Décision de la Commission nationale siégeant en formation restreinte sur
l’issue de l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée
[…]
Délibération n°2FR/2025 du 26 mars 2025
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, Monsieur Marc Lemmer, commissaire, et
Monsieur Marc Hemmerling, membre suppléant ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°07AD/2024 en date du 23 février 2024, notamment son article 10,
paragraphe 2 ;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°08AD/2024 en date du 23 février 2024,
notamment son article 9 ;
Considérant ce qui suit :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
1/27
I. Faits et procédure
1. Lors de sa séance de délibération du 21 octobre 2022, la Commission
nationale pour la protection des données (ci-après : la « CNPD » ou la « Commission
nationale ») siégeant en formation plénière a décidé d’ouvrir une enquête auprès du Ministère
[…] sur le site du Lycée […] sur base de l’article 38 de la loi du 1er août 2018 portant
organisation de la Commission nationale pour la protection des données et du régime général
sur la protection des données (ci-après : la « loi du 1er août 2018 ») et de désigner Monsieur
Alain Herrmann comme chef d’enquête.
2. Ladite décision a précisé que l’enquête menée par la CNPD avait pour objet
de contrôler l'application et le respect du règlement (UE) 2016/679 du Parlement européen et
du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du
traitement des données à caractère personnel et à la libre circulation de ces données, et
abrogeant la directive 95/46/CE (ci-après : le « RGPD ») et de la loi du 1er août 2018, et « la
conformité des éventuelles mesures de surveillance mises en œuvre par le Ministère […] et
la Direction dudit établissement, le cas échéant, au moyen d’un dispositif de
vidéosurveillance »1.
3. Le Ministère […] sis à […], […], est une administration gouvernementale […]
(ci-après : le « Ministère »).
4. Le Lycée […] sis à […], […] (ci-après : le « Lycée »), est un établissement
scolaire administré sous la forme d’un service de l’Etat à gestion séparée2, dépourvu de la
personnalité juridique, mais bénéficiant d’une autonomie administrative et financière sous la
tutelle du Ministère […].
5. En date du 15 décembre 2022, des agents de la CNPD ont effectué une visite
sur place sur le site du Lycée (ci-après : la « visite sur place »). Ce moment est référencé
ultérieurement dans cette décision comme « début de l'enquête ».
1 Délibération n° […] du 21 octobre 2022 de la Commission nationale pour la protection des données relative à
l'ouverture d'une mission d'enquête auprès du Ministère […] sur le site du Lycée […].
2 Aux termes de l’article 29 de la loi du 26 avril 2024 concernant le budget des recettes et des dépenses de l’Etat
pour l’exercice 2024, « […] ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
2/27
6. Par courriel en date du 20 décembre 2022, le Lycée a communiqué à la CNPD
des informations complémentaires demandées lors de la visite sur place.
7. Le procès-verbal no. […] relatif à la visite sur place effectuée en date du 15
décembre 2022 sur le site du Lycée (ci-après : le « procès-verbal ») dressé par les agents de
la CNPD a été envoyé au contrôlé par courrier en date du 22 décembre 2022 ensemble avec
une demande d’informations complémentaires.
8. Il résulte de ce procès-verbal que :
- le dispositif de vidéosurveillance dans l’enceinte du Lycée est composé de 12 caméras
dont 8 caméras fixes et 4 caméras de type « dôme » (ci-après : le « dispositif de
vidéosurveillance »)3 ;
- le dispositif de vidéosurveillance fonctionne en permanence (24 heures sur 24) et dispose
d’une vision nocturne mais n’enregistre que lorsqu’il y a une détection d’un mouvement
dans le champ de vision4 ;
- les images issues du dispositif de vidéosurveillance peuvent être visionnées en temps réel
par les 6 membres de l’équipe technique du Lycée « à partir des ordinateurs installés dans
les loges A et B ». Cependant, ces personnes n’ont pas accès aux images du dispositif
précité. L’accès aux images enregistrées par ledit dispositif est réservé exclusivement au
directeur et au directeur adjoint du lycée en cas de suspicions ou de problèmes5.
Les contrôlés n’ont pas formulé d’observations à l’encontre du procès-verbal.
9. En date du 26 janvier 2023, la CNPD a envoyé un questionnaire
complémentaire au Ministère.
10. Suite à plusieurs relances concernant la réponse au questionnaire
complémentaire6 […] le Ministère a finalement répondu le jour même7.
3
Procès-verbal, Constat 1.
4
Procès-verbal, Constat 9.
5
Procès-verbal, Constat 13.
6
[…].
7
Communication des griefs, Pièce n°1.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
3/27
11. Le 27 juillet 2023, des vérifications additionnelles ont été effectuées sur le site
du Lycée par les agents de la CNPD (ci-après : « les vérifications additionnelles »).
12. Le procès-verbal no. […] relatif à la visite sur place effectuée en date du 27
juillet 2023 sur le site du Lycée (ci-après : le « deuxième procès-verbal ») dressé par les
agents de la CNPD a été envoyé au contrôlé par courrier en date du 31 juillet 2023. Le 28
juillet 2023 une demande d’information complémentaire a été envoyé au Lycée.
13. Il résulte du deuxième procès-verbal que :
- le système de sécurisation de la porte d’accès au bâtiment A est protégé par une porte
fermée à clé. Le système de sécurisation de la porte d’accès au bâtiment B est protégé
par un système de badge d’accès8 ;
- l’accès au local technique abritant le disque dur des enregistrements issus du dispositif de
vidéosurveillance au sous-sol du bâtiment B est protégé par une porte fermée à clé9.
14. En date du 5 septembre 2023, le Lycée a formulé des observations à l’encontre
du deuxième procès-verbal, et a répondu le 21 septembre à la demande d’information
complémentaire.
15. A l'issue de son instruction, le chef d'enquête a notifié au Ministère en date du
6 juin 2024 une communication des griefs (ci-après : la « communication des griefs initiale »)
détaillant les manquements qu'il estimait constitués en l'espèce par rapport aux exigences
prescrites par l’article 5.2 du RGPD (principe de responsabilité), l’article 13.1 et 13.2 du RGPD
(droit à l'information), l’article 5.1.a) du RGPD (principe de transparence), l’article 25.2 du
RGPD (obligation de minimiser les données traitées par rapport à la finalité poursuivie),
l’article 25.2 du RGPD (principe de limitation de conservation) et l’article 32.1 du RGPD
(obligation de sécurité de traitement).
