Şirket A'nın Video Gözetimi

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n° […] menée auprès de la « Société A »

Délibération n° 17FR/2021 du 12 mai 2021

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

1/18

I. Faits et procédure

1. Lors de sa séance de délibération du 14 février 2019, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après: « Formation
Plénière ») avait décidé d’ouvrir une enquête auprès du groupe ABCD1 sur base de l’article
37 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données (ci-après « loi
du 1er août 2018 ») et de désigner Monsieur Christophe Buschmann comme chef
d’enquête.

2. Aux termes de la décision de la Formation Plénière l’enquête menée par la
Commission nationale pour la protection des données (ci- après : « CNPD ») avait comme
objet de vérifier le respect des dispositions du règlement relatif à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)
et de la loi du 1er août 2018, notamment par la mise en place de systèmes de
vidéosurveillance et de géolocalisation le cas échéant installés par les quatre sociétés du
groupe ABCD.

3. En date du 27 septembre 2019, des agents de la CNPD ont effectué une visite
dans les locaux de la Société A au siège administratif de [S1] et au site de [S2]. Etant
donné que le procès-verbal no. […] relatif à ladite mission d'enquête sur place ne
mentionne que, parmi les quatre sociétés du groupe ABCD, comme responsable du
traitement contrôlé la société « Société A »2, la décision de la Commission nationale pour
la protection des données siégeant en formation restreinte sur l’issue de l’enquête (ci-
après: « Formation Restreinte ») se limitera aux traitements contrôlés par les agents de la
CNPD et effectués par la société « Société A ».

1 Et plus précisément auprès des sociétés Société B, inscrite au registre du Commerce et des Sociétés de

Luxembourg sous le numéro […], avec siège social à L-[…]; Société A, inscrite au registre du Commerce et
des Sociétés de Luxembourg sous le numéro […], avec siège social à L-[…] ; Société C, inscrite au registre
du Commerce et des Sociétés de Luxembourg sous le numéro […], avec siège social à L-[…] et Société D,
inscrite au registre du Commerce et des Sociétés de Luxembourg sous le numéro […], avec siège social à L-
[…].
2 Cf. notamment le procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.

2/18

4. « Société A » est une […] inscrite au registre du Commerce et des Sociétés de
Luxembourg sous le numéro […], avec siège social à L- […] (ci-après « le contrôlé »).
[…]3.

5. Lors de la visite précitée du 27 septembre 2019 par des agents de la CNPD dans
les locaux du contrôlé au siège administratif de [S1]4 et au site de [S2]5, la « déléguée à la
protection des données » du contrôlé a confirmé aux agents de la CNPD que le contrôlé
recourt à deux systèmes de vidéosurveillance. Un premier système est installé dans les
bâtiments au siège administratif de [S1] et un deuxième système est exploité à partir du
site de [S2]. Le système de vidéosurveillance installé au siège administratif de [S1] est
composé de huit caméras qui fonctionnent en permanence (24h/24h)6 et le système de
vidéosurveillance installé sur le site de [S2] est composé d’une à cinq caméras par […]
([…]7) et les caméras fonctionnent également en permanence (24h/24h)8.

6. La « déléguée à la protection des données » du contrôlé a confirmé que le
contrôlé n’a pas recours à un dispositif de géolocalisation.9

7. Quant au siège administratif de [S1], il a été expliqué aux agents de la CNPD que
le système de vidéosurveillance est géré par la Société B en tant que sous-traitant pour le
compte du contrôlé qui est à considérer comme responsable du traitement10. Il a été
confirmé que les finalités de la mise en place du système de vidéosurveillance sont la
protection des biens de l’entreprise et la sécurisation des accès11.

8. Quant au site de [S2], il a été expliqué aux agents de la CNPD que les finalités de
la mise en place du système de vidéosurveillance sont la protection des biens de

3 Selon les informations fournies sur son propre site internet : […]
4 L’adresse du siège administratif de [S1] : […].
5 L’adresse du site de [S2] : […].
6 Cf. constat 9 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
7 Les agents de la CNPD ont inspecté les images transférées par les caméras installées sur les sites de […]

(voir procès-verbal no. […]).
8 Cf. constat 14 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
9 Cf. notamment le procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
10 Cf. constat 7 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
11 Cf. constat 8 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.

