L'Agence espagnole de protection des données a classé sans suite une procédure initiée à l'encontre d'un propriétaire pour l'installation de caméras de vidéosurveillance dans un logement loué, faute de preuves suffisantes attestant du traitement effectif de données personnelles.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de classement sans suite concernant une procédure engagée contre un propriétaire, A.A.A., pour l'installation présumée illicite de caméras de vidéosurveillance dans un logement loué.

L'affaire trouve son origine dans la plainte déposée le 12 septembre 2024 par une locataire, qui dénonçait l'installation de sept caméras avec enregistrement audio dans les parties communes du logement et au-dessus de la porte de sa chambre, sans en avoir été informée.

Motifs de la décision

L'autorité a examiné la situation au regard d'un manquement potentiel à l'obligation de disposer d'une base juridique pour le traitement. Cependant, elle n'a pu établir aucune infraction.

• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : L'autorité a initié une procédure de sanction en considérant que l'installation de caméras à l'intérieur d'un domicile privé, portant atteinte à l'intimité, nécessitait une base juridique valide, telle que le consentement libre, spécifique, éclairé et univoque des personnes concernées. Toutefois, les investigations menées, y compris un rapport de police, n'ont pas permis de prouver que les caméras étaient opérationnelles au moment des faits, ni qu'elles avaient effectivement enregistré ou stocké des images constituant des données personnelles. Le mis en cause ayant vendu le bien immobilier et les caméras n'étant plus présentes, toute vérification s'est avérée impossible. En application du principe de présomption d'innocence, l'autorité a conclu qu'en l'absence de preuve de charge démontrant un traitement de données, aucune infraction ne pouvait être imputée au propriétaire.

Décision de l'autorité

En conséquence, l'autorité a prononcé un classement sans suite de la procédure à l'encontre de A.A.A.

Enseignements

Cette décision rappelle que :

• La simple présence d'un dispositif de capture d'images ne suffit pas à caractériser une violation du RGPD ; il est impératif de démontrer que ce dispositif était opérationnel et a effectivement procédé à un traitement de données personnelles.
• La charge de la preuve d'une infraction incombe à l'autorité de contrôle. En l'absence de preuves matérielles suffisantes, le principe de la présomption d'innocence bénéficie au responsable de traitement présumé.
• L'installation de caméras de vidéosurveillance à l'intérieur d'un logement loué constitue une ingérence particulièrement grave dans le droit à la vie privée des locataires, protégé par les textes nationaux et européens.
• Un responsable de traitement ne peut se contenter de nier le fonctionnement d'un système ; bien que dans ce cas l'absence de preuve ait conduit au classement, il est de sa responsabilité de pouvoir démontrer sa conformité, notamment l'absence de traitement.