Video Gözetiminde Veri Minimizasyonu ve Aydınlatma

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n° […] menée auprès de la Société A
Délibération n° 16FR/2022 du 7 juillet 2022

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Messieurs Thierry Lallemang et Alain Herrmann, commissaires, et Monsieur
Marc Hemmerling, membre suppléant ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment ses
articles 3, 10.2 et 12 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

1/55

I. Faits et procédure

1. Lors de sa séance de délibération du 14 février 2019, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après: « Formation
Plénière ») avait décidé d’ouvrir une enquête auprès des sociétés du Groupe A1 sur base
de l’article 37 de la loi du 1er août 2018 portant organisation de la Commission nationale
pour la protection des données et du régime général sur la protection des données (ci-
après « loi du 1er août 2018 ») et de désigner Monsieur Christophe Buschmann comme
chef d’enquête.

2. Aux termes de la décision de la Formation Plénière l’enquête menée par les
agents de la CNPD avait pour objet de vérifier le respect des dispositions du règlement
(UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel et à
la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)
et de la loi du 1er août 2018, notamment par la mise en place de systèmes de
vidéosurveillance et de géolocalisation le cas échéant installés par les […] sociétés du
Groupe A.

3. En date du 23 octobre 2019, des agents de la CNPD ont effectué une visite dans
les locaux du Groupe A au […], L-[…]. Lors de la visite il a été expliqué aux agents de la
CNPD que la Société A est « la maison mère » et qu’elle « a nommé un DPO compétent
pour toutes les entités de la structure du Groupe A au Grand-Duché de Luxembourg »2.
Etant donné que le procès-verbal relatif à ladite mission d'enquête sur place ne mentionne
que, parmi les […] sociétés du Groupe A, comme responsable du traitement contrôlé la
Société A, la décision de la Commission nationale pour la protection des données siégeant
en formation restreinte sur l’issue de l’enquête (ci-après: « Formation Restreinte ») se
limitera aux traitements contrôlés par les agents de la CNPD et effectués par la Société A.

1 Et plus précisément auprès des sociétés suivantes :

[…].
2 Cf. Procès-verbal no. […] relatif à la visite sur site effectuée en date du 23 octobre 2019 auprès de la Société

A, page 2.

2/55

4. […]. La Société A est une […] inscrite au registre du Commerce et des Sociétés
de Luxembourg sous le numéro […] et ayant son siège social au numéro […], L-[…] (ci-
après « le contrôlé »). Le contrôlé […] [est un établissement bancaire]3.

5. Lors de la visite précitée du 23 octobre 2019 par des agents de la CNPD, il a été
confirmé aux agents de la CNPD que le contrôlé recourt à un système de vidéosurveillance
et qu’il n’a pas installé un dispositif de géolocalisation dans les véhicules mis à disposition
par le contrôlé.4

6. Par courriel du 5 novembre 2019 le contrôlé a envoyé une série de documents et
d’autres informations aux agents de la CNPD. Le procès-verbal no. […] relatif à la visite
sur site effectuée en date du 23 octobre 2019 auprès du contrôlé (ci-après : « le procès-
verbal ») a été envoyé au contrôlé par courrier du 13 novembre 2019.

7. Par courrier du 13 décembre 2019, le contrôlé a répondu au procès-verbal dressé
par les agents de la CNPD.

8. A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du 24
août 2021 une communication des griefs (ci-après : la « communication des griefs »)
détaillant les manquements qu’il estimait constitués en l’espèce, et plus précisément une
non-conformité aux exigences prescrites :

 par l'article 13.1 et 2 du RGPD (droit à l’information) pour ce qui concerne
l’information de toutes les personnes concernées quant au système de
vidéosurveillance; et
 par l'article 5.1.c) du RGPD (principe de minimisation des données) pour ce qui
concerne le système de vidéosurveillance.

Dans la communication des griefs, le chef d'enquête a proposé à la Formation
Restreinte d'adopter deux mesures correctrices et d’infliger une amende administrative
d’un montant de 10.500 euros.

3 Selon l’article […] des statuts coordonnés du contrôlé du […].

4 Cf. Procès-verbal no. […] relatif à la visite sur site effectuée en date du 23 octobre 2019 auprès de la Société

A, page 2.

3/55

9. Suite au départ de Monsieur Christophe Buschmann, la Formation Plénière a
décidé lors de sa séance de délibération du 23 juillet 2021 que Monsieur Marc Lemmer
occupera à partir de ce jour la fonction de chef d’enquête pour l’enquête en cause5.

10. Le 9 septembre 2021, le contrôlé […] a demandé au chef d’enquête la
transmission de l’intégralité du dossier administratif concernant le contrôlé.

11. Le 22 septembre 2021, le chef d’enquête a répondu à cette demande et a
transmis l’intégralité du dossier administratif (en forme de CD-ROM) au contrôlé en date
du 1 octobre 2021.

12. Le 4 octobre 2021, le contrôlé a demandé une extension de délai pour produire
ses observations écrites sur la communication des griefs. Le chef d’enquête a donné une
suite favorable à cette demande et il a prolongé le délai jusqu’au 3 novembre 2021.

13. Le 29 octobre 2021, le contrôlé a produit des observations écrites sur la
communication des griefs.

14. Par courrier du 8 décembre 2021, le chef d’enquête a répondu à une partie des
observations écrites sur la communication des griefs du contrôlé.

15. La présidente de la Formation Restreinte a informé le contrôlé par courrier du 17
janvier 2022 que son affaire serait inscrite à la séance de la Formation Restreinte du 24
février 2022 et qu'il pouvait assister à cette séance. Le contrôlé a confirmé sa présence à
ladite séance en date du 21 janvier 2022.

16. Lors de la séance de la Formation Restreinte du 24 février 2022, le chef
d’enquête, M. Marc Lemmer, était personnellement présent. Le contrôlé était représenté
par […] (Déléguée à la protection des données), […] (Directeur de la Conformité), […],
avocat à la Cour, et […], avocat à la Cour. Le chef d’enquête et les représentants du
contrôlé ont exposé leurs observations orales à l’appui de leurs observations écrites et ont
répondu aux questions posées par la Formation Restreinte. La Formation Restreinte a
accordé au contrôlé la possibilité d'envoyer endéans deux semaines des informations

5 Cf. Procès-verbal n°[…] de la séance plénière de la CNPD.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

4/55

complémentaires demandées par la Formation Restreinte. Le contrôlé a eu la parole en
dernier.

17. Par courriel du 8 mars 2022, le contrôlé a envoyées les informations
complémentaires demandées par la Formation Restreinte pendant la séance du 24 février
2022.

18. La Formation Restreinte dans sa décision se limitera aux traitements contrôlés
par les agents de la CNPD et aux dispositions légales et réglementaires prises en compte
par le chef d’enquête dans la communication des griefs.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié au principe de la minimisation des données

1. Sur les principes

19. Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel
doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des
finalités pour lesquelles elles sont traitées (minimisation des données) ».

20. Le principe de minimisation des données en matière de vidéosurveillance
implique qu’il ne doit être filmé que ce qui apparaît strictement nécessaire pour atteindre
la ou les finalité(s) poursuivie(s) et que les opérations de traitement ne doivent pas être
disproportionnées.6

21. L’article 5.1.b) du RGPD dispose que les données à caractère personnel doivent
être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être

6 Cf. Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

5/55

traitées ultérieurement d'une manière incompatible avec ces finalités ; […] (limitation des
finalités) ».

22. Avant l’installation d’un système de vidéosurveillance, le responsable du
traitement devra définir, de manière précise, la ou les finalités qu’il souhaite atteindre en
recourant à un tel système, et ne pourra pas utiliser ensuite les données à caractère
personnelle collectées à d’autres fins.7

23. La nécessité et la proportionnalité d’une vidéosurveillance s’analyse au cas par
cas et, notamment, au regard de critères tels que la nature du lieu à placer sous
vidéosurveillance, sa situation, sa configuration ou sa fréquentation.8

2. En l’espèce

24. Lors de la visite sur place en date du 23 octobre 2019, il a été expliqué aux
agents de la CNPD que les finalités de la mise en place du système de vidéosurveillance
sont la protection des biens, la sécurisation des accès à des lieux privés et des lieux à
risques, la sécurité des usagers ainsi que la prévention des accidents.9

2.1 S’agissant du champ de vision des caméras filmant les salariés sur leur lieu de
travail et lors de leur temps de pause

25. Lors de ladite visite, les agents de la CNPD ont constaté que les champs de
vision

- des caméras n° [1] et n° [2] (documentées par les photos […] et […]) filmant des
salles coffres10,

7 Cf. Lignes directrices de la CNPD, disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
8 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-

thematiques/videosurveillance/necessite-proportionnalite.html.
9 Cf. Procès-verbal, page 3, constat 6.

10 Cf. Procès-verbal, constats 8 et 9.

6/55

- des caméras n° [3] et n° [4] (documentées par les photos […] et […]) et de la
caméra n° [5] (documentée par la photo […]) filmant des salles de réunions11,

- de la caméra filmant le guichet de la réception situé au […] (documentée par la
photo […])12 (ci-après : « caméra réception »),

- de la caméra n° [6] (documentée par la photo […]) filmant un bureau de caisse13,

- des caméras n° [7], n° [8], n° [9], n° [10] (documentées par les photos […], […],
[…] et […]) filmant des bureaux14, et

- de la caméra n° [11] (documentée par la photo […]) filmant une salle de
crise/salle de secours informatique sur le site « […] » appartenant à la Société
X15,

permettent la surveillance en permanence des salariés sur leur lieu de travail
(communication des griefs, point 25, page 7).

26. Les agents de la CNPD ont également constaté lors de ladite visite que le champ
de vision de la caméra n° [12] (documentée par la photo […]) permet la surveillance
permanente des employés lors de leur temps de pause16 (communication des griefs, point
26, page 8).

27. Le chef d’enquête était d’avis qu’ « une telle surveillance permanente peut créer
une pression psychologique non négligeable pour les salariés qui se sentent et se savent
observés, d'autant plus que les mesures de surveillance perdurent dans le temps : le fait
que les salariés concernées ne disposent pas d'un moyen de se soustraire de temps à
autre de cette surveillance est également de nature à aggraver cette pression : Une telle
surveillance permanente est considérée comme disproportionnée à la finalité recherchée
et constitue une atteinte excessive à la sphère privée des salariés occupés à leurs postes
de travail et lors de leur temps de pause. Dans ce cas les droits et libertés fondamentaux

11 Cf. Procès-verbal, constats 10 et 14.
12 Cf. Procès-verbal, constat 11.
13 Cf. Procès-verbal constat 12.
14 Cf. Procès-verbal, constats 13, 15, 16 et 17.
15 Cf. Procès-verbal, constat 18.
16 Cf. Procès-verbal, constat 19.

7/55

des salariés doivent prévaloir sur les intérêts poursuivis par l'employeur. » (communication
des griefs, point 27, page 8).

28. Ainsi, il a retenu que la non-conformité à l’article 5.1.c) du RGPD était acquise
au jour de la visite sur site et que la documentation et les photos soumises au chef
d’enquête par courrier du 13 décembre 2019 permettaient « de documenter la volonté du
contrôlé de remédier à cette problématique afin de se conformer aux prescrits du RGPD
(…) » mais que « l’adoption de mesures de mise en conformité postérieurement à la visite
sur site n’est pas de nature à énerver ce constat » (communication des griefs, point 30,
page 8).

29. Le contrôlé de son côté a expliqué dans son courriel du 5 novembre 2019 (i.e.
avant la réception du procès-verbal) qu’

- il avait mis en place « un système de masquage concernant les caméras filmant
des zones sensibles », c’est-à-dire il a envoyé un document montrant un
masquage des champs de vision des caméras n° [12], n° [7], n° [8], n° [9] et de
la caméra réception ; et qu’

- il s’engageait à débrancher la caméra n° [11] de leur « espace privatif sur le site
de la Société X en cas d’activation de notre [leur] plan de secours ».

