L'autorité de contrôle italienne sanctionne un professionnel pour l'installation d'un système de vidéosurveillance filmant la voie publique et enregistrant le son, en violation des principes de licéité, de minimisation et de transparence.

Faits et contexte

L'autorité italienne de protection des données (Garante) a publié une décision de sanction à l'encontre d'un professionnel, comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec l'installation d'un système de vidéosurveillance.

L'affaire a débuté par un signalement des forces de l'ordre (Carabinieri) suite à un contrôle ayant révélé l'installation de trois caméras filmant des espaces publics à l'extérieur d'un cabinet professionnel.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre du responsable du traitement :

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) et article 6 du RGPD) : L'autorité a jugé que la surveillance systématique d'espaces publics par un acteur privé est illicite, cette prérogative étant réservée aux autorités publiques pour des missions de sécurité. Le responsable du traitement ne pouvait se fonder sur son intérêt légitime pour justifier des prises de vue s'étendant majoritairement sur la voie publique, au-delà du périmètre de sa propriété. La jurisprudence de la Cour de justice (affaire C-212/13, Ryneš) est citée pour écarter l'application de l'exception domestique lorsque la surveillance s'étend à l'espace public.
• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : Le traitement a été jugé excessif au regard de la finalité de protection des biens. L'autorité a souligné que tant l'angle de vue des caméras, qui captait majoritairement la voie publique, que l'enregistrement du son étaient disproportionnés et non nécessaires pour atteindre l'objectif de sécurité invoqué. Elle se réfère sur ce point aux Lignes directrices n° 3/2019 du Comité européen de la protection des données.
• Obligation de transparence (article 5, paragraphe 1, point a) et article 13 du RGPD) : L'absence de panneaux d'information visibles signalant la présence du système de vidéosurveillance a constitué une violation de l'obligation d'informer les personnes concernées, en méconnaissance du principe de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € au responsable du traitement.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet, après anonymisation des données personnelles du responsable du traitement.

Enseignements

Cette décision rappelle que :

• La surveillance par un particulier, même pour des motifs légitimes de sécurité, ne peut s'étendre à la voie publique, cette activité étant réservée aux autorités compétentes.
• L'enregistrement audio par un système de vidéosurveillance, dans un contexte de protection des biens, est considéré comme une collecte de données excessive et non pertinente, en violation du principe de minimisation.
• L'intérêt légitime d'un responsable du traitement pour la protection de ses biens ne constitue une base juridique valable que si les prises de vue sont strictement limitées aux abords immédiats de sa propriété.
• L'absence de panneaux d'information clairs et visibles constitue une violation directe du principe de transparence et de l'obligation d'information de l'article 13 du RGPD.
• La mise en conformité rapide suite à un contrôle (réorientation des caméras, désactivation de l'audio, pose de panneaux) est un facteur atténuant pris en compte dans la détermination du montant de la sanction, mais n'efface pas l'infraction initiale.