Video Gözetiminde Veri Minimizasyonu ve Aydınlatma

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n° […] menée auprès de la « Société A ».

Délibération n° 16FR/2021 du 12 mai 2021

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

I. Faits et procédure

1. Lors de sa séance de délibération du 14 février 2019, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après: « Formation

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

1/22

Plénière ») avait décidé d’ouvrir une enquête auprès de la société « Société A » sur base
de l’article 37 de la loi du 1er août 2018 portant organisation de la Commission nationale
pour la protection des données et du régime général sur la protection des données (ci-
après « loi du 1er août 2018 ») et de désigner Monsieur Christophe Buschmann comme
chef d’enquête.

2. Aux termes de la décision de la Formation Plénière l’enquête menée par la
Commission nationale pour la protection des données (ci- après : « CNPD ») avait comme
objet de vérifier le respect des dispositions du règlement relatif à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)
et de la loi du 1er août 2018, notamment par la mise en place de systèmes de
vidéosurveillance et de géolocalisation le cas échéant installés par la « Société A ».

3. En date du 22 mars 2019, des agents de la CNPD ont effectué une visite dans les
locaux de la société « Société A ». La décision de la Commission nationale pour la
protection des données siégeant en formation restreinte sur l’issue de l’enquête (ci-après:
« Formation Restreinte ») se limitera aux traitements contrôlés par les agents de la CNPD
et effectués par la « Société A ».

4. « Société A » est une […] inscrite au registre du Commerce et des Sociétés de
Luxembourg sous le numéro […] et ayant son siège social au […] (ci-après « le contrôlé »).
Le contrôlé développe et produit […].1

5. Lors de la visite précitée du 22 mars 2019 par des agents de la CNPD dans les
locaux du contrôlé, il a été confirmé aux agents de la CNPD que le contrôlé recourt à un
système de vidéosurveillance composé de quatorze caméras, dont douze étaient en état
de fonctionnement, mais qu’il n’a pas installé de dispositif de géolocalisation dans ses
véhicules.2

1 Selon les informations fournies sur son propre site internet : […].

2 Voir procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date du 22 mars 2019 auprès

de la Société A.

2/22

6. Par courrier du 25 avril 2019, le contrôlé a répondu au procès-verbal dressé par
les agents de la CNPD. Comme il n'a pas été possible pour les agents de la CNPD de
réaliser sur place une vérification des enregistrements les plus anciens à cause d’un
problème sur le serveur,3 le contrôlé a annexé audit courrier, entre autres, une capture
d'écran du configurateur d'enregistrement des vidéos de surveillance confirmant la
rétention d'images à 7 jours maximum.4

7. A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du 28
août 2019 une communication des griefs détaillant les manquements qu’il estimait
constitués en l’espèce, et plus précisément une non-conformité aux exigences prescrites
par l'article 13 du RGPD pour ce qui concerne les salariés et les clients, fournisseurs,
prestataires de services et les visiteurs (ci-après : « les personnes tierces »), ainsi qu’une
non-conformité aux prescrits de l'article 5.1.c) du RGPD.

8. Le 11 septembre 2019, le contrôlé a produit des observations écrites sur la
communication des griefs.

9. Un courrier complémentaire à la communication des griefs a été adressé au
contrôlé en date du 3 août 2020. Dans ce courrier, le chef d’enquête a proposé à la
Formation Restreinte d’adopter quatre mesures correctrices différentes, ainsi que d’infliger
au contrôlé une amende administrative d’un montant de 1.000 EUR.

10. Par courrier du 7 septembre 2020, le contrôlé a produit des observations écrites
sur le courrier complémentaire à la communication des griefs.

11. La présidente de la Formation Restreinte a informé le contrôlé par courrier du 16
octobre 2020 que son affaire serait inscrite à la séance de la Formation Restreinte du 4
décembre 2020. Le contrôlé a confirmé sa présence à ladite séance en date du 19 octobre
2020.

3 Voir constat 8 du procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date du 22 mars

2019 auprès de la Société A.
4 Voir annexe 4 du courrier du 25 avril 2019.