Le chef d’enquête a proposé à la Commission nationale siégeant en formation restreinte (ci-
après : la « Formation Restreinte ») d’adopter cinq mesures correctrices différentes. La
faculté de formuler ses observations écrites sur la communication des griefs a été offerte au
Ministère.
8
Deuxième procès-verbal, point G.
9
Deuxième procès-verbal, point G.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
4/27
16. Par courrier en date du 26 juillet 2024, le Ministère a formulé ses observations
relatives à la communication des griefs initiales selon lesquelles il conteste sa qualité de
responsable du traitement10.
17. Le 1er août 2024, le chef d’enquête a fait sienne l’interprétation du Ministère
quant à la requalification du responsable du traitement. Ainsi, une deuxième communication
des griefs datant du 8 août 2024 a été adressée au Lycée (ci-après : « la communication des
griefs »). La faculté de former ses observations écrites sur la communication des griefs a été
offerte au Lycée, qui n’a pas communiqué d’observations au chef d’enquête.
18. Le chef d’enquête a transmis le dossier à la Formation Restreinte en vue d'une
prise de décision quant à l'issue de l'enquête.
19. La présidente de la Formation Restreinte a informé les contrôlés par courrier
en date du 2 octobre 2024, que l’affaire serait inscrite à la séance de la Formation Restreinte
du 26 novembre 2024 et qu’il leur était offert la possibilité d'y être entendus.
20. Les contrôlés ont indiqué qu’ils n’assisteraient pas à cette invitation de la
Formation Restreinte.
21. Lors de cette séance, le chef d’enquête a exposé ses observations orales à
l’appui de ses observations écrites et a répondu aux questions posées par le Formation
Restreinte.
22. La décision de la Formation Restreinte sur l’issue de l’enquête se basera :
- sur les traitements effectués par les contrôlés pris en compte par le chef d’enquête dans
sa communication des griefs ; et
- sur les dispositions légales et réglementaires en cause.
10
Communication des griefs, Pièce n°77.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
5/27
II. En droit
II.1. Sur les motifs de la décision
A. Sur la qualité des contrôlés et la détermination du responsable du traitement
1. Sur les principes
23. Conformément à l'article 4.7 du RGPD, le responsable du traitement est « la
personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul
ou conjointement avec d'autres, détermine les finalités et les moyens du traitement [...] ».
24. Le Comité Européen de la Protection des Données (ci-après le : « CEPD »),
dans ses lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-
traitant, précise qu’ « en principe, il n’existe aucune limite au type d’entité susceptible
d’assumer le rôle de responsable du traitement »11.
25. Le CEPD indique encore que la notion de responsable du traitement est une
notion fonctionnelle et qu’ « elle repose donc sur une analyse factuelle plutôt que formelle.[…]
Dans la plupart des cas, l’« organe qui détermine » peut être aisément et clairement identifié
par référence à certaines circonstances juridiques et/ou factuelles dont on peut normalement
déduire une « influence », à moins que d’autres éléments n’indiquent le contraire »12.
26. Enfin, le CEPD précise qu’ « [e]n l’absence de contrôle découlant de
dispositions légales, la désignation d’une partie comme responsable du traitement doit être
établie en se fondant sur une appréciation des circonstances factuelles dans lesquelles
s’inscrit le traitement. Toutes les circonstances factuelles pertinentes doivent être prises en
considération pour déterminer si une entité donnée exerce une influence déterminante sur le
traitement de données à caractère personnel en question »13.
11
CEPD, Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans
le RGPD, Version 2.0, adoptées le 7 juillet 2021, page 3.
12
CEPD, Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans
le RGPD, Version 2.0, adoptées le 7 juillet 2021, point 21, page 12.
13
CEPD, Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans
le RGPD, Version 2.0, adoptées le 7 juillet 2021, point 25, page 13.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
6/27
2. En l’espèce
27. Lors de la visite sur place, le Lycée a déclaré que « le Ministère n’a pas été
impliqué dans la mise en place du dispositif de vidéosurveillance et que la décision a été prise
par la direction du Lycée en sa qualité de chef d’établissement, cette dernière jouissant d’une
certaine autonomie dans la mise en place des moyens jugés adéquats aux fins de remplir ses
diverses missions »14.
28. En outre, le Lycée a encore déclaré lors de la visite sur place que « la direction
du Lycée a choisi le prestataire chargé d’installer le dispositif de vidéosurveillance, a validé le
devis du prestataire et a financé le dispositif avec le budget propre du Lycée (PIECE 01, cf.
Q4, Q8, Q16, p.6-8). Le Directeur du Lycée a par ailleurs précisé que la direction du Lycée a,
soit seule, soit en concertation avec le prestataire, décidé des modalités de fonctionnement
du dispositif, du lieu d’installation, du champ de vision, des horaires de fonctionnement et des
paramétrages des caméras, ainsi que de la durée de conservation des données collectées à
l’aide des caméras (PIECE 01, cf. Q9-Q14, p. 6-7) »15.
29. La Formation Restreinte estime que le Lycée est à qualifier de « responsable
du traitement » au sens de l’article 4.7 du RGPD, alors qu’il résulte de ce qui précède qu’il a
déterminé les moyens et les finalités des traitements de données à caractère personnel
découlant du dispositif de vidéosurveillance.
B. Sur le manquement lié au principe de responsabilité (article 5.2 du RGPD)
1. Sur les principes
30. L’article 5.2) du RGPD dispose que « [l]e responsable du traitement est
responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est
respecté (responsabilité) ». Le paragraphe 1 dudit article dispose notamment que « [l]es
données à caractère personnel doivent être : a) traitées de manière licite, loyale et
transparente au regard de la personne concernée (licéité, loyauté, transparence) ».
31. Le considérant 74 du RGPD énonce notamment qu’ « [i]l importe, en
particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures
14
Communication des griefs, point 12.
