Video Gözetiminde Veri Minimizasyonu ve Bilgilendirme

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n° […] menée auprès de la Société A

Délibération n° 21FR/2021 du 11 juin 2021

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

1/22

I. Faits et procédure

1. Lors de sa séance de délibération du 22 novembre 2018, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après: « Formation
Plénière ») avait décidé d’ouvrir une enquête auprès du groupe ABC1 sur base de l’article
37 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données (ci-après « loi
du 1er août 2018 ») et de désigner Monsieur Christophe Buschmann comme chef
d’enquête.

2. Aux termes de la décision de la Formation Plénière l’enquête menée par la
Commission nationale pour la protection des données (ci- après : « CNPD ») avait comme
objet de vérifier le respect des dispositions du règlement relatif à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)
et de la loi du 1er août 2018, notamment par la mise en place de systèmes de
vidéosurveillance et de géolocalisation le cas échéant installés par les quatre sociétés du
groupe.

3. En date du 12 décembre 2018, des agents de la CNPD ont effectué une visite
dans les locaux du groupe ABC. Etant donné que le procès-verbal relatif à ladite mission
d'enquête sur place ne mentionne que, parmi les quatre sociétés du groupe ABC, comme
responsable du traitement contrôlé la Société A,2 la décision de la Commission nationale
pour la protection des données siégeant en formation restreinte sur l’issue de l’enquête
(ci-après: « Formation Restreinte ») se limitera aux traitements contrôlés par les agents
de la CNPD et effectués par la Société A.

1 Et plus précisément auprès des sociétés A, inscrite au registre du Commerce et des Sociétés de Luxembourg

sous le numéro […], avec siège social à L-[…]; Société B, inscrite au registre du Commerce et des Sociétés
de Luxembourg sous le numéro […], avec siège social à L-[…]; Société C, inscrite au registre du Commerce
et des Sociétés de Luxembourg sous le numéro […], avec siège social à L-[…]; Société D, inscrite au registre
du Commerce et des Sociétés de Luxembourg sous le numéro […], avec siège social à L-[…].
2 Voir notamment le procès-verbal relatif à la mission de contrôle sur place effectuée en date du 12 décembre

2018 auprès de la Société A.

2/22

4. La Société A est une […] inscrite au registre du Commerce et des Sociétés de
Luxembourg sous le numéro […], avec siège social à L-[…] (ci-après « le contrôlé »). Le
contrôlé est concessionnaire automobile au Luxembourg […].3

5. Lors de la visite précitée du 12 décembre 2018 par des agents de la CNPD dans
les locaux du contrôlé, il a été confirmé aux agents de la CNPD que le contrôlé recourt à
un système de vidéosurveillance composé de trente caméras, mais qu’il n’a pas installé
de dispositif de géolocalisation dans ses véhicules.4 Les agents de la CNPD ont constaté
que de nombreuses caméras n’étaient plus opérationnelles et ceci dû au fait que le
système était devenu obsolète et devrait être modernisé prochainement.5

6. A son courrier de réponse du 31 janvier 2019 au procès-verbal dressé par les
agents de la CNPD, le contrôlé a annexé une note intitulée « Information aux travailleurs
- Protection de la vie privée » en indiquant qu’elle sera placée sur le réseau interne afin
de pouvoir la mettre à jour régulièrement.

7. A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du 16
septembre 2019 une communication des griefs détaillant les manquements qu’il estimait
constitués en l’espèce, et plus précisément une non-conformité aux exigences prescrites
par l'article 13 du RGPD pour ce qui concerne les salariés et les clients, fournisseurs,
prestataires de services et les visiteurs (ci-après : « les personnes tierces ») et une non-
conformité aux prescrits de l'article 5.1.c) du RGPD.

8. Le 7 octobre 2019, le contrôlé a produit des observations écrites sur la
communication des griefs.

9. Un courrier complémentaire à la communication des griefs a été adressé au
contrôlé en date du 3 août 2020. Dans ce courrier, le chef d’enquête a proposé à la
Formation Restreinte d’adopter trois mesures correctrices différentes, ainsi que d’infliger
au contrôlé une amende administrative d’un montant de 7.600 euros.