3/22

12. Lors de la séance de la Formation Restreinte du 4 décembre 2020, le chef
d’enquête et le contrôlé ont exposé leurs observations orales à l’appui de leurs
observations écrites et ont répondu aux questions posées par la Formation Restreinte. Le
contrôlé a eu la parole en dernier.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié au principe de la minimisation des données

1. Sur les principes

13. Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel
doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des
finalités pour lesquelles elles sont traitées (minimisation des données) ».

14. Le principe de minimisation des données en matière de vidéosurveillance
implique qu’il ne doit être filmé que ce qui apparaît strictement nécessaire pour atteindre
la ou les finalité(s) poursuivie(s) et que les opérations de traitement ne doivent pas être
disproportionnées.5

15. L’article 5.1.b) du RGPD dispose que les données à caractère personnel doivent
être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être
traitées ultérieurement d'une manière incompatible avec ces finalités ; […] (limitation des
finalités) ».

16. Avant l’installation d’un système de vidéosurveillance, le responsable du
traitement devra définir, de manière précise, la ou les finalités qu’il souhaite atteindre en
recourant à un tel système, et ne pourra pas utiliser ensuite les données à caractère
personnelle collectées à d’autres fins.6

5 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
6 Voir Lignes directrices de la CNPD, disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.

4/22

17. La nécessité et la proportionnalité d’une vidéosurveillance s’analyse au cas par
cas et, notamment, au regard de critères tels que la nature du lieu à placer sous
vidéosurveillance, sa situation, sa configuration ou sa fréquentation.7

2. En l’espèce

18. Lors de la visite sur place, il a été expliqué aux agents de la CNPD que les
finalités de la mise en place du système de vidéosurveillance sont la protection des biens,
la sécurisation des accès à des lieux privés et à risque, ainsi que la sécurité des usagers
et la prévention des accidents.8

19. Lors de ladite visite, les agents de la CNPD ont constaté que le champ de vision
d’une caméra « permet la surveillance d'une voie d'accès aux bâtiments appartenant au
domaine public ».9

20. Le chef d’enquête était d’avis que les finalités précitées « peuvent trouver une
ou plusieurs bases de licéité sous l'article 6, la surveillance de la voie publique et de
terrains avoisinants est cependant à considérer comme disproportionnée. En effet, au vu
des finalités précitées pour lesquelles est opérée la vidéosurveillance, il n'est pas
nécessaire d'englober des parties de la voie publique ou de terrains avoisinants dans les
champs de vision des caméras énumérées sous le point l de la présente. »
(communication des griefs, Ad. A.3.).

21. Le contrôlé de son côté a expliqué dans son courrier de réponse à la
communication des griefs du 10 septembre 2019 que le champ de vision de la caméra
litigieuse a été réorienté afin d’exclure la voie publique à l’arrière-plan et il a annexé une
photo du champ de vision modifié.10 Toutefois, comme le contrôlé n'a pas présenté
d'éléments de mitigation à ce sujet dans sa réponse du 25 avril 2019 au procès-verbal
dressé par les agents de la CNPD, tels qu'une réorientation du champ de vision de la

7 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
8 Voir constat 6 du procès-verbal no […] relatif à la mission d'enquête sur place effectuée en date du 22 mars

2019 auprès de la Société A.
9 Voir constat 7 du procès-verbal no […] relatif à la mission d'enquête sur place effectuée en date du 22 mars

2019 auprès de la Société A.
10 Voir annexe 3 du courrier de réponse à la communication des griefs du 10 septembre 2019.

5/22

caméra litigieuse ou un floutage de la voie publique et des terrains avoisinants, le chef
d’enquête a conclu que la non-conformité à l'article 5.1.c) du RGPD était acquise au jour
de la visite sur site.

