Video Gözetiminde Veri Minimizasyonu ve Bilgilendirme

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n° […] menée auprès de la Société A

Délibération n° 24FR/2021 du 29 juin 2021

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

1/23

I. Faits et procédure

1. Lors de sa séance de délibération du 14 février 2019, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après: « Formation
Plénière ») avait décidé d’ouvrir une enquête auprès du groupe ABC1 sur base de l’article
37 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données (ci-après : « loi
du 1er août 2018 ») et de désigner Monsieur Christophe Buschmann comme chef
d’enquête.

2. Aux termes de la décision de la Formation Plénière l’enquête menée par la
Commission nationale pour la protection des données (ci- après : « CNPD ») avait comme
objet de vérifier le respect des dispositions du règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à
l'égard du traitement des données à caractère personnel et à la libre circulation de ces
données, et abrogeant la directive 95/46/CE (ci-après : « RGPD ») et de la loi du 1er août
2018, notamment par la mise en place de systèmes de vidéosurveillance et de
géolocalisation le cas échéant installés par les deux sociétés du groupe ABC.

3. En date du 18 mars 2019, des agents de la CNPD ont effectué une visite dans les
locaux du groupe ABC. Etant donné que le procès-verbal relatif à ladite mission d'enquête
sur place ne mentionne que, parmi les deux sociétés du groupe ABC, comme responsable
du traitement contrôlé la Société A,2 la décision de la Commission nationale pour la
protection des données siégeant en formation restreinte sur l’issue de l’enquête (ci-après:
« Formation Restreinte ») se limitera aux traitements contrôlés par les agents de la CNPD
et effectués par la Société A.

1 Et plus précisément auprès des sociétés Société A, inscrite au registre du Commerce et des Sociétés de

Luxembourg sous le numéro […], avec siège social à L-[…] et Société B, inscrite au registre du Commerce et
des Sociétés de Luxembourg sous le numéro […], avec siège social L-[…].
2 Voir notamment le procès-verbal […] relatif à la mission d'enquête sur place effectuée en date du 18 mars

2019 auprès du groupe ABC.

2/23

4. La Société A est une […] inscrite au registre du Commerce et des Sociétés de
Luxembourg sous le numéro […], avec siège social à L-[…] (ci-après « le contrôlé »). Le
contrôlé [est actif dans le domaine de la fabrication de pain et de pâtisserie fraîche]. »3

5. Lors de la visite précitée du 18 mars 2019 par des agents de la CNPD dans les
locaux du contrôlé, il a été confirmé aux agents de la CNPD que le contrôlé recourt à un
système de vidéosurveillance aux alentours de ses bâtiments et au sein de son bâtiment,
mais qu’il ne recourt pas à un dispositif de géolocalisation quelconque.4

6. A son courrier de réponse du 18 avril 2019 au procès-verbal dressé par les agents
de la CNPD, le contrôlé a annexé des photos d’affiches d’information présentes au niveau
de chaque entrée et sortie, une copie du registre des activités de traitement et des
courriers de ses fournisseurs […] et […].

7. A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du 28
août 2019 une communication des griefs détaillant les manquements qu’il estimait
constitués en l’espèce, et plus précisément une non-conformité aux exigences prescrites
par l'article 13 du RGPD pour ce qui concerne les salariés et les clients, fournisseurs,
prestataires de services et les visiteurs (ci-après : « les personnes tierces ») et une non-
conformité aux prescrits de l'article 5.1.c) du RGPD.

8. Le 21 novembre 2019, le contrôlé a produit des observations écrites sur la
communication des griefs.

9. Un courrier complémentaire à la communication des griefs a été adressé au
contrôlé en date du 3 août 2020. Dans ce courrier, le chef d’enquête a proposé à la
Formation Restreinte d’adopter deux mesures correctrices différentes, ainsi que d’infliger
au contrôlé une amende administrative d’un montant de 17.000 euros.