15
Communication des griefs, point 13.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
7/27
appropriées et effectives et soit à même de démontrer la conformité des activités de traitement
avec le présent règlement, y compris l’efficacité des mesures ».
32. En outre, la Cour de justice de l’Union européenne (ci-après : la « CJUE »)
précise qu’« [a]ux termes du paragraphe 2 de l’article 5 du RGPD, le responsable du
traitement, conformément au principe de « responsabilité » énoncé à cette disposition, est
responsable du respect du paragraphe 1 de cet article et doit être en mesure de démontrer
qu’il respecte chacun des principes énoncés à ce paragraphe 1, une telle preuve étant ainsi
mise à sa charge »16.
33. L’article 6.1, f) du RGPD dispose que « le traitement est nécessaire aux fins
des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que
ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui
exigent une protection des données à caractère personnel, notamment lorsque la personne
concernée est un enfant ».
34. Le considérant (47) du RGPD énonce notamment que « les intérêts légitimes
d’un responsable du traitement (…) peuvent constituer une base juridique pour le traitement,
à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne
prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur
relation avec le responsable du traitement ».
35. Ainsi, tel que relevé par la CJUE, la disposition de l’article 6.1, f) du RGPD
« prévoit trois conditions cumulatives pour que les traitements de données à caractère
personnel qu’elle vise soient licites, à savoir, premièrement, la poursuite d’un intérêt légitime
par le responsable du traitement ou par un tiers, deuxièmement, la nécessité du traitement
des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi et,
troisièmement, la condition que les intérêts ou les libertés et les droits fondamentaux de la
personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du
responsable du traitement ou d’un tiers »17.
16
Arrêt de la CJUE du 4 mai 2023, UZ v. Bundesrepublik Deutschland, C-60/22, ECLI:EU:C:2023:373, points 53
et 54.
17
Arrêt de la CJUE du 17 juin 2021, M.I.C.M., C-597/19, EU:C:2021:492, point 106 et jurisprudence citée,
Jugement de la CJUE du 4 juillet 2023, Meta v. Bundeskartellamt. C-252/21, ECLI :EU :C :2023 :357), point 106.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
8/27
36. Par conséquent, en vertu du principe de responsabilité, le responsable du
traitement qui fonde son traitement sur la base légale de l’intérêt légitime, doit être à même
de rapporter la preuve que les conditions cumulatives précitées sont réunies. Ainsi, il lui
incombe notamment de démontrer que le test de mise en balance a été effectué de manière
appropriée et que les intérêts ou les libertés et droits fondamentaux de la personne concernée
ne l’emportent pas sur les intérêts légitimes qu’il poursuit.
2. En l’espèce
37. Lors de la visite sur place, le Lycée a déclaré aux agents de la CNPD que la
base de licéité du traitement mis en œuvre par le système de vidéosurveillance est l’intérêt
légitime, à savoir le contrôle des accès et la protection des biens en vue de détecter les
effractions, vols et/ou vandalisme18.
38. Ce dernier a également indiqué qu’aucune mise en balance entre ses intérêts
légitimes et les intérêts ou les libertés et droits fondamentaux des personnes concernées
n’avait été effectuée19. En agissant de la sorte, le Lycée a méconnu l’une des trois conditions
cumulatives énoncées au point 35, ci-avant, à savoir effectuer le test de mise en balance et
démontrer que les intérêts ou les libertés et droits fondamentaux de la personne concernée
ne l’emportent pas sur les intérêts légitimes qu’il poursuit. Le Lycée n’était donc pas à même
de rapporter la preuve que cette condition était respectée. Or, cette charge de la preuve lui
incombe pourtant en vertu de l’article 5.2 du RGPD.
39. Dès lors, la Formation Restreinte se rallie à l’avis du chef d’enquête et estime
qu’une non-conformité à l’article 5.2 du RGPD était acquise au jour de la visite sur place des
agents de la CNPD.
18
Procès-verbal, Constat 6.
19
Procès-verbal, Constat 6.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
9/27
C. Sur le manquement lié au principe de transparence (article 5.1.a) du RGPD) et aux
obligations d’information (articles 13.1 et 13.2 du RGPD)
1. Sur les principes
40. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des obligations
générales de transparence au sens du RGPD.
41. En effet, en vertu de l’article 5.1.a) du RGPD, les données à caractère
personnel doivent être traitées, entre autres, de manière transparente au regard des
personnes concernées (principe de transparence). L’article 12 du RGPD prévoit que « le
responsable de traitement prend des mesures appropriées pour fournir toute information visée
aux articles 13 et 14 (…) en ce qui concerne le traitement à la personne concernée d’une
façon concise, transparente, compréhensible et aisément accessible ».
42. De plus, lorsque la personne concernée en fait la demande, les informations
peuvent être fournies oralement20. Les lignes directrices du Groupe de Travail Article 29 sur
la transparence au sens du règlement (UE) 2016/679, adoptées le 11 avril 2018, énoncent
que « [l]e responsable du traitement devrait (…) veiller à conserver une trace écrite, et
s’assurer qu’il est en mesure de le prouver (aux fins de la conformité à l’exigence de
responsabilité), de : i) la demande d’informations par voie orale, ii) la méthode par laquelle
l’identité de la personne concernée a été vérifiée (…) et iii) du fait que les informations ont été
transmises à la personne concernée »21.
43. L’article 13 du RGPD prévoit ce qui suit :
« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où
les données en question sont obtenues, toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
20
Article 12.1 du RGPD.
21
Lignes directrices du Groupe de Travail Article 29 sur la transparence au sens du règlement (UE) 2016/679,
adoptées le 11 avril 2018, point 21.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
10/27
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert
de données à caractère personnel vers un pays tiers ou à une organisation internationale, et
l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le
cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa,
la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou
l'endroit où elles ont été mises à disposition ;
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la
personne concernée, au moment où les données à caractère personnel sont obtenues, les
informations complémentaires suivantes qui sont nécessaires pour garantir un traitement
équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;
b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement
relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la
portabilité des données ;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment, sans
porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de
celui-ci ;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
11/27
e) des informations sur la question de savoir si l'exigence de fourniture de données à caractère
personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion
d'un contrat et si la personne concernée est tenue de fournir les données à caractère
personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22,
paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique
sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la
personne concernée.