30. Par courrier du 13 décembre 2019, en réponse au procès-verbal, le contrôlé a
expliqué, d’une part, qu’il considérait que certains champs de vision de certaines caméras
susmentionnées étaient justifiées et, d’autre part, qu’il confirmait avoir installé un nouveau
masquage pour ne pas filmer certains postes de travail (en annexant des photos des
modifications à son courrier) et, dans un cas, qu’il confirmait avoir commandé un nouvel
équipement pour remplacer une caméra qui ne permettait pas de restreindre la fonction
de zoom. Plus précisément, le contrôlé a expliqué que

- la caméra n° [1] était « positionnée dans le coffre-fort […] dans lequel sont
conservés des métaux précieux et des titres physiques » et qu’il y avait un
« collaborateur isolé dans ce local difficilement accessible et aux accès très

8/55

restreints » et qu’il a considéré donc que la présence de ladite caméra était
justifiée par rapport aux finalités recherchées17 ;

- la caméra n° [2] était « positionnée dans le […] coffre-fort […] dans lequel sont
stockées des valeurs et le produit de la caisse » du contrôlé et que les postes de
travail qui y étaient localisées n’étaient pas « occupés en permanence, mais
utilisés ponctuellement pour des tâches sensibles ([…]) » et qu’il a considéré
donc que la présence de ladite caméra était justifiée par rapport aux finalités
recherchées18 ;

- les caméras n° [3] et [4] avaient « vocation à surveiller les couloirs des espaces
accessibles à la clientèle » et que les salles de réunion étaient « en réalité de
salons d’accueil, dont les parois sont dotées d’un système d’opacification sur
commande » mais qu’il a néanmoins procédé au masquage vidéo pour garantir
la conformité du dispositif19 ;

- la caméra n° [5] permettait « la surveillance d’un accès secondaire à l’espace
privatif du […] étage du bâtiment […] » et captait l’entrée d’une salle de réunion.
Le contrôlé était d’avis que le chef d’enquête aurait dû nuancer l’affirmation selon
laquelle ladite caméra permettait la surveillance en permanence des personnes
présentes dans la salle de réunion, car, selon lui, la salle de réunion était dotée
d’une porte permettant d’occulter totalement son contenu lorsque celle-ci était
occupée, mais il a confirmé qu’il a néanmoins procédé au masquage vidéo pour
garantir la conformité du dispositif20 ;

- il a procédé au masquage partiel du champ de vision de la caméra réception21 ;

- la caméra n° [6] était « positionnée au niveau du guichet central (…), local
sensible du fait des opérations de caisse qui y sont réalisées (manipulation de
billets […]) » et que le poste de travail qui y était localisé n’était pas occupé en

17
Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 8 et la photo n°1 en annexe.
18 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 9 et la photo n°2 en annexe.
19 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 10 et les photos 3 et 4 en annexe.
20 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 14 et la photo n°8 en annexe.
21 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 11 et la photo n°5 en annexe.

9/55

permanence parce que les opérations de caisse constituaient une activité
marginale du contrôlé et qu’il a considéré donc que la présence de ladite caméra
était justifiée par rapport aux finalités recherchées 22 ;

- les caméras n° [7], n° [8], n° [9], n° [10] étaient « orientées vers les portes d’accès
aux espaces privatifs des étages du bâtiment […] » et, d’une part, il a confirmé
que la caméra n° [7] captait dans son champ de vision le poste de travail d’un
collaborateur et, d’autre part, il a indiqué que, selon lui, il semblait « discutable
d’affirmer que les caméras [8], [9] et [10] » permettaient « la surveillance en
permanence des postes de travail des employées occupant ces bureaux » parce
que « les aménagements intérieurs (…) et les parois partiellement incrustées
de motifs (…) » devraient « permettre de nuancer cette appréciation ». Par
contre, il a confirmé qu’il a néanmoins procédé au masquage vidéo au niveau de
ces 4 caméras pour garantir la conformité du dispositif23 ;

- la caméra n° [11] visait « à surveiller l’espace privatif loué par la Société A chez
le prestataire Société X » et que cet […] espace n’était en principe » jamais
occupé, sauf cas de force majeures entrainant l’indisponibilité temporaire de
locaux de la Société A et l’activation d’un plan de secours ». Il a indiqué
également que la caméra [11] avait « vocation à être désactivée dans de telles
circonstances exceptionnelles ». Par contre, il a confirmé, « malgré l’absence de
constat de carence », qu’il a néanmoins procédé au masquage vidéo pour
garantir la conformité du dispositif 24 ; et que

- la caméra n° [12] permettait « de surveiller les fenêtres sensibles au niveau d’un
couloir du bâtiment […] » mais que la présence de chaises et tabourets avait
conduit les usagers à utiliser ce lieu de passage lors de leur temps de pause et
il a confirmé qu’il a, en conséquence, procédé au « masquage » vidéo au niveau
de cette caméra pour garantir la conformité du dispositif.25

22 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 12 et la photo n°6 en annexe.
23 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 13, 15, 16, 17 et les photos n°6 en annexe.
24 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 18 et la photo n°12 en annexe.
25 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 19 et la photo n°14 en annexe.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

10/55

31. Par courrier du 29 octobre 2021, le contrôlé a répondu à la communication des
griefs du chef d’enquête, en réitérant certaines explications déjà mentionnées dans son
courrier du 13 décembre 2019 et en relevant également que le procès-verbal s’attardait «
sur certaines caméras ( n° [1], n° [5], etc) tout en omettant de préciser que les autres
caméras (n° [100], n° [200], etc.) ne permettent pas une telle « surveillance
permanente » ». À son avis, la communication des griefs ne relevait pas « cet élément à
décharge ».26

32. Le contrôlé a relevé plus particulièrement qu’il est d’avis que le chef d’enquête
aurait dû distinguer entre deux types de lieux distincts filmés par les caméras en question :
d’une part, les guichets et la salle des coffres du contrôlé et, d’autre part, les autres lieux,
comme les salles de réunions. À son avis « la sensibilité économique et stratégique de
ces deux catégories n’est pas à confondre »27.

33. En ce qui concerne « les salles des coffres », le contrôlé a noté que « même s’il
est exact que les salariés de la Société A présents dans la salle des coffres et aux guichets
sont filmés de façon incidente, cela est proportionné et légitimé par la nature critique de
ces lieux » et que « la quantité et la valeur même des avoirs ainsi protégés est une
circonstance devant être prise en compte dans l’évaluation de la proportionnalité de la
vidéosurveillance »28. A son avis, les affirmations du chef d’enquête selon lequel les
salariés étaient filmés « en permanences » et ne disposaient pas « d’un moyen de se
soustraire de temps à autre de cette surveillance » (points 25 à 27 de la communication
des griefs) seraient fautives parce que « les salariés affectés à la salle des coffres et aux
guichets » n’étaient pas « posté de façon statique dans l’angle des caméras en question »
et qu’ils avaient « l’autorisation de se déplacer en dehors de ces angles de vue » et qu’ils
devaient même « régulièrement le faire, dans le cadre de leurs fonctions »29. Il a souligné
également que « le salarié assigné à la salle des coffres » se trouvait « dans un local
fermé à clé pour des raisons évidentes de sécurité » et que parce que cette personne se
trouvait isolée, il était donc impératif pour le contrôlé de veiller à sa sécurité et à sa santé.
Selon lui, la caméra de surveillance serait l’unique moyen de savoir si le salarié en
question n’était pas « en proie à un malaise » ou s’il rencontrait un autre problème. En

26 Cf. Courrier du contrôlé du 29 octobre 2021, page 7, 4 ème paragraphe.
27 Cf. Courrier du contrôlé du 29 octobre 2021, page 20, 4 ème paragraphe.
28 Cf. Courrier du contrôlé du 29 octobre 2021, page 20, 7ème et 8ème paragraphe.
29 Cf. Courrier du contrôlé du 29 octobre 2021, page 21, 1 er paragraphe.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

11/55

outre, il a noté que le salarié en question n’était pas filmé de façon permanente parce que
le salarié affecté à la salle des coffres n’était pas toujours le même « car des rondes, temps
de pause et relèves sont expressément prévus. Il s’agit d’un poste de travail passager,
ponctuel et limité (…) »30.

En ce qui concerne « les guichets de la Société A », le contrôlé a noté que […].31

Plus généralement, le contrôlé a été d’avis que les caméras respectives n’étaient
pas « orientées de telle façon à filmer les salariés de face ». Il a indiqué que ces derniers
étaient « en principe filmés de dos et uniquement de façon incidente. Ni les mains, ni le
visage, ni les appareils (ordinateurs et téléphones privés ou professionnels) des salariés »
n’étaient ciblés par ces caméras. Selon lui, les caméras étaient « donc installées dans le
strict cadre nécessaire et proportionnel relatif à leurs finalités. »32 Il a donc résumé que,
selon lui, les droits et libertés fondamentaux de ses salariés ne prévalaient pas sur son
intérêt d’assurer la sécurité et l’intégrité des avoirs de sa clientèle.

34. En ce qui concerne « les autres lieux, dont les salles de réunion », le contrôlé

- a réitéré ses explications par rapport à la caméra n° [12], notamment que
l’espace ciblé par cette caméra n’était pas « un lieu dédié au repos des salariés »
mais « un simple couloir entre deux départements » et que le contrôlé n’avait
jamais « encouragé ou aménagé cet espace pour qu’il accueille les salariés
pendant leur temps de pause »33 ;

- a expliqué par rapport aux caméras filmant des postes de travail qu'il pratiquait
« une répartition des bureaux des salariés en mode « flexible » » et que cela
signifiait que ses salariés n’avaient pas de « place attitrée » pour effectuer leur
tâches mais qu’ils pouvaient s’installer au bureau de leurs préférence et que, par
conséquent, il ne serait pas possible de lui reprocher une surveillance
permanente de ses salariés34. En ce qui concerne plus particulièrement la

30
Cf. Courrier du contrôlé du 29 octobre 2021, page 21, 2ème paragraphe.
31 Cf. Courrier du contrôlé du 29 octobre 2021, page 21, 3ème paragraphe.
32 Cf. Courrier du contrôlé du 29 octobre 2021, page 21, 4 ème paragraphe.
33 Cf. Courrier du contrôlé du 29 octobre 2021, page 22, 2 ème et 3ème paragraphe.
34 Cf. Courrier du contrôlé du 29 octobre 2021, page 22, 4ème paragraphe.

12/55

caméra n° [11], le contrôlé a reconfirmé son engagement de débrancher ladite
caméra en cas d’activation du plan de secours35 ;

- a noté par rapport aux caméras filmant des salles de réunions du contrôlé qu’une
salle de réunion n'était pas « un lieu de travail « permanent » des salariés »
parce que ces derniers ne s'y rendaient « qu'à de rares occasions, pour un temps
limité et uniquement pour certains salariés » et que, par conséquent, il ne serait
pas possible du lui reprocher une « surveillance permanente » de ses salariés.
Il a expliqué également que les caméras en question filmaient les couloirs
menant à des salles de réunion, mais que les personnes à l’intérieur des salles
n’étaient « normalement pas identifiables ». Il a ajouté que toutes ses salles de
réunion étaient munies d’un système garantissant leur opacité (soit les vitres
étaient teintées/fumées ou constellées de motifs/logos/dessins, soit les salles
étaient munies de rideaux/stores/autres caches) et que, par conséquent, la
surveillance des salariés était soit matériellement impossible soit les salariés
disposaient de la possibilité d’occulter les parois desdites salles de réunion.36

35. La Formation Restreinte tient à rappeler que les salariés ont le droit de ne pas
être soumis à une surveillance continue et permanente sur le lieu de travail. Pour atteindre
les finalités poursuivies, il peut paraître nécessaire pour un responsable du traitement
d’installer un système de vidéosurveillance sur le lieu de travail. Toutefois, pour respecter
le principe de proportionnalité, le responsable du traitement doit recourir aux moyens de
surveillance les plus protecteurs de la sphère privée du salarié et, par exemple, limiter les
champs de vision des caméras à la seule surface nécessaire pour atteindre la ou les
finalité(s) poursuivie(s).

36. En l’espèce, elle constate qu’au moment de la visite sur site, toutes les caméras
litigieuses (cf. point 25 de la présente décision) permettaient la surveillance des postes de
travail des salariés mais elle note qu’il y’en avait certaines qui permettaient la surveillance
des salariés uniquement de façon ponctuelle et non pas de façon permanente et qui
étaient en même temps justifiées par rapport aux finalités poursuivies.

35 Cf. Courrier du contrôlé du 29 octobre 2021, page 25, 6.2.
36 Cf. Courrier du contrôlé du 29 octobre 2021, page 22 (7 ème et 8ème paragraphe) et 23 (1er et 2ème paragraphe).
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

13/55

Elle note que les caméras n° [1] et [2], qui surveillaient un espace dans ou devant
les coffres-forts […] du contrôlé, et la caméra n° [6], qui surveillait le guichet central du
contrôlé, paraissent a priori, dans un premier temps, justifiés pour atteindre les finalités
poursuivies, c’est-à-dire la protection des biens, la sécurisation des accès à des lieux à
risques, la sécurité des usagers ainsi que la prévention des accidents. Il s’agit de trois
caméras qui surveillaient des lieux particulièrement sensibles dans un établissement
bancaire où la réglementation en matière de sécurité des transports de fonds (loi du 12
novembre 2002 et du règlement grand-ducal du 22 août 2003 relatives aux activités
privées de gardiennage et de surveillance) rend obligatoire des équipements de
surveillance dans certains locaux empruntés par les convoyeurs de fonds et justifie dès
lors le traitement de données à des fins de surveillance qui en découle. Elle note
également que, dans certaines hypothèses, le risque pour la sécurité du personnel peut
être d’une importance telle qu’il prime sur la protection de la vie privée du même personnel.
Ainsi, dans la mesure où les vols dans les établissements bancaires sont souvent
accompagnés de violences, il peut être nécessaire que certains salariés se trouvent sous
une surveillance permanente. Toutefois, elle rappelle que le principe de proportionnalité
implique que le responsable du traitement doit limiter le traitement à des données
adéquates, pertinentes et non excessives au regard des finalités à atteindre. Par
conséquent, le champ de vision des caméras ne doit pas, dans la mesure du possible,
porter sur le poste de travail d’un salarié en particulier, et si tel ne peut absolument pas
être évité, le visage du salarié en question ne doit pas être visible (p.ex. par l’utilisation de
techniques informatiques de floutage/masquage).