10. Par courrier du 12 août 2020, le contrôlé a produit des observations écrites sur
le courrier complémentaire à la communication des griefs.

3 […].

4 Voir procès-verbal relatif à la mission d'enquête sur place effectuée en date du 18 mars 2019 auprès du

groupe ABC.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

3/23

11. La présidente de la Formation Restreinte a informé le contrôlé par courrier du 5
janvier 2021 que son affaire serait inscrite à la séance de la Formation Restreinte du 11
février 2021. Le contrôlé a confirmé sa présence à ladite séance en date du 11 janvier
2021.

12. Lors de la séance de la Formation Restreinte du 11 février 2021, le chef
d’enquête et le contrôlé ont exposé leurs observations orales à l’appui de leurs
observations écrites et ont répondu aux questions posées par la Formation Restreinte. La
présidente a demandé au contrôlé d’envoyer à la Formation Restreinte des informations
supplémentaires sur la répartition des personnes qui travaillent sur chaque site, y inclus
le site de production, endéans une semaine. Le contrôlé a eu la parole en dernier.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié au principe de la minimisation des données

1. Sur les principes

13. Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel
doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des
finalités pour lesquelles elles sont traitées (minimisation des données) ».

14. Le principe de minimisation des données en matière de vidéosurveillance
implique qu’il ne doit être filmé que ce qui apparaît strictement nécessaire pour atteindre
la ou les finalité(s) poursuivie(s) et que les opérations de traitement ne doivent pas être
disproportionnées.5

15. L’article 5.1.b) du RGPD dispose que les données à caractère personnel doivent
être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être

5 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

4/23

traitées ultérieurement d'une manière incompatible avec ces finalités ; […] (limitation des
finalités) ».

16. Avant l’installation d’un système de vidéosurveillance, le responsable du
traitement devra définir, de manière précise, la ou les finalités qu’il souhaite atteindre en
recourant à un tel système, et ne pourra pas utiliser ensuite les données à caractère
personnelle collectées à d’autres fins.6

17. La nécessité et la proportionnalité d’une vidéosurveillance s’analyse au cas par
cas et, notamment, au regard de critères tels que la nature du lieu à placer sous
vidéosurveillance, sa situation, sa configuration ou sa fréquentation.7

2. En l’espèce

18. Il a été expliqué aux agents de la CNPD que les finalités de la mise en place du
système de vidéosurveillance sont la protection des biens, la sécurisation des accès à des
lieux privés, la sécurité des usagers ainsi que la prévention des accidents.8

2.1. S’agissant du champ de vision de la caméra filmant la voie publique

19. Lors de l’enquête sur site, les agents de la CNPD ont constaté que le champ de
vision d’une caméra dénommée par le contrôlé « […] » et dans le procès-verbal dressé
par les agents de la CNPD « […] » permet la surveillance d'une partie de la voie publique
attenante au magasin de vente du contrôlé.

20. Le chef d’enquête estimait qu’« au vu des finalités précitées pour lesquelles est
opérée la vidéosurveillance, il n'est pas nécessaire d'englober des parties de la voie
publique ou de terrains avoisinants dans les champs de vision des caméras énumérées
sous le point I de la présente. » (communication des griefs, Ad. A.3.). Il était ainsi d’avis
que la non-conformité à l'article 5.1.c) du RGPD était acquise au jour de la visite sur site

6 Voir Lignes directrices de la CNPD, disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
7 Voir Lignes directrices de la CNPD (Point 4.), disponible sous : https://cnpd.public.lu/fr/dossiers-

thematiques/videosurveillance/necessite-proportionnalite.html.
8 Voir constat 5 du procès-verbal relatif à la mission d'enquête sur place effectuée en date du 18 mars 2019

auprès du groupe ABC.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

5/23

et que la documentation soumise à la CNPD par la lettre du 18 avril 2019 ne contenait
aucune preuve à l'encontre de cette non-conformité.

