L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de la société GRUPO MANSERCO, S.L., comprenant le prononcé d'une amende de 2 000 €, pour un manquement à l'obligation d'information concernant un système de vidéosurveillance sur le lieu de travail.

Faits et contexte

L'affaire trouve son origine dans la plainte d'un employé concernant l'installation de nouvelles caméras, potentiellement dotées de microphones et de haut-parleurs, dans les bureaux de l'entreprise, y compris dans une zone de repas et un bureau.

La société a soutenu que ces caméras n'étaient pas opérationnelles, ne réalisaient aucun enregistrement d'image ou de son, et n'avaient qu'un but dissuasif. Elle a précisé disposer par ailleurs d'un système de sécurité actif distinct, géré par un prestataire externe. Bien que la procédure ait été initialement engagée pour des violations potentielles des principes de minimisation et d'information, seule la violation de l'obligation d'information a été retenue dans la décision finale.

Motifs de la décision

L'autorité a retenu un manquement à l'obligation de transparence et d'information des personnes concernées :

• Obligation d'information (article 13 du RGPD) : L'autorité a estimé que la simple présence de dispositifs de captation d'images, même s'ils ne sont pas actifs, crée une attente de surveillance qui impose au responsable du traitement de respecter l'obligation d'information. En l'espèce, la société disposait d'un double système de caméras (l'un actif et géré par un tiers, l'autre interne et inactif) mais n'avait pas fourni aux employés une information complète et claire sur l'ensemble de ces dispositifs. L'autorité a souligné que le responsable du traitement conservait la faculté discrétionnaire d'activer les caméras inactives, ce qui rendait l'information préalable d'autant plus nécessaire pour garantir les droits des personnes concernées.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à GRUPO MANSERCO, S.L.

En outre, l'autorité a ordonné à la société d'informer ses employés et leurs représentants, dans un délai d'un mois, de la présence des dispositifs de vidéosurveillance et de fournir la preuve de cette démarche.

Enseignements

Cette décision rappelle que :

• L'obligation d'information de l'article 13 du RGPD s'applique également aux dispositifs de vidéosurveillance installés à des fins purement dissuasives et non-opérationnels, dès lors qu'ils sont susceptibles d'être activés.
• L'information fournie aux personnes concernées doit couvrir l'intégralité des systèmes de traitement existants, y compris en cas de coexistence de plusieurs systèmes (par exemple, un système actif géré par un prestataire et un système interne inactif).
• La captation de son sur le lieu de travail est soumise à un strict principe de proportionnalité et est interdite par la loi espagnole dans les lieux dédiés au repos des employés, comme les vestiaires, les toilettes ou les salles de repas.