L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de l'Entreprise Spéciale pour la Gestion des Installations Sportives de la Commune de Trente (A.S.I.S.) pour des manquements en lien avec l'installation de caméras de vidéosurveillance dans les vestiaires d'une piscine.

Faits et contexte

L'affaire a débuté suite à des articles de presse et à des signalements concernant la présence de caméras dans un vestiaire destiné aux usagers d'une piscine gérée par l'entreprise.

Motifs de la décision

• Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) du RGPD) et de disposer d'une base juridique valable (article 6, paragraphe 1, points c) et e) du RGPD) : L'autorité a constaté que l'entreprise avait installé des caméras filmant les casiers dans les vestiaires pour prévenir les vols. Elle a jugé ce traitement illicite, car les vestiaires sont des lieux où l'attente de confidentialité est particulièrement élevée, rendant la surveillance excessivement intrusive et disproportionnée par rapport à la finalité de protection du patrimoine. L'autorité a souligné qu'un accord syndical, bien que conclu en 2007 conformément au droit du travail italien, ne peut légitimer un traitement qui contrevient aux principes de nécessité et de proportionnalité du RGPD, comme le confirme la jurisprudence de la Cour de justice de l'Union européenne (arrêt C-65/23). De plus, l'entreprise n'a pas démontré avoir évalué des mesures alternatives moins invasives, telles que l'utilisation de cadenas personnels, comme suggéré par les Lignes directrices 3/2019 du Comité européen de la protection des données (CEPD).
• Obligation de transparence et d'information des personnes concernées (article 12, paragraphe 1, et article 13 du RGPD) : L'information sur la vidéosurveillance était assurée par un unique panneau situé à l'entrée de l'établissement. L'autorité a estimé cette mesure insuffisante, en se référant aux Lignes directrices 3/2019 du CEPD (paragraphe 113), qui précisent que l'information doit être positionnée de manière à permettre à la personne concernée de comprendre les circonstances de la surveillance avant d'entrer dans la zone surveillée. Un affichage général à l'entrée ne suffit pas à informer adéquatement les usagers de la présence de caméras dans des zones spécifiques et sensibles comme les vestiaires, où l'attente de protection de la vie privée est maximale.

Décision de l'autorité

En conséquence, l'autorité a imposé une sanction à l'Entreprise Spéciale pour la Gestion des Installations Sportives de la Commune de Trente (A.S.I.S.) à hauteur de 8000 euros.

Enseignements

Cette décision rappelle que :

• La vidéosurveillance dans des lieux à haute attente de confidentialité, tels que les vestiaires ou les toilettes, est par principe considérée comme excessivement intrusive et disproportionnée, même si elle vise à protéger le patrimoine.
• Un accord collectif de travail autorisant la vidéosurveillance sur le lieu de travail ne peut légitimer un traitement de données qui viole les principes fondamentaux du RGPD, notamment ceux de nécessité et de proportionnalité.
• L'information sur la vidéosurveillance doit être fournie de manière à ce que les personnes concernées puissent connaître l'existence du dispositif avant d'entrer dans la zone surveillée ; un panneau unique à l'entrée d'un grand complexe est insuffisant pour les zones spécifiques et sensibles qu'il contient.