3/18

l’entreprise, la sécurisation des accès et la prévention des accidents.12 La Formation
Restreinte part du principe que ce système de vidéosurveillance est géré par le contrôlé
en tant que responsable du traitement.

9. A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du 3
février 2020 une communication des griefs détaillant les manquements qu’il estimait
constitués en l’espèce, et plus précisément une non-conformité aux prescrits de l'article
5.1.c) du RGPD et une non-conformité aux prescrits de l'article 5.1.e) du RGPD.

10. Le 28 février 2020, le contrôlé a produit des observations écrites sur la
communication des griefs.

11. Un courrier complémentaire à la communication des griefs a été adressé au
contrôlé en date du 10 août 2020. Dans ce courrier, le chef d’enquête a proposé à la
Formation Restreinte d’adopter deux mesures correctrices différentes, ainsi que d’infliger
au contrôlé une amende administrative d’un montant de 1.900 EUR.

12. Par courrier 25 août 2020, le contrôlé a produit des observations écrites sur le
courrier complémentaire à la communication des griefs.

13. La présidente de la Formation Restreinte a informé le contrôlé par courrier du 16
octobre 2020 que son affaire serait inscrite à la séance de la Formation Restreinte du 27
novembre 2020. Le contrôlé a confirmé sa présence à ladite séance en date du 13
novembre 2020.

14. Lors de la séance de la Formation Restreinte du 27 novembre 2020, le chef
d’enquête et le contrôlé ont exposé leurs observations orales à l’appui de leurs
observations écrites et ont répondu aux questions posées par la Formation Restreinte. Le
contrôlé a eu la parole en dernier.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié au principe de la minimisation des données

12 Cf. constat 15 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

4/18

1. Sur les principes

Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel doivent
être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités
pour lesquelles elles sont traitées (minimisation des données) ».

Le principe de minimisation des données en matière de vidéosurveillance implique
qu’il ne doit être filmé que ce qui apparaît strictement nécessaire pour atteindre la ou les
finalité(s) poursuivie(s) et que les opérations de traitement ne doivent pas être
disproportionnées.13

L’article 5.1.b) du RGPD dispose que les données à caractère personnel doivent
être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être
traitées ultérieurement d'une manière incompatible avec ces finalités ; […] (limitation des
finalités) ».

Avant l’installation d’un système de vidéosurveillance, le responsable du traitement
devra définir, de manière précise, la ou les finalités qu’il souhaite atteindre en recourant à
un tel système, et ne pourra pas utiliser ensuite les données à caractère personnelle
collectées à d’autres fins.14

La nécessité et la proportionnalité d’une vidéosurveillance s’analyse au cas par cas
et, notamment, au regard de critères tels que la nature du lieu à placer sous
vidéosurveillance, sa situation, sa configuration ou sa fréquentation.15

2. En l’espèce

13 Cf. Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
14 Cf. Lignes directrices de la CNPD, disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
15 Cf. Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

5/18

15. Quant au site de [S2], il a été expliqué aux agents de la CNPD que les finalités
de la mise en place du système de vidéosurveillance sont la protection des biens de
l’entreprise, la sécurisation des accès et la prévention des accidents.

16. Lors de l’enquête sur le site de [S2] et en regardant les moniteurs de contrôle
vers lesquels sont transmis les images captées par les caméras installées sur les sites de
[…], les agents de la CNPD ont constaté que

i) sur le site de [S3], les champs de vision de plusieurs caméras
comprennent des parties de la voie publique et d’un terrain avoisinant16 ; et

ii) sur le site de [S4], le champ de vision d’une caméra comprend des parties
de la voie publique et d’un terrain avoisinant17.

17. Le chef d’enquête était d’avis que « (…) la surveillance de la voie publique et
de terrains avoisinants est cependant à considérer comme disproportionnée. En effet, au
vu des finalités précitées pour lesquelles est opérée la vidéosurveillance, il n’est pas
nécessaire d’englober des parties de la voie publique ou de terrains avoisinants dans les
champs de vision des caméras énumérées sous les points A.1. et A.2. de la présente. »
(communication des griefs, Ad. A.1. et Ad. A.2.)

