Le non-respect du délai de réponse à une demande d'accès à des enregistrements de vidéosurveillance, entraînant leur suppression, constitue une double violation du droit d'accès (article 15) et du droit à la limitation du traitement (article 18), la conservation des images étant justifiée par l'intérêt légitime du plaignant à les utiliser pour une action en justice.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de ACVIL APARCAMIENTOS, S.L.U. (comprenant le prononcé d'une amende de 90 000 €) pour des manquements en lien avec la gestion d'une demande de droit d'accès à des images de vidéosurveillance.

La procédure a été initiée suite à une plainte déposée le 13 décembre 2024, concernant le refus de la société de fournir des enregistrements vidéo suite à un incident survenu dans l'un de ses parkings entre le 12 et le 19 février 2024.

Motifs de la décision

• Obligation de garantir le droit d'accès (article 15 du RGPD) : La société a manqué à son obligation de répondre à la demande d'accès formulée le 23 février 2024 dans le délai légal d'un mois. Sa première réponse, datée du 4 avril 2024, était non seulement tardive mais refusait l'accès en renvoyant le demandeur vers les forces de l'ordre. L'autorité a estimé que l'intérêt légitime du plaignant à obtenir les images pour identifier le responsable des dommages sur son véhicule et exercer des actions en justice prévalait. L'argument de la société selon lequel la demande était excessive en raison du volume d'heures à visionner (3 072 heures) a été écarté, le retard dans la réponse ayant précisément conduit à la suppression des images et à l'impossibilité de satisfaire la demande.
• Obligation de respecter le droit à la limitation du traitement (article 18 du RGPD) : Le plaignant avait explicitement demandé, dès sa première communication, la conservation des enregistrements en vue d'une éventuelle action judiciaire. L'autorité a considéré que cette demande constituait un exercice du droit à la limitation du traitement, justifié par la nécessité de conserver les données pour la constatation, l'exercice ou la défense de droits en justice. En supprimant les images avant d'avoir statué sur la demande et en raison de sa réponse tardive, la société a violé cette obligation, privant le plaignant des preuves nécessaires à son recours.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 90 000 € à ACVIL APARCAMIENTOS, S.L.U., après application d'une réduction pour reconnaissance de responsabilité et paiement volontaire sur un montant initial de 150 000 €.

En outre, l'autorité a ordonné à la société de mettre en place, dans un délai de trois mois, des mécanismes garantissant que les demandes d'exercice des droits soient traitées dans les délais légaux et que les enregistrements ne soient pas supprimés avant qu'une décision ne soit prise sur ces demandes.

Enseignements

Cette décision confirme / précise / rappelle que :

• L'intérêt légitime d'une victime à identifier l'auteur d'un dommage pour engager une action en justice est un motif valable pour demander l'accès à des enregistrements de vidéosurveillance.
• Une demande de conservation d'images de vidéosurveillance en vue d'un contentieux doit être traitée comme une demande de limitation du traitement au sens de l'article 18 du RGPD, ce qui impose une obligation de ne pas effacer les données concernées.
• Le non-respect du délai d'un mois pour répondre à une demande d'accès, s'il entraîne la suppression définitive des données sollicitées, constitue une violation caractérisée du droit d'accès.
• Invoquer le caractère prétendument excessif d'une demande d'accès à un volume important d'enregistrements vidéo n'est pas un motif valable pour refuser de la traiter, surtout lorsque le demandeur a circonscrit sa requête à une période et un événement spécifiques.