En ce qui concerne la caméra n° [1], la Formation Restreinte constate qu’un poste
de travail « dans le coffre-fort […] »37 se trouve dans le champ de vision de ladite caméra.
Après question posée par la Formation Restreinte lors de l’audience du 24 février 2022,
le contrôlé a confirmé qu’il s’agit du poste de travail d’un salarié isolé qui doit y rester
pendant au moins plusieurs heures d’affilée par jour (et non pas comme mentionné dans
le courrier du contrôlé du 29 octobre 2021 « d’un poste de travail passager, ponctuel et
limité »38). Par conséquent, la Formation Restreinte constate que le salarié en question
est surveillé de manière permanente sur le lieu de travail et ceci sans utilisation de

37 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 8 et la photo n°1 (constat 8) en annexe.
38 Cf. Courrier du contrôlée du 29 octobre 2021, page 21, 2ème paragraphe.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

14/55

techniques informatiques de floutage/masquage. Elle conclut que même si l’installation de
ladite caméra est justifiée par rapport aux finalités poursuivies (i.e. la protection des biens
et la sécurité des usagers dans un lieu particulièrement sensible d’un établissement
bancaire), son champ de vision est néanmoins excessif parce qu’il existe des techniques
de floutage/masquage pour éviter que le visage d’un salarié soit visible en permanence,
de sorte que le contrôlé ne respectait pas le principe de proportionnalité.

En ce qui concerne la caméra n° [2], la Formation Restreinte constate que des
postes de travail dans un « local sécurisé attenant au coffre-fort […] » se trouvent dans le
champ de vision de ladite caméra. Il ressort des courriers du contrôlé que ces postes de
travail ne sont pas « occupés en permanence, mais utilisés ponctuellement pour des
tâches sensibles (stockage et comptage d’argent liquide, reprise de caisse du guichet
central) » 39. Par conséquent, la Formation Restreinte constate que les salariés en
question ne sont pas surveillés de manière permanente sur le lieu de travail. Elle conclut
que, d’une part, l’installation de la caméra en question est justifiée par rapport aux finalités
poursuivies (i.e. la protection des biens et la sécurité des usagers dans un lieu
particulièrement sensible d’un établissement bancaire) et que, d’autre part, son champ de
vision n’est pas excessif.

En ce qui concerne la caméra n° [6], la Formation Restreinte constate qu’un poste
de travail « au niveau du guichet central » se trouve dans le champ de vision de ladite
caméra. Il ressort des courriers du contrôlé que ce poste de travail « n’est pas occupé en
permanence » parce que les opérations de caisse constituaient une activité marginale du
contrôlé40 et qu’un salarié ne se déplacerait « à ce guichet que dans l’hypothèse
(exceptionnelle) de la manipulation d’espèces »41. Par conséquent, la Formation
Restreinte constate que le salarié en question n’est pas surveillé de manière permanente
sur le lieu de travail. Elle conclut que, d’une part, l’installation de la caméra en question
est justifiée par rapport aux finalités poursuivies (i.e. la protection des biens et la sécurité
des usagers dans un lieu particulièrement sensible d’un établissement bancaire) et que,
d’autre part, son champ de vision n’est pas excessif.

39 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 9 et la photo n°2 (constat 9) en annexe.
40 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 12 et la photo n°6 (constat 12) en annexe.
41 Cf. Courrier du contrôlé du 29 octobre 2021, page 21, 3 ème paragraphe.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

15/55

En ce qui concerne la caméra réception et les caméras n° [7], [8], [9], [10] et [11], la
Formation Restreinte constate que les photos prises par les agents de la CNPD lors de la
visite montrent que les champs de vision desdites caméras permettaient de surveiller en
permanence des salariés sur le lieu de travail. Elle tient à rappeler que les caméras
destinées à surveiller un lieu d'accès (entrée et sortie, porte, auvent, hall, etc.) doivent
avoir un champ de vision limité à la surface strictement nécessaire pour visualiser les
personnes s'apprêtant à y accéder. Pour respecter le principe de proportionnalité, le
contrôlé aurait dû limiter les champs de vision des caméras n° [7], [8], [9], [10] et [11] à la
seule surface nécessaire pour atteindre la ou les finalité(s) poursuivie(s) et, par
conséquent, en l’espèce il aurait dû limiter les champs de vision aux portes d’accès sans
y inclure les bureaux de ses salariés.

En ce qui concerne les caméras n° [3], [4] et [5], elle constate également que lesdites
caméras permettaient de surveiller en permanence les salariés dans les salles de réunion
du contrôlé et que même si celles-ci sont dotées d’un système d’opacification (sur
commande), un tel système ne garantit pas que les salariés qui se trouvent dans
l’obligation d’y passer leur temps de travail ne sont pas filmé en permanence pendant
l’accomplissement de leurs tâches. Pour respecter le principe de proportionnalité, le
contrôlé aurait dû limiter les champs de vision des caméras n° [3], [4] et [5] à la seule
surface nécessaire pour atteindre la ou les finalité(s) poursuivie(s) et, par conséquent, il
aurait dû limiter les champs de vision aux « couloirs des espaces accessible à la
clientèle »42 pour ce qui concerne les deux caméras n° [3] et [4], et, à l’ « accès secondaire
à l’espace privatif du 1er étage du bâtiment […] »43 pour ce qui concerne la caméra n° [5].

En outre, elle constate que la caméra n° [12] permettait la surveillance permanente
des salariés lors de leur temps de pause. Elle tient à rappeler que, quand il s’agit d’endroits
réservés aux salariés sur le lieu de travail pour un usage privé, comme en l’espèce le
couloir où se trouvaient des chaises, des tabourets et au moins deux tables (et où on voit,
sur les photos prises par les agents de la CNPD au moment de la visite sur site, des
salariés en train de manger), les caméras de surveillance sont toujours considérées
comme disproportionnées par rapport aux finalités recherchées. Il en va de même pour
des endroits comme, par exemple, les vestiaires, les toilettes, les coins fumeurs, les zones

42 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 10.
43 Cf. Courrier du contrôlé du 13 décembre 2019, ad constat 14.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

16/55

de repos, la cantine, la kitchenette ou tout autre endroit réservé aux salariés pour un usage
privé. En l’espèce, le fait que l’endroit en question n’était, selon le contrôlé, pas
officiellement réservé aux salariés pour un usage privé, n’empêche pas que ses salariés
ont de facto utilisé cet endroit pour y passer leur pause, d’autant plus que du mobilier a
été mis à disposition à cet effet a priori par le contrôlé. Dans ces cas, les droits et libertés
fondamentaux des salariés doivent prévaloir sur les intérêts légitimes poursuivis par
l’employeur.

37. Quant à l’argument du contrôlé que les salariés n’étaient en général pas filmés
« en permanence » parce qu’ils n’auraient pas de « place attitrée » pour effectuer leurs
tâches et qu’ils pourraient librement choisir chaque jour un poste de travail, la Formation
Restreinte tient à mentionner qu’après question posée pendant la séance de la Formation
Restreinte du 24 février 2022, le contrôlé a confirmé que même si ses salariés n’ont pas
de poste de travail fixe, ils choisissent néanmoins une place chaque matin sur laquelle ils
restent toute la journée, c’est-à-dire le fait de ne pas avoir une place attitrée n’empêche
pas qu’un employeur peut surveiller les salariés toute la journée sur le lieu de travail si le
champ de vision d’une caméra le permet.

38. Quant à l’argument du contrôlé que le chef d’enquête n’aurait pas relevé
d’ « élément à décharge »44 selon lequel seulement certaines caméras permettaient une
surveillance permanente des salariés mais d’autres caméras ne permettaient justement
pas une telle surveillance (cf. point 31 de la présente décision), la Formation Restreinte
considère qu’il ne serait pas approprié d’accorder une attention particulière aux caméras
de surveillance qui correspondaient aux dispositions légales en vigueurs au moment de la
visite sur site. Elle constate que les caméras qui correspondaient aux dispositions légales
en vigueur au moment de la visite sur site sont à considérer comme un élément neutre et
non pas comme un élément à décharge du contrôlé.

39. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête par rapport aux caméras n° [1], [3], [4], [5], caméra réception, [7], [8], [9], [10],
[11] et [12] et conclut qu’une non-conformité à l’article 5.1.c) du RGPD était acquise au
jour de la visite sur site des agents de la CNPD.

44 Cf. Courrier du contrôlé du 29 octobre 2021, page 7, 4 ème paragraphe.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

17/55

40. En revanche, elle ne suit pas l’analyse du chef d’enquête par rapport aux
caméras n° [2] et [6] et conclut que lesdites caméras étaient conformes à l’article 5.1.c) du
RGPD au jour de la visite sur site des agents de la CNPD.

41. Quant aux mesures prises par le contrôlé après la visite sur site des agents de
la CNPD, la Formation Restreinte renvoie au point 93 ainsi qu’au Chapitre II.2. Section
2.2. de cette décision pour les explications y afférentes.

2.2 S’agissant du champ de vision des caméras filmant la voie publique ou des bâtiments
avoisinants

42. Lors de la visite sur site en date du 23 octobre 2019, les agents de la CNPD ont
constaté que

- la caméra « dôme » n° [13] (documentée par les photos […], […], […], […], […]
et […]) permettait la surveillance en permanence d’une partie de la voirie
appartenant au domaine public ainsi que des bâtiments n’appartenant pas au
contrôlé45 ;

- la caméra « dôme » n° [14] (documentée par les photos […] et […]) permettait la
surveillance en permanence des bâtiments n’appartenant pas au contrôlé46 ; et

- la caméra n° [15] (documentée par la photo […]) permettait la surveillance en
continu de la voie publique47

(communication des griefs, point 28, page 8).

43. Le chef d’enquête était d’avis qu’ « au vu des finalités précitées pour lesquelles
est opérée la vidéosurveillance, il n'est pas nécessaire d'englober les parties de la voie
publique et des terrains avoisinants, y compris des bâtiments n'appartenant pas au

45 Cf. Procès-verbal, constat 20.
46 Cf. Procès-verbal, constat 21.
47 Cf. Procès-verbal, constat 22.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

18/55

responsable du traitement. De ce fait cette surveillance est considérée comme
disproportionnée » (communication des griefs, point 29, page 8).

44. Ainsi, il a retenu que la non-conformité à l’article 5.1.c) du RGPD était acquise
au jour de la visite sur site et que la documentation et les photos soumises par le contrôlé
par courrier du 13 décembre 2019 permettaient « de documenter la volonté du contrôlé de
remédier à cette problématique afin de se conformer aux prescrits du RGPD (…) » mais
que « l’adoption de mesures de mise en conformité postérieurement à la visite sur site
n’est pas de nature à énerver ce constat » (communication des griefs, point 30, page 8).

45. Le contrôlé de son côté a expliqué dans son courriel du 5 novembre 2019 (i.e.
avant la réception du procès-verbal) qu’

- il avait mis en place « un système de masquage concernant les caméras filmant
des zones sensibles », c’est-à-dire il a envoyé des photos montrant un
masquage des champs de vision de la caméra n° [15] et de la caméra « dôme »
n° [14] ; et

- il avait programmé le remplacement de la caméra « dôme » n° [13] parce que,
selon lui, elle ne permettait pas un « masquage » de certaines zones.

46. Lesdites explications ont été réitérées par le contrôlé dans son courrier du 13
décembre 2019 en réponse au procès-verbal. Dans ledit courrier, le contrôlé a réaffirmé
avoir commandé une nouvelle caméra pour remplacer la caméra « dôme » n° [13] en vue
d’une mise en conformité du dispositif et il a renvoyé les mêmes photos qu’il avait déjà
envoyé en annexe de son courriel du 5 novembre 201948.