22. La Formation Restreinte tient à rappeler que les caméras destinées à surveiller
un lieu d’accès (entrée et sortie, seuil, perron, porte, auvent, hall, etc.) doivent avoir un
champ de vision limité à la surface strictement nécessaire pour visualiser les personnes
s’apprêtant à y accéder. Celles qui filment des accès extérieurs ne doivent pas baliser
toute la largeur d’un trottoir longeant, le cas échéant, le bâtiment ou les voies publiques
adjacentes. De même, les caméras extérieures installées aux abords ou alentours d’un
bâtiment doivent être configurées de façon à ne pas capter la voie publique, ni les abords,
entrées, accès et intérieurs d’autres bâtiments avoisinants rentrant éventuellement dans
leur champ de vision.11

23. La Formation Restreinte admet néanmoins qu’en fonction de la configuration des
lieux, il est parfois impossible d’installer une caméra qui ne comprendrait pas dans son
champ de vision une partie de la voie publique, abords, entrées, accès et intérieurs
d’autres bâtiments. Dans un tel cas, elle estime que le responsable du traitement devrait
mettre en place des techniques de masquages ou de floutage afin de limiter le champ de
vision à sa propriété.12

24. La Formation Restreinte constate que le contrôlé disposait d’une autorisation
préalable n° […] de la CNPD en matière de vidéosurveillance. Une des conditions d’octroi
de ladite autorisation était déjà que « les caméras extérieures doivent être configurées de
façon à ne pas capter la voie publique, ni les abords, entrées, accès et intérieurs d’autres
bâtiments rentrant, le cas échéant, dans leur champ de vision. »

25. La Formation Restreinte note par ailleurs que l’annexe 3 du courrier du contrôlé
du 10 septembre 2019 contient une photo démontrant que le champ de vision de la caméra
litigieuse a été réorienté afin d’exclure la voie publique à l’arrière-plan. Durant l’audience
du 4 décembre 2020, le contrôlé précisait que ladite caméra filmait une route appartenant

11 Voir Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
12 Voir Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lu/fr/dossiers-

thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

6/22

au contrôlé, mais qu’en effet, une minime partie de la voie publique était dans son champ
de vision. Il expliquait que dès lors la caméra litigieuse a été remplacée et le champ
litigieux masqué.

26. Au vu de ce qui précède, la Formation Restreinte se rallie au constat13 du chef
d’enquête selon lequel la non-conformité à l’article 5.1.c) du RGPD était acquise au jour
de la visite sur site des agents de la CNPD.

B. Sur le manquement lié à l'obligation d'informer les personnes concernées

1. Sur les principes

27. Aux termes de l’alinéa 1 de l’article 12 du RGPD, le « responsable du traitement
prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14
ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article
34 en ce qui concerne le traitement à la personne concernée d'une façon concise,
transparente, compréhensible aisément accessible, en des termes clairs et simples […]. »

28. L’article 13 du RGPD prévoit ce qui suit :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;

13 Communication des griefs, Ad. A.3.

7/22

d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit
à la personne concernée, au moment où les données à caractère personnel sont
obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir
un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;

b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;

d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

8/22

e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;

f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. »

29. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des
obligations générales de transparence au sens du RGPD.14 Lesdites obligations ont été
explicitées par le Groupe de Travail Article 29 dans ses lignes directrices sur la
transparence au sens du règlement (UE) 2016/679, dont la version révisée a été adoptée
le 11 avril 2018 (ci-après : « WP 260 rév.01 »).

30. A noter que le Comité européen de la protection des données (ci-après :
« CEPD »), qui remplace depuis le 25 mai 2018 le Groupe de Travail Article 29, a repris

14 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.

9/22

et réapprouvé les documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai
2018, comme précisément les lignes directrices précitées sur la transparence15.

2. En l’espèce

31. Pour ce qui concerne l'information des personnes tierces quant au système de
vidéosurveillance, les agents de la CNPD ont constaté lors de leur visite sur site qu’elles
sont informées uniquement par un panneau « Surveillance par caméras », ainsi que par
un pictogramme représentant une vidéo-caméra et une ancienne vignette de la CNPD
affichés à l'entrée principale de la société. Par ailleurs, le chef d’enquête a estimé que
même si le contrôlé a annexé à sa lettre du 25 avril 2019 une nouvelle affiche
d’information, cette dernière n’était pas de nature à remplir les conditions de l’article 13 du
RGPD et que donc la non-conformité à l'article 13 du RGPD était acquise au jour de la
visite sur site pour ce qui concerne les personnes tierces (communication des griefs,
Ad.A.1).

