Le rapport Cnil 2024, dévoilé en avril 2025, souligne l’importance des questions de protection des données en milieu professionnel. Les plaintes relatives au travail constituent une part significative, tandis que les violations de données et les manquements aux obligations de sécurité se multiplient, entraînant des sanctions.
L’autorité française de protection des données, la Cnil, a publié son rapport d’activité pour l’année 2024 le 29 avril 2025. Ce document révèle que les questions liées à la gestion des données personnelles des salariés et à l’exploitation des informations RH demeurent une préoccupation majeure.
Alors que l’utilisation de l’intelligence artificielle en entreprise se développe, la Cnil anticipe une sollicitation croissante concernant la protection de la vie privée dans le contexte professionnel. Les chiffres de 2024 montrent que le secteur du travail est le troisième motif de plaintes adressées à l’autorité, justifiant une vigilance continue nécessaire.
Une tendance préoccupante concernant les plaintes et violations de données
Selon le bilan d’activité 2024 de la Commission Nationale de l’Informatique et des Libertés, le domaine professionnel a généré 13 % des 17 772 plaintes enregistrées. Bien que ce chiffre positionne le travail comme le troisième sujet de réclamation, derrière les télécoms-Web-réseaux sociaux (49 %) et le commerce (19 %), il marque une diminution par rapport à l’année précédente. En effet, dans le rapport portant sur 2023, les problématiques liées au travail représentaient 18 % du volume total des plaintes.
Ces plaintes émanant du secteur professionnel peuvent impliquer différents statuts, y compris celui de consultant porté, qui peut être confronté à des enjeux spécifiques en matière de protection de ses données personnelles dans le cadre de ses missions. Par ailleurs, un dixième des demandes d’information traitées par la Cnil et adressées par le public concernaient spécifiquement le travail et la gestion des ressources humaines.
L’année 2024 a été marquée par une augmentation significative des incidents de sécurité. La Cnil a constaté que le nombre de violations de données personnelles affectant plus d’un million d’individus a doublé en un an, passant d’une vingtaine à une quarantaine d’attaques fructueuses. De manière générale, la sécurité des informations personnelles est mise à rude épreuve, comme en témoigne la réception par la Cnil de 5 629 notifications de violations de données en 2024, ce qui représente une hausse de 20 % par rapport à 2023.
Un cas emblématique de cette tendance est la cyberattaque contre France Travail et Cap emploi, rendue publique le 13 mars 2024. Cette attaque aurait potentiellement conduit à la fuite des données de 43 millions d’usagers. Le 19 mars 2024, le Tribunal judiciaire de Paris a annoncé l’arrestation de trois individus dans cette affaire. Par la suite, début mai 2024, une enquête de la cellule investigation de Radio France a apporté des éclaircissements sur l’avancement des investigations et le déroulement de cette cyberattaque.
Illustrations concrètes des interventions de la Cnil en milieu professionnel
Plusieurs dossiers spécifiques traités par la Cnil en 2024 mettent en lumière les manquements en matière de protection des données des salariés et d’exploitation des données RH. Le 19 décembre 2024, une entreprise a été sanctionnée d’une amende de 40 000 euros. La raison invoquée était une surveillance jugée excessive de ses employés, opérée via un logiciel configuré pour enregistrer des périodes prétendues « d’inactivité » et pour réaliser des captures d’écran fréquentes des postes de travail. De surcroît, les salariés faisaient l’objet d’une vidéosurveillance continue.
Dans un autre registre, celui de la collecte de données, la société KASPR s’est vu infliger une amende de 240 000 euros le 5 décembre 2024. Il lui était notamment reproché d’avoir recueilli sur la plateforme LinkedIn les coordonnées d’utilisateurs qui avaient pourtant configuré leurs profils pour en restreindre la visibilité.
Enfin, le secteur du recrutement n’est pas épargné. Le 25 mai 2024, la Cnil a été saisie d’une plainte visant une société qui collectait un volume important et varié de données personnelles auprès des candidats à un poste. Ces exigences de conformité s’appliquent d’ailleurs à tous les types de candidats, notamment un consultant porté en recherche de mission, pour lequel la collecte de données doit rester proportionnée.
Parmi les informations demandées figuraient le lieu de naissance, la nationalité ou encore la situation familiale. Cette pratique a été jugée contraire au principe de minimisation des données, qui exige du responsable du traitement de ne collecter que les informations strictement nécessaires à la finalité poursuivie.
Ces affaires illustrent la vigilance de la Cnil quant au respect des droits des personnes dans le contexte professionnel.