47. Par courrier du 29 octobre 2021, le contrôlé a répondu à la communication des
griefs du chef d’enquête, en relevant, que, selon lui, les raisons pour lesquelles le chef
d’enquête avait considéré que le contrôlé n’avait pas respecté le principe de minimisation
par rapport aux caméras litigieuses lui semblaient « peu disert »49.

48 Cf. Courrier du contrôlé du 13 décembre 2019, ad constats 20, 21 et 22 et les photos n° 15 à 18 et la photo

n° 19 en annexe.
49 Cf. Courrier du contrôlé du 29 octobre 2021, page 23, point 5.3.1.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

19/55

48. Le contrôlé a notamment évoqué les « Lignes directrices 3/2019 du CEPD sur
le traitement des données à caractère personnel par des dispositifs vidéo, version 2.0,
adoptée le 29 janvier 2020 » (ci-après : les « lignes directrices EDPB 3/2019 ») et que,
selon lui, lesdites lignes directrices EDPB 3/2019 semblaient en contradiction avec
l’analyse du chef d’enquête, notamment parce que l’EDPB indiquait que « La plupart du
temps, la nécessité de recourir à la vidéosurveillance pour protéger les locaux du
responsable du traitement ne s'applique qu'aux limites de la propriété. Cependant, il ne
suffit pas toujours de surveiller les lieux concernées pour garantir une protection efficace.
Dans certains cas précis, il peut être nécessaire d'étendre la vidéosurveillance à
l’environnement immédiat de la propriété. »50

49. Le contrôlé a considéré qu’en l’espèce, « une protection efficace des lieux, biens
et personnes nécessitait que la Société A procède à la vidéosurveillance de ses propres
bâtiments mais aussi des lieux y attenant. La vidéo surveillance d'une partie (minimale)
de la voie publique et de bâtiments tiers était donc nécessaire, adéquate et
proportionnelle ». Il a été d’avis qu’il est inefficace de filmer uniquement le seuil du
bâtiment du contrôlé parce que ceci ne permettait pas d’identifier des menaces qui se
dirigeaient vers ce seuil depuis une zone externe. A titre d’exemple il a mentionné des
véhicules ou des individus suspects sur la voie publique attenant directement au bâtiment
du contrôlé qui ne pourraient pas être surveillés et/ou interpellés si le contrôlé ne pouvait
uniquement filmer sa propre façade51. A son avis, « si les éléments dangereux pour la
sécurité de la Société A (biens ou personnes) et de ses clients et salariés ne peuvent être
détectés qu'une fois déjà entrés dans les bâtiments de la Société A, une telle sécurité
pourrait aisément être qualifiée de défaillante et à tout le moins d'insuffisante et de non-
efficace ».52

50. Par conséquent, il a considéré que le traitement ne pouvait pas être qualifié de
disproportionné et ne violait pas le principe de la minimisation des données. De plus, il a
évoqué à nouveau que le contrôlé a déjà procédé aux « masquages des zones dont
question (voie publique et lieux tiers) » mais il a souligné que ces mesures marquaient le

50 Cf. Lignes directrices EDPB 3/2019, page 10, point 27.
51 Cf. Courrier du contrôlé du 29 octobre 2021, page 23 à 24, points 5.3.1. à 5.3.2.
52 Cf. Courrier du contrôlé du 29 octobre 2021, page 24, point 5.3.3.

20/55

respect et la volonté de coopération sincère du contrôlé envers la CNPD et qu’elles ne
devraient pas être comprises « comme une reconnaissance, même tacite, de la part de la
Société A d'une quelconque violation du devoir de minimisation des données »53.

51. La Formation Restreinte tient à rappeler que les caméras destinées à surveiller
un lieu d'accès (entrée et sortie, seuil, perron, porte, auvent, hall, etc.) doivent avoir un
champ de vision limité à la surface strictement nécessaire pour visualiser les personnes
s'apprêtant à y accéder. Celles qui filment des accès extérieurs ne doivent pas baliser
toute la largeur d'un trottoir longeant, le cas échéant, le bâtiment ou les voies publiques
adjacentes. De même, les caméras extérieures installées aux abords ou alentours d'un
bâtiment doivent être configurées de façon à ne pas capter la voie publique, ni les abords,
entrées, accès et intérieurs d'autres bâtiments avoisinants rentrant éventuellement dans
leur champ de vision.54

52. Elle admet néanmoins qu'en fonction de la configuration des lieux, il est parfois
impossible d'installer une caméra qui ne comprendrait pas dans son champ de vision une
partie de la voie publique, abords, entrées, accès et intérieurs d'autres bâtiments. Dans
un tel cas, elle estime que le responsable du traitement devrait mettre en place des
techniques de masquage ou de floutage afin de limiter le champ de vision à sa propriété.55

53. Elle constate que les photos prises par les agents de la CNPD lors de la visite
sur site montrent que le champ de vision de la caméra « dôme » n° [13] permettait la
surveillance d’une petite partie de la voirie appartenant au domaine public ainsi que des
bâtiments n’appartenant pas au contrôlé. Elle prend en considération que ladite caméra
ne surveillait pas de prime à bord la voirie et que celle-ci ne représente qu’une petite partie
du champ de vision de ladite caméra.

En outre, elle note que la caméra dôme n° [14] permettait la surveillance en
permanence des bâtiments n’appartenant pas au contrôlé, de sorte que le contrôlé ne
respectait pas le principe de proportionnalité.

53 Cf. Courrier du contrôlé du 29 octobre 2021, page 24, point 5.3.3 et 5.3.4.
54 Cf. Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lue/dossiersthematiques/

videosurveillance/necessit.Q:proportionnalite.html.
55 Cf. Lignes directrices de la CNPD (Point 4.1.), disponible sous :
https://cnpd.public.lu/fr/dossiersthematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

21/55

En ce qui concerne la caméra n° [15], la Formation Restreinte note qu’elle permettait
la surveillance de l’entrée au bâtiment du contrôlé donnant sur […], i.e. une entrée
accessible au public, et qu’elle permettait en même temps la surveillance d’une petite
partie de la voirie appartenant au domaine public. Elle constate que le champ de vision de
ladite caméra est suffisamment limitée à ce qui est nécessaire pour atteindre les finalités
poursuivies (en l’espèce, la sécurisation des accès à des lieux à risques et la sécurité des
usagers) et que le principe de proportionnalité a ainsi été respecté.

Quant à l’argument du contrôlé que l’avis de l’EDPB serait contraire à l’avis du chef
d’enquête au point 29 de sa communication des griefs selon lequel la surveillance
effectuée par les trois caméras litigieuses étaient disproportionnée, la Formation
Restreinte tient à rappeler que le contrôlé a cité le point 27 des lignes directrices EDPB
3/2019 pour expliquer pourquoi, selon lui, l’EDPB autorisait la surveillance des lieux
attenant aux bâtiments du contrôlé56. Elle note qu’il a cité uniquement la première partie
dudit point 27 concernant l’avis de l’EDPB à l’égard d’une nécessite possible d’étendre la
vidéosurveillance à l’environnement immédiat de la propriété d’un responsable du
traitement : « La plupart du temps, la nécessité de recourir à la vidéosurveillance pour
protéger les locaux du responsable du traitement ne s’applique qu’aux limites de la
propriété. Cependant, il ne suffit pas toujours de surveiller les lieux concernés pour garantir
une protection efficace. Dans certains cas précis, il peut être nécessaire d’étendre la
vidéosurveillance à l’environnement immédiat de la propriété. »

La Formation Restreinte souligne que le point 27 des lignes directrices EDPB 3/2019
continue avec la phrase suivante : « Dans ce contexte, le responsable du traitement
devrait envisager des moyens physiques et techniques supplémentaires, consistant par
exemple à bloquer ou à pixeliser les zones non pertinentes. ». Ensuite, l’EDPB finit ses
explications avec un exemple : « une librairie souhaite protéger ses locaux contre le
vandalisme. En général, les caméras ne devraient filmer que les locaux concernés, car il
n’est pas nécessaire de surveiller les locaux voisins ou les lieux publics situés aux
alentours de la librairie à cette fin. » 57 Par conséquent, elle est d’avis que l’avis de l’EDPB

56 Cf. Courrier du contrôlé du 29 octobre 2021, page 23 à 24, point 5.3.1 et 5.3.2.
57 Cf. Lignes directrices EDPB 3/2019, page 11, point 27.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

22/55

renforce d’avantage l’analyse du chef d’enquête dans sa communication des griefs par
rapport aux caméras « dôme » n° [13] et [14].

54. Au vu de ce qui précède, la Formation Restreinte se rallie dès lors à l’avis du
chef d’enquête par rapport aux caméras « dôme » n° [13] et [14] et conclut qu’une non-
conformité à l’article 5.1.c) du RGPD était acquise au jour de la visite sur site des agents
de la CNPD.

55. En revanche, elle ne suit pas l’analyse du chef d’enquête par rapport à la caméra
n° [15] et conclut que ladite caméra était conforme à l’article 5.1.c) du RGPD au jour de la
visite sur site des agents de la CNPD.

56. Quant aux mesures prises par le contrôlé après la visite sur site des agents de
la CNPD, la Formation Restreinte renvoie au point 93 ainsi qu’au Chapitre II.2. Section
2.2. de cette décision pour les explications y afférentes.

B. Sur le manquement lié à l'obligation d'informer les personnes concernées

1. Sur les principes

57. Aux termes de l’alinéa 1 de l’article 12 du RGPD, le « responsable du traitement
prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14
ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article
34 en ce qui concerne le traitement à la personne concernée d'une façon concise,
transparente, compréhensible aisément accessible, en des termes clairs et simples […]. »

58. L’article 13 du RGPD prévoit ce qui suit :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

23/55

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit
à la personne concernée, au moment où les données à caractère personnel sont
obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir
un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;

b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

24/55

sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;

d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;

f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. »

59. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des
obligations générales de transparence au sens du RGPD.58 Lesdites obligations ont été
explicitées par le Groupe de Travail Article 29 dans ses lignes directrices sur la
transparence au sens du règlement (UE) 2016/679, dont la version révisée a été adoptée
le 11 avril 2018 (ci-après : « WP 260 rév.01 »).

58 Cf. notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.

25/55

60. A noter que le Comité européen de la protection des données (ci-après :
« CEPD »), qui remplace depuis le 25 mai 2018 le Groupe de Travail Article 29, a repris
et réapprouvé les documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai
2018, comme précisément les lignes directrices précitées sur la transparence.59

2. En l’espèce

61. Pour ce qui concerne l'information des clients, fournisseurs, prestataires de
services et les visiteurs (ci-après : « les personnes tierces ») et des salariés quant au
système de vidéosurveillance, les agents de la CNPD ont constaté lors de leur visite sur
site qu’ils sont informés « par un pictogramme et une ancienne vignette d’autorisation de
la CNPD au niveau de la porte d’entrée située au […] » et par « un pictogramme au niveau
du passage non-ouvert au public, situé entre […] et […] ».60

62. Le chef d’enquête a noté dans la communication des griefs qu’ « alors qu'une
certaine information est effectuée par le contrôlé pour signaliser la présence de la
vidéosurveillance, il faut constater qu'au vu des requis de l'article 13 précité, cette
information est incomplète. Le contrôlé omet notamment de fournir les éléments suivants :

- l'identité et les coordonnées du responsable du traitement ;

- les coordonnées du délégué à la protection des données ;

- les finalités du traitement auquel sont destinées les données à caractère
personnel ainsi que la base juridique du traitement ;

- les intérêts légitimes poursuivis par le responsable du traitement ;

- les destinataires ou les catégories de destinataires des données à caractère
personnel ;

- la durée de conservation ;

- l'existence du droit de demander au responsable du traitement l'accès aux
données à caractère personnel, la rectification ou l'effacement de celles-ci, ou
une limitation du traitement relatif à la personne concernée ; et

59 Cf. Décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
60 Procès-verbal, page 3, constat 1.

26/55

- le droit d'introduire une réclamation auprès d'une autorité de contrôle. »61

Il a donc constaté que « les pictogrammes apposés sur site, ainsi que les anciennes
vignettes de la CNPD ne sont de nature à remplir les conditions de l'article 13 précité. »62

63. Le chef d’enquête a précisé que « dans son courriel du 5 novembre 2019 et dans
son courrier du 13 décembre 2019, le contrôlé précise avoir initié le remplacement et la
mise aux normes des pictogrammes avertissant les salariés et les tiers de la présence
d'un système de vidéosurveillance. Néanmoins, il échet de constater que la non-
conformité à l'article 13 du RGPD était acquise au jour de la visite sur site. En effet,
l'adoption de mesures de mise en conformité postérieurement à la visite sur site n'est pas
de nature à énerver ce constat. »63

Ainsi, il a retenu que le contrôlé a manqué à son « obligation d'informer les
personnes concernées du système de vidéosurveillance (salariés et clients) découlant de
l'article 13, paragraphes 1 et 2 du RGPD. »64

64. Le contrôlé de son côté a annexé à son courriel du 5 novembre 2019 (c’est-à-
dire avant l’envoi du procès-verbal) « une série de documents additionnels évoqués
ensemble lors de votre [la] mission de contrôle » :

 la formalisation du « Data Protection Impact Assessment » réalisé sur le
dispositif de vidéosurveillance du Groupe A;

 une « capture d’écran de la rubrique « GDPR » » du site intranet accessible
à l’ensemble des employés du Groupe A (ci-après : la « rubrique intranet
GDPR ») ;

61 Cf. Communication des griefs, page 5, point 13.
62 Cf. Communication des griefs, page 6, point 14.
63 Cf. Communication des griefs, page 6, point 15.
64 Cf. Communication des griefs, page 6, point 16.