3 Selon les informations fournies sur son propre site internet : […].

4 Voir procès-verbal relatif à la mission de contrôle sur place effectuée en date du 12 décembre 2018 auprès

de la Société A.
5 Constat 19 du procès-verbal relatif à la mission de contrôle sur place effectuée en date du 12 décembre

2018 auprès de la Société A.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

3/22

10. Par courrier du 27 août 2020, le contrôlé a produit des observations écrites sur
le courrier complémentaire à la communication des griefs.

11. La présidente de la Formation Restreinte a informé le contrôlé par courrier du 16
octobre 2020 que son affaire serait inscrite à la séance de la Formation Restreinte du 27
novembre 2020. Le contrôlé a confirmé sa présence à ladite séance en date du 12
novembre 2020.

12. Lors de la séance de la Formation Restreinte du 27 novembre 2020, le chef
d’enquête et le contrôlé ont exposé leurs observations orales à l’appui de leurs
observations écrites et ont répondu aux questions posées par la Formation Restreinte. Le
contrôlé a eu la parole en dernier.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié au principe de la minimisation des données

1. Sur les principes

13. Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel
doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des
finalités pour lesquelles elles sont traitées (minimisation des données) ».

14. Le principe de minimisation des données en matière de vidéosurveillance
implique qu’il ne doit être filmé que ce qui apparaît strictement nécessaire pour atteindre
la ou les finalité(s) poursuivie(s) et que les opérations de traitement ne doivent pas être
disproportionnées.6

15. L’article 5.1.b) du RGPD dispose que les données à caractère personnel doivent
être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être

6 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

4/22

traitées ultérieurement d'une manière incompatible avec ces finalités ; […] (limitation des
finalités) ».

16. Avant l’installation d’un système de vidéosurveillance, le responsable du
traitement devra définir, de manière précise, la ou les finalités qu’il souhaite atteindre en
recourant à un tel système, et ne pourra pas utiliser ensuite les données à caractère
personnelle collectées à d’autres fins.7

17. La nécessité et la proportionnalité d’une vidéosurveillance s’analyse au cas par
cas et, notamment, au regard de critères tels que la nature du lieu à placer sous
vidéosurveillance, sa situation, sa configuration ou sa fréquentation.8

2. En l’espèce

18. Il a été expliqué aux agents de la CNPD que les finalités de la mise en place du
système de vidéosurveillance sont la protection des biens de l'entreprise, la sécurisation
des accès, ainsi que la sécurité des usagers et la prévention d'accidents. Quant à la finalité
de la surveillance des différentes réceptions, le contrôlé a précisé qu’elle consisterait en
la sécurisation des caisses de paiement situées dans ces zones.9

19. Lors de l’enquête sur site, les agents de la CNPD ont constaté que le champ de
vision de deux caméras comprenait des parties de la voie publique, tandis que six caméras
permettaient la surveillance en permanence des postes de travail des salariés qui y étaient
occupés.

20. Le chef d’enquête estimait qu’« au vu des finalités précitées pour lesquelles est
opérée la vidéosurveillance, il n'est pas nécessaire d'englober des parties de la voie
publique ou de terrains avoisinants dans les champs de vision des caméras énumérées
sous le point A.3. de la présente. » (communication des griefs, Ad. A.3.). Il était ainsi d’avis
que la non-conformité à l'article 5.1.c) du RGPD était acquise au jour de la visite sur site

7 Voir Lignes directrices de la CNPD, disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
8 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-

thematiques/videosurveillance/necessite-proportionnalite.html.
9 Voir constats 8 et 18 du procès-verbal relatif à la mission de contrôle sur place effectuée en date du 12

décembre 2018 auprès de la Société A.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

5/22

et que la documentation soumise à la CNPD par la lettre du 31 janvier 2019 ne contenait
aucune preuve à l'encontre de cette non-conformité.

