L'autorité espagnole de protection des données (AEPD) a clôturé une procédure concernant l'installation d'une caméra de surveillance dans un véhicule, estimant que la simple présence du dispositif, sans preuve de son activation et donc d'un traitement de données, ne suffit pas à caractériser une infraction au RGPD.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de clôture d'une procédure à l'encontre d'un particulier pour des manquements allégués en lien avec l'installation d'une caméra de surveillance à l'intérieur de son véhicule.

L'affaire trouve son origine dans une plainte déposée le 31 janvier 2025, dénonçant l'installation d'une caméra dans un véhicule, orientée vers la voie publique et sans signalétique d'information.

Motifs de la décision

La procédure avait été initiée pour une violation présumée du principe de minimisation des données. Le particulier a soutenu que la caméra, installée à des fins de sécurité suite à des dégradations sur son véhicule, n'enregistrait que lors d'une proximité excessive et restait généralement éteinte. L'autorité a analysé le manquement allégué comme suit :

• Principe de minimisation des données (article 5, paragraphe 1, point c, du RGPD) : L'autorité a examiné l'installation d'une caméra dans un véhicule à des fins dissuasives, orientée vers l'espace public. Bien que reconnaissant qu'une image est une donnée personnelle au sens de l'article 4, point 1, du RGPD, elle a estimé que la simple présence matérielle d'un dispositif d'enregistrement ne constitue pas en soi un traitement de données. En l'absence de preuve que la caméra était active et collectait des données, l'autorité a conclu que la commission d'une infraction ne pouvait être établie, le traitement de données étant la condition préalable à l'application du RGPD.

Décision de l'autorité

En conséquence, l'autorité a ordonné l'archivage de la procédure et la clôture du dossier sans sanction.

Enseignements

Cette décision rappelle que :

• La simple présence matérielle d'un dispositif de captation d'images, tel qu'une caméra, ne suffit pas à caractériser un traitement de données à caractère personnel ; la preuve de son activation et de la collecte effective de données est nécessaire.
• Il appartient à l'autorité de contrôle ou au plaignant d'apporter la preuve qu'un traitement de données a bien lieu, la seule installation d'un équipement n'étant pas suffisante pour présumer d'une infraction.
• Un traitement de données par vidéoprotection ne commence qu'au moment de la captation, de l'enregistrement ou de la transmission d'images, et non dès l'installation du matériel.
• L'installation d'une caméra dans un véhicule privé pour des motifs de sécurité, notamment pour prévenir des dégradations, peut constituer une finalité légitime, sous réserve que le traitement de données qui en découle respecte les principes du RGPD.