27/55

 la « Politique de protection des données » du Groupe A accessible sur
le site intranet ainsi que sur le site web du contrôlé […] (ci-après : la
« politique de protection des données »)65 ;

 le « Règlement intérieur » du Groupe A (ci-après : le « règlement
intérieur »)66 ; et

 la « formation e-learning […] GDPR » (ci-après : la « formation e-
learning »).

Il a également mentionné le « lancement d’une étude interne en vue de la de mise
en conformité des pictogrammes indiquant aux collaborateurs et aux tiers l’existence d’un
système de surveillance par camera ».

65. Dans son courrier du 13 décembre 2019, en réponse au procès-verbal, le
contrôlé a signalé qu’il avait « initié le remplacement et la mise aux normes des
pictogrammes avertissant les salariés et les tiers de la présence d'un système de
vidéosurveillance » et qu’il indiquera à l’avenir « en particulier le nom du responsable du
dispositif, la base légale, la durée de conservation des images et les modalités de
réclamation » auprès du délégué à la protection des données et auprès de la CNPD.

66. Pour ce qui concerne plus particulièrement l’information des salariés quant au
système de vidéosurveillance, le chef d’enquête a noté dans sa communication des griefs
que « le contrôlé a déclaré que les salariés ont été informés de la politique de protection
des données via la diffusion de documents y relatifs via l'Intranet de la société ainsi que
par la participation obligatoire à un e-learning relatif à la protection des données. »67

67. Après l’analyse de la rubrique intranet GDPR, de la politique de protection des
données, du règlement intérieur et de la formation e-learning, il a retenu que « le contrôlé
omet de fournir notamment les éléments suivants :

65 Le contrôlé a mentionné dans son courriel du 9 novembre 2019 que « la vidéosurveillance y est mentionnée

[…] ».
66 Le contrôlé a mentionné dans son courriel du 9 novembre 2019 que « la vidéosurveillance y est mentionnée

[…] ».
67 Cf. Communication des griefs, page 6, point 17.

28/55

- les finalités du traitement auquel sont destinées les données à caractère
personnel ainsi que la base juridique du traitement ;

- les intérêts légitimes poursuivis par le responsable du traitement ;

- la durée de conservation. »68

Il a noté plus particulièrement que la rubrique intranet GDPR « ne contenait aucune
mention du traitement spécifique de vidéosurveillance »69, que la politique de protection
des données contenait « une mention du traitement de vidéosurveillance […] » mais que
« les finalités mentionnées lors de la visite sur site (…) ne sont pas indiquées dans ce
document »70 et que le règlement intérieur « contient une mention vidéosurveillance […],
mais aucune des autres mentions prévues » à l’article 13 du RGPD.

Ainsi, le chef d’enquête a retenu à nouveau que le contrôlé a manqué à son
« obligation d'informer les personnes concernées découlant de l'article 13, paragraphes 1
et 2 du RGPD »71.

68. Par courrier du 29 octobre 2021, le contrôlé a répondu à la communication des
griefs pour exposer son avis sur l’article 13 du RGPD qui, selon lui, « n'impose aucune
forme spécifique aux responsables du traitement pour la communication des informations
aux personnes dont les données sont collectées. (…) » et « n'exige aucunement la
transmission en « une seule fois » (« one-shot ») des informations pertinentes.»72. Il a
également cité le site internet de la CNPD sur lequel est mentionné que la CNPD
recommande aux responsables de traitements pour répondre à leur obligation de
transparence (et pour éviter des mentions trop longues au niveau d’un formulaire) de
« donner un premier niveau d’information en fin de formulaire et renvoyer à votre [leur]
politique de confidentialité ou à une page dédiée à la vie privée sur votre [leur] site internet
qui doit inclure toutes les mentions ci-dessus. »73

68 Communication des Griefs, page 6, point 18.
69
Communication des Griefs, page 6, point 18.
70 Communication des Griefs, page 7, point 20.
71 Cf. Communication des Griefs, page 7, point 22.
72 Cf. Courrier du contrôlé du 29 octobre 2021, page 10, point 4.1.1.
73 Cf. https://cnpd.public.lu/fr/dossiers-thematiques/guide-monde-associatif/information-pc.html

29/55

Le contrôlé en a conclu « que la seule vignette et le seul pictogramme de la Société
A ne comprenaient pas l'intégralité des informations identifiées à l'article 13 du RGPD »
mais ceci uniquement parce qu’il avait « procédé à une information en plusieurs étapes
de ces mentions, la vignette et les affiches relevées (…) n’en étant que la première »74. Il
a considéré qu’« une telle pratique est conforme à la loi et aux recommandations des
autorités de contrôle (EDPB, CNPD, ...) ». Il a cité également le WP 260 rév. 01 dans
lequel le Groupe de Travail Article 29 a mentionné qu’« un responsable à traitement peut
adopter une approche à plusieurs niveaux, par laquelle il choisit d’utiliser plusieurs
méthodes pour garantir la transparence »75. Il a expliqué qu’il avait justement suivi cette
approche à plusieurs niveaux et que la vignette servait, « en premier lieu, à avertir toutes
les personnes concernées sur le principe que ses bâtiments sont potentiellement sous
vidéosurveillance » et que le détail des autres informations était « facilement accessible
sur d’autres supports cumulatifs plus adaptés à cet objectif d’information »76. Sur cette
base, il a contesté le grief qui lui a été reproché par le chef d’enquête dans sa
communication des griefs77 et il a été d’avis que « l’absence d’un élément dans un support
ne constitue pas une faute, si cet élément « manquant » se retrouve dans un autre support
communiqué aux personnes concernées »78.

Ensuite, il a expliqué pourquoi, selon lui, les divers supports employés par lui
respectaient son obligation d’information des personnes concernées. A son avis, la
vignette et le pictogramme d’un côté, et son site web qui contenait et renvoyait vers sa
politique de protection de données, vers [un « règlement données »]79 et, entre autres,
vers une « page dédiée à la protection des données personnelles »80, de l’autre côté,
comprenaient ensemble « une information claire et circonstanciée relative au traitement
des données par les caméras de sécurités installés sur et dans ses bâtiments » et ceci
« tant vis-à-vis des salariés (..) que vis-à-vis des tiers concernés »81.

74 Cf. Courrier du contrôlé du 29 octobre 2021, page 11, point 4.1.2.
75 Cf. WP 260 rév. 01, point 35.
76 Cf. Courrier du contrôlé du 29 octobre 2021, page 11, point 4.1.2.
77
Cf. Communication des griefs, point 22.
78 Cf. Courrier du contrôlé du 29 octobre 2021, page 12, point 4.1.3.
79 […]
80 […]
81 Cf. Courrier du contrôlé du 29 octobre 2021, page 13, points 4.2.1. et 4.2.2.

30/55

Concernant ses salariés, il a ajouté qu’il existait encore d’autres supports
complémentaires, tels que l’information de la délégation du personnel, l’exécution des
formations obligatoires à ses salariés concernant la protection des données à caractère
personnel82, la rubrique intranet GDPR spécifiquement pour ses salariés, le règlement
intérieur du contrôlé qui serait applicable à tous les membres de son personnel et
l’information continue de son personnel dont se chargeait le DPO et/ou la direction du
contrôlé83.

Concernant les personnes tierces, il a ajouté qu’il est d’avis que l’obligation
d’information instituée par l’article 13 du RGPD ne serait pas une obligation absolue et elle
serait notamment pas nécessaire « lorsque la communication d’information à la personne
concernée se révèle impossible ou exigerait des efforts disproportionnés » (cf. considérant
62 du RGPD). Le contrôlé a été d’avis qu’en l’espèce la vignette et le panneau d’affichage
ont été le seul outil direct dont il disposait, parce qu’il serait « matériellement impossible,
sinon extrêmement difficile (…) de poursuivre chacun des tiers passant à portée de ses
caméras de sécurité pour leur remettre en mains propres un document contenant toutes
les informations requises par l’article 13 du RGPD »84.

Le contrôlé a également mentionné qu’il avait entre-temps

 installé des nouveaux panneaux d’affichage plus grands et plus nombreux sur et
dans ses bâtiments et il a annexé une photo de ces nouveaux panneaux
d’affichage85 (ci-après : les « nouveaux panneaux d’affichage ») ;

 mis à jour sa politique de protection des données et publié ledit document sur
son site internet86 ;

82
Cf. Courrier du contrôlé du 29 octobre 2021, pièce n° 10.
83 Cf. Courrier du contrôlé du 29 octobre 2021, page 14, point 4.2.3 dernier paragraphe.
84 Courrier du contrôlé du 29 octobre 2021, page 18, point 4.4.
85 Cf. Courrier du contrôlé du 29 octobre 2021, pièce n° 12 ; et page 11, point 4.1.2 ; et page 25, point 6.2.
86 Cf. Courrier du contrôlé du 29 octobre 2021, pièce n° 21 ; et page 25, point 6.2.

31/55

 mis à jour une « politique interne de protection des données personnelles »
adressée aux salariés en matière de protection des données et publié ledit
document sur son intranet87 ; et

 envoyé une communication interne à tous les salariés en les informant de la
publication de nouvelles versions de la politique de protection des données et de
la « politique interne de protection des données personnelles ».88

Il a souligné également que toutes les améliorations apportées ne devraient pas
« être interprétée[s], même implicitement, comme une reconnaissance des violations
alléguées relevées » dans la communication des griefs89.

69. La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD
fait référence à l’obligation imposée au responsable du traitement de « fournir » toutes les
informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie
que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne
concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.). » (WP260 rev. 01. point 33).

70. Elle estime par ailleurs qu’une approche à plusieurs niveaux pour communiquer
des informations sur la transparence aux personnes concernées peut être utilisée dans un
contexte hors ligne ou non numérique, c’est-à-dire dans un environnement réel comme
par exemple des données à caractère personnel collectées au moyen d’un système de
vidéosurveillance. Le premier niveau d’information (panneau d’avertissement, note
d’information, etc.) devrait de manière générale inclure les informations les plus
essentielles, à savoir les détails de la finalité du traitement, l’identité du responsable du
traitement, l’existence des droits des personnes concernées, les informations ayant la plus
forte incidence sur le traitement ou tout traitement susceptible de surprendre les
personnes concernées, ainsi qu’une référence aux informations plus détaillées du
deuxième niveau (par exemple, via un code QR ou une adresse de site web)90. Le

87 Cf. Courrier du contrôlé du 29 octobre 2021, pièce n° 22 ; et page 25, point 6.2.
88 Cf. Courrier du contrôlé du 29 octobre 2021, pièce n° 23.
89 Cf. Courrier du contrôlé du 29 octobre 2021, page 25, point 6.1.
90 Cf. WP260 rev 01 (point 38) et Lignes directrices 3/2019 du CEPD sur le traitement des données à caractère

personnel par des dispositifs vidéo, version 2.0, adoptée le 29 janvier 2020 (points 114. et 117.).
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

32/55

deuxième niveau d’information, c’est-à-dire l’ensemble des informations requises au titre
de l’article 13 du RGPD, pourrait être fourni ou mis à disposition par d’autres moyens,
comme par exemple un exemplaire de la politique de confidentialité envoyé par e-mail aux
salariés ou un lien sur le site internet vers une notice d’information pour ce qui concerne
les personnes tierces non salariées91.

2.1. L’information des personnes tierces

71. La Formation Restreinte note que lors de la visite sur site par les agents de la
CNPD, les personnes tierces n’étaient informées de la présence du système de
vidéosurveillance qu’au moyen de panneaux de signalisation contenant des pictogrammes
d’une caméra et la mention « Local/Locaux sous vidéosurveillance » et de l’ancienne
vignette de la CNPD. Un panneau et l’ancienne vignette de la CNPD étaient apposés au
niveau de la porte d'entrée située au […] et un autre panneau était apposé au niveau d’un
passage non-ouvert au public situé entre […] et […].92

72. Elle tient tout d’abord à préciser que comme les anciennes vignettes étaient
délivrées par la CNPD sous l'ancien régime d'autorisation de la loi modifiée du 2 août 2002
relative à la protection des personnes à l'égard du traitement des données à caractère
personnel qui a été abrogée par la loi du 1er août 2018, elles sont devenues obsolètes et
depuis l’entrée en application du RGPD, d’autres règles en la matière sont applicables.

