A l’occasion d’un contrôle effectué dans une société de télésurveillance d’ascenseur et de parking, la Cnil a notamment constaté qu’un dispositif de pointage biométrique aux fins de contrôle des horaires des salariés était mis en œuvre sans son autorisation.
La société a été mise en demeure le 26 juillet 2017 de cesser, sous 3 mois, d’utiliser ce dispositif de reconnaissance d’empreinte digitale pour contrôler les horaires et de supprimer toutes les données collectées par ce dispositif.
Après plusieurs relances, et des réponses contradictoires de l’entreprise, la Cnil effectue un nouveau contrôle en mars 2018 et constate que ce dispositif est toujours installé et que le logiciel a gardé en mémoire toutes les traces de pointage effectuées entre 2011 et 2018. Si, selon la société, les données collectées n’étaient plus utilisées par le service en charge de la paie, il est établi que certains salariés continuaient de l’utiliser et donc que leurs données biométriques étaient enregistrées et conservées. Bien que le boîtier ait été désinstallé quelques mois plus tard, la Commission, dans une délibération du 6 septembre 2018, prononce une sanction pécuniaire d'un montant global de 10 000 € à l’encontre de l’entreprise pour ces manquements (ainsi que d'autres, relatifs à l'information des salariés et à la sécurité des données), qui ont perduré au-delà du délai imparti dans la mise en demeure.
En outre cette décision est rendue publique à titre de sanction.
En effet, rappelle la Cnil, les données biométriques ont la particularité d’être uniques et permettent d’identifier un individu à partir de ses caractéristiques physiques ou biologiques. À ce titre, elles bénéficient d’un régime particulièrement protecteur. L’utilisation de tout dispositif biométrique à des fins de gestion des horaires des salariés est par conséquent exclue, à moins que le responsable du traitement démontre qu’il existe des circonstances exceptionnelles fondées sur un impératif spécifique de sécurité.
En l’espèce, la société ne justifiant d’aucune circonstance exceptionnelle de cette nature, la collecte de données à laquelle elle a procédé était excessive au regard de sa finalité.
Aliya BEN KHALIFA
Pour en savoir plus sur le contrôle et la surveillance des salariés : voir Mémento Social nos 56000 s.
