La Commission nationale de l’informatique et des libertés (Cnil) a sanctionné la société Samaritaine d’une amende administrative de 100 000 euros pour plusieurs manquements au Règlement général sur la protection des données (RGPD). L’affaire a pour origine, durant l’été 2023, une enquête de Mediapart suivie d’une plainte déposée par un salarié. Ces éléments avaient mis en lumière l’existence de dispositifs de vidéosurveillance non déclarés et dissimulés dans des détecteurs de fumée, installés dans les zones de réserve du célèbre grand magasin parisien.

Si l’instruction menée par l’autorité de contrôle a permis d’établir que cinq caméras miniatures avaient été installées à des fins de prévention du vol, ces caméras ne se contentaient pas de capter des images : équipées de micros, elles enregistraient également les conversations des employés, et ce sans information préalable ni consultation des instances représentatives. La direction de la Samaritaine, filiale du groupe LVMH, a tenté de justifier la démarche en évoquant un dispositif présenté comme temporaire et expérimental, afin d’évaluer la pertinence des angles de vue pour de futures caméras visibles et conformes. La Cnil a rejeté cette défense, estimant qu’il s’agissait d’un traitement déloyal, disproportionné et non inscrit dans le registre des traitements validés par la déléguée à la protection des données.

La formation restreinte de la Cnil a retenu plusieurs manquements : défaut de loyauté et de transparence à l’égard des salariés, collecte excessive en raison de la captation sonore non nécessaire, et absence de notification dans les délais requis d’une violation de données, après la disparition de cartes mémoire contenant des enregistrements subtilisés par certains employés. Toutefois, aucun grief n’a été constaté concernant la durée de conservation des données, les preuves apportées ne permettant pas de caractériser une infraction sur ce point.

Photo d’illustration © Getty Images