21. Par ailleurs, il a estimé qu’une « surveillance permanente est considérée comme
disproportionnée à la finalité recherchée et constitue une atteinte excessive à la sphère
privée des salariés occupés à leurs postes de travail. Dans ce cas, les droits et libertés
fondamentaux des salariés doivent prévaloir sur les intérêts poursuivis par l'employeur. »
En ce qui concerne la surveillance d’une zone de caisse, il a été d’avis que les « caméras
devront donc être configurées de façon à ce que les salariés présents derrière les
comptoirs-caisses ne soient pas ciblés. La documentation soumise à la CNPD par la lettre
du 31 janvier 2019 ne contient aucune preuve à l'encontre de cette non-conformité, ni
aucune explication quant à l'éventuelle nécessité de telles mesures de surveillance. »
Ainsi, le chef d’enquête a retenu que la non-conformité à l'article 5.1.c) du RGPD était
acquise au jour de la visite sur site (communication des griefs, Ad. A.4.).

22. Dans son courrier de réponse à la communication des griefs du 7 octobre 2019,
le contrôlé de son côté a expliqué que les orientations des deux caméras ont été modifiées
de telle sorte à ne plus filmer des parties de la voie publique et que plus aucun poste de
travail ne serait encore sujet à une surveillance permanente, car l’ensemble des caméras
litigieuses ont été réorientées ou désactivées.

23. La Formation Restreinte tient à rappeler que les caméras destinées à surveiller
un lieu d’accès (entrée et sortie, seuil, perron, porte, auvent, hall, etc.) doivent avoir un
champ de vision limité à la surface strictement nécessaire pour visualiser les personnes
s’apprêtant à y accéder. Celles qui filment des accès extérieurs ne doivent pas baliser
toute la largeur d’un trottoir longeant, le cas échéant, le bâtiment ou les voies publiques
adjacentes. De même, les caméras extérieures installées aux abords ou alentours d’un
bâtiment doivent être configurées de façon à ne pas capter la voie publique, ni les abords,
entrées, accès et intérieurs d’autres bâtiments avoisinants rentrant éventuellement dans
leur champ de vision.10

10 Voir Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

6/22

24. La Formation Restreinte admet néanmoins qu’en fonction de la configuration des
lieux, il est parfois impossible d’installer une caméra qui ne comprendrait pas dans son
champ de vision une partie de la voie publique, abords, entrées, accès et intérieurs
d’autres bâtiments. Dans un tel cas, elle estime que le responsable du traitement devrait
mettre en place des techniques de masquages ou de floutage afin de limiter le champ de
vision à sa propriété.11

25. La Formation Restreinte constate que le courrier du contrôlé du 7 octobre 2019
contient des photos démontrant que les champs de vision des deux caméras litigieuses
ont été modifiées afin de ne plus viser la voie publique.

26. Au vu de ce qui précède, la Formation Restreinte se rallie au constat du chef
d’enquête12 selon lequel la non-conformité à l’article 5.1.c) du RGPD en ce qui concerne
les deux caméras susmentionnées était acquise au jour de la visite sur site des agents de
la CNPD.

27. Par ailleurs, la Formation Restreinte tient à rappeler que les salariés ont le droit
de ne pas être soumis à une surveillance continue et permanente sur le lieu de travail.
Pour atteindre les finalités poursuivies, il peut paraître nécessaire pour un responsable du
traitement d’installer un système de vidéosurveillance sur le lieu de travail. Par contre, en
respectant le principe de proportionnalité, le responsable du traitement doit recourir aux
moyens de surveillance les plus protecteurs de la sphère privée du salarié et, par exemple,
limiter les champs de vision des caméras à la seule surface nécessaire pour atteindre la
ou les finalité(s) poursuivie(s).

28. Dans son courrier de réponse à la communication des griefs du 7 octobre 2019,
le contrôlé a expliqué que plus aucun poste de travail ne serait encore sujet à une
surveillance permanente, car l’ensemble des six caméras litigieuses ont été réorientées
ou désactivées.

11 Voir Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
12 Communication des griefs, Ad. A.3.

7/22

29. Au vu de ce qui précède, la Formation Restreinte se rallie au constat du chef
d’enquête13 selon lequel la non-conformité à l’article 5.1.c) du RGPD concernant les six
caméras susmentionnées était acquise au jour de la visite sur site des agents de la CNPD.