32. Pour ce qui concerne l'information des salariés quant au système de
vidéosurveillance, le chef d’enquête a constaté qu’ils ont été informés, dans une certaine
mesure par un panneau « Surveillance par caméras », ainsi que par un pictogramme
représentant une vidéo-caméra et une ancienne vignette de la CNPD se trouvant à l'entrée
principale de la société, ainsi que par une notice d'information envoyée par mail et/ou
courrier à l'ensemble des salariés. Néanmoins, il considère que cette information n'était
pas complète et que dès lors la non-conformité à l'article 13 du RGPD était acquise au
jour de la visite sur site pour ce qui concerne les salariés (communication des griefs,
Ad.A.2).

33. Par courrier du 25 avril 2019, le contrôlé a précisé que l’installation des caméras
de surveillance remontait à plus de 15 ans et que la délégation du personnel avait été
informée à l'époque, mais qu’il n'avait pas gardé les rapports de réunion en raison de la
durée de l’archivage « légal » de 10 ans. Par ailleurs, il a précisé qu’une notice
d’information avait été envoyée par mail au personnel administratif et technique et par

15 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.

10/22

courrier postal au personnel opérateur en date du […] 2018 et qu’un accusé de réception
avait été demandé de la part de chaque membre du personnel.16 En ce qui concerne les
personnes tierces, le contrôlé a précisé avoir modifié, après la visite sur site des agents
de la CNPD, l'affichage situé à côté des caméras de surveillance.17

34. Par courrier du 10 septembre 2019, le contrôlé a répondu à la communication
des griefs du chef d’enquête en précisant que les anciennes vignettes de la CNPD ont été
retirées et qu’une nouvelle affiche bilingue a été apposée auprès de chaque caméra de
vidéosurveillance et à chaque entrée possible du site.18 Il a par ailleurs expliqué dans ledit
courrier que la notice d’information envoyée aux salariés avait été complétée et qu’elle
allait être redistribuée à l’ensemble du personnel avec demande de remise d’un accusé
de réception et de lecture.19

35. La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD
fait référence à l’obligation imposée au responsable du traitement de « fournir » toutes les
informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie
que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne
concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.). » (WP260 rev. 01. paragraphe 33).

36. La Formation Restreinte note que lors de la visite sur site par les agents de la
CNPD, les personnes tierces étaient informées de la présence du système de
vidéosurveillance par un panneau « Surveillance par caméras », ainsi que par un
pictogramme représentant une vidéo-caméra et une ancienne vignette de la CNPD se
trouvant à l'entrée principale de la société.

37. La Formation Restreinte constate toutefois que le panneau, le pictogramme et
l’ancienne vignette de la CNPD ne contenaient pas les informations requises au sens de

16 Voir annexe 1 du courrier du contrôlé du 25 avril 2019.

17 Voir annexe 2 du courrier du contrôlé du 25 avril 2019.

18 Voir annexe 1 du courrier du contrôlé du 10 septembre 2019.

19 Voir annexe 2 du courrier du contrôlé du 10 septembre 2019.

11/22

l’article 13 du RGPD et aucune autre notice d’information n’était disponible (par exemple
sur le site internet), lors de la visite sur site, aux personnes tierces.

38. En ce qui concerne les salariés, la Formation Restreinte note que lors de la visite
sur site par les agents de la CNPD, ils étaient informés de la présence du système de
vidéosurveillance par le panneau, le pictogramme et l’ancienne vignette de la CNPD
comme précité, ainsi que par une notice d’information envoyée par mail ou courrier postal
en date du […] 2018.