3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère personnel
pour une finalité autre que celle pour laquelle les données à caractère personnel ont été
collectées, le responsable du traitement fournit au préalable à la personne concernée des
informations au sujet de cette autre finalité et toute autre information pertinente visée au
paragraphe 2.
4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations ».
44. Enfin, dans ses lignes directrices 3/2019 sur le traitement des données à
caractère personnel par des dispositifs vidéo22, le CEPD offre des précisions quant aux
modalités de communication des informations précitées. Il y précise qu’ « à la lumière du
volume d’informations à fournir à la personne concernée, le responsable du traitement peut
adopter une approche à plusieurs niveaux, par laquelle il choisit d’utiliser plusieurs méthodes
pour garantir la transparence (WP 260, paragraphe 35, « P 89, paragraphe 22). En ce qui
concerne la vidéosurveillance, les informations les plus importantes devraient être affichées
sur le panneau d’avertissement en tant que tel (premier niveau), tandis que les autres détails
obligatoires peuvent être fournis par d’autres moyens (deuxième niveau) »23.
22
Lignes directrices 3/2019 du CEPD sur le traitement de données à caractère personnel pour des dispositifs
vidéo, adoptés le 29 janvier 2020.
23
Lignes directrices 3/2019 du CEPD sur le traitement de données à caractère personnel pour des dispositifs
vidéo, adoptés le 29 janvier 2020, point 11.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
12/27
2. En l’espèce
45. Lors de la visite sur place, les agents de la CNPD ont constaté que l’unique
signalétique affichée aux entrées du Lycée24 concernant la vidéosurveillance se résumait à
trois panneaux sur lesquels figuraient un pictogramme de caméra, ainsi que la mention « zone
sous vidéosurveillance », sans autres informations25.
46. Or, la Formation Restreinte rappelle que les lignes directrices en matière de
vidéosurveillance de la CNPD énoncent qu’ « [a]fin d’informer les personnes concernées de
la présence d’un système de vidéosurveillance, la CNPD recommande de communiquer, par
exemple via des panneaux d’affichages, un premier niveau d’informations contenant :
l’identité et les coordonnées du responsable du traitement ; la/les finalité(s) du traitement ;
l’existence des droits dont disposent les personnes concernées ; la mention qu’une
information plus complète existe (second niveau d’information) et les moyens d’y accéder (par
exemple un hyperlien renvoyant vers le site internet du responsable du traitement, l’utilisation
d’un code QR, un numéro de téléphone à appeler ou l’indication de l’emplacement où cette
information plus détaillée est disponible »26.
47. La Formation Restreinte relève donc que l’information de premier niveau (les
panneaux), tel que constaté au jour de la visite sur place, ne comportait aucune des
informations précitées, ni ne renvoyait à un document de second niveau qui contiendrait les
informations manquantes.
48. En outre, le Lycée a déclaré lors de la visite sur place que les informations
concernant la vidéosurveillance auraient été fournies oralement aux élèves et au personnel
enseignant27.
49. Selon le Lycée, cette information aurait été fournie aux élèves par les régents
de classe, tel que cela ressort de leurs tâches administratives28. Or, la Formation restreinte
se rallie à l’avis du Chef d’enquête qui « estime que l’extrait de tâches administratives ne
24
Communication des griefs, point 40, Pièces n° 45 à 47, Pièces n° 48 et 23, et Pièces n° 49 et 50.
25
Communication des griefs, point 40, Procès-verbal, Constat 20.
26
Lignes directrices de la CNPD en matière de vidéosurveillance : https://cnpd.public.lu/fr/dossiers-
thematiques/surveillance/videosurveillance.html.
27
Communication des griefs, points 41 à 42, Pièces n° 51 à 54.
28
Communication des griefs, point 41, Pièces n° 51 et 52.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
13/27
permet pas de démontrer qu’une information au sens du RGPD a effectivement été fournie
aux élèves »29.
50. En ce qui concerne l’information vis-à-vis du personnel enseignant, le Lycée
reste en défaut de rapporter la preuve d’une quelconque information30. Celui-ci ayant déclaré
ne pas avoir de trace d’une telle communication31. En tout état de cause, une simple
affirmation orale du Lycée n’aurait pas permis de prouver que les exigences du RGPD étaient
respectées32.
51. En outre, aucune information ne semble avoir été fournie quant aux personnes
concernées extérieures au Lycée (par exemple des parents d’élèves) autres que les élèves
ou le personnel enseignant33.
52. Ainsi, en l’absence de toute forme d’information, la Formation restreinte
considère que le Lycée a méconnu les exigences des articles 5.1.a), 13.1 et 13.2 du RGPD.
53. De plus, le Lycée ne justifie pas du fait que la fourniture orale de ces
informations ait été demandée par les personnes concernées, en méconnaissance de l’article
12.1 du RGPD34.
54. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête et conclut qu’une non-conformité à l’article 5.1.a) lié à article 13.1 et 13.2 du RGPD
était acquise au jour de la visite sur place des agents de la CNPD.
D. Sur le manquement lié au principe de minimisation des données (article 5.1, c) du RGPD)
et à l’obligation de la protection des données par défaut (article 25.2 du RGPD)
1. Sur les principes
55. L’article 5.1.c) du RGPD prévoit que « [l]es données à caractère personnel
doivent être adéquates pertinentes et limitées à ce qui est nécessaire au regard des finalités
pour lesquelles elles sont traitées (minimisation des données) ». Le considérant (39) du
29
Communication des griefs point 41.
30
Communication des griefs, point 42, Pièces n°53 et 54.
31
Communication des griefs, point 42 ; courriel du Lycée en date du 21 décembre 2022.
32
Communication des griefs, point 42.
33
Procès-verbal, Constat 21.
34
Article 12.1 du RGPD.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
14/27
RGPD précise que « les données à caractère personnel ne devraient être traitées que si la
finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens ».
