Vu les autres pièces du dossier ;
Vu :
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2005-1309 du 20 octobre 2005 ;
- la délibération n° 2015-165 du 4 juin 2015 de la CNIL ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Marie Gautier-Melleray, maître des requêtes,
- les conclusions de Mme Aurélie Bretonneau, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Piwnica, Molinié, avocat de la société Odeolis ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier qu'en 2012, la société Odeolis, qui est spécialisée dans la maintenance de systèmes informatiques, notamment de terminaux de paiement, et dont l'activité s'étend sur tout le territoire national, a équipé les véhicules utilisés par ses techniciens itinérants de dispositifs de géolocalisation en temps réel afin, notamment, de mieux planifier ses interventions. Ces dispositifs permettent de collecter diverses données relatives, notamment, aux incidents et évènements de conduite ou au temps de travail des salariés. Le 13 janvier 2016, une délégation de la CNIL a procédé à un contrôle sur place dans les locaux de la société à Aix-en-Provence, à la suite duquel la présidente de la CNIL a, par une décision du 27 juillet 2016, mis en demeure la société d'adopter un certain nombre de mesures afin de faire cesser les manquements constatés à diverses dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. La société demande l'annulation pour excès de pouvoir de cette décision en tant qu'elle la met en demeure de cesser de traiter les données issues de l'outil de géolocalisation afin de contrôler le temps de travail des salariés.
2. En premier lieu, le procureur de la République près le tribunal de grande instance d'Aix-en-Provence a été averti par télécopie le 5 janvier 2016 du contrôle sur place auquel la CNIL a procédé le 13 janvier 2016. Il s'ensuit que le moyen tiré de ce que la décision attaquée serait entachée d'un vice de forme dès lors que le contrôle sur place au vu duquel elle a été établie n'aurait pas été précédé de l'information du procureur de la République territorialement compétent, prescrite par les articles 44 de loi du 6 janvier 1978 et 61 du décret du 20 octobre 2005 pris pour son application, manque en fait.
3. En deuxième lieu, aux termes de l'article 45 de la loi du 6 janvier 1978 : " I. - La formation restreinte de la Commission nationale de l'informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l'égard du responsable d'un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d'une sanction. /Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu'il fixe. (...) /Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. /Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : /1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en oeuvre par l'Etat ; /2° Une injonction de cesser le traitement, lorsque celui-ci relève des dispositions de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25./ II. - Lorsque la mise en oeuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la formation restreinte peut, après une procédure contradictoire, engager une procédure d'urgence, définie par décret en Conseil d'Etat, pour :/ 1° Décider l'interruption de la mise en oeuvre du traitement, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ou de ceux mentionnés à l'article 27 mis en oeuvre par l'Etat ". Aux termes de l'article 46 de la même loi : " Les sanctions prévues au I et au 1° du II de l'article 45 sont prononcées sur la base d'un rapport établi par l'un des membres de la Commission nationale de l'informatique et des libertés, désigné par le président de celle-ci parmi les membres n'appartenant pas à la formation restreinte. Ce rapport est notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister ".
4. Il résulte de ces dispositions que la mise en demeure adressée par la CNIL à une personne de faire cesser les manquements qu'elle a constatés n'a pas le caractère d'une sanction soumise aux prescriptions de l'article 46 de la loi du 6 janvier 1978. Il suit de là que le moyen tiré de ce que la mise en demeure attaquée aurait été prise en méconnaissance des prescriptions de cet article, faute d'établir que le procès verbal du contrôle sur place, qui, au demeurant, a été signé par une représentante de la société, lui aurait été transmis avec l'ensemble des pièces afférentes, ne peut qu'être écarté.
5. En troisième lieu, aux termes du I de l'article 24 de la loi du 6 janvier 1978 : " Pour les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en oeuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés, la Commission nationale de l'informatique et des libertés établit et publie, après avoir reçu le cas échéant les propositions formulées par les représentants des organismes publics et privés représentatifs, des normes destinées à simplifier l'obligation de déclaration. (...) /Les traitements qui correspondent à l'une de ces normes font l'objet d'une déclaration simplifiée de conformité envoyée à la commission, le cas échéant par voie électronique ". En application de cette disposition, la CNIL a, par une délibération du 4 juin 2015, adopté une norme simplifiée concernant les traitements automatisés de données à caractère personnel mis en oeuvre par les organismes publics ou privés destinés à géolocaliser les véhicules utilisés par leurs employés (norme simplifiée n° 51) qui a pour objet de déterminer les conditions auxquelles de tels traitements doivent répondre pour relever de la procédure de la déclaration simplifiée.
6. Il résulte des termes mêmes de la décision attaquée que la mise en demeure adressée à la société requérante n'est pas fondée sur la norme simplifiée n°51 mais a pour objet, indépendamment de la procédure utilisée pour la déclaration du traitement des donnés issues du système de géolocalisation, de faire cesser l'usage de ces données afin de contrôler le temps de travail des salariés. Il s'ensuit que la requérante ne saurait utilement invoquer, par la voie de l'exception, l'illégalité de la norme simplifiée n°51 à l'appui des conclusions dirigées contre la mise en demeure attaquée.
7. En quatrième lieu, aux termes de l'article 6 de la loi du 6 janvier 1978 : " Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : /1° Les données sont collectées et traitées de manière loyale et licite (...) / 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs... ". Aux termes de l'article L. 1121-1 du code du travail : " Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ". Il résulte de ces dispositions que l'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être regardés comme excessifs au sens du 3° de l'article 6 de la loi du 6 janvier 1978 précité.
8. D'une part, si la décision attaquée prescrit à la société requérante de cesser de traiter les données collectées par l'outil de géolocalisation pour contrôler le temps de travail des salariés, elle ne lui interdit pas de traiter ces données en vue de procéder à la facturation des prestations à ses clients. Dès lors, la circonstance que la société ne disposerait d'aucun autre moyen pour déterminer avec certitude le temps des interventions de ses employés et pour établir sur ce fondement les factures pour ses clients est sans incidence sur la légalité de la décision attaquée.
9. D'autre part, s'agissant du traitement des données collectées à des fins de contrôle du temps de travail, si la société fournit des exemples d'employés licenciés grâce à ces informations qui attestent des facilités offertes par la géolocalisation, il ressort des pièces du dossier qu'elle dispose d'autres moyens, notamment des documents déclaratifs mentionnés dans la décision attaquée, pour contrôler le temps de travail des employés. Il s'ensuit que la présidente de la CNIL n'a pas fait une inexacte application des dispositions de l'article 6 de la loi du 6 janvier 1978 précité en caractérisant comme excessif, au sens de ces dispositions, le traitement par la société Odeolis des données collectées par géolocalisation à des fins de contrôle du temps de travail de ses employés.
10. Il résulte de tout ce qui précède que la société requérante n'est pas fondée à demander l'annulation de la décision attaquée. Ses conclusions présentées au titre des dispositions de l'article L. 761-1 du code de justice administrative ne peuvent, par suite, qu'être rejetées.
D E C I D E :
--------------
Article 1er : La requête de la société Odeolis est rejetée.
Article 2 : La présente décision sera notifiée à la société Odeolis et à la Commission nationale de l'informatique et des libertés.