B. Sur le manquement lié à l'obligation d'informer les personnes concernées

1. Sur les principes

30. Aux termes de l’alinéa 1 de l’article 12 du RGPD, le « responsable du traitement
prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14
ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article
34 en ce qui concerne le traitement à la personne concernée d'une façon concise,
transparente, compréhensible aisément accessible, en des termes clairs et simples […]. »

31. L’article 13 du RGPD prévoit ce qui suit :

« 1. Lorsque des données à caractère personnel relatives à une personne
concernée sont collectées auprès de cette personne, le responsable du traitement lui
fournit, au moment où les données en question sont obtenues, toutes les informations
suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;

13 Communication des griefs, Ad. A.4.

8/22

e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement
fournit à la personne concernée, au moment où les données à caractère personnel sont
obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir
un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;

b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;

d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à

9/22

caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;

f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la
personne concernée dispose déjà de ces informations. »

32. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des
obligations générales de transparence au sens du RGPD.14 Lesdites obligations ont été
explicitées par le Groupe de Travail Article 29 dans ses lignes directrices sur la
transparence au sens du règlement (UE) 2016/679, dont la version révisée a été adoptée
le 11 avril 2018 (ci-après : « WP 260 rév.01 »).

33. A noter que le Comité européen de la protection des données (ci-après :
« CEPD »), qui remplace depuis le 25 mai 2018 le Groupe de Travail Article 29, a repris
et réapprouvé les documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai
2018, comme précisément les lignes directrices précitées sur la transparence.15

14 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.

15 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

10/22

2. En l’espèce

34. Pour ce qui concerne l'information des personnes tierces quant au système de
vidéosurveillance, le chef d’enquête a constaté que le pictogramme composé d’un
symbole d’une vidéo-caméra et comportant la mention « Local sous vidéosurveillance »
ne contenait pas les éléments requis par l'article 13.1 et 2 du RGPD (voir communication
des griefs, page 2, Ad.A.1.). Il a par ailleurs estimé que la lettre du contrôlé du 31 janvier
2019 ne contenait aucune preuve à l’encontre de cette non-conformité, de sorte qu’il
retenait à l’encontre du contrôlé une non-conformité aux prescrits de l'article 13 du RGPD
pour ce qui concerne les personnes tierces.

35. Pour ce qui concerne l'information des salariés quant au système de
vidéosurveillance, le chef d’enquête a constaté que la notice intitulée « Information aux
travailleurs – Protection de la vie privée », envoyée par le contrôlé par courrier du 31
janvier 2019, ne contenait pas de preuves suffisantes permettant de contrer une non-
conformité aux prescrits de l’article 13 pour ce qui concerne les salariés (voir
communication des griefs, page 3 Ad.A.2).

36. Au courrier précité du 31 janvier 2019, le contrôlé a en effet annexé une note
intitulée « Information aux travailleurs — Protection de la vie privée » en indiquant qu’elle
sera placée sur le réseau interne afin de pouvoir la mettre à jour régulièrement.

37. Par courrier du 7 octobre 2019, le contrôlé a envoyé au chef d’enquête des
photos d’une nouvelle fiche signalétique affichée à l’intérieur et à l’extérieur du bâtiment
du contrôlé.

38. La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD
fait référence à l’obligation imposée au responsable du traitement de « fournir » toutes les
informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie
que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne
concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.). » (WP260 rev. 01, paragraphe 33).

39. La Formation Restreinte note que lors de la visite sur site par les agents de la
CNPD, les personnes tierces étaient informées de la présence du système de
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

11/22

vidéosurveillance par un pictogramme composé d’un symbole d’une vidéo-caméra et
comportant la mention « Local sous vidéosurveillance ».

40. En ce qui concerne les salariés, la Formation Restreinte note que lors de la visite
sur site par les agents de la CNPD, ces derniers étaient informés de la présence du
système de vidéosurveillance par le même pictogramme composé d’un symbole d’une
vidéo-caméra et comportant la mention « Local sous vidéosurveillance ». Par ailleurs, par
courrier du 31 janvier 2019, le contrôlé a envoyé au chef d’enquête une note intitulée
« Information aux travailleurs - Protection de la vie privée » en indiquant qu’elle sera
placée sur le réseau interne afin de pouvoir la mettre à jour régulièrement.