21. Dans son courrier de réponse à la communication des griefs du 21 novembre
2019, le contrôlé de son côté a expliqué que des ajustements des champs de visions des
caméras de vidéosurveillance actives ont été faits et il a annexé des captures d’écrans
audit courrier.

22. La Formation Restreinte tient à rappeler que les caméras destinées à surveiller
un lieu d’accès (entrée et sortie, seuil, perron, porte, auvent, hall, etc.) doivent avoir un
champ de vision limité à la surface strictement nécessaire pour visualiser les personnes
s’apprêtant à y accéder. Celles qui filment des accès extérieurs ne doivent pas baliser
toute la largeur d’un trottoir longeant, le cas échéant, le bâtiment ou les voies publiques
adjacentes. De même, les caméras extérieures installées aux abords ou alentours d’un
bâtiment doivent être configurées de façon à ne pas capter la voie publique, ni les abords,
entrées, accès et intérieurs d’autres bâtiments avoisinants rentrant éventuellement dans
leur champ de vision.9

23. La Formation Restreinte admet néanmoins qu’en fonction de la configuration des
lieux, il est parfois impossible d’installer une caméra qui ne comprendrait pas dans son
champ de vision une partie de la voie publique, abords, entrées, accès et intérieurs
d’autres bâtiments. Dans un tel cas, elle estime que le responsable du traitement devrait
mettre en place des techniques de masquage ou de floutage afin de limiter le champ de
vision à sa propriété.10

24. La Formation Restreinte constate que le courrier du contrôlé du 21 novembre
2019 contient une photo démontrant que le champ de vision de la caméra dénommée
« […] » a été masqué afin de ne plus viser la voie publique.

25. Au vu de ce qui précède, la Formation Restreinte se rallie néanmoins au constat
du chef d’enquête11 selon lequel la non-conformité à l’article 5.1.c) du RGPD en ce qui

9 Voir Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lu/fr/dossiers-
thematiques/videosurveillance/necessite-proportionnalite.html.
10 Voir Lignes directrices de la CNPD (Point 4.1.), disponible sous : https://cnpd.public.lu/fr/dossiers-

thematiques/videosurveillance/necessite-proportionnalite.html.
11 Communication des griefs, Ad. A.3.

6/23

concerne la caméra susmentionnée était acquise au jour de la visite sur site des agents
de la CNPD.

2.2. S’agissant du champ de vision des caméras filmant les salariés

26. Lors de l’enquête sur site, les agents de la CNPD ont constaté que le champ de
vision de dix caméras permettaient la surveillance en permanence des postes de travail
des salariés occupés dans les zones [de production] « […] », « […]», « […] », « […] » et «
[…] ».12

27. Par ailleurs, le chef d’enquête a estimé qu’une surveillance en permanence des
salariés sur leurs postes de travail est « à considérer comme disproportionnée. En effet,
une telle surveillance permanente peut créer une pression psychologique non négligeable
pour les salariés qui se sentent et se savent observés, d'autant plus que les mesures de
surveillance perdurent dans le temps. Le fait que les salariés concernés ne disposent pas
d'un moyen de se soustraire de temps à autre de cette surveillance est également de
nature à aggraver cette pression. Une telle surveillance permanente est considérée
comme disproportionnée à la finalité recherchée et constitue une atteinte excessive à la
sphère privée des salariés occupés à leurs postes de travail. Dans ce cas, les droits et
libertés fondamentaux des salariés doivent prévaloir sur les intérêts poursuivis par
l'employeur. » Ainsi, il a retenu que la non-conformité à l'article 5.1.c) du RGPD était
acquise au jour de la visite sur site et que la documentation soumise à la CNPD par la
lettre du 18 avril 2019 ne contenait aucune preuve à l'encontre de cette non-conformité, ni
aucune explication quant à l'éventuelle nécessité de telles mesures de surveillance
(communication des griefs, Ad. A.4.).

