L’autorité belge de protection des données (GBA) a aujourd’hui publié une décision de sanction à l’encontre d’un gestionnaire de résidence étudiante (comprenant le prononcé d’une amende totale de 9 700 €) pour des manquements liés à l’utilisation illicite de caméras de surveillance dans et autour du logement.

Cette affaire débute par une plainte déposée le 13 avril 2023, signalant l’usage non conforme de caméras filmant l’accès, le jardin des voisins et les espaces communs, pour toute la durée de présence des occupants. La plainte a été jugée recevable et a donné lieu à une enquête approfondie, clôturée en novembre 2023, puis à une procédure devant la chambre de contentieux.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité, loyauté et transparence du traitement (article 5.1.a du RGPD en lien avec article 6.1 du RGPD) : La collecte des images n’était pas fondée sur une base légale conforme. La finalité invoquée, notamment la sécurité des étudiants et la détection d’irrégularités, n’a pas été justifiée. La surveillance s’est étendue à des zones non pertinentes, comme la voie publique et les propriétés voisines, sans mesures techniques limitant la collecte.

* Obligation de licéité du traitement (article 5.2 du RGPD) : La défenderesse n’a pas démontré la légitimité du traitement ni réalisé d’évaluation d’impact ou d’intérêt légitime. Aucune base juridique valable n’a été établie, notamment pas de consentement libre et éclairé des personnes concernées.

* Obligation de limitation de la finalité et minimisation des données (article 5.1.c du RGPD) : Les caméras filmaient en permanence des zones excessives, incluant la voie publique et les propriétés voisines, sans restriction technique. Aucune mesure n’a été prise pour limiter la collecte aux seules données nécessaires.

* Obligation de tenue d’un registre des activités de traitement (article 30 du RGPD) : La défenderesse n’a pas tenu ni communiqué de registre des traitements liés aux caméras, en violation des obligations.

La chambre de contentieux a également relevé que la défenderesse a fait preuve d’un manque de coopération avec l’Inspection, n’a pas modifié la configuration des caméras malgré les alertes, et a persisté dans les violations malgré une décision antérieure de 2019. La gestion des images était confiée à un installateur, mais sans contrôle effectif de la part de la gestionnaire, dont l’état de santé n’a pas été retenu comme circonstance atténuante.

En conséquence, l’autorité a imposé une amende totale de 9 700 € à la société gestionnaire. Ce montant, bien en dessous du plafond maximal de 20 millions d’euros prévu par le RGPD, a été calculé en tenant compte de la gravité, de la durée (depuis 2018), de l’impact sur la dignité des étudiants, et de la capacité économique de la défenderesse (chiffre d’affaires brut 2023 de 32 430 €). La sanction comprend 8 000 € pour la violation de la licéité et 1 200 € pour la collecte excessive de données, augmentée de 500 € pour circonstances aggravantes liées au manque de coopération.

En outre, l’autorité a rappelé que la défenderesse pouvait faire appel de cette décision dans un délai de trente jours auprès de la cour d’appel de Bruxelles, avec la GBA en tant que partie adverse.