L'autorité italienne de protection des données (Garante) a sanctionné la commune d'Arvier pour l'utilisation d'un système de vidéosurveillance non conforme. Les manquements principaux concernent l'absence de base juridique claire et spécifique pour les finalités administratives invoquées, la violation du principe de minimisation par la captation d'une habitation privée sans masquage, ainsi que des défaillances en matière de transparence et de réalisation d'une analyse d'impact dans les délais requis.

Faits et contexte

L'autorité italienne de protection des données a aujourd'hui publié une décision de sanction à l'encontre de la commune d'Arvier (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec l'installation et la gestion de son système de vidéosurveillance sur la voie publique.

L'affaire trouve son origine dans la plainte d'une résidente se plaignant qu'une caméra municipale filmait son domicile privé.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD, en se fondant sur le raisonnement suivant :

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) et article 6 du RGPD) : La commune justifiait le traitement par des finalités administratives variées (gestion du territoire, contrôle de la voirie, protection du patrimoine) en s'appuyant sur des dispositions générales du Texte unique des lois sur l'organisation des collectivités locales et sur une loi régionale relative au financement de projets de sécurité. L'autorité a jugé cette base juridique insuffisante, rappelant que, conformément à l'article 6, paragraphe 3, du RGPD et au considérant 41, la norme fondant le traitement par une autorité publique doit être claire, précise et prévisible. Les textes invoqués, qui attribuent des compétences administratives générales ou régissent des aspects financiers, ne satisfont pas à cette exigence de qualité et ne peuvent constituer une base juridique valable pour un traitement de données par vidéosurveillance, comme le précise également l'article 2-ter du Code italien de protection des données.
• Obligation de minimisation des données et de protection des données dès la conception (article 5, paragraphe 1, point c) et article 25 du RGPD) : La caméra en cause filmait la façade de l'habitation privée de la plaignante. L'autorité a relevé que la commune n'avait mis en œuvre une mesure de masquage numérique permanent qu'après le dépôt de la plainte. Le fait que cette mesure technique était disponible et n'a pas été appliquée dès l'installation constitue une violation des principes de minimisation et de protection des données dès la conception, le traitement n'étant pas limité à ce qui était strictement nécessaire au regard des finalités poursuivies.
• Obligation de transparence (article 5, paragraphe 1, point a), article 12 et article 13 du RGPD) : L'information fournie aux personnes concernées a été jugée défaillante. Le nombre de panneaux d'information de premier niveau était initialement insuffisant et l'information de second niveau, censée être disponible sur le site internet de la commune, était en réalité inaccessible en raison d'un lien défectueux, ce qui a empêché les personnes concernées d'exercer leurs droits de manière effective.
• Obligation de réaliser une analyse d'impact (article 35 du RGPD) : La commune a réalisé une analyse d'impact relative à la protection des données le 30 juillet 2018. L'autorité a souligné que pour les traitements à risque élevé déjà en cours au 25 mai 2018, date d'entrée en application du RGPD, cette analyse aurait dû être effectuée au plus tard à cette date. Le retard dans la réalisation de cette formalité constitue donc un manquement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à la commune d'Arvier.

Enseignements

Cette décision rappelle que :

• Une base juridique pour le traitement par une autorité publique, telle que la vidéosurveillance, doit être prévue par une norme de droit claire, précise et prévisible, qui encadre spécifiquement le traitement ; des dispositions législatives attribuant des compétences administratives générales ne sont pas suffisantes.
• Le principe de protection des données dès la conception impose de mettre en œuvre des mesures techniques, comme le masquage des zones privées, dès l'installation d'un système de vidéosurveillance, et non a posteriori en réponse à une plainte.
• Pour les traitements à risque élevé préexistants à l'entrée en application du RGPD, une analyse d'impact relative à la protection des données devait être réalisée au plus tard à cette date (25 mai 2018).