18. Le contrôlé de son côté a expliqué que les principales finalités de la
vidéosurveillance étaient la prévention des accidents (pour leur personnel et pour des
personnes externes) et la protection […]. En outre, le contrôlé a expliqué que la
visualisation d’un espace restreint autour de la clôture était nécessaire pour pouvoir agir
de manière préventive et non curative et que la détection de mouvements en amont de la
clôture permettait, d’une part, le déclenchement de systèmes […] qui avait pour but de
dissuader les auteurs de tentatives d’intrusion et, d’autre part, une intervention sur site
plus rapide. Néanmoins, le contrôlé a affirmé avoir adapté les champs de vision des
caméras litigieuses sur le site de [S3] et également de la caméra litigieuse sur le site de
[S4] en floutant les parties de la voie publique et les terrains avoisinants18.

16 Communication des griefs, A.1.
17 Communication des griefs, A.2.
18 Cf. les annexes de la réponse du contrôlé à la communication des griefs du 3 février 2020.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

6/18

19. La Formation Restreinte constate que les annexes du courrier du contrôlé du
28 février 2020 contiennent des photos des champs de vision des caméras litigieuses qui
montrent que les voies publiques et/ou les terrains avoisinants sont désormais floutés.

20. Dans son courrier du 25 août 2020, le contrôlé a souligné à nouveau qu’il avait
déjà corrigé les champs de vision des caméras litigieuses après la réception de la
communication des griefs et qu’il avait veillé, durant une révision de l’ensemble des
caméras installées, à ce que ces caméras ne filment pas la voie publique.

21. La Formation Restreinte tient à rappeler que les caméras destinées à surveiller
un lieu ou les alentours d’un bâtiment ou d’un site doivent avoir un champ de vision limité
à la surface strictement nécessaire pour visualiser les personnes s’apprêtant à y accéder.
Les caméras installées aux abords ou alentours d’un bâtiment doivent être configurées de
façon à ne pas capter la voie publique, ni les abords, entrées, accès et intérieurs d’autres
bâtiments avoisinants rentrant éventuellement dans leur champ de vision. En fonction de
la configuration des lieux, il est parfois impossible d’installer une caméra qui ne
comprendrait pas dans son champ de vision une partie de la voie publique, abords,
entrées, accès et intérieurs d’autres bâtiments. Dans un tel cas, la CNPD estime que le
responsable du traitement doit mettre en place des techniques de masquages ou de
floutage afin de limiter le champ de vision à sa propriété.19

22. Au vu de ce qui précède, la Formation Restreinte se rallie au constat du chef
d’enquête20 selon lequel la non-conformité à l’article 5.1.c) du RGPD était acquise au jour
de la visite sur site des agents de la CNPD.

B. Sur le manquement lié au principe de la limitation de la conservation

1. Sur les principes

23. Conformément à l’article 5.1.e) du RGPD, les données à caractère personnel
doivent être conservées « sous une forme permettant l'identification des personnes

19 Cf. Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
20 Communication des griefs, Ad. A.1. et Ad.A.2.

7/18

concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités
pour lesquelles elles sont traitées […] ».

24. D’après le considérant (39) du RGPD « les données à caractère personnel
devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités
pour lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de
conservation des données soit limitée au strict minimum. Les données à caractère
personnel ne devraient être traitées que si la finalité du traitement ne peut être
raisonnablement atteinte par d'autres moyens. Afin de garantir que les données ne sont
pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le
responsable du traitement pour leur effacement ou pour un examen périodique […]. ».

2. En l’espèce

25. Quant au siège administratif de [S1], il a été expliqué aux agents de la CNPD
lors de l’enquête sur site que le système de vidéosurveillance est géré par la Société B en
tant que sous-traitant pour le compte du contrôlé qui est à considérer comme responsable
du traitement21. Il a été confirmé que les finalités de la mise en place du système de
vidéosurveillance sont la protection des biens de l’entreprise et la sécurisation des accès22.

