Surveillance des salariés : la CNIL durcit le ton en 2025
En 2025, la CNIL renforce sa vigilance à l'égard des pratiques de surveillance en entreprise. Avec dix sanctions prononcées dans le cadre de sa procédure simplifiée, l’autorité de protection des données personnelles adresse un signal fort aux employeurs : la surveillance excessive ou mal encadrée des salariés n'est plus tolérée.
Vidéosurveillance, géolocalisation : des pratiques jugées trop intrusives
Parmi les principales infractions relevées, la CNIL pointe du doigt des dispositifs de vidéosurveillance omniprésents et des systèmes de géolocalisation activés 24h/24, y compris en dehors des horaires de travail. Ces pratiques contreviennent au principe de minimisation des données, au cœur du Règlement Général sur la Protection des Données (RGPD).
Seules les données strictement nécessaires à une finalité légitime doivent être collectées et traitées.
Des entreprises ont été sanctionnées pour avoir filmé en continu leurs salariés sans justification valable, ou pour avoir géolocalisé leurs véhicules professionnels de manière permanente, créant ainsi une atteinte manifeste à la vie privée des collaborateurs.
Des failles de sécurité dans les dispositifs de surveillance
Au-delà de la collecte abusive, la CNIL dénonce aussi des défaillances graves dans la sécurisation des données. Dans plusieurs cas, des images captées par des caméras étaient accessibles à des personnes non habilitées, via des mots de passe faibles ou partagés. Un manque de sécurité informatique contraire aux exigences du RGPD, qui impose des mesures techniques et organisationnelles adaptées au niveau de risque.
L’accès non contrôlé aux flux vidéo internes représente un risque majeur pour la confidentialité et l’éthique au sein de l’entreprise.
Information des salariés : une obligation souvent ignorée
Autre point critique souligné par la CNIL : le manque d’information des salariés sur l’existence et les finalités des dispositifs de surveillance. Dans plusieurs cas, les employés ont découvert ces outils à la suite d’un conflit ou d’une sanction disciplinaire.
L’article 13 du RGPD impose une information claire, complète et accessible dès la mise en œuvre de tout traitement de données personnelles.
Certaines entreprises n’ont pas non plus coopéré lors des enquêtes, aggravant ainsi les sanctions prononcées.
Manquements en cas de violation de données : un exemple sévèrement sanctionné
La CNIL a également sanctionné un site de rencontres pour sa gestion défaillante d’une fuite de données personnelles. Malgré les risques pour les utilisateurs, la plateforme n’a ni notifié la violation à l’autorité, ni informé les personnes concernées, en infraction avec les articles 33 et 34 du RGPD.
En cas de données sensibles, la transparence et la réactivité sont essentielles pour limiter les risques de harcèlement, d’usurpation d’identité ou de discrimination.
La CNIL envoie un message clair aux entreprises
Avec un total de 104 000 € d’amendes infligées depuis janvier 2025, la CNIL démontre une volonté de régulation rapide et efficace, notamment grâce à sa procédure simplifiée. Si le montant peut sembler modeste, il rappelle que toutes les entreprises sont concernées, et en particulier les PME, souvent en défaut sur ces sujets.
Conclusion : Respecter le RGPD, un enjeu légal et humain
Au-delà de la conformité réglementaire, le message de la CNIL est sans équivoque : la protection des données personnelles en entreprise n’est pas une option. C’est un pilier essentiel pour préserver la vie privée, la dignité et la confiance des salariés.