73. Ensuite, elle constate que les panneaux précités, en place au moment de
l’enquête, ne contenaient ni les éléments requis par le premier niveau d’information, ni une
référence au deuxième niveau d’information (voir point 70 de la présente décision).

74. En ce qui concerne le premier niveau d’information, il y manquait notamment les
détails de la finalité du traitement, l’identité du responsable du traitement, l’existence des
droits des personnes concernées et la référence aux informations plus détaillées du
deuxième niveau.

75. En ce qui concerne le deuxième niveau d’information (i.e. l’ensemble des
informations requises au titre de l’article 13 du RGPD), la Formation Restreinte constate

91 Cf. WP260 rev. 01 (point 38.)

92 Cf. Procès-verbal, page 3, constat 1 ; et Communication des griefs, page 5, point 12.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

33/55

que le contrôlé a envoyé aux agents de la CNPD en date du 5 novembre 2019, c’est-à-
dire avant l’envoi du procès-verbal au contrôlé, une série de documents qui contenait,
entre autres, la politique de protection des données du contrôlé qui était accessible « en
ligne sur le site intranet ainsi que sur le site web de la Société A » (c’est-à-dire, elle était
accessible aux personnes tierces). Dans ladite politique de protection des données ([…])
se trouvait un lien pour les « clients et tiers » […] via [un « règlement données »] dont le
contrôlé n’a pas transmis une copie et dont la Formation Restreinte ne connait pas le
contenu93.

76. Alors que ladite politique de protection des données contenait en effet certaines
des mentions prévues à l’article 13 du RGPD, elle ne précisait néanmoins pas les finalités
mentionnées lors de la visite sur site (à savoir la protection des biens, la sécurisation des
accès à des lieux privés et des lieux à risques, la sécurité des usagers ainsi que la
prévention des accidents), ni la durée de conservation spécifique par rapport aux images
de vidéosurveillance. Le chapitre […] de la politique de protection des données contenait
uniquement une liste générale de toutes les finalités pour tous les traitements de données
réalisés par le contrôlé et la vidéosurveillance y est mentionnée comme une des finalités
et non pas comme un traitement de données à caractère personnel en soi.

77. Par ailleurs, la Formation Restreinte tient à souligner que l'article 13 du RGPD
exige que, lorsque le responsable du traitement collecte des données à caractère
personnel auprès de la personne concernée, il « lui fournit, au moment où les données en
question sont obtenues » les informations y listées. Comme susmentionné au point 69 de
la présente décision, le mot « fournir » est crucial car il « signifie que le responsable du
traitement doit prendre des mesures concrètes pour fournir les informations en question à
la personne concernée ou pour diriger activement la personne concernée vers
l'emplacement desdites informations (par exemple au moyen d'un lien direct, d'un code
QR, etc.). » (WP260 rev. 01. point 33).

Ainsi, « fournir simplement les informations par voie électronique et par écrit, par
exemple dans une déclaration ou un avis sur la protection de la vie privée en ligne, peut
ne pas être adapté ou ne pas fonctionner sur un dispositif collectant les données à
caractère personnel qui ne dispose pas d'un écran (dispositifs connectés/intelligents) pour

93 […].
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

34/55

afficher le site internet ou ces informations écrites. Dans un tel cas, des moyens alternatifs
supplémentaires et adaptés devraient être envisagés, par exemple la fourniture de la
déclaration ou de l'avis sur la protection de la vie privée dans un guide d'instruction au
format papier ou la fourniture au format papier, dans les instructions ou sur l'emballage,
de l'adresse URL du site internet (plus précisément, la page spécifique du site internet) où
se trouve l'avis ou la déclaration sur la protection de la vie privée. » (WP 260, rev.01, point
19).

78. En l’espèce, la Formation Restreinte considère, comme les panneaux de
signalisation en place au moment de la visite sur place ne contenaient qu’un pictogramme
d’une caméra avec la mention « Local/Locaux sous vidéosurveillance » et l’ancienne
vignette de la CNPD, qu’ils ne contenaient dès lors pas de référence vers le site internet
du contrôlé où se trouvait la politique de protection des données du contrôlé. Par
conséquent, une personne tierce visitant les locaux du contrôlé n’aurait pas pu savoir où
trouver les informations en cause. Par ailleurs, au moment où les données d'une personne
tierce sont obtenues par le contrôlé, c'est-à-dire au moment où celle-ci visite les locaux du
contrôlé et tombe dans le champ de vision d'une des caméras, on ne peut pas s’attendre
à ce qu’elle se soit rendue au préalable sur le site internet du contrôlé pour lire les
informations relatives au traitement de données opéré par le système de
vidéosurveillance.

79. La Formation Restreinte prend note de l’affirmation du contrôlé stipulant que les
panneaux et l’ancienne vignette de la CNPD constituaient le seul outil direct dont il
disposait, parce qu’il aurait été « matériellement impossible, sinon extrêmement difficile
(…) de poursuivre chacun des tiers passant à portée de ses caméras de sécurité pour leur
remettre en mains propres un document contenant toutes les informations requises par
l’article 13 du RGPD »94.

80. Or, il n’est pas obligatoire de remettre en mains propres de toutes les personnes
tierces un document en papier contenant toutes les informations requises par l'article 13
du RGPD. En effet et comme l’affirme d’ailleurs aussi le contrôlé dans son courrier précité
du 29 octobre 2021, une approche à plusieurs niveaux pour communiquer des
informations sur la transparence aux personnes concernées peut tout à fait être utilisée

94 Cf. Courrier du contrôlé du 29 octobre 2021, page 18, point 4.4.2.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

35/55

en cas de collecte de données à caractère personnel au moyen d’un système de
vidéosurveillance (voir point 70 de la présente décision sur l’information à deux niveaux).
Toutefois, les informations du premier niveau (comme, par exemple, les panneaux de
signalisation à l’entrée d’un bâtiment) devraient par conséquent contenir une référence
aux informations plus détaillées du deuxième niveau (par exemple, un lien via un site web
ou un code QR).

81. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête95 et conclut, qu’au moment de la visite sur site des agents de la CNPD, l’article
13 du RGPD n’était pas respecté par le contrôlé en matière de vidéosurveillance pour ce
qui concerne les personnes tierces.

82. Quant aux mesures prises par le contrôlé après la visite sur site des agents de
la CNPD, la Formation Restreinte renvoie au point 93 ainsi qu’au Chapitre II.2. Section
2.2. de cette décision pour les explications y afférentes.

2.2. L’information des salariés

83. En ce qui concerne l'information des salariés quant au système de
vidéosurveillance, la Formation Restreinte note qu’au moment de la visite sur site par les
agents de la CNPD, ils étaient informés de la vidéosurveillance par les mêmes panneaux
de signalisation et l’ancienne vignette de la CNPD que les personnes tierces (voir points
71 à 74 de la présente décision). Elle note également que le contrôlé a déclaré que les
salariés ont été informé de la politique de protection des données via la diffusion de
documents y relatifs via son intranet ainsi que par la participation obligatoire à un e-
learning relatif à la protection des données (procès-verbal, constat 7).

84. En outre, elle note que le contrôlé a envoyé aux agents de la CNPD en date du
5 novembre 2019, c’est-à-dire avant l’envoi du procès-verbal au contrôlé, une série de
documents qui contenait, entre autres, la rubrique intranet GDPR, la politique de protection
des données, le règlement intérieur et la formation e-learning.

85. Concernant la politique de protection des données, elle tient à renvoyer au point
76 de la présente décision. En ce qui concerne la rubrique intranet GDPR, elle note qu’elle

95 Cf. Communication des griefs, page 6 à 7, points 16 et 22.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

36/55

contenait en effet la plupart des mentions prévues à l’article 13 du RGPD, mais ne
contenait aucune mention du traitement spécifique de vidéosurveillance. Cependant, la
rubrique intranet GDPR a renvoyé à la politique de protection de données dans laquelle
se trouvait une mention du traitement de vidéosurveillance en pages […]. Le règlement
intérieur contenait également une mention de la vidéosurveillance en page […], mais
aucune des autres mentions prévues à l’article 13 du RGPD. En ce qui concerne la
formation e-learning, la Formation Restreinte note qu’il s’agissait d’une formation générale
concernant le RGPD dont l’objectif était de former et de sensibiliser les salariés dans le
domaine de la protection des données personnelles. Il ne s’agissait pas d’une information
individuelle des salariés par rapport au traitement de vidéosurveillance. Il en va de même
pour les autres documents précités, car ces documents peuvent être qualifiés comme une
information collective, mais pas comme une information individuelle des salariés.

En outre, elle considère que, même si le contrôlé avait choisi une approche à deux
niveaux pour communiquer les informations requises par l'article 13 du RGPD à ses
salariés, l’intégralité de ses informations doit néanmoins « être accessible à un endroit
unique ou dans un même document (au format papier ou électronique) pouvant être
aisément consulté par cette personne si elle souhaite consulter l’intégralité des
informations qui lui sont adressées » (WP260 rev. 01, point 17). En l’espèce, les
informations sont dispersées dans différents documents disponibles dans divers endroits,
ce qui rend la prise de connaissance de ces informations difficiles pour les salariés.

86. Elle note également que le contrôlé a mentionné dans son courrier du 29 octobre
2021 que la délégation du personnel avait été en possession de toutes les informations
nécessaires concernant le traitement de vidéosurveillance. En annexe dudit courrier il a
envoyé l’accord du […] concernant ledit traitement96. Dans le courrier précité, le contrôlé
a mentionné également que, pendant les formations e-learning de ses salariés, « la
question des caméras de surveillance a été abordée par des salariés de la Société A et
des informations pertinentes leur ont été fournies »97.

Or, la Formation Restreinte ne dispose d’aucune preuve d’une telle information des
salariés, d’une part, et elle tient à préciser que la simple information du […] n'assure pas

96 Cf. Courrier du contrôlé du 29 octobre 2021, pièce n° 17.
97 Cf. Courrier du contrôlé du 29 octobre 2021, page 14, 4.2.3.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

37/55

que les salariés du contrôlé avaient été informés individuellement concernant les éléments
précis de l'article 13 du RGPD.

87. Au vu de ce qui précède, elle se rallie ainsi à l’avis du chef d’enquête98 et conclut,
qu’au moment de la visite sur site des agents de la CNPD, l’article 13 du RGPD n’était pas
respecté par le contrôlé en matière de vidéosurveillance pour ce qui concerne les salariés.

88. Quant aux mesures prises par le contrôlé après la visite sur site des agents de
la CNPD, la Formation Restreinte renvoie au point 93 ainsi qu’au Chapitre II.2. Section
2.2. de cette décision pour les explications y afférentes.

II. 2. Sur les mesures correctrices et amendes

1. Les principes

89. Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

98 Cf. Communication des griefs, page 6 à 7, points 16 et 22.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

38/55

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

90. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre
de l’État ou des communes.

91. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

39/55

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

40/55

92. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.

93. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
et/ou de la fixation du montant d’une éventuelle amende administrative à prononcer.

2. En l’espèce

2.1. Quant à l’imposition d’une amende administrative

94. Dans sa communication des griefs du 24 août 2021 (point 36), le chef d’enquête
proposait à la Formation Restreinte d’infliger une amende administrative au contrôlé d’un
montant de 10.500 euros.

95. Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la Formation Restreinte prend en compte
les éléments prévus par l’article 83.2 du RGPD :

 Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), la
Formation Restreinte relève qu’en ce qui concerne le manquement à l’article 5.1.c)
du RGPD, il est constitutif d’un manquement aux principes fondamentaux du
RGPD (et du droit de la protection des données en général), à savoir au principe
de minimisation des données consacré au Chapitre II « Principes » du RGPD.

Quant au manquement à l’obligation d’informer les personnes concernées
conformément à l’article 13 du RGPD, la Formation Restreinte rappelle que
l’information et la transparence relative au traitement des données à caractère

41/55

personnel sont des obligations essentielles pesant sur les responsables de
traitement afin que les personnes soient pleinement conscientes de l’utilisation qui
sera faite de leurs données à caractère personnel, une fois celles-ci collectées. Un
manquement à l’article 13 du RGPD est ainsi constitutif d’une atteinte aux droits
des personnes concernées. Ce droit à l’information a par ailleurs été renforcé aux
termes du RGPD, ce qui témoigne de leur importance toute particulière.

 Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte
constate que ces manquements ont duré dans le temps, à tout le moins depuis le
25 mai 2018 et jusqu’au jour de la visite sur place. La Formation Restreinte rappelle
ici que deux ans ont séparé l’entrée en vigueur du RGPD de son entrée en
application pour permettre aux responsables de traitement de se conformer aux
obligations qui leur incombent et ce même si une obligation de respecter le principe
de minimisation des données, tout comme une obligation d’information comparable
existaient déjà en application des articles 4.1. b), 10.2 et 26 de la loi abrogée du 2
août 2002 relative à la protection des personnes à l'égard du traitement des
données à caractère personnel. De la guidance relative aux principes et obligations
prévus dans ladite loi était disponible auprès de la CNPD notamment à travers des
autorisations préalables en matière de vidéosurveillance et de la guidance
disponible sur le site internet de la CNPD.

 Quant au nombre de personnes concernées (article 83.2.a) du RGPD), la
Formation Restreinte constate que pour la vidéosurveillance, il s’agit de tous les
salariés travaillant sur le site du contrôlé, ainsi que toutes les personnes tierces,
c’est-à-dire les clients, fournisseurs, prestataires de services et les visiteurs se
rendant sur ledit site.

 Quant à la question de savoir si les manquements ont été commis délibérément
ou non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que « non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas
respecté l’obligation de diligence qui lui incombe en vertu de la législation.

42/55

En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef
du contrôlé.

 Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2.f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête
selon laquelle la coopération du contrôlé tout au long de l'enquête était bonne, ainsi
que de sa volonté de se conformer à la loi dans les meilleurs délais.

 Quant aux mesures prises par le contrôlé pour atténuer le dommage subi par les
personnes concernées (article 83.2.c) du RGPD), la Formation Restreinte tient
compte des mesures prises par le contrôlé et renvoie au Chapitre II.2. Section 2.2.
de cette décision pour les explications y afférentes.

96. La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.

97. La Formation Restreinte relève aussi que si plusieurs mesures ont été mises en
place par le contrôlé afin de remédier en totalité ou en partie à certains manquements,
celles-ci n’ont été adoptées qu’à la suite du contrôle des agents de la CNPD en date du
23 octobre 2019 (voir aussi le point 92 de la présente décision).

98. Dès lors, la Formation restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5.1.c) et 13 du RGPD.

99. S’agissant du montant de l’amende administrative, la Formation Restreinte
rappelle que le paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations
multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder
le montant fixé pour la violation la plus grave. Dans la mesure où un manquement aux
articles 5 et 13 du RGPD est reproché au contrôlé, le montant maximum de l’amende
pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel
mondial, le montant le plus élevé étant retenu.

43/55

100. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant,
la Formation Restreinte considère que le prononcé d’une amende de dix mille (10.000)
euros apparaît à la fois effectif, proportionné et dissuasif, conformément aux exigences de
l’article 83.1 du RGPD.

2.2. Quant à la prise de mesures correctrices

101. L’adoption des mesures correctrices suivantes a été proposée par le chef
d’enquête à la Formation Restreinte dans sa communication des griefs (point 33.) :

a) « Ordonner au contrôlé de compléter les mesures d'information destinées aux
personnes concernées par la vidéosurveillance, conformément aux
dispositions de l'article 13, paragraphes 1 et 2 du RGPD en renseignant
notamment :

- l'identité et les coordonnées du responsable du traitement ;
- les coordonnées du délégué à la protection des données ;
- les finalités du traitement auquel sont destinées les données à caractère
personnel ainsi que la base juridique du traitement ;
- les catégories de données à caractère personnel concernées ;
- les intérêts légitimes poursuivis par le responsable du traitement ;
- les destinataires ou les catégories de destinataires des données à
caractère personnel ;
- la durée de conservation ;
- l'existence du droit de demander au responsable du traitement l'accès aux
données à caractère personnel, la rectification ou l'effacement de celles-ci,
ou une limitation du traitement relatif à la personne concernée ; et
- le droit d'introduire une réclamation auprès d'une autorité de contrôle.

b) Ordonner au contrôlé de ne traiter que des données pertinentes, adéquates
et limitées à ce qui est nécessaire au regard des finalités de protection des
biens et de sécurisation des accès et, en particulier, adapter le dispositif de
vidéosurveillance afin de ne pas filmer la voie publique et les bâtiments et
terrains avoisinants, ainsi que les salariés sur leur poste de travail. Une telle
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

44/55

adaptation peut avoir lieu, par exemple, en supprimant et/ou en réorientant
les caméras litigieuses, et/ou en adaptant le champ de vision de ces caméras
au moyen d'un floutage ou d'un noircissement. »

102. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 93 de la présente décision, la Formation Restreinte prend en compte
les démarches effectuées par le contrôlé, suite à la visite des agents de la CNPD, afin de
se conformer aux dispositions des articles 5.1.c) et 13 du RGPD, comme détaillées dans
son courriel du 5 novembre 2019 et dans ses courriers du 13 décembre 2019 et du 29
octobre 2021. Plus particulièrement, elle prend note des faits suivants:

1. Quant à la mesure correctrice proposée par le chef d’enquête reprise au point
101 de la présente décision sous b), concernant l’obligation de ne traiter que des
données pertinentes, adéquates et limitées à ce qui est nécessaire au regard
des finalités de la protection des biens, de la sécurisation des accès à des lieux
à risques et de la sécurité des usagers, conformément aux dispositions de
l’article 5.1.c) du RGPD, le contrôlé a confirmé dans son courriel du 5 novembre
2019 et dans ses courriers du 13 décembre 2019 et du 29 octobre 2021

- en ce qui concerne les caméras n° [1], [2] et [6] permettant la surveillance en
permanence des salariés sur leur lieu de travail :
 qu’il n’a pas apporté de modifications aux champs de vision des trois
caméras litigieuses parce qu’il considère les champs de vision desdites
caméras justifiés (cf. point 30 et 33 de la présente décision pour plus de
précisions).

La Formation Restreinte considère que les arguments du contrôlé (cf. point 30
et 33 de la présente décision) par rapport aux caméras n° [1], [2] et [6] sont
compréhensibles puisque la surveillance visait des locaux dans un
établissement bancaire, en l’espèce les salles de coffres (caméra n° [1] et [2])
et le guichet central du contrôlé (caméra n° [6]), qui constituent des lieux
particulièrement sensibles où le risque de vol ou de vandalisme est caractérisé.
Comme élaboré au point 36 (2ème et 3ème paragraphe) de la présente décision,
elle est néanmoins d’avis que le champ de vision de la caméra n° [1] est
disproportionné parce qu’il ne doit pas porter sur le poste de travail d’un salarié
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

45/55

en particulier qui est obligé d’y passer au moins plusieurs heures d’affilée par
jour, et si tel ne peut absolument pas être évité, le visage du salarié en question
ne doit pas être visible (par exemple par l’utilisation de techniques informatiques
de floutage/masquage). En ce qui concerne les caméras n° [2] et [6], elle
constate que les postes de travail en question ne sont pas occupés en
permanence mais sont uniquement utilisés ponctuellement par les salariés du
contrôlé pour des tâches sensibles. Par conséquent, elle est d’avis qu’aucune
mesure correctrice est nécessaire par rapport aux caméras n° [2] et [6].

En considération de l’absence de mesures de mise en conformité prises par le
contrôlé en l’espèce (à l’égard des caméras n° [1], [2] et [6]) et le point 93 de la
présente décision, la Formation Restreinte considère dès lors qu’il y a lieu de
prononcer la mesure correctrice proposée par le chef d’enquête à cet égard et
reprise au point 101 de la présente décision sous b), mais uniquement par
rapport au champ de vision de la caméra n° [1].

- en ce qui concerne les caméras n° [3], [4], [5], la caméra réception, [7], [8], [9],
[10], [11] et [12], permettant la surveillance en permanence des salariés sur leur
lieu de travail ou lors de leur temps de pause :
 qu’il a apporté un système de masquage au champ de vision de toutes les
caméras précitées et qu’il a confirmé son engagement de débrancher la
caméra n° [11] en cas d’activation du plan de secours.

En considération des mesures de mise en conformité suffisantes prises par le
contrôlé en l’espèce (à l’égard des caméras n° [3], [4], [5], la caméra réception,
[7], [8], [9], [10], [11] et [12]) et le point 93 de la présente décision, la Formation
Restreinte considère dès lors qu’il n’y a pas lieu de prononcer la mesure
correctrice proposée par le chef d’enquête à cet égard et reprise au point 101 de
la présente décision sous b).

- en ce qui concerne les caméras n° [13], [14] et [15] permettant la surveillance de
la voie publique ou de bâtiments n’appartenant pas au contrôlé :

46/55

 qu’il a apporté un masquage au champ de vision des caméras n° [15] et [14]
et il a annexé des photos montrant les champs de vision desdites caméras
après cet ajustement ; et

 qu’il a commandé une nouvelle caméra pour remplacer la caméra « dôme »
n° [13] parce que, selon le contrôlé, elle ne permettait pas un masquage de
certaines zones. Dans son courrier du 29 octobre 2021, il a confirmé que la
caméra « dôme » n° [13] a été remplacée99. Toutefois, aucune
documentation soumise par le contrôlé ne contient de preuve attestant que
ladite caméra a été finalement remplacée par une nouvelle caméra et qu’un
masquage appropriée a été installé.

Par ailleurs, les mesures correctrices apportées par le contrôlé par rapport à
la caméra [14] correspondent aux consignes de l’EDPB à ce sujet dans ses
lignes directrices EDPB 3/2019 parce que le contrôlé a flouté les zones non
pertinentes par rapport à ladite caméra.

En ce qui concerne la caméra n° [15], la Formation Restreinte considère que
le champ de vision de ladite caméra n’était pas disproportionné par rapport
aux finalités poursuivies par le contrôlé (cf. point 53 de la présente décision
pour des explications y afférentes).

En considération des mesures de mise en conformité incomplètes prises par
le contrôlé en l’espèce (à l’égard des caméras n° [13], [14] et [15]) et le point
93 de la présente décision, la Formation Restreinte considère dès lors qu’il y
a lieu de prononcer la mesure correctrice proposée par le chef d’enquête à
cet égard et reprise au point 101 de la présente décision sous b), mais
uniquement par rapport au champ de vision de la caméra « dôme » n° [13].

2. Quant à la mesure correctrice proposée par le chef d’enquête reprise au point
101 de la présente décision sous a), concernant la mise en place de mesures
d’information destinées aux personnes tierces sur le système de

99 Cf. Courrier du contrôlé du 29 octobre 2021, page 25, 6.2.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

47/55

vidéosurveillance conformément aux dispositions de l’article 13 du RGPD, la
Formation Restreinte constate que le contrôlé a expliqué qu’il procédait « à une
information en plusieurs étapes (…), la vignette et les affiches relevées (…) n’en
étant que la première »100. Dans ce contexte, le contrôlé a expliqué qu’il a installé
des nouveaux panneaux d’affichage « plus grand et plus nombreux sur et dans
ses bâtiments »101 et il a annexé une photo des nouveaux panneaux d’affichage
(pièce n° 12 du courrier du contrôlé du 29 octobre 2021). Il a également expliqué
que les informations plus détaillées du deuxième niveau d’information, seraient
facilement accessibles sur son site web qui contenait et renvoyait vers

- sa politique de protection de données via le lien […] et qu’il avait mis à jour cette
politique de protection de données (pièce n° 21 de son courrier du 29 octobre
2021),

- [un « règlement données »] via le lien […], et

- une « page dédiée à la protection des données personnelles » via le lien […].

En ce qui concerne le premier niveau d’information, la Formation Restreinte
constate que les nouveaux panneaux d’affichage ne contiennent pas toutes les
informations requises selon le premier niveau d’information (voir point 70 de la
présente décision), car le contrôlé y a mentionné uniquement « l’exercice du droit
d’accès aux images » et non pas l’existence d’autres droits des personnes
concernées. Quant à la référence aux informations plus détaillées du deuxième
niveau, elle constate que le contrôlé a mentionné un lien […] vers les
« informations légales » du site web du contrôlé, et il a également ajouté un code
QR sur les nouveaux panneaux d’affichage qui mène vers la même page du site
web. Ces « informations légales » couvrent un grand nombre de sujets (entre
autres, des informations concernant les instruments financiers et autres produits
du contrôlé, la propriété intellectuelle et le droit applicable) et mentionnent […] la
« protection des données à caractère personnel ». Ledit chapitre contient, entre
autres, un lien hypertexte vers la nouvelle version de la politique de protection de

100 Cf. Courrier du contrôlé du 29 octobre 2021, page 11, point 4.1.2.
101 Cf. Courrier du contrôlé du 29 octobre 2021, page 25, point 6.2.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

48/55

données en format pdf, sans pour autant mentionner le traitement de
vidéosurveillance spécifiquement.