41. La Formation Restreinte estime dans ce contexte qu’une approche à plusieurs
niveaux pour communiquer des informations sur la transparence aux personnes
concernées peut être utilisée dans un contexte hors ligne ou non numérique, c’est-à-dire
dans un environnement réel comme par exemple des données à caractère personnel
collectées au moyen d’un système de vidéosurveillance. Le premier niveau d’information
devrait de manière générale inclure les informations les plus essentielles, à savoir les
détails de la finalité du traitement, l’identité du responsable du traitement et l’existence des
droits des personnes concernées, ainsi que les informations ayant la plus forte incidence
sur le traitement ou tout traitement susceptible de surprendre les personnes concernées.16
Le deuxième niveau d’information, c’est-à-dire l’ensemble des informations requises au
titre de l’article 13 du RGPD, pourrait être fourni ou mis à disposition par d’autres moyens,
comme par exemple un exemplaire de la politique de confidentialité envoyé par e-mail aux
salariés ou un lien sur le site internet vers une notice d’information pour ce qui concerne
les personnes tierces non-salariées.17

42. La Formation Restreinte constate toutefois que le pictogramme en place lors de
la visite sur site ne contenait même pas les éléments requis du premier niveau
d’information que ce soit pour les salariés ou les personnes tierces non-salariées. Pour ce
qui concerne la note intitulée « Information aux travailleurs - Protection de la vie privée »,
la Formation Restreinte considère qu’elle ne contenait pas l’ensemble des éléments requis

16 Voir le WP 260 rév.01 et les lignes directrices 3/2019 du CEPD sur le traitement des données à caractère
personnel par des dispositifs vidéo, version 2.0, adoptée le 29 janvier 2020.
17 Voir le WP260 rev. 01 (point 38).

12/22

par l'article 13.1 et 2 du RGPD, d’autant plus qu’au moment de la visite sur site par les
agents de la CNPD, les salariés n’étaient pas encore en possession de ladite note.

43. Au vu de ce qui précède, la Formation Restreinte conclut qu’au moment de la
visite sur site des agents de la CNPD, l’article 13 du RGPD n’était pas respecté par le
contrôlé.

II. 2. Sur les mesures correctrices et amendes

1. Les principes

44. Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

13/22

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

45. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer des
amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de
l’État ou des communes.

46. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

14/22

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu
des articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

47. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

15/22

48. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer.

2. En l’espèce

2.1. Quant à l’imposition d’une amende administrative

49. Dans son courrier complémentaire à la communication des griefs du 3 août
2020, le chef d’enquête proposait à la Formation Restreinte d’infliger une amende
administrative au contrôlé d’un montant de 7.600 euros.

50. Dans sa réponse audit courrier complémentaire du 27 août 2020, le contrôlé a
renvoyé à sa réponse datée du 7 octobre 2019 dans laquelle il listait les différentes
mesures effectuées afin de répondre aux exigences du RGPD et aux griefs énoncés par
le chef d’enquête à la mi-septembre 2019.

51. Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la Formation Restreinte prend en compte
les éléments prévus par l’article 83.2 du RGPD :

 Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), la
Formation Restreinte relève qu’en ce qui concerne le manquement à l’article 5.1.c)
du RGPD, il est constitutif d’un manquement aux principes fondamentaux du
RGPD (et du droit de la protection des données en général), à savoir au principe
de minimisation des données consacré au Chapitre II « Principes » du RGPD.

 Quant au manquement à l’obligation d’informer les personnes concernées
conformément à l’article 13 du RGPD, la Formation Restreinte rappelle que
l’information et la transparence relative au traitement des données à caractère
personnel sont des obligations essentielles pesant sur les responsables de
traitement afin que les personnes soient pleinement conscientes de l’utilisation qui
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

16/22

sera faite de leurs données à caractère personnel, une fois celles-ci collectées. Un
manquement à l’article 13 du RGPD est ainsi constitutif d’une atteinte aux droits
des personnes concernées. Ce droit à l’information a par ailleurs été renforcé aux
termes du RGPD, ce qui témoigne de leur importance toute particulière.

 Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte
constate que ces manquements ont duré dans le temps, à tout le moins depuis le
25 mai 2018 et jusqu’au jour de la visite sur place. La Formation Restreinte rappelle
ici que deux ans ont séparé l’entrée en vigueur du RGPD de son entrée en
application pour permettre aux responsables de traitement de se conformer aux
obligations qui leur incombent et ce même si les obligations de respecter les
principes de minimisation et de la limitation de conservation, tout comme une
obligation d’information comparable existaient déjà en application des articles 4.1.
a) et b), 10.2 et 26 de la loi abrogée du 2 août 2002 relative à la protection des
personnes à l'égard du traitement des données à caractère personnel.

