Dans une décision sanctionnant deux sociétés pour un total de 155 000 €, l'Autorité hellénique de protection des données analyse en détail les manquements liés à l'utilisation secondaire d'images de vidéosurveillance à des fins judiciaires et à l'obstruction délibérée du droit d'accès d'une personne concernée.

Faits et contexte

L'Autorité hellénique de protection des données a publié le 13 octobre 2026 une décision de sanction à l'encontre des sociétés MEDÉ AE et MARKET IN AEVE (comprenant le prononcé d'une amende totale de 155 000 €) pour des manquements en lien avec l'utilisation d'un système de vidéosurveillance et le respect du droit d'accès.

L'affaire trouve son origine dans une plainte déposée le 21 juillet 2023 par une personne physique concernant le traitement illicite de ses données par vidéosurveillance, leur communication à des tiers et le non-respect de son droit d'accès par les deux sociétés.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD à l'encontre des deux responsables de traitement, en se fondant sur le principe de responsabilité qui impose de mettre en œuvre les mesures appropriées pour garantir et démontrer la conformité.

• Obligation de licéité, loyauté, transparence et limitation des finalités (article 5, paragraphe 1, points a et b du RGPD) : L'autorité a constaté que les deux sociétés ont utilisé des images de vidéosurveillance à des fins judiciaires, ce qui constitue un traitement ultérieur pour une finalité distincte de celle initialement prévue (protection des biens et des personnes). Ce changement de finalité n'a pas été porté à la connaissance de la personne concernée, rendant le traitement illicite et déloyal. L'autorité rappelle, en citant l'arrêt de la Cour de Justice de l'Union Européenne dans l'affaire C-201/14 (Smaranda Bara), que l'information préalable du sujet des données est une condition essentielle à la licéité du traitement.

• Obligation de minimisation des données (article 5, paragraphe 1, point c du RGPD) : La société MARKET IN AEVE a manuellement manipulé et réorienté ses caméras pour cibler et enregistrer spécifiquement le véhicule du plaignant. L'autorité a jugé que cette action, qui ne relevait pas du fonctionnement normal du système de sécurité, constituait une collecte de données non pertinente et excessive au regard de la finalité initiale, violant ainsi le principe de minimisation.

• Obligation de transparence et d'information (article 12 et article 13 du RGPD) : Les deux sociétés n'ont pas fourni au plaignant les informations requises par le RGPD. Les panneaux d'information sur la vidéosurveillance étaient incomplets et, surtout, aucune information n'a été communiquée sur le traitement ultérieur des images à des fins judiciaires, en violation de l'article 13, paragraphe 3. De plus, en répondant aux demandes du plaignant par des demandes de clarifications superflues, elles ont entravé l'exercice de ses droits au lieu de le faciliter, comme l'exige l'article 12.

• Droit d'accès (article 15 du RGPD) : Les responsables de traitement n'ont pas répondu de manière satisfaisante à la demande d'accès claire du plaignant. Ils ont nié la communication des données avant de l'admettre, et n'ont pas fourni de copie des données personnelles traitées et communiquées aux autorités judiciaires, méconnaissant ainsi les obligations prévues à l'article 15, paragraphes 1 et 3.

• Obligation de coopération avec l'autorité de contrôle (article 31 du RGPD) : La société MARKET IN AEVE n'a pas coopéré avec l'autorité durant l'enquête, notamment en ne répondant pas aux communications et en ne soumettant pas de mémoire en défense malgré les délais accordés. Ce comportement a été qualifié de manquement distinct.

• Obligation de notifier les coordonnées du délégué à la protection des données (article 37, paragraphe 7 du RGPD) : L'autorité a relevé que la société MEDÉ AE n'avait pas communiqué les coordonnées de son délégué à la protection des données, comme l'exige cette disposition.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 60 000 € à MEDÉ AE et une amende de 95 000 € à MARKET IN AEVE.

Enseignements

Cette décision confirme que :

• L'utilisation d'enregistrements de vidéosurveillance dans le cadre d'une procédure judiciaire constitue un traitement pour une finalité nouvelle qui doit faire l'objet d'une information spécifique de la personne concernée, conformément à l'article 13, paragraphe 3 du RGPD.

• Le fait de manipuler manuellement une caméra de surveillance pour cibler une personne ou un véhicule spécifique sort du cadre de la finalité légitime de protection des biens et des personnes et contrevient au principe de minimisation des données.

• Répondre à une demande d'accès par des demandes de clarifications non justifiées, dans le but de retarder ou d'éluder la réponse, constitue une violation de l'obligation de faciliter l'exercice des droits des personnes concernées (article 12 du RGPD).