39. La Formation Restreinte estime qu’une approche à plusieurs niveaux pour
communiquer des informations sur la transparence aux personnes concernées peut être
utilisée dans un contexte hors ligne ou non numérique, c’est-à-dire dans un environnement
réel comme par exemple des données à caractère personnel collectées au moyen d’un
système de vidéosurveillance. Le premier niveau d’information devrait de manière
générale inclure les informations les plus essentielles, à savoir les détails de la finalité du
traitement, l’identité du responsable du traitement et l’existence des droits des personnes
concernées, ainsi que les informations ayant la plus forte incidence sur le traitement ou
tout traitement susceptible de surprendre les personnes concernées.20 Le deuxième
niveau d’information, c’est-à-dire l’ensemble des informations requises au titre de l’article
13 du RGPD, pourraient être fournies ou mises à disposition par d’autres moyens, comme
par exemple un exemplaire de la politique de confidentialité envoyé par e-mail aux salariés
ou un lien sur le site internet vers une notice d’information pour ce qui concerne les
personnes tierces non-salariés.21

La Formation Restreinte constate toutefois que le panneau, le pictogramme et
l’ancienne vignette de la CNPD en place lors de la visite sur site ne contenaient pas les
éléments requis du premier niveau d’information que ce soit pour les salariés ou les
personnes tierces non-salariés et que la notice d’information envoyée aux salariés22 ne
contenait pas l’intégralité des éléments requis par l'article 13.1 et 2 du RGPD.

20 Voir le WP 260 rév.01 et les lignes directrices 3/2019 du CEPD sur le traitement des données à caractère

personnel par des dispositifs vidéo, version 2.0, adoptée le 29 janvier 2020.
21 Voir le WP260 rev. 01 (point 38).

22 Voir annexe 2 du courrier du contrôlé du 25 avril 2019.

12/22

40. Au vu de ce qui précède, la Formation Restreinte conclut qu’au moment de la
visite sur site des agents de la CNPD, l’article 13 du RGPD n’était pas respecté par le
contrôlé.

II. 2. Sur les mesures correctrices et amendes

1. Les principes

41. Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

13/22

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

42. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre
de l’État ou des communes.

43. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

14/22

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

44. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.

45. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

15/22

manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer.

2. En l’espèce

2.1. Quant à l’imposition d’une amende administrative

46. Dans son courrier complémentaire à la communication des griefs du 3 août
2020, le chef d’enquête proposait à la Formation Restreinte d’infliger une amende
administrative au contrôlé portant sur le montant de 1.000 euros.

47. Dans sa réponse audit courrier complémentaire du 7 septembre 2020, le
contrôlé soutenait notamment qu’il pensait avoir rempli toutes les conditions pour éviter
une amende et qu’il avait tout mis en œuvre pour que la violation du RGPD cesse le plus
rapidement possible. Le contrôlé demandait ainsi dans ledit courrier si la proposition quant
à l’imposition d’une amende par le chef d’enquête pourrait être reconsidérée.

48. Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la Formation Restreinte prend en compte
les éléments prévus par l’article 83.2 du RGPD :

 Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), la
Formation Restreinte relève qu’en ce qui concerne le manquement à l’article 5.1.c)
du RGPD, il est constitutif d’un manquement aux principes fondamentaux du
RGPD (et du droit de la protection des données en général), à savoir au principe
de minimisation des données consacré au Chapitre II « Principes » du RGPD.

Quant au manquement à l’obligation d’informer les personnes concernées
conformément à l’article 13 du RGPD, la Formation Restreinte rappelle que
l’information et la transparence relative au traitement des données à caractère
personnel sont des obligations essentielles pesant sur les responsables de
traitement afin que les personnes soient pleinement conscientes de l’utilisation qui
sera faite de leurs données à caractère personnel, une fois celles-ci collectées. Un
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

16/22

manquement à l’article 13 du RGPD est ainsi constitutif d’une atteinte aux droits
des personnes concernées. Ce droit à l’information a par ailleurs été renforcé aux
termes du RGPD, ce qui témoigne de leur importance toute particulière.

 Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte
constate que ces manquements ont duré dans le temps, à tout le moins depuis le
25 mai 2018 et jusqu’au jour de la visite sur place. La Formation Restreinte rappelle
ici que deux ans ont séparé l’entrée en vigueur du RGPD de son entrée en
application pour permettre aux responsables de traitement de se conformer aux
obligations qui leur incombent et ce même si une obligation de respecter le principe
de minimisation des données, tout comme une obligation d’information comparable
existaient déjà en application des articles 4.1. b), 10.2 et 26 de la loi abrogée du 2
août 2002 relative à la protection des personnes à l'égard du traitement des
données à caractère personnel.