28. La Formation Restreinte tient à rappeler que les salariés ont le droit de ne pas
être soumis à une surveillance continue et permanente sur le lieu de travail. Pour atteindre
les finalités poursuivies, il peut paraître nécessaire pour un responsable du traitement
d’installer un système de vidéosurveillance sur le lieu de travail. Par contre, en respectant
le principe de proportionnalité, le responsable du traitement doit recourir aux moyens de
surveillance les plus protecteurs de la sphère privée du salarié et, par exemple, limiter les

12 Voir constats 6, 7, 9, 10, 11 et 14 du procès-verbal relatif à la mission d'enquête sur place effectuée en date

du 18 mars 2019 auprès du groupe ABC. Il s’agit des caméras dénommées: « […] », « […] », « […] », « […]
», « […] », « […] », « […] », « […] », « […] », « […] ».
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

7/23

champs de vision des caméras à la seule surface nécessaire pour atteindre la ou les
finalité(s) poursuivie(s).

29. La Formation Restreinte constate que dans son courrier du 21 novembre 2019,
le contrôlé a indiqué avoir procédé aux ajustements de ses caméras de vidéosurveillance
et il y a annexé des captures d’écran.

30. Au vu de ce qui précède, la Formation Restreinte se rallie néanmoins au constat
du chef d’enquête13 selon lequel la non-conformité à l’article 5.1.c) du RGPD concernant
les dix caméras qui permettaient la surveillance en permanence des postes de travail des
salariés y occupés était acquise au jour de la visite sur site.

B. Sur le manquement lié à l'obligation d'informer les personnes concernées

1. Sur les principes

31. Aux termes de l’alinéa 1 de l’article 12 du RGPD, le « responsable du traitement
prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14
ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article
34 en ce qui concerne le traitement à la personne concernée d'une façon concise,
transparente, compréhensible aisément accessible, en des termes clairs et simples […]. »

32. L’article 13 du RGPD prévoit ce qui suit :

« 1. Lorsque des données à caractère personnel relatives à une personne
concernée sont collectées auprès de cette personne, le responsable du traitement lui
fournit, au moment où les données en question sont obtenues, toutes les informations
suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;

13 Communication des griefs, Ad. A.4.

8/23

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement
fournit à la personne concernée, au moment où les données à caractère personnel sont
obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir
un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;

b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,

9/23

sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;

d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;

f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la
personne concernée dispose déjà de ces informations. »

33. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des
obligations générales de transparence au sens du RGPD.14 Lesdites obligations ont été
explicitées par le Groupe de Travail Article 29 dans ses lignes directrices sur la
transparence au sens du règlement (UE) 2016/679, dont la version révisée a été adoptée
le 11 avril 2018 (ci-après : « WP 260 rév.01 »).

14 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.

10/23

34. A noter que le Comité européen de la protection des données (ci-après :
« CEPD »), qui remplace depuis le 25 mai 2018 le Groupe de Travail Article 29, a repris
et réapprouvé les documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai
2018, comme précisément les lignes directrices précitées sur la transparence.15

2. En l’espèce

35. Pour ce qui concerne l'information des personnes tierces, ainsi que des salariés
quant au système de vidéosurveillance, le chef d’enquête a constaté que la documentation
soumise à la CNPD par lettre du 18 avril 2019 ne contenait pas de preuves suffisantes
permettant de contrer une non-conformité aux prescrits de l'article 13 du RGPD. Il a estimé
que l'apposition, après la visite sur site, d'affiches comprenant un pictogramme d'une
caméra avec la mention « pour votre sécurité ce site est sous surveillance » n'est pas de
nature à remplir les conditions posées par ledit article et que donc la non-conformité à
l'article 13 du RGPD était acquise au jour de la visite sur site (voir communication des
griefs, Ad. A.1. et A.2.).

36. Dans son courrier précité du 18 avril 2019, le contrôlé a en effet indiqué que les
personnes concernées (salariés et tiers) sont informées de la présence d'un système de
vidéo surveillance par le biais d'affiches présentes au niveau de chaque entrée et sortie
et il a annexé des photos desdites affiches.

