 1121‑1 du Code du travail. Le nombre, l’emplacement, l’orientation, les périodes de fonctionnement des caméras ou la nature des tâches accomplies par les personnes concernées sont autant d’éléments à prendre en compte lors de l’installation du système.

b) Si la surveillance de zones sensibles peut être justifiée par des impératifs de sécurité, le placement sous surveillance permanente d’un salarié attentatoire à leur vie privée ne peut toutefois intervenir que dans des circonstances exceptionnelles tenant, par exemple, à la nature de la tâche à accomplir. Il en est ainsi lorsqu’un employé manipule des objets de grande valeur ou lorsque le responsable de traitement est à même de justifier de vols ou de dégradations commises sur ces zones.

2) En l’espèce, il est manifestement disproportionnée l’utilisation d’un dispositif de vidéosurveillance conduisant à placer des traducteurs assermentés sous une surveillance permanente en vue de protéger des documents traduits. En effet, si la nature des documents peut justifier la mise en place de mesures particulières de protection, il convient d’envisager des procédés alternatifs tels que la sécurisation des accès sur le lieu de travail.

Le placement sous surveillance continue des postes de travail des salariés n'est possible que s'il est justifié par une situation particulière ou un risque particulier auxquels sont exposées les personnes objets de la surveillance. Il appartient au responsable du traitement de justifier ces circonstances et de la proportionnalité du traitement. En l'espèce, l'utilisation de dispositifs de vidéoprotection et vidéosurveillance constitue une réponse adaptée au risque de sécurité qui pèse sur les salariés du groupe dont les établissements ont subi un nombre important de cambriolages. Néanmoins, quand bien même l'objectif de sécurité assigné au dispositif est parfaitement légitime, les seules difficultés liées à l'exigüité des locaux ne peuvent justifier une atteinte disproportionnée à la vie privée des salariés ou leur mise sous surveillance constante.