 Quant au nombre de personnes concernées (article 83.2.a) du RGPD), la
Formation Restreinte constate qu’il s’agit de tous les salariés travaillant sur le site
du contrôlé, ainsi que toutes les personnes tierces, c’est-à-dire les clients,
fournisseurs, prestataires de services et les visiteurs se rendant sur ledit site.

 Quant à la question de savoir si les manquements ont été commis délibérément
ou non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que « non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas
respecté l’obligation de diligence qui lui incombe en vertu de la législation.

En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef
du contrôlé.

 Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2.f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête

17/22

selon laquelle la coopération du contrôlé tout au long de l'enquête était bonne, ainsi
que de sa volonté de se conformer à la loi dans les meilleurs délais.

52. La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.

53. La Formation Restreinte relève aussi que si plusieurs mesures ont été mises en
place par le contrôlé afin de remédier en totalité ou en partie à certains manquements,
celles-ci n’ont été adoptées qu’à la suite du contrôle des agents de la CNPD en date du 6
mars 2019 (voir aussi le point 47 de la présente décision).

54. Dès lors, la Formation restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5.1.c) et 13 du RGPD.

55. S’agissant du montant de l’amende administrative, la Formation Restreinte
rappelle que le paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations
multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder
le montant fixé pour la violation la plus grave. Dans la mesure où un manquement aux
articles 5 et 13 du RGPD est reproché au contrôlé, le montant maximum de l’amende
pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel
mondial, le montant le plus élevé étant retenu.

56. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la
Formation Restreinte considère que le prononcé d’une amende de 7.600 euros apparaît
à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1
du RGPD.

2.2. Quant à la prise de mesures correctrices

57. L’adoption des mesures correctrices suivantes a été proposée par le chef
d’enquête à la Formation Restreinte dans son courrier complémentaire à la
communication des griefs :

18/22

« a) Ordonner au responsable du traitement de compléter les mesures
d'information destinées aux personnes concernées par la vidéosurveillance,
conformément aux dispositions de l'article 13, paragraphes (1) et (2) du RGPD en
renseignant notamment l'identité du responsable du traitement, les finalités du
traitement et sa base juridique, les catégories de données traitées, les intérêts
légitimes poursuivis par le contrôlé, les destinataires, la durée de conservation des
données ainsi que l'indication des droits de la personne et de la manière de les
exercer ;

b) Ordonner au responsable du traitement de ne traiter que des données
pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités de
protection des biens et de sécurisation des accès et, en particulier, adapter le
dispositif vidéo afin de ne pas filmer les salariés sur leur poste de travail et la voie
publique, par exemple en supprimant ou réorientant les caméras dénommées C4
[…], C13 […], C14 […], C15 […], C16 […], C7 […], C10 […] et C12 […] ;

c) Ordonner au responsable du traitement d'enlever ou de faire procéder à
l'enlèvement des caméras qui sont hors état de fonctionnement. »

58. Dans son courrier de réponse du 27 août 2020 au courrier complémentaire à la
communication des griefs, le contrôlé s’est référé à sa réponse datée du 7 octobre 2019
dans laquelle il avait listé avec photographies à l'appui les différentes mesures effectuées
à leur propre initiative en moins de quinze jours ouvrés afin de répondre aux exigences du
RGPD et aux griefs énoncés par la CNPD à la mi-septembre 2019.

59. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 48 de la présente décision, la Formation Restreinte prend en compte
les démarches effectuées par le contrôlé, suite à la visite des agents de la CNPD, afin de
se conformer aux dispositions des articles 5.1.c) et 13 du RGPD, comme détaillées dans
ses courriers du 31 janvier 2019, du 7 octobre 2019 et du 27 août 2020. Plus
particulièrement, elle prend note des faits suivants :

 Quant à la mise en place de mesures d'information destinées aux personnes
concernées par la vidéosurveillance, conformément aux dispositions de l'article
13.1 et 2 du RGPD, le contrôlé a élaboré et affiché à l’intérieur et à l’extérieur de
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

19/22

ses locaux de nouveaux pictogrammes et il a mis à disposition des salariés sur son
intranet une note intitulée « Information aux salariés – Protection de la vie privée ».
Le courrier du 7 octobre 2019 du contrôlé contient une photo du nouvel
pictogramme, ainsi qu’une copie de la note précitée.