56. Les lignes directrices 3/2019 sur le traitement de données à caractère
personnel pour des dispositifs vidéo précitées énoncent qu’ « [a]vant d’installer un système
de vidéosurveillance, le responsable du traitement devrait toujours examiner de manière
critique si cette mesure est, d’une part, appropriée pour atteindre l’objectif visé et, d’autre part,
adéquate et nécessaire à cette fin. Il convient d’opter pour des mesures de vidéosurveillance
uniquement si la finalité du traitement ne peut pas être raisonnablement réalisée par des
moyens moins susceptibles de porter atteinte aux libertés et droits fondamentaux des
personnes concernées »35.
57. Quant au principe de la protection des données par défaut détaillé à l’article
25.2 du RGPD, celui-ci impose l’adoption de mesures consistant à limiter par défaut le
traitement à ce qui est strictement nécessaire.
58. Dans ses lignes directrices 4/2019 relatif à l’article 25 du RGPD36, le CEPD
précise que « [d]ans sa définition courante en informatique, le terme « par défaut » fait
référence à la valeur préexistante ou présélectionnée d’un paramètre configurable qui est
attribuée à une application logicielle, un programme informatique ou un dispositif informatique.
Ces paramètres sont également appelés « préréglages » ou « réglages d’usine », en
particulier pour les appareils électroniques »37.
59. Le CEPD clarifie ensuite que « le terme «par défaut», dans le cadre du
traitement de données à caractère personnel, désigne le fait de faire des choix concernant
les valeurs de configuration ou les options de traitement définies ou prescrites dans un
système de traitement, tel qu’une application logicielle, un service ou un dispositif, ou une
procédure de traitement manuel, qui affectent la quantité de données à caractère personnel
35
Lignes directrices 3/2019 du CEPD sur le traitement de données à caractère personnel pour des dispositifs
vidéo, adoptés le 29 janvier 2020, point 24.
36
Lignes directrices du CEPD 4/2019 relatif à l’article 25, Protection des données dès la conception et protection
des données par défaut, Version 2.0, adoptées le 20 octobre 2020.
37
Lignes directrices du CEPD 4/2019 relatif à l’article 25, Protection des données dès la conception et protection
des données par défaut, Version 2.0, adoptées le 20 octobre 2020, point 40.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
15/27
collectées, l’étendue de leur traitement, la durée de leur conservation ainsi que leur
accessibilité »38.
2. En l’espèce
60. Il y a lieu de relever que le Lycée a mis en œuvre un dispositif de
vidéosurveillance à des fins de contrôle des accès, et à des fins de protection des biens en
vue de détecter des effractions, vols et/ou vandalisme39. Ce dispositif fonctionnait en
permanence, y compris durant les heures d’ouverture du Lycée40.
61. Lors de la visite sur place, les agents de la CNPD ont constaté que les champs
de vision des caméras INNENHOF41 et EINGANG TURNHALLE42 comprenaient des accès
mais également des espaces destinés au temps de loisir et au sport43, […].
62. La Formation Restreinte se rallie à l’avis du chef d’enquête en ce qu’il a
considéré que « les espaces de vie et de loisirs d’un établissement scolaire, où les élèves,
les enseignants et le personnel sont susceptibles de passer leur temps de pause et peuvent
se déplacer librement entre les périodes de cours, tels que la cour d’école, un terrain de sport
ou une cantine, ne devraient en principe pas faire l’objet de mesures de vidéosurveillance
durant les heures d’ouverture de l’établissement scolaire »44 et estimé que « la surveillance
des élèves, des enseignants et du personnel dans des espaces destinés au temps de loisir
et au sport, […], est en principe disproportionnée au regard des finalités poursuivies par le
Responsable du traitement et constitue une atteinte excessive à la sphère privée des
élèves »45.
63. Ainsi, s’agissant du contrôle des accès, la Formation Restreinte rappelle que
« [l]es caméras destinées à surveiller un lieu d’accès (entrée et sortie, seuil, perron, porte,
auvent, hall, etc.) doivent avoir un champ de vision limité à la surface strictement nécessaire
38
Lignes directrices du CEPD 4/2019 relatif à l’article 25, Protection des données dès la conception et protection
des données par défaut, Version 2.0, adoptées le 20 octobre 2020, point 41.
39
Procès-verbal Constat 5, Constat 6 ; Communication des griefs, point 51, Pièce n°55.
40
Procès-verbal, Constat 9.
41
Communication des griefs, Pièce n° 10.
42
Communication des griefs, Pièce n°09.
43
Procès-verbal, Constat 17.
44
Communication des griefs, point 58.
45
Communication des griefs, point 59.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
16/27
pour visualiser les personnes s’apprêtant à y accéder »46. Dès lors, elle relève, à l’instar du
chef d’enquête47, qu’il n’était pas nécessaire d’englober dans le champ de vision des caméras
précitées des espaces de vie et de loisirs du Lycée.
64. S’agissant de la protection des biens, la Formation restreinte se rallie à l’avis
du chef d’enquête et considère que le Lycée n’a pas démontré pourquoi il aurait été
nécessaire de filmer des espaces de vie et de loisirs durant les heures d’ouverture du Lycée.
65. En tout état de cause, la Formation restreinte rappelle que « [l]e principe de
nécessité implique tout d’abord qu’un responsable du traitement ne doit avoir recours à un
dispositif de vidéosurveillance que lorsqu’il n’existe pas de moyens alternatifs moins
attentatoires à la vie privée des personnes concernées pour atteindre la finalité
recherchée »48. Dès lors, elle estime, à l’instar du chef d’enquête, que pendant les heures
d’ouverture du Lycée, ce dernier aurait pu mettre en œuvre des moyens alternatifs, tels qu’un
encadrement par le personnel49.
66. En ce qui concerne le grief à l’article 25.2 du RGPD retenu par le chef
d’enquête dans sa communication des griefs, la Formation Restreinte est d’avis qu’elle n’est
pas en possession de suffisamment de précisions techniques sur les préréglages concrets du
dispositif de vidéosurveillance permettant de conclure que le principe de la protection des
données par défaut en tant que tel n’a pas été respecté. Il s’ensuit qu’elle n’est pas en mesure
de retenir un manquement à l’obligation de la protection des données par défaut selon l’article
25.2 du RGPD.
