Dans une sanction, la Cnil rappelle la sensibilité de la biométrie au travail

Dans une sanction, la Cnil rappelle la sensibilité de la biométrie au travail

Au droit et à l'oeil

Avatar de l'auteur
Marc Rees

Publié dans

Droit

21/09/2018 5 minutes
12

Dans une sanction, la Cnil rappelle la sensibilité de la biométrie au travail

Très chatouilleuse sur la question de la biométrie au travail, la Cnil vient de sanctionner une entreprise qui, par relevé d’empreintes digitales, contrôlait les horaires de ses salariés. Son amende de 10 000 euros a été rendue publique, faute pour la société d’avoir répondu à temps à l’ensemble des reproches.

En juin 2015, saisie d’une plainte concernant la mise en place d’un dispositif de vidéosurveillance et vidéoprotection dans ses locaux, la Cnil a ausculté la société Assistance Centre d’Appels, un spécialiste de la télésurveillance d’ascenseurs et de parkings.

À cette occasion, elle a relevé un grand nombre d’indélicatesses avec la loi de 1978, du moins dans sa version antérieure au Règlement général sur la protection des données (RGPD).

En haut de la pile, se trouve un système de pointage biométrique, destiné donc à contrôler les horaires des salariés. Un système qui n’a bénéficié d’aucune autorisation de l’autorité. En outre, elle a remarqué que les appels étaient enregistrés, sans que les salariés n’en soient informés.

De même, le droit d’opposition des interlocuteurs n’était jamais rappelé, pas même l’identité du responsable du traitement. Enfin, la gestion des mots de passe laisse à désirer en raison du très faible nombre de caractères utilisés, notamment.

Une mise en demeure non respectée dans les temps

En juillet 2017, l’entreprise est mise en demeure de corriger ces problèmes. Faute de réponse, un deuxième courrier lui est adressé en octobre. Le 20 octobre, la société assure en particulier que « le dispositif de pointage par code n’était plus opérationnel et que les données enregistrées étaient purgées régulièrement ».

Déduisant que le pointage par reconnaissance biométrique était toujours installé, la commission lui adresse une nouvelle relance en janvier 2018. La société prévient cette fois que les problèmes soulevés sont à conjuguer au passé.

En mars 2018, à l’occasion d’un contrôle sur place, la Cnil retrouve toujours la présence d’un système de pointage biométrique, une sécurité trop faible sur les mots de passe. « En outre, la délégation a constaté qu’étaient enregistrées au sein du logiciel […] , les traces de pointage par empreinte digitale entre le 30 août 2011 et le 28 mars 2018 ». Enfin, les droits des personnes lors des échanges téléphoniques ne sont toujours pas rappelés.

En avril 2018, Assistance Centre d’Appels se fend d’une énième réponse : les mesures demandées sont cette fois mises en œuvre. Témoignant de sa bonne volonté, elle a même désigné un délégué à la protection des données personnelles (DPO) pour l’accompagner dans cette remise sur le droit chemin. Trop tard pour la Cnil, dont la patience à des limites.

Celle-ci a donc lancé une procédure de sanction.

La biométrie sur les horaires de travail une interdiction de principe

S’agissant de l’outil biométrique, la commission a répété qu’un tel mécanisme ne pouvait jamais être mis en place pour contrôler les horaires des salariés, sauf circonstances exceptionnelles et autorisation préalable.

Les données biométriques « ont la particularité d’être uniques et permettent donc d’identifier un individu à partir de ses caractéristiques physiques ou biologiques, insiste-t-elle. À ce titre, elles bénéficient d’un régime particulièrement protecteur ».

Or, dans le cas présent, aucune justification suffisamment solide n’a été apportée. Le traitement est donc excessif et illicite.  

Dans la décision de la Cnil, est également pris en compte un défaut d’information des personnes (paroles enregistrées en douce, pas d’information sur les droits). La société a eu beau de se défausser sur son prestataire, l’autorité lui a redit qu’elle était seule responsable des traitements. Il lui revenait donc de s’assurer du respect des règles de base.

Une décision de sanction rendue publique

La gestion des mots de passe fait également partie des problèmes épinglés : des postes non verrouillés en cas d’inactivité prolongée, des mots de passe avec un très faible nombre de caractères... Autant de soucis ne permettant pas d’assurer la sécurité des données, quand bien même celles-ci ne font pas parties des données sensibles.

La société a finalement écopé d’une sanction pécuniaire de 10 000 euros, rendue publique en raison de la persistance des manquements dans le temps, au-delà du délai imparti. Une manière de souligner que ne pas répondre à une mise en demeure de la Cnil dans les temps est toujours le pire choix que peut faire un responsable de traitement.

