Une société sanctionnée pour avoir collecté des données (très) personnelles sur ses salariés chinois souhaitant candidater à un poste en Chine
La CNIL a sanctionné la société SAF LOGISTICS, le 18 septembre 2023, pour avoir collecté des données (très) personnelles concernant ses salariés sans respecter les exigences du RGPD, notamment l’obligation de minimisation des données et l’obligation d’un consentement explicite préalable.
La société SAF LOGISTICS est une société immatriculée en France appartenant à un groupe chinois nommé CHINA MARCHANTS GROUP, propriété de l’État chinois. Son activité principale est le « transport de fret aérien en provenance de la Chine et à destination de l’Europe ».
En juillet 2020, cette société a envoyé un formulaire à son personnel. Ce formulaire, en langue chinoise et destiné « aux salariés souhaitant candidater à un poste en Chine », demandait de renseigner « de nombreuses informations relatives à leur vie privée, notamment l’ethnie, l’affiliation à un parti politique, leur situation familiale ainsi que le nom de leurs parents, de leurs éventuels frères, sœurs et enfants ». D’après la société, ces informations étaient demandées « pour contacter les proches des salariés en cas d’urgence ».
Concernant la responsabilité de ce traitement de données, la CNIL a estimé que la société SAF LOGISTICS devait être nommée responsable, même si le formulaire a été élaboré par la maison mère, car la société n’a pas transmis le formulaire aux seuls salariés qui en avaient fait la demande, mais à l’ensemble du personnel, et car la société s’est occupée de récupérer le formulaire de la maison mère puis de le retransmettre aux salariés. En d’autres termes, la société de droit français est tenue responsable, parce qu’elle a déterminé la finalité (la recherche des personnes intéréssées par une mutation) et les moyens (l’envoi d’un e-mail avec le formulaire).
Concernant le traitement, la Commission a considéré « que le nombre important et la variété des données à caractère personnel collectées n’est pas justifié au regard de la finalité de contact des proches en cas d’urgence et qu’il serait suffisant de renseigner le nom, le prénom, le lien de parenté et le numéro de téléphone du proche du salarié à contacter en cas d’urgence ». Un manquement à l’obligation de minimisation des données est donc retenu.
De plus, le formulaire demandait aux salariés de saisir l’origine ethnique et l’appartenance à un parti politique, c’est-à-dire des « catégories particulières de données » pouvant être traitées uniquement dans certains cas précis, non applicables dans cette situation, ou lorsque la personne concernée donne son « consentement explicite ». La CNIL a toutefois considéré qu’un tel consentement n’a pas été obtenu par la société car les salariés ne pouvaient pas refuser de transmettre ces données s’ils souhaitaient candidater à un poste en Chine.
Par ailleurs, lors des contrôles effectués par la CNIL, « des extraits du casier judiciaire, précisément le bulletin n°3, se trouvaient dans les dossiers individuels de salariés ». Or, la société était uniquement autorisée à consulter ces documents, pas à les garder.
Enfin, un manquement à l’obligation de coopérer avec les services de la Commission a été retenu, car la société retiré les champs litigieux du formulaire avant de les communiquer à la CNIL. La société a justifié cette action par « grossière négligence du traducteur » et « un manque de diligence » de la société qui « dispose de peu de ressources administratives et de personnel francophone ».
Une amende de 200 000 euros a été prononcée contre la société SAF LOGISTICS.
Lire :
Ma réaction à cette décision
Cette sanction concerne des ressortissants chinois qui transmettent des données en chinois, avec des formulaires en langue chinoise, à leur société mère chinoise. La CNIL doit-elle vraiment dépenser son temps et ses ressources pendant trois ans dans une telle affaire, qui ne concerne aucunement des citoyens français ?
La transmission d’informations passe, certes, par une société française (que la CNIL a tenue responsable), mais n’a-t-on pas mieux à faire que de s’immiscer dans les conditions d’accès à des postes chinois par des Chinois ? Il est de notoriété publique que la législation chinoise en matière de surveillance et de protection des données est extrêmement stricte. Les ressortissants chinois souhaitant travailler en Chine n’auront, de toute façon, pas d’autres choix que de communiquer toutes ces informations et abandonner une (grande) partie de leur vie privée. Ils ne le feront, certes, plus par l’intermédiaire de la société française, mais ils devront le faire s’ils souhaitent postuler. Cette décision n’a donc absolument aucun intérêt et la CNIL perd ses précieuses ressources, qui seraient bien mieux utilisées à traiter les dossiers qui concernent des millions de Français, et qui prennent la poussière sur son bureau depuis de longues années.