Délibérations de la CNIL : sur le dispositif « LAPI », sur la vidéosurveillance des salariés et sur la géolocalisation des clients

Délibération du 22 mai 2014

Une commune a déposé devant la CNIL une demande d’autorisation de mise en place d’un dispositif de lecture automatisée de plaques d’immatriculation (« LAPI »).

Dans une délibération du 22 mai 2014, la CNIL détaille le dispositif, constitué de caméras vidéo, fixes ou mobiles, capables de capter, lire et enregistrer les plaques d’immatriculation des véhicules passant dans leur champ de vision. La LAPI permet aux forces de l’ordre de collecter automatiquement des données signalétiques et la photographie des véhicules, puis de les recouper avec le fichier des véhicules volés ou le système d’information Shengen (SIS), pour lutter contre les infractions particulièrement graves ou préserver temporairement l’ordre public (articles L. 233-1 et L. 233-2 du Code de la Sécurité Routière). La CNIL en déduit que de pareilles dispositions en limitent la mise ne place aux seuls services de police nationale, de gendarmerie nationale et des douanes. Le cadre juridique actuel ne permet donc pas aux polices municipales de recourir à ce dispositif.

Délibération du 17 juillet 2014

La CNIL a été saisie par l’Inspection du Travail de Rhônes-Alpes, concernant les conditions de mise en œuvre des dispositifs de vidéosurveillance d’une société. Après des contrôles effectués dans les locaux de la société, la CNIL a constaté de nombreux manquements à la loi « Informatique et Libertés » du 6 janvier 1978, avant de lui adresser une mise en demeure. En réponse, la société a indiqué avoir corrigé certaines défaillances. Cependant, les contrôles réalisés sur place ont révélé la persistance de manquements relatifs à la proportionnalité des dispositifs de vidéosurveillance.

Dans une délibération du 17 juillet 2014, la formation restreinte de la CNIL a examiné la légalité de la vidéosurveillance eu égard aux impératifs de sécurité des biens et des personnes avancés par la société, qui filmait en continu certaines zones réservées aux salariés (vestiaires, locaux de repos du personnel). La CNIL a retenu que l’atteinte à la vie privée des salariés concernés ne pouvait être justifiée de manière légitime, et que l’information sur ces dispositifs et les mesures de sécurité garantissant la confidentialité des données issues des traitements déployés étaient insuffisantes.

La CNIL a donc prononcé une sanction pécuniaire de 5.000 € à l’encontre de la société, et décidé de rendre publique la délibération, compte tenu de l’absence de mise en conformité par la société, malgré un accompagnement constant par ses soins.

Délibération du 22 juillet 2014

La CNIL a reçu la plainte d’un client de la société Loc Car Dream relative à la mise en oeuvre d’un processus de géolocalisation au sein de véhicules de luxe en location, au motif du caractère excessif des données recueillies et traitées par ce dispositif, mis en place sans déclaration ni information préalable.

La CNIL a donc adressé successivement trois correspondances à la société, afin de lui rappeler ses obligations. En vain, aucune réponse n’ayant été fournie par la société. En conséquence, un contrôle a été opéré dans les locaux de la société, qui a précédé une mise en demeure de la CNIL lui enjoignant de procéder aux formalités préalables pour les traitements relatifs à la géolocalisation et à la gestion des clients, et de limiter la collecte des données de géolocalisation aux situations de non restitution et des vols, d’informer les clients de la mise en oeuvre des deux traitements précités, et de définir une politique sécurisée de gestion des mots de passe. Sans réponse de la société, aux termes d’une délibération du 22 juillet 2014, la CNIL a prononcé une sanction pécuniaire de 5.000 € pour avoir mis en œuvre un système de géolocalisation non conforme à la loi « Informatique et Libertés » du 6 janvier 1978.