Tout traitement de données à caractère personnel doit reposer sur une des conditions de licéité limitativement énumérées à l’article 6.1[1] du RGPD. Dans le cadre d’un système de vidéosurveillance, la condition de licéité la plus appropriée sera, de façon générale, celle du traitement nécessaire aux fins des intérêts légitimes du responsable du traitement, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la ou des personne(s) soumise(s) à la vidéosurveillance (article 6.1, f) du RGPD). La CNPD rappelle que, pour pouvoir utiliser la condition de licéité que constitue l’intérêt légitime, trois conditions cumulatives doivent être remplies :
(1) l’existence d’un intérêt légitime valable (par exemple, le fait de vouloir protéger ses biens contre le vol ou ses salariés contre les atteintes physiques[2]) ;
(2) la nécessité de traiter les données à caractère personnel pour les finalités poursuivies par l’intérêt légitime invoqué (c’est-à-dire existe-t-il des moyens alternatifs raisonnables et moins attentatoires à la vie privée, permettant d’atteindre la même finalité ?) ; et
(3) le fait que les droits et intérêts fondamentaux des personnes concernées ne doivent pas prévaloir sur les intérêts légitimes du responsable du traitement (l’« exercice de balance »).
Cette troisième condition consiste à vérifier si la vidéosurveillance ne risque pas de porter atteinte aux droits et intérêts fondamentaux des personnes concernées, et si oui, si ces droits et intérêts fondamentaux ne doivent pas prévaloir sur l’intérêt du responsable du traitement à mettre en place un système de vidéosurveillance – auquel cas la mise en place n’est pas permise[3].
Le plus souvent, les droits et libertés fondamentaux des personnes concernées prévaudront sur les intérêts légitimes poursuivis par le responsable du traitement lorsque la vidéosurveillance présente des risques d’une atteinte élevée aux droits des personnes concernées ou dans des zones où il existe une attente raisonnable de ne pas faire l’objet d’une surveillance. De telles zones sont données en exemple au point 4.5.B. ci-dessous. L’exercice de balance doit en tout état de cause être effectué au cas par cas.
Les responsables du traitement doivent être en mesure d’expliquer les choix effectués en ce qui concerne l’emplacement des caméras, les zones surveillées et les moyens techniques utilisés.
Attention : En principe, le consentement[1] ne constitue pas une base de licéité appropriée en matière de vidéosurveillance.
En effet, de par leur nature, les systèmes de vidéosurveillance ont, dans leur champ de vision, un nombre indéterminé de personnes simultanément[2]. Or, il n’est en principe pas possible pour le responsable du traitement de demander le consentement de chacune des personnes passant dans le champ de vision de la caméra, ni de prouver que chaque personne concernée a donné son consentement avant que ses données à caractère personnel ne soient traitées[3]. En outre, dans l’hypothèse où la personne concernée retire son consentement, le responsable du traitement éprouvera des difficultés à démontrer que les données à caractère personnel ne sont plus traitées[4].
L’obtention d’un consentement valide par le responsable du traitement est encore rendue plus difficile lorsque les caméras de vidéosurveillance ont dans leur champ de vision des salariés du responsable du traitement. En effet, une des conditions à remplir pour que le consentement soit valable – qui découlent de l’article 4. 11) du RGPD – est que celui-ci ait été donné librement par la personne concernée. Dans le cadre de relations de travail, étant donné la dépendance et le déséquilibre de pouvoirs qui peuvent exister dans les relations « employeur-salarié », les salariés ne sont que très rarement en mesure de pouvoir refuser ou révoquer leur consentement sans craindre d’en subir des conséquences défavorables.
Dans ces conditions, le consentement peut très rarement être considéré comme étant donné librement[5].
--------------------------------------------------------------------------------------------------
[1] cf article 6.1, a) du RGPD.
[2] Voir à cet égard les paragraphes 43 à 48 des Lignes directrices 3/2019 du Comité européen de la protection des données sur le traitement des données à caractère personnel par des dispositifs vidéo, disponibles à l’adresse suivante : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_fr.
[3] cf article 7.1 du RGPD.
[4] cf article 7.3 du RGPD.
[5] Voir à cet égard les paragraphes 21 et suivants des Lignes directrices 5/2020 du Comité européen de la protection des données sur le consentement au sens du règlement (UE) 2016/679, repris par le Comité européen de la protection des données, disponibles à l’adresse suivante :
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_fr.pdf. Voir également la section 6.2 de l’Avis 2/2017 du Groupe de Travail « Article 29 » sur le traitement des données sur le lieu de travail (WP 249), disponible à l’adresse suivante : https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610169.