Dans une décision du 18 septembre 2023[1], la CNIL a prononcé une sanction de 200.000 euros à l’encontre de la société SAF LOGISTICS qui est à l’origine de plusieurs manquements dans le cadre des traitements de données de ses salariés.
SAF LOGISTICS est une société française qui exerce une activité de transport de fret aérien depuis la Chine vers l’Europe.
La société SAF LOGISTICS fait partie d’un groupe international chinois. La plupart des salariés de la société sont des ressortissants chinois résidant et travaillant en France et dont les contrats de travail sont soumis à la loi française.
En août 2020, la CNIL a été saisie de deux plaintes signalant que la société mise en cause avait demandé à l’ensemble de son personnel de renseigner, par l’intermédiaire d’un formulaire rédigé en langue chinoise, de nombreuses informations relatives à leur vie privée.
A l’issue de plusieurs contrôles et d’une phase d’instruction, la CNIL a relevé certains manquements de la part de la société SAF LOGISTICS, agissant en qualité de responsable de traitement.
1. En l’occurrence, la CNIL a rappelé qu’un employeur qui collecte un nombre et une variété trop importante de données personnelles relatives à un salarié, ne respecte pas le principe de minimisation des données imposé par le RGPD.
En l’espèce, la société SAF LOGISTICS collectait notamment des informations relatives à l’entourage des salariés (frères et sœurs, ascendants, descendants) telles que le nom, prénom, date et lieu de naissance, sexe, lien de parenté, numéro de téléphone, employeur, fonctions et situation maritale, conduisant ainsi à porter atteinte à la vie privée des salariés.
2. Par ailleurs, la CNIL a constaté que la société SAF LOGISTICS collectait des informations sensibles, telles que le groupe sanguin, l’appartenance ethnique et l’affiliation politique, cela en méconnaissance des obligations prévues à l’article 9 du RGPD pour ce type de données sensibles.
En particulier, le consentement des salariés n’a pas été obtenu de manière libre dès lors que certaines informations devaient obligatoirement être renseignées sur le formulaire et que la société n’a pas produit d’élément permettant de constater que le consentement des salariés avait été obtenu.
3. La CNIL relève en outre un manquement à l’interdiction de collecter ou de traiter des données relatives aux infractions, aux condamnations et aux mesures de sûreté (article 10 du RGPD), dès lors que la société SAF LOGISTICS conservait des extraits de casiers judiciaires de salariés travaillant dans le fret aérien, alors même que ces derniers faisaient déjà l’objet d’une habilitation délivrée par les autorités compétentes après enquête administrative.
Or, le fait pour la société de conserver des extraits de casiers judiciaires des salariés est particulièrement intrusif et peut révéler des informations sur ces derniers dont la société n’est pas autorisée à avoir connaissance.
4. Enfin, la CNIL a constaté, en effectuant ses propres traductions, que la société SAF LOGISTICS avait produit une traduction incomplète de son formulaire litigieux en langue chinoise, dans laquelle les champs relatifs à l’appartenance ethnique ou l’affiliation politique étaient manquants. La CNIL considère ainsi que la société a intentionnellement cherché à l’empêcher d’exercer ses pouvoirs de contrôle.
Dans ces conditions, la CNIL a condamné la société SAF LOGISTICS à une amende de 200.000 euros, dont le montant est fixé en tenant compte notamment de la nature, la gravité et la durée de la violation, la finalité du traitement concerné, le nombre de personnes affectées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle.
Etant précisé que la société SAF LOGISTICS a agit en violation de plusieurs principes clé du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu.
[1] Délibération SAN-2023-013 du 18 septembre 2023 :
