CNIL : 16 sanctions pour non-conformité

La CNIL prononce 16 nouvelles sanctions dans le cadre de la procédure simplifiée

Depuis mai 2025, la CNIL a prononcé seize nouvelles sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé d’amendes de 108 000 euros. Ces décisions portent principalement sur la vidéosurveillance et le non-respect du droit d’accès des salariés. Elles concernent également des pratiques de prospection commerciale réalisées sans le consentement des personnes concernées ainsi que des manquements à la coopération lors de demandes d’exercice des droits prévus par le RGPD (droit d’accès, de rectification, d’opposition…).

L’usage de dispositifs vidéo

Une société dans le domaine pharmaceutique et un établissement hospitalier ont été sanctionnés pour avoir filmé l’accès et l’entrée d’un local syndical, ce qui constitue un manquement au principe de minimisation des données collectées (article 5.1.c du RGPD). La CNIL rappelle que les caméras de vidéosurveillance installées dans les lieux de travail, qu’ils soient ouverts ou non au public, doivent respecter la vie privée des salariés. Les caméras ne doivent en aucun cas filmer les locaux syndicaux ou leurs accès directs.

Un manquement relatif au détournement de finalité (article 5.1.b du RGPD) a également été retenu à l’encontre de l’établissement hospitalier : la transmission des images vidéo à une compagnie d’assurance en vue d’apprécier les conséquences indemnitaires liées à la réalisation d’un dommage n’a pas directement pour objet d’assurer la sécurité des personnes et des biens.

La CNIL a également sanctionné l’usage d’un dispositif de vidéosurveillance au sein d’un établissement scolaire avec internat, les caméras filmant les élèves pendant les petits-déjeuners et dans le préau. Une telle surveillance permanente constitue une atteinte excessive à la vie privée des élèves et contrevient, là encore, au principe de minimisation des données.

L’obligation de recueillir le consentement des personnes pour les opérations de prospection commerciale par voie électronique

La CNIL a sanctionné une société qui collectait des données de prospects à partir de formulaires de participation à des jeux concours, utilisés ensuite pour des opérations de prospection commerciale menées pour ses clients. La conception des formulaires mettait particulièrement en valeur l’option consistant à accepter de recevoir des offres promotionnelles, laissant croire qu’il s’agissait du seul moyen de valider la participation au jeu-concours. Les personnes n’étaient donc pas mises en situation de pouvoir exprimer de manière valable un choix reflétant leurs préférences en matière de prospection commerciale.

De plus, le consentement recueilli n’était pas valable, puisqu’il ne portait pas sur les opérations de prospection réalisées par la société pour le compte de ses clients. Un manquement à l’article L. 34-5 du code des postes et de télécommunications a été retenu.

Le défaut de coopération avec la CNIL

Sur 16 sanctions, dix ont porté sur un défaut de coopération avec la CNIL. Des avocats, des médecins, des sociétés n’ont pas répondu aux sollicitations de la CNIL dans le cadre de l’instruction des plaintes ou des suites de contrôles réalisés par l’autorité. Ces défauts de réponse, alors que la CNIL est intervenue à plusieurs reprises pour mener à bien ses missions, constituent un manquement à l’article 18 de la loi Informatique et Libertés. Cet article prévoit que les organismes ne peuvent s’opposer à l’action de la CNIL et doivent prendre toutes mesures utiles pour faciliter sa tâche.

Quelques pistes pour l'intégration opérationnelle dans votre dispositif :

- Assurez-vous que vos dispositifs de vidéosurveillance respectent le principe de minimisation des données.

- Vérifiez que le consentement pour les opérations de prospection commerciale est recueilli de manière valide et explicite.

- Coopérez pleinement avec la CNIL lors de ses contrôles et sollicitations.

- Formez vos équipes sur les obligations légales en matière de protection des données personnelles.

- Mettez en place des procédures internes pour répondre efficacement aux demandes d’exercice des droits des personnes concernées.