L'Autorité de protection des données italienne a publié une décision de sanction à l'encontre de la Province de la Congrégation des Frères des Écoles Chrétiennes (comprenant le prononcé d'une amende de 12 000 €) pour des manquements en lien avec l'utilisation d'un système de vidéosurveillance au sein d'un de ses établissements scolaires. Cette affaire débute par une plainte des parents d'un élève mineur, signalant qu'à la suite d'un accident survenu dans l'école, une vidéo de l'incident avait été enregistrée via un téléphone portable filmant l'écran de visionnage du système de vidéosurveillance.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a), 6 et 88 du RGPD) : L'établissement scolaire a mis en place un système de vidéosurveillance actif pendant les heures de cours, filmant des élèves mineurs et des employés dans diverses zones intérieures et extérieures. L'autorité a jugé que la base juridique de l'intérêt légitime invoquée pour des raisons de sécurité était inappropriée, considérant la mission d'intérêt public de l'école et la présence de personnes vulnérables. De plus, ce traitement constituait un contrôle à distance de l'activité des travailleurs sans respecter les garanties prévues par le droit du travail italien, qui sont une condition de licéité.

* Obligation de limitation des finalités (article 5, paragraphe 1, point b)) : La captation de la vidéo de l'accident de l'élève au moyen d'un téléphone portable filmant un écran constitue un traitement ultérieur illicite. L'autorité a estimé que, la collecte initiale des données par le système de vidéosurveillance étant illégale, tout traitement ultérieur de ces données est par conséquent également dépourvu de base légale et viole le principe de limitation des finalités.

* Obligation de transparence et d'information (article 5, paragraphe 1, point a), 12, paragraphe 1 et 13 du RGPD) : L'information fournie aux personnes concernées était insuffisante. Les panneaux d'avertissement (information de premier niveau) étaient incomplets, omettant des éléments essentiels tels que l'identité du responsable du traitement, la finalité, la base juridique ou la durée de conservation. De plus, aucune information complète de second niveau n'était accessible et il n'a pas été prouvé que les employés avaient reçu une information adéquate avant le début du traitement.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Le responsable du traitement n'a pas réalisé d'analyse d'impact avant de mettre en œuvre la vidéosurveillance. L'autorité a jugé cette analyse obligatoire, car le traitement impliquait une surveillance systématique à grande échelle d'une zone accessible au public et concernait des personnes vulnérables, à savoir des mineurs et des employés.

En conséquence, l’autorité a imposé une amende de 12 000 € à la Province de la Congrégation des Frères des Écoles Chrétiennes.

En outre, l’autorité a ordonné la publication de sa décision sur son site internet.