L'autorité hellénique sanctionne deux sociétés pour un total de 140 000 € pour des manquements liés à l'utilisation d'un système de vidéosurveillance, notamment le non-respect du droit d'accès, le défaut d'information et la communication illicite d'images aux autorités judiciaires.

Faits et contexte

L'autorité hellénique de protection des données a aujourd'hui publié une décision de sanction à l'encontre des sociétés MEDÉE AE et MARKET IN AEVE (comprenant le prononcé d'une amende totale de 140 000 €) pour des manquements en lien avec la gestion d'un système de vidéosurveillance et le respect des droits des personnes concernées.

L'affaire trouve son origine dans la plainte d'une personne physique dénonçant le traitement illicite de ses données via un système de vidéosurveillance, la communication des images à des tiers et le non-respect de son droit d'accès.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre des deux responsables du traitement.

Concernant la société MEDÉE AE :

• Obligation de licéité, loyauté, transparence et limitation des finalités (article 5 du RGPD) : L'autorité a constaté que la société avait utilisé des images issues de son système de vidéosurveillance, initialement installé pour la protection des biens et des personnes, afin de défendre ses droits dans une procédure judiciaire. Ce traitement ultérieur pour une finalité distincte a été jugé incompatible et déloyal, car la personne concernée n'en avait pas été informée au moment de la collecte. L'autorité rappelle que, conformément à la jurisprudence de la Cour de justice de l'Union européenne (affaire C-201/14, Smaranda Bara), l'information préalable de la personne concernée est une condition essentielle à la licéité du traitement.
• Obligation de faciliter l'exercice des droits et de répondre au droit d'accès (articles 12 et 15 du RGPD) : La société n'a pas répondu de manière satisfaisante et dans les délais à la demande d'accès du plaignant. Elle a demandé des clarifications sans justifier de la complexité de la demande, ce qui a été interprété comme une manœuvre dilatoire visant à entraver l'exercice des droits de la personne concernée.
• Obligation d'information (article 13 du RGPD) : La signalétique de vidéosurveillance en place était jugée insuffisante. Elle n'informait pas les personnes de la possibilité d'un traitement ultérieur des images, notamment leur communication à des autorités judiciaires, en violation de l'obligation de fournir une information complète dès la collecte.
• Obligation de communiquer les coordonnées du délégué à la protection des données (article 37, paragraphe 7, du RGPD) : La société n'a pas communiqué à l'autorité de contrôle les coordonnées de son délégué à la protection des données, manquant ainsi à ses obligations de publication.

Concernant la société MARKET IN AEVE :

• Obligation de licéité, de transparence et de minimisation des données (article 5 du RGPD) : Il a été établi que des agents de sécurité avaient manuellement orienté des caméras pour photographier le véhicule du plaignant lors d'un incident, puis avaient transmis ces images aux autorités judiciaires. L'autorité a considéré ce traitement comme illicite, car il n'était pas couvert par la finalité initiale du système, et non minimisé, car il ciblait spécifiquement une personne. L'argument selon lequel la photo d'un véhicule ne constitue pas une donnée personnelle a été rejeté.
• Obligation de faciliter l'exercice des droits et de répondre au droit d'accès (articles 12 et 15 du RGPD) : Tout comme le premier responsable du traitement, cette société n'a pas répondu de manière adéquate à la demande d'accès du plaignant.
• Obligation d'information (article 13 du RGPD) : La société n'a fourni aucune information au plaignant concernant la collecte ciblée de l'image de son véhicule et sa transmission ultérieure, violant ainsi le principe de transparence.
• Obligation de coopérer avec l'autorité de contrôle (article 31 du RGPD) : L'autorité a relevé un manque de coopération de la part de la société tout au long de la procédure d'instruction, ce qui constitue un manquement distinct.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 65 000 € à MEDÉE AE et une amende de 75 000 € à MARKET IN AEVE.

Enseignements

Cette décision confirme / précise / rappelle que :

• L'utilisation de données issues de la vidéosurveillance, initialement collectées pour la sécurité des biens et des personnes, dans le cadre d'une procédure judiciaire constitue un traitement ultérieur qui requiert une information spécifique et préalable de la personne concernée.
• Un responsable du traitement ne peut retarder ou refuser de répondre à une demande d'accès en invoquant un besoin de clarification que si la demande est effectivement complexe ou excessive, ce qu'il doit être en mesure de démontrer, notamment au regard des lignes directrices du Comité Européen de la Protection des Données.
• La signalétique d'un système de vidéosurveillance doit non seulement mentionner la finalité principale, mais aussi informer les personnes concernées de tout traitement ultérieur envisagé, y compris la communication des données à des tiers tels que les autorités judiciaires.
• L'image d'un véhicule, lorsqu'elle est délibérément capturée et associée à un incident impliquant une personne identifiable, constitue une donnée à caractère personnel dont le traitement doit respecter les principes du RGPD.
• Le manque de coopération avec l'autorité de contrôle au cours d'une enquête constitue un manquement distinct et peut faire l'objet d'une sanction pécuniaire spécifique.