67. Au vu de ce qui précède, la Formation Restreinte conclut qu’une non-
conformité à l’article 5.1.c) du RGPD était acquise au jour de la visite sur place des agents de
la CNPD.
46
Lignes directrices de la CNPD en matière de vidéosurveillance de la CNPD :
https://cnpd.public.lu/content/dam/cnpd/fr/dossiers-thematiques/videosurveillance/cnpd-lignes-directrices-
vidosurveillance-2024.pdf.
47
Communication des griefs, point 60.
48
Lignes directrices de la CNPD en matière de vidéosurveillance :
https://cnpd.public.lu/content/dam/cnpd/fr/dossiers-thematiques/videosurveillance/cnpd-lignes-directrices-
vidosurveillance-2024.pdf.
49
Communication des griefs, point 61.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
17/27
E. Sur le manquement lié au principe de la limitation de la conservation des données (article
5.1.e) du RGPD) et à l’obligation de la protection des données par défaut (article 25.2 du
RGPD)
1. Sur les principes
68. Aux termes de l’article 5.1.e) du RGPD « [l]es données à caractère personnel
doivent être conservées sous une forme permettant l'identification des personnes concernées
pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles
elles sont traitées ».
69. D’après le considérant (39) du RGPD, le principe de limitation de la
conservation exige notamment « de garantir que la durée de conservation des données soit
limitée au strict minimum (…) Afin de garantir que les données ne sont pas conservées plus
longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement
pour leur effacement ou pour un examen périodique ».
70. Les lignes directrices de la CNPD en matière de vidéosurveillance énoncent
que « les images peuvent être conservées en principe jusqu’à 8 jours. Le responsable du
traitement peut exceptionnellement conserver les images pour une durée de 30 jours.
Toutefois, il y a lieu d’indiquer les raisons qui justifient une telle durée de conservation dans
le registre des traitements ».
71. Concernant le principe de protection des données par défaut, il est renvoyé
aux points 57 à 59 de la présente décision.
2. En l’espèce
72. Lors de la visite sur place, les agents de la CNPD ont constaté que le dispositif
de vidéosurveillance était doté d’une fonction d’enregistrement et que les enregistrements
vidéo les plus anciens dataient du 19 octobre 202250. Au jour de la visite sur place, les images
étaient donc conservées depuis 57 jours51.
50
Procès-verbal, Constat 19 ; Communication des griefs, point 69, Pièces n° 56 à 61.
51
Procès-verbal, Constat 19 ; Communication des griefs, point 69, Pièces n° 56 à 61.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
18/27
73. Le lycée fait valoir que la fiche d’installation du dispositif de vidéosurveillance
prévoyait pourtant une durée de 30 jours pour la conservation des images52. Le Lycée argue
encore que cette durée correspond à « la durée maximale de l’absence des membres de la
direction lors du congé d’été. Au retour des congés d’un membre de la direction, il serait
toujours possible de revoir les incidents ayant eu lieu pendant notre absence »53.
74. La Formation restreinte se rallie au chef d’enquête en ce qu’il a retenu « qu’une
durée de 57 jours est largement disproportionnée au vu de la finalité du Traitement (contrôle
des accès et protection des biens), une effraction ou un vol pouvant se constater à brève
échéance pour un responsable du traitement raisonnablement diligent »54.
75. En ce qui concerne la durée de conservation de 30 jours, la Formation
Restreinte rappelle que « [p]lus la durée de conservation fixée est longue (…), plus il convient
de développer le raisonnement justifiant la légitimité de la finalité poursuivie et le caractère
nécessaire de la conservation »55. Elle se rallie au chef d’enquête en ce qu’il considère qu’en
l’espèce, « les périodes de congés scolaires prolongés » peuvent justifier le recours à une
durée de conservation plus longue en raison de l’absence de personnel, en l’espèce les
membres de la direction habilités à revoir les enregistrements. En effet, le chef d’enquête est
d’avis que les circonstances spécifiques, « peuvent justifier, en l’espèce, la conservation des
enregistrements vidéo pour une durée maximale de 30 jours »56.
76. En ce qui concerne le grief à l’article 25.2 du RGPD retenu par le chef
d’enquête dans sa communication des griefs, la Formation Restreinte est d’avis qu’elle n’est
pas en possession de suffisamment de précisions techniques sur les préréglages concrets du
dispositif de vidéosurveillance permettant de conclure que le principe de la protection des
données par défaut en tant que tel n’a pas été respecté. Il s’ensuit qu’elle n’est pas en mesure
de retenir un manquement à l’obligation de la protection des données par défaut selon l’article
25.2 du RGPD.
52
Communication des griefs, point 71, Pièces n° 53 et 55.
53
Communication des griefs, point 72, Pièce n° 52
54
Communication des griefs, point 70.
55
Lignes directrices 3/2019 du CEPD sur le traitement de données à caractère personnel pour des dispositifs
vidéo, adoptés le 29 janvier 2020, point 121.
56
Communication des griefs, point 74, Pièce n° 52
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
19/27
77. Au vu de ce qui précède, la Formation Restreinte conclut qu’une non-
conformité à l’article 5.1.e) du RGPD était acquise au jour de la visite sur place des agents de
la CNPD.
F. Sur le manquement lié à la sécurité du traitement (article 32.1 du RGPD)
1. Sur les principes
78. L’article 32.1 du RGPD dispose que « [c]ompte tenu de l'état des
connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des
finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie,
pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-
traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de
garantir un niveau de sécurité adapté au risque (…) » et notamment « des moyens permettant
de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des
délais appropriés en cas d'incident physique ou technique » et « d’une procédure visant à
tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et
organisationnelles pour assurer la sécurité du traitement ».
79. L’article 32.2 du RGPD dispose que « [l]ors de l'évaluation du niveau de
sécurité approprié, il est tenu compte en particulier des risques que présente le traitement,
résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non
autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre
manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite ».