37. Par courrier du 21 novembre 2019, le contrôlé a envoyé au chef d’enquête une
charte de protection des données personnelles qui a été mise sur son site internet, une
notice d'information sur la protection des données pour ses collaborateurs qui a été
présentée et approuvée en réunion de […] et qui est diffusée pour signature auprès de
ses salariés, ainsi qu’une photo d’un nouveau pictogramme de signalisation sur ses sites.

38. La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD
fait référence à l’obligation imposée au responsable du traitement de « fournir » toutes les
informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie

15 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

11/23

que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne
concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.). » (WP260 rev. 01, paragraphe 33).

39. La Formation Restreinte note que lors de la visite sur site par les agents de la
CNPD, les personnes tierces et les salariés n’étaient pas informés de la présence du
système de vidéosurveillance. Dans sa lettre du 18 avril 2019, le contrôlé a indiqué que
dorénavant les personnes concernées seraient informées par un pictogramme d'une
caméra avec la mention « pour votre sécurité ce site est sous surveillance ». Par ailleurs,
par courrier du 21 novembre 2019, le contrôlé a envoyé une charte de protection des
données personnelles, une notice d'information sur la protection des données pour ses
collaborateurs, ainsi qu’une photo d’un nouveau pictogramme de signalisation sur ses
sites.

40. La Formation Restreinte estime dans ce contexte qu’une approche à plusieurs
niveaux pour communiquer des informations sur la transparence aux personnes
concernées peut être utilisée dans un contexte hors ligne ou non numérique, c’est-à-dire
dans un environnement réel comme par exemple des données à caractère personnel
collectées au moyen d’un système de vidéosurveillance. Le premier niveau d’information
devrait de manière générale inclure les informations les plus essentielles, à savoir les
détails de la finalité du traitement, l’identité du responsable du traitement et l’existence des
droits des personnes concernées, ainsi que les informations ayant la plus forte incidence
sur le traitement ou tout traitement susceptible de surprendre les personnes concernées.16
Le deuxième niveau d’information, c’est-à-dire l’ensemble des informations requises au
titre de l’article 13 du RGPD, pourrait être fourni ou mis à disposition par d’autres moyens,
comme par exemple un exemplaire de la politique de confidentialité envoyé par e-mail aux
salariés ou un lien sur le site internet vers une notice d’information pour ce qui concerne
les personnes tierces non-salariées.17

16 Voir le WP 260 rév.01 et les lignes directrices 3/2019 du CEPD sur le traitement des données à caractère
personnel par des dispositifs vidéo, version 2.0, adoptée le 29 janvier 2020.
17 Voir le WP260 rev. 01 (point 38).

12/23

41. La Formation Restreinte constate toutefois que le pictogramme qui a été mis en
place après la visite sur site et le pictogramme envoyé par courrier du 21 novembre 2019
ne contenaient même pas les éléments requis du premier niveau d’information que ce soit
pour les salariés ou les personnes tierces non-salariées.

42. Pour ce qui concerne la charte de protection des données personnelles
disponible aux personnes tierces […] et envoyé par courrier du 21 novembre 2019, la
Formation Restreinte considère qu’elle ne contenait pas l’ensemble des éléments requis
par l'article 13.1 et 2 du RGPD, d’autant plus qu’au moment de la visite sur site par les
agents de la CNPD, les personnes tierces ne pouvaient pas encore accéder à ladite
charte.

43. Pour ce qui est de la notice d'information sur la protection des données pour ses
collaborateurs, la Formation Restreinte considère que ladite note ne contenait pas
l’ensemble des éléments requis par l'article 13.1 et 2 du RGPD, d’autant plus qu’au
moment de la visite sur site par les agents de la CNPD, les salariés n’étaient pas encore
en possession de ladite note.

