L'autorité italienne de protection des données a sanctionné une entreprise de santé publique pour un suivi par géolocalisation jugé excessif de ses véhicules de service, et pour l'utilisation illicite des données collectées dans le cadre d'une procédure disciplinaire.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Entreprise de Protection de la Santé pour la Ligurie (ATSL) comprenant le prononcé d'une amende de 6 000 € pour des manquements en lien avec la géolocalisation des véhicules de service et l'utilisation des données collectées à des fins disciplinaires.

L'affaire trouve son origine dans la plainte d'un chauffeur, rejointe par d'autres salariés, sanctionné disciplinairement sur la base de données issues du système de géolocalisation de son véhicule de service.

Motifs de la décision

L'autorité a retenu plusieurs violations à l'encontre de l'entreprise, après avoir constaté que le système de géolocalisation relevait la position des véhicules toutes les 60 secondes et permettait un suivi en temps réel, sans possibilité pour le conducteur de le désactiver.

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a jugé que la collecte de la position géographique toutes les 60 secondes était excessive et disproportionnée par rapport aux finalités affichées (sécurité des travailleurs, protection du patrimoine). Ce paramétrage aboutissait à une surveillance quasi continue et intrusive de l'activité des salariés, en violation du principe selon lequel les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire.
• Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : Le responsable du traitement n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour intégrer les garanties nécessaires et appliquer efficacement les principes de protection des données. En ne choisissant pas, dès la conception, des solutions moins invasives, l'entreprise a manqué à son obligation de ne traiter par défaut que les données strictement nécessaires aux finalités poursuivies.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Le traitement, impliquant une surveillance systématique de salariés considérés comme des personnes vulnérables, présentait un risque élevé pour les droits et libertés. L'autorité rappelle que, conformément aux lignes directrices du Comité européen de la protection des données (CEPD), une telle surveillance impose la réalisation préalable d'une analyse d'impact, ce que l'entreprise n'avait pas fait. Cette omission l'a empêchée d'évaluer et de mitiger correctement les risques inhérents au traitement.
• Obligation de licéité du traitement et de limitation des finalités (article 5, paragraphe 1, points a) et b), article 6 et article 88 du RGPD) : L'autorité a conclu que l'utilisation des données de géolocalisation à des fins disciplinaires était illicite. En effet, les données ayant été collectées initialement en violation des principes de minimisation et de protection dès la conception, leur traitement ultérieur pour une autre finalité ne pouvait être licite. Le considérant 50 du RGPD est cité pour rappeler que la licéité du traitement originaire est une condition préalable à tout traitement ultérieur. L'existence d'un accord collectif n'est pas suffisante pour garantir la conformité si les principes fondamentaux du RGPD ne sont pas respectés.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 6 000 € à l'Entreprise de Protection de la Santé pour la Ligurie.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• La fréquence de collecte des données de géolocalisation des véhicules des salariés doit être strictement proportionnée à la finalité poursuivie ; un intervalle très court (ici, 60 secondes) est susceptible d'être qualifié de surveillance excessive et de violation du principe de minimisation.
• La mise en place d'un système de suivi systématique des salariés, considérés comme des personnes vulnérables, requiert obligatoirement la réalisation d'une analyse d'impact préalable sur la protection des données.
• L'utilisation de données à des fins disciplinaires n'est licite que si la collecte initiale de ces données a respecté l'ensemble des principes du RGPD. Des données collectées de manière illicite ne peuvent être valablement utilisées pour sanctionner un salarié.
• L'existence d'un accord collectif autorisant un dispositif de surveillance est une condition nécessaire mais non suffisante pour assurer la conformité du traitement, qui doit dans tous les cas respecter les principes de protection des données.
• Le responsable de traitement a l'obligation de configurer les outils technologiques, même fournis par des tiers, de manière à garantir une protection des données par défaut, en choisissant les options les moins intrusives pour la vie privée des personnes concernées.