En ce qui concerne l’information des personnes tierces, la Formation Restreinte
considère que le pictogramme précité ne contient pas toutes les informations
requises par l’article 13 du RGPD, notamment la base juridique précise pour la
vidéosurveillance, l’existence du droit de rectification et d’effacement, ainsi que le
droit de s’opposer au traitement.

En ce qui concerne l’information des salariés, la Formation Restreinte considère
que le pictogramme précitée, combinée avec la note d’information précitée, ne
contiennent pas toutes les informations requises par l’article 13 du RGPD,
notamment les destinataires et la base juridique précise pour la vidéosurveillance.

En considération des mesures de mise en conformité prises par le contrôlé en
l’espèce et le point 48 de la présente décision, la Formation Restreinte considère
dès lors qu’il y a lieu de prononcer la mesure correctrice proposée par le chef
d’enquête sous a).

 Quant à l’obligation de ne traiter que des données pertinentes, adéquates et
limitées à ce qui est nécessaire au regard des finalités de protection des biens et
de sécurisation des accès et, en particulier, adapter le dispositif vidéo afin de ne
pas filmer les salariés sur leur poste de travail et la voie publique, le contrôlé a
expliqué dans son courrier de réponse à la communication des griefs du 7 octobre
2019 que les orientations de deux caméras (documents à l’appui versés) ont été
modifiées de telle sorte à ne plus filmer des parties de la voie publique et que plus
aucun poste de travail ne serait encore sujet à une surveillance permanente, car
l’ensemble des caméras litigieuses ont été réorientées ou désactivées (documents
à l’appui versés). En considération des mesures de mise en conformité prises par
le contrôlé en l’espèce et le point 48 de la présente décision, la Formation
Restreinte considère dès lors qu’il n’y ait pas lieu de prononcer la mesure
correctrice proposée par le chef d’enquête sous b).

20/22

 Quant à l'enlèvement des caméras qui sont hors état de fonctionnement, le
contrôlé a affirmé dans son courrier du 27 août 2020 qu’aucune caméra « hors état
de fonctionnement » n'est installée au sein de ses locaux. En considération des
mesures de mise en conformité prises par le contrôlé en l’espèce et le point 48 de
la présente décision, la Formation Restreinte considère dès lors qu’il n’y ait pas
lieu de prononcer la mesure correctrice proposée par le chef d’enquête sous c).

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

- de retenir les manquements aux articles 5.1.c) et 13 du RGPD ;

- de prononcer à l’encontre de la Société A une amende administrative d’un montant de
sept mille six cents euros (7.600 euros), au regard des manquements constitués aux
articles 5.1.c) et 13 du RGPD ;

- de prononcer à l’encontre de la Société A une injonction de mettre en conformité le
traitement avec les dispositions de l’article 13 du RGPD, dans un délai de deux mois
suivant la notification de la décision de la Formation restreinte, les justificatifs de la mise
en conformité devant être adressés à la Formation Restreinte, au plus tard, dans ce délai ;

et en particulier :

1. informer les personnes tierces non-salariées de manière claire et complète,
conformément aux dispositions de l’article 13 du RGPD, notamment en fournissant aux
personnes tierces une information relative à la base juridique précise pour la
vidéosurveillance, à l’existence du droit de rectification et d’effacement, ainsi qu’au droit
de s’opposer au traitement ;

2. informer individuellement les salariés de manière claire et complète, conformément aux
dispositions de l’article 13 du RGPD, notamment en fournissant aux salariés une
information relative aux destinataires et à la base juridique précise pour la
vidéosurveillance.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

21/22

Ainsi décidé à Belvaux en date du 11 juin 2021.

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

22/22

Video Gözetiminde Veri Minimizasyonu ve Bilgilendirme

Türkçe özet

Hukuki mesele

Sonuç

Karar metni