 Quant au nombre de personnes concernées (article 83.2.a) du RGPD), la
Formation Restreinte constate qu’il s’agit de tous les salariés travaillant sur le site
du contrôlé, ainsi que toutes les personnes tierces, c’est-à-dire les clients,
fournisseurs, prestataires de services et les visiteurs se rendant sur ledit site.

 Quant à la question de savoir si les manquements ont été commis délibérément
ou non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que « non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas
respecté l’obligation de diligence qui lui incombe en vertu de la législation.

En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef
du contrôlé.

 Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2.f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête
selon laquelle la coopération du contrôlé tout au long de l'enquête était bonne, ainsi
que de sa volonté de se conformer à la loi dans les meilleurs délais.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

17/22

49. La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.

50. La Formation Restreinte relève aussi que si plusieurs mesures ont été mises en
place par le contrôlé afin de remédier en totalité ou en partie à certains manquements,
celles-ci n’ont été adoptées qu’à la suite du contrôle des agents de la CNPD en date du
22 mars 2019 (voir aussi le point 44 de la présente décision).

51. Dès lors, la Formation restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5.1.c) et 13 du RGPD.

52. S’agissant du montant de l’amende administrative, la Formation Restreinte
rappelle que le paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations
multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder
le montant fixé pour la violation la plus grave. Dans la mesure où un manquement aux
articles 5 et 13 du RGPD est reproché au contrôlé, le montant maximum de l’amende
pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel
mondial, le montant le plus élevé étant retenu.

53. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la
Formation Restreinte considère que le prononcé d’une amende de 1.000 euros apparaît
à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1
du RGPD.

2.2. Quant à la prise de mesures correctrices

54. L’adoption des mesures correctrices suivantes a été proposée par le chef
d’enquête à la Formation Restreinte dans son courrier complémentaire à la communication
des griefs :

18/22

« a) Ordonner au responsable du traitement de compléter les mesures d'information
destinées aux personnes tierces concernées par la vidéosurveillance,
conformément aux dispositions de l'article 13, paragraphes (1) et (2) du RGPD en
renseignant notamment les coordonnées du responsable du traitement, les
destinataires ainsi que la durée de conservation des images de la vidéosurveillance ;

b) Ordonner au responsable du traitement de compléter les mesures d'information
destinées aux personnes salariées concernées par la vidéosurveillance,
conformément aux dispositions de l'article 13, paragraphes (1) et (2) du RGPD en
renseignant notamment les coordonnées du responsable du traitement, les
destinataires ainsi que la durée de conservation des images de la vidéosurveillance ;

c) Ordonner au responsable du traitement de ne traiter que des données pertinentes,
adéquates et limitées à ce qui est nécessaire au regard des finalités de protection
des biens et de sécurisation des accès et, en particulier, adapter le dispositif vidéo
afin de ne pas filmer la voie publique, par exemple en supprimant ou réorientant la
caméra dénommée " […] " ;

d) Ordonner au responsable du traitement de d'enlever ou de faire procéder à
l'enlèvement des caméras qui sont hors état de fonctionnement. »

55. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 45 de la présente décision, la Formation Restreinte prend en compte
les démarches effectuées par le contrôlé, suite à la visite des agents de la CNPD, afin de
se conformer aux dispositions des articles 5.1.c) et 13 du RGPD, comme détaillées dans
ses courriers du 25 avril 2019, du 10 septembre 2019 et du 7 septembre 2020. Plus
particulièrement, elle prend note des faits suivants:

 Quant à la mise en place de mesures d'information destinées aux personnes
concernées par la vidéosurveillance, conformément aux dispositions de l'article
13.1 et 2 du RGPD, le contrôlé soutient dans son courrier de réponse à la
communication des griefs du 10 septembre 2019 avoir élaboré et affiché auprès
de chaque caméra de vidéosurveillance et à chaque entrée possible de son site
une nouvelle affiche bilingue, qui renvoie pour plus d'informations sur les droits des

19/22

personnes concernées sur le site[…] sous « […] ». Par ailleurs, il a expliqué dans
ledit courrier que la notice d’information a été complétée et qu’elle va être
redistribuée à l’ensemble du personnel avec demande de remise d’un accusé de
réception et de lecture.