26. En ce qui concerne la durée de conservation des images enregistrées par les
caméras de vidéosurveillance, il ressort des constatations des agents de la CNPD que les
plus anciennes données dataient du 28 juin 2019, c’est-à-dire que la durée de
conservation des données était de trois mois.23

27. D’après le chef d’enquête, ladite durée de conservation des données de
vidéosurveillance de trois mois excédait celle qui était nécessaire à la réalisation des
finalités précitées et pour lesquelles le dispositif de la vidéosurveillance avait été mis en
place. Pour cette raison, le chef d’enquête était d’avis qu’une non-conformité aux prescrits
de l'article 5.1.e) du RGPD était acquise au jour de la visite sur site (voir communication
des griefs, Ad.A.3.). Dès lors, il a proposé à la Formation Restreinte d’ordonner au contrôlé

21 Cf. constat 7 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
22 Cf. constat 8 du procès-verbal no. […] relatif à la visite sur site effectuée en date du 27 septembre 2019

auprès de la Société A.
23 Cf. constat 12 du procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date du 27

septembre 2019 auprès de la Société A.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

8/18

de mettre en œuvre une politique de durée de conservation des données à caractère
personnel conforme à l’article 5.1.e) du RGPD, notamment en ne conservant pas les
images du flux vidéo pour une durée excédant une semaine.24

28. Par courrier du 28 février 2020, le contrôlé a précisé qu’après vérification avec
son sous-traitant, ce dernier avait trouvé une erreur de programmation dans le système
de vidéosurveillance comme étant la source du problème d’effacement des
enregistrements. Le contrôlé a confirmé que son sous-traitant avait, par conséquence,
reprogrammé la durée de conservation à un maximum de 30 jours et que, dorénavant, les
enregistrements vieux de 30 jours seront effacés automatiquement25.

29. Par courrier du 25 août 2020, le contrôlé a expliqué que le groupe ABCD avait
fixé la période de conservation des enregistrements vidéo pour toutes ses entités à 30
jours ceci pour protéger les personnes et les biens de tout incident qui occasionnerait des
dommages, mais également pour conserver les preuves nécessaires à une action en
justice. De plus, le contrôlé a indiqué que la déclaration des infractions requérait un certain
temps et que le délai d’ouverture d’une enquête dépassait largement une semaine dans
la majorité des cas. En outre, dans le cadre de l’intérêt légitime du groupe ABCD à protéger
ses biens, les actes de vandalisme n’étaient pas toujours détectés immédiatement, mais
lors […] ou d’un contrôle des bâtiments qui ont lieu périodiquement. Ainsi, le délai d’une
semaine ne permettait pas au contrôlé d’être en mesure de rassembler les preuves
indispensables à une demande en réparation. Le contrôlé a considéré aussi que, en
pratique, les procédures d’accès mises en place garantissaient que les enregistrements
ne seraient pas utilisés à d’autres fins que celles déclarées, de sorte qu’un délai de
conservation de 30 jours était une durée nécessaire pour remplir les finalités précitées.

30. Durant l’audience de la Formation Restreinte du 27 novembre 2020, le chef
d’enquête a expliqué encore une fois que la durée de conservation d’une semaine se
référait uniquement au siège administratif de [S1] où se trouvent les bureaux du contrôlé,
parce qu’il a considéré que pour les bureaux du contrôlé une durée de conservation de 30
jours ne serait pas justifiée, contrairement au sites […]. Le contrôlé a réitéré ses propos
contenus dans son courrier du 25 août 2020 en insistant qu’une durée de conservation
des images issues des caméras de vidéosurveillance d’une semaine ne serait pas

24 Cf. courrier complémentaire à la communication des griefs.
25 Voir également la photo de l’extrait de programmation envoyée par courrier du contrôlé du 28 février 2020.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

9/18

suffisante, mais qu’une durée de conservation de 30 jours serait plus réaliste, surtout pour
ce qui est des problèmes au niveau de la sécurité.

31. La Formation Restreinte rappelle qu’il appartient au responsable du traitement
de déterminer, en fonction de chaque finalité spécifique, une durée de conservation
appropriée et nécessaire afin d’atteindre ladite finalité. Comme susmentionné, le contrôlé
estime qu’une durée de conservation de 30 jours est nécessaire afin d’atteindre les
finalités poursuivies, c’est-à-dire protéger les biens du contrôlé et sécuriser les accès à
ses locaux.

