Selon la Cour de justice de l'Union européenne, la directive sur la protection des données à caractère personnel (Directive 95/46/CE) s’applique à l’enregistrement vidéo réalisé à l’aide d’une caméra de surveillance installée par une personne sur sa maison familiale et dirigée vers la voie publique.
La directive ne permet, en principe, de traiter de telles données que si la personne concernée a donné son accord. Néanmoins, elle ne s’applique pas au traitement de données effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques. La Cour a constaté que cette exemption doit être interprétée de manière stricte. Ainsi, une vidéosurveillance qui s’étend à l’espace public et qui, de ce fait, est dirigée en dehors de la sphère privée de la personne traitant les données ne peut pas être considérée comme « une activité exclusivement personnelle ou domestique ».
Dans cette affaire née en République tchèque, un particulier avait installé sur la maison de sa famille une caméra de surveillance qui filmait l’entrée de celle-ci, la voie publique ainsi que l’entrée de la maison d’en face. Lorsqu'une fenêtre a été brisée, les enregistrements de la caméra ont permis d'identifier deux suspects. L’un d'eux a toutefois contesté auprès de l’Office tchèque pour la protection des données la légalité de ce traitement des données. L’Office a constaté que le particulier avait effectivement violé les règles en matière de protection des données et lui a infligé une amende. À cet égard, l’Office a relevé, entre autres, que les données du suspect avaient été enregistrées sans son consentement alors qu’il était sur la voie publique, c’est-à-dire dans la portion de la rue située devant la maison.
La directive permet néanmoins d’apprécier l’intérêt légitime de cette personne à protéger ses biens, sa santé et sa vie ainsi que ceux de sa famille. En particulier, premièrement, le traitement de données à caractère personnel peut être effectué sans le consentement de la personne concernée, notamment lorsqu’il est nécessaire à la réalisation de l’intérêt légitime du responsable du traitement. Deuxièmement, une personne ne doit pas être informée du traitement de ses données, si l’information de celle-ci se révèle impossible ou implique des efforts disproportionnés. Troisièmement, les États membres peuvent limiter la portée des obligations et des droits prévus par la directive, lorsqu’une telle limitation est nécessaire pour sauvegarder la prévention, la recherche, la détection et la poursuite d’infractions pénales ou la protection des droits et libertés d’autrui.