80. Le CEPD dans ses lignes directrices 3/2019 précitée, précise que « [l]e
contrôle des accès garantit que seules les personnes disposant d’une autorisation puissent
accéder au système et aux données (…) »57. Les lignes directrices en matière de
vidéosurveillance de la CNPD énoncent quant à elles que « l’accès aux données doit être
sécurisé (moyennant, par exemple, un mot de passe fort et un identifiant) et chaque personne
ayant accès aux données doit bénéficier d’un compte d’accès individuel. Un journal des accès
doit en outre être disponible, de sorte qu’il soit possible de retracer les personnes ayant
57
Lignes directrices 3/2019 du CEPD sur le traitement de données à caractère personnel pour des dispositifs
vidéo, adoptés le 29 janvier 2020, point 135.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
20/27
accédé aux données, ainsi que les données qui ont été consultées par ces personnes, en cas
d’abus »58.
2. En l’espèce
81. Il ressort de la première visite sur place que les images captées par le dispositif
de vidéosurveillance pouvaient être visionnées en temps réel par les six membres de l’équipe
technique du Lycée à partir des ordinateurs installés dans les loges A et B59. Les membres
de l’équipe technique disposaient donc seulement d’un accès aux images en temps réel60.
Seuls le directeur et le directeur adjoint du Lycée disposaient d’un accès aux images
enregistrées via un compte utilisateur individuel61.
82. De plus, chaque membre de l’équipe technique disposait d’un accès individuel
à l’ordinateur mais accédait au logiciel d’exploitation du dispositif de vidéosurveillance via un
compte commun62. En effet, le chef d’enquête a relevé que l’accès au logiciel d’exploitation
du dispositif de vidéosurveillance « est sécurisé au moyen d’un identifiant et mot de passe
commun aux six membres de l’équipe technique, qui utilisent ainsi un seul et même compte
utilisateur »63.
83. Par ailleurs, les agents de la CNPD ont constaté lors de la visite sur place que
les accès aux loges A et B sont physiquement sécurisés par une porte fermant à clé, ainsi
que par une porte sécurisée par un système de badge d’accès64.
84. Enfin, lors de la visite sur place, le Lycée a déclaré qu’aucune traçabilité des
accès au logiciel d’exploitation du dispositif de vidéosurveillance n’était possible65.
85. A l’instar du chef d’enquête, la Formation Restreinte estime que l’accès à un
dispositif de vidéosurveillance via un logiciel doit en principe être sécurisé au moyen de
compte utilisateurs individuels qui permettent une bonne traçabilité des accès et des actions
58
Lignes directrices de la CNPD en matière de vidéosurveillance :
https://cnpd.public.lu/content/dam/cnpd/fr/dossiers-thematiques/videosurveillance/cnpd-lignes-directrices-
vidosurveillance-2024.pdf.
59
Communication des griefs, point 80 ; Procès-verbal, Constat 12.
60
Communication des griefs, point 83.
61
Communication des griefs, point 83.
62
Communication des griefs, point 81.
63
Communication des griefs, point 82.
64
Communication des griefs, point 84.
65
Communication des griefs, point 85, Procès-verbal, Constat 25.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
21/27
sur le dispositif, telles que par exemple la suppression ou la modification d’enregistrements
vidéo. Par ailleurs, un mot de passe, conformément aux règles élémentaires relatives à la
sécurité des systèmes d’information, doit, pour être efficace, demeurer secret et individuel.
Cette règle n’est pas respectée en cas de compte partagé.
86. Par conséquent, la Formation Restreinte retient que pour être conforme aux
exigences de l’article 32.1 du RGPD, le Lycée doit mettre en place un système de
journalisation des accès et des évènements, ainsi qu’un examen périodique des fichiers
journaux pour détecter d’éventuelles anomalies et s’assurer que les membres de l’équipe
technique du Lycée habilités à accéder au dispositif de vidéosurveillance puisse disposer
chacun d’un compte individuel avec un mot de passe propre afin d’accéder au logiciel
d’exploitation dudit dispositif.
87. Au vu de ce qui précède, la Formation Restreinte conclut qu’une non-
conformité à l’article 32.1 était acquise au jour de la visite sur place des agents de la CNPD.
II.2. Sur l’amende administrative et les mesures correctrices
1. Sur les principes
88. Conformément à l’article 12 de la loi du 1er août 2018, la Commission nationale
dispose des pouvoirs prévus à l’article 58.2 du RGPD :
« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations
de traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les opérations
de traitement ont entraîné une violation des dispositions du présent règlement ;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du présent
règlement ;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
22/27
e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel ;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la limitation
du traitement en application des articles 16, 17 et 18 et la notification de ces mesures aux
destinataires auxquels les données à caractère personnel ont été divulguées en application
de l'article 17, paragraphe 2, et de l'article 19 ;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une certification
délivrée en application des articles 42 et 43, ou ordonner à l'organisme de certification de ne
pas délivrer de certification si les exigences applicables à la certification ne sont pas ou plus
satisfaites ;
i) imposer une amende administrative en application de l'article 83, en complément ou à la
place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à
chaque cas ;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays
tiers ou à une organisation internationale ».
89. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de
l’État ou des communes.
90. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la conformité,
ne permettent pas d’annuler rétroactivement un manquement constaté66.
91. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD en cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises en
66
Cf. Trib. adm., 14 mai 2024, n° 46401 du rôle, page 27, paragraphes 1 et 2.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
23/27
compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices à
prononcer.