32. Pour ce qui est de la vidéosurveillance, la CNPD estime que les images peuvent
être conservées en principe jusqu’à 8 jours en vertu du principe susmentionné de l’article
5.1.e) du RGPD. Le responsable de traitement peut exceptionnellement, pour des raisons
dument justifiées, conserver les images pour une durée de 30 jours. Une durée de
conservation supérieure à 30 jours est généralement considérée comme étant
disproportionnée.26

33. En cas d’incident ou d’infraction, la Formation Restreinte est d’avis que les
images peuvent être conservées au-delà de ce délai et, le cas échéant, être
communiquées aux autorités judiciaires compétentes et aux autorités répressives
compétentes pour constater ou pour poursuivre des infractions pénales.

34. Alors que la Formation Restreinte peut comprendre la nécessité pour le contrôlé
de conserver les images issues de la vidéosurveillance pendant 30 jours, elle constate
néanmoins que lors de la visite sur site par les agents de la CNPD, la durée était de trois
mois ce qui excédait largement la durée nécessaire afin d’atteindre les finalités
poursuivies.

35. Sur base de l’ensemble de ces éléments, la Formation Restreinte conclut qu’au
moment de la visite sur site par les agents de la CNPD, l’article 5.1.e) du RGPD n’était
pas respecté par le contrôlé.

II. 2. Sur les mesures correctrices et amendes

26 Cf. Lignes directrices de la CNPD (Point 4.7.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

10/18

1. Les principes

36. Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

11/18

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

37. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre
de l’État ou des communes.

38. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu
des articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

12/18

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

39. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.

40. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer.

2. En l’espèce

2.1. Quant à l’imposition d’une amende administrative

13/18

41. Dans son courrier complémentaire à la communication des griefs du 10 août
2020, le chef d’enquête proposait à la Formation Restreinte d’infliger une amende
administrative au contrôlé d’un montant de 1.900 euros.

42. Dans sa réponse audit courrier complémentaire du 10 août 2020, le contrôlé
soutenait notamment qu’il avait rapidement effectué toutes les mesures correctrices
préconisées sous réserve du délai de conservation de 30 jours et qu’il comprenait mal
pourquoi il serait passible d’une amende administrative.

43. Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la Formation Restreinte prend en compte
les éléments prévus par l’article 83.2 du RGPD :

 Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), la
Formation Restreinte relève qu’en ce qui concerne les manquements aux articles
5.1.c) et e) du RGPD, ils sont constitutifs de manquements aux principes
fondamentaux du RGPD (et du droit de la protection des données en général), à
savoir aux principes de minimisation des données et de la limitation de la
conservation des données consacrés au Chapitre II « Principes » du RGPD.

 Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte
constate que ces manquements ont duré dans le temps, à tout le moins depuis le
25 mai 2018 et jusqu’au jour de la visite sur place. La Formation Restreinte rappelle
ici que deux ans ont séparé l’entrée en vigueur du RGPD de son entrée en
application pour permettre aux responsables de traitement de se conformer aux
obligations qui leur incombent et ce même si les obligations de respecter les
principes de minimisation et de la limitation de conservation existaient déjà en
application des articles 4.1. b) et d) de la loi abrogée du 2 août 2002 relative à la
protection des personnes à l'égard du traitement des données à caractère
personnel.

 Quant au nombre de personnes concernées (article 83.2.a) du RGPD), la
Formation Restreinte constate que

o en ce qui concerne le manquement à l’article 5.1.c) du RGPD par rapport
aux sites de [S3] et [S4], sont concernés, d’une part les passants utilisant
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

14/18

les voies publiques, et d’autre part les propriétaires des terrains
avoisinants ;

o en ce qui concerne le manquement à l’article 5.1.e) du RGPD par rapport
au siège administratif de [S1], sont concernés tous les salariés travaillant
au siège administratif, ainsi que toutes les personnes tierces, c’est-à-dire
les clients, fournisseurs, prestataires de services et visiteurs se rendant sur
ledit site.

 Quant à la question de savoir si les manquements ont été commis délibérément
ou non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que « non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas
respecté l’obligation de diligence qui lui incombe en vertu de la législation.

En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef
du contrôlé.

 Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2.f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête
selon laquelle la coopération du contrôlé tout au long de l'enquête était bonne, ainsi
que de sa volonté de se conformer à la loi dans les meilleurs délais.

44. La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.

45. La Formation Restreinte relève aussi que si plusieurs mesures ont été mises en
place par le contrôlé afin de remédier en totalité ou en partie à certains manquements,
celles-ci n’ont été adoptées qu’à la suite du contrôle des agents de la CNPD en date du
27 septembre 2019.

46. Dès lors, la Formation restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquements aux articles 5.1.c) et e) du RGPD.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

15/18

47. S’agissant du montant de l’amende administrative, la Formation Restreinte
rappelle que le paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations
multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder
le montant fixé pour la violation la plus grave. Dans la mesure où des manquements à
l’article 5 du RGPD sont reprochés au contrôlé, le montant maximum de l’amende pouvant
être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le
montant le plus élevé étant retenu.

48. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la
Formation Restreinte considère que le prononcé d’une amende de 1.900 euros apparaît
à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1
du RGPD.

2.2. Quant à la prise de mesures correctrices

49. L’adoption des mesures correctrices suivantes a été proposée par le chef
d’enquête à la Formation Restreinte dans son courrier complémentaire à la
communication des griefs :

« a) Ordonner au responsable du traitement de ne traiter que des données
pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités de
protection des biens et de sécurisation des accès et, en particulier, adapter le
dispositif vidéo afin de ne pas filmer la voie publique, par exemple en «noircissant»
partiellement les caméras dénommées " […] ", " […] ", " […] " et " […] " installées
sur le site de [S3] et la caméra dénommée " […] " installée sur le site de [S4].

b) Ordonner au responsable du traitement de mettre en œuvre une politique de
durée de conservation des données à caractère personnel conforme aux
dispositions du e) de l'article 5 du RGPD, n'excédant pas la durée nécessaire aux
finalités pour lesquelles elles sont collectées, et notamment en ne conservant pas
les images du flux vidéo pour une période excédant une semaine. »

50. La Formation Restreinte prend en compte les démarches effectuées par le
contrôlé, suite à la visite des agents de la CNPD, afin de se conformer aux dispositions
des articles 5.1.c) et e) du RGPD, comme détaillées dans ses courriers du 28 février 2020
et du 25 août 2020. Plus particulièrement, elle prend note des faits suivants, qui ont été
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la « Société A »

16/18

confirmés par le contrôlé lors de la séance de la Formation Restreinte du 27 novembre
2020 :

- Quant à l’obligation de ne traiter que des données pertinentes, adéquates et
limitées à ce qui est nécessaire au regard des finalités indiquées conforme aux
dispositions de l’article 5.1.c) du RGPD, le contrôlé a adapté le dispositif de
vidéosurveillance afin que la voie publique et les terrains avoisinants ne soient plus
filmés, notamment en floutant les parties de la voie publique et des terrains
avoisinants. Les annexes du courrier du contrôlé du 28 février 2020 contiennent
des photos démontrant le floutage des zones en question.

- Quant à la mise en place d’une politique de durée de conservation des données à
caractère personnel conforme aux dispositions de l'article 5.1.e) du RGPD, le
contrôlé a adapté, après la visite sur site des agents de la CNPD, la durée de
conservation des données issues du système de vidéosurveillance de 3 mois à 30
jours. Les annexes du courrier du 28 février 2020 du contrôlé contiennent une
photo démontrant que les paramètres du système de vidéosurveillance ont été
modifiés en ce sens que la durée de rétention a été limitée à 30 jours.

51. En considération des mesures de mise en conformité prises par le contrôlé en
l’espèce, la Formation Restreinte considère qu’il n’y a pas lieu de prononcer des mesures
correctrices à son égard.

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

- de prononcer à l’encontre de la société « Société A » une amende administrative d’un
montant de mille neuf cents euros (1.900 euros), au regard de la violation des articles
5.1.c) et e) du RGPD.

Ainsi décidé à Belvaux en date du 12 mai 2021.

17/18

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

18/18

Şirket A'nın Video Gözetimi

Türkçe özet

Hukuki mesele

Sonuç

Karar metni