En ce qui concerne l’information des personnes tierces, la Formation Restreinte
considère que l’affiche bilingue précitée, combinée avec la section « […] » sur le
site […], ne contiennent pas toutes les informations requises par l’article 13 du
RGPD. Ainsi, les coordonnées du responsable du traitement, qui sont à considérer
comme une information du premier niveau (voir point 39 de la présente décision)
ne sont pas indiquées sur l’affiche. Par ailleurs, les éventuels destinataires ou les
catégories de destinataires des données à caractère personnel collectées à travers
le système de vidéosurveillance doivent être mentionnés. En considération des
mesures de mise en conformité prises par le contrôlé en l’espèce et le point 45 de
la présente décision, la Formation Restreinte considère dès lors qu’il y a lieu de
prononcer la mesure correctrice proposée par le chef d’enquête sous a).

En ce qui concerne l’information des salariés, la Formation Restreinte considère
que l’affiche bilingue précitée, combinée avec la notice d’information figurant à
l’annexe 2 du courrier du contrôlé du 10 septembre 2019, contiennent toutes les
informations requises conformément à l’article 13 du RGPD. Le contrôlé avait
indiqué dans ledit courrier que cette notice va être redistribuée à l'ensemble du
personnel, avec demande de remise d'un accusé de réception et de lecture. En
considération des mesures de mise en conformité prises par le contrôlé en l’espèce
et le point 45 de la présente décision, la Formation Restreinte considère dès lors
qu’il n’y a pas lieu de prononcer la mesure correctrice proposée par le chef
d’enquête sous b).

 Quant à l’obligation de ne traiter que des données pertinentes, adéquates et
limitées à ce qui est nécessaire au regard des finalités de protection des biens et
de sécurisation des accès et, en particulier, adapter le dispositif de
vidéosurveillance afin de ne pas filmer la voie publique, le contrôlé a annexé dans
son contrôlé du 10 septembre 2019 une photo démontrant que le champ de vision
de la caméra litigieuse a été réorienté afin d’exclure la voie publique à l’arrière-
plan. Durant l’audience du 4 décembre 2020, le contrôlé a présenté la même photo
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A ».

20/22

à la Formation Restreinte en confirmant que le champ de vision litigieux a été
masqué. En considération des mesures de mise en conformité prises par le
contrôlé en l’espèce et le point 45 de la présente décision, la Formation Restreinte
considère dès lors qu’il n’y a pas lieu de prononcer la mesure correctrice proposée
par le chef d’enquête sous c).

 Quant à l'enlèvement des caméras qui sont hors état de fonctionnement, le
contrôlé a confirmé durant ladite audience du 4 décembre 2020 que les deux
caméras hors service ont été enlevées et remplacées et visent actuellement
uniquement le périmètre intérieur de l’usine. En considération des mesures de
mise en conformité prises par le contrôlé en l’espèce et le point 45 de la présente
décision, la Formation Restreinte considère dès lors qu’il n’y a pas lieu de
prononcer la mesure correctrice proposée par le chef d’enquête sous d).

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

- de prononcer à l’encontre de la Société A une amende administrative d’un montant de
mille euros (1.000 euros), au regard de la violation des articles 5.1.c) et 13 du RGPD ;

- de prononcer à l’encontre de la Société A une injonction de mettre en conformité le
traitement avec les dispositions de l’article 13 du RGPD, dans un délai de deux mois
suivant la notification de la décision de la Formation restreinte, les justificatifs de la mise
en conformité devant être adressés à la Formation Restreinte, au plus tard, dans ce délai
et en particulier :
informer les personnes tierces non-salariés de manière claire et complète, conformément
aux dispositions de l’article 13 du RGPD, notamment en fournissant aux personnes tierces
une information relative aux coordonnées du responsable du traitement et, le cas échéant,
aux destinataires ou les catégories de destinataires des données à caractère personnel.

Ainsi décidé à Belvaux en date du 12 mai 2021.

21/22

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

22/22

Video Gözetiminde Veri Minimizasyonu ve Aydınlatma

Türkçe özet

Hukuki mesele

Sonuç

Karar metni