Le salarié dénonçait " un système de vidéosurveillance dissimulé dans des faux détecteurs de fumée au sein des réserves ".
En application de la décision n° 2023-264C de la Présidente de la CNIL du 27 novembre 2023, une délégation de la Commission a procédé à un contrôle sur place le 29 novembre 2023 afin de vérifier le respect, par la société SAMARITAINE SAS, de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés "), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD ") et des articles L. 251 1 et suivants du code de la sécurité intérieure.
Le procès-verbal n° 2023-264/1 dressé à l’issue du contrôle a été notifié à la société le 1er décembre 2023.
Les 8 décembre 2023 et 29 mars 2024, la société a transmis des éléments complémentaires à la délégation de contrôle.
Les 11 et 20 décembre 2023, deux auditions sur convocation ont été réalisées par la délégation de contrôle.
***
La CNIL conclut que ces faits constituent un manquement aux articles 5-1-a et 5-2 combinés du RGPD.
La formation restreinte de la CNIL considère que la société n’apporte aucun élément de nature à justifier le retard pris dans la notification de la violation de données à la CNIL ni dans son inscription au sein d’un registre.
La formation restreinte considère que l’absence de notification de violation de données à la CNIL et de documentation au sein du registre des violation de données de la société constituent un manquement à l’article 33, paragraphe 1 et paragraphe 5, du RGPD.
La formation restreinte considère que l’absence de notification de violation de données à la CNIL et de documentation au sein du registre des violation de données de la société constituent un manquement à l’article 33, paragraphe 1 et paragraphe 5, du RGPD.
Au regard des éléments du dossier, la formation restreinte considère que la société a mis en place un dispositif susceptible de tromper les salariés. Outre le fait que les caméras - captant le son - prenaient l’apparence de détecteurs de fumée, la société n’a pas documenté l’installation du dispositif, réalisée au mois d’août, et n’a pas associé la déléguée à la protection de données à son déploiement, laquelle aurait d’ailleurs sinon, selon ses déclarations, alerté la société sur le fait que le dispositif n’était pas conforme au cadre prévu par le RGPD.
La formation restreinte considère que les manquements résultent d’une succession de fautes, en ne vérifiant pas le modèle de caméra choisi par son prestataire, en ne documentant pas l’installation du dispositif, en n’évaluant pas les risques associés à son installation, et en ne consultant pas sa déléguée à la protection des données et considère donc que la société a fait preuve d’une négligence certaine.
Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende apparait justifié s’agissant des manquements aux articles 5-1-a), 5-2, 5-1-c), 33 paragraphes 1 et 5, et 38-1 du RGPD.
La formation restreinte considère qu’une telle mesure se justifie au regard de la gravité des manquements en cause.
Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
Source :
Délibération de la formation restreinte n°SAN-2025-008 du 18 septembre 2025 prononçant une sanction pécuniaire à l'encontre de la société SAMARITAINE SAS
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000052266505
Frédéric CHHUM avocat et ancien membre du conseil de l’ordre des avocats de Paris (mandat 2019-2021)
CHHUM AVOCATS (Paris, Nantes, Lille)
e-mail: chhum@chhum-avocats.com
https://www.instagram.com/fredericchhum/?hl=fr
.Paris: 34 rue Petrelle 75009 Paris tel: 0142560300
.Nantes: 41, Quai de la Fosse 44000 Nantes tel: 0228442644
.Lille: : 45, Rue Saint Etienne 59000 Lille – Ligne directe +(33) 03.20.57.53.24
