Une décision roumaine sanctionne une entreprise pour une vidéosurveillance excessive de ses employés, notamment dans des zones privées, et pour son incapacité à répondre à une demande de droit d'accès. L'autorité détaille les manquements aux principes de minimisation, de limitation de la conservation et à l'obligation de réaliser une analyse d'impact.

Faits et contexte

L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre de la société ASAM S.A., comprenant le prononcé d'une amende totale de 5 000 € pour des manquements liés à la gestion d'une demande de droit d'accès et à la mise en place d'un système de vidéosurveillance des employés.

L'affaire trouve son origine dans la plainte d'une personne physique qui reprochait à l'entreprise de ne pas avoir répondu de manière complète et appropriée à sa demande d'accès à ses données personnelles, notamment les images vidéo liées à son activité professionnelle.

Motifs de la décision

• Obligation de faciliter l'exercice des droits et de répondre aux demandes d'accès (articles 12 et 15 du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas fourni une réponse écrite complète et adéquate à la demande d'accès de la personne concernée. Il n'a ni communiqué toutes les informations requises par l'article 15, paragraphe 1, du RGPD, ni fourni une copie des données personnelles traitées. L'enquête a également révélé l'absence de mesures internes appropriées pour faciliter l'exercice des droits, en particulier concernant les données issues du système de vidéosurveillance.
• Respect des principes de traitement et de la licéité (article 5 et article 6 du RGPD) : L'autorité a jugé que la surveillance des employés, fondée sur l'intérêt légitime, était illicite car disproportionnée. Le système de vidéosurveillance comprenait un nombre important de caméras, dont certaines installées dans des espaces où le droit à la vie privée doit être garanti (vestiaires, entrée des toilettes, salles de repas, bureaux). De plus, la durée de conservation des images, supérieure à 30 jours, a été jugée excessive au regard des finalités, violant ainsi les principes de minimisation des données et de limitation de la conservation. Le manquement à l'obligation d'information des articles 12 et 13 a également été retenu.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'entreprise n'a pas effectué d'analyse d'impact avant la mise en service de son système de vidéosurveillance modernisé, alors que ce traitement impliquait une surveillance systématique et à grande échelle des employés, y compris par l'utilisation de fonctionnalités intelligentes. L'autorité a rappelé que ce type de traitement figure sur la liste des opérations pour lesquelles une analyse d'impact est requise, établie par la décision n° 174/2018 de l'ANSPDCP.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende totale de 26 685 lei (environ 5 000 €) à ASAM S.A., ainsi qu'un avertissement pour le manquement à l'article 35 du RGPD.

En outre, l'autorité a ordonné à l'entreprise de prendre plusieurs mesures correctrices. Celles-ci incluent de répondre de manière complète à la demande d'accès initiale, de mettre en place une procédure interne pour la gestion des droits des personnes concernées, et de mettre en conformité son système de vidéosurveillance. Cette mise en conformité passe notamment par le démantèlement des caméras dans certains espaces, la limitation de la durée de conservation à 30 jours, et la réalisation d'une information complète des personnes. Enfin, l'entreprise doit réaliser et finaliser l'analyse d'impact requise.

Enseignements

Cette décision rappelle que :

• La surveillance des employés par vidéo ne peut être justifiée par l'intérêt légitime lorsque des caméras sont installées dans des espaces dédiés à la vie privée (vestiaires, salles de repas, etc.), car une telle pratique est contraire au principe de minimisation des données.
• La mise en œuvre d'un système de vidéosurveillance à grande échelle des employés, a fortiori s'il utilise des fonctionnalités avancées, constitue une opération de traitement susceptible d'engendrer un risque élevé pour les droits et libertés et impose la réalisation préalable d'une analyse d'impact.
• L'effectivité du droit d'accès impose au responsable de traitement de disposer de procédures internes formalisées et de former son personnel pour garantir une réponse complète et dans les délais, y compris pour des données complexes comme les enregistrements vidéo.