L'autorité italienne sanctionne une commune pour l'utilisation d'un système de vidéoverbalisation sans information adéquate, sans minimisation des données et sans analyse d'impact préalable.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la commune de Vasto (comprenant le prononcé d'une amende de 5 000 €) pour des manquements en lien avec l'utilisation d'un système de vidéoverbalisation des infractions au code de la route.

L'affaire trouve son origine dans la plainte d'un particulier ayant reçu un procès-verbal pour une infraction au code de la route constatée par un dispositif vidéo, sans signalétique d'information préalable et sans occultation des passagers ou des autres véhicules.

Motifs de la décision

• Obligation de transparence et d'information (article 5, paragraphe 1, point a), article 12, paragraphe 1 et article 13 du RGPD) : L'autorité a constaté que la commune n'a pas prouvé l'existence d'une information de premier niveau (panneau) au moment de l'infraction. De plus, les panneaux fournis ultérieurement étaient non conformes : ils mélangeaient plusieurs finalités distinctes (sécurité urbaine, police judiciaire, contrôle du trafic) sans les différencier, indiquaient une durée de conservation générique et contenaient des références erronées aux droits des personnes concernées. L'autorité a également jugé que l'information de second niveau était difficilement accessible sur le site internet de la commune et que celle figurant sur le procès-verbal était obsolète et inexacte, notamment sur l'identité du responsable du traitement. L'autorité rappelle que, conformément aux Lignes directrices 3/2019 du Comité européen de la protection des données (CEPD), l'information doit être stratifiée, claire et spécifique aux finalités poursuivies.
• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a relevé que les images de l'infraction communiquées au plaignant montraient d'autres véhicules et leurs plaques d'immatriculation sans aucun masquage. Bien que la commune ait invoqué une "erreur purement technique", l'autorité a conclu à une violation du principe de minimisation. Elle s'est appuyée sur sa propre doctrine antérieure (décision du 8 avril 2010) qui impose de masquer les éléments non pertinents pour la constatation de l'infraction, tels que les passagers ou les autres usagers de la route.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a établi que l'analyse d'impact a été réalisée après la mise en service du système de vidéoverbalisation, en violation de l'obligation de l'effectuer avant le début du traitement. En outre, le document produit était jugé incomplet (non daté, non signé et sans l'avis du délégué à la protection des données) et trop générique, car il regroupait l'ensemble des systèmes de vidéosurveillance de la ville sans analyser de manière distincte et précise les risques spécifiques liés à la verbalisation des infractions routières.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 5 000 € à la commune de Vasto.

En outre, l'autorité a ordonné à la commune de mettre ses traitements en conformité, notamment en fournissant des informations de premier et second niveaux adéquates et facilement accessibles, et en complétant son analyse d'impact avec des éléments spécifiques à chaque traitement. La commune doit communiquer les mesures prises sous 30 jours.

Enseignements

Cette décision confirme / précise / rappelle que :

• L'information fournie aux personnes concernées par un système de vidéosurveillance doit être spécifique à la finalité poursuivie ; un panneau générique couvrant la "sécurité urbaine" ne suffit pas pour un traitement de verbalisation automatisée.
• L'analyse d'impact doit impérativement être réalisée avant le déploiement d'un traitement à risque élevé et doit contenir une analyse détaillée et spécifique des risques, et non une évaluation générique pour un ensemble de traitements similaires.
• Le principe de minimisation exige que les systèmes de capture d'images soient configurés pour masquer par défaut toute information non strictement nécessaire à la finalité, comme les passagers, les piétons ou les autres véhicules non impliqués dans l'infraction.
• L'accessibilité de l'information de second niveau est un critère essentiel de la transparence ; elle doit être facilement trouvable sur le site internet du responsable de traitement, via un parcours de navigation intuitif.
• L'ensemble des supports d'information (panneaux, site internet, documents officiels comme les procès-verbaux) doivent être cohérents, à jour et exacts quant aux exigences du RGPD.