Amende de 200 000 euros pour SAF Logistics

La Commission nationale de l’informatique et des libertés (CNIL) a condamné la société SAF Logistics à une amende de 200 000 euros pour avoir collecté une quantité excessive de données personnelles auprès de ses salariés, porté atteinte à leur vie privée et n’avoir pas suffisamment coopéré avec les services de la CNIL.

La CNIL a relevé que SAF Logistics collectait un grand nombre d’informations sur les membres de la famille des salariés, notamment leur identité, leurs coordonnées, leur fonction, leur employeur et leur situation maritale. Ces données étaient collectées dans le cadre d’un recrutement interne pour un poste au sein de la société-mère de SAF Logistics, basée en Chine.

La CNIL a estimé que cette collecte était excessive et portait une atteinte disproportionnée à la vie privée des salariés. L’autorité a également relevé que SAF Logistics n’avait pas mis en place de mesures de sécurité suffisantes pour protéger ces données.

Voici les manquements spécifiques relevés par la CNIL :

Article 5.1.c RGPD – Minimisation de la collecte : SAF Logistics collectait un grand nombre de données personnelles sur les membres de la famille des salariés, des données excessives par rapport à la finalité du traitement annoncée. Ces informations étaient collectées pour répertorier les contacts d’urgence de chaque salarié.

Article 9 RGPD – Traitement de données sensibles : La société collectait des données sensibles telles que le groupe sanguin, l’ethnie et l’affiliation politique sans que les exceptions de l’article 9.2 du RGPD ne s’appliquent.

Article 10 RGPD – Traitement de données relatives aux infractions : SAF Logistics conservait des extraits de casiers judiciaires des salariés sans justifications pour certains d’entre eux.

Article 31 – Coopération avec la CNIL : Il y avait une traduction incomplète du formulaire de collecte de données, avec la suppression de certains champs lors de la communication à la CNIL.

La sanction infligée à SAF Logistics par la CNIL souligne l’importance de respecter les principes de protection des données personnelles, notamment le principe de minimisation des données, et comment la plateforme Data Comply One (ex Mission RGPD) aurait pu contribuer à éviter ces sanctions en fournissant des solutions spécifiques à chaque manquement.

• Article 5.1.c RGPD – Minimisation de la collecte : Avec Data Comply One (ex Mission RGPD), SAF Logistics aurait pu documenter dans le registre des finalités, effectuer une analyse automatique des risques associés au traitement des données, et utiliser des analyses d’impact intégrées pour évaluer la pertinence de la collecte de données.
• Article 9 RGPD – Traitement de données sensibles : La plateforme Data Comply One (ex Mission RGPD) offre une documentation dans le registre des données collectées, une analyse automatique des risques associés au traitement des données sensibles, et des analyses d’impact pour la collecte de données sensibles.
• Article 10 RGPD – Traitement de données relatives aux infractions : Data Comply One (ex Mission RGPD) aurait permis de documenter le registre des données collectées, d’effectuer une analyse automatique des risques associés au traitement, et d’intégrer des analyses d’impact pour la collecte de données sensibles.
• Article 31 – Coopération avec la CNIL : Avec Data Comply One (ex Mission RGPD), SAF Logistics aurait pu se préparer à un contrôle de la CNIL grâce à une fiche pratique dédiée à ce sujet et à des simulations de contrôles réalisées au cours de l’accompagnement expert.