Par conséquent, la Formation Restreinte constate que la référence au deuxième
niveau d’information n’est pas suffisamment claire et qu’elle ne renvoie pas
directement à la source du deuxième niveau d’information. Pourtant, dans son
courrier du 13 décembre 2019, en réponse au procès-verbal, le contrôlé a signalé
qu’il avait « initié le remplacement et la mise aux normes des pictogrammes
avertissant les salariés et les tiers de la présence d'un système de
vidéosurveillance» et il a annoncé qu’il indiquera à l’avenir « en particulier le nom
du responsable du dispositif, la base légale, la durée de conservation des images
et les modalités de réclamation » auprès du délégué à la protection des données
et auprès de la CNPD sur les nouveaux panneaux. En l’espèce, la Formation
Restreinte constate qu’il n’a pas ajouté la durée de conservation des images (ni
au premier niveau d’information sur les nouveaux panneaux d’affichage, ni au
deuxième niveau d’information) et qu’il a décidé de mentionner les modalités de
réclamation auprès de la CNPD uniquement au deuxième niveau d’information,
ce qui est suffisant.

En ce qui concerne le deuxième niveau d’information, elle constate que la
politique de protection de données précitée a été mise à jour en […] 2021. Par
contre, ledit document ne contient toujours pas une section spécifique concernant
les finalités spécifiques par rapport au système de vidéosurveillance, ni de durée
de conservation spécifique pour les images issues du traitement de
vidéosurveillance (comme déjà soulevé par le chef d’enquête dans sa
communication des griefs, point 20). La vidéosurveillance y est mentionnée
uniquement au chapitre […] parmi les catégories de données traitées.

Il en va de même pour [le « règlement données »] […] sur le site web du contrôlé
qui contient aucune mention spécifique de la vidéosurveillance.

En ce qui concerne la « page dédiée à la protection des données personnelles »
[…], elle constate que c’est uniquement en passant par le texte [du « règlement
données »] qu’une personne tierce pourrait trouver cet autre lien hypertexte qui
mène vers ladite « page dédiée à la protection des données personnelles ». Le
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

49/55

traitement de vidéosurveillance y est mentionné uniquement dans une liste de
plusieurs finalités que le contrôlé a énumérées pour justifier les traitements de
données qu’il effectue et, par conséquent, ce document ne contient pas non plus
d’informations par rapport au système de vidéosurveillance.

Par conséquence, la Formation Restreinte retient qu’il n’existe en l’espèce pas
« un endroit unique ou (…) un même document (au format papier ou
électronique) »102 où l’intégralité des informations requises par l’article 13 du
RGPD en ce qui concerne le système de vidéosurveillance peut être aisément
consulté par les personnes tierces.

En considération des mesures de mise en conformité insuffisantes prises par le
contrôlé en l’espèce et le point 93 de la présente décision, la Formation Restreinte
considère dès lors qu’il y a lieu de prononcer la mesure correctrice proposée par
le chef d’enquête à cet égard telle que reprise au point 101 sous a) de la présente
décision en ce qui concerne l’information des personnes tierces quant au système
de vidéosurveillance.

3. Quant à la mesure correctrice proposée par le chef d’enquête reprise au point
101 de la présente décision sous a), concernant la mise en place de mesures
d’information destinées plus spécifiquement aux salariés sur le système de
vidéosurveillance conformément aux dispositions de l’article 13 du RGPD, la
Formation Restreinte tient tout d’abord à renvoyer aux explications ci-dessus par
rapport aux informations du premier et du deuxième niveau données aux
personnes tierces (point 102 sous-rubrique 2). Elle ajoute que le contrôlé a
indiqué dans son courrier du 20 octobre 2021 qu’il a

- mis à jour sa « politique interne adressée aux salariés en matière de protection
des données » et qu’il l’avait publiée sur son site intranet (pièce n° 22 du courrier
du contrôlé du 29 octobre 2021), et

102 Cf. WP260 rev. 01, point 17.

50/55

- procédé à une « communication interne (…) informant tous les salariés de la
publication de nouvelles versions de ses politiques en matière de protection des
données »103 (pièce n° 23 du courrier du contrôlé du 29 octobre 2021).

Même si la Formation Restreinte reconnait les efforts entrepris concernant
l’information individuelle de ses salariés, elle doit quand même constater que les
salariés du contrôlé n’ont pas reçu plus d’informations spécifiques par rapport au
système de vidéosurveillance que les personnes tierces. La « politique interne
adressée aux salariés en matière de protection des données » contient, comme
déjà la politique de protection de données, certaines des mentions prévues à
l’article 13 du RGPD, mais ne contient également aucune mention du traitement
spécifique de vidéosurveillance.

Par conséquent, la Formation Restreinte retient qu’il n’existe en l’espèce pas « un
endroit unique ou (…) un même document (au format papier ou électronique) »104
où l’intégralité des informations requises par l’article 13 du RGPD en ce qui
concerne le système de vidéosurveillance peut être aisément consulté par les
salariés du contrôlés.

En considération des mesures de mise en conformité insuffisantes prises par le
contrôlé en l’espèce et le point 93 de la présente décision, la Formation Restreinte
considère dès lors qu’il y a lieu de prononcer la mesure correctrice proposée par
le chef d’enquête à cet égard telle que reprise au point 101 sous a) de la présente
décision en ce qui concerne l’information des salariés du contrôlé quant au
système de vidéosurveillance.

II. 3. Sur l’accès à l’intégralité du dossier administratif

103. Le 9 septembre 2021, le contrôlé, représenté par […], a demandé au chef
d’enquête la transmission de l’intégralité de son dossier administratif visé par l’article 11
du règlement grand-ducal du 8 juin 1979 relatif à la procédure à suivre par les

103 Cf. Courrier du contrôlé du 26 octobre 2021, page 25, note de bas de page n° 36.
104 Cf. WP260 rev. 01, point 17.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

51/55

administrations relevant de l’Etat et des communes. Le 22 septembre 2021, le chef
d’enquête a répondu à cette demande et a transmis l’intégralité du dossier administratif
(en forme de CD-ROM) au contrôlé en date du 1 octobre 2021. À la demande du contrôlé,
le chef d’enquête a ensuite prolongé le délai pour produire des observations écrites sur la
communication des griefs jusqu’au 3 novembre 2021.

104. Par courrier du 29 octobre 2021, le contrôlé a produit des observations écrites
sur la communication des griefs et il a, entre autres, soulevé aux « remarques
préliminaires et rétroactes » dudit courrier qu’il était d’avis que le dossier administratif
transmis par la CNPD « ne semblait pas complet »105. Il a relevé les éléments suivants :

- l’absence de document justifiant le changement du chef d’enquête pour l’affaire en
espèce entre Monsieur Buschmann et Monsieur Lemmer ;

- le constat que le chef d’enquête n’était pas en possession des communications
échangées après sa communication des griefs et la crainte que le dernier n’aurait pas pu
« finaliser ses griefs et son projet de sanction (…) en se basant sur des communications
postérieures à cette date » ;

- la critique par rapport à la division des fichiers transmis au contrôlé par la CNPD
sur le CD-ROM entre des fichiers « officiels » et des « pièces » ; et

- la question par rapport à la base de l’intervention de la CNPD.

105. Par courrier du 8 décembre 2021, le chef d’enquête a répondu à ces
« remarques préliminaires et rétroactes » du contrôlé dans son courrier du 29 octobre
2021 et il a pris position sur toutes les critiques soulevées par le contrôlé. En outre, il a
envoyé au contrôlé une copie de l’extrait du procès-verbal n° […] formalisant la reprise de
la fonction de chef d’enquête par Monsieur Lemmer suite au départ de Monsieur
Buschmann.

106. La Formation Restreinte tient tout d’abord à souligner que la communication
des griefs contient uniquement les appréciations et propositions faites par le chef
d’enquête sur base des faits constatés et que la Formation Restreinte prend ses décisions

105 Cf. Courrier du contrôlé du 29 octobre 2021, page 3, point 1.3.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

52/55

de manière autonome et qu’elle n’est en aucun cas obligée de suivre les appréciations et
propositions faites par le chef d’enquête. Ensuite, elle constate que le CD-ROM que le
chef d’enquête a transmis au contrôlé contenait, à l’exception de l’extrait du procès-verbal
n° […] formalisant la reprise de la fonction de chef d’enquête par Monsieur Lemmer suite
au départ de Monsieur Buschmann, les mêmes documents que la Formation Restreinte
elle-même a reçu du chef d’enquête en vue de la prise de la présente décision. En ce qui
concerne ledit extrait du procès-verbal n° […], elle note qu’il s’agit d’un document qui
retient uniquement un changement de personnel au sein de la CNPD ce qui ne saurait en
aucun cas influencer sa prise de décision. Pour les autres points soulevés dans le courrier
du 29 octobre 2021, la Formation Restreinte fait référence au courrier du 8 décembre 2021
du chef d’enquête dans lequel se trouve des réponses à toutes les questions et critiques
soulevées par le contrôlé par rapport à son dossier administratif. La Formation Restreinte
tient également à noter qu’après question posée pendant la séance de la Formation
Restreinte du 24 février 2022, à savoir si le contrôlé était toujours d’avis qu’il n’avait pas
reçu l’intégralité du dossier administratif, le contrôlé a répondu que la complétude du
dossier administratif n’est pas le point le plus important à ce stade précontentieuse.

Au vu de ce qui précède, elle se rallie à l’avis du chef d’enquête selon lequel le
contrôlé a reçu l’intégralité du dossier administratif.

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

- de retenir les manquements aux articles 5.1.c) et 13 du RGPD ;

- de prononcer à l’encontre de la Société A une amende administrative d’un montant
de dix mille (10.000) euros, au regard des manquements constitués aux articles
5.1.c) et 13 du RGPD ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

53/55

- de prononcer à l’encontre de la Société A une injonction de mettre en conformité
les traitements avec les dispositions de l’article 5.1.c) du RGPD, dans un délai de
3 mois suivant la notification de la décision de la Formation Restreinte, et, en
particulier,

 changer le champ de vision de la caméra n° [1] pour que le visage du salarié
en question ne soit plus visible (p.ex. par l’utilisation de techniques
informatiques de floutage/masquage) ou, si ce n’est pas possible, installer
un floutage en temps réel du salarié occupant le poste de travail en
question ; et
 remplacer la caméra « dôme » [13] avec un dispositif qui permet de
masquer la voirie appartenant au domaine public ainsi que les bâtiments
n’appartenant pas au contrôlé.

- d’ordonner à la Société A de maintenir les modifications apportées durant la
procédure d’enquête aux champs de vision des caméras n° [3], [4], [5], caméra
réception, [7], [8], [9], [10], [11], [12] et [14] ;

- de prononcer à l’encontre de la Société A une injonction de mettre en conformité
les traitements avec les dispositions de l’article 13 du RGPD, dans un délai de 3
mois suivant la notification de la décision de la Formation Restreinte, et, en
particulier,

 informer les personnes tierces non-salariées et les salariés du contrôlé de
manière claire et complète sur le système de vidéosurveillance, soit en
ajoutant un chapitre spécifique sur le traitement de vidéosurveillance dans
sa politique de protection des données, soit en créant une notice
d’information spécifique pour le traitement de vidéosurveillance qui contient
(dans un endroit unique et dans un même document) l’ensemble des
informations requises au titre de l’article 13 du RGPD et, notamment, la ou
les finalités spécifiques du traitement de données issues de la
vidéosurveillance et la durée de conservation par rapport aux images de
vidéosurveillance ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

54/55

 adapter les nouveaux panneaux d’affichage sur et dans les bâtiments du
contrôlé en modifiant la référence au deuxième niveau d’information (i.e. le
lien vers le site web du contrôlé et le code QR) et en la remplaçant par une
nouvelle référence au deuxième niveau d’information qui mène directement
vers une politique de protection des données modifiée (notamment par
rapport à un nouveau chapitre sur le système de la vidéosurveillance) et/ou
vers une nouvelle notice d’information concernant spécifiquement le
traitement de vidéosurveillance ; et

 informer individuellement les salariés de manière claire et complète sur la
vidéosurveillance du site du contrôlé en soulignant notamment, dans sa
communication, la modification de la politique de protection des données
(notamment par rapport à un nouveau chapitre sur le système de la
vidéosurveillance) et/ou la création d’une nouvelle notice d’information
concernant spécifiquement le traitement de vidéosurveillance.

Ainsi décidé à Belvaux en date du 7 juillet 2022.

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Thierry Lallemang Alain Herrmann Marc Hemmerling
Commissaire Commissaire Membre suppléant

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A.

55/55

Video Gözetiminde Veri Minimizasyonu ve Aydınlatma

Türkçe özet

Hukuki mesele

Sonuç

Karar metni