라 사마리텐, 직원 감시 위해 연기 감지기로 위장한 숨겨진 카메라 설치 — CNIL이 10만 유로 벌금 부과

퐁뇌프에 위치한 LVMH 소유 백화점 라 사마리텐은 16년에 걸친 개조 끝에 2021년 재개장했으며, 2023년 8월 상품 도난이 증가하는 상황에 직면했다. 경영진의 대응은 은밀했다. 두 재고실에 연기 감지기로 위장한 새 카메라를 설치하고, 직원들의 대화를 녹음하는 마이크를 장착한 것이다. 직원들은 몇 주 후 이 장치들을 발견했고, 장치들은 2023년 9월에 철거되었다. 그해 11월 Mediapart의 조사가 CNIL에 이를 알렸고, 이어 민원이 제기되었으며, 규제 당국은 며칠 안에 현장 점검에 나섰다.

2025년 9월, CNIL의 제한 위원회는 GDPR 위반 세 건에 대해 SAMARITAINE SAS에 10만 유로의 벌금을 부과했다. 로열티(충실) 및 책임성: 숨겨진 카메라는 문서화된 비례성 분석으로 뒷받침되는 예외적 상황에서만 용인되는데, 이 매장은 그러한 분석을 전혀 하지 않았다. 해당 장치는 처리 등록부에도, 영향 평가서에도 나타나지 않았다. 최소화: 사적인 대화를 녹음한 것은 어떤 도난 방지 논리로도 과도했다. DPO 관여: 데이터 보호 책임자는 설치 사실을 몇 주 뒤에야 알게 되었으나, 그녀라면 위험을 제한하는 조치를 제때 지적할 수 있었을 것이다.

규제 당국은 도난이 실제로 있었고 장치가 일시적이었던 점은 인정했다. 벌금은 그 주변에서 빠진 모든 것에 대한 것이었다. CNIL이 인용한 유럽인권재판소의 판례는 은밀한 감시가 엄격히 필요하고, 기간이 제한되며, 배치 전에 서면으로 정당화될 때만 허용된다고 본다. 사마리텐의 보안 대응은 이를 합법적으로 만들었을 모든 단계를 건너뛰었고, 문서화되지 않은 장치는 직원들이 가짜 연기 감지기를 천장에서 떼어낸 뒤 회사에 아무런 방어 수단도 남기지 않았다.

CNIL 벌금 10만 유로; 마이크가 달린 위장 연기 감지기 카메라가 직원들이 발견하기 전까지 직원들의 사적인 대화를 녹음했다

보안상의 긴급성이 규정 준수를 대체했다. 도난 압박으로 은닉이 정당하다고 느껴졌지만, 배치와 함께 어떤 GDPR 분석, 등록부 기재, 영향 평가도 이루어지지 않았다.

마이크는 어떤 도난 방지 필요도 초과했다. 직원들 간의 사적인 대화를 녹음한 것은 데이터 최소화 원칙을 명백히 위반했다.

DPO는 우회되었다. 설치 몇 주 후에야 통보받은 그녀는 직원들이 장치를 발견하기 전에 비례적인 장치를 설계할 기회를 잃었다.

문서화는 사후에 보충될 수 없었다. 문서화되지 않은 '일시적' 설치는 규제 당국이 요구했을 때 비례성을 입증할 아무것도 남기지 않았다.

도난 방지의 긴급성은 감시의 과잉을 낳는다. 숨겨진 카메라는 문서화된 일시적 최후의 수단으로서만 정당화될 수 있으며, 직원들이 발견한 후가 아니라 배치 전에 DPO의 자문을 받아야 한다.

카메라는 규제 당국이 그 존재를 알기 전인 2023년 9월에 철거되었다. CNIL은 2025년 9월 18일 결정 SAN-2025-008을 채택하고 며칠 뒤 10만 유로 벌금과 함께 이를 공표했으며, 이 사건을 통해 고용주들에게 은밀한 감시는 유럽인권재판소의 좁은 예외, 즉 예외적 상황, 엄격한 일시성, 재산 보호와 직원 프라이버시 사이의 문서화된 균형 안에서만 존속한다는 점을 상기시켰다.