44. Au vu de ce qui précède, la Formation Restreinte conclut qu’au moment de la
visite sur site des agents de la CNPD, l’article 13 du RGPD n’était pas respecté par le
contrôlé.

II. 2. Sur les mesures correctrices et amendes

1. Les principes

45. Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

13/23

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

46. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer des
amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de
l’État ou des communes.

14/23

47. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu
des articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

15/23

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

48. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.

49. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer.

2. En l’espèce

2.1. Quant à l’imposition d’une amende administrative

50. Dans son courrier complémentaire à la communication des griefs du 3 août
2020, le chef d’enquête proposait à la Formation Restreinte d’infliger une amende
administrative au contrôlé d’un montant de 17.000 euros.

51. Dans sa réponse audit courrier complémentaire du 12 août 2020, le contrôlé a
contesté le courrier précité du chef d’enquête suite aux modifications correctrices
apportées pour se mettre en conformité aux règles du RGPD.

52. Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la Formation Restreinte prend en compte
les éléments prévus par l’article 83.2 du RGPD :
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

16/23

 Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), la
Formation Restreinte relève qu’en ce qui concerne le manquement à l’article 5.1.c)
du RGPD, il est constitutif d’un manquement aux principes fondamentaux du
RGPD (et du droit de la protection des données en général), à savoir au principe
de minimisation des données consacré au Chapitre II « Principes » du RGPD.

Quant au manquement à l’obligation d’informer les personnes concernées
conformément à l’article 13 du RGPD, la Formation Restreinte rappelle que
l’information et la transparence relative au traitement des données à caractère
personnel sont des obligations essentielles pesant sur les responsables de
traitement afin que les personnes soient pleinement conscientes de l’utilisation qui
sera faite de leurs données à caractère personnel, une fois celles-ci collectées. Un
manquement à l’article 13 du RGPD est ainsi constitutif d’une atteinte aux droits
des personnes concernées. Ce droit à l’information a par ailleurs été renforcé aux
termes du RGPD, ce qui témoigne de leur importance toute particulière. A noter
qu’au moment de la visite sur site par les agents de la CNPD, aucun pictogramme
de signalisation, ni aucune affiche ou notice d’information n’ont pu être montrées
aux agents de la CNPD.

 Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte
constate que ces manquements ont duré dans le temps, à tout le moins depuis le
25 mai 2018 et jusqu’au jour de la visite sur place. La Formation Restreinte rappelle
ici que deux ans ont séparé l’entrée en vigueur du RGPD de son entrée en
application pour permettre aux responsables de traitement de se conformer aux
obligations qui leur incombent. D’autant plus, une obligation de respecter le
principe de minimisation, tout comme une obligation d’information comparable
existaient déjà en application des articles 4.1. b), 10.2 et 26 de la loi abrogée du 2
août 2002 relative à la protection des personnes à l'égard du traitement des
données à caractère personnel. De la guidance relative aux principes et obligations
prévus dans ladite loi était disponible auprès de la CNPD, notamment à travers
des autorisations préalables obligatoires en matière de vidéosurveillance.

17/23

 Quant au nombre de personnes concernées (article 83.2.a) du RGPD), la
Formation Restreinte constate qu’il s’agit de […] salariés travaillant sur le site du
contrôlé qui étaient sous surveillance permanente par dix différentes caméras sans
possibilité de se soustraire,18 ainsi que toutes les personnes tierces, c’est-à-dire
les clients, fournisseurs, prestataires de services et les visiteurs se rendant sur
ledit site.

 Quant à la question de savoir si les manquements ont été commis délibérément
ou non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que « non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas
respecté l’obligation de diligence qui lui incombe en vertu de la législation.

En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef
du contrôlé.

 Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2.f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête
selon laquelle la coopération du contrôlé tout au long de l'enquête était bonne, ainsi
que de sa volonté de se conformer à la loi dans les meilleurs délais.