2. En l’espèce
92. Dans la communication des griefs le chef d’enquête a proposé à la Formation
Restreinte d’adopter les mesures correctrices suivantes endéans « un délai de 3 mois à
compter de la notification de la décision » prise par la Formation Restreinte au Lycée :
a) « rappeler le Responsable du traitement à l’ordre, au sens de l’article 58.2 b)
du RGPD, quant à son obligation de respecter le principe de responsabilité
découlant de l’article 5.2 du RGPD » ;
b) « ordonner la mise en conformité du Traitement, au sens de l’article 58.2 d) du
RGPD, quant à la violation de l’obligation de principe d’informer les personnes
concernées découlant de l’article 5.1 a) du RGPD en combinaison avec les
articles 13.1 et 13.2 du RGPD » ;
c) « ordonner la mise en conformité du Traitement, au sens de l’article 58.2 d) du
RGPD, quant à la violation de l’obligation de minimiser les données traitées par
rapport à la finalité poursuivie découlant de l’article 25.2 du RGPD » ;
d) « ordonner la mise en conformité du Traitement, au sens de l’article 58.2 d) du
RGPD, quant à la violation de l’obligation de limitation de la conservation des
données découlant de l’article 25.2 du RGPD » ;
e) « ordonner la mise en conformité du Traitement, au sens de l’article 58.2 d) du
RGPD, quant à la violation de l’obligation de mettre en place des mesures
techniques et organisationnelles appropriées découlant de l’article 32.1 du
RGPD ».
93. Quant à la qualification proposée par le chef d’enquête reprise sous a) du point
92 de la présente décision, la Formation Restreinte considère, au vu des développements qui
précèdent, que la violation de l’article 5.2 du RGPD est avéré et qu'il y a dès lors lieu de retenir
le manquement tel que proposé par le chef d'enquête à cet égard et reprise au point 92 de la
présente décision sous a).
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
24/27
94. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous b)
du point 92 de la présente décision, la Formation Restreinte considère que l’opération de
traitement litigieux a entraîné un manquement au RGPD, il y a lieu de prononcer la mesure
correctrice proposée par le chef d'enquête à cet égard et reprise au point 92 de la présente
décision sous b).
95. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous c)
du point 92 de la présente décision, la Formation Restreinte considère, au vu des
développements qui précèdent, que la violation de l’article 5.1. c) du RGPD est avéré et qu'il
y a dès lors lieu de retenir le manquement tel que proposé par le chef d'enquête à cet égard
et reprise au point 92 de la présente décision sous c).
96. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous d)
du point 92 de la présente décision, la Formation Restreinte considère que le manquement à
l’article 5.1.e) du RGPD est avéré, il y a lieu de prononcer la mesure correctrice proposée par
le chef d'enquête à cet égard et reprise au point 92 de la présente décision sous d).
97. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous e)
du point 92 de la présente décision, la Formation Restreinte considère que le manquement à
l’article 32.1 du RGPD est avéré, il y a lieu de prononcer la mesure correctrice proposée par
le chef d'enquête à cet égard et reprise au point 92 de la présente décision sous e).
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte, après en avoir délibéré, décide :
- de retenir les manquements aux articles 5.2, 5.1.a) lié à l’article 13.1 et 13.2, 5.1.c), 5.1.e)
et 32.1 du RGPD ;
- de prononcer à l'encontre du Lycée un rappel à l’ordre au regard des manquements aux
articles 5.2, 5.1.a) lié à l’article 13.1 et 13.2, 5.1.c), 5.1.e) et 32.1 du RGPD ;
- de prononcer à l’encontre du Lycée une injonction de mettre en conformité les traitements
avec les dispositions de l’article 13.1 et 2 du RGPD, dans un délai de 3 (trois) mois suivant
la notification de la décision de la Formation Restreinte, et, en particulier
• informer les personnes concernées de manière claire et précise sur le système de
vidéosurveillance, soit en leur fournissant dans un endroit unique ou dans un
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
25/27
même document (au format papier ou électronique) une information sur l’ensemble
des éléments requis au titre de l’article 13 du RGPD, soit en procédant par un
premier et un deuxième niveau en :
o adaptant les panneaux en place afin qu’ils comprennent l'identité et les
coordonnées du responsable du traitement ; la/les finalité(s) du traitement ;
l’existence des droits dont disposent les personnes concernées ; la mention
qu’une information plus complète existe (second niveau d’information) et
les moyens d’y accéder (par exemple un hyperlien renvoyant vers le site
internet du responsable du traitement, l’utilisation d’un code QR, un numéro
de téléphone à appeler ou l’indication de l’emplacement où cette
information plus détaillée est disponible) ;
o en mettant à disposition un deuxième niveau d’information pour que les
informations soient adressées aux personnes concernées « de façon
concise, transparente, compréhensible et aisément accessible, en des
termes clairs et simples » et qu’elles contiennent l’intégralité des
informations au sens de l’article 13 du RGPD ;
- de prononcer à l’encontre du Lycée une injonction de mettre en conformité les traitements
avec l’article 5.1. c) du RGPD, dans un délai de 3 (trois) mois suivant la notification de la
décision de la Formation Restreinte, et, en particulier :
• limiter le champ de vision de la caméra INNENHOF à la surface strictement
nécessaire pour visualiser les personnes s’apprêtant à accéder aux accès du
Lycée filmés par ladite caméra;
• limiter le champ de vision de la caméra EINGANG TURNHALLE à la surface
strictement nécessaire pour visualiser les personnes s’apprêtant à accéder aux
accès du Lycée filmés par ladite caméra ;
- de prononcer à l’encontre du Lycée une injonction de mettre en conformité les traitements
avec l’article 5.1. e) du RGPD, dans un délai de 3 (trois) mois suivant la notification de la
décision de la Formation Restreinte, et, en particulier de limiter la durée de conservation
des images de vidéosurveillance à une durée maximale de 30 jours et de supprimer de
manière définitive tout enregistrement excédant la prédite durée de conservation ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
26/27
- de prononcer à l’encontre du Lycée une injonction de mettre en conformité les traitements
avec l’article 32.1 du RGPD, dans un délai de 3 (trois) mois suivant la notification de la
décision de la Formation Restreinte, et, en particulier mettre en place un système de
journalisation des accès et des évènements, ainsi qu’un examen périodique des fichiers
journaux pour détecter d’éventuelles anomalies et s’assurer que les membres de l’équipe
technique du Lycée ayant été habilités à accéder au dispositif de vidéosurveillance puisse
disposer chacun d’un compte individuel avec un mot de passe propre afin d’accéder au
logiciel d’exploitation dudit dispositif.
Belvaux, le 26 mars 2025.
La Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Marc Lemmer Marc Hemmerling
Présidente Commissaire Membre suppléant
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès du Ministère […] sur le site du Lycée […]
27/27