Conformément à l’article 5.1, b) du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
A titre d’exemple, la surveillance par caméras peut avoir pour finalités :
- de sécuriser les accès au bâtiment ;
- d’assurer la sécurité du personnel et des clients ;
- de détecter et d’identifier des comportements potentiellement suspects ou dangereux susceptibles de provoquer des accidents ou incidents ;
- de repérer avec précision l’origine d’un incident ;
- de protéger les biens (bâtiments, installations, matériel, marchandes, liquidités, etc.) ;
- d’organiser et d’encadrer une évacuation rapide des personnes en cas d’incident ;
- de pouvoir alerter en temps utile les services de secours, d’incendie ou des forces de l’ordre ainsi que de faciliter leur intervention.
- ...
Par contre, la CNPD est généralement d’avis que les finalités suivantes ne peuvent pas être poursuivies par un responsable du traitement ayant recours à un système de vidéosurveillance, dans la mesure où un système de vidéosurveillance installé à ces fins ne respecterait pas les principes définis ci-dessous au point 4 :
- vérifier que les salariés travaillent et ne passent pas trop de temps sur leur téléphone ou à discuter avec leurs collègues ;
- vérifier le bon respect des horaires par les salariés ;
- vérifier que les salariés respectent les instructions de travail données ;
- vérifier que les salariés se comportent de façon appropriée avec la clientèle.
Avant l’installation d’un système de vidéosurveillance, le responsable du traitement devra définir, de manière précise, la ou les finalités qu’il souhaite effectivement poursuivre en recourant à un tel système, et ne pourra pas l’utiliser ensuite à d’autres fins. Ainsi, un employeur qui décide, par exemple, d’installer un système de vidéosurveillance dans l’unique but d'assurer la sécurité du personnel et des clients, ne pourra pas ensuite l’utiliser pour une autre finalité pour laquelle les données n’ont pas été collectées et utilisées initialement et qui n’a notamment pas été portée à la connaissance des salariés.
Les caméras qui sont utilisées pour les mêmes finalités par un seul responsable du traitement peuvent être documentées conjointement.
L’exemple repris ci-dessous au point 4.3 des présentes lignes directrices illustre ce principe de limitation des finalités.