Cette décision, bien que ne donnant pas lieu à une sanction, détaille l'analyse par l'autorité danoise des pratiques de vidéosurveillance d'une société de logement, en insistant particulièrement sur le caractère incomplet et passif de l'information fournie aux personnes concernées.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision clôturant une inspection à l'encontre de la société de logement fsb, sans prononcer de sanction, mais en formulant d'importantes observations sur l'utilisation de la vidéosurveillance.

L'affaire trouve son origine dans un contrôle planifié par l'autorité de contrôle en 2024, visant à examiner la conformité des pratiques de vidéosurveillance de cinq sociétés de logement, dont fsb.

Motifs de la décision

L'autorité a examiné les pratiques de fsb et a formulé plusieurs observations basées sur son analyse juridique :

• Obligation de licéité et de minimisation des données (article 5 du RGPD) : L'autorité rappelle que la vidéosurveillance, étant une forme de traitement très intrusive, ne doit être mise en œuvre que pour des motifs impérieux, tels que la prévention et la lutte contre la criminalité. Elle souligne que des mesures moins attentatoires aux droits doivent toujours être envisagées au préalable. De plus, les caméras doivent être positionnées de manière à ne pas permettre de suivre les déplacements des résidents jusqu'à leur domicile, et la nécessité de la surveillance doit être réévaluée périodiquement.

• Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : L'autorité précise que la durée de conservation maximale de 30 jours, autorisée par la loi danoise sur la vidéosurveillance, ne constitue pas une obligation. Conformément au principe de limitation de la conservation, les enregistrements doivent être supprimés dès qu'ils ne sont plus nécessaires au regard de la finalité poursuivie, ce qui peut impliquer une durée de conservation inférieure à 30 jours.

• Obligation d'information (article 14 du RGPD) : L'autorité a constaté que les informations fournies aux résidents via le site internet et les affichages étaient incomplètes. Il manquait notamment l'identité du responsable du traitement et des informations sur le droit d'introduire une réclamation. De même, la note d'information destinée aux employés était lacunaire, omettant la durée de conservation et les éventuels destinataires des données. L'autorité insiste sur le fait que le responsable du traitement doit prendre des mesures actives pour fournir ces informations, une simple mise à disposition sur un site internet étant jugée insuffisante.

• Droit d'accès (article 15 du RGPD): L'autorité a noté positivement que fsb avait mis en place des procédures internes détaillées pour traiter les demandes d'accès aux enregistrements vidéo. Ces lignes directrices prévoient notamment le floutage des autres personnes identifiables avant toute communication, ce qui a été jugé conforme aux exigences.

Décision de l'autorité

En conséquence, l'autorité n'a pas prononcé de sanction mais a clôturé son inspection par l'envoi d'une lettre formulant des observations à fsb.

Enseignements

Cette décision rappelle que :

• La mise en place d'un système de vidéosurveillance doit être justifiée par des motifs impérieux, tels qu'une criminalité avérée, et n'intervenir qu'après avoir évalué des mesures moins intrusives.

• L'emplacement et l'angle des caméras doivent être rigoureusement définis pour ne surveiller que les zones strictement nécessaires à la finalité, en évitant de suivre les allées et venues des résidents vers leur domicile privé.

• La durée de conservation des enregistrements vidéo doit correspondre au besoin réel et être la plus courte possible, même si une législation nationale autorise une durée maximale plus longue.

• L'obligation d'information ne se limite pas à la mise à disposition des mentions sur un site internet ; le responsable du traitement doit prendre des mesures actives pour s'assurer que les personnes concernées reçoivent effectivement l'information requise.

• Les procédures internes de gestion des droits des personnes, lorsqu'elles sont claires et appliquées, constituent un élément de conformité apprécié par les autorités de contrôle.