L’entreprise dispose du droit d’attaquer la décision devant les juridictions administratives. Les faits sont antérieurs à la mise en application du RGPD, mais les grands principes étaient identiques, une telle issue n’aurait pas vraiment changé sous ce nouvel empire.

12

Écrit par Marc Rees

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Une mise en demeure non respectée dans les temps

La biométrie sur les horaires de travail une interdiction de principe

Une décision de sanction rendue publique

Le brief de ce matin n'est pas encore là

Partez acheter vos croissants
Et faites chauffer votre bouilloire,
Le brief arrive dans un instant,
Tout frais du matin, gardez espoir.

Commentaires (12)


La sanction pécuniaire est vraiment faible.

Par contre, il a fallut un an pour prononcé un telle sanction… décevant.

Surtout qu’il s’agit de choses assez simples : installer une pointeuse avec badge au lieu et place de la pointeuse biométrique, allonger les mot de passes et verrouiller les pc après un certain temps d’inactivité.

La CNIL a fait son travaille, mais il se passe beaucoup de temps avant d’avoir une si petite sanction.


Elle est sans doute proportionnelle au chiffre d’affaire de l’entreprise.


1 an pas rapide ? Tu n’as jamais eu d’affaire en justice apparemment. C’est plutôt rapide entre la mise en demeure et la délibération.


Les faits vu la date relève du règne de l’ancienne loi donc les sanctions sont celles de l’ancienne loi. Mais effectivement le chiffre d’affaire de la société était d’environ 800 000 euros en 2016. La sanction du RGPD pourrait atteindre je pense 30000 euros, 4% du chiffre d’affaires.


ce qui est d’ailleurs indiqué blanc sur noir (thème sombre INside <img data-src=" />) au 2eme paragraphe <img data-src=" />



ça y va franco sur les trucs reprochés, en tout cas…








micktrs a écrit :



La sanction pécuniaire est vraiment faible.

Par contre, il a fallut un an pour prononcé un telle sanction… décevant.

Surtout qu’il s’agit de choses assez simples : installer une pointeuse avec badge au lieu et place de la pointeuse biométrique, allonger les mot de passes et verrouiller les pc après un certain temps d’inactivité.

La CNIL a fait son travaille, mais il se passe beaucoup de temps avant d’avoir une si petite sanction.





Il faut aussi voir le gain qu’un salarié lésé pourrait gagner à aller aux prud’hommes avec une invalidation de tout le système de pointage et de sécurité fourni par la CNIL.



Mais je suis d’accord que la sanction est ridicule, c’est même pas le coût de la mise en place de la nouvelle pointeuse entre le matériel, l’installation et la maintenance…









Ramaloke a écrit :



Il faut aussi voir le gain qu’un salarié lésé pourrait gagner à aller aux prud’hommes avec une invalidation de tout le système de pointage et de sécurité fourni par la CNIL.





à voir si c’est considéré comme du harcèlement ou une atteinte aux droits fondamentaux (facteurs qui font sauter les plafonds)

Dans le cas contraire, c’est maxi 20 mois de salaire (s’il a 29+ ans d’ancienneté et que la boite à strictement plus de 10 salariés) ou 2.5 mois (si c’est une TPE - ce que je ne pense pas dans le cas présent)









Ramaloke a écrit :



Il faut aussi voir le gain qu’un salarié lésé pourrait gagner à aller aux prud’hommes avec une invalidation de tout le système de pointage et de sécurité fourni par la CNIL.



Mais je suis d’accord que la sanction est ridicule, c’est même pas le coût de la mise en place de la nouvelle pointeuse entre le matériel, l’installation et la maintenance…





Les prud’hommes ne servent plus à rien, ils ont été totalement vidés de leur sens même en cas de licenciement abusif.



J’ai pas compris l’intérêt du pointage par relevé d’empreintes digitales…c’est sans doute plus compliqué à mettre en place que de simples badges, non?&nbsp;



Et en plus c’est illégal <img data-src=" />







&nbsp;


C’est plus compliqué de faire badger un collègue à ta place, j’imagine.


J’ai bossé dans une boite qui avait mis un dispositif similaire pour entrer dans les bureaux (pas d’empreinte digitale, mais la “forme” des doigts et la pression exercée sur des capteurs). Quand on a déménagé, le bouzin nous a suivi. Je n’ai jamais réussi à savoir si cela ne servait que pour déverouiller l’accès, ou si on était fliqué. C’était en 2009 2010, à l’époque ces questions étaient moins prégnantes…








Ramaloke a écrit :



Il faut aussi voir le gain qu’un salarié lésé pourrait gagner à aller aux prud’hommes avec une invalidation de tout le système de pointage et de sécurité fourni par la CNIL.







Depuis que Macron a décidé de tuer les Prud’hommes, il n’y a plus aucun intérêt d’y intenter une action.

En plus, ça relève plus du pénal je pense. <img data-src=" />