L'autorité italienne sanctionne une société pour un affichage de vidéosurveillance incomplet, rappelant que l'identité du responsable du traitement et la durée de conservation sont des informations essentielles du premier niveau d'information.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de la société Automania s.r.l. (comprenant le prononcé d'une amende de 800 €) pour des manquements en lien avec l'information des personnes filmées par un système de vidéosurveillance.

L'affaire trouve son origine dans un procès-verbal de la police locale de Bari, transmis à l'autorité, constatant des irrégularités sur l'affichage de vidéosurveillance d'une agence de location de voitures.

Motifs de la décision

• Obligation d'information et de transparence (article 5, paragraphe 1, point a) du RGPD et article 13 du RGPD) : Lors d'une inspection, il a été constaté que le panneau d'information du système de vidéosurveillance n'indiquait ni l'identité du responsable du traitement, ni la durée de conservation des images, et qu'aucune notice d'information détaillée n'était disponible. L'autorité rappelle que le principe de transparence, décliné par l'obligation d'information, impose de fournir aux personnes concernées les éléments essentiels du traitement. Elle se fonde sur les Lignes directrices n° 3/2019 du Comité européen de la protection des données (CEPD) qui précisent que les informations les plus importantes, comme l'identité du responsable, doivent figurer sur le panneau d'avertissement (premier niveau d'information) pour permettre aux personnes d'exercer leurs droits. L'absence de ces mentions constitue une violation de ces obligations.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 800 € à Automania s.r.l.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'information des personnes via un affichage de vidéosurveillance doit suivre le modèle à deux niveaux préconisé par le CEPD, le premier niveau (le panneau) devant obligatoirement contenir les informations les plus importantes.
• L'identité du responsable du traitement et la durée de conservation des images sont des mentions indispensables sur le panneau d'information de premier niveau.
• L'indication du responsable du traitement sur l'affichage est une condition essentielle pour permettre aux personnes concernées d'exercer effectivement leurs droits au titre des articles 15 et suivants du RGPD.