Dans un arrêt du 11 décembre 2019 (Aff. C-708/18), la CJUE valide l’intérêt légitime comme base légale d’un traitement de vidéosurveillance, précisant les trois conditions devant être remplies : la poursuite d’un intérêt légitime, la nécessité du traitement pour la réalisation d’un traitement légitime et la conciliation entre les droits et libertés fondamentaux des personnes concernées, ces derniers ne devant pas prévaloir sur l’intérêt légitime poursuivi.
En l’occurrence, le litige concernait l’installation de caméras de vidéosurveillance dans un immeuble en Roumanie, installation que l’un des propriétaires considérait comme une violation de son droit au respect de sa vie privée. La CJUE était alors notamment saisie de la question de savoir si le traitement de vidéosurveillance, mis en place pour assurer la garde et la protection des personnes, biens et actifs, pouvait être fondé sur l’intérêt légitime, sans le consentement des personnes concernées.
L’intérêt légitime comme base légale du traitement
Dans l’affaire concernée, la copropriété de l’immeuble avait mis en place un système de vidéosurveillance pour contrer les nombreux cambriolages et actes de vandalismes qui avaient été perpétrés. La CJUE considère dans un premier temps que la protection des biens et des personnes constitue effectivement un intérêt légitime, précisant que ce dernier devait être démontré, à savoir être né et actuel à la date du traitement, et ne pas présenter un caractère hypothétique. La Cour précise néanmoins qu’il n’est pas nécessaire qu’il ait été porté atteinte à la sécurité des biens et des personnes pour accepter l’existence de l’intérêt légitime.
La CJUE examine dans un second temps si le traitement de vidéosurveillance constituait l’unique moyen de parvenir à lutter efficacement contre les menaces pesant sur les biens et personnes, à savoir s’il n’existait pas un autre moyen moins attentatoire aux libertés et droits fondamentaux des personnes concernées. En l’espèce, la copropriété avait antérieurement vainement tenté de mettre en place des mesures alternatives. En outre, la nécessité et proportionnalité du traitement implique la minimisation des données qui sont collectées. Les caméras de vidéosurveillance ne permettaient en l’espèce que de filmer les parties communes de l’immeuble et les voies d’accès à celui-ci.
Enfin, la CJUE rappelle que doivent être mis balance les droits et intérêts opposés ; doivent être ainsi pris en compte le caractère éventuellement sensible des données traitées, ainsi que la nature et les modalités du traitement. En l’occurrence, la CJUE a fait prévaloir l’importance de la sécurité voulue par les copropriétaires sur l’atteinte à la vie privée, jugeant par conséquent que le dispositif de vidéosurveillance était valide, même sans le consentement des personnes concernées.
Parallélisme avec les recommandations de la Cnil
La Cnil permet que la base légale d’un traitement de vidéosurveillance soit l’intérêt légitime dans un cadre de prévention, c’est-à-dire sans qu’il n’y ait eu antérieurement d’atteintes effectives. Il est dès lors tout à fait possible d’avoir recours à des systèmes de vidéosurveillances dans un immeuble, dès lors que les caméras ne filment que les espaces communs, et ne soient pas orientées vers des espaces privés (balcons, fenêtres, etc.).
Si un tel système est mis en place par une copropriété, seul le syndic ou le gestionnaire peuvent avoir accès aux images qui ne doivent être visionnées qu’en cas d’incident et conservées pour une durée d’un mois maximum. Enfin, conformément à l’obligation d’information prévue aux articles 12 à 14 du RGPD et 48 et suivants de la loi n° 78-17 du 6 janvier 1978, les personnes concernées par le traitement doivent être informées des éléments suivants :
- le responsable de traitement, ses nom et adresse ainsi que ceux du Délégué à la protection des données (DPD ou DPO pour Data Protection Officer) ;
- la finalité du dispositif ;
- la base légale du traitement ;
- les destinataires des données ;
- la durée de conservation des images ;
- la possibilité d’introduire une réclamation auprès de la Cnil.
En conclusion, si l’intérêt légitime peut constituer une base légale du traitement de vidéosurveillance, le responsable de traitement doit toujours procéder à une mise en balance des intérêts en présence, conformément aux lignes directrices du CEPD.
Virginie Bensoussan-Brulé
Chloé Perruchot
Lexing Contentieux du numérique