L'activation d'un système de vidéosurveillance, même en phase de test et sans enregistrement, constitue un traitement de données personnelles qui doit respecter l'ensemble des obligations du RGPD, notamment la base juridique et la transparence.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Institut National de Recherche Métrologique (INRIM) (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec l'installation et l'activation en phase de test d'un système de vidéosurveillance sur le lieu de travail.

L'affaire trouve son origine dans les plaintes de deux salariés concernant l'activation d'un système de vidéosurveillance en violation de l'accord syndical et sans information préalable des personnes concernées.

Motifs de la décision

• Obligation de licéité du traitement (article 5, paragraphe 1, point a), article 6, paragraphe 1, point c) et article 88 du RGPD) : L'autorité rappelle que le traitement de données personnelles de salariés par vidéosurveillance doit reposer sur une base juridique valide, qui, en droit italien, est conditionnée au respect de l'article 4 de la loi n° 300/1970 (Statut des Travailleurs). Cette disposition, qui constitue une mesure plus spécifique au sens de l'article 88 du RGPD, exige un accord collectif préalable. En l'espèce, bien qu'un accord ait été signé le 16 mai 2025 pour l'installation de 10 caméras périmétriques, l'institut en a installé 18 et a modifié leur emplacement, ce qui constitue une altération des zones de prise de vue proscrite par l'accord lui-même. L'activation du système, même en phase de test sans enregistrement, mais avec visualisation en temps réel durant les heures de travail, constituait un traitement de données personnelles non conforme aux modalités prévues par l'accord, et donc dépourvu de base juridique. L'autorité s'appuie sur les Lignes directrices 3/2019 du Comité européen de la protection des données (CEPD), le Parere 2/2017 du Groupe de travail Article 29 et la jurisprudence de la Cour européenne des droits de l’homme (affaire Antovic et Mirković c. Monténégro).
• Obligation de transparence (article 12, paragraphe 1 et article 13 du RGPD) : L'institut a reconnu ne pas avoir fourni d'information sur le traitement des données au personnel avant d'activer le système en phase de test, considérant que celui-ci n'était pas encore entré en "exercice". L'autorité a jugé que le traitement avait débuté dès la première activation, le 31 octobre 2025, rendant exigible l'information préalable des personnes concernées. L'affichage d'une signalétique de premier niveau le 17 novembre 2025 était donc tardif et insuffisant pour satisfaire à l'exigence de transparence dès le début du traitement.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'institut a admis avoir reporté la réalisation de l'analyse d'impact à la finalisation de la configuration technique et organisationnelle du système, mais avant sa mise en service officielle. L'autorité a conclu que cette analyse doit être menée *avant* le début du traitement, c'est-à-dire avant l'activation du système, même en phase de test. Son objectif est précisément d'évaluer et de mitiger les risques en amont de toute opération de traitement, ce qui n'a pas été fait.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à l’Institut National de Recherche Métrologique (INRIM).

Enseignements

Cette décision rappelle que :

• La phase de test d'un dispositif de traitement, telle que la vidéosurveillance, constitue un traitement de données personnelles à part entière et doit, à ce titre, respecter toutes les obligations du RGPD dès son commencement.
• La base juridique pour la surveillance des salariés sur le lieu de travail repose sur le respect strict des conditions fixées par les dispositions nationales spécifiques (accord collectif ou autorisation administrative) ; toute modification substantielle non prévue par ces cadres rend le traitement illicite.
• L'analyse d'impact relative à la protection des données et l'information des personnes concernées sont des obligations préalables qui doivent être remplies avant toute activation d'un système, y compris pour des phases de calibrage ou de vérification technique.