L'autorité danoise de protection des données a publié une décision de clôture d'inspection concernant l'utilisation de la vidéosurveillance par une société de logement social. Bien qu'aucune sanction n'ait été prononcée, la décision formule une série de rappels et de points d'attention essentiels pour les responsables de traitement mettant en œuvre de tels dispositifs, notamment sur la nécessité, la minimisation des données et l'information des personnes concernées.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision clôturant son inspection à l'encontre de la société de logement social "Arbejdernes Andels Boligforening", sans prononcer de sanction, concernant l'utilisation de la vidéosurveillance.

L'affaire trouve son origine dans une inspection planifiée par l'autorité pour l'année 2024, visant à examiner la conformité des pratiques de vidéosurveillance de cinq sociétés de logement.

Motifs de la décision

L'autorité a examiné la conformité du dispositif de vidéosurveillance au regard de plusieurs principes et obligations, formulant les observations suivantes :

• Principe de nécessité et de proportionnalité: L'autorité rappelle que la vidéosurveillance est une forme très intrusive de traitement de données. Sa mise en œuvre ne doit intervenir que pour des motifs impérieux, tels que la prévention et la lutte contre la criminalité, qui la rendent nécessaire. Des incidents isolés de vandalisme ou de vol simple ne suffisent généralement pas à justifier une surveillance. Le responsable du traitement doit avoir évalué des mesures moins intrusives et doit réévaluer périodiquement la nécessité de maintenir le dispositif, en le désactivant si les problèmes à l'origine de son installation ont disparu.

• Obligation de minimisation des données (article 5, paragraphe 1, point c, du RGPD) : Par respect pour la vie privée des résidents, les caméras doivent être placées et configurées de manière à éviter autant que possible de filmer les allées et venues des personnes à l'entrée de leur domicile. L'autorité a noté que dans une résidence, des caméras étaient orientées vers les portes d'entrée des appartements mais que des zones de masquage dynamique ("privacy zones") étaient utilisées pour ne pas filmer à l'intérieur des logements lorsque les portes s'ouvrent.

• Licéité de l'enregistrement audio (article 6 du RGPD): La captation de son par les dispositifs de vidéosurveillance n'est licite que si elle repose sur une base légale valide et est pertinente et nécessaire au regard de la finalité poursuivie. Le responsable du traitement doit systématiquement se demander si la finalité peut être atteinte par des moyens moins intrusifs, comme une vidéosurveillance sans enregistrement sonore.

• Obligation de limitation de la conservation (article 5, paragraphe 1, point e, du RGPD) : La société conservait les enregistrements pendant 30 jours, justifiant cette durée par les délais de traitement de la police. L'autorité a jugé positivement le fait qu'une réflexion ait été menée sur la durée de conservation. Elle rappelle cependant que la durée maximale autorisée par la loi nationale (30 jours) n'est pas une durée par défaut et que les enregistrements doivent être supprimés plus tôt s'il n'existe pas de besoin réel de les conserver aussi longtemps.

• Obligation d'information (articles 13 et 14 du RGPD) : L'autorité a noté que la société informait les nouveaux locataires via une notice jointe au contrat de bail et les visiteurs via des panneaux d'information clairs complétés par des codes QR renvoyant vers une information détaillée. Concernant les employés, l'information était fournie via un avenant au contrat de travail, mais l'autorité a relevé que ce document était incomplet, car il omettait notamment de mentionner la durée de conservation des données et les catégories de destinataires.

• Droit d'accès : (article 15 du RGPD) : La société disposait d'une procédure interne formalisée pour gérer les demandes d'accès aux enregistrements, incluant la vérification de l'identité, le masquage des tiers, la transmission sécurisée et la suppression ultérieure des fichiers. Cette procédure a été jugée satisfaisante par l'autorité.

Décision de l'autorité

En conséquence, l'autorité n'a pas jugé nécessaire de prendre d'autres mesures de contrôle et a clôturé l'inspection.

Enseignements

Cette décision rappelle que :

• La mise en place d'une vidéosurveillance, en particulier dans des zones résidentielles, doit être justifiée par une nécessité impérieuse et documentée, après avoir démontré l'inefficacité de mesures moins intrusives.

• Le principe de minimisation des données impose une configuration technique rigoureuse des caméras (angle, orientation, zones de masquage) pour ne pas porter une atteinte excessive à la vie privée des personnes, notamment près de leur domicile.

• La durée de conservation des enregistrements vidéo doit correspondre à un besoin réel et justifié, et ne doit pas être alignée par défaut sur la durée maximale autorisée par la législation applicable.

• L'information des personnes concernées peut être délivrée en plusieurs niveaux (panneau d'information synthétique avec code QR, notice détaillée), mais doit dans tous les cas être complète et facilement accessible.

• Les employés filmés sur leur lieu de travail doivent recevoir une information complète conforme aux exigences du RGPD, au même titre que toute autre personne concernée.