53. La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.

54. La Formation Restreinte relève aussi que si plusieurs mesures ont été mises en
place par le contrôlé afin de remédier en totalité ou en partie à certains manquements,
celles-ci n’ont été adoptées qu’à la suite du contrôle des agents de la CNPD en date du
18 mars 2019 (voir aussi le point 48 de la présente décision).

18 Comme indiqué par courriel du contrôlé du 11 février 2021.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

18/23

55. Dès lors, la Formation restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5.1.c) et 13 du RGPD.

56. S’agissant du montant de l’amende administrative, la Formation Restreinte
rappelle que le paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations
multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder
le montant fixé pour la violation la plus grave. Dans la mesure où un manquement aux
articles 5 et 13 du RGPD est reproché au contrôlé, le montant maximum de l’amende
pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel
mondial, le montant le plus élevé étant retenu.

57. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la
Formation Restreinte considère que le prononcé d’une amende de 12.500 euros apparaît
à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1
du RGPD.

2.2. Quant à la prise de mesures correctrices

58. L’adoption des mesures correctrices suivantes a été proposée par le chef
d’enquête à la Formation Restreinte dans son courrier complémentaire à la
communication des griefs :

a) Ordonner au responsable du traitement de mettre en place les mesures
d'information destinées aux personnes concernées par la vidéosurveillance,
conformément aux dispositions de l'article 13, paragraphes (1) et (2) du RGPD en
renseignant notamment l'identité du responsable du traitement, les finalités du
traitement et sa base juridique, les catégories de données traitées, les intérêts
légitimes poursuivis par le contrôlé, les destinataires, la durée de conservation des
données ainsi que l'indication des droits de la personne et de la manière de les
exercer ;

b) Ordonner au responsable du traitement de ne traiter que des données
pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités de
protection des biens, la sécurisation des accès à des lieux privés, la sécurité des
usagers ainsi que la prévention des accidents et, en particulier, adapter le dispositif
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

19/23

vidéo afin de ne pas filmer les salariés sur leur poste de travail, par exemple en
supprimant ou réorientant les caméras dénommées " […] " " […] " " […] " " […] " "
[…] " " […]" " […] " " […], […], […] et […] ".

59. Dans son courrier de réponse du 12 août 2020 au courrier complémentaire à la
communication des griefs, le contrôlé s’est référé aux modifications correctrices apportées
pour se mettre en conformité aux règles du RGPD.19

60. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 49 de la présente décision, la Formation Restreinte prend en compte
les démarches effectuées par le contrôlé, suite à la visite des agents de la CNPD, afin de
se conformer aux dispositions des articles 5.1.c) et 13 du RGPD, comme détaillées dans
ses courriers du 18 avril 2019, du 21 novembre 2019 et du 12 août 2020. Plus
particulièrement, elle prend note des faits suivants :

 Quant à la mise en place de mesures d'information destinées aux personnes
tierces non-salariés et concernées par la vidéosurveillance, conformément aux
dispositions de l'article 13.1 et 2 du RGPD, le contrôlé a affiché sur son site de
nouveaux pictogrammes […] permettant auxdites personnes d’accéder à une
charte de protection des données personnelles. Une photo d’un tel pictogramme
et de la charte précitée ont été annexées au courrier du contrôlé du 21 novembre
2019.

La Formation Restreinte considère que le pictogramme précité, combiné avec la
charte précitée, ne contiennent pas toutes les informations requises par l'article 13
du RGPD, notamment la base juridique précise pour la vidéosurveillance, les
destinataires ou les catégories de destinataires des images issues du système de
vidéosurveillance, la durée de conservation des images issues du système de
vidéosurveillance, ainsi que le droit d’introduire une réclamation auprès de la
CNPD.

