Comme prévu dans son programme des contrôles pour l’année 2013, la Cnil s’intéresse de près aux systèmes de vidéosurveillance et de vidéoprotection. En effet, elle a prononcé en juillet 2013 (1), à l’encontre d’un centre commercial une mise en demeure pour avoir mis en œuvre un dispositif de vidéosurveillance non conforme aux dispositions applicables en matière de protection des données à caractère personnel.
Dans le cadre d’un contrôle sur place dans les locaux d’un supermarché, la Cnil s’est attachée à examiner les traitements vidéos mis en œuvre. Suite à ce contrôle, elle a relevé les manquements suivants à l’obligation :
- d’effectuer des formalités préalables auprès de la Cnil s’agissant du dispositif de vidéosurveillance ;
- de traiter les données de manière compatible avec les finalités pour lesquelles elles ont été collectées, la Cnil ayant constaté que le dispositif ne visait pas uniquement, comme indiqué par le responsable des lieux et dans le règlement intérieur, la sécurité et la protection des biens et des personnes, mais également le contrôle des horaires des salariés ;
- de veiller à l’adéquation, à la pertinence et au caractère non excessif des données, compte tenu du nombre et de l’emplacement des caméras permettant de couvrir la quasi-totalité des locaux de l’entreprise et conduisant ainsi à une mise sous surveillance permanente des salariés, ou encore de la visualisation continue de certains postes de travail et des accès à certains locaux, tels que les sanitaires, le cabinet médical, les salles de pauses, ainsi que les locaux du comité d’entreprise ;
- de définir une durée de conservation des données proportionnée à la finalité du traitement, les extractions vidéos effectuées en cas d’événement particulier (accrochage dans le parking, vol à l’étalage, altercations, etc.) étant conservées sans limitation de durée ;
- d’informer les personnes concernées, la mention d’information insérée dans le règlement intérieur n’étant pas conforme aux dispositions applicables et aucune affichette n’étant apposée aux entrées du magasin ;
- d’assurer la sécurité et la confidentialité des données (application de visualisation et d’extraction des vidéos accessible sans mot de passe, possibilité de visualiser les images depuis le téléphone mobile personnel de l’épouse du directeur n’exerçant pas de fonctions de direction ou de sécurité, etc.).
Compte tenu de l’importance des manquements relevés, la Cnil laisse trois mois au magasin pour prendre les mesures correctrices nécessaires à la mise en conformité de son dispositif de Vidéosurveillance et tenter ainsi d’éviter une sanction.
Céline Avignon
Alain Bensoussan
Lexing Droit Marketing électronique