Quant à la mise en place de mesures d'information destinées aux salariés
concernées par la vidéosurveillance, conformément aux dispositions de l'article

19 Comme détaillé dans son courrier de réponse à la communication des griefs du 21 novembre 2019.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A

20/23

13.1 et 2 du RGPD, le contrôlé a indiqué dans son courrier du 21 novembre 2019
qu’une notice d'information sur la protection des données pour ses collaborateurs
a été présentée et approuvée en réunion […] et qui est diffusée pour signature
auprès de ses salariés. L’annexe 2 dudit courrier concerne la note précitée.

La Formation Restreinte considère que la notice d'information sur la protection des
données destinée aux collaborateurs du contrôlé ne contient pas toutes les
informations requises par l'article 13 du RGPD, notamment la base juridique
précise pour la vidéosurveillance, les destinataires ou les catégories de
destinataires des images issues du système de vidéosurveillance, l’existence du
droit à la limitation du traitement, ainsi que le droit non pas seulement de saisir,
mais d’introduire une réclamation auprès de la CNPD.

En considération des mesures de mise en conformité prises par le contrôlé en
l’espèce et le point 49 de la présente décision, la Formation Restreinte considère
dès lors qu’il y a lieu de prononcer la mesure correctrice proposée par le chef
d’enquête sous a).

 Quant à l’obligation de ne traiter que des données pertinentes, adéquates et
limitées à ce qui est nécessaire au regard des finalités de protection des biens et
de sécurisation des accès et, en particulier, adapter le dispositif vidéo afin de ne
pas filmer les salariés sur leur poste de travail et la voie publique, le contrôlé a
expliqué dans son courrier de réponse à la communication des griefs du 21
novembre 2019 avoir procédé aux ajustements de ses caméras de
vidéosurveillance actives. Comme des salariés étaient présents sur les captures
d’écran annexées audit courrier, une question y relative a été posée lors de
l’audience de la Formation Restreinte du 11 février 2021. Le contrôlé y a précisé
que toutes les caméras ne visent dorénavant que des couloirs, des passages, des
congélateurs ou des dépôts des matières premières et qu’aucun salarié n’est dans
le champ de vision de manière permanente. En considération des mesures de mise
en conformité prises par le contrôlé en l’espèce et le point 49 de la présente
décision, la Formation Restreinte considère dès lors qu’il n’y ait pas lieu de
prononcer la mesure correctrice proposée par le chef d’enquête sous b).

21/23

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

- de retenir les manquements aux articles 5.1.c) et 13 du RGPD ;

- de prononcer à l’encontre de la Société A une amende administrative d’un montant de
douze mille cinq cent euros (12.500 euros), au regard des manquements constitués aux
articles 5.1.c) et 13 du RGPD ;

- de prononcer à l’encontre de la Société A une injonction de mettre en conformité le
traitement avec les dispositions de l’article 13 du RGPD, dans un délai de deux mois
suivant la notification de la décision de la Formation restreinte, les justificatifs de la mise
en conformité devant être adressés à la Formation Restreinte, au plus tard, dans ce délai ;

et en particulier :

1. informer les personnes tierces non-salariées de manière claire et complète,
conformément aux dispositions de l’article 13 du RGPD, notamment en fournissant aux
personnes tierces une information relative à la base juridique précise pour la
vidéosurveillance, aux destinataires ou catégories de destinataires des images issues du
système de vidéosurveillance, à la durée de conservation des images issues du système
de vidéosurveillance, ainsi qu’au droit d’introduire une réclamation auprès de la CNPD.

2. informer individuellement les salariés de manière claire et complète, conformément aux
dispositions de l’article 13 du RGPD, notamment en fournissant aux salariés une
information relative à la base juridique précise pour la vidéosurveillance, aux destinataires
ou catégories de destinataires des images issues du système de vidéosurveillance, à
l’existence du droit à la limitation du traitement, ainsi qu’au droit d’introduire une
réclamation auprès de la CNPD.

22/23

Ainsi décidé à Belvaux en date du 29 juin 2021.

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

23/23

Video Gözetiminde Veri Minimizasyonu ve Bilgilendirme

Türkçe özet

